Det finns fortfarande förvÄnansvÀrt lite material i det ryska nÀtet om en sÄ gammal och enkel men praktisk och sÀker teknik, sÀrskilt relevant med utvecklingen av Internet of Things, som mobil VPN (virtuellt privat nÀtverk). I denna artikel kommer jag att beskriva hur och varför du kan stÀlla in tillgÄng till ditt privata nÀtverk för vilken enhet som helst med ett SIM-kort utan att behöva konfigurera specialiserad programvara pÄ enheten.
Uppgifter och begrÀnsningar
Först ska jag svara pÄ frÄgan "varför?". VPN som teknik anvÀnds för att lösa olika nÀtverksuppgifter, som alla har en gemensam egenskap - isolerad dataproduktion mellan tvÄ enheter genom ett stort antal mellanstationer. Baserat pÄ detta byggs mer komplexa lösningar och dessa olika uppgifter löses. I det vanliga, bekanta fallet anvÀnds operatörens fasta nÀtverk för att bygga VPN (den som vill veta detaljerna har ) eller ett antal olika nÀtverksprotokoll (GRE, IPSec, L2TP och andra - samma författare ) och programvaror som arbetar med dem (Cisco AnyConnect, OpenVPN, TOR - ni kÀnner till dem), men deras anvÀndning pÄ en specifik slutlig enhet stÀller genast en rad krav som, om de inte uppfylls, leder till vissa begrÀnsningar.
Den första allvarliga begrÀnsningen Àr att enheten mÄste kunna arbeta Ätminstone med ett av dessa protokoll pÄ hÄrdvaru- och programvarunivÄ. Oftast bestÀms detta av mjukvaran, som Àr lÀtt att hitta för bÀrbara datorer eller smartphones, men det finns fall nÀr uppgiften stÀlls inför en alldeles för enkel enhet ur hÄrdvarusynpunkt, eller om dess mjukvara har begrÀnsningar: en vattenmÀtare vill anvÀnda VPN för att överföra sina ynkliga byte av mÀtningar en gÄng i mÄnaden, precis som du vill anvÀnda VPN för att redigera din LinkedIn-profil.
En annan viktig begrÀnsning Àr behovet av konfiguration. Det fungerar bÄde för "dumma" enheter frÄn första punkten och för klassiska smartphones och datorer, som den tidigare begrÀnsningen inte Àr bekant med. Och om det första Àr relativt enkelt och beror pÄ den tid som lÀggs pÄ konfiguration, sÄ finns det alternativ för de andra. Ofta anvÀnder organisationer VPN av sÀkerhetsskÀl för att skydda sina arbetsenheter frÄn att ansluta till det offentliga nÀtet utan adekvat företagskydd eller frÄn att skicka företagsdata över offentliga kanaler. SlutanvÀndarna kan av sina skÀl stÀnga av eller glömma att aktivera VPN, vilket kan göra att mÄnga av företagets sÀkerhetssystem blir "utanför".
BÄda dessa begrÀnsningar kan enkelt övervinnas om Ätkomst till VPN tillhandahÄlls pÄ nÀtverksnivÄ. NÀr det gÀller mobilkommunikation kan detta genomföras med hjÀlp av "mobil VPN". En enhet av vilken komplexitet som helst som kan överföra data kommer att skicka dem till rÀtt nÀtverk. Det spelar ingen roll vilka instÀllningar som görs pÄ enheten, med ett korrekt konfigurerat nÀtverk kommer den alltid att skicka dem dit de behöver gÄ, och ingen annanstans.
Och som en trevlig bonus kommer enheten att fÄ en adress frÄn det interna nÀtverket, konfigurerat pÄ distans, och det kommer endast att vara möjligt att fÄ tillgÄng till det inifrÄn detta nÀtverk (eller fysiskt). För en viss klass av enheter Àr detta mycket viktigt.
Hur det fungerar
PS Core
Det kan tyckas att VPN Àr en klassisk tjÀnst frÄn alla telekommunikationsoperatörer för B2B-segmentet, och varför skulle man dÄ fokusera pÄ det? Allt handlar om hur dataöverföringsnÀtverket Àr uppbyggt för de enheter som ansluts via GPRS, HSPA, LTE eller en annan mobil kommunikationsteknik. HÀr finns inga vlan som alla nÀtverksadministratörer Àr vana vid, inga switchar, inte ens routrar i deras vanliga betydelse. Men det finns ett radiotillgÄngsnÀt (RAN) och ett paketkÀrna (PS Core).
En förenklad skiss av operatörens mobila paketsystem. Det skiljer sig nÄgot för LTE, men den övergripande betydelsen förblir densamma.
I allmÀnhet mÄste varje enhet med ett SIM-kort, registrerad i ett paketnÀt (som har genomgÄtt GPRS-anknytning eller liknande), initiera skapandet av en datatransmissionssession (PDP-konsultation) pÄ paketnÀtets kÀrnrouter, GGSN, innan den börjar överföra data nÄgonstans. Detaljerna och syftet med dessa processer Àr mycket vÀl beskrivna hÀr . Vad som Àr viktigt för oss: vid initiativ av sessionen i förfrÄgan till GGSN anges, bland andra, parametrar som mÄnga har sett i sina telefoner eller till och med stött pÄ nÀr de stÀller in exempelvis USB-modem. Det handlar om tre fÀlt: APN, anvÀndarnamn och lösenord. APN (Ätkomstpunkt) Àr en mycket viktig enhet i GGSN:s logik: beroende pÄ vilken APN sessionen initieras med, agerar GGSN pÄ olika sÀtt. Som ett resultat av en framgÄngsrik hantering av anvÀndarens begÀran ska GGSN aktivera en datatransmissionssession och meddela enheten dess parametrar, sÀrskilt den IP-adress som tilldelats enheten samt DNS-adresserna. HÀr finns en rad mycket viktiga egenskaper:
- I förfrÄgan om att initiera sessionen begÀr enheten aldrig vilken IP-adress den skulle vilja fÄ;
- Förutom de fÀlt som anges i enhetens instÀllningar, "APN", "anvÀndarnamn" och "lösenord", överförs ocksÄ abonnentens telefonnummer (MSISDN) i förfrÄgan till GGSN (hÀr och framöver Àr "abonnent" den slutliga anvÀndaren, en enhet med SIM-kort, medan "kund" Àr bestÀllarorganisationen av tjÀnsten, som omfattar abonnenter);
- Vid aktivering av sessionen skapar GGSN en post om den nya IP-adressen i sin routingtabelle. Alla abonnenter pĂ„ GGSN representeras av poster i routingtabelle med prefixet /32, d.v.s. 1 abonnent â 1 post i tabellen. GGSN Ă€r en mycket högpresterande router;
- Operatörens nÀt kan av olika anledningar Àndra APN-fÀltet i förfrÄgan om sessionens initiativ i olika skeden (bÄde pÄ SGSN och GGSN). Detta gör det möjligt i vissa fall att minska, och i vissa fall helt utesluta instÀllningen av nÀtverksparametrar pÄ enheter med SIM-kort.
De tre första punkterna vÀcker genast frÄgan: vilken IP-adress tilldelas abonnenten?
Det bestÀms av instÀllningarna för den APN som begÀrde aktiveringen av sessionen. UngefÀr 99 % av anvÀndarna för datatrafik i mobilnÀt anvÀnder vanlig internetÄtkomst. Det handlar om vÀlkÀnda Ätkomstpunkter som internet.mts.ru, internet.beeline.ru och sÄ vidare. Vid internetÄtkomst tilldelar GGSN adresser enligt principen för klassisk DHCP frÄn de angivna instÀllningarna för grÄ subnet. Vid utgÄng till publik nÀtverk stÀngs de av med klassisk NAT (eller mer exakt av en version som kallas PAT).
Men GGSN kan göra mer. För att vĂ€lja IP-adress kan den göra en AAA-förfrĂ„gan till autentiseringstjĂ€nsten (till exempel Radius). Denna logik kan stĂ€llas in för specifika APN beroende pĂ„ deras syfte. Det enklaste fallet Ă€r en tjĂ€nst för att tillhandahĂ„lla en konstant offentlig IP-adress. SĂ„dana adresser tilldelas vanligtvis abonnenterna i operatörens faktureringssystem (BSS) och beroende pĂ„ IT-arkitekturen hamnar de i en eller annan databas, som GGSN gör begĂ€ran till. Eftersom den kĂ€nner till MSISDN (telefonnummer) för abonnenten som kommer att inkluderas i förfrĂ„gan, kommer en sĂ„dan databas att vara ganska enkel och kan bara innehĂ„lla kopplingen mellan nummer och adress. Dessutom, om kunden planerar att anvĂ€nda ett SIM-kort för att koppla flera enheter (om SIM-kortet exempelvis finns i en Wifi-router pĂ„ ett fjĂ€rrkontor), kan denna tabell Ă€ven innehĂ„lla sĂ„ kallad "framed route" â prefixet för nĂ€tverket som finns "bakom" SIM-kortet, vilket kommer att annonseras till alla enheter i nĂ€tverket via protokoll för dynamisk routing.
Inte bara GGSN
Förutom att tilldela adresser krÀvs det ocksÄ att trafiken frÄn abonnenterna levereras till kundernas nÀtverk, varje abonnent till sitt eget nÀtverk. HÀr fungerar allt pÄ ett mycket mer traditionellt sÀtt. PÄ GGSN dirigeras trafiken som Àr specialiserad för arbete med VPN APN till en separat router i operatörens nÀtverk (den kan ha olika namn, ibland kallas den - VPN-router), som i sin tur fungerar som en klassisk PE i L3VPN-schema. Den lÀgger till nödvÀndiga etiketter, rubriker och allt det dÀr och skickar hela denna trafik genom transportnÀtverkets routrar till förkonfigurerade kopplingar eller tunnlar till kundens nÀtverk. Denna del Àr redan mycket mer traditionell och har beskrivits mÄnga gÄnger pÄ andra stÀllen, sÄ jag kommer inte att fokusera pÄ den i detta material.
Med hÀnsyn till alla dessa detaljer kan det finnas flera sÀtt att organisera mobil VPN och dessa kommer att skilja sig Ät genom en kombination av följande egenskaper:
- IP-adresser, som redan har beskrivits, kan tilldelas dynamiskt (varje gÄng en annan adress frÄn det angivna undernÀtet) och statiskt (varje gÄng samma adress till en specifik abonnent), vilket bestÀms och/eller av APN-instÀllningarna och/eller av Radius-serverns instÀllningar;
- IP-adresser kan tilldelas av en Radius-server som styrs av operatören eller av kunden;
- Enheter som Àr anslutna till mobil VPN kan interagera antingen endast med varandra eller ha tillgÄng till kundens vanliga L3VPN-nÀtverk genom en direkt koppling (VPN-port) med operatören eller genom tunneling över Internet;
- I vissa fall kan anvÀndning av inloggningsuppgifter och lösenord för att framgÄngsrikt aktivera sessionen vara obligatoriskt, medan det ibland inte ens krÀvs att fylla i fÀltet 'APN'.
Det finns flera dussin sÄdana kombinationer med olika typer av tunneling, lastbalansering mellan Ätkomstkanaler till kundens 'huvud'-VPN och principerna för tilldelning av adresser. I de flesta fall ser den övergripande schemat ut som följer:
Efter en ganska snabb registreringsprocess pÄ nÀtet och mottagande av en IP-adress fÄr enheten tillgÄng till kundens nÀtverk, och kundens nÀtverk fÄr tillgÄng till enheten. Abonnenten förblir isolerad frÄn alla andra abonnenter hos operatören som inte har kopplingar till den specifika kunden, det krÀvs inga ytterligare instÀllningar, och all trafik dirigeras utan alternativ till kundens nÀtverk, dÀr den bearbetas enligt kundens interna policys.
KĂ€lla: habr.com
