VPN für mobile Geräte auf Netzwerkebene

Im russischen Internet gibt es bis heute erstaunlich wenig Material über so eine alte und einfache, aber praktische, sichere und besonders relevante Technologie im Zusammenhang mit der Entwicklung des Internets der Dinge wie mobile VPNs (virtuelle private Netzwerke). In diesem Artikel werde ich beschreiben, wie und warum Sie den Zugriff auf Ihr privates Netzwerk für jedes Gerät mit einer SIM-Karte einrichten können, ohne spezielle Software darauf zu installieren.

Aufgaben und Einschränkungen

Zunächst beantworte ich die Frage: „Warum?“. VPNs als Technologie dienen zur Lösung verschiedener Netzwerkaufgaben, die durch ein gemeinsames Merkmal verbunden sind – der isolierten Datenübertragung zwischen zwei Geräten durch eine große Anzahl von Zwischenknoten. Darauf aufbauend werden komplexere Lösungen entwickelt, um diese unterschiedlichen Aufgaben zu lösen. Im gewöhnlichen, für alle gewohnten Fall wird ein VPN unter Verwendung des Netzes eines Festnetzbetreibers aufgebaut (für diejenigen, die sich für die Einzelheiten interessieren, gibt es hervorragendes Material) oder eine Vielzahl verschiedener Netzwerkprotokolle (GRE, IPSec, L2TP und andere – derselbe Autor darüber) und der mit ihnen arbeitenden Softwareprodukte (Cisco AnyConnect, OpenVPN, TOR – das wissen Sie selbst), jedoch führt die Nutzung auf einem bestimmten Endgerät sofort zu bestimmten Anforderungen, deren Nichteinhaltung zu gewissen Einschränkungen führt.

Die erste ernsthafte Einschränkung besteht darin, dass das Gerät auf Hardware- und Softwareebene zumindest mit einem dieser Protokolle umgehen können muss. Oft wird dies durch die Software bestimmt, die leicht für Laptops oder Smartphones zu finden ist, aber es gibt Fälle, in denen die Aufgabe vor einem zu einfachen Gerät aus Sicht der Hardware steht oder dessen Software Einschränkungen hat: Ein Wasserzähler möchte ein VPN verwenden, um seine bescheidenen Byte-Messwerte einmal im Monat zu übertragen, nicht weniger, als Sie ein VPN zur Bearbeitung Ihres LinkedIn-Profils verwenden möchten.

Eine weitere wichtige Einschränkung ist die Notwendigkeit der Konfiguration. Sie gilt sowohl für „dumme“ Geräte aus dem ersten Punkt als auch für herkömmliche Smartphones und Computer, für die die vorherige Einschränkung unbekannt ist. Und während es bei den ersten relativ einfach ist und es nur auf die aufgewendete Zeit zur Einrichtung ankommt, gibt es bei den zweiten verschiedene Optionen. Häufig nutzen Organisationen VPNs aus Sicherheitsgründen, um dienstliche Endgeräte vor dem Zugriff auf öffentliche Netzwerke ohne angemessenen Unternehmensschutz oder vor der Übertragung von Unternehmensdaten über öffentliche Kanäle zu schützen. Endbenutzer können aus bestimmten Gründen VPNs deaktivieren oder vergessen, sie zu aktivieren, wodurch viele Sicherheitsmaßnahmen des Unternehmens „außen vor“ bleiben können.

Beide Einschränkungen lassen sich leicht aufheben, wenn der Zugang zum VPN auf Netzwerkebene realisiert wird. Im Fall von mobiler Kommunikation kann dies durch einen „mobilen VPN“ umgesetzt werden. Ein Gerät, das Daten überträgt, unabhängig von seiner Komplexität, wird diese in das richtige Netzwerk senden. Es spielt keine Rolle, welche Einstellungen am Gerät vorgenommen wurden; bei richtig konfiguriertem Netzwerk wird es in jedem Fall die Daten dorthin übertragen, wo sie hingehören, und nirgends sonst.

Und als angenehmer Nebeneffekt erhält das Gerät eine Adresse aus dem internen Netzwerk, die remote konfiguriert werden kann, und der Zugang ist nur von innerhalb dieses Netzwerks (oder physisch) möglich. Für eine bestimmte Klasse von Geräten ist dies von großer Bedeutung.

Die DANE-Spezifikation ist in

PS Core

Auf den ersten Blick scheint VPN ein klassischer Dienst aller Mobilfunkanbieter für den B2B-Bereich zu sein, und warum sollte man in diesem Fall darauf hinweisen? Das liegt daran, wie das Datennetzwerk für Geräte, die über GPRS, HSPA, LTE oder eine andere Mobilfunktechnologie verbunden sind, aufgebaut ist. Es gibt keine den Netzwerkadministratoren vertrauten VLANs, keine Switches und nicht einmal Router in ihrer gewohnten Bedeutung. Stattdessen gibt es ein Funkzugangsnetz (RAN) und einen Paket-Kern (PS Core).

Eine vereinfachte Darstellung des Packetsystems eines Mobilfunkanbieters. Es unterscheidet sich etwas für LTE, aber das Grundprinzip bleibt dasselbe.

Im Allgemeinen muss jedes mit einer SIM-Karte ausgestattete Gerät, das im Paketnetz registriert ist (den GPRS-Attach oder ein ähnliches Verfahren durchlaufen hat), bevor es Daten überträgt, eine Datenübertragungssitzung (PDP-Kontext) auf dem Kernrouter des Paketnetzes, GGSN, initiieren. Die Details und der Zweck dieser Prozesse sind hier sehr gut beschrieben. diesem ArtikelWas für uns wichtig ist: Bei der Initiierung der Sitzung werden im Anfrage an das GGSN unter anderem Parameter genannt, die viele in ihren Telefonen gesehen haben oder sogar damit zu tun hatten, als sie beispielsweise USB-Modems konfigurierten. Dies sind drei Felder: APN, Benutzername und Passwort. APN (Access Point Name) ist eine sehr wichtige Entität in der Funktionsweise des GGSN: Je nachdem, mit welcher APN die Sitzung initiiert wird, handelt das GGSN unterschiedlich. Nach erfolgreicher Bearbeitung der Benutzeranfrage muss das GGSN eine Datenübertragungssitzung aktivieren und dem Gerät deren Parameter mitteilen, insbesondere die zugewiesene IP-Adresse und die DNS-Adressen. Hier gibt es eine Reihe von sehr wichtigen Besonderheiten:

• Im Anforderung zur Initiierung der Sitzung fragt das Gerät niemals, welche IP-Adresse es erhalten möchte;
• Zusätzlich zu den in den Geräteeinstellungen festgelegten Feldern "APN", "Benutzername" und "Passwort" wird im Antrag an das GGSN auch die Telefonnummer (MSISDN) des Teilnehmers übermittelt (hier und im Folgenden bezeichnet "Teilnehmer" den Endbenutzer, ein Gerät mit SIM-Karte, und "Kunde" die Organisation, die den Dienst anfordert, und zu der die Teilnehmer gehören);
• Bei der Aktivierung der Sitzung erstellt das GGSN in seiner Routingtabelle einen Eintrag über die neue IP-Adresse. Alle Teilnehmer am GGSN werden durch Einträge in der Routingtabelle mit dem Präfix /32 dargestellt, d.h. 1 Teilnehmer – 1 Eintrag in der Tabelle. Das GGSN ist ein sehr leistungsfähiger Router;
• Das Netzwerk des Betreibers kann aus verschiedenen Gründen in verschiedenen Phasen (sowohl im SGSN als auch im GGSN) das APN-Feld in der Anfrage zur Initiierung der Sitzung ändern. Dies ermöglicht es in einigen Fällen, die Netzwerkkonfigurationseinstellungen auf Geräten mit SIM-Karten zu reduzieren oder in einigen Fällen sogar ganz zu beseitigen.

Bei den ersten drei Punkten stellt sich sofort die Frage: Welche IP-Adresse wird dem Teilnehmer zugewiesen?
Dies wird durch die Einstellungen des APN bestimmt, von dem die Anfrage zur Aktivierung der Sitzung kam. Etwa 99 % der Nutzer von mobilen Datennetzen verwenden den herkömmlichen Internetzugang. Hierzu zählen die bekannten Zugangs- Punkte internet.mts.ru, internet.beeline.ru und so weiter. Im Fall des Internetzugangs gibt der GGSN Adressen nach dem klassischen DHCP-Prinzip aus, basierend auf den in den Einstellungen festgelegten grauen Subnetzen. Beim Zugriff auf ein öffentliches Netzwerk werden diese durch klassisches NAT (genauer gesagt die PAT-Version davon) geschlossen.

Aber der GGSN kann mehr. Um eine IP-Adresse auszuwählen, kann er eine AAA-Anfrage an den Authentifizierungsserver (zum Beispiel Radius) senden. Diese Logik wird für einzelne APNs je nach ihrem Verwendungszweck konfiguriert. Der einfachste Fall ist der Dienst zur Bereitstellung einer festen öffentlichen IP-Adresse. Solche Adressen werden in der Regel den Abonnenten im Billing-System (BSS) des Betreibers zugewiesen und gelangen, je nach IT-Architektur, in die jeweilige Datenbank, auf die der GGSN zugreift. Da er die MSISDN (Telefonnummer) des Abonnenten kennt, die in der Anfrage enthalten sein wird, ist eine solche Datenbank relativ einfach und kann lediglich eine Verknüpfung zwischen Nummer und Adresse enthalten. Darüber hinaus kann diese Tabelle, falls der Kunde plant, eine SIM-Karte für den Zugriff auf mehrere Geräte zu verwenden (wenn die SIM-Karte beispielsweise in einem WiFi-Router eines entfernten Büros steckt), auch eine sogenannte „framed route“ enthalten – das Netzwerkpräfix, das „hinter“ der SIM-Karte liegt und allen Geräten im Netzwerk über dynamische Routingprotokolle angekündigt wird.

Nicht nur GGSN.

Neben der Bereitstellung von Adressen muss auch der Datenverkehr der Teilnehmer zu den Kundennetzwerken, jeweils zu ihrem eigenen, geleitet werden. Hier funktioniert alles bereits wesentlich traditioneller. Am GGSN wird der Datenverkehr, der speziell für die Arbeit mit dem VPN APN konzipiert ist, auf einen separaten Router des Betreiber-Netzwerks weitergeleitet (der unterschiedliche Namen tragen kann, manchmal auch als VPN-Router bezeichnet), der seinerseits die Funktion eines klassischen PE im L3VPN-Schema übernimmt. Er fügt die notwendigen Labels und Header hinzu und sendet diesen gesamten Datenstrom durch die Router des Transportsystems zu den vordefinierten Schnittstellen oder Tunneln zum Kundennetz. Dieser Teil ist bereits wesentlich traditioneller und wurde an anderer Stelle vielfach beschrieben, weshalb ich in diesem Material nicht weiter darauf eingehen werde.

Unter Berücksichtigung all dieser Details kann es mehrere Möglichkeiten zur Organisation eines mobilen VPN geben, die sich durch eine Kombination der folgenden Merkmale voneinander unterscheiden:

• IP-Adressen können, wie bereits beschrieben, dynamisch (jedes Mal eine andere Adresse aus einem bestimmten Subnetz) oder statisch (jedes Mal die gleiche Adresse für einen bestimmten Teilnehmer) zugewiesen werden, was durch die APN-Einstellungen und/oder die Einstellungen des Radius-Servers bestimmt wird;
• IP-Adressen können von einem vom Betreiber oder vom Kunden verwalteten Radius-Server zugewiesen werden;
• Geräte, die mit dem mobilen VPN verbunden sind, können entweder nur miteinander kommunizieren oder über eine direkte Schnittstelle (VPN-Port) mit dem Betreiber auf das normale L3VPN-Netz des Kunden zugreifen oder durch Tunneling über das Internet;
• In einigen Fällen kann die Verwendung eines Benutzernamens und eines Passworts für die erfolgreiche Aktivierung der Sitzung erforderlich sein, während in anderen Fällen nicht einmal das Feld "APN" ausgefüllt werden muss.

Solche Kombinationen mit verschiedenen Arten von Tunneling, Lastverteilung zwischen den Zugangswegen zum "Haupt"-VPN des Kunden und den Prinzipien der Adresszuweisung gibt es mehrere Dutzend. In den meisten Fällen sieht das allgemeine Schema wie folgt aus:


Nach einem recht schnellen Registrierungsprozess im Netzwerk und der Zuweisung einer IP-Adresse erhält das Gerät Zugriff auf das Netzwerk des Kunden, während das Netzwerk des Kunden Zugriff auf das Gerät hat. Der Kunde bleibt dabei isoliert von allen anderen Abonnenten des Anbieters, die nichts mit dem spezifischen Kunden zu tun haben. Es sind keine zusätzlichen Einstellungen erforderlich, und der gesamte Datenverkehr wird alternativlos in das Netzwerk des Kunden geleitet, wo er bereits gemäß den internen Richtlinien des Kunden verarbeitet wird.

Quelle: habr.com