VPN mobiilseadmetele võrgu tasemel

Eestis on endiselt üllatavalt vähe materjali sellisest vanast ja lihtsast, kuid mugavast, turvalisest ja eriti asjakohasest tehnoloogiast nagu mobiilne VPN (virtuaalne privaatvõrk), mis on viimaste Interneti-asjade arengu taustal. Selles artiklis kirjeldan, kuidas ja miks seadistada juurdepääs oma privaatvõrku igale seadmele, millel on SIM-kaart, ilma et oleks vaja seadistada spetsiaalset tarkvara.

Ülesanded ja piirangud

Küsimusele 'miks?' vastamiseks: VPN-tehnoloogiat kasutatakse mitmesuguste võrguülesannete lahendamiseks, millel on ühine tunnus — andmete isoleeritud edastamine kahe seadme vahel läbi paljude vahepealsete sõlmede. Selle alusel ehitatakse juba keerukamaid lahendusi ja lahendatakse neid erinevaid ülesandeid. Tavalises, meile tuttavas olukorras kasutatakse VPN-i loomiseks fikseeritud sideoperaatori võrku (huvilistele detailide kohta on suurepärane materjal) või mitmeid erinevaid võrguprotokolle (GRE, IPSec, L2TP ja teised — samas autor sellest) ja nende protokollidega töötavaid tarkvaratooteid (Cisco AnyConnect, OpenVPN, TOR — noh, te teate ise), kuid nende kasutamine konkreetses lõppseadmest toob kohe kaasa tõsiseid nõudeid, mille mitte täitmine toob kaasa teatud piiranguid.

Esimene tõsine piirang — seade peab riist- ja tarkvaratasemel suutma töötada vähemalt ühe nende protokollidega. Enamasti määratakse see tarkvaraga, mida on lihtne leida sülearvutite või nutitelefonide jaoks, kuid esinevad juhtumid, kus ülesanne on liiga lihtsa riistvara jaoks, või selle tarkvaral on piirangud: veearvesti soovib kasutada VPN-i, et edastada oma õnnetut bait'i näitu kord kuus vähem, kui te soovite kasutada VPN-i oma LinkedIn-profiili muutmiseks.

Teine oluline piirang on seadistamise vajadus. See töötab nii "rumalate" seadmete jaoks, nagu esimeses punktis mainitud, kui ka klassikaliste nutitelefonide ja arvutite jaoks, mille jaoks eelmine piirang ei kehti. Ja kui esimeste puhul on kõik suhteliselt lihtne ning sõltub ainult seadistamiseks kulutatud ajast, siis viimaste korral on variatsioone. Sageli kasutavad organisatsioonid VPN-i turvalisuse huvides, et kaitsta oma ametlikku lõppseadet avalikku võrku liikumise eest ilma nõuetekohase ettevõtte kaitseta või ametlike andmete edastamise eest avalike kanalite kaudu. Lõppkasutajad võivad aga mingitel põhjustel VPN-i välja lülitada või unustada selle sisse lülitada, mistõttu võivad paljud ettevõtte turvasüsteemid jääda "äärele".

Kumbki neist piirangutest on hõlpsasti kõrvaldatavad, kui VPN-ile pääsetakse juurde võrgu tasemel. Mobiilside korral võib see olla rakendatud "mobiilse VPN-i" kaudu. Iga keerukuse seadmed, mis suudavad andmeid edastada, edastavad neid õigesse võrku. Pole oluline, millised seadistused seadmel on, õigesti konfigureeritud võrgu korral edastatakse andmed alati sinna, kuhu vaja, ja mitte kuhugi muusse.

Ja meeldiva boonusena saab seade sisemiselt võrgu aadressi, mis on seadistatud kaugelt, ning sellele pääseb ligi ainult seestpoolt (või füüsiliselt). Teatud seadmeklasside jaoks on see väga oluline.

Kuidas see töötab

PS Core

Tundub, et VPN on klassikaline teenus, mida pakuvad kõik sideoperaatorid B2B-segmentide jaoks, ja miks siis sellele tähelepanu pöörata? Kõik on seotud sellega, kuidas on korraldatud andmeedastuse võrk seadmete jaoks, mis on ühendatud läbi GPRS, HSPA, LTE või muu mobiilside tehnoloogia. Siin pole tavalisi vlan-e, mis on kõigile võrguadministraatoritele tuttavad, pole lüliteid, pole isegi marsruutereid oma tavapärases mõttes. Küll aga on olemas raadiosidevõrk (RAN) ja pakettide süda (PS Core).

Lihtsustatud skeem mobiilsideoperaatori pakettide võrgust. See erineb veidi LTE puhul, kuid üldine sisu jääb samaks.

Üldiselt peab iga SIM-kaardiga seade, mis on registreeritud pakettvõrgus (läbides GPRS attach või analoogilise protseduuri), enne andmete edastamise alustamist looma andmeedastuse sessiooni (PDP kontekst) pakettvõrgu tuumruuteris, GGSN-is. Nende protsesside üksikasjad ja eesmärk on suurepäraselt opisatud siin selles artiklis. Mis on meie jaoks oluline: sessiooni initsialiseerimise ajal GGSN-ile esitatud päringus on hulgaliselt parameetreid, mida paljud on oma telefonides näinud või millega on kokku puutunud seadistades näiteks USB-modemeid. Need on kolm valdkonda: APN, kasutajanimi ja parool. APN (juurdepääsupunkt) on GGSN-i töö loogikas väga oluline element: sõltuvalt sellest, millise APN-iga sessioon algatatakse, käitub GGSN erinevalt. Pärast kasutaja päringu eduka töötlemise korral peab GGSN aktiveerima oma andmeedastuse sessiooni ja edastama seadmele selle parameetrid, sealhulgas antud seadmele IP-aadressi ja DNS-aadressid. Siin on mitmeid väga olulisi spetsiifikasid:

• Seadme sessiooni initsialiseerimise päringus ei palu seda kunagi, millist IP-aadressi ta sooviks saada;
• Lisaks seadme seadistustes määratud väljadele 'APN', 'kasutajanimi' ja 'parool' edastatakse GGSN-ile ka abonendi telefoni number (MSISDN) (edasi, 'abonent' — see on lõppkasutaja, üks SIM-kaardiga seade, ja 'klient' — teenuse telliv organisatsioon, kuhu kuuluvad abonendid);
• Sessiooni aktiveerimisel loob GGSN oma marsruudingu tabelisse kirje uue IP-aadressi kohta. Kõiki GGSN-i abonente tähistatakse marsruudingu tabelis kirjed prefiksiga /32, st 1 abonent — 1 kirje tabelis. GGSN on väga võimeline ruuter;
• Operaatori võrgus võib erinevatel etappidel (nii SGSN-is kui ka GGSN-is) erinevatel põhjustel muuta APN-i välja sessiooni initsialiseerimise päringus. See võimaldab mõningatel juhtudel vähendada või mõnes isegi täielikult välistada võrgu parameetrite seadistamise SIM-kaardiga seadmetes.

Kolme esimese punkti osas tekib kohe küsimus: milline IP-aadress määratakse abonendile?
See määratakse selle APN-i seadistustega, mille kaudu sooviavaldus seansi aktiveerimiseks tuli. Umbes 99% mobiilsete andmeside kasutajatest kasutab tavapärast Interneti-juurdepääsu. Need on tuntud juurdepääsupunktid, nagu internet.mts.ru, internet.beeline.ru jne. Interneti-juurdepääsu korral annab GGSN aadresse klassikalise DHCP põhimõtte kohaselt määratletud hallidest alamvõrkudest. Avalikku võrku minnes suletakse need klassikalise NAT-iga (täpsemalt selle PAT versiooniga).

Kuid GGSN suudab rohkem. IP-aadressi valimiseks võib ta teha AAA-päringu autoriseerimissemele (näiteks Radius). Selline loogika seadistatakse eraldi APN-idele vastavalt nende otstarbele. Lihtsaim juhtum on teenus, mis pakub püsivat avalikku IP-aadressi. Sellised aadressid on tavaliselt seotud abonentidega operaatori tasu kogumise süsteemis (BSS) ja IT-arhitektuurist sõltuvalt satuvad nad kas ühte või teise andmebaasi, millele GGSN päringu esitab. Kuna tal on teada abonendi MSISDN (telefoninumber), mis sisaldub päringus, on selline andmebaas üsna lihtne ja võib sisaldada ainult numbri ja aadressi kombinatsiooni. Lisaks, juhul kui klient kavatseb kasutada ühte SIM-kaarti mitme seadme ühendamiseks (kui SIM-kaart asub näiteks kauoffice WiFi-ruuteri sees), võib see tabel sisaldada ka nn „framed route’i“ — võrgu prefiksi, mis asub SIM-kaardi „taga“ ja mida kuulutatakse kõigile seadmetele võrgus dünaamilise marsruutimise protokollide kaudu.

Ükski GGSN ei tee midagi.

Lisaks aadresside väljastamisele tuleb ka suunata abonentide liiklus kliendivõrkudesse, igaühe oma. Siin töötab kõik juba palju traditsioonilisemalt. GGSN-is marsruutimine VPN-iga töötamiseks mõeldud APN liiklust suunatakse operaatori võrgu eraldiseisvale marsruuterile (mida võib nimetada ka erinevalt, mõnikord — VPN marsruuteriks), mis omakorda täidab klassikalise PE funktsiooni L3VPN skeemis. See lisab vajalikud sildid, päised ja seda kõike ning saadab kogu selle liiklusvoo läbi transpordivõrgu marsruuterite eelnevalt konfigureeritud ühenduspunktide või tunnelite kaudu kliendi võrguni. See osa on juba palju traditsioonilisem ja on korduvalt kirjeldatud teistes kohtades, seega ei kavatse ma sellele materjaalis enam tähelepanu pöörata.

Arvestades neid kõiki detaile, võib mobiilse VPN-i korraldamise viise olla mitmeid, ja need erinevad üksteisest kombinatsiooni järgmiste omadustega:

• IP-aadresse, nagu juba mainitud, võidakse välja anda dünaamiliselt (igal korral erinev aadress määratud alavõrgust) või staatiliselt (igal korral sama aadress konkreetse abonendi jaoks), mille määrab ja\/või APN seadistused, ja\/või Radius-serveri seadistused;
• IP-aadresse võib välja anda operaatori hallatav Radius-server või kliendi hallatav;
• Mobiilse VPN-iga ühendatud seadmed võivad omavahel suhelda kas ainult üksteisega või omada juurdepääsu kliendi tavapärasele L3VPN-võrgule otse operaatori ühenduspunkti (VPN port) kaudu või Interneti-tunnelite kaudu;
• Mõnes olukorras võib sessiooni eduka aktiveerimise jaoks olla kohustuslik kasutada kasutajanime ja parooli, samas kui mõnikord ei ole isegi "APN" välja täitmine vajalik.

Selliseid kombinatsioone erinevate tunnelite, liiklusbalansseerimise vahel juurdepääsukanalite "põhivõrku" klient ja aadresside väljastamise põhimõttega on mitukümmend. Enamikul juhtudel näeb üldine skeem välja järgmine:


Tulemusena, pärast üsna kiiret registreerimisprotsessi võrgus ja IP aadressi saamist, saab seade klientvõrku juurde, samas kui klientvõrk saab seadmele juurde. Klient on samas isoleeritud kõigist teistest operaatori abonentidest, kellel ei ole mingit seost konkreetse kliendiga; tal ei ole vaja täiendavaid seadistusi ning kogu liiklus suunatakse tingimusteta kliendi võrgusse, kus seda töödeldakse vastavalt kliendi siseeeskirjadele.

Allikas: habr.com