VPN cawangan pada 4G: kekalkan identiti stabil apabila IP berubah

Mulakan pada cawangan itu sendiri, di halaman status WAN penghala 4G. Jika alamat yang anda lihat berada dalam julat peribadi pembawa dan bukan julat awam, tiada pemajuan port pada kotak itu akan membenarkan hab mendail masuk, dan terowong mesti dibina keluar dari cawangan. Pemerhatian tunggal itu menentukan reka bentuk. Kerja selebihnya ialah memastikan hab mengenali cawangan melalui sesuatu yang lebih baik daripada alamat yang berubah setiap beberapa jam.

Dari mana terowong mesti bermula

Semak alamat itu terhadap ruang alamat dikongsi yang pembawa gunakan untuk NAT mereka sendiri, 100.64.0.0/10, dan terhadap julat peribadi biasa. Melihat salah satu daripadanya pada pautan mudah alih biasanya bermakna NAT peringkat pembawa berada antara cawangan dan internet, dan sambungan masuk tidak tersedia pada sebarang harga yang mampu dibayar cawangan. Apabila alamat WAN awam tetapi berubah, anda mempunyai masalah lain yang lebih mudah.

DNS dinamik hanya membantu dalam kes kedua. Ia memberi alamat awam yang berubah nama stabil untuk didail, dan ia tidak boleh mencipta pemetaan yang tidak pernah disediakan pembawa. Ia masih berbaloi dikonfigurasikan untuk kes awam, kerana ia menghapuskan satu-satunya langkah manual dalam penomboran semula. Apa yang ia tidak boleh menjadi ialah jawapan untuk cawangan yang pembawa tidak pernah menjadikan boleh dicapai.

Asingkan alamat yang anda dail daripada identiti yang anda padankan

Hab memerlukan sesuatu yang stabil untuk ditemui, alamat tetap yang diluluskan atau nama hos yang diselenggara. Cawangan memerlukan cara stabil untuk dikenali, dan dalam IKEv2 itu ialah muatan identiti yang dikemukakannya semasa pengesahan, tanpa mengira alamat sumber yang dibawa oleh paketnya. Rentetan seperti @branch-a.vpn.example berfungsi sebagai identiti itu walaupun alamat mudah alih berubah setiap jam.

Rentetan itu dipadankan dengan dasar, bukan diselesaikan melalui DNS, jadi jangan jangkakan carian berlaku semasa persediaan terowong. Konfigurasi hab mesti menamakan identiti yang dijangkakan secara eksplisit, dan dengan pengesahan sijil identiti juga mesti sepadan dengan apa yang sebenarnya ditegaskan sijil.

Menerima sebarang identiti kerana alamat sumber kelihatan munasabah ialah mod kegagalan yang perlu dielakkan. Pada responden itu bermakna menerima mana-mana rakan sebaya, dengan kad liar identiti dan rahsia dikongsi, yang mengesahkan rentetan dan bukannya peranti.

Tulis bahagian hab sebagai rakan sebaya bernama

Dalam istilah strongSwan, bahagian responden ialah sambungan dengan right=%any, yang menerima rakan sebaya dari mana-mana alamat sumber, tambah [email protected], yang memin apa yang rakan sebaya itu mesti dakwa. Tambah rightsubnet=10.20.0.0/16 untuk LAN cawangan, auto=add supaya sambungan dimuatkan tanpa didail, dpd_delay=30s untuk keaktifan, dan mobike=yes supaya perubahan alamat dapat diserap dan bukan dianggap sebagai rakan sebaya baharu.

Vendor lain menyatakan objek yang sama di bawah nama berbeza, biasanya jenis rakan sebaya dinamik atau pejabat cawangan dengan medan identiti dan medan subnet terlindung. Isi kedua-duanya; kotak semak dinamik generik bukan pelan keserasian.

Kekalkan cawangan sebagai pemula

Di cawangan, imej cermin terpakai: left=%defaultroute supaya alamat mudah alih tempatan digunakan seperti adanya sekarang, [email protected] untuk mengemukakan identiti, right=hub.example.com untuk nama hab yang stabil, dan auto=start supaya terowong naik tanpa manusia. Apabila pautan mudah alih menyambung semula, cawangan memulakan semula dan hab memadankan identiti yang sama dengan objek dasar yang sama.

Benarkan IKE pada UDP 500, lintasan NAT pada UDP 4500, dan ESP terbungkus yang menyusul, pada kedua-dua belah. Kemudian biarkan ia dibenarkan: peraturan yang hanya terbuka pada waktu pejabat akan kelihatan seperti terowong terputus-putus.

Uji perubahan alamat, bukan hanya jabat tangan pertama

Naikkan terowong, sahkan, kemudian paksa cawangan ke alamat baharu dengan menogol data mudah alih atau mod kapal terbang selama satu minit. Perhatikan senarai persatuan keselamatan pada hab dan semak bahawa alamat rakan sebaya berubah manakala identiti tidak. Terowong yang hanya berfungsi sehingga penugasan semula pertama pembawa belum diuji langsung.

Kemudian semak subnet terlindung secara berasingan. SA yang terbentuk mengatakan rakan sebaya telah disahkan; ia tidak mengatakan hab mempunyai laluan ke LAN cawangan atau cawangan menerima trafik dari bahagian hab. Baca jadual penghalaan dan dasar tembok api secara berasingan, kemudian hantar ping dari hos dan bukan dari get laluan, kerana get laluan ialah peranti yang paling kurang mewakili dalam mana-mana rangkaian.

Identiti yang stabil menukar cawangan menjadi objek dasar yang boleh dinamakan hab. Ia tidak menjadikan alamat NAT pembawa boleh dicapai, dan ia tidak dengan sendirinya memberi seluruh organisasi akses kepada cawangan.