VPN огранка преко 4G: сачувајте идентитет стабилним када се IP промени

Почните од самог огранка, на страници WAN статуса 4G рутера. Ако адреса коју видите лежи у приватном опсегу оператера, а не у јавном, ниједно прослеђивање порта на том уређају никада неће дозволити чворишту да позове унутра, и тунел мора да се гради напоље од огранка. То једно запажање одређује пројекат. Остатак посла је да се осигура да чвориште препознаје огранак по нечему бољем од адресе која се мења сваких неколико сати.

Одакле тунел мора да почне

Проверите адресу према заједничком адресном простору који оператери користе за сопствени NAT, 100.64.0.0/10, и према уобичајеним приватним опсезима. Када на мобилном каналу видите један од њих, то обично значи да NAT на нивоу оператера стоји између огранка и интернета, а долазне везе нису доступне ни по којој цени коју огранак може да плати. Када је WAN адреса јавна, али се мења, имате други, лакши проблем.

Динамички DNS помаже само у другом случају. Даје променљивој јавној адреси стабилно име за позив и не може да створи мапирање које оператер никада није пружио. Ипак га вреди конфигурисати за јавни случај, јер уклања једини ручни корак при пренумеравању. Оно у шта не сме да се претвори јесте одговор за огранак који оператер никада није учинио доступним.

Одвојите адресу на коју зовете од идентитета који упарујете

Чворишту је потребна стабилна ствар на којој се може наћи: одобрена фиксна адреса или одржавано име домаћина. Огранку је потребан стабилан начин да буде препознат, а у IKEv2 то је идентитетски терет који представља током аутентификације, независно од изворне адресе коју његови пакети случајно носе. Низ као @branch-a.vpn.example функционише као тај идентитет чак и када се мобилна адреса мења сваког сата.

Тај низ се упарује са политиком, а не решава преко DNS-а, зато не очекујте претрагу при постављању тунела. Конфигурација чворишта мора експлицитно да наведе очекивани идентитет, а при аутентификацији сертификатом идентитет мора да се поклопи и са оним што сертификат заиста тврди.

Прихватање било ког идентитета зато што изворна адреса изгледа уверљиво је режим отказа који треба избећи. На страни одговарача то значи прихватање било ког партнера, са џокером идентитета и заједничком тајном, што аутентификује низ, а не уређај.

Напишите страну чворишта као именованог партнера

У терминима strongSwan страна одговарача је веза са right=%any, која прихвата партнера са било које изворне адресе, плус [email protected], који закачиња како тај партнер мора да се представи. Додајте rightsubnet=10.20.0.0/16 за LAN-ове огранка, auto=add да се веза учита без позивања, dpd_delay=30s за животност и mobike=yes да се промена адресе апсорбује уместо да се третира као нови партнер.

Други произвођачи изражавају исте објекте под другим именима, обично тип динамичког партнера или партнера огранка са пољем идентитета и пољем заштићене подмреже. Попуните оба; општа динамичка кућица није план компатибилности.

Задржите огранак као иницијатора

На огранку важи огледална слика: left=%defaultroute да се локална мобилна адреса користи каква је сада, [email protected] за представљање идентитета, right=hub.example.com за стабилно име чворишта и auto=start да се тунел подигне без човека. Када се мобилна веза поново повеже, огранак поново иницира и чвориште упарује исти идентитет са истим објектом политике.

Дозволите IKE на UDP 500, пролаз кроз NAT на UDP 4500 и инкапсулирани ESP који следи, на обе стране. Затим их оставите дозвољеним: правило које се отвара само током радног времена изгледаће као прекинут тунел.

Тестирајте промену адресе, не само прво руковање

Подигните тунел, потврдите га, затим присилите огранак на нову адресу укључивањем и искључивањем мобилних података или авионског режима на минут. Посматрајте листу безбедносних асоцијација на чворишту и проверите да се адреса партнера променила, а идентитет није. Тунел који ради само до првог оператеровог прераспоређивања уопште није тестиран.

Затим проверите заштићене подмреже одвојено. Успостављена SA каже да су се партнери аутентификовали; не каже да чвориште има руту до LAN-а огранка или да огранак прихвата саобраћај са стране чворишта. Прочитајте табелу рутирања и политику заштитног зида одвојено, затим пошаљите ping са домаћина, а не са мрежног пролаза, јер је пролаз најмање репрезентативан уређај у свакој мрежи.

Стабилан идентитет претвара огранак у објекат политике који чвориште може да именује. Он не чини адресу оператеровог NAT-а достижном и сам по себи не даје остатку организације приступ огранку.