4G orqali filial VPN: IP o'zgarganda identifikatsiyani barqaror saqlang

Filialning o'zidan boshlang, 4G routerning WAN holat sahifasida. Agar ko'rayotgan manzilingiz umumiy diapazonda emas, operatorning shaxsiy diapazonida bo'lsa, bu qurilmadagi hech qanday port yo'naltirish hubga ichkariga qo'ng'iroq qilishga hech qachon imkon bermaydi va tunnel filialdan tashqariga qarab qurilishi kerak. Bu bitta kuzatuv dizaynni belgilaydi. Qolgan ish — hub filialni har bir necha soatda o'zgaradigan manzildan yaxshiroq narsa bilan tanishiga ishonch hosil qilish.

Tunnel qayerdan boshlanishi kerak

Manzilni operatorlar o'z NAT'lari uchun ishlatadigan umumiy manzil maydoniga, 100.64.0.0/10, va oddiy shaxsiy diapazonlarga solishtiring. Mobil liniyada ulardan birini ko'rish odatda operator darajasidagi NAT filial va internet o'rtasida turishini va kiruvchi ulanishlar filial to'lay oladigan hech qanday narxda mavjud emasligini bildiradi. WAN manzili umumiy bo'lib, lekin o'zgarib tursa, sizda boshqa, osonroq muammo bor.

Dinamik DNS faqat ikkinchi holatda yordam beradi. O'zgaruvchan umumiy manzilga qo'ng'iroq qilish uchun barqaror nom beradi va operator hech qachon bermagan xaritalashni yaratolmaydi. Umumiy holat uchun uni sozlash baribir arziydi, chunki qayta raqamlashdagi yagona qo'lda bajariladigan qadamni olib tashlaydi. U bo'lmasligi kerak narsa — operator hech qachon yetib bo'ladigan qilmagan filial uchun javob.

Qo'ng'iroq qiladigan manzilni taqqoslaydigan identifikatsiyadan ajrating

Hubga topiladigan barqaror narsa kerak: tasdiqlangan qat'iy manzil yoki qo'llab-quvvatlanadigan xost nomi. Filialga tanilishning barqaror usuli kerak, IKEv2da esa bu autentifikatsiya paytida taqdim etadigan identifikatsiya yuki bo'lib, uning paketlari tasodifan olib yurgan manba manzilidan mustaqil. @branch-a.vpn.example kabi satr mobil manzil har soatda o'zgarsa ham o'sha identifikatsiya bo'lib ishlaydi.

Bu satr siyosat bilan taqqoslanadi, DNS orqali hal qilinmaydi, shuning uchun tunnel o'rnatishda qidiruv bo'ladi deb kutmang. Hub konfiguratsiyasi kutilayotgan identifikatsiyani aniq nomlashi kerak, sertifikat bilan autentifikatsiyada identifikatsiya sertifikat aslida tasdiqlaydigan narsaga ham mos kelishi kerak.

Manba manzili ishonchli ko'ringani uchun har qanday identifikatsiyani qabul qilish — oldini olish kerak bo'lgan nosozlik rejimi. Javob beruvchi tomonda bu identifikatsiya joker belgisi va umumiy sir bilan har qanday hamkorni qabul qilishni bildiradi, bu esa qurilmani emas, satrni autentifikatsiya qiladi.

Hub tomonini nomlangan hamkor sifatida yozing

strongSwan atamalarida javob beruvchi tomon — bu right=%any bo'lgan ulanish, u har qanday manba manzilidan hamkorni qabul qiladi, qo'shimcha [email protected], u o'sha hamkor o'zini kim deb e'lon qilishi kerakligini mahkamlaydi. Filial LAN'lari uchun rightsubnet=10.20.0.0/16, ulanish qo'ng'iroqsiz yuklanishi uchun auto=add, hayotiylik uchun dpd_delay=30s va manzil o'zgarishi yangi hamkor sifatida qaralmay, singib ketishi uchun mobike=yes qo'shing.

Boshqa ishlab chiqaruvchilar bir xil obyektlarni boshqa nomlar bilan ifodalaydi, odatda identifikatsiya maydoni va himoyalangan quyi tarmoq maydoni bo'lgan dinamik yoki filial ofisi hamkor turi. Ikkalasini to'ldiring; umumiy dinamik katakcha muvofiqlik rejasi emas.

Filialni boshlovchi sifatida saqlang

Filialda oyna tasviri amal qiladi: mahalliy mobil manzil hozirgi holatida ishlatilishi uchun left=%defaultroute, identifikatsiyani taqdim etish uchun [email protected], barqaror hub nomi uchun right=hub.example.com va tunnel odamsiz ko'tarilishi uchun auto=start. Mobil liniya qayta ulanganda, filial qayta boshlaydi va hub o'sha identifikatsiyani o'sha siyosat obyektiga taqqoslaydi.

Ikkala tomonda UDP 500da IKE, UDP 4500da NAT o'tish va undan keyingi inkapsulyatsiyalangan ESPga ruxsat bering. Keyin ularni ruxsat etilgan holda qoldiring: faqat ish vaqtida ochiladigan qoida uzilib turadigan tunnel kabi ko'rinadi.

Manzil o'zgarishini sinab ko'ring, faqat birinchi qo'l siqishni emas

Tunnelni ko'taring, tasdiqlang, so'ngra bir daqiqa mobil ma'lumot yoki samolyot rejimini yoqib-o'chirib filialni yangi manzilga majburlang. Hubdagi xavfsizlik birlashmalari ro'yxatini kuzatib, hamkor manzili o'zgargani, identifikatsiya esa o'zgarmaganini tekshiring. Faqat operatorning birinchi qayta taqsimlashigacha ishlaydigan tunnel umuman sinalmagan.

So'ngra himoyalangan quyi tarmoqlarni alohida tekshiring. O'rnatilgan SA hamkorlar autentifikatsiyadan o'tganini aytadi; hubning filial LAN'iga yo'nalishi borligini yoki filial hub tomonidan trafikni qabul qilishini aytmaydi. Yo'naltirish jadvali va xavfsizlik devori siyosatini alohida o'qing, so'ngra pingni shlyuzdan emas, xostdan yuboring, chunki shlyuz har qanday tarmoqdagi eng kam vakillik qiluvchi qurilma.

Barqaror identifikatsiya filialni hub nomlay oladigan siyosat obyektiga aylantiradi. U operator NAT manzilini yetib bo'ladigan qilmaydi va o'z-o'zidan tashkilotning qolgan qismiga filialga kirish huquqini bermaydi.