Podružnički VPN na 4G: zadržite identitet stabilnim kad se IP promijeni

Počnite od same podružnice, na stranici WAN statusa 4G rutera. Ako adresa koju vidite leži u privatnom rasponu operatera, a ne u javnom, nijedno prosljeđivanje porta na tom uređaju nikada neće dopustiti hubu da se javi prema unutra, a tunel se mora graditi prema van iz podružnice. To jedno zapažanje odlučuje dizajn. Ostatak posla je osigurati da hub prepozna podružnicu po nečemu boljem od adrese koja se mijenja svakih nekoliko sati.

Gdje tunel mora početi

Provjerite adresu prema zajedničkom adresnom prostoru koji operateri koriste za vlastiti NAT, 100.64.0.0/10, i prema uobičajenim privatnim rasponima. Ako na mobilnom uplinku vidite jedan od njih, to obično znači da NAT na razini operatera stoji između podružnice i interneta, a dolazne veze nisu dostupne ni po kojoj cijeni koju podružnica može platiti. Kad je WAN adresa javna ali promjenjiva, imate drugi, lakši problem.

Dinamički DNS pomaže samo u drugom slučaju. Daje promjenjivoj javnoj adresi stabilno ime za biranje i ne može stvoriti mapiranje koje operater nikada nije dao. Ipak ga vrijedi konfigurirati za javni slučaj, jer uklanja jedini ručni korak pri prenumeraciji. Ono što ne smije postati jest odgovor za podružnicu koju operater nikada nije učinio dostupnom.

Odvojite adresu koju birate od identiteta koji uspoređujete

Hubu treba stabilna stvar na kojoj se može naći, odobrena fiksna adresa ili održavano ime hosta. Podružnici treba stabilan način da bude prepoznata, a u IKEv2 to je korisni teret identiteta koji predstavlja tijekom autentikacije, neovisno o izvornoj adresi koju njegovi paketi slučajno nose. Niz poput @branch-a.vpn.example radi kao taj identitet čak i dok se mobilna adresa mijenja svakog sata.

Taj se niz uspoređuje s politikom, a ne razrješava kroz DNS, pa ne očekujte pretragu pri postavljanju tunela. Konfiguracija huba mora izričito navesti očekivani identitet, a kod autentikacije certifikatom identitet se mora podudarati i s onim što certifikat stvarno tvrdi.

Prihvaćanje bilo kojeg identiteta jer izvorna adresa izgleda uvjerljivo način je kvara koji treba izbjegavati. Na strani odgovarača to znači prihvaćanje bilo kojeg partnera, s divljim znakom identiteta i zajedničkom tajnom, što autentificira niz, a ne uređaj.

Napišite stranu huba kao imenovanog partnera

U terminima strongSwan strana odgovarača je veza s right=%any, koja prihvaća partnera s bilo koje izvorne adrese, plus [email protected], koja prikvačuje kime se taj partner mora predstaviti. Dodajte rightsubnet=10.20.0.0/16 za LAN-ove podružnice, auto=add da se veza učita bez biranja, dpd_delay=30s za živost i mobike=yes da se promjena adrese može upiti umjesto tretirati kao novi partner.

Drugi proizvođači izražavaju iste objekte pod različitim imenima, obično tip dinamičkog partnera ili partnera podružnice s poljem identiteta i poljem zaštićene podmreže. Ispunite oboje; generička kvačica za dinamičko nije plan kompatibilnosti.

Zadržite podružnicu kao inicijatora

Na podružnici vrijedi zrcalna slika: left=%defaultroute da se lokalna mobilna adresa koristi kakva trenutačno jest, [email protected] za predstavljanje identiteta, right=hub.example.com za stabilno ime huba i auto=start da se tunel podigne bez čovjeka. Kad se mobilna veza ponovno spoji, podružnica ponovno inicira, a hub uspoređuje isti identitet s istim objektom politike.

Dopustite IKE na UDP 500, prolaz kroz NAT na UDP 4500 i inkapsulirani ESP koji slijedi, na obje strane. Zatim ih ostavite dopuštenima: pravilo koje se otvara samo tijekom radnog vremena izgledat će kao isprekidan tunel.

Testirajte promjenu adrese, ne samo prvo rukovanje

Podignite tunel, potvrdite ga, zatim prisilite podružnicu na novu adresu uključivanjem i isključivanjem mobilnih podataka ili načina rada u zrakoplovu na minutu. Promatrajte popis sigurnosnih asocijacija na hubu i provjerite da se adresa partnera promijenila, a identitet nije. Tunel koji radi samo do prvog operaterova preraspoređivanja nije uopće testiran.

Zatim provjerite zaštićene podmreže odvojeno. Uspostavljena SA kaže da su se partneri autentificirali; ne kaže da hub ima rutu do LAN-a podružnice ili da podružnica prihvaća promet sa strane huba. Pročitajte tablicu usmjeravanja i politiku vatrozida odvojeno, pa pošaljite ping s hosta, a ne s pristupnika, jer je pristupnik najmanje reprezentativan uređaj na svakoj mreži.

Stabilan identitet pretvara podružnicu u objekt politike koji hub može imenovati. Ne čini adresu operaterova NAT-a dostupnom i samo po sebi ne daje ostatku organizacije pristup podružnici.