VPN podružnice prek 4G: ohranite identiteto stabilno, ko se IP premakne

Začnite pri sami podružnici, na strani stanja WAN usmerjevalnika 4G. Če je naslov, ki ga vidite, v zasebnem obsegu operaterja in ne v javnem, nobeno posredovanje vrat na tej napravi ne bo nikoli dovolilo zvezdišču, da pokliče navznoter, in tunel je treba zgraditi navzven iz podružnice. To eno opažanje odloči zasnovo. Preostalo delo je zagotoviti, da zvezdišče prepozna podružnico po nečem boljšem kot naslov, ki se spremeni vsakih nekaj ur.

Kje se mora tunel začeti

Preverite naslov glede na skupni naslovni prostor, ki ga operaterji uporabljajo za svoj NAT, 100.64.0.0/10, in glede na običajne zasebne obsege. Če na mobilnem uplinku vidite enega od njih, to običajno pomeni, da NAT na ravni operaterja stoji med podružnico in internetom, dohodne povezave pa niso na voljo za nobeno ceno, ki jo podružnica lahko plača. Ko je naslov WAN javen, a se spreminja, imate drugo, lažjo težavo.

Dinamični DNS pomaga le v drugem primeru. Spreminjajočemu se javnemu naslovu da stabilno ime za klicanje in ne more ustvariti preslikave, ki je operater ni nikoli zagotovil. Za javni primer ga je vseeno vredno nastaviti, ker odstrani edini ročni korak pri preštevilčenju. Kar pa ne sme postati, je odgovor za podružnico, ki je operater ni nikoli naredil dosegljive.

Ločite naslov, ki ga kličete, od identitete, ki jo ujemate

Zvezdišče potrebuje nekaj stabilnega, kjer ga je mogoče najti: odobren fiksni naslov ali vzdrževano ime gostitelja. Podružnica potrebuje stabilen način, da je prepoznana, in v IKEv2 je to identitetna koristna obremenitev, ki jo predstavi med overjanjem, neodvisno od izvornega naslova, ki ga njeni paketi slučajno nosijo. Niz, kot je @branch-a.vpn.example, deluje kot ta identiteta tudi, ko se mobilni naslov spremeni vsako uro.

Ta niz se ujema s politiko, ne razrešuje se prek DNS, zato pri postavljanju tunela ne pričakujte iskanja. Konfiguracija zvezdišča mora izrecno navesti pričakovano identiteto, pri overjanju s potrdilom pa se mora identiteta ujemati tudi s tem, kar potrdilo dejansko zatrjuje.

Sprejemanje katere koli identitete, ker je izvorni naslov videti verodostojen, je način odpovedi, ki se mu je treba izogniti. Na strani odzivnika to pomeni sprejemanje katerega koli partnerja, z nadomestnim znakom identitete in skupno skrivnostjo, kar overi niz in ne naprave.

Zapišite stran zvezdišča kot imenovanega partnerja

V terminologiji strongSwan je stran odzivnika povezava z right=%any, ki sprejme partnerja iz katerega koli izvornega naslova, plus [email protected], ki pripne, kot kaj se mora ta partner predstaviti. Dodajte rightsubnet=10.20.0.0/16 za LAN podružnice, auto=add da se povezava naloži brez klicanja, dpd_delay=30s za živahnost in mobike=yes da se sprememba naslova absorbira, namesto da bi se obravnavala kot nov partner.

Drugi proizvajalci izražajo iste objekte pod drugimi imeni, običajno tip dinamičnega partnerja ali partnerja podružnice s poljem identitete in poljem zaščitene podmreže. Izpolnite oba; splošno potrditveno polje za dinamično ni načrt združljivosti.

Ohranite podružnico kot pobudnika

Na podružnici velja zrcalna slika: left=%defaultroute da se lokalni mobilni naslov uporabi tak, kot je zdaj, [email protected] za predstavitev identitete, right=hub.example.com za stabilno ime zvezdišča in auto=start da se tunel dvigne brez človeka. Ko se mobilna povezava znova poveže, podružnica znova začne in zvezdišče ujame isto identiteto z istim objektom politike.

Dovolite IKE na UDP 500, prehod NAT na UDP 4500 in zapakirani ESP, ki sledi, na obeh straneh. Nato jih pustite dovoljene: pravilo, ki se odpre le med delovnim časom, bo videti kot prekinjen tunel.

Preizkusite spremembo naslova, ne le prvega rokovanja

Dvignite tunel, potrdite ga, nato za minuto prisilite podružnico na nov naslov s preklapljanjem mobilnih podatkov ali letalskega načina. Opazujte seznam varnostnih združitev na zvezdišču in preverite, da se je naslov partnerja spremenil, identiteta pa ne. Tunel, ki deluje le do prve operaterjeve prerazporeditve, sploh ni preizkušen.

Nato preverite zaščitene podmreže ločeno. Vzpostavljena SA pravi, da so se partnerji overili; ne pravi, da ima zvezdišče pot do LAN podružnice ali da podružnica sprejema promet s strani zvezdišča. Preberite usmerjevalno tabelo in politiko požarnega zidu ločeno, nato pošljite ping z gostitelja in ne iz prehoda, ker je prehod najmanj reprezentativna naprava v vsakem omrežju.

Stabilna identiteta spremeni podružnico v objekt politike, ki ga zvezdišče lahko imenuje. Ne naredi naslova NAT operaterja dosegljivega in sama po sebi ne da preostanku organizacije dostopa do podružnice.