VPN ya tawi kwenye 4G: weka utambulisho thabiti anwani ya IP inapobadilika

Anza na tawi lenyewe, kwenye ukurasa wa hali ya WAN wa router ya 4G. Ikiwa anwani unayoona iko katika safu ya faragha ya mtoa huduma badala ya ile ya umma, hakuna uelekezaji wa lango kwenye kifaa hicho utakalowahi kuruhusu hub kupiga simu ndani, na handaki lazima lijengwe kuelekea nje kutoka kwenye tawi. Uchunguzi huo mmoja huamua muundo. Kazi iliyobaki ni kuhakikisha hub inatambua tawi kwa kitu bora kuliko anwani inayobadilika kila baada ya saa chache.

Handaki lazima lianzie wapi

Angalia anwani dhidi ya nafasi ya anwani inayoshirikiwa ambayo watoa huduma hutumia kwa NAT yao wenyewe, 100.64.0.0/10, na dhidi ya safu za faragha za kawaida. Kuona moja wapo kwenye kiungo cha mkononi kwa kawaida humaanisha kuwa NAT ya ngazi ya mtoa huduma iko kati ya tawi na intaneti, na miunganisho inayoingia haipatikani kwa bei yoyote ambayo tawi linaweza kulipa. Wakati anwani ya WAN ni ya umma lakini inabadilika, una tatizo lingine, jepesi zaidi.

DNS inayobadilika husaidia tu katika kisa cha pili. Inatoa anwani ya umma inayobadilika jina thabiti la kupiga, na haiwezi kuunda ramani ambayo mtoa huduma hakuwahi kutoa. Bado inafaa kuisanidi kwa kisa cha umma, kwa sababu inaondoa hatua moja ya mkono katika uandikaji upya wa namba. Kile ambacho haipaswi kuwa ni jibu kwa tawi ambalo mtoa huduma hakuwahi kulifanya lifikike.

Tenganisha anwani unayopiga na utambulisho unaolinganisha

Hub inahitaji kitu thabiti cha kupatikana kwake, anwani maalum iliyoidhinishwa au jina la mwenyeji linalotunzwa. Tawi linahitaji njia thabiti ya kutambulika, na katika IKEv2 hiyo ni mzigo wa utambulisho unaowasilisha wakati wa uthibitishaji, bila kujali anwani chanzo ambayo pakiti zake hubeba kwa bahati. Mfuatano kama @branch-a.vpn.example hufanya kazi kama utambulisho huo hata anwani ya mkononi inapobadilika kila saa.

Mfuatano huo hulinganishwa na sera, hautatuliwi kupitia DNS, kwa hivyo usitarajie utafutaji wakati wa kuweka handaki. Usanidi wa hub lazima utaje utambulisho unaotarajiwa kwa uwazi, na kwa uthibitishaji wa cheti utambulisho lazima pia ulingane na kile ambacho cheti kinadai kwa kweli.

Kukubali utambulisho wowote kwa sababu anwani chanzo inaonekana kuaminika ni hali ya kushindwa inayopaswa kuepukwa. Kwa upande wa anayejibu hiyo inamaanisha kukubali mwenza yeyote, na kadi ya mwitu ya utambulisho na siri inayoshirikiwa, ambayo huthibitisha mfuatano badala ya kifaa.

Andika upande wa hub kama mwenza aliyetajwa

Kwa istilahi za strongSwan upande wa anayejibu ni muunganisho wenye right=%any, ambao hukubali mwenza kutoka anwani yoyote ya chanzo, pamoja na [email protected], ambao hubainisha kile ambacho mwenza huyo lazima adai kuwa. Ongeza rightsubnet=10.20.0.0/16 kwa LAN za tawi, auto=add ili muunganisho upakiwe bila kupigwa, dpd_delay=30s kwa uhai, na mobike=yes ili mabadiliko ya anwani yanyonywe badala ya kuchukuliwa kama mwenza mpya.

Wazalishaji wengine hueleza vitu hivyo hivyo chini ya majina tofauti, kwa kawaida aina ya mwenza inayobadilika au ofisi ya tawi yenye uwanja wa utambulisho na uwanja wa subnet iliyolindwa. Jaza zote mbili; kisanduku cha kawaida cha kuteua kinachobadilika si mpango wa uoanifu.

Weka tawi kama mwanzilishi

Kwenye tawi picha ya kioo inatumika: left=%defaultroute ili anwani ya mkononi ya ndani itumike kama ilivyo sasa, [email protected] kuwasilisha utambulisho, right=hub.example.com kwa jina thabiti la hub, na auto=start ili handaki lipande bila mtu. Kiungo cha mkononi kinapoungana tena, tawi huanzisha tena na hub hulinganisha utambulisho huo huo na kitu hicho cha sera.

Ruhusu IKE kwenye UDP 500, upitaji wa NAT kwenye UDP 4500, na ESP iliyofungwa inayofuata, pande zote mbili. Kisha ziache zimeruhusiwa: kanuni inayofunguka tu wakati wa saa za kazi itaonekana kama handaki linalokatika.

Jaribu mabadiliko ya anwani, sio tu kupeana mkono kwa mara ya kwanza

Inua handaki, lithibitishe, kisha kulazimisha tawi kwenye anwani mpya kwa kuwasha na kuzima data ya mkononi au hali ya ndege kwa dakika moja. Tazama orodha ya vyama vya usalama kwenye hub na uangalie kwamba anwani ya mwenza ilibadilika wakati utambulisho haukubadilika. Handaki linalofanya kazi tu hadi ugawaji upya wa kwanza wa mtoa huduma halijajaribiwa kabisa.

Kisha angalia subnet zilizolindwa kivyake. SA iliyoanzishwa inasema wenza walithibitishwa; haisemi kuwa hub ina njia kuelekea LAN ya tawi au kwamba tawi linakubali trafiki kutoka upande wa hub. Soma jedwali la uelekezaji na sera ya ukuta wa moto kivyake, kisha tuma ping kutoka kwa mwenyeji badala ya kutoka kwa lango, kwa sababu lango ni kifaa kisichowakilisha zaidi katika mtandao wowote.

Utambulisho thabiti hubadilisha tawi kuwa kitu cha sera ambacho hub inaweza kukitaja. Haifanyi anwani ya NAT ya mtoa huduma kufikika, na yenyewe haitoi sehemu nyingine ya shirika ufikiaji wa tawi.