4G मा शाखा VPN: IP सर्दा पहिचान स्थिर राख्नुहोस्

शाखाबाटै सुरु गर्नुहोस्, 4G राउटरको WAN स्थिति पृष्ठमा। तपाईंले देख्नुभएको ठेगाना सार्वजनिक दायराको सट्टा अपरेटरको निजी दायरामा छ भने, त्यो बाकसमा कुनै पनि पोर्ट फर्वार्डिङले हबलाई भित्र डायल गर्न कहिल्यै दिने छैन, र सुरुङ शाखाबाट बाहिरतिर बनाउनुपर्ने हुन्छ। त्यो एउटै अवलोकनले डिजाइन तय गर्छ। बाँकी काम भनेको हबले शाखालाई हरेक केही घण्टामा बदलिने ठेगानाभन्दा राम्रो कुनै कुराले चिन्छ भन्ने सुनिश्चित गर्नु हो।

सुरुङ कहाँबाट सुरु हुनुपर्छ

ठेगानालाई अपरेटरहरूले आफ्नै NAT का लागि प्रयोग गर्ने साझा ठेगाना क्षेत्र, 100.64.0.0/10, र सामान्य निजी दायरासँग जाँच्नुहोस्। मोबाइल अपलिङ्कमा तीमध्ये एउटा देख्नु भनेको सामान्यतया अपरेटर-स्तरीय NAT शाखा र इन्टरनेटबीच छ र भित्र आउने जडानहरू शाखाले तिर्न सक्ने कुनै पनि मूल्यमा उपलब्ध छैनन् भन्ने हो। WAN ठेगाना सार्वजनिक तर बदलिने भएमा तपाईंसँग अर्को, सजिलो समस्या छ।

डाइनामिक DNS ले दोस्रो अवस्थामा मात्र मद्दत गर्छ। यसले बदलिने सार्वजनिक ठेगानालाई डायल गर्न स्थिर नाम दिन्छ, र अपरेटरले कहिल्यै नदिएको म्यापिङ बनाउन सक्दैन। सार्वजनिक अवस्थाका लागि यसलाई कन्फिगर गर्न अझै लायक छ, किनकि यसले पुनःसंख्या गर्दा एक मात्र हातले गर्ने चरण हटाउँछ। यो जुन हुनु हुँदैन त्यो हो अपरेटरले कहिल्यै पुग्न सकिने बनाएको शाखाका लागि उत्तर।

तपाईंले डायल गर्ने ठेगाना र मिलाउने पहिचान अलग गर्नुहोस्

हबलाई भेटिने स्थिर कुरा चाहिन्छ: स्वीकृत निश्चित ठेगाना वा मर्मत गरिएको होस्टनाम। शाखालाई चिनिने स्थिर तरिका चाहिन्छ, र IKEv2 मा त्यो प्रमाणीकरणका बेला प्रस्तुत गर्ने पहिचान पेलोड हो, उसको प्याकेटहरूले संयोगवश बोक्ने स्रोत ठेगानाबाट स्वतन्त्र। @branch-a.vpn.example जस्तो स्ट्रिङ मोबाइल ठेगाना हरेक घण्टा बदलिए पनि त्यो पहिचानका रूपमा काम गर्छ।

त्यो स्ट्रिङ नीतिसँग मिलाइन्छ, DNS बाट समाधान गरिँदैन, त्यसैले सुरुङ सेटअपमा कुनै लुकअप हुन्छ भनेर नसोच्नुहोस्। हबको कन्फिगरेसनले अपेक्षित पहिचान स्पष्ट रूपमा नाम दिनुपर्छ, र प्रमाणपत्र प्रमाणीकरणसँग पहिचानले प्रमाणपत्रले वास्तवमा दाबी गर्ने कुरासँग पनि मिल्नुपर्छ।

स्रोत ठेगाना विश्वसनीय देखिन्छ भनेर कुनै पनि पहिचान स्वीकार गर्नु त्यो असफलता विधि हो जसबाट बच्नुपर्छ। प्रतिक्रियाकर्तामा यसको अर्थ पहिचान वाइल्डकार्ड र साझा रहस्यसहित कुनै पनि पियर स्वीकार गर्नु हो, जसले उपकरणलाई होइन, स्ट्रिङलाई प्रमाणित गर्छ।

हबको पक्षलाई नाम दिइएको पियरका रूपमा लेख्नुहोस्

strongSwan का सर्तमा प्रतिक्रियाकर्ता पक्ष right=%any भएको जडान हो, जसले कुनै पनि स्रोत ठेगानाबाट पियर स्वीकार गर्छ, साथै [email protected], जसले त्यो पियरले आफूलाई के भनेर दाबी गर्नुपर्ने हो त्यो पिन गर्छ। शाखाका LAN का लागि rightsubnet=10.20.0.0/16, जडान डायल नगरी लोड हुन auto=add, जीवन्तताका लागि dpd_delay=30s, र ठेगाना परिवर्तन नयाँ पियर मान्नुको सट्टा सोस्न mobike=yes थप्नुहोस्।

अन्य विक्रेताहरूले ती वस्तुहरूलाई फरक नाममा व्यक्त गर्छन्, सामान्यतया पहिचान फिल्ड र संरक्षित सबनेट फिल्ड भएको डाइनामिक वा शाखा-कार्यालय पियर प्रकार। दुवै भर्नुहोस्; सामान्य डाइनामिक चेकबक्स अनुकूलता योजना होइन।

शाखालाई सुरु गर्ने बनाइराख्नुहोस्

शाखामा ऐनाको प्रतिबिम्ब लागू हुन्छ: स्थानीय मोबाइल ठेगाना अहिले जस्तो छ त्यस्तै प्रयोग होस् भनेर left=%defaultroute, पहिचान प्रस्तुत गर्न [email protected], स्थिर हब नामका लागि right=hub.example.com, र मानिसबिना सुरुङ माथि आउन auto=start। मोबाइल लिङ्क फेरि जोडिँदा शाखा फेरि सुरु हुन्छ र हब त्यही पहिचानलाई त्यही नीति वस्तुसँग मिलाउँछ।

दुवै पक्षमा UDP 500 मा IKE, UDP 4500 मा NAT ट्राभर्सल, र त्यसपछि आउने इन्क्याप्सुलेटेड ESP अनुमति दिनुहोस्। त्यसपछि तिनलाई अनुमति दिइएकै राख्नुहोस्: कार्यालय समयमा मात्र खुल्ने नियम बीचबीचमा टुट्ने सुरुङजस्तो देखिनेछ।

ठेगाना परिवर्तन परीक्षण गर्नुहोस्, पहिलो ह्यान्डशेक मात्र होइन

सुरुङ माथि ल्याउनुहोस्, पुष्टि गर्नुहोस्, त्यसपछि एक मिनेट मोबाइल डेटा वा हवाईजहाज मोड टगल गरेर शाखालाई नयाँ ठेगानामा बाध्य गर्नुहोस्। हबमा सुरक्षा संगठनहरूको सूची हेर्नुहोस् र पियर ठेगाना बदलियो तर पहिचान बदलिएन भन्ने जाँच्नुहोस्। अपरेटरको पहिलो पुनःआवण्टनसम्म मात्र चल्ने सुरुङ परीक्षण नै गरिएको छैन।

त्यसपछि संरक्षित सबनेटहरू अलग जाँच्नुहोस्। स्थापित SA ले पियरहरू प्रमाणित भए भन्छ; हबसँग शाखाको LAN सम्म मार्ग छ वा शाखाले हब पक्षबाट ट्राफिक स्वीकार गर्छ भन्ने बताउँदैन। राउटिङ तालिका र फायरवाल नीति अलग पढ्नुहोस्, त्यसपछि गेटवेबाट होइन, होस्टबाट ping पठाउनुहोस्, किनकि गेटवे कुनै पनि सञ्जालको सबैभन्दा कम प्रतिनिधित्व गर्ने उपकरण हो।

स्थिर पहिचानले शाखालाई हबले नाम दिन सक्ने नीति वस्तुमा बदल्छ। यसले अपरेटर NAT ठेगानालाई पुग्न सकिने बनाउँदैन, र आफैंले संस्थाको बाँकी भागलाई शाखामा पहुँच दिँदैन।