VPN pobočky cez 4G: udržte identitu stabilnú, keď sa IP mení

Začnite pri samotnej pobočke, na stránke stavu WAN routera 4G. Ak adresa, ktorú vidíte, leží v súkromnom rozsahu operátora namiesto verejného, žiadne presmerovanie portu na tom zariadení nikdy nedovolí hubu zavolať dovnútra a tunel sa musí stavať smerom von z pobočky. Toto jediné pozorovanie rozhoduje o návrhu. Zvyšok práce je zabezpečiť, aby hub rozpoznal pobočku podľa niečoho lepšieho než adresa, ktorá sa mení každých pár hodín.

Kde musí tunel začínať

Skontrolujte adresu proti zdieľanému adresnému priestoru, ktorý operátori používajú pre svoj vlastný NAT, 100.64.0.0/10, a proti bežným súkromným rozsahom. Ak na mobilnom uplinku vidíte jeden z nich, zvyčajne to znamená, že medzi pobočkou a internetom stojí NAT na úrovni operátora a prichádzajúce spojenia nie sú dostupné za žiadnu cenu, ktorú pobočka môže zaplatiť. Keď je adresa WAN verejná, ale mení sa, máte iný, ľahší problém.

Dynamický DNS pomáha len v druhom prípade. Dáva meniacej sa verejnej adrese stabilné meno, na ktoré sa dá volať, a nemôže vytvoriť mapovanie, ktoré operátor nikdy neposkytol. Aj tak sa ho pre verejný prípad oplatí nastaviť, pretože odstraňuje jediný ručný krok pri prečíslovaní. Čím sa nesmie stať, je odpoveď pre pobočku, ktorú operátor nikdy neučinil dostupnou.

Oddeľte adresu, na ktorú voláte, od identity, ktorú porovnávate

Hub potrebuje niečo stabilné, na čom ho možno nájsť: schválenú pevnú adresu alebo udržiavané meno hostiteľa. Pobočka potrebuje stabilný spôsob, ako byť rozpoznaná, a v IKEv2 je to identitné užitočné zaťaženie, ktoré predkladá pri autentizácii, nezávisle od zdrojovej adresy, ktorú jej pakety práve nesú. Reťazec ako @branch-a.vpn.example funguje ako táto identita, aj keď sa mobilná adresa mení každú hodinu.

Tento reťazec sa porovnáva s politikou, nerieši sa cez DNS, takže pri zostavovaní tunela nečakajte vyhľadávanie. Konfigurácia hubu musí očakávanú identitu výslovne pomenovať a pri autentizácii certifikátom sa identita musí zhodovať aj s tým, čo certifikát skutočne tvrdí.

Prijímať akúkoľvek identitu preto, že zdrojová adresa vyzerá vierohodne, je režim zlyhania, ktorému sa treba vyhnúť. Na strane respondéra to znamená prijímať akéhokoľvek partnera, so zástupným znakom identity a zdieľaným tajomstvom, čo autentizuje reťazec, nie zariadenie.

Napíšte stranu hubu ako pomenovaného partnera

V terminológii strongSwan je strana respondéra spojenie s right=%any, ktoré prijíma partnera z akejkoľvek zdrojovej adresy, plus [email protected], ktoré pripína, kým sa tento partner musí vyhlasovať. Pridajte rightsubnet=10.20.0.0/16 pre LAN pobočky, auto=add aby sa spojenie načítalo bez volania, dpd_delay=30s pre životnosť a mobike=yes aby sa zmena adresy vstrebala namiesto toho, aby sa považovala za nového partnera.

Iní výrobcovia vyjadrujú tie isté objekty pod inými názvami, zvyčajne typ dynamického partnera alebo partnera pobočky s poľom identity a poľom chránenej podsiete. Vyplňte oboje; všeobecné zaškrtávacie políčko dynamickosti nie je plán kompatibility.

Nechajte pobočku ako iniciátora

Na pobočke platí zrkadlový obraz: left=%defaultroute aby sa použila miestna mobilná adresa tak, ako práve je, [email protected] na predloženie identity, right=hub.example.com pre stabilné meno hubu a auto=start aby tunel vstal bez človeka. Keď sa mobilné spojenie znovu pripojí, pobočka znova iniciuje a hub porovná rovnakú identitu s rovnakým objektom politiky.

Povoľte IKE na UDP 500, prechod NAT na UDP 4500 a zapuzdrené ESP, ktoré nasleduje, na oboch stranách. Potom ich nechajte povolené: pravidlo, ktoré sa otvára len v pracovnom čase, bude vyzerať ako prerušovaný tunel.

Otestujte zmenu adresy, nielen prvý handshake

Zdvihnite tunel, potvrďte ho, potom prinúťte pobočku na novú adresu prepnutím mobilných dát alebo režimu lietadla na minútu. Sledujte zoznam bezpečnostných asociácií na hube a skontrolujte, že adresa partnera sa zmenila, zatiaľ čo identita nie. Tunel, ktorý funguje len do prvého prepridelenia operátorom, nie je vôbec otestovaný.

Potom skontrolujte chránené podsiete oddelene. Nadviazaná SA hovorí, že partneri sa autentizovali; nehovorí, že hub má trasu do LAN pobočky alebo že pobočka prijíma prevádzku zo strany hubu. Prečítajte si smerovaciu tabuľku a politiku firewallu oddelene, potom pošlite ping z hostiteľa, nie z brány, pretože brána je najmenej reprezentatívne zariadenie v každej sieti.

Stabilná identita mení pobočku na objekt politiky, ktorý hub môže pomenovať. Nesprístupňuje adresu operátorského NATu a sama o sebe nedáva zvyšku organizácie prístup k pobočke.