Viktigt meddelande: |
Mobiloperatörer tilldelar vanligtvis en privat IP-adress från intervallet 10.x.x.x till en mobil klient som använder en 3G- eller 4G-anslutning. Dessa IP-adresser är en del av det privata adressutrymmet enligt definitionen i RFC 1918, vilket innebär att de inte kan routas på det publika internet. Mobiloperatören använder därför NAT (Network Address Translation) för att konvertera dessa privata IP-adresser till en publik IP-adress, vilket gör att flera klienter kan dela en enda publik IP-adress när de använder internet.
Den här inställningen fungerar bra för allmän webbsurfning och de flesta internetaktiviteter, men det uppstår utmaningar när man försöker få direktåtkomst till en enhet som är ansluten via 3G/4G från internet. Eftersom enheten ligger bakom NAT kan den inte nås direkt från omvärlden.
Röst över LTE
För att få tillgång till VoLTE-funktioner (Voice over LTE) som erbjuds av internetleverantörer för att ringa samtal över LTE/4G. På grund av komplexiteten i VoLTE-konfigurationer stöder Zyxels firmware inte VoLTE. Eftersom varje leverantör har unika VoLTE-konfigurationer är det bäst att köpa Zyxel-utrustning från din leverantör. Som en lösning kan du konfigurera LTE-routern för endast 3G för att aktivera VoLTE, men detta kommer inte att fungera i regioner som Tyskland där 3G inte är tillgängligt.
Konsekvenser för VPN-anslutningar
När du konfigurerar ett Virtual Private Network (VPN) via en 3G/4G-anslutning är det viktigt att ta hänsyn till NAT-miljön. VPN som förlitar sig på protokoll som IPSec kan påverkas av NAT eftersom dessa protokoll ursprungligen utformades för en direkt anslutning från början till slut.
IPSec VPN med Internet Key Exchange version 1 (IKEv1) kräver särskilda överväganden i sådana miljöer. Du måste aktivera NAT Traversal (NAT-T), som kapslar in IPSec-paketen i UDP så att de kan passera genom NAT-enheter. Alternativt kan konfigurationen förenklas genom att använda IKEv2 (Internet Key Exchange version 2), som har inbyggt stöd för NAT-traversering, vilket förbättrar kompatibiliteten och säkerheten.
I samtliga fall när en enhet på en 3G/4G-anslutning behöver upprätta en VPN-tunnel måste enheten vara den som initierar anslutningen på grund av NAT-begränsningarna. Detta säkerställer att VPN-servern känner till klientens IP-adress och kan etablera en säker kommunikationskanal.
Fallstudie: Sunrise mobiloperatör
För företagskunder som använder Sunrise mobilnät finns det möjlighet att begära en offentlig, dynamisk IP-adress specifikt för VPN-tjänster. Den här tjänsten gör det möjligt för kunden att kringgå NAT-begränsningarna som följer med en privat IP-adress, vilket möjliggör en enklare VPN-installation.
För att använda den här tjänsten:
- Begär aktivering: Företagskunder måste kontakta Sunrise för att begära aktivering av en publik dynamisk IP-adress för sin VPN-tjänst.
- Ändra APN-inställningar: När tjänsten har aktiverats måste Access Point Name (APN) på den mobila enheten ändras till "remote". Den här inställningen instruerar mobilnätverket att tilldela en publik IP-adress till enheten istället för en privat, vilket eliminerar behovet av NAT-traversering i VPN-konfigurationen.
Den här tjänsten är särskilt användbar för företag som behöver tillförlitliga och säkra VPN-anslutningar för distansarbetare som ofta är på resande fot och förlitar sig på mobilt internet för anslutning.
Ytterligare överväganden
- Konsekvenser för säkerheten: Tilldelning av en offentlig IP-adress till en mobil enhet kan utsätta den för potentiella säkerhetshot från internet. Därför är det viktigt att se till att det finns starka säkerhetsåtgärder, t.ex. robusta brandväggar och uppdaterade antivirusprogram, på enheter som använder publika IP-adresser.
- IPv6-överväganden: I och med det gradvisa införandet av IPv6 kan vissa mobiloperatörer erbjuda IPv6-adresser som inte kräver NAT. IPv6 kan förenkla VPN-konfigurationer eftersom varje enhet kan ha en unik, globalt dirigerbar IP-adress, vilket eliminerar en del av komplexiteten i samband med NAT.
- APN-inställningar: Olika mobiloperatörer har specifika APN-inställningar som måste konfigureras för olika tjänster. Det är viktigt att se till att rätt APN används för önskad tjänst, eftersom felaktiga inställningar kan leda till anslutningsproblem.
- Alternativ till IPSec: IPSec används i stor utsträckning, men andra VPN-protokoll som OpenVPN eller WireGuard kan erbjuda större flexibilitet och enklare NAT-traversering. Dessa protokoll är ofta enklare att konfigurera på enheter som ofta byter nätverk eller arbetar bakom NAT.
Slutsats
Att använda 3G/4G-anslutningar för VPN-åtkomst är vanligt, särskilt i scenarier där trådbundna internetanslutningar inte är tillgängliga eller opraktiska. Mobiloperatörernas användning av privata IP-adresser och NAT medför dock ytterligare konfigurationssteg för att säkerställa tillförlitliga och säkra VPN-anslutningar. Genom att förstå dessa nyanser och konfigurera VPN och mobila enheter på rätt sätt kan företag och privatpersoner uppnå effektiv och säker fjärråtkomst via mobila nätverk.