Filial-VPN over 4G: hald identiteten stabil når IP-en flyttar seg

Byrja ved sjølve filialen, på WAN-statussida til 4G-rutaren. Viss adressa du ser ligg i det private området til operatøren i staden for eit offentleg, vil inga portvideresending på den boksen nokon gong la huben ringje inn, og tunnelen må byggjast utover frå filialen. Den eine observasjonen avgjer designet. Resten av arbeidet er å syte for at huben kjenner att filialen på noko betre enn ei adresse som endrar seg kvar par timar.

Kvar tunnelen må byrje

Kontroller adressa mot det delte adresseområdet operatørane brukar til sin eigen NAT, 100.64.0.0/10, og mot dei vanlege private områda. Å sjå ein av dei på ei mobil opplenkje tyder vanlegvis at NAT på operatørnivå står mellom filialen og internettet, og at innkomande tilkoplingar ikkje er tilgjengelege til nokon pris filialen kan betale. Når WAN-adressa er offentleg men endrar seg, har du eit anna og enklare problem.

Dynamisk DNS hjelper berre i det andre tilfellet. Det gir ei skiftande offentleg adresse eit stabilt namn å ringje til, og det kan ikkje lage ei tilordning operatøren aldri gav. Det er likevel verdt å konfigurere for det offentlege tilfellet, fordi det fjernar det eine manuelle trinnet ved omnummerering. Det det ikkje må bli, er svaret for ein filial operatøren aldri gjorde tilgjengeleg.

Skil adressa du ringjer til frå identiteten du matcher

Huben treng noko stabilt å bli funnen på, ei godkjend fast adresse eller eit vedlikehalde vertsnamn. Filialen treng ein stabil måte å bli kjend att på, og i IKEv2 er det identitetsnyttelasta han viser fram under autentisering, uavhengig av kjeldadressa pakkane tilfeldigvis ber. Ein streng som @branch-a.vpn.example fungerer som den identiteten sjølv medan den mobile adressa endrar seg kvar time.

Den strengen blir matcha mot policy, ikkje løyst via DNS, så ikkje vent eit oppslag ved tunneloppsett. Konfigurasjonen av huben må namngje den venta identiteten eksplisitt, og med sertifikatautentisering må identiteten også stemme med det sertifikatet faktisk hevdar.

Å godta kva identitet som helst fordi kjeldadressa ser truverdig ut er feilmodusen som må unngåast. På ein responder tyder det å godta kven som helst peer, med eit identitetsjokerteikn og ein delt løyndom, noko som autentiserer ein streng snarare enn ein eining.

Skriv hubsida som ein namngjeven peer

I strongSwan-termar er respondersida ei sambinding med right=%any, som godtek ein peer frå kva kjeldadresse som helst, pluss [email protected], som festar kva den peeren må erklære å vere. Legg til rightsubnet=10.20.0.0/16 for LAN-a til filialen, auto=add slik at sambindinga blir lasta utan å bli ringd, dpd_delay=30s for livlegheit, og mobike=yes slik at eit adressebyte kan absorberast i staden for å bli handsama som ein ny peer.

Andre leverandørar uttrykkjer dei same objekta under andre namn, vanlegvis ein dynamisk peer- eller filialkontortype med eit identitetsfelt og eit beskytta subnetfelt. Fyll ut begge; ein generisk dynamisk avkryssingsboks er ikkje ein kompatibilitetsplan.

Hald filialen som initiativtakar

På filialen gjeld spegelbiletet: left=%defaultroute slik at den lokale mobile adressa blir brukt som ho er no, [email protected] for å vise identiteten, right=hub.example.com for det stabile hubnamnet, og auto=start slik at tunnelen kjem opp utan eit menneske. Når den mobile lenkja koplar til att, tek filialen initiativ på nytt, og huben matchar den same identiteten mot det same policyobjektet.

Tillat IKE på UDP 500, NAT-gjennomgang på UDP 4500 og den innkapsla ESP-en som følgjer, i begge endar. Lat dei så vere tillatne: ein regel som berre opnar i arbeidstida vil sjå ut som ein ustabil tunnel.

Test adressebytet, ikkje berre det første handtrykket

Ta tunnelen opp, stadfest han, og tving deretter filialen over på ei ny adresse ved å slå mobildata eller flymodus av og på i eitt minutt. Følg med på lista over tryggleikssamband på huben og kontroller at peer-adressa endra seg medan identiteten ikkje gjorde det. Ein tunnel som berre verkar til den første omtildelinga frå operatøren, er ikkje testa i det heile.

Kontroller deretter dei beskytta subneta kvar for seg. Eit etablert SA seier at partane autentiserte seg; det seier ikkje at huben har ei rute til LAN-et til filialen eller at filialen godtek trafikk frå hubsida. Les rutetabellen og brannmurpolicyen kvar for seg, og send deretter ein ping frå ein vert i staden for frå gatewayen, sidan gatewayen er den minst representative eininga på eitkvart nettverk.

Ein stabil identitet gjer filialen til eit policyobjekt huben kan namngje. Det gjer ikkje ei carrier-NAT-adresse tilgjengeleg, og det gir ikkje resten av organisasjonen tilgang til filialen av seg sjølv.