VPN für mobile Geräte auf Netzwerkebene

Im russischen Internet gibt es immer noch erstaunlich wenig Material über eine so alte und einfache, aber bequeme, sichere und insbesondere angesichts der Entwicklung des Internet of Things relevante Technologie wie mobile VPNs (virtuelle private Netzwerke). In diesem Artikel werde ich beschreiben, wie und warum man den Zugang zu Ihrem privaten Netzwerk für jedes Gerät mit einer SIM-Karte ohne die Notwendigkeit einer speziellen Softwareeinrichtung einrichten kann.

Aufgaben und Einschränkungen

Zunächst beantworte ich die Frage: „Warum?“ VPNs werden als Technologie eingesetzt, um die unterschiedlichsten Netzwerkaufgaben zu lösen, die durch eine gemeinsame Eigenschaft verbunden sind – die isolierte Datenübertragung zwischen zwei Geräten über eine Vielzahl von Zwischennodes. Darauf basieren bereits komplexere Lösungen zur Bewältigung der unterschiedlichsten Aufgaben. Im gewöhnlichen, allgemein bekannten Fall wird zur Erstellung eines VPNs ein Netzwerk des Festnetzbetreibers verwendet (für diejenigen, die in die Details eintauchen möchten, gibt es erstklassiges Material) oder eine Vielzahl von verschiedenen Netzwerkprotokollen (GRE, IPSec, L2TP und andere – derselbe Autor spricht darüber) und der dazugehörigen Softwareprodukte (Cisco AnyConnect, OpenVPN, TOR — das wissen Sie selbst), aber ihre Verwendung auf einem bestimmten Endgerät stellt sofort eine Reihe von Anforderungen an dieses Gerät, deren Nichteinhaltung zu bestimmten Einschränkungen führt.

Die erste ernsthafte Einschränkung ist, dass das Gerät auf Hard- und Softwareebene in der Lage sein muss, mit mindestens einem dieser Protokolle zu arbeiten. Dies wird meist durch die Software bestimmt, die sich einfach für Laptops oder Smartphones finden lässt, aber es gibt auch Fälle, in denen die Aufgabe vor einem zu einfachen Gerät im hardwaretechnischen Sinne steht oder die Software Einschränkungen aufweist: Ein Wasserzähler möchte VPN nutzen, um seine unglücklichen Bytes von einmal im Monat zu übertragen, nicht weniger als Sie VPN verwenden möchten, um Ihr LinkedIn-Profil zu bearbeiten.

Eine weitere wichtige Einschränkung ist die Notwendigkeit von Einstellungen. Diese gilt sowohl für "dumme" Geräte aus dem ersten Punkt als auch für klassische Smartphones und Computer, die von der vorherigen Einschränkung nichts wissen. Während es bei den ersten Geräten relativ einfach ist und vor allem von der benötigten Zeit für die Einrichtung abhängt, gibt es bei den zweiten Gerätevariante. Häufig nutzen Organisationen VPNs zu Sicherheitszwecken, um dienstliche Endgeräte vor dem Zugang zum öffentlichen Netzwerk ohne angemessenen Unternehmensschutz oder der Übertragung von Unternehmensdaten über öffentliche Kanäle zu schützen. Endbenutzer hingegen können aus verschiedenen Gründen das VPN deaktivieren oder vergessen, es zu aktivieren, wodurch viele Sicherheitssysteme des Unternehmens "außer Betrieb" geraten können.

Beide Einschränkungen lassen sich leicht aufheben, wenn der VPN-Zugang auf Netzwerkebene bereitgestellt wird. Bei mobilen Verbindungen kann dies durch einen "mobilen VPN" erreicht werden. Jedes Gerät, das Daten überträgt, wird sie im richtigen Netzwerk übertragen. Es ist unerheblich, welche Einstellungen am Gerät vorgenommen wurden, solange das Netzwerk korrekt konfiguriert ist, wird es die Daten immer dorthin senden, wo sie hin sollen, und nirgendwo anders.

Und als angenehmer Bonus erhält das Gerät eine Adresse aus dem internen Netzwerk, die remote konfiguriert werden kann, und der Zugang dazu kann nur von innerhalb dieses Netzwerks (oder physisch) erfolgen. Dies ist für bestimmte Gerätetypen von großer Bedeutung.

Wie es funktioniert

PS Core

Es scheint, dass VPN ein klassischer Dienst für alle Telekommunikationsanbieter im B2B-Segment ist. Warum also darauf besonders eingehen? Es hat mit der Struktur des Datentransfernetzwerks für Geräte zu tun, die über GPRS, HSPA, LTE oder eine andere mobile Technologie verbunden sind. Hier gibt es keine VLANs, die allen Netzwerkadministratoren bekannt sind, keine Switches, nicht einmal Router im herkömmlichen Sinne. Stattdessen gibt es ein Funkzugangsnetz (RAN) und ein Paketkernnetz (PS Core).

Ein vereinfachtes Schema des Paketnetzes eines Mobilfunkanbieters. Es unterscheidet sich ein wenig für LTE, aber das Grundprinzip bleibt dasselbe.

Im Allgemeinen muss jedes Gerät mit einer SIM-Karte, das im Paketnetz registriert ist (ein GPRS-Attach-Verfahren oder ein ähnliches durchlaufen hat), bevor es Daten irgendwohin überträgt, eine Datenübertragungssitzung (PDP-Kontext) auf dem zentralen Paketnetz-Router, GGSN, einrichten. Die Details und die Bedeutung dieser Prozesse sind hier sehr gut beschrieben: in diesem Artikel. Was für uns wichtig ist: Bei der Initiierung der Sitzung enthält die Anfrage an die GGSN unter anderem Parameter, die viele in ihren Handys gesehen oder sogar bei der Einrichtung von z. B. USB-Modems verwendet haben. Dies sind drei Felder: APN, Benutzername und Passwort. APN (Zugangskennung) ist eine sehr wichtige Entität im Logikbetrieb der GGSN: Je nachdem, von welcher APN die Sitzung initiiert wird, reagiert die GGSN unterschiedlich. Als Ergebnis der erfolgreichen Bearbeitung der Benutzeranfrage muss die GGSN eine Datenübertragungssitzung aktivieren und dem Gerät ihre Parameter, insbesondere die zugewiesene IP-Adresse und die DNS-Adressen, mitteilen. Hier gibt es eine Reihe sehr wichtiger Besonderheiten:

• In der Anfrage zur Initiierung der Sitzung fragt das Gerät niemals, welche IP-Adresse es erhalten möchte;
• Neben den in den Geräteeinstellungen festgelegten Feldern 'APN', 'Benutzername' und 'Passwort' wird in der Anfrage an den GGSN auch die Telefonnummer (MSISDN) des Teilnehmers übergeben (hier und im Folgenden bezeichnet 'Teilnehmer' den Endbenutzer, ein Gerät mit SIM-Karte, und 'Kunde' die bestellende Organisation, die aus Teilnehmern besteht);
• Beim Aktivieren der Sitzung erstellt der GGSN in seiner Routing-Tabelle einen Eintrag für die neue IP-Adresse. Alle Teilnehmer am GGSN werden in der Routing-Tabelle mit einem /32-Präfix bezeichnet, d.h. 1 Teilnehmer – 1 Eintrag in der Tabelle. Der GGSN ist ein sehr leistungsstarker Router;
• Das Netzwerk des Betreibers kann aus verschiedenen Gründen zu unterschiedlichen Zeitpunkten (sowohl am SGSN als auch am GGSN) das APN-Feld in der Anfrage zur Initiierung der Sitzung ändern. Dies ermöglicht in einigen Fällen, die Netzwerkeinstellungen auf Geräten mit SIM-Karten zu reduzieren oder sogar vollständig zu vermeiden.

Die ersten drei Punkte werfen sofort die Frage auf: Welche IP-Adresse wird dem Teilnehmer zugewiesen?
Dies hängt von den Einstellungen des APN ab, von dem die Anfrage zur Aktivierung der Sitzung kam. Etwa 99 % der Nutzer von mobilen Datennetzen verwenden den regulären Internetzugang. Das sind uns allen bekannten Zugangspunkte wie internet.mts.ru, internet.beeline.ru und so weiter. Im Fall des Internetzugangs gibt der GGSN Adressen nach dem Prinzip des klassischen DHCP aus den in den Einstellungen festgelegten grauen Subnetzen aus. Beim Zugang zum öffentlichen Netzwerk werden diese Adressen mit klassischen NAT (genauer gesagt der PAT-Version davon) geschlossen.

Aber GGSN kann mehr. Um eine IP-Adresse auszuwählen, kann es eine AAA-Anfrage an den Authentifizierungsserver (zum Beispiel RADIUS) senden. Diese Logik wird für die einzelnen APN je nach ihrem Zweck konfiguriert. Der einfachste Fall ist der Service zur Bereitstellung einer dauerhaften öffentlichen IP-Adresse. Solche Adressen werden in der Regel den Abonnenten im Billing-System (BSS) des Betreibers zugewiesen und gelangen je nach IT-Architektur in eine oder andere Datenbank, auf die GGSN mit der Anfrage zugreift. Da es die MSISDN (Telefonnummer) des Abonnenten kennt, die in der Anfrage enthalten ist, ist eine solche Datenbank recht einfach und kann nur die Verbindung von Nummer und Adresse enthalten. Zusätzlich, falls der Kunde plant, eine SIM-Karte für die Verbindung mehrerer Geräte zu verwenden (zum Beispiel wenn die SIM-Karte sich in einem WiFi-Router eines entfernten Büros befindet), kann diese Tabelle auch den sogenannten „framed route“ enthalten – ein Netzpräfix, das „hinter“ der SIM-Karte liegt und allen Geräten im Netzwerk über dynamische Routingprotokolle angekündigt wird.

Nicht nur GGSN

Neben der Zuweisung von IP-Adressen muss auch der Datenverkehr der Benutzer zu den jeweiligen Kundennetzen geleitet werden. Hier funktioniert alles deutlich traditioneller. Am GGSN wird der Datenverkehr, der für die Arbeit mit VPN APNs spezialisiert ist, an einen separaten Router im Netzwerk des Betreibers weitergeleitet (dieser kann unterschiedlich benannt sein, manchmal auch als VPN-Router bezeichnet), der wiederum die Funktion eines klassischen PE im L3VPN-Schema erfüllt. Er fügt die erforderlichen Tags, Header und all das hinzu und leitet diesen gesamten Datenverkehr über die Router des Transportnetzwerks zu den vordefinierten Schnittstellen oder Tunneln des Kundennetzwerks. Dieser Teil ist deutlich traditioneller und wurde an anderer Stelle bereits vielfach beschrieben, daher werde ich in diesem Material nicht näher darauf eingehen.

In Anbetracht all dieser Details kann es mehrere Möglichkeiten zur Organisation eines mobilen VPNs geben, die sich in der Kombination der folgenden Merkmale unterscheiden:

• IP-Adressen können, wie bereits erwähnt, dynamisch (jedes Mal eine andere Adresse aus einem festgelegten Subnetz) oder statisch (jedes Mal die gleiche Adresse für einen bestimmten Teilnehmer) zugewiesen werden, was durch die APN-Einstellungen und/oder die Einstellungen des Radius-Servers bestimmt wird.
• IP-Adressen können vom Radius-Server unter der Kontrolle des Betreibers oder des Kunden zugewiesen werden.
• Geräte, die mit einem mobilen VPN verbunden sind, können entweder nur miteinander kommunizieren oder Zugang zum regulären L3VPN-Netzwerk des Kunden über eine direkte Schnittstelle (VPN-Port) zum Betreiber oder durch Tunneling über das Internet haben.
• In einigen Fällen kann die Verwendung von Benutzernamen und Passwort für die erfolgreiche Aktivierung der Sitzung erforderlich sein, während in anderen Fällen nicht einmal das Ausfüllen des Feldes "APN" nötig ist.

Es gibt mehrere Dutzend solcher Kombinationen mit verschiedenen Arten von Tunneling, Lastenausgleich zwischen den Zugangskanälen zum "Haupt"-VPN des Kunden und dem Prinzip der Adressvergabe. Für die meisten Fälle sieht das Gesamtschema wie folgt aus:


Nach einem recht schnellen Registrierungsprozess im Netz und dem Erhalt einer IP-Adresse hat das Gerät Zugang zum Netzwerk des Kunden, während das Netzwerk des Kunden Zugriff auf das Gerät erhält. Dabei ist der Abonnent von allen anderen Abonnenten des Anbieters isoliert, die nichts mit dem konkreten Kunden zu tun haben. Es sind keine zusätzlichen Einstellungen erforderlich, und der gesamte Traffic wird alternativlos in das Netzwerk des Kunden geleitet, wo er gemäß den internen Richtlinien des Kunden verarbeitet wird.

Quelle: habr.com