VPN chi nhánh trên 4G: giữ danh tính ổn định khi IP thay đổi

Bắt đầu từ chính chi nhánh, trên trang trạng thái WAN của router 4G. Nếu địa chỉ bạn thấy nằm trong dải riêng của nhà mạng chứ không phải dải công cộng, thì không có chuyển tiếp cổng nào trên thiết bị đó có thể cho hub gọi vào, và đường hầm phải được xây từ chi nhánh ra ngoài. Chính quan sát đó quyết định thiết kế. Phần việc còn lại là bảo đảm hub nhận ra chi nhánh bằng thứ gì đó tốt hơn một địa chỉ thay đổi vài giờ một lần.

Đường hầm phải bắt đầu từ đâu

Kiểm tra địa chỉ so với không gian địa chỉ dùng chung mà các nhà mạng dùng cho NAT của họ, 100.64.0.0/10, và so với các dải riêng thông thường. Thấy một trong số đó trên một đường truyền di động thường có nghĩa là NAT cấp nhà mạng nằm giữa chi nhánh và internet, và các kết nối vào không khả dụng với bất kỳ mức giá nào chi nhánh có thể trả. Khi địa chỉ WAN là công cộng nhưng thay đổi, bạn có một vấn đề khác, dễ hơn.

DNS động chỉ giúp trong trường hợp thứ hai. Nó cho một địa chỉ công cộng hay thay đổi một cái tên ổn định để gọi tới, và nó không thể tạo ra một ánh xạ mà nhà mạng chưa từng cung cấp. Vẫn đáng cấu hình cho trường hợp công cộng, vì nó bỏ đi bước thủ công duy nhất khi đánh số lại. Điều nó không được trở thành là câu trả lời cho một chi nhánh mà nhà mạng chưa từng làm cho có thể truy cập.

Tách địa chỉ bạn gọi khỏi danh tính bạn đối chiếu

Hub cần một thứ ổn định để được tìm thấy, một địa chỉ cố định đã được phê duyệt hoặc một tên máy chủ được duy trì. Chi nhánh cần một cách ổn định để được nhận ra, và trong IKEv2 đó là phần tải danh tính mà nó trình bày khi xác thực, độc lập với địa chỉ nguồn mà các gói của nó tình cờ mang theo. Một chuỗi như @branch-a.vpn.example hoạt động như danh tính đó ngay cả khi địa chỉ di động thay đổi mỗi giờ.

Chuỗi đó được đối chiếu với chính sách, không được phân giải qua DNS, nên đừng mong có tra cứu khi thiết lập đường hầm. Cấu hình của hub phải nêu rõ danh tính mong đợi, và với xác thực bằng chứng chỉ, danh tính cũng phải khớp với điều mà chứng chỉ thực sự khẳng định.

Chấp nhận bất kỳ danh tính nào vì địa chỉ nguồn trông có vẻ hợp lý là chế độ lỗi cần tránh. Ở phía phản hồi, điều đó nghĩa là chấp nhận bất kỳ đối tác nào, với ký tự đại diện danh tính và một bí mật chia sẻ, tức là xác thực một chuỗi chứ không phải một thiết bị.

Viết phía hub như một đối tác có tên

Theo thuật ngữ strongSwan, phía phản hồi là một kết nối có right=%any, chấp nhận đối tác từ bất kỳ địa chỉ nguồn nào, cộng với [email protected], ghim điều mà đối tác đó phải tự nhận. Thêm rightsubnet=10.20.0.0/16 cho các LAN của chi nhánh, auto=add để kết nối được nạp mà không gọi, dpd_delay=30s cho khả năng sống, và mobike=yes để một lần đổi địa chỉ được hấp thụ thay vì bị coi là đối tác mới.

Các nhà cung cấp khác diễn đạt cùng những đối tượng đó dưới tên khác, thường là kiểu đối tác động hoặc văn phòng chi nhánh với trường danh tính và trường mạng con được bảo vệ. Điền cả hai; một ô đánh dấu động chung chung không phải là kế hoạch tương thích.

Giữ chi nhánh là bên khởi tạo

Ở chi nhánh áp dụng hình ảnh phản chiếu: left=%defaultroute để địa chỉ di động cục bộ được dùng đúng như hiện tại, [email protected] để trình bày danh tính, right=hub.example.com cho tên hub ổn định, và auto=start để đường hầm dựng lên mà không cần người. Khi liên kết di động kết nối lại, chi nhánh khởi tạo lại và hub đối chiếu cùng danh tính với cùng đối tượng chính sách.

Cho phép IKE trên UDP 500, xuyên NAT trên UDP 4500 và ESP đóng gói theo sau, ở cả hai phía. Rồi để chúng được phép: một quy tắc chỉ mở trong giờ làm việc sẽ trông như một đường hầm chập chờn.

Kiểm tra lần đổi địa chỉ, không chỉ cái bắt tay đầu tiên

Dựng đường hầm lên, xác nhận, rồi buộc chi nhánh sang địa chỉ mới bằng cách bật tắt dữ liệu di động hoặc chế độ máy bay trong một phút. Theo dõi danh sách hiệp hội bảo mật trên hub và kiểm tra rằng địa chỉ đối tác đã đổi trong khi danh tính thì không. Một đường hầm chỉ chạy được đến lần cấp lại đầu tiên của nhà mạng là chưa được kiểm tra gì cả.

Sau đó kiểm tra các mạng con được bảo vệ riêng. Một SA đã thiết lập nói rằng các đối tác đã xác thực; nó không nói rằng hub có tuyến tới LAN của chi nhánh hay chi nhánh chấp nhận lưu lượng từ phía hub. Đọc bảng định tuyến và chính sách tường lửa riêng, rồi gửi ping từ một máy chủ chứ không phải từ cổng, vì cổng là thiết bị ít đại diện nhất trên bất kỳ mạng nào.

Một danh tính ổn định biến chi nhánh thành một đối tượng chính sách mà hub có thể đặt tên. Nó không làm cho một địa chỉ NAT của nhà mạng trở nên truy cập được, và tự nó không cấp cho phần còn lại của tổ chức quyền truy cập vào chi nhánh.