4G'de şube VPN: IP değişirken kimliği sabit tutun

Şubenin kendisinden başlayın, 4G yönlendiricinin WAN durum sayfasında. Gördüğünüz adres genel bir aralık yerine operatörün özel aralığındaysa, o kutudaki hiçbir port yönlendirmesi hub'ın içeri arama yapmasına asla izin vermez ve tünel şubeden dışarı doğru inşa edilmelidir. Bu tek gözlem tasarımı belirler. İşin geri kalanı, hub'ın şubeyi her birkaç saatte değişen bir adresten daha iyi bir şeyle tanımasını sağlamaktır.

Tünel nereden başlamalı

Adresi, operatörlerin kendi NAT'ları için kullandığı ortak adres alanına, 100.64.0.0/10, ve olağan özel aralıklara karşı kontrol edin. Mobil bağlantıda bunlardan birini görmek genellikle operatör düzeyinde NAT'ın şube ile internet arasında durduğu ve gelen bağlantıların şubenin ödeyebileceği hiçbir fiyata mevcut olmadığı anlamına gelir. WAN adresi genel ama değişiyorsa, daha kolay olan başka bir probleminiz var.

Dinamik DNS yalnızca ikinci durumda yardımcı olur. Değişen genel adrese aranacak sabit bir ad verir ve operatörün hiç vermediği bir eşlemeyi oluşturamaz. Genel durum için yine de yapılandırmaya değer, çünkü yeniden numaralandırmadaki tek elle yapılan adımı ortadan kaldırır. Olmaması gereken şey, operatörün hiç erişilebilir kılmadığı bir şube için verilen yanıt olmaktır.

Aradığınız adresi eşleştirdiğiniz kimlikten ayırın

Hub'ın bulunabileceği sabit bir şeye ihtiyacı vardır: onaylanmış sabit bir adres veya bakımı yapılan bir ana bilgisayar adı. Şubenin tanınmak için sabit bir yola ihtiyacı vardır ve IKEv2'de bu, kimlik doğrulama sırasında sunduğu kimlik yüküdür; paketlerinin tesadüfen taşıdığı kaynak adresten bağımsızdır. @branch-a.vpn.example gibi bir dize, mobil adres her saat değişse bile o kimlik olarak çalışır.

Bu dize politikayla eşleştirilir, DNS ile çözülmez, bu yüzden tünel kurulumunda bir arama beklemeyin. Hub yapılandırması beklenen kimliği açıkça adlandırmalıdır ve sertifika ile kimlik doğrulamada kimlik, sertifikanın gerçekte iddia ettiği şeyle de örtüşmelidir.

Kaynak adres makul göründüğü için herhangi bir kimliği kabul etmek, kaçınılması gereken arıza modudur. Yanıtlayıcı tarafında bu, bir kimlik joker karakteri ve ortak bir sırla herhangi bir eşi kabul etmek anlamına gelir; bu bir cihazı değil bir dizeyi doğrular.

Hub tarafını adlandırılmış bir eş olarak yazın

strongSwan terimleriyle yanıtlayıcı tarafı, herhangi bir kaynak adresten bir eş kabul eden right=%any içeren bir bağlantı ve o eşin kendini ne olarak beyan etmesi gerektiğini sabitleyen [email protected] içerir. Şubenin LAN'ları için rightsubnet=10.20.0.0/16, bağlantının aranmadan yüklenmesi için auto=add, canlılık için dpd_delay=30s ve adres değişikliğinin yeni bir eş sayılmak yerine emilmesi için mobike=yes ekleyin.

Diğer üreticiler aynı nesneleri farklı adlarla ifade eder; genellikle kimlik alanı ve korunan alt ağ alanı olan dinamik veya şube ofisi eş türü. İkisini de doldurun; genel bir dinamik onay kutusu uyumluluk planı değildir.

Şubeyi başlatan olarak tutun

Şubede ayna görüntüsü geçerlidir: yerel mobil adresin şu anki haliyle kullanılması için left=%defaultroute, kimliği sunmak için [email protected], sabit hub adı için right=hub.example.com ve tünelin insansız yükselmesi için auto=start. Mobil bağlantı yeniden bağlandığında şube yeniden başlatır ve hub aynı kimliği aynı politika nesnesiyle eşleştirir.

Her iki tarafta UDP 500'de IKE'ye, UDP 4500'de NAT geçişine ve ardından gelen kapsüllenmiş ESP'ye izin verin. Sonra izinli bırakın: yalnızca mesai saatlerinde açılan bir kural kesintili bir tünel gibi görünecektir.

Adres değişikliğini test edin, yalnızca ilk el sıkışmayı değil

Tüneli kaldırın, doğrulayın, sonra bir dakika boyunca mobil veriyi veya uçak modunu açıp kapatarak şubeyi yeni bir adrese zorlayın. Hub'daki güvenlik ilişkileri listesini izleyin ve eş adresinin değiştiğini, kimliğin ise değişmediğini kontrol edin. Yalnızca operatörün ilk yeniden atamasına kadar çalışan bir tünel hiç test edilmemiştir.

Sonra korunan alt ağları ayrı ayrı kontrol edin. Kurulmuş bir SA, eşlerin kimlik doğruladığını söyler; hub'ın şube LAN'ına bir yolu olduğunu veya şubenin hub tarafından gelen trafiği kabul ettiğini söylemez. Yönlendirme tablosunu ve güvenlik duvarı politikasını ayrı ayrı okuyun, sonra ping'i ağ geçidinden değil bir ana bilgisayardan gönderin, çünkü ağ geçidi herhangi bir ağdaki en az temsili cihazdır.

Sabit bir kimlik, şubeyi hub'ın adlandırabileceği bir politika nesnesine dönüştürür. Operatör NAT adresini erişilebilir kılmaz ve kuruluşun geri kalanına şubeye erişimi kendi başına vermez.