VPN tal-fergħa fuq 4G: żomm l-identità stabbli meta l-IP jiċċaqlaq

Ibda mill-fergħa nnifisha, fil-paġna tal-istat WAN tar-router 4G. Jekk l-indirizz li tara jinsab fil-firxa privata tat-trasportatur minflok f'waħda pubblika, l-ebda tqassim tal-port fuq dik il-kaxxa qatt ma jħalli lill-hub iċempel 'il ġewwa, u l-mina trid tinbena 'l barra mill-fergħa. Dik l-osservazzjoni waħda tiddeċiedi d-disinn. Il-bqija tax-xogħol hu li tiżgura li l-hub jagħraf il-fergħa b'xi ħaġa aħjar minn indirizz li jinbidel kull ftit sigħat.

Minn fejn trid tibda l-mina

Iċċekkja l-indirizz kontra l-ispazju tal-indirizzi maqsum li t-trasportaturi jużaw għan-NAT tagħhom stess, 100.64.0.0/10, u kontra l-firxiet privati tas-soltu. Li tara wieħed minnhom fuq uplink mobbli normalment ifisser li NAT fil-livell tat-trasportatur jinsab bejn il-fergħa u l-internet, u l-konnessjonijiet deħlin mhumiex disponibbli bi kwalunkwe prezz li l-fergħa tista' tħallas. Meta l-indirizz WAN ikun pubbliku imma jinbidel, għandek problema oħra, eħfef.

DNS dinamiku jgħin biss fit-tieni każ. Jagħti indirizz pubbliku li jinbidel isem stabbli biex iċċempel miegħu, u ma jistax joħloq immappjar li t-trasportatur qatt ma pprovda. Xorta jiswa li jiġi kkonfigurat għall-każ pubbliku, għax ineħħi l-uniku pass manwali f'rinumerazzjoni. Dak li m'għandux isir huwa t-tweġiba għal fergħa li t-trasportatur qatt ma għamel aċċessibbli.

Issepara l-indirizz li ċċempel mill-identità li tqabbel

Il-hub jeħtieġ xi ħaġa stabbli biex jinstab fuqha, indirizz fiss approvat jew isem ospitanti miżmum. Il-fergħa teħtieġ mod stabbli biex tiġi rikonoxxuta, u f'IKEv2 dan huwa l-payload tal-identità li tippreżenta waqt l-awtentikazzjoni, indipendentement mill-indirizz tas-sors li l-pakketti tagħha jġorru b'kumbinazzjoni. String bħal @branch-a.vpn.example jaħdem bħala dik l-identità anke meta l-indirizz mobbli jinbidel kull siegħa.

Dak is-string jiġi mqabbel mal-politika, mhux solvut permezz ta' DNS, għalhekk tistenna l-ebda tfittxija waqt it-twaqqif tal-mina. Il-konfigurazzjoni tal-hub trid issemmi b'mod espliċitu l-identità mistennija, u bl-awtentikazzjoni b'ċertifikat l-identità trid taqbel ukoll ma' dak li ċ-ċertifikat fil-fatt jafferma.

Li taċċetta kwalunkwe identità għax l-indirizz tas-sors jidher plawżibbli huwa l-mod ta' falliment li għandu jiġi evitat. Fuq risponditur dan ifisser li taċċetta kwalunkwe pari, b'wildcard tal-identità u sigriet maqsum, li jawtentika string u mhux apparat.

Ikteb in-naħa tal-hub bħala pari msemmi

Fit-termini ta' strongSwan in-naħa tar-risponditur hija konnessjoni b'right=%any, li taċċetta pari minn kwalunkwe indirizz tas-sors, flimkien ma' [email protected], li jwaħħal x'għandu jiddikjara li hu dak il-pari. Żid rightsubnet=10.20.0.0/16 għall-LANs tal-fergħa, auto=add biex il-konnessjoni tiġi mgħobbija mingħajr ma tiġi mċempla, dpd_delay=30s għall-vivività, u mobike=yes biex bidla fl-indirizz tiġi assorbita minflok ma tiġi trattata bħala pari ġdid.

Fornituri oħra jesprimu l-istess oġġetti taħt ismijiet differenti, normalment tip ta' pari dinamiku jew tal-fergħa bi qasam tal-identità u qasam tas-subnet protett. Imla t-tnejn; kaxxa tal-ikklerkar dinamika ġenerika mhijiex pjan ta' kompatibilità.

Żomm il-fergħa bħala l-inizjatur

Fil-fergħa tapplika l-immaġni tal-mera: left=%defaultroute biex l-indirizz mobbli lokali jintuża kif inhu bħalissa, [email protected] biex tiġi ppreżentata l-identità, right=hub.example.com għall-isem stabbli tal-hub, u auto=start biex il-mina titla' mingħajr bniedem. Meta l-link mobbli jerġa' jingħaqad, il-fergħa terġa' tibda u l-hub iqabbel l-istess identità mal-istess oġġett tal-politika.

Ħalli IKE fuq UDP 500, qsim tan-NAT fuq UDP 4500, u l-ESP inkapsulat li jiġi wara, fuq iż-żewġ naħat. Imbagħad ħallihom permessi: regola li tinfetaħ biss fil-ħinijiet tax-xogħol tidher bħala mina intermittenti.

Ipprova l-bidla fl-indirizz, mhux biss l-ewwel handshake

Erfa' l-mina, ikkonfermaha, imbagħad ġiegħel il-fergħa fuq indirizz ġdid billi tixgħel u titfi d-dejta mobbli jew il-modalità ajruplan għal minuta. Osserva l-lista tal-assoċjazzjonijiet tas-sigurtà fuq il-hub u vverifika li l-indirizz tal-pari nbidel filwaqt li l-identità le. Mina li taħdem biss sal-ewwel riassenjazzjoni tat-trasportatur ma ġietx ittestjata xejn.

Imbagħad iċċekkja s-subnets protetti separatament. SA stabbilita tgħid li l-pari awtentikaw ruħhom; ma tgħidx li l-hub għandu rotta lejn il-LAN tal-fergħa jew li l-fergħa taċċetta traffiku min-naħa tal-hub. Aqra t-tabella tar-routing u l-politika tal-firewall separatament, imbagħad ibgħat ping minn host u mhux mill-gateway, għax il-gateway huwa l-apparat l-inqas rappreżentattiv f'kull netwerk.

Identità stabbli tibdel il-fergħa f'oġġett tal-politika li l-hub jista' jsemmi. Ma tagħmilx indirizz NAT tat-trasportatur aċċessibbli, u ma tagħtix waħedha lill-bqija tal-organizzazzjoni aċċess għall-fergħa.