د 4G له لارې د څانګې VPN: کله چې IP وګرځي، هویت ثابت وساتئ

له همدې څانګې پیل وکړئ، د 4G روټر د WAN حالت په پاڼه کې۔ که هغه پته چې تاسو یې ګورئ د اپراتور په خصوصي حد کې وي نه په عمومي کې، نو په هغه بکس کې هېڅ پورټ لېږد به هب ته هېڅکله اجازه نه ورکوي چې دننه زنګ ووهي، او ټنل باید له څانګې څخه بهر ته جوړ شي۔ هماغه یو مشاهده ډیزاین ټاکي۔ پاتې کار دا دی چې ډاډ ترلاسه کړئ هب څانګه په یو څه غوره پېژني له هغې پتې چې هر څو ساعته بدلېږي۔

ټنل باید له کومه ځایه پیل شي

پته د هغه شریکې پتې فضا سره چې اپراتوران یې د خپل NAT لپاره کاروي، 100.64.0.0/10، او د عادي خصوصي حدونو سره وګورئ۔ په موبایل لینک کې د هغوی یو لیدل معمولاً دا معنا لري چې د اپراتور کچې NAT د څانګې او انټرنیټ ترمنځ دی، او راتلونکې اړیکې په هېڅ داسې بیه نشته چې څانګه یې تادیه کولی شي۔ کله چې WAN پته عمومي وي خو بدلېږي، تاسو بله، اسانه ستونزه لرئ۔

ډینامیک DNS یوازې په دوهم حالت کې مرسته کوي۔ دا بدلېدونکې عمومي پتې ته د زنګ وهلو لپاره ثابت نوم ورکوي، او نشي کولی هغه نقشه جوړه کړي چې اپراتور هېڅکله نه ده ورکړې۔ د عمومي حالت لپاره یې تنظیمول بیا هم ارزښت لري، ځکه چې د بیا شمېرنې په وخت کې یوازینی لاسي ګام لرې کوي۔ هغه څه چې نه باید شي، د داسې څانګې لپاره ځواب دی چې اپراتور هېڅکله د لاسرسي وړ نه ده ګرځولې۔

هغه پته چې تاسو ورته زنګ وهئ او هغه هویت چې تاسو یې سره سمون ورکوئ، جلا کړئ

هب ته د موندلو لپاره یو ثابت شی ته اړتیا ده: تصویب شوې ثابته پته یا ساتل شوی کوربه نوم۔ څانګې ته د پېژندل کېدو لپاره ثابته لار غواړي، او په IKEv2 کې هغه د هویت پیلوډ دی چې د تصدیق په وخت کې یې وړاندې کوي، له هغې سرچینې پتې خپلواک چې د هغې پاکټونه ناڅاپه وړي۔ د @branch-a.vpn.example په څېر یو تار د هماغه هویت په توګه کار کوي حتی کله چې موبایل پته هر ساعت بدلېږي۔

هغه تار له پالیسۍ سره سمون ورکول کېږي، د DNS له لارې نه حل کېږي، نو د ټنل په جوړولو کې د لټون تمه مه کوئ۔ د هب ترتیبات باید تمه شوی هویت په روښانه ډول ونومي، او د سند تصدیق سره باید هویت د هغه څه سره هم سمون ولري چې سند یې واقعاً ادعا کوي۔

د هر هویت منل ځکه چې سرچینه پته باوري ښکاري، هغه ناکامي طریقه ده چې باید ترې ډډه وشي۔ د ځواب ورکوونکي په اړخ کې دا معنا لري چې د هویت وحشي کارت او شریک راز سره هر همکار ومنل شي، کوم چې تار تصدیق کوي نه وسیله۔

د هب اړخ د نومول شوي همکار په توګه ولیکئ

د strongSwan په اصطلاحاتو کې د ځواب ورکوونکي اړخ یو تړون دی چې right=%any لري، کوم چې له هرې سرچینې پتې څخه همکار مني، او [email protected]، کوم چې پن کوي چې هغه همکار باید ځان څه وګڼي۔ د څانګې LAN لپاره rightsubnet=10.20.0.0/16، د تړون د زنګ پرته لوډ کېدو لپاره auto=add، د ژوندۍ پاتې کېدو لپاره dpd_delay=30s، او د پتې بدلون د نوي همکار په توګه د نه ګڼلو بلکې جذبولو لپاره mobike=yes اضافه کړئ۔

نور جوړونکي هماغه شیان په نورو نومونو بیانوي، معمولاً د ډینامیک یا د څانګې دفتر همکار ډول چې د هویت ساحه او د ساتل شوې فرعي شبکې ساحه لري۔ دواړه ډک کړئ؛ یو عمومي ډینامیک چیک بکس د مطابقت پلان نه دی۔

څانګه پیلوونکې وساتئ

په څانګه کې د هندارې عکس پلي کېږي: د سیمه ییزې موبایل پتې د اوسېدو په څېر کارولو لپاره left=%defaultroute، د هویت وړاندې کولو لپاره [email protected]، د ثابت هب نوم لپاره right=hub.example.com، او د انسان پرته د ټنل پورته کېدو لپاره auto=start۔ کله چې موبایل لینک بیا ونښلول شي، څانګه بیا پیل کوي او هب هماغه هویت له هماغه پالیسۍ شي سره سمون ورکوي۔

په دواړو خواوو کې په UDP 500 باندې IKE، په UDP 4500 باندې د NAT تېرېدل، او وروسته راتلونکی انکپسول شوی ESP اجازه کړئ۔ بیا یې اجازه ورکړل شوي پرېږدئ: یوازې د کاري ساعتونو په جریان کې خلاصېدونکی قانون به د پرې شوي ټنل په څېر ښکاره شي۔

د پتې بدلون وآزمویئ، نه یوازې لومړی لاس ورکول

ټنل پورته کړئ، تایید یې کړئ، بیا د یوې دقیقې لپاره موبایل ډاټا یا د الوتکې حالت بدل کړئ او څانګه نوي پتې ته اړ کړئ۔ په هب کې د امنیتي ټولنو لیست وګورئ او وګورئ چې د همکار پته بدله شوې خو هویت نه۔ هغه ټنل چې یوازې د اپراتور تر لومړي بیا تخصیص پورې کار کوي هېڅکله نه دی آزمویل شوی۔

بیا ساتل شوې فرعي شبکې جلا وګورئ۔ جوړ شوی SA وایي چې همکارانو تصدیق وکړ؛ دا نه وایي چې هب ته د څانګې LAN ته لار ده یا څانګه د هب له اړخه ترافیک مني۔ د لارښوونې جدول او د اور دېوال پالیسي جلا ولولئ، بیا ping له کوربه څخه ولېږئ نه له دروازې څخه، ځکه دروازه په هر شبکه کې تر ټولو لږ استازیتوب کوونکې وسیله ده۔

ثابت هویت څانګه هغه پالیسۍ شي ته اړوي چې هب یې نومولی شي۔ دا د اپراتور NAT پته د لاسرسي وړ نه جوړوي، او په خپله د سازمان پاتې برخې ته د څانګې لاسرسی نه ورکوي۔