VPN oddziału w 4G: utrzymaj tożsamość stabilną, gdy IP się zmienia

Zacznij od samego oddziału, na stronie stanu WAN routera 4G. Jeśli widoczny adres znajduje się w zakresie prywatnym operatora, a nie publicznym, żadne przekierowanie portu na tym urządzeniu nigdy nie pozwoli koncentratorowi zadzwonić do środka, a tunel trzeba zbudować na zewnątrz od oddziału. Ta jedna obserwacja decyduje o projekcie. Reszta pracy to upewnienie się, że koncentrator rozpoznaje oddział po czymś lepszym niż adres, który zmienia się co kilka godzin.

Gdzie tunel musi się zaczynać

Sprawdź adres względem współdzielonej przestrzeni adresowej, której operatorzy używają do własnego NAT, 100.64.0.0/10, oraz względem zwykłych zakresów prywatnych. Zobaczenie jednego z nich na łączu mobilnym zwykle oznacza, że NAT na poziomie operatora stoi między oddziałem a internetem, a połączenia przychodzące nie są dostępne za żadną cenę, którą oddział może zapłacić. Gdy adres WAN jest publiczny, ale się zmienia, masz inny, łatwiejszy problem.

Dynamiczny DNS pomaga tylko w drugim przypadku. Daje zmieniającemu się adresowi publicznemu stabilną nazwę do wybierania i nie może utworzyć mapowania, którego operator nigdy nie zapewnił. Warto go jednak skonfigurować dla przypadku publicznego, bo usuwa jedyny ręczny krok przy przenumerowaniu. Czym nie powinien się stać, to odpowiedzią dla oddziału, którego operator nigdy nie uczynił osiągalnym.

Oddziel adres, na który dzwonisz, od tożsamości, którą dopasowujesz

Koncentrator potrzebuje czegoś stabilnego, pod czym można go znaleźć: zatwierdzonego stałego adresu lub utrzymywanej nazwy hosta. Oddział potrzebuje stabilnego sposobu rozpoznawania, a w IKEv2 jest to ładunek tożsamości przedstawiany podczas uwierzytelniania, niezależnie od adresu źródłowego, który niosą jego pakiety. Ciąg taki jak @branch-a.vpn.example działa jako ta tożsamość nawet wtedy, gdy adres mobilny zmienia się co godzinę.

Ten ciąg jest dopasowywany do polityki, a nie rozwiązywany przez DNS, więc nie oczekuj wyszukiwania przy zestawianiu tunelu. Konfiguracja koncentratora musi wprost nazwać oczekiwaną tożsamość, a przy uwierzytelnianiu certyfikatem tożsamość musi też odpowiadać temu, co certyfikat faktycznie potwierdza.

Akceptowanie dowolnej tożsamości, bo adres źródłowy wygląda wiarygodnie, to tryb awarii, którego trzeba unikać. Po stronie respondera oznacza to akceptowanie dowolnego peera, z wieloznacznikiem tożsamości i wspólnym sekretem, co uwierzytelnia ciąg, a nie urządzenie.

Napisz stronę koncentratora jako nazwanego peera

W terminach strongSwan strona respondera to połączenie z right=%any, które akceptuje peera z dowolnego adresu źródłowego, plus [email protected], które przypina, kim ten peer musi się deklarować. Dodaj rightsubnet=10.20.0.0/16 dla sieci LAN oddziału, auto=add aby połączenie było wczytywane bez wybierania, dpd_delay=30s dla żywotności i mobike=yes aby zmiana adresu była wchłaniana, a nie traktowana jako nowy peer.

Inni producenci wyrażają te same obiekty pod innymi nazwami, zwykle typem peera dynamicznego lub oddziału z polem tożsamości i polem chronionej podsieci. Wypełnij oba; ogólne pole wyboru dynamiczności nie jest planem zgodności.

Utrzymaj oddział jako inicjatora

W oddziale obowiązuje lustrzane odbicie: left=%defaultroute aby lokalny adres mobilny był używany taki, jaki jest teraz, [email protected] do przedstawienia tożsamości, right=hub.example.com dla stabilnej nazwy koncentratora i auto=start aby tunel podnosił się bez człowieka. Gdy łącze mobilne połączy się ponownie, oddział ponownie inicjuje, a koncentrator dopasowuje tę samą tożsamość do tego samego obiektu polityki.

Zezwalaj na IKE na UDP 500, przechodzenie NAT na UDP 4500 i następujący po nim enkapsulowany ESP po obu stronach. Potem pozostaw je dozwolone: reguła otwierana tylko w godzinach pracy będzie wyglądać jak przerywany tunel.

Przetestuj zmianę adresu, nie tylko pierwszy uścisk dłoni

Podnieś tunel, potwierdź go, a następnie wymuś na oddziale nowy adres, przełączając dane mobilne lub tryb samolotowy na minutę. Obserwuj listę asocjacji bezpieczeństwa na koncentratorze i sprawdź, że adres peera się zmienił, a tożsamość nie. Tunel, który działa tylko do pierwszego przydziału przez operatora, nie został w ogóle przetestowany.

Następnie sprawdź chronione podsieci osobno. Ustanowiona SA mówi, że peery się uwierzytelniły; nie mówi, że koncentrator ma trasę do sieci LAN oddziału ani że oddział akceptuje ruch ze strony koncentratora. Przeczytaj tabelę routingu i politykę zapory osobno, a potem wyślij ping z hosta, a nie z bramy, bo brama jest najmniej reprezentatywnym urządzeniem w każdej sieci.

Stabilna tożsamość zmienia oddział w obiekt polityki, który koncentrator może nazwać. Nie czyni adresu NAT operatora osiągalnym i sama z siebie nie daje reszcie organizacji dostępu do oddziału.