VPN de sucursală pe 4G: păstrează identitatea stabilă când IP-ul se mută

Începe chiar cu sucursala, pe pagina de stare WAN a routerului 4G. Dacă adresa pe care o vezi se află în intervalul privat al operatorului, nu într-unul public, nicio redirecționare de port de pe acea cutie nu va permite vreodată hub-ului să sune spre interior, iar tunelul trebuie construit spre exterior din sucursală. Acea singură observație decide proiectarea. Restul muncii este să te asiguri că hub-ul recunoaște sucursala după ceva mai bun decât o adresă care se schimbă la câteva ore.

De unde trebuie să înceapă tunelul

Verifică adresa față de spațiul de adrese partajat pe care operatorii îl folosesc pentru propriul NAT, 100.64.0.0/10, și față de intervalele private obișnuite. Să vezi unul dintre ele pe un uplink mobil înseamnă de obicei că NAT-ul la nivel de operator stă între sucursală și internet, iar conexiunile de intrare nu sunt disponibile la niciun preț pe care sucursala îl poate plăti. Când adresa WAN este publică dar se schimbă, ai o altă problemă, mai simplă.

DNS-ul dinamic ajută doar în al doilea caz. Dă unei adrese publice schimbătoare un nume stabil la care să suni și nu poate crea o mapare pe care operatorul nu a furnizat-o niciodată. Merită totuși configurat pentru cazul public, pentru că elimină singurul pas manual dintr-o renumerotare. Ceea ce nu trebuie să devină este răspunsul pentru o sucursală pe care operatorul nu a făcut-o niciodată accesibilă.

Separă adresa la care suni de identitatea pe care o potrivești

Hub-ul are nevoie de ceva stabil la care să fie găsit, o adresă fixă aprobată sau un nume de gazdă întreținut. Sucursala are nevoie de o modalitate stabilă de a fi recunoscută, iar în IKEv2 aceea este încărcătura de identitate pe care o prezintă în timpul autentificării, independent de adresa sursă pe care o poartă pachetele sale. Un șir precum @branch-a.vpn.example funcționează ca acea identitate chiar și când adresa mobilă se schimbă în fiecare oră.

Acest șir este potrivit cu politica, nu rezolvat prin DNS, așa că nu te aștepta la o căutare la configurarea tunelului. Configurația hub-ului trebuie să numească explicit identitatea așteptată, iar la autentificarea cu certificat identitatea trebuie să corespundă și cu ceea ce certificatul afirmă de fapt.

Acceptarea oricărei identități pentru că adresa sursă pare plauzibilă este modul de eșec de evitat. Pe un responder asta înseamnă să accepți orice partener, cu un wildcard de identitate și un secret partajat, ceea ce autentifică un șir și nu un dispozitiv.

Scrie partea hub-ului ca partener numit

În termenii strongSwan, partea de responder este o conexiune cu right=%any, care acceptă un partener de la orice adresă sursă, plus [email protected], care fixează ce trebuie să declare că este acel partener. Adaugă rightsubnet=10.20.0.0/16 pentru LAN-urile sucursalei, auto=add ca conexiunea să fie încărcată fără a fi apelată, dpd_delay=30s pentru vitalitate și mobike=yes ca o schimbare de adresă să fie absorbită în loc să fie tratată ca un partener nou.

Alți furnizori exprimă aceleași obiecte sub alte nume, de obicei un tip de partener dinamic sau de sucursală cu un câmp de identitate și un câmp de subrețea protejată. Completează-le pe amândouă; o bifă generică de dinamic nu este un plan de compatibilitate.

Păstrează sucursala ca inițiator

La sucursală se aplică imaginea în oglindă: left=%defaultroute ca adresa mobilă locală să fie folosită așa cum este acum, [email protected] pentru a prezenta identitatea, right=hub.example.com pentru numele stabil al hub-ului și auto=start ca tunelul să urce fără un om. Când legătura mobilă se reconectează, sucursala reinițiază și hub-ul potrivește aceeași identitate cu același obiect de politică.

Permite IKE pe UDP 500, traversarea NAT pe UDP 4500 și ESP-ul încapsulat care urmează, pe ambele părți. Apoi lasă-le permise: o regulă care se deschide doar în timpul programului va arăta ca un tunel intermitent.

Testează schimbarea adresei, nu doar prima strângere de mână

Ridică tunelul, confirmă-l, apoi forțează sucursala pe o adresă nouă comutând datele mobile sau modul avion timp de un minut. Urmărește lista asocierilor de securitate de pe hub și verifică faptul că adresa partenerului s-a schimbat în timp ce identitatea nu. Un tunel care funcționează doar până la prima realocare a operatorului nu a fost deloc testat.

Apoi verifică subrețelele protejate separat. O SA stabilită spune că partenerii s-au autentificat; nu spune că hub-ul are o rută către LAN-ul sucursalei sau că sucursala acceptă trafic din partea hub-ului. Citește tabelul de rutare și politica firewall-ului separat, apoi trimite un ping dintr-o gazdă și nu din gateway, fiindcă gateway-ul este cel mai puțin reprezentativ dispozitiv din orice rețea.

O identitate stabilă transformă sucursala într-un obiect de politică pe care hub-ul îl poate numi. Nu face o adresă NAT de operator accesibilă și nu oferă de la sine restului organizației acces la sucursală.