Руководство поставило задачу обеспечить связь с сервером и информационной системой в передвижном мобильном комплексе (гражданского назначения). Это возможно сделать через Интернет и VPN-канал. О том, как всё это организовано и настроено, написано далее.
Схема.
Беспроводной доступ в Интернет обеспечен по технологии 3G/4G с помощью LTE-роутера Cudy LT500 Outdoor. На роль этого роутера очень сильно напрашивался LtAP mini LTE kit от Микротик, или что-то подобное. Но использование в гос.организациях (РБ) не аттестованного оборудования в настоящее время запрещено, аттестованных LTE-роутеров Микротик найти почти не возможно,
При выборе оборудования учитывались требования информационной безопасности, применимые к эксплуатации оборудования в нашей организации. Дополнительно принимались во внимание ограничения на использование неаттестованного оборудования и особенности применения маршрутизаторов, поддерживающих протоколы динамической маршрутизации. В любой RouterOS (Микротик) есть эти самые протоколы. В результате для организации мобильного доступа в Интернет был выбран Cudy LT500 Outdoor.
Логика работы всей системы.
Пользователь подключается проводным соединением к роутеру через ноут-бук. В роутере настроен обычный доступ в Интернет через сим-карту. Из ноутбука в сеть организации формируется защищенный канал передачи данных с использованием сертифицированного VPN.
Мониторинг и дистанционная настройка роутера выполняются через дополнительный VPN-канал в роутере или приложение для смартфона.
Ноут-бук желательно новый, не зависающий, с хорошей батареей на случай перебоев электропитания.
Электропитание от внутренней системы мобильного комплекса. Питание роутера от PoE-инжектора.
Далее рассмотрим возможности беспроводного роутера и его настройки.
Беспроводной роутер.
Cudy LT500 Outdoor – это бюджетный уличный 4G-роутер, который находится на стыке между домашними устройствами и простыми профессиональными решениями. Его главная сила в сочетании низкой цены, всепогодного корпуса и простой настройки, но есть и компромиссы по скорости. Это не высокопроизводительное профессиональное решение: его скорость ограничена 4G Cat4 и портом 100 Мбит/с, а программная начинка рассчитана на базовые задачи, а не на сложную корпоративную маршрутизацию. Для простых задач такой роутер это хороший выбор за свои деньги.
Роутер подходит по следующим критериям:
-уличное исполнение;
-работа через мобильную сеть;
-подключение ноутбука по Ethernet;
-возможность работы VPN-сервером или клиентом);
-удалённое управление;
-питание через PoE-инжектор.
В роутер куплена сим-карта мобильного оператора связи с корпоративным тарифом для Интернета. Оператор связи выбран по результатам предварительных тестов качества связи в отдаленных районах с помощью смартфонов.
При развертывание подобной системы нужно учитывать, что на качество соединения будет влиять зависимость от покрытия мобильной сети и загруженности базовой станции.
Монтаж.
Роутер закреплен на корпусе передвижного комплекса для обеспечения максимально возможного качества сигнала вдали от вышек сотовой связи. Рассматривались варианты крепления на крыше магнитами, но винтами к борту оказался самый надежный вариант.
При монтаже следует убедиться в герметичность ввода кабеля, чтоб вода не затекала во время дождя.
Кабель UTP cat5e проложен по салону до рабочего места.
Электропитание от PoE-инжектора 24В 0,5А. (Passive PoE)
Настройка роутера.
Это самая объемная часть в данном проекте, рассмотрим подробнее.
Предварительная настройка и проверка выполняется на рабочем месте.
Устанавливаем симку. Подключаем питание через Ethernet-порт (POE).
К роутеру подключаем ноутбук. В сетевом адаптере настраиваем DHCP. Роутер раздает IP-адреса из диапазона 192.168.10.0/24.
Переходим по адресу http://192.168.10.1/ или доменному имени http://cudy.net.
Создаем пароль админу.
Необходимо задать сложный пароль не менее 8 символов из букв разных регистров, цифр и спец.символов.
Проходим мастер первоначальной настройки.
На первом шаге указываем часовой пояс.
Профиль APN – Авто.
Настраиваем двух-диапазонный Wi-Fi. Указываем SSID, шифрование и пароль. Настройки интуитивно понятны.
По умолчанию указано шифрование WPA-PSK/WPA2-PSK – это наилучший баланс безопасности и совместимости. Оставляем. Если не планируется подключение старых устройств, можно отключить Wi-Fi 2.4GHZ и использовать шифрование WPA3.
Сложный пароль из букв разного регистра цифр и спец. символов не менее 12 знаком. Должен отличатся от пароля администратора.
Следует отметить, что Wi-Fi в гос.организациях запрещен если не аттестован, и в итоге у нас Wi-Fi не используется.
Завершаем мастер настройки. Проверяем параметры. Нажимаем на кнопку «Сохранить и применить».
После завершения мастера может появиться табличка, предлагающая ввести пин-код сим-карты. Вводим.
Попадаем в главное меню.
Настройка мобильной связи.
Если пин-код не вводился, например симка не была вставлена, то нет связи с Интернетом. Настраиваем.
Вводим пин-код от своей карты (предоставляется оператором мобильной связи).
Сохраняем.
После ввода пин-кода, как правило, сразу появляется соединение с Интернетом.
Пройдемся по вкладкам настроек.
Моб. связь.
Это главный раздел для управления подключением к сотовой сети оператора. Попасть в настройку можно из главного экрана состояния или из общих настроек.
Настройка APN.
В основном все настройки Авто. Роуминг лучше отключить, если работа только внутри страны.
Роуминг данных – выключить. Разрешает или запрещает передачу данных, когда роутер находится в гостевой сети другого оператора. Может привести к высоким расходам.
Сетевой режим – Авто. 4G не везде работает, поэтому авто позволит переходить на 3G.
Профиль APN – Авто. Роутер сам определяет и подставляет настройки по SIM-карте.
СМС.
Включаем. Будем получать оповещения.
Стоимость согласно тарифов опретора.
Настройки трафика.
Устанавливаем лимит трафика, если тариф лимитированный.
Можно включить смс-оповещение о приближении лимита и указать там свой номер телефона.
Сохраняем.
Если лимит не устанавливать, а тариф не безлимитный и сотрудник вдруг использует трафик больше чем положено (такие случаи бывали), то руководство может определить ответственным админа и придется платить за перерасход.
В результате использования данной настройки можно отметить что ближе к концу месяца трафик блокируется, Интернет-соединение останавливается, а на телефон админа приходит смс-оповещение об этом событии.
Номер телефона сим-карты.
Чтоб узнать номер сим-карты в роутере, отправляем смс на номер своего телефона.
Для этого нужно включить смс (включали ранее Моб.связь >> СМС).
Далее Состояние системы >> СМС.
Вводим номер, содержание и нажимаем отправить.
На телефон приходит СМС – смотрим, записываем номер источника.
Изменение адреса для локальной сети.
Так как передвижных мобильных комплексов несколько и локальные сети в них одинаковые, адрес локальной сети изменен. Это необходимо, потому что при объединении сетей через VPN пересекающиеся адресные диапазоны могут приводить к неоднозначной маршрутизации.
Для изменения адресации переходим в Дополнительные настройки >> LAN.
Выбран любой свободный удобный адрес.
Следует учесть, что если настройка выполняется при подключении на этот адрес, то произойдет разрыв соединения.
Изменение данной настройки автоматически изменяет адреса в DHCP-сервере.
Проверяем.
Т.е. в DHCP ничего донастраивать не нужно.
После переподключения ноутбуку раздался IP-адрес от указанной сети.
DHCP-привязка MAC-адреса к IP позволяет выдавать конкретному устройству ожидаемый адрес. Это тоже желательно настроить.
На этом основные настройки завершаются. Роутер работает, ноутбук подключен по LAN, доступ в Интернет есть.
Настроек в роутере очень много, сделаны весьма удобно и понятно. Если кому-то нужна какая-то еще типовая настройка, то он, скорее всего, найдет ее в этом роутере.
Рассмотрим некоторые дополнительные настройки.
Информационная безопасность (ИБ).
Фильтр MAC-адресов.
Привязываем клиента по MAC-адресу и запретим подключение всем остальным.
Дополнительные настройки >> Безопасность >> Фильтрация MAC-адресов.
Разрешаем только перечисленные MAC-адреса.
Предварительно нужно подключить устройство проводом или по Wi-Fi. Далее из выпадающего списка выбираем нужное устройство. Если MAC-адрес устройства известен, можно ввести его вручную.
Сохраняем, применяем.
При добавлении еще одного нового устройства порядок действий такой: отключаем фильтр >> подключаем устройство к Wi-Fi роутера >> включаем фильтр и добавляем в него подключенное устройство из выпадающего фильтра.
Привязывать можно так же и устройства подключенные проводом.
Можно предварительно узнать MAC-адрес.
Состояние системы >> Клиенты >> Устройства.
Настройка Wi—Fi.
В целях выполнения политик и регламентов ИБ принятых в организации Wi-Fi отключен.
У кого в организации такие же политики ИБ – отключаем. Сохраняем.
Способы удаленного мониторинга и управления.
Удаленное управление через HTTPS.
Эта настройка разрешает доступ к веб-интерфейсу роутера через WAN-интерфейс со стороны Интернета для любого IP-адреса.
Есть возможность разрешения доступа с конкретного IP, но всё же активация настройки открывает порт наружу, а это снижает уровень ИБ и дает шанс злоумышленникам на попытки подключения.
Если оператор использует CGNAT (частный WAN IP, например 10.x.x.x или 100.64.x.x), прямой доступ из Интернета невозможен без дополнительной маршрутизации.
Этот способ не рекомендуется использовать в корпоративной сети. HTTPS защищает соединение, но сам по себе не делает публикацию административного интерфейса в Интернет безопасным.
Отключаем удаленное управление.
Dynamic DNS (DDNS).
Dynamic DNS (DDNS) – служба, которая автоматически связывает изменяющийся публичный IP-адрес роутера с постоянным доменным именем. Роутер периодически сообщает DDNS-серверу свой текущий публичный IP-адрес. Пользователь подключается к роутеру по доменному имени вместо IP-адреса.
Удаленное управление по HTTPS открывает веб-интерфейс роутера на WAN-порту. DDNS лишь позволяет обращаться к этому веб-интерфейсу не по IP-адресу, а по постоянному доменному имени. То есть DDNS не заменяет удаленное управление, а дополняет его.
В итоге данная служба не используется.
Мобильное приложение Cudy App. Позволяет управлять роутером с телефона через облако (Cloud Control). Это удобно для базовых настроек и мониторинга состояния.
Протестировано на смартфоне с AndroidOS. Скачать можно из PlayMarket по QR-коду.
При первом использовании нужно выбрать регистрацию.
Вводим email и придумываем пароль. Подтверждаем кодом с email.
Далее необходимо подключится по Wi-Fi в сеть этого роутера. В одной сети приложение в смартфоне само найдет роутер.
Добавляем обнаруженный роутер в учетную запись Cudy.
После этого можно переключится на мобильный Интернет 3G/4G и убедится что есть доступ к управлению роутером.
Принцип работы следующий. Роутер и мобильное приложение устанавливают HTTPS исходящие соединения с облачным сервисом Cudy. Облачный сервис связывает их между собой и обеспечивает удалённое управление роутером. Не требуется белый IP-адрес, DDNS или проброс портов. Через облачный сервис передается служебный трафик управления роутером. Пользовательский интернет-трафик через облако Cudy не маршрутизируется (так сообщается, но безоговорочно это утверждать невозможно с позиции клиента).
Для государственных организаций и объектов с повышенными требованиями к информационной безопасности предпочтительно использовать удалённое администрирование через собственный VPN, а облачные сервисы удалённого управления отключить. Это исключает зависимость от сторонней облачной инфраструктуры и обеспечивает полный контроль над каналом управления.
Облачный сервис Cudy App может использоваться как резервный канал администрирования, например при недоступности основного VPN-канала для восстановления работоспособности или устранения аварийных ситуаций с роутером. Особенно удобно в полевых условиях при монтаже роутера и затем его проверке.
VPN в один клик.
По сути это автоматическая настройка WireGuard VPN между телефоном и роутером.
После нажатия «VPN в один клик» Cudy App связывается с облаком Cudy. Облако определяет роутер. На роутере автоматически включается WireGuard Server. Для телефона автоматически создаются ключи WireGuard, конфигурация клиента, разрешенные сети. Телефон получает готовую конфигурацию. Далее телефон подключается не к облаку, а непосредственно к роутеру по протоколу WireGuard. Именно поэтому в требованиях указано, что
роутер должен иметь публичный IPv4-адрес.
С точки зрения криптографии это безопаснее облачного управления, потому что весь трафик шифруется между телефоном и роутером, а облако не является промежуточным узлом передачи данных.
Однако остаются нюансы доверия к облаку Cudy при создании конфигурации и обмене ключами, зависимость от корректной реализации этой функции. Если организация предъявляет строгие требования к информационной безопасности, то даже этот режим может оказаться неприемлемым.
Создание VPN из телефона требует прошивки v2.5 и выше, у данного роутера Cudy LT500 V1 версия 2.4 последняя. Протестировать « в один клик» не получилось. Функционал был не доступен.
Можно вручную настроить WireGuard, но это уже другая история.
TR-069.
Промышленный стандарт для централизованного управления большим количеством устройств. Позволяет администратору удаленно настраивать, обновлять и диагностировать роутеры, используя сервер ACS (Auto-Configuration Server). В данном случае, для нескольких устройств подымать сервер не целесообразно.
Локальный доступ.
При выборе режима «Указанные устройства» доступ к веб-интерфейсу разрешается только устройствам из списка.
В данной настройке самое главное – на заблокировать доступ самому себе. При замене сетевого адаптера или использовании другого компьютера доступ может быть утрачен. Рекомендуется заранее добавить несколько доверенных устройств (основное и резервное) либо обеспечить альтернативный способ администрирования (например, через корпоративный VPN). При отсутствии любого способа доступа может потребоваться аппаратный сброс роутера к заводским настройкам.
OpenVPN.
В сети организации работает OpenVPN-сервер, поэтому использован такой вид VPN. LTE-роутер является клиентом в этой системе.
Если VPN-сервера нет, то Cudy LT500 может сам выступать VPN-сервером. Но эта настройка в данном случае не рассматривалась.
Настройки для VPN-клиента.
Предварительно на сервере нужно создать сертификат для клиента. Затем экспортировать созданный сертификат, CA-сертификат и приватный ключ сертификата клиента в файлы читаемого формата, скопировать содержание в config.ovpn. Далее этот файл конфигурации загружается в Cudy LT500.
Общие настройки >> VPN.
Активируем VPN.
Протокол – выбираем клиент OpenVPN.
Узел-узел (Site-to-Site) – заявлен как режим объединения двух локальных сетей через VPN. На протестированной версии прошивки его включение не обеспечивает автоматическую маршрутизацию между подсетями и не заменяет настройку маршрутов на VPN-сервере.
Политика VPN – используется для выбора, какой трафик направлять через VPN (Policy-Based Routing), а не для формирования таблицы маршрутизации.
Загружаем файл конфигурации.
После загрузки файла появятся поля для ввода логина и пароль клиента (такие же как на сервере для этого клиента).
Сохраняем, применяем. Через 15-20сек появляется подключение.
Недостаток данного способа в том, что в Cudy LT500 v1.0 невозможно настроить обратный маршрут. Как минимум штатные настройки статической маршрутизации не позволили выбрать VPN-интерфейс как выходной.
Статические маршруты создавать можно, но при этом нет выбора интерфейса VPN. И трафик не знает путь к заданному IP-адресу.
При этом в трассировке выбор интерфейса VPN присутствует и трафик идет куда надо.
Ни какими другими средствами добавить обратный маршрут не удалось, вопрос решился через src-nat нужного трафика на VPN-сервере.
В Cudy LT500 есть множество других видов VPN, которые могут быть настроены в режиме клиента или сервера.
Они не тестировались, потому что не было времени, а рабочий вариант уже был найден. Для кого-то может подойти один из этих VPN.
Наличие VPN-соединения (от роутера или ноут-бука) ещё не гарантирует доступ ко всем ресурсам организации. На стороне сервера должны быть правильно настроены маршрутизация, правила межсетевого экранирования и обратный путь трафика.
Тестирование после настройки.
Ноутбук получает IP-адрес по DHCP.
Интернет доступен через мобильную сеть.
OpenVPN автоматически подключается после перезагрузки.
С административного компьютера доступен VPN-адрес роутера.
Доступ к веб-интерфейсу из Интернета закрыт.
После перезапуска питания система самостоятельно восстанавливает связь.
После завершение всех настроек нужно сделать экспорт конфигурации и сохранить на компьютере (или в другом защищенном месте), чтоб повторно это все не настраивать в случае поломки.
Рабочее место в передвижном комплексе готово.
Итог.
На первый взгляд, задача организации доступа в Интернет для передвижного комплекса не представляет особой сложности. Для её решения достаточно мобильного роутера, SIM-карты и ноутбука. Однако создание работоспособной системы, которая отвечает требованиям информационной безопасности и обеспечивает надёжный доступ к внутренним ресурсам организации, потребовало определённой подготовительной и технической работы.
В результате удалось получить компактную систему связи, позволяющую работать с информационными ресурсами организации, сохранив возможность дистанционного контроля и обслуживания оборудования.
Описанное решение может быть использовано как основа для организации связи в других подобных случаях. При этом конкретные настройки необходимо адаптировать к сетевой инфраструктуре учреждения, применяемым средствам защиты информации и действующим требованиям информационной безопасности.