VPN สาขาบน 4G: รักษาตัวตนให้คงที่เมื่อ IP เปลี่ยน

เริ่มจากตัวสาขาเอง ที่หน้าสถานะ WAN ของเราเตอร์ 4G ถ้าที่อยู่ที่คุณเห็นอยู่ในช่วงส่วนตัวของผู้ให้บริการแทนที่จะเป็นช่วงสาธารณะ การส่งต่อพอร์ตใด ๆ บนอุปกรณ์นั้นจะไม่มีทางทำให้ฮับเชื่อมต่อเข้ามาได้เลย และต้องสร้างอุโมงค์ออกจากสาขา การสังเกตเพียงครั้งเดียวนี้กำหนดการออกแบบ งานที่เหลือคือทำให้แน่ใจว่าฮับรู้จักสาขาด้วยอะไรที่ดีกว่าที่อยู่ที่เปลี่ยนทุกไม่กี่ชั่วโมง

อุโมงค์ต้องเริ่มจากที่ใด

ตรวจสอบที่อยู่เทียบกับพื้นที่ที่อยู่ร่วมกันที่ผู้ให้บริการใช้สำหรับ NAT ของตนเอง 100.64.0.0/10 และเทียบกับช่วงส่วนตัวทั่วไป การเห็นหนึ่งในนั้นบนลิงก์มือถือมักหมายความว่ามี NAT ระดับผู้ให้บริการอยู่ระหว่างสาขากับอินเทอร์เน็ต และการเชื่อมต่อขาเข้าไม่พร้อมใช้งานในราคาใดที่สาขาจะจ่ายได้ เมื่อที่อยู่ WAN เป็นสาธารณะแต่เปลี่ยน คุณมีปัญหาอีกอย่างที่ง่ายกว่า

DNS แบบไดนามิกช่วยได้เฉพาะกรณีที่สอง มันให้ชื่อที่คงที่สำหรับโทรออกกับที่อยู่สาธารณะที่เปลี่ยนไป และไม่สามารถสร้างการแมปที่ผู้ให้บริการไม่เคยให้ได้ ยังคงคุ้มค่าที่จะกำหนดค่าสำหรับกรณีสาธารณะ เพราะมันขจัดขั้นตอนด้วยมือเพียงขั้นตอนเดียวในการกำหนดหมายเลขใหม่ สิ่งที่มันต้องไม่กลายเป็นคือคำตอบสำหรับสาขาที่ผู้ให้บริการไม่เคยทำให้เข้าถึงได้ตั้งแต่แรก

แยกที่อยู่ที่คุณโทรออกจากตัวตนที่คุณจับคู่

ฮับต้องการสิ่งที่คงที่ให้ค้นหา ไม่ว่าจะเป็นที่อยู่คงที่ที่อนุมัติแล้วหรือชื่อโฮสต์ที่ดูแลไว้ สาขาต้องการวิธีที่คงที่ในการถูกจดจำ และใน IKEv2 นั่นคือเพย์โหลดตัวตนที่มันนำเสนอระหว่างการพิสูจน์ตัวตน โดยไม่ขึ้นกับที่อยู่ต้นทางที่แพ็กเก็ตของมันพาไปโดยบังเอิญ สตริงอย่าง @branch-a.vpn.example ใช้เป็นตัวตนนั้นได้แม้ที่อยู่มือถือจะเปลี่ยนทุกชั่วโมง

สตริงนั้นถูกจับคู่กับนโยบาย ไม่ได้แก้ผ่าน DNS ดังนั้นอย่าคาดว่าจะมีการค้นหาเมื่อตั้งค่าอุโมงค์ การกำหนดค่าของฮับต้องระบุตัวตนที่คาดหวังอย่างชัดเจน และเมื่อพิสูจน์ตัวตนด้วยใบรับรอง ตัวตนก็ต้องตรงกับสิ่งที่ใบรับรองยืนยันจริง

การยอมรับตัวตนใดก็ได้เพียงเพราะที่อยู่ต้นทางดูน่าเชื่อถือคือโหมดความล้มเหลวที่ต้องหลีกเลี่ยง ในฝั่งผู้ตอบรับ นั่นหมายถึงการยอมรับเพื่อนใดก็ได้ ด้วยไวลด์การ์ดตัวตนและความลับที่ใช้ร่วมกัน ซึ่งพิสูจน์ตัวตนสตริงไม่ใช่อุปกรณ์

เขียนฝั่งฮับเป็นเพื่อนที่ระบุชื่อ

ในศัพท์ของ strongSwan ฝั่งผู้ตอบรับคือการเชื่อมต่อที่มี right=%any ซึ่งยอมรับเพื่อนจากที่อยู่ต้นทางใดก็ได้ บวกกับ [email protected] ซึ่งปักหมุดว่าคู่สนทนานั้นต้องประกาศว่าตนเป็นใคร เพิ่ม rightsubnet=10.20.0.0/16 สำหรับ LAN ของสาขา auto=add เพื่อให้โหลดการเชื่อมต่อโดยไม่ต้องโทรออก dpd_delay=30s สำหรับความมีชีวิต และ mobike=yes เพื่อให้การเปลี่ยนที่อยู่ถูกดูดซับแทนที่จะถือเป็นเพื่อนใหม่

ผู้จำหน่ายรายอื่นแสดงวัตถุเดียวกันด้วยชื่ออื่น โดยปกติเป็นประเภทเพื่อนแบบไดนามิกหรือสาขาสำนักงานที่มีฟิลด์ตัวตนและฟิลด์ซับเน็ตที่ป้องกัน เติมทั้งสองอย่าง กล่องทำเครื่องหมายไดนามิกทั่วไปไม่ใช่แผนความเข้ากันได้

ให้สาขาเป็นฝ่ายเริ่ม

ที่สาขา ภาพสะท้อนในกระจกใช้ได้: left=%defaultroute เพื่อใช้ที่อยู่มือถือภายในตามที่เป็นอยู่ [email protected] เพื่อนำเสนอตัวตน right=hub.example.com สำหรับชื่อฮับที่คงที่ และ auto=start เพื่อให้อุโมงค์ขึ้นได้โดยไม่ต้องมีคน เมื่อลิงก์มือถือเชื่อมต่อใหม่ สาขาจะเริ่มใหม่และฮับจะจับคู่ตัวตนเดิมกับวัตถุนโยบายเดิม

อนุญาต IKE บน UDP 500 การข้าม NAT บน UDP 4500 และ ESP ที่ห่อหุ้มตามมา ทั้งสองด้าน จากนั้นปล่อยให้อนุญาตไว้: กฎที่เปิดเฉพาะเวลาทำการจะดูเหมือนอุโมงค์ที่ขาดหายเป็นช่วง ๆ

ทดสอบการเปลี่ยนที่อยู่ ไม่ใช่แค่การจับมือครั้งแรก

ยกอุโมงค์ขึ้น ยืนยัน แล้วบังคับให้สาขาไปที่ที่อยู่ใหม่โดยสลับข้อมูลมือถือหรือโหมดเครื่องบินหนึ่งนาที ดูรายการสมาคมความปลอดภัยบนฮับและตรวจสอบว่าที่อยู่ของเพื่อนเปลี่ยนไปในขณะที่ตัวตนไม่เปลี่ยน อุโมงค์ที่ทำงานเพียงจนถึงการจัดสรรใหม่ครั้งแรกของผู้ให้บริการยังไม่ได้รับการทดสอบเลย

จากนั้น ตรวจสอบซับเน็ตที่ป้องกันแยกต่างหาก SA ที่สร้างแล้วบอกว่าคู่สนทนาพิสูจน์ตัวตนแล้ว ไม่ได้บอกว่าฮับมีเส้นทางไปยัง LAN ของสาขาหรือสาขายอมรับทราฟฟิกจากฝั่งฮับ อ่านตารางเส้นทางและนโยบายไฟร์วอลล์แยกกัน จากนั้นส่ง ping จากโฮสต์ไม่ใช่จากเกตเวย์ เพราะเกตเวย์เป็นอุปกรณ์ที่เป็นตัวแทนน้อยที่สุดในทุกเครือข่าย

ตัวตนที่คงที่ทำให้สาขากลายเป็นวัตถุนโยบายที่ฮับสามารถระบุชื่อได้ มันไม่ได้ทำให้ที่อยู่ NAT ของผู้ให้บริการเข้าถึงได้ และไม่ได้ให้สิทธิ์ส่วนที่เหลือขององค์กรเข้าถึงสาขาโดยตัวมันเอง