VPN e degës në 4G: mbaj identitetin të qëndrueshëm kur IP-ja lëviz

Filloni nga vetë dega, në faqen e statusit WAN të routerit 4G. Nëse adresa që shihni ndodhet në intervalin privat të operatorit dhe jo në një publik, asnjë përcjellje porti në atë pajisje nuk do ta lejojë hub-in të telefonojë nga brenda, dhe tuneli duhet ndërtuar nga dega drejt jashtë. Ai vëzhgim i vetëm vendos projektin. Pjesa tjetër e punës është të siguroheni që hub-i e njeh degën me diçka më të mirë se një adresë që ndryshon çdo disa orë.

Ku duhet të fillojë tuneli

Kontrolloni adresën kundrejt hapësirës së përbashkët të adresave që operatorët përdorin për NAT-in e tyre, 100.64.0.0/10, dhe kundrejt intervaleve private të zakonshme. Të shihni një prej tyre në një lidhje mobile zakonisht do të thotë që NAT-i në nivel operatori qëndron midis degës dhe internetit, dhe lidhjet hyrëse nuk ofrohen për asnjë çmim që dega mund të paguajë. Kur adresa WAN është publike por ndryshon, keni një problem tjetër, më të lehtë.

DNS dinamik ndihmon vetëm në rastin e dytë. I jep një adrese publike ndryshuese një emër të qëndrueshëm për t'u thirrur, dhe nuk mund të krijojë një hartëzim që operatori nuk e ka dhënë kurrë. Gjithsesi ia vlen ta konfiguroni për rastin publik, sepse eliminon hapin e vetëm manual në një rinumërim. Ajo që nuk duhet të bëhet është përgjigjja për një degë që operatori nuk e bëri kurrë të arritshme.

Ndani adresën që thirrni nga identiteti që përputhni

Hub-i ka nevojë për diçka të qëndrueshme ku të gjendet, një adresë fikse të miratuar ose një emër hosti të mirëmbajtur. Dega ka nevojë për një mënyrë të qëndrueshme për t'u njohur, dhe në IKEv2 ai është ngarkesa e identitetit që paraqet gjatë vërtetimit, pavarësisht nga adresa burimore që mbajnë paketat e saj. Një varg si @branch-a.vpn.example funksionon si ai identitet edhe kur adresa mobile ndryshon çdo orë.

Ai varg përputhet me politikën, nuk zgjidhet përmes DNS, prandaj mos prisni një kërkim gjatë vendosjes së tunelit. Konfigurimi i hub-it duhet të përmendë shprehimisht identitetin e pritur, dhe me vërtetim certifikate identiteti duhet të përputhet edhe me atë që certifikata pohon në të vërtetë.

Pranimi i çdo identiteti sepse adresa burimore duket e besueshme është mënyra e dështimit që duhet shmangur. Në anën e përgjigjësit kjo do të thotë të pranosh çdo partner, me një kartë të egër identiteti dhe një sekret të përbashkët, që vërteton një varg dhe jo një pajisje.

Shkruani anën e hub-it si partner të emërtuar

Në termat e strongSwan ana e përgjigjësit është një lidhje me right=%any, që pranon një partner nga çdo adresë burimore, plus [email protected], që fikson se çfarë duhet të deklarojë ai partner se është. Shtoni rightsubnet=10.20.0.0/16 për LAN-et e degës, auto=add që lidhja të ngarkohet pa u thirrur, dpd_delay=30s për gjallëri, dhe mobike=yes që një ndryshim adrese të absorbohet në vend që të trajtohet si partner i ri.

Prodhuesit e tjerë i shprehin të njëjtat objekte me emra të tjerë, zakonisht një lloj partneri dinamik ose zyre dege me një fushë identiteti dhe një fushë nënrrjeti të mbrojtur. Plotësoni të dyja; një kuti kontrolli e përgjithshme dinamike nuk është një plan përputhshmërie.

Mbajeni degën si iniciator

Në degë zbatohet imazhi pasqyrë: left=%defaultroute që adresa mobile lokale të përdoret siç është tani, [email protected] për të paraqitur identitetin, right=hub.example.com për emrin e qëndrueshëm të hub-it, dhe auto=start që tuneli të ngrihet pa një njeri. Kur lidhja mobile rilidhet, dega rinison dhe hub-i përputh të njëjtin identitet me të njëjtin objekt politike.

Lejoni IKE në UDP 500, kalimin e NAT në UDP 4500 dhe ESP-në e inkapsuluar që vjen pas, në të dyja anët. Pastaj lërini të lejuara: një rregull që hapet vetëm gjatë orarit të punës do të duket si një tunel me ndërprerje.

Testoni ndryshimin e adresës, jo vetëm shtrëngimin e parë të duarve

Ngrini tunelin, konfirmojeni, pastaj detyrojeni degën në një adresë të re duke ndezur dhe fikur të dhënat mobile ose modalitetin e aeroplanit për një minutë. Vëzhgoni listën e asociacioneve të sigurisë në hub dhe kontrolloni që adresa e partnerit ndryshoi ndërsa identiteti jo. Një tunel që funksionon vetëm deri në ricaktimin e parë nga operatori nuk është testuar fare.

Pastaj kontrolloni nënrrjetet e mbrojtura veçmas. Një SA e vendosur thotë që partnerët u vërtetuan; nuk thotë që hub-i ka një rrugë drejt LAN-it të degës ose që dega pranon trafik nga ana e hub-it. Lexoni tabelën e rrugëzimit dhe politikën e firewall-it veçmas, pastaj dërgoni një ping nga një host dhe jo nga porta hyrëse, sepse porta hyrëse është pajisja më pak përfaqësuese në çdo rrjet.

Një identitet i qëndrueshëm e kthen degën në një objekt politike që hub-i mund ta emërojë. Nuk e bën të arritshme një adresë NAT të operatorit dhe nuk i jep vetvetiu pjesës tjetër të organizatës akses në degë.