4G లో బ్రాంచ్ VPN: IP మారినప్పుడు గుర్తింపును స్థిరంగా ఉంచండి

బ్రాంచ్ నుండే ప్రారంభించండి, 4G రౌటర్ యొక్క WAN స్థితి పేజీలో. మీరు చూస్తున్న చిరునామా పబ్లిక్ పరిధికి బదులుగా ఆపరేటర్ యొక్క ప్రైవేట్ పరిధిలో ఉంటే, ఆ పరికరంలో ఏ పోర్ట్ ఫార్వార్డింగ్ కూడా హబ్ను లోపలికి డయల్ చేయనివ్వదు, మరియు టన్నెల్ బ్రాంచ్ నుండి బయటకు నిర్మించాలి. ఆ ఒక పరిశీలన డిజైన్ను నిర్ణయిస్తుంది. మిగిలిన పని, ప్రతి కొన్ని గంటలకు మారే చిరునామా కంటే మెరుగైన దేనితోనైనా హబ్ బ్రాంచ్ను గుర్తిస్తుందని నిర్ధారించడం.

టన్నెల్ ఎక్కడ నుండి ప్రారంభం కావాలి

చిరునామాను ఆపరేటర్లు తమ NAT కోసం ఉపయోగించే పంచుకున్న చిరునామా స్థలం, 100.64.0.0/10, మరియు సాధారణ ప్రైవేట్ పరిధులతో తనిఖీ చేయండి. మొబైల్ అప్లింక్లో వాటిలో ఒకటి కనిపిస్తే సాధారణంగా ఆపరేటర్ స్థాయి NAT బ్రాంచ్ మరియు ఇంటర్నెట్ మధ్య ఉందని, మరియు లోపలికి వచ్చే కనెక్షన్లు బ్రాంచ్ చెల్లించగల ఏ ధరకూ అందుబాటులో లేవని అర్థం. WAN చిరునామా పబ్లిక్ అయితే కానీ మారుతుంటే, మీకు మరో, సులభమైన సమస్య ఉంది.

డైనమిక్ DNS రెండవ సందర్భంలో మాత్రమే సహాయపడుతుంది. మారుతున్న పబ్లిక్ చిరునామాకు డయల్ చేయడానికి స్థిరమైన పేరును ఇస్తుంది, మరియు ఆపరేటర్ ఎప్పుడూ ఇవ్వని మ్యాపింగ్ను సృష్టించలేదు. పబ్లిక్ సందర్భానికి దాన్ని కాన్ఫిగర్ చేయడం ఇప్పటికీ విలువైనది, ఎందుకంటే తిరిగి సంఖ్యాకరణలో ఏకైక చేతితో చేసే దశను తొలగిస్తుంది. అది కాకూడనిది, ఆపరేటర్ ఎప్పుడూ చేరుకోగలిగేలా చేయని బ్రాంచ్కు సమాధానం కావడం.

మీరు డయల్ చేసే చిరునామాను మరియు మీరు సరిపోల్చే గుర్తింపును వేరు చేయండి

హబ్కు కనుగొనగలిగే స్థిరమైన వస్తువు కావాలి: ఆమోదించిన స్థిర చిరునామా లేదా నిర్వహించబడే హోస్ట్పేరు. బ్రాంచ్కు గుర్తించబడే స్థిరమైన మార్గం కావాలి, IKEv2లో అది ప్రామాణీకరణ సమయంలో అది ప్రదర్శించే గుర్తింపు పేలోడ్, దాని ప్యాకెట్లు యాదృచ్ఛికంగా మోసుకెళ్లే మూల చిరునామా నుండి స్వతంత్రం. @branch-a.vpn.example వంటి స్ట్రింగ్ మొబైల్ చిరునామా గంట గంటకూ మారినా ఆ గుర్తింపుగా పనిచేస్తుంది.

ఆ స్ట్రింగ్ విధానంతో సరిపోల్చబడుతుంది, DNS ద్వారా పరిష్కరించబడదు, కాబట్టి టన్నెల్ సెటప్లో లుకప్ జరుగుతుందని ఆశించవద్దు. హబ్ కాన్ఫిగరేషన్ ఆశించిన గుర్తింపును స్పష్టంగా పేర్కొనాలి, మరియు సర్టిఫికేట్ ప్రామాణీకరణతో గుర్తింపు సర్టిఫికేట్ నిజంగా చెప్పే దానితో కూడా సరిపోలాలి.

మూల చిరునామా నమ్మదగినదిగా కనిపిస్తుందని ఏ గుర్తింపునైనా అంగీకరించడం తప్పించుకోవాల్సిన వైఫల్య పద్ధతి. ప్రతిస్పందకుడిలో దాని అర్థం గుర్తింపు వైల్డ్కార్డ్ మరియు పంచుకున్న రహస్యంతో ఏ పీర్నైనా అంగీకరించడం, అది పరికరాన్ని కాదు, స్ట్రింగ్ను ప్రామాణీకరిస్తుంది.

హబ్ వైపును పేరున్న పీర్గా రాయండి

strongSwan పదాలలో ప్రతిస్పందకుడి వైపు right=%any ఉన్న కనెక్షన్, అది ఏ మూల చిరునామా నుండైనా పీర్ను అంగీకరిస్తుంది, అదనంగా [email protected], అది ఆ పీర్ తనను ఏమని ప్రకటించుకోవాలో పిన్ చేస్తుంది. బ్రాంచ్ LANల కోసం rightsubnet=10.20.0.0/16, కనెక్షన్ డయల్ లేకుండా లోడ్ కావడానికి auto=add, సజీవత్వం కోసం dpd_delay=30s, మరియు చిరునామా మార్పు కొత్త పీర్గా పరిగణించబడకుండా శోషించుకోవడానికి mobike=yes జోడించండి.

ఇతర తయారీదారులు అదే వస్తువులను వేరే పేర్లతో వ్యక్తపరుస్తారు, సాధారణంగా గుర్తింపు ఫీల్డ్ మరియు రక్షిత సబ్నెట్ ఫీల్డ్ ఉన్న డైనమిక్ లేదా బ్రాంచ్ ఆఫీస్ పీర్ రకం. రెండింటినీ నింపండి; సాధారణ డైనమిక్ చెక్బాక్స్ అనుకూలత ప్రణాళిక కాదు.

బ్రాంచ్ను ప్రారంభకుడిగా ఉంచండి

బ్రాంచ్లో అద్దం ప్రతిబింబం వర్తిస్తుంది: స్థానిక మొబైల్ చిరునామా ఇప్పుడు ఉన్నట్లే ఉపయోగించబడటానికి left=%defaultroute, గుర్తింపును ప్రదర్శించడానికి [email protected], స్థిర హబ్ పేరు కోసం right=hub.example.com, మరియు మనిషి లేకుండా టన్నెల్ పైకి రావడానికి auto=start. మొబైల్ లింక్ తిరిగి కనెక్ట్ అయినప్పుడు, బ్రాంచ్ తిరిగి ప్రారంభిస్తుంది మరియు హబ్ అదే గుర్తింపును అదే విధాన వస్తువుతో సరిపోల్చుతుంది.

రెండు వైపులా UDP 500లో IKE, UDP 4500లో NAT ట్రావర్సల్, మరియు దాని తర్వాత వచ్చే ఎన్క్యాప్సులేటెడ్ ESPని అనుమతించండి. ఆపై వాటిని అనుమతించినట్లే ఉంచండి: కార్యాలయ సమయంలో మాత్రమే తెరుచుకునే నియమం అడపాదడపా తెగిపోయే టన్నెల్లా కనిపిస్తుంది.

చిరునామా మార్పును పరీక్షించండి, మొదటి హ్యాండ్షేక్ మాత్రమే కాదు

టన్నెల్ను పైకి తీసుకురండి, నిర్ధారించండి, ఆపై ఒక నిమిషం మొబైల్ డేటా లేదా ఎయిర్ప్లేన్ మోడ్ను టోగుల్ చేసి బ్రాంచ్ను కొత్త చిరునామాకు బలవంతం చేయండి. హబ్లోని భద్రతా సంఘటనల జాబితాను గమనించి, పీర్ చిరునామా మారిందని కానీ గుర్తింపు మారలేదని నిర్ధారించుకోండి. ఆపరేటర్ యొక్క మొదటి పునఃకేటాయింపు వరకు మాత్రమే పనిచేసే టన్నెల్ అసలు పరీక్షించబడలేదు.

తర్వాత రక్షిత సబ్నెట్లను విడిగా తనిఖీ చేయండి. స్థాపించబడిన SA పీర్లు ప్రామాణీకరించబడ్డాయని చెబుతుంది; హబ్కు బ్రాంచ్ LANకి మార్గం ఉందని లేదా బ్రాంచ్ హబ్ వైపు నుండి ట్రాఫిక్ను అంగీకరిస్తుందని చెప్పదు. రౌటింగ్ పట్టిక మరియు ఫైర్వాల్ విధానాన్ని విడిగా చదవండి, ఆపై గేట్వే నుండి కాదు, హోస్ట్ నుండి ping పంపండి, ఎందుకంటే గేట్వే ఏ నెట్వర్క్లోనైనా అతి తక్కువ ప్రాతినిధ్యం ఉన్న పరికరం.

స్థిరమైన గుర్తింపు బ్రాంచ్ను హబ్ పేరు పెట్టగల విధాన వస్తువుగా మారుస్తుంది. అది ఆపరేటర్ NAT చిరునామాను చేరుకోగలిగేలా చేయదు, మరియు తనంతట తానే సంస్థలోని మిగిలిన భాగానికి బ్రాంచ్కు ప్రవేశం ఇవ్వదు.