4G இல் கிளை VPN: IP நகரும் போது அடையாளத்தை நிலையாக வைத்திருங்கள்

கிளையிலிருந்தே தொடங்குங்கள், 4G ரவுட்டரின் WAN நிலைப் பக்கத்தில். நீங்கள் காணும் முகவரி பொது வரம்புக்கு பதிலாக இயக்குபவரின் தனிப்பட்ட வரம்பில் இருந்தால், அந்த சாதனத்தில் எந்தப் போர்ட் ஃபார்வேர்டிங்கும் ஹப்பை உள்ளே அழைக்க ஒருபோதும் அனுமதிக்காது, மேலும் சுரங்கப்பாதையை கிளையிலிருந்து வெளிப்புறமாகக் கட்ட வேண்டும். அந்த ஒரு கவனிப்பே வடிவமைப்பை தீர்மானிக்கிறது. மீதமுள்ள வேலை, ஒவ்வொரு சில மணி நேரத்திற்கும் மாறும் முகவரியை விட சிறந்த ஒன்றால் ஹப் கிளையை அடையாளம் காண்பதை உறுதி செய்வதாகும்.

சுரங்கப்பாதை எங்கிருந்து தொடங்க வேண்டும்

முகவரியை இயக்குபவர்கள் தங்கள் NAT க்கு பயன்படுத்தும் பகிரப்பட்ட முகவரி இடைவெளி, 100.64.0.0/10, மற்றும் வழக்கமான தனிப்பட்ட வரம்புகளுடன் சரிபார்க்கவும். மொபைல் இணைப்பில் அவற்றில் ஒன்றைப் பார்ப்பது பொதுவாக இயக்குபவர் நிலை NAT கிளைக்கும் இணையத்திற்கும் இடையே உள்ளது என்றும், உள்வரும் இணைப்புகள் கிளை செலுத்தக்கூடிய எந்த விலையிலும் கிடைக்காது என்றும் பொருள். WAN முகவரி பொதுவானது ஆனால் மாறினால், உங்களுக்கு இன்னொரு, எளிதான பிரச்சினை உள்ளது.

மாறும் DNS இரண்டாவது வழக்கில் மட்டுமே உதவுகிறது. மாறும் பொது முகவரிக்கு அழைக்க நிலையான பெயரைக் கொடுக்கிறது, மேலும் இயக்குபவர் ஒருபோதும் வழங்காத மேப்பிங்கை உருவாக்க முடியாது. பொது வழக்கிற்கு அதை உள்ளமைப்பது இருந்தாலும் மதிப்புள்ளது, ஏனெனில் மறுஎண்ணிடலில் ஒரே கைமுறை படிநிலையை அது நீக்குகிறது. அது ஆகக்கூடாதது, இயக்குபவர் ஒருபோதும் அணுகக்கூடியதாக்காத கிளைக்கான பதிலாக இருப்பதே.

நீங்கள் அழைக்கும் முகவரியையும் நீங்கள் பொருத்தும் அடையாளத்தையும் பிரிக்கவும்

ஹப்பிற்கு கண்டுபிடிக்கக்கூடிய நிலையான ஒன்று தேவை: அங்கீகரிக்கப்பட்ட நிலையான முகவரி அல்லது பராமரிக்கப்படும் ஹோஸ்ட்பெயர். கிளைக்கு அடையாளம் காணப்பட நிலையான வழி தேவை, IKEv2 இல் அது அங்கீகாரத்தின் போது அது வழங்கும் அடையாள பேலோட் ஆகும், அதன் பாக்கெட்டுகள் தற்செயலாக எடுத்துச் செல்லும் மூல முகவரியிலிருந்து சுயாதீனம். @branch-a.vpn.example போன்ற ஒரு சரம் மொபைல் முகவரி ஒவ்வொரு மணி நேரமும் மாறினாலும் அந்த அடையாளமாக செயல்படுகிறது.

அந்த சரம் கொள்கையுடன் பொருத்தப்படுகிறது, DNS மூலம் தீர்க்கப்படுவதில்லை, எனவே சுரங்கப்பாதை அமைப்பின் போது தேடல் நடக்கும் என்று எதிர்பார்க்க வேண்டாம். ஹப்பின் உள்ளமைவு எதிர்பார்க்கப்படும் அடையாளத்தை வெளிப்படையாக பெயரிட வேண்டும், சான்றிதழ் அங்கீகாரத்துடன் அடையாளம் சான்றிதழ் உண்மையில் கூறுவதற்கும் பொருந்த வேண்டும்.

மூல முகவரி நம்பத்தகுந்ததாகத் தெரிகிறது என்பதால் எந்த அடையாளத்தையும் ஏற்பது தவிர்க்க வேண்டிய தோல்வி முறையாகும். பதிலளிப்பவரில் அதன் பொருள் அடையாள வைல்ட்கார்டு மற்றும் பகிரப்பட்ட ரகசியத்துடன் எந்த சகாவையும் ஏற்பதாகும், அது சாதனத்தை அல்ல, சரத்தை அங்கீகரிக்கிறது.

ஹப் பக்கத்தை பெயரிடப்பட்ட சகாவாக எழுதுங்கள்

strongSwan சொற்களில் பதிலளிப்பவர் பக்கம் right=%any கொண்ட இணைப்பு ஆகும், அது எந்த மூல முகவரியிலிருந்தும் சகாவை ஏற்கிறது, மேலும் [email protected], அது அந்த சகா தன்னை எதுவென்று கூற வேண்டும் என்பதைப் பின் செய்கிறது. கிளையின் LAN களுக்கு rightsubnet=10.20.0.0/16, இணைப்பு அழைக்கப்படாமல் ஏற்றப்பட auto=add, உயிர்ப்புக்கு dpd_delay=30s, மற்றும் முகவரி மாற்றம் புதிய சகாவாக கருதப்படாமல் உள்வாங்கப்பட mobike=yes சேர்க்கவும்.

மற்ற உற்பத்தியாளர்கள் அதே பொருட்களை வேறு பெயர்களில் வெளிப்படுத்துகிறார்கள், பொதுவாக அடையாள புலம் மற்றும் பாதுகாக்கப்பட்ட துணை வலையம் புலம் கொண்ட மாறும் அல்லது கிளை அலுவலக சகா வகை. இரண்டையும் நிரப்புங்கள்; பொதுவான மாறும் தேர்வுப்பெட்டி இணக்கத் திட்டம் அல்ல.

கிளையைத் தொடங்குபவராக வைத்திருங்கள்

கிளையில் கண்ணாடிப் பிம்பம் பொருந்தும்: உள்ளூர் மொபைல் முகவரி இப்போது இருப்பதுபோலவே பயன்படுத்த left=%defaultroute, அடையாளத்தை வழங்க [email protected], நிலையான ஹப் பெயருக்கு right=hub.example.com, மனிதர் இல்லாமல் சுரங்கப்பாதை எழ auto=start. மொபைல் இணைப்பு மீண்டும் இணையும்போது, கிளை மீண்டும் தொடங்குகிறது, ஹப் அதே அடையாளத்தை அதே கொள்கைப் பொருளுடன் பொருத்துகிறது.

இரு பக்கங்களிலும் UDP 500 இல் IKE, UDP 4500 இல் NAT கடத்தல், மற்றும் அதைத் தொடரும் மூடப்பட்ட ESP ஆகியவற்றை அனுமதிக்கவும். பின்னர் அவற்றை அனுமதிக்கப்பட்டதாகவே விடுங்கள்: அலுவலக நேரத்தில் மட்டும் திறக்கும் விதி இடைவிடாமல் அறுபடும் சுரங்கப்பாதையாகத் தெரியும்.

முகவரி மாற்றத்தைச் சோதியுங்கள், முதல் கைக்குலுக்கலை மட்டும் அல்ல

சுரங்கப்பாதையை மேலே கொண்டு வாருங்கள், உறுதிப்படுத்துங்கள், பின்னர் ஒரு நிமிடம் மொபைல் தரவு அல்லது விமானப் பயன்முறையை மாற்றி கிளையை புதிய முகவரிக்கு கட்டாயப்படுத்துங்கள். ஹப்பில் உள்ள பாதுகாப்பு இணைப்புப் பட்டியலைக் கவனித்து, சகா முகவரி மாறியது ஆனால் அடையாளம் மாறவில்லை என்பதைச் சரிபார்க்கவும். இயக்குபவரின் முதல் மறுஒதுக்கீடு வரை மட்டுமே செயல்படும் சுரங்கப்பாதை சோதிக்கப்படவே இல்லை.

பின்னர் பாதுகாக்கப்பட்ட துணை வலையங்களைத் தனித்தனியாகச் சரிபார்க்கவும். நிறுவப்பட்ட SA சகாக்கள் அங்கீகரிக்கப்பட்டன என்று கூறுகிறது; ஹப்பிற்கு கிளையின் LAN க்கு வழி உள்ளது அல்லது கிளை ஹப் பக்கத்திலிருந்து போக்குவரத்தை ஏற்கிறது என்று கூறவில்லை. ரூட்டிங் அட்டவணையையும் ஃபயர்வால் கொள்கையையும் தனித்தனியாகப் படியுங்கள், பின்னர் கேட்வேயிலிருந்து அல்ல, ஹோஸ்ட்டிலிருந்து ping அனுப்புங்கள், ஏனெனில் கேட்வே எந்த நெட்வொர்க்கிலும் மிகக் குறைந்த பிரதிநிதித்துவ சாதனம்.

நிலையான அடையாளம் கிளையை ஹப் பெயரிடக்கூடிய கொள்கைப் பொருளாக மாற்றுகிறது. அது இயக்குபவர் NAT முகவரியை அணுகக்கூடியதாக்காது, மேலும் அது தானாகவே அமைப்பின் மற்ற பகுதிக்கு கிளைக்கு அணுகலை வழங்காது.