VPN pour appareils mobiles au niveau du réseau

Dans l'espace francophone, il existe encore étonnamment peu de matériel sur une technologie aussi ancienne et simple, mais pratique et sûre, qui est particulièrement pertinente avec le développement de l'Internet des objets, à savoir le VPN mobile (réseau privé virtuel). Dans cet article, je vais décrire comment et pourquoi il est possible de configurer l'accès à votre réseau privé depuis n'importe quel appareil avec une carte SIM, sans avoir besoin de configurer un logiciel spécialisé.

Objectifs et limitations

Pour commencer, je vais répondre à la question : « pourquoi ? ». Le VPN en tant que technologie est utilisé pour résoudre une variété de tâches réseau, regroupées par un trait commun — le transfert isolé de données entre deux appareils à travers un grand nombre de nœuds intermédiaires. À partir de cela, des solutions plus complexes sont construites et diverses tâches sont résolues. Dans la situation normale que tout le monde connaît, pour construire un VPN, on utilise le réseau d'un opérateur de télécommunication fixe (pour ceux qui souhaitent des détails, il existe un excellent matériel) ou de nombreux protocoles réseau différents (GRE, IPSec, L2TP et autres — le même auteur en parle) et les produits logiciels associés (Cisco AnyConnect, OpenVPN, TOR — vous le savez vous-même), mais leur utilisation sur un appareil terminal spécifique impose immédiatement une série d'exigences envers celui-ci, dont le non-respect entraîne certaines limitations.

La première limitation sérieuse est que l'appareil doit être capable, à un niveau matériel et logiciel, de travailler avec au moins l'un de ces protocoles. Cela est souvent déterminé par le logiciel, qui peut facilement être trouvé pour un ordinateur portable ou un smartphone, mais il existe des cas où la tâche est posée à un appareil trop simple d'un point de vue matériel, ou son logiciel présente des limitations : un compteur d'eau souhaite utiliser le VPN pour transmettre son malheureux octet de relevé une fois par mois, tout comme vous souhaitez utiliser le VPN pour éditer votre profil LinkedIn.

Une autre contrainte importante est la nécessité de configuration. Cela fonctionne à la fois pour les appareils « stupides » mentionnés précédemment et pour les smartphones et ordinateurs classiques, qui ne connaissent pas cette limite. Et si, pour les premiers, tout est relativement simple et dépend du temps passé à la configuration, pour les seconds, les options sont variées. Souvent, les organisations utilisent des VPN pour des raisons de sécurité, afin de protéger les dispositifs terminaux des employés contre l'accès au réseau public sans la protection adéquate de l'entreprise ou contre la transmission de données professionnelles via des canaux publics. Les utilisateurs finaux peuvent, pour diverses raisons, désactiver ou oublier d'activer le VPN, ce qui peut laisser de nombreux systèmes de sécurité de l'entreprise « à l'écart ».

Ces deux limites peuvent facilement être levées si l'accès au VPN est assuré au niveau du réseau. Dans le cas de la téléphonie mobile, cela peut se réaliser grâce à un « VPN mobile ». Quel que soit le type d'appareil capable de transmettre des données, il les transmettra dans le bon réseau. Peu importe les réglages effectués sur l'appareil, avec un réseau bien configuré, il transmettra toujours les données là où il faut, et nulle part ailleurs.

Et comme bonus agréable, l'appareil recevra une adresse du réseau interne, configurée à distance, et son accès ne sera possible que depuis l'intérieur de ce réseau (ou physiquement). Cela est très important pour certaines catégories d'appareils.

Comment cela fonctionne

PS Core

À première vue, le VPN est un service classique proposé par tous les opérateurs de télécommunications pour le segment B2B, alors pourquoi y prêter autant d'attention ? Tout réside dans la façon dont le réseau de transmission de données est organisé pour les appareils connectés via GPRS, HSPA, LTE ou d'autres technologies de communication mobile. Il n'y a pas de VLAN familiers aux administrateurs réseau, pas de switchs, pas même de routeurs au sens traditionnel du terme. Cependant, il existe un réseau d'accès radio (RAN) et un cœur de paquets (PS Core).

Schéma simplifié du réseau de paquets de l'opérateur de téléphonie mobile. Il diffère légèrement pour le LTE, mais le sens général reste le même.

En général, chaque appareil avec une carte SIM enregistré dans un réseau de paquets (ayant passé la procédure d'attachement GPRS ou équivalent) doit, avant de commencer à transmettre des données, initier la création d'une session de transmission de données (contexte PDP) sur le routeur central du réseau de paquets, GGSN. Les détails et la raison d'être de ces processus sont très bien décrits dans cet article. Ce qui est important pour nous : lors de l'initialisation de la session dans la requête au GGSN figurent, entre autres, des paramètres que beaucoup ont peut-être déjà vus sur leurs téléphones ou même ont manipulés lors de la configuration, comme les modems USB. Il s'agit de trois champs : APN, identifiant et mot de passe. APN (point d'accès) est une entité très importante dans la logique de fonctionnement du GGSN : selon l'APN avec lequel la session est initiée, le GGSN agit différemment. Suite au traitement réussi de la demande de l'utilisateur, le GGSN doit activer sa session de transmission de données et informer l'appareil de ses paramètres, en particulier, l'adresse IP attribuée à l'appareil et les adresses DNS. Il y a ici plusieurs particularités très importantes :

• Dans la requête d'initialisation de la session, l'appareil ne demande jamais quelle adresse IP il aimerait recevoir ;
• En plus des champs « APN », « identifiant » et « mot de passe » définis dans les paramètres de l'appareil, le numéro de téléphone (MSISDN) de l'abonné est également transmis dans la requête au GGSN (ici et par la suite, « abonné » désigne un utilisateur final, un seul appareil avec carte SIM, tandis que « client » désigne l'organisation commanditaire du service, comprenant des abonnés) ;
• Lors de l'activation d'une session, le GGSN crée dans sa table de routage une entrée pour la nouvelle adresse IP. Tous les abonnés sur le GGSN sont représentés par des entrées dans la table de routage avec le préfixe /32, c'est-à-dire qu'un abonné équivaut à une entrée dans la table. Le GGSN est un routeur très performant ;
• Le réseau de l'opérateur peut, à différents stades (tant sur le SGSN que sur le GGSN), pour diverses raisons, modifier le champ APN dans la requête d'initialisation de la session. Cela permet, dans certains cas, de réduire ou même d'éliminer la nécessité de configurer les paramètres du réseau sur les appareils avec carte SIM.

À propos des trois premiers points, une question se pose immédiatement : quelle adresse IP est attribuée à l'abonné ?
Cela est défini par les paramètres de l'APN à partir de laquelle la demande d'activation de session a été reçue. Environ 99 % des utilisateurs de données mobiles dans les réseaux mobiles utilisent un accès Internet standard. Ce sont les points d'accès bien connus internet.mts.ru, internet.beeline.ru, etc. En ce qui concerne l'accès à Internet, le GGSN attribue des adresses sur le principe classique du DHCP à partir des sous-réseaux gris définis dans les paramètres. Lors de l'accès au réseau public, ils sont masqués par un NAT classique (ou plus précisément, par sa version PAT).

Mais le GGSN est capable de davantage. Pour sélectionner une adresse IP, il peut faire une requête AAA au serveur d'autorisation (comme Radius, par exemple). Une telle logique est configurée pour des APN spécifiques en fonction de leur objectif. Le cas le plus simple est le service fournissant une adresse IP publique permanente. Ces adresses sont généralement attribuées aux abonnés dans le système de facturation (BSS) de l'opérateur et, selon l'architecture IT, elles sont dirigées vers une base de données spécifique à laquelle le GGSN fait la requête. Grâce à la connaissance du MSISDN (numéro de téléphone) de l'abonné, qui sera inclus dans la requête, cette base de données sera assez simple et pourra contenir uniquement une association entre le numéro et l'adresse. De plus, si le client prévoit d'utiliser une seule carte SIM pour connecter plusieurs appareils (si la carte SIM se trouve dans un routeur WiFi d'un bureau distant, par exemple), ce tableau peut également contenir ce qu'on appelle une « route encadrée » — le préfixe de réseau situé « derrière » la carte SIM, qui sera annoncé à tous les appareils du réseau via les protocoles de routage dynamique.

Pas seulement par le GGSN

En plus de fournir des adresses, il est également nécessaire de diriger le trafic des abonnés vers les réseaux clients, chacun à destination de son propre. Ici, tout fonctionne de manière beaucoup plus traditionnelle. Au niveau du GGSN, le trafic spécialisé pour le travail avec les VPN APN est routé vers un routeur distinct du réseau de l'opérateur (qui peut avoir différents noms, parfois appelé routeur VPN), qui joue en retour le rôle d'une passerelle classique dans le schéma L3VPN. Il ajoute les balises, les en-têtes nécessaires et tout ça, puis envoie tout ce flux de trafic à travers les routeurs du réseau de transport vers des points de raccordement ou des tunnels préconfigurés pour le réseau du client. Cette partie est déjà beaucoup plus traditionnelle et a été maintes fois décrite ailleurs, je ne vais donc pas insister sur ce point dans ce matériel.

Compte tenu de tous ces détails, les méthodes d'organisation d'un VPN mobile peuvent varier et se distinguer les unes des autres par la combinaison des caractéristiques suivantes :

• Les adresses IP, comme déjà mentionné, peuvent être attribuées de manière dynamique (une adresse différente à chaque fois d'un sous-réseau donné) ou de manière statique (la même adresse pour un abonné donné à chaque fois), ce qui est déterminé et/ou par les réglages de l'APN et/ou par les réglages du serveur Radius ;
• Les adresses IP peuvent être attribuées par un serveur Radius géré par l'opérateur ou par le client ;
• Les appareils connectés au VPN mobile peuvent interagir soit uniquement entre eux, soit avoir accès au réseau L3VPN normal du client via un point de raccordement direct (port VPN) avec l'opérateur ou par tunneling sur Internet ;
• Dans certains cas, l'utilisation d'un identifiant et d'un mot de passe pour activer la session peut être obligatoire, tandis que dans d'autres, il peut ne pas être nécessaire de remplir le champ « APN ».

Il existe plusieurs dizaines de combinaisons avec différents types de tunneling, d'équilibrage du trafic entre les canaux d'accès au « VPN principal » du client et le principe d'attribution des adresses. Dans la plupart des cas, le schéma général ressemble à ceci :


À l'issue d'un processus d'inscription en ligne plutôt rapide et de l'obtention d'une adresse IP, le dispositif accède au réseau du client, tandis que le réseau du client a accès au dispositif. Dans ce cadre, l'abonné est isolé de tous les autres abonnés de l'opérateur n'ayant aucun lien avec le client spécifique, sans nécessiter d'autres configurations, et tout le trafic est inexorablement dirigé vers le réseau du client, où il est traité conformément aux politiques internes de ce dernier.

Source : habr.com