VPN mobiilseadmete jaoks võrgu tasemel

Eestis on endiselt üllatavalt vähe materjale nii vana, kuid mugava, turvalise ja eriti aktuaalse, seoses asjade Interneti arenguga, tehnoloogia, nagu mobiilne VPN (virtuaalne privaatvõrk). Selles artiklis selgitan, kuidas ja miks seadistada juurdepääs oma privaatvõrgule igasugustele seadmetele SIM-kaardiga, ilma et oleks vaja seadme küljest spetsiaalset tarkvara seadistada.

Ülesanded ja piirangud

Kuna alustan küsimusest "miks?". VPN-i tehnoloogiat kasutatakse mitmesuguste võrgutööde lahendamiseks, millel on ühine joon – andmete isoleeritud edastamine kahe seadme vahel läbi suures koguses vahepealsete sõlmede. Selle alusel on võimalik luua keerukamaid lahendusi ja lahendada neid mitmesuguseid ülesandeid. Tavalises, kõigile tuttavas olukorras kasutatakse VPN-i seadistamiseks fikseeritud side operaatori võrku (neile, kes soovivad detailselt teada, on olemas suurepärane materjal) või hulga erinevaid võrguprotokolle (GRE, IPSec, L2TP ja teised - sama autor sellest räägib) ja nendega töötavate programmide (Cisco AnyConnect, OpenVPN, TOR — noh, te ise teate), kuid nende kasutamine konkreetses lõppseadmes seab sellele kohe mitmeid nõudeid, mille täitmata jätmine toob kaasa teatud piirangud.

Esimene tõsine piirang on see, et seade peab tasemete kaupa suutma töötada vähemalt ühe nende protokollidega. Enamasti määrab selle tarkvara, mida on kerge leida sülearvutile või nutitelefonile, kuid on ka juhuseid, kus ülesanne seisab silmitsi liiga lihtsa riistvara poolest seadmega, või on selle tarkvaral piirangud: veemõõtur tahab kasutada VPN-i, et edastada oma pisikese ülevaate andmed kord kuus, mitte vähem, kui te soovite kasutada VPN-i oma LinkedIn profiili redigeerimiseks.

Teine oluline piirang on seadistamise vajadus. See kehtib nii "rumalatele" seadmetele, nagu eelnevalt mainitud, kui ka klassikalistele nutitelefonidele ja arvutitele, mille kohta eelmine piirang ei kehti. Esimeste puhul on olukord suhteliselt lihtne ja sõltub ainult seadistamisele kulutatud ajast, kuid viimaste puhul on erinevaid võimalusi. Paljud organisatsioonid kasutavad VPN-i turvamiseks, et kaitsta tööotseseadmeid avalikku võrku sisenemise eest ilma piisava ettevõtte kaitseta või tööandja andmete edastamise eest avalike kanalite kaudu. Lõppkasutajad võivad aga mingitel põhjustel VPN-i välja lülitada või unustada selle sisse lülitada, mille tulemusena võivad paljud ettevõtte turvasüsteemid jääda "kõrvale".

Mõlemad piirangud saab kergesti eemaldada, kui VPN-i juurdepääs tagatakse võrgutasemel. Mobiilside puhul saab seda rakendada „mobiilse VPN-i” abil. Igasugune andmeid edastav seade suudab edastada need õigesse võrku. Pole tähtis, millised seaded seadmes on, kui võrk on õigesti konfigureeritud, edastab seade oma andmed igal juhul sinna, kuhu on vajalik, ja mitte kuhugi mujale.

Ja meeldiva boonuse tõttu saab seade aadressi sisemisest võrgust, mis on kaugjuhtimise teel konfigureeritav, ja sellele pääseb ligi vaid seestpoolt (või füüsiliselt). Teatud seadmete klassi jaoks on see väga oluline.

Kuidas see toimib

PS Core

Esmapilgul on VPN klassikaline teenus, mida pakuvad kõik sideettevõtted B2B-segmendis, ja miks siis sellele tähelepanu pöörata? Kõik on seotud andmeside võrgu ülesehitusega seadmete jaoks, mis on ühendatud GPRS, HSPA, LTE või mõne muu mobiilside tehnoloogia kaudu. Siin pole tuttavaid vlan'e kõikidele võrguhalduritele, pole lüliteid, pole isegi marsruutereid tavapärases tähenduses. Küll aga on olemas raadioühenduse võrk (RAN) ja paketituum (PS Core).

Lihtsustatud mobiiliviirgulise operaatori paketivõrgu skeem. See erineb LTE puhul veidi, kuid üldine mõte jääb samaks.

Üldiselt peab iga SIM-kaardiga seade, mis on registreeritud paketivõrgus (läbides GPRS attach või sarnase protseduuri), enne andmete edastamise alustamist küsima andmete edastamise seansi (PDP konteksti) loomist paketivõrgu tuumruuterilt, GGSN-ilt. Nende protsesside üksikasjad ja määratlemine on hästi kirjeldatud siin. selles artiklisMis on meie jaoks oluline: seansi algatamisel GGSN-ile esitatud päringus on lisaks muudele ka parameetrid, mida paljud on oma telefonides näinud või millega on isegi kokku puutunud seadistamisel, näiteks USB-modemitel. Need on kolm väljastust: APN, login ja parool. APN (juurdepääsupunkt) on GGSN-i töös väga oluline kontseptsioon: sõltuvalt sellest, millise APN-iga seanss algatatakse, käitub GGSN erinevalt. Kliendi päringu eduka töötlemise tulemusena peab GGSN aktiveerima enda juures andmete edastamise seansi ja edastama seadmele selle parameetrid, sealhulgas väljastatud seadme IP-aadressi ja DNS-aadressid. Siin on mitu väga olulist aspekti:

• Seansi algatamise päringus ei küsi seade kunagi, millist IP-aadressi ta soovib saada;
• Lisaks seadme seadetes määratud väljadele 'APN', 'kasutajanimi' ja 'parool' edastatakse GGSNi päringus ka abonendi telefoninumber (MSISDN) (edaspidi 'abonent' tähistab lõppkasutajat, mis on seade SIM-kaardiga, ja 'klient' on teenuse tellija organisatsioon, kuhu kuuluvad abonendid);
• Seansi aktiveerimisel loob GGSN oma marsruutimisetaotluses uue IP-aadressi kirje. Kõiki GGSN-i abonente tähistatakse marsruutimistabelis kirjetega prefiksiga /32, st 1 abonent = 1 kirje tabelis. GGSN on väga jõuline marsruuter;
• Operaatori võrk võib erinevatel etappidel (nii SGSN-is kui ka GGSN-is) erinevatel põhjustel muuta APN väli seansi algatamise päringus. See võimaldab mõnel juhul vähendada ja mõnel juhul täielikult välistada SIM-kaardiga seadmete võrguparametrite seadistamise.

Kolme esimese punkti põhjal tekib kohe küsimus: milline IP-aadress antakse abonendile?
See määratakse APN-i seadistuste järgi, millest pärineb seansi aktiveerimise päring. Umbes 99% mobiilsete andmeside kasutajatest kasutab tavapäraseid Interneti-ühendusi. Need on tuntud juurdepääsupunktid nagu internet.mts.ru, internet.beeline.ru ja nii edasi. Interneti-juurdepääsu korral väljastab GGSN aadresse klassikalise DHCP printsiibi alusel väljakirjutatud hallidesse alamvõrkudesse. Avalikku võrku sisenedes suletakse need klassikalise NAT-iga (täpsemalt selle versiooniga, mis on PAT).

Kuid GGSN suudab rohkemat. IP-aadressi valimiseks võib see teha AAA-päringu autoriseerimiserverile (näiteks RADIUS). Selline loogika seadistatakse eraldi APN-ide jaoks sõltuvalt nende otstarbest. Kõige lihtsam juhtum on teenus, mis pakub püsivat avalikku IP-aadressi. Sellised aadressid on tavaliselt siduvad tellijatele operaatori arveldamises (BSS), ja sõltuvalt IT-architektuurist satuvad nad ühte või enamasse andmebaasi, millele GGSN päringu esitab. Tänu sellele, et tal on teada tellija MSISDN (telefoninumber), mille põhjal see päring saadetakse, on selline andmebaas üsna lihtne ja võib sisaldada vaid numbri ja aadressi seoseid. Lisandina, kui klient plaanib kasutada ühte SIM-kaarti mitme seadme ühendamiseks (näiteks kui SIM-kaart asub kaugkontori WiFi-ruuteris), võib see tabel sisaldada ka nn «framed route» — võrgu prefiks, mis asub SIM-kaardi taga ja mis kuulutatakse välja kõikidele seadmetele võrgus dünaamilise marsruutimist protokollide kaudu.

Ei ole ainult GGSN

Lisaks aadresside väljastamisele tuleb suunata abonentide liiklus kliendi võrkudesse, igaühe oma. Siin toimib kõik juba palju traditsioonilisemalt. GGSN-is suunatakse VPN-iga töötamiseks spetsialiseerunud APN-i liiklus operaatori võrgu eraldi ruuteri (mida võib nimetada erinevalt, vahel ka VPN ruuteriks) kaudu, mis omakorda täidab klassikalise RE funktsiooni L3VPN skeemis. Ta lisab vajalikud sildid, pealkirjad ja kogu selle muu ning saadab kogu selle liikluse läbi transpordivõrgu ruuterite eelnevalt seadistatud pistikupesadesse või tunnelitesse kliendi võrku. See osa on juba palju traditsioonilisem ja on korduvalt kirjeldatud mujal, seega ei too ma sellele materjalis erilist tähelepanu.

Kuna kõik need detailid arvesse võetakse, võib mobiilsete VPN-ide korraldamiseks olla mitmeid viise, mis erinevad omavahel järgmiste omaduste kombinatsiooniga:

• IP-aadressid võivad nagu juba mainitud, olla dünaamilised (iga kord erinev aadress määratud alamvõrgust) või staatilised (iga kord sama aadress konkreetse abonendi jaoks), mida määravad ja/või APN-i seaded ning/või Radius-serveri seaded;
• IP-aadresse võib määrata Radius-server, mis on juhitud operaatori või kliendi poolt;
• Mobiilse VPN-i külge ühendatud seadmed võivad suhelda kas ainult omavahel või omada juurdepääsu kliendi tavapärasele L3VPN-võrgule, otsekontakti (VPN-port) kaudu operaatoriga või läbi Interneti-tunnelimise;
• Mõnel juhul võib sisselogimise ja parooli kasutamine seansi edukaks aktiveerimiseks olla kohustuslik, samas ei pruugi isegi olla vajalik 'APN' välja täitmine.

Erinevate tunnelite tüütamine, liikluse tasakaalustamine juurdepääsukanalite vahel 'peamise' kliendi VPN-i ja aadresside jaotamise printsiibi osas on mitu tosinat varianti. Enamikul juhtudel näeb üldine skeem välja järgmiselt:


Lõpuks, pärast suhteliselt kiiret registreerimisprotsessi ja IP-aadressi saamist saab seade juurdepääsu kliendi võrgule ning klient saab juurdepääsu seadmele. Samuti on kasutaja isoleeritud kõigist teistest operaatori kasutajatest, kes ei ole konkreetselt seotud kliendiga, tal ei ole vaja mingeid lisaseadeid, ning kogu liiklus suunatakse ilma valikuta kliendi võrku, kus seda töödeldakse vastavalt kliendi sisepoliitikatele.

Allikas: habr.com