4G 'ਤੇ ਬ੍ਰਾਂਚ VPN: IP ਬਦਲਣ 'ਤੇ ਪਛਾਣ ਸਥਿਰ ਰੱਖੋ

ਬ੍ਰਾਂਚ ਤੋਂ ਹੀ ਸ਼ੁਰੂ ਕਰੋ, 4G ਰਾਊਟਰ ਦੇ WAN ਸਥਿਤੀ ਪੰਨੇ 'ਤੇ। ਜੇ ਤੁਹਾਨੂੰ ਦਿਸ ਰਿਹਾ ਪਤਾ ਜਨਤਕ ਰੇਂਜ ਦੀ ਬਜਾਏ ਓਪਰੇਟਰ ਦੀ ਨਿੱਜੀ ਰੇਂਜ ਵਿੱਚ ਹੈ, ਤਾਂ ਉਸ ਬਾਕਸ 'ਤੇ ਕੋਈ ਵੀ ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਹੱਬ ਨੂੰ ਕਦੇ ਅੰਦਰ ਡਾਇਲ ਨਹੀਂ ਕਰਨ ਦੇਵੇਗੀ, ਅਤੇ ਟਨਲ ਬ੍ਰਾਂਚ ਤੋਂ ਬਾਹਰ ਵੱਲ ਬਣਾਉਣੀ ਪਵੇਗੀ। ਉਹ ਇੱਕ ਨਿਰੀਖਣ ਡਿਜ਼ਾਈਨ ਤੈਅ ਕਰਦਾ ਹੈ। ਬਾਕੀ ਕੰਮ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣਾ ਹੈ ਕਿ ਹੱਬ ਬ੍ਰਾਂਚ ਨੂੰ ਹਰ ਕੁਝ ਘੰਟਿਆਂ ਬਾਅਦ ਬਦਲਣ ਵਾਲੇ ਪਤੇ ਨਾਲੋਂ ਕਿਸੇ ਬਿਹਤਰ ਚੀਜ਼ ਨਾਲ ਪਛਾਣਦਾ ਹੈ।

ਟਨਲ ਕਿੱਥੋਂ ਸ਼ੁਰੂ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ

ਪਤੇ ਨੂੰ ਉਸ ਸਾਂਝੀ ਪਤਾ ਥਾਂ ਨਾਲ ਜਾਂਚੋ ਜੋ ਓਪਰੇਟਰ ਆਪਣੇ NAT ਲਈ ਵਰਤਦੇ ਹਨ, 100.64.0.0/10, ਅਤੇ ਆਮ ਨਿੱਜੀ ਰੇਂਜਾਂ ਨਾਲ ਵੀ। ਮੋਬਾਈਲ ਅਪਲਿੰਕ 'ਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦਿਖਣ ਦਾ ਆਮ ਅਰਥ ਹੈ ਕਿ ਓਪਰੇਟਰ-ਪੱਧਰੀ NAT ਬ੍ਰਾਂਚ ਅਤੇ ਇੰਟਰਨੈਟ ਵਿਚਕਾਰ ਹੈ, ਅਤੇ ਆਉਣ ਵਾਲੇ ਕਨੈਕਸ਼ਨ ਕਿਸੇ ਵੀ ਅਜਿਹੀ ਕੀਮਤ 'ਤੇ ਉਪਲਬਧ ਨਹੀਂ ਜੋ ਬ੍ਰਾਂਚ ਦੇ ਸਕੇ। ਜੇ WAN ਪਤਾ ਜਨਤਕ ਹੈ ਪਰ ਬਦਲਦਾ ਹੈ, ਤੁਹਾਡੀ ਲੋੜ ਕਿਸੇ ਹੋਰ, ਸੌਖੀ ਸਮੱਸਿਆ ਹੈ।

ਡਾਇਨੈਮਿਕ DNS ਸਿਰਫ਼ ਦੂਜੇ ਕੇਸ ਵਿੱਚ ਮਦਦ ਕਰਦਾ ਹੈ। ਇਹ ਬਦਲਦੇ ਜਨਤਕ ਪਤੇ ਨੂੰ ਡਾਇਲ ਕਰਨ ਲਈ ਸਥਿਰ ਨਾਮ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਇਹ ਉਹ ਮੈਪਿੰਗ ਨਹੀਂ ਬਣਾ ਸਕਦਾ ਜੋ ਓਪਰੇਟਰ ਨੇ ਕਦੇ ਦਿੱਤੀ ਹੀ ਨਹੀਂ। ਜਨਤਕ ਕੇਸ ਲਈ ਇਸਨੂੰ ਕਨਫਿਗਰ ਕਰਨਾ ਫਿਰ ਵੀ ਲਾਭਦਾਇਕ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਦੁਬਾਰਾ ਨੰਬਰ ਦੇਣ ਵੇਲੇ ਇੱਕੋ-ਇੱਕ ਹੱਥੀ ਕਦਮ ਹਟਾਉਂਦਾ ਹੈ। ਇਹ ਉਹ ਨਹੀਂ ਬਣਨਾ ਚਾਹੀਦਾ ਜੋ ਅਜਿਹੀ ਬ੍ਰਾਂਚ ਲਈ ਜਵਾਬ ਹੋਵੇ ਜਿਸਨੂੰ ਓਪਰੇਟਰ ਨੇ ਕਦੇ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਬਣਾਇਆ।

ਜਿਸ ਪਤੇ 'ਤੇ ਤੁਸੀਂ ਡਾਇਲ ਕਰਦੇ ਹੋ ਅਤੇ ਜਿਸ ਪਛਾਣ ਨੂੰ ਮਿਲਾਉਂਦੇ ਹੋ, ਉਨ੍ਹਾਂ ਨੂੰ ਵੱਖਰਾ ਕਰੋ

ਹੱਬ ਨੂੰ ਲੱਭੇ ਜਾਣ ਲਈ ਸਥਿਰ ਚੀਜ਼ ਚਾਹੀਦੀ ਹੈ, ਪ੍ਰਵਾਨਿਤ ਸਥਿਰ ਪਤਾ ਜਾਂ ਸੰਭਾਲਿਆ ਹੋਸਟਨਾਮ। ਬ੍ਰਾਂਚ ਨੂੰ ਪਛਾਣੇ ਜਾਣ ਦਾ ਸਥਿਰ ਤਰੀਕਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ IKEv2 ਵਿੱਚ ਉਹ ਪਛਾਣ ਪੇਲੋਡ ਹੈ ਜੋ ਇਹ ਪ੍ਰਮਾਣਿਕਤਾ ਵੇਲੇ ਪੇਸ਼ ਕਰਦੀ ਹੈ, ਉਸ ਸਰੋਤ ਪਤੇ ਤੋਂ ਸੁਤੰਤਰ ਜੋ ਇਸ ਦੇ ਪੈਕੇਟ ਸੰਜੋਗ ਨਾਲ ਲੈ ਕੇ ਚੱਲਦੇ ਹਨ। @branch-a.vpn.example ਵਰਗੀ ਸਤਰ ਮੋਬਾਈਲ ਪਤਾ ਹਰ ਘੰਟੇ ਬਦਲਦਾ ਹੋਣ 'ਤੇ ਵੀ ਉਸ ਪਛਾਣ ਵਜੋਂ ਕੰਮ ਕਰਦੀ ਹੈ।

ਉਹ ਸਤਰ ਨੀਤੀ ਨਾਲ ਮਿਲਾਈ ਜਾਂਦੀ ਹੈ, DNS ਰਾਹੀਂ ਹੱਲ ਨਹੀਂ ਹੁੰਦੀ, ਇਸ ਲਈ ਟਨਲ ਸੈਟਅੱਪ ਵੇਲੇ ਲੁੱਕਅੱਪ ਦੀ ਉਮੀਦ ਨਾ ਰੱਖੋ। ਹੱਬ ਦੀ ਸੰਰਚਨਾ ਨੇ ਉਮੀਦ ਕੀਤੀ ਪਛਾਣ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਨਾਮਜ਼ਦ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣਿਕਤਾ ਨਾਲ ਪਛਾਣ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਦੇ ਅਸਲ ਦਾਅਵੇ ਨਾਲ ਵੀ ਮੇਲ ਖਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਸਰੋਤ ਪਤਾ ਭਰੋਸੇਯੋਗ ਲੱਗਦਾ ਹੈ ਇਸ ਲਈ ਕੋਈ ਵੀ ਪਛਾਣ ਸਵੀਕਾਰ ਕਰਨਾ ਉਹ ਅਸਫਲਤਾ ਢੰਗ ਹੈ ਜਿਸ ਤੋਂ ਬਚਣਾ ਚਾਹੀਦਾ ਹੈ। ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਪਾਸੇ ਇਸਦਾ ਅਰਥ ਹੈ ਪਛਾਣ ਵਾਈਲਡਕਾਰਡ ਅਤੇ ਸਾਂਝੇ ਰਹੱਸ ਨਾਲ ਕੋਈ ਵੀ ਪੀਅਰ ਸਵੀਕਾਰ ਕਰਨਾ, ਜੋ ਜੰਤਰ ਨੂੰ ਨਹੀਂ, ਸਤਰ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਦਾ ਹੈ।

ਹੱਬ ਵਾਲਾ ਪਾਸਾ ਨਾਮਜ਼ਦ ਪੀਅਰ ਵਜੋਂ ਲਿਖੋ

strongSwan ਦੇ ਸ਼ਬਦਾਂ ਵਿੱਚ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਪਾਸਾ right=%any ਵਾਲਾ ਕਨੈਕਸ਼ਨ ਹੈ, ਜੋ ਕਿਸੇ ਵੀ ਸਰੋਤ ਪਤੇ ਤੋਂ ਪੀਅਰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਨਾਲ ਹੀ [email protected], ਜੋ ਇਹ ਪਿੰਨ ਕਰਦਾ ਹੈ ਕਿ ਉਸ ਪੀਅਰ ਨੇ ਆਪਣੇ ਆਪ ਨੂੰ ਕੀ ਦੱਸਣਾ ਹੈ। ਬ੍ਰਾਂਚ ਦੇ LAN ਲਈ rightsubnet=10.20.0.0/16, ਕਨੈਕਸ਼ਨ ਡਾਇਲ ਬਿਨਾਂ ਲੋਡ ਹੋਣ ਲਈ auto=add, ਜੀਵੰਤਤਾ ਲਈ dpd_delay=30s, ਅਤੇ ਪਤਾ ਤਬਦੀਲੀ ਨੂੰ ਨਵਾਂ ਪੀਅਰ ਮੰਨਣ ਦੀ ਬਜਾਏ ਸੋਖਣ ਲਈ mobike=yes ਸ਼ਾਮਲ ਕਰੋ।

ਹੋਰ ਵਿਕਰੇਤਾ ਉਹੀ ਵਸਤੂਆਂ ਵੱਖਰੇ ਨਾਵਾਂ ਹੇਠ ਪ੍ਰਗਟ ਕਰਦੇ ਹਨ, ਆਮ ਤੌਰ 'ਤੇ ਪਛਾਣ ਖੇਤਰ ਅਤੇ ਸੁਰੱਖਿਅਤ ਸਬਨੈੱਟ ਖੇਤਰ ਵਾਲਾ ਡਾਇਨੈਮਿਕ ਜਾਂ ਸ਼ਾਖਾ-ਦਫ਼ਤਰ ਪੀਅਰ ਕਿਸਮ। ਦੋਵੇਂ ਭਰੋ; ਆਮ ਡਾਇਨੈਮਿਕ ਚੈੱਕਬਾਕਸ ਅਨੁਕੂਲਤਾ ਯੋਜਨਾ ਨਹੀਂ ਹੈ।

ਬ੍ਰਾਂਚ ਨੂੰ ਸ਼ੁਰੂ ਕਰਨ ਵਾਲਾ ਰੱਖੋ

ਬ੍ਰਾਂਚ 'ਤੇ ਸ਼ੀਸ਼ੇ ਵਾਲਾ ਪ੍ਰਤੀਬਿੰਬ ਲਾਗੂ ਹੁੰਦਾ ਹੈ: ਸਥਾਨਕ ਮੋਬਾਈਲ ਪਤਾ ਹੁਣ ਜਿਵੇਂ ਹੈ ਤਿਵੇਂ ਵਰਤਿਆ ਜਾਵੇ ਇਸ ਲਈ left=%defaultroute, ਪਛਾਣ ਪੇਸ਼ ਕਰਨ ਲਈ [email protected], ਸਥਿਰ ਹੱਬ ਨਾਮ ਲਈ right=hub.example.com, ਅਤੇ ਬਿਨਾਂ ਮਨੁੱਖ ਦੇ ਟਨਲ ਉੱਪਰ ਆਵੇ ਇਸ ਲਈ auto=start। ਜਦੋਂ ਮੋਬਾਈਲ ਲਿੰਕ ਦੁਬਾਰਾ ਜੁੜਦਾ ਹੈ, ਬ੍ਰਾਂਚ ਫਿਰ ਸ਼ੁਰੂ ਕਰਦੀ ਹੈ ਅਤੇ ਹੱਬ ਉਹੀ ਪਛਾਣ ਉਸੇ ਨੀਤੀ ਵਸਤੂ ਨਾਲ ਮਿਲਾਉਂਦਾ ਹੈ।

ਦੋਵੇਂ ਪਾਸਿਆਂ 'ਤੇ UDP 500 'ਤੇ IKE, UDP 4500 'ਤੇ NAT ਟ੍ਰਾਵਰਸਲ, ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਆਉਣ ਵਾਲਾ ਇਨਕੈਪਸੁਲੇਟਡ ESP ਪ੍ਰਵਾਨ ਕਰੋ। ਫਿਰ ਉਨ੍ਹਾਂ ਨੂੰ ਪ੍ਰਵਾਨਿਤ ਹੀ ਰਹਿਣ ਦਿਓ: ਸਿਰਫ਼ ਦਫ਼ਤਰੀ ਸਮੇਂ ਦੌਰਾਨ ਖੁੱਲ੍ਹਣ ਵਾਲਾ ਨਿਯਮ ਰੁਕ-ਰੁਕ ਕੇ ਟੁੱਟਣ ਵਾਲੀ ਟਨਲ ਵਾਂਗ ਦਿਸੇਗਾ।

ਪਤਾ ਤਬਦੀਲੀ ਦੀ ਜਾਂਚ ਕਰੋ, ਸਿਰਫ਼ ਪਹਿਲਾ ਹੈਂਡਸ਼ੇਕ ਨਹੀਂ

ਟਨਲ ਉੱਪਰ ਲਿਆਓ, ਪੁਸ਼ਟੀ ਕਰੋ, ਫਿਰ ਇੱਕ ਮਿੰਟ ਲਈ ਮੋਬਾਈਲ ਡੇਟਾ ਜਾਂ ਹਵਾਈ ਜਹਾਜ਼ ਮੋਡ ਟੌਗਲ ਕਰਕੇ ਬ੍ਰਾਂਚ ਨੂੰ ਨਵੇਂ ਪਤੇ 'ਤੇ ਮਜਬੂਰ ਕਰੋ। ਹੱਬ 'ਤੇ ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਸੂਚੀ ਦੇਖੋ ਅਤੇ ਜਾਂਚੋ ਕਿ ਪੀਅਰ ਪਤਾ ਬਦਲਿਆ ਪਰ ਪਛਾਣ ਨਹੀਂ ਬਦਲੀ। ਜੋ ਟਨਲ ਸਿਰਫ਼ ਓਪਰੇਟਰ ਦੇ ਪਹਿਲੇ ਮੁੜ-ਅਲਾਟ ਤੱਕ ਚੱਲਦੀ ਹੈ, ਉਸਦੀ ਜਾਂਚ ਹੀ ਨਹੀਂ ਹੋਈ।

ਫਿਰ ਸੁਰੱਖਿਅਤ ਸਬਨੈੱਟ ਵੱਖਰੇ ਜਾਂਚੋ। ਸਥਾਪਿਤ SA ਕਹਿੰਦਾ ਹੈ ਕਿ ਪੀਅਰ ਪ੍ਰਮਾਣਿਤ ਹੋਏ; ਇਹ ਨਹੀਂ ਕਹਿੰਦਾ ਕਿ ਹੱਬ ਕੋਲ ਬ੍ਰਾਂਚ ਦੇ LAN ਤੱਕ ਮਾਰਗ ਹੈ ਜਾਂ ਬ੍ਰਾਂਚ ਹੱਬ ਪਾਸਿਓਂ ਟ੍ਰੈਫਿਕ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ। ਰਾਊਟਿੰਗ ਟੇਬਲ ਅਤੇ ਫਾਇਰਵਾਲ ਨੀਤੀ ਵੱਖਰੇ ਪੜ੍ਹੋ, ਫਿਰ ਗੇਟਵੇਅ ਤੋਂ ਨਹੀਂ, ਹੋਸਟ ਤੋਂ ping ਭੇਜੋ, ਕਿਉਂਕਿ ਗੇਟਵੇਅ ਕਿਸੇ ਵੀ ਨੈੱਟਵਰਕ ਦਾ ਸਭ ਤੋਂ ਘੱਟ ਪ੍ਰਤਿਨਿਧ ਜੰਤਰ ਹੈ।

ਸਥਿਰ ਪਛਾਣ ਬ੍ਰਾਂਚ ਨੂੰ ਉਹ ਨੀਤੀ ਵਸਤੂ ਬਣਾ ਦਿੰਦੀ ਹੈ ਜਿਸਨੂੰ ਹੱਬ ਨਾਮ ਦੇ ਸਕੇ। ਇਹ ਓਪਰੇਟਰ-NAT ਪਤੇ ਨੂੰ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਬਣਾਉਂਦੀ, ਅਤੇ ਇਹ ਆਪਣੇ ਆਪ ਸੰਸਥਾ ਦੇ ਬਾਕੀ ਹਿੱਸੇ ਨੂੰ ਬ੍ਰਾਂਚ ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਦਿੰਦੀ।