{"id":30229,"date":"2019-10-31T21:34:23","date_gmt":"2019-10-31T18:34:23","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vpn-dlya-mobilnyh-ustrojstv-na-urovne-seti\/"},"modified":"2019-10-31T21:34:23","modified_gmt":"2019-10-31T18:34:23","slug":"vpn-dlya-mobilnyh-ustrojstv-na-urovne-seti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/vpn-dlya-mobilnyh-ustrojstv-na-urovne-seti","title":{"rendered":"VPN dla urz\u0105dze\u0144 mobilnych na poziomie sieci","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W polskim internecie wci\u0105\u017c zaskakuj\u0105co ma\u0142o m\u00f3wi si\u0119 o tak starej i prostej, a zarazem wygodnej, bezpiecznej i szczeg\u00f3lnie aktualnej w dobie rozwoju Internetu rzeczy technologii, jak\u0105 jest mobilny VPN (wirtualna sie\u0107 prywatna). W tym artykule opisz\u0119, jak i po co mo\u017cna skonfigurowa\u0107 dost\u0119p do w\u0142asnej sieci prywatnej dla dowolnego urz\u0105dzenia z kart\u0105 SIM, bez konieczno\u015bci instalowania na nim specjalistycznego oprogramowania.
\n\"VPN
\n<\/a><\/noindex><\/p>\n

Zadania i ograniczenia<\/h2>\n

\nNa pocz\u0105tek odpowiem na pytanie: \u201epo co?\u201d. VPN jako technologia s\u0142u\u017cy do rozwi\u0105zywania bardzo r\u00f3\u017cnych zada\u0144 sieciowych, kt\u00f3re \u0142\u0105czy jedna cecha \u2014 odizolowana transmisja danych mi\u0119dzy dwoma urz\u0105dzeniami przez du\u017c\u0105 liczb\u0119 w\u0119z\u0142\u00f3w po\u015brednich. Na tej podstawie buduje si\u0119 ju\u017c bardziej z\u0142o\u017cone rozwi\u0105zania i realizuje wspomniane r\u00f3\u017cnorodne scenariusze. W typowym, dobrze wszystkim znanym przypadku do zestawienia VPN wykorzystuje si\u0119 sie\u0107 operatora stacjonarnego (dla zainteresowanych szczeg\u00f3\u0142ami jest \u015bwietny materia\u0142<\/a><\/noindex>) albo r\u00f3\u017cne protoko\u0142y sieciowe (GRE, IPSec, L2TP i inne \u2014 ten sam autor pisze o tym<\/a><\/noindex>), a tak\u017ce wsp\u00f3\u0142pracuj\u0105ce z nimi rozwi\u0105zania programowe (Cisco AnyConnect, OpenVPN, TOR \u2014 sami dobrze je znacie), jednak ich u\u017cycie na konkretnym urz\u0105dzeniu ko\u0144cowym od razu stawia wobec niego szereg wymaga\u0144, kt\u00f3rych niespe\u0142nienie prowadzi do okre\u015blonych ogranicze\u0144.<\/p>\n

Pierwsze powa\u017cne ograniczenie jest takie, \u017ce urz\u0105dzenie musi na poziomie sprz\u0119towym i programowym obs\u0142ugiwa\u0107 co najmniej jeden z tych protoko\u0142\u00f3w. Najcz\u0119\u015bciej zale\u017cy to od oprogramowania, kt\u00f3re \u0142atwo znale\u017a\u0107 dla laptopa lub smartfona, ale s\u0105 te\u017c sytuacje, w kt\u00f3rych zadanie dotyczy urz\u0105dzenia zbyt prostego pod wzgl\u0119dem sprz\u0119towym albo jego software ma ograniczenia: wodomierz chce u\u017cy\u0107 VPN, aby raz w miesi\u0105cu przes\u0142a\u0107 sw\u00f3j nieszcz\u0119sny bajt odczytu, nie mniej ni\u017c Ty chcesz u\u017cywa\u0107 VPN do edytowania swojego profilu na LinkedIn.<\/p>\n

Kolejnym istotnym ograniczeniem jest konieczno\u015b\u0107 konfiguracji. Dotyczy to zar\u00f3wno \u201eprostych\u201d urz\u0105dze\u0144 z pierwszego punktu, jak i klasycznych smartfon\u00f3w oraz komputer\u00f3w, kt\u00f3rych poprzednie ograniczenie nie dotyczy. O ile w przypadku tych pierwszych sprawa jest stosunkowo prosta i sprowadza si\u0119 do czasu potrzebnego na konfiguracj\u0119, o tyle przy tych drugich pojawiaj\u0105 si\u0119 r\u00f3\u017cne scenariusze. Organizacje cz\u0119sto korzystaj\u0105 z VPN ze wzgl\u0119d\u00f3w bezpiecze\u0144stwa, aby chroni\u0107 firmowe urz\u0105dzenie ko\u0144cowe przed dost\u0119pem do publicznej sieci bez odpowiednich zabezpiecze\u0144 korporacyjnych lub przed przesy\u0142aniem danych s\u0142u\u017cbowych przez publiczne kana\u0142y. U\u017cytkownicy ko\u0144cowi mog\u0105 jednak z r\u00f3\u017cnych powod\u00f3w wy\u0142\u0105czy\u0107 VPN albo zapomnie\u0107 go w\u0142\u0105czy\u0107, przez co wiele firmowych system\u00f3w bezpiecze\u0144stwa mo\u017ce zosta\u0107 \u201epoza kontrol\u0105\u201d.<\/p>\n

Oba te ograniczenia mo\u017cna \u0142atwo wyeliminowa\u0107, je\u015bli dost\u0119p do VPN jest zapewniany na poziomie sieci. W przypadku \u0142\u0105czno\u015bci mobilnej mo\u017cna to zrealizowa\u0107 za pomoc\u0105 \u201emobilnego VPN\u201d. Ka\u017cde urz\u0105dzenie, niezale\u017cnie od stopnia z\u0142o\u017cono\u015bci, kt\u00f3re potrafi przesy\u0142a\u0107 dane, b\u0119dzie wysy\u0142a\u0107 je do w\u0142a\u015bciwej sieci. Nie ma znaczenia, jakie ustawienia zosta\u0142y wprowadzone na urz\u0105dzeniu \u2014 przy prawid\u0142owo skonfigurowanej sieci i tak b\u0119dzie ono przesy\u0142a\u0107 dane tam, gdzie trzeba, i nigdzie indziej. <\/p>\n

Jako dodatkowy atut urz\u0105dzenie otrzyma adres z sieci wewn\u0119trznej, kt\u00f3ry mo\u017cna zdalnie skonfigurowa\u0107, a dost\u0119p do niego b\u0119dzie mo\u017cliwy wy\u0142\u0105cznie z poziomu tej sieci (lub fizycznie). Dla okre\u015blonej klasy urz\u0105dze\u0144 ma to bardzo du\u017ce znaczenie.<\/p>\n

Jak to dzia\u0142a<\/h2>\n

<\/p>\n

PS Core<\/h3>\n

\nNa pierwszy rzut oka VPN to klasyczna us\u0142uga wszystkich operator\u00f3w telekomunikacyjnych dla segmentu B2B, wi\u0119c po co w og\u00f3le to podkre\u015bla\u0107? Klucz tkwi w tym, jak zbudowana jest sie\u0107 transmisji danych dla urz\u0105dze\u0144 pod\u0142\u0105czanych przez GPRS, HSPA, LTE lub inn\u0105 technologi\u0119 \u0142\u0105czno\u015bci mobilnej. Nie ma tu znanych wszystkim administratorom sieci VLAN-\u00f3w, nie ma switchy, a nawet router\u00f3w w ich tradycyjnym rozumieniu. Jest za to sie\u0107 dost\u0119pu radiowego (RAN) oraz rdze\u0144 pakietowy (PS Core). <\/p>\n

\"VPN
\nUproszczony schemat sieci pakietowej operatora telefonii kom\u00f3rkowej. W przypadku LTE wygl\u0105da on nieco inaczej, ale og\u00f3lny sens pozostaje taki sam.<\/i><\/p>\n

Og\u00f3lnie rzecz bior\u0105c, ka\u017cde urz\u0105dzenie z kart\u0105 SIM, zarejestrowane w sieci pakietowej (po przej\u015bciu procedury GPRS attach lub analogicznej), zanim zacznie przesy\u0142a\u0107 dane dok\u0105dkolwiek, musi zainicjowa\u0107 utworzenie sesji transmisji danych (PDP context) na routerze rdzenia sieci pakietowej, GGSN. Szczeg\u00f3\u0142y i cel tych proces\u00f3w zosta\u0142y bardzo dobrze opisane tutaj w w tym artykule<\/a><\/noindex>. Co jest dla nas istotne: podczas inicjowania sesji w \u017c\u0105daniu do GGSN, opr\u00f3cz innych parametr\u00f3w, pojawiaj\u0105 si\u0119 warto\u015bci, kt\u00f3re wiele os\u00f3b widzia\u0142o w swoich telefonach lub mia\u0142o z nimi do czynienia przy konfiguracji, na przyk\u0142ad modem\u00f3w USB. S\u0105 to trzy pola: APN, login i has\u0142o. APN (punkt dost\u0119pu) to bardzo wa\u017cny element logiki dzia\u0142ania GGSN: w zale\u017cno\u015bci od tego, z jakiego APN zainicjowano sesj\u0119, GGSN dzia\u0142a w r\u00f3\u017cny spos\u00f3b. W wyniku pomy\u015blnego przetworzenia \u017c\u0105dania u\u017cytkownika GGSN powinien aktywowa\u0107 u siebie sesj\u0119 transmisji danych i przekaza\u0107 urz\u0105dzeniu jej parametry, w szczeg\u00f3lno\u015bci przydzielony urz\u0105dzeniu adres IP oraz adresy DNS. Warto zwr\u00f3ci\u0107 uwag\u0119 na kilka bardzo istotnych cech:<\/p>\n