Zařízení Zyxel 3G / 4G (LTE) - karty, hardwarové klíče, připojení Voice over LTE a VPN

Mobilní operátoři obvykle přidělují mobilnímu klientovi využívajícímu připojení 3G nebo 4G soukromou IP adresu z rozsahu 10.x.x.x. Tyto IP adresy jsou součástí privátního adresního prostoru podle definice RFC 1918, což znamená, že nejsou směrovatelné ve veřejném internetu. Mobilní poskytovatel proto používá překlad síťových adres (NAT) k převodu těchto soukromých IP adres na veřejnou IP adresu, což umožňuje více klientům sdílet při přístupu k internetu jednu veřejnou IP adresu.

Toto nastavení funguje dobře pro běžné surfování po webu a většinu internetových aktivit, ale přináší problémy při pokusu o přímý přístup k zařízení připojenému přes 3G/4G z internetu. Protože je zařízení za NAT, nelze se k němu dostat přímo z vnějšího světa.

Hlas přes LTE

Přístup k funkcím Voice over LTE (VoLTE), které nabízejí poskytovatelé internetových služeb pro uskutečňování hovorů přes LTE/4G. Vzhledem ke složitosti konfigurace VoLTE firmware Zyxel nepodporuje VoLTE. Vzhledem k tomu, že každý poskytovatel má jedinečné konfigurace VoLTE, je nejlepší zakoupit zařízení Zyxel od svého poskytovatele. Jako řešení můžete router LTE nakonfigurovat pouze pro 3G a povolit tak VoLTE, což však nebude fungovat v regionech, jako je Německo, kde 3G není k dispozici.

Důsledky pro připojení VPN

Při nastavování virtuální privátní sítě (VPN) přes připojení 3G/4G je zásadní zohlednit prostředí NAT. Sítě VPN, které se spoléhají na protokoly, jako je IPSec, mohou být ovlivněny NAT, protože tyto protokoly byly původně navrženy pro přímé, koncové připojení.

IPSec VPN s Internet Key Exchange verze 1 (IKEv1) vyžadují v takovém prostředí zvláštní ohledy. Konkrétně je třeba povolit funkci NAT Traversal (NAT-T), která zapouzdřuje pakety IPSec do protokolu UDP, aby prošly přes zařízení NAT. Alternativně lze konfiguraci zjednodušit použitím Internet Key Exchange verze 2 (IKEv2), která ze své podstaty podporuje NAT traversal, což zvyšuje kompatibilitu a bezpečnost.

Ve všech případech, kdy zařízení na připojení 3G/4G potřebuje vytvořit tunel VPN, musí být toto zařízení tím, kdo iniciuje spojení kvůli omezením NAT. Tím je zajištěno, že server VPN zná IP adresu klienta a může navázat bezpečný komunikační kanál.

Případová studie: Mobilní operátor Sunrise

Pro firemní zákazníky využívající mobilní síť Sunrise existuje možnost požádat o veřejnou dynamickou IP adresu speciálně pro služby VPN. Tato služba umožňuje klientovi obejít omezení NAT, která jsou spojena s privátní IP adresou, což umožňuje jednodušší nastavení VPN.

Chcete-li tuto službu využít:

1. Vyžádejte si aktivaci: Pro aktivaci veřejné dynamické IP adresy pro službu VPN musí firemní zákazníci kontaktovat společnost Sunrise.
2. Změnit nastavení APN: Po aktivaci služby je třeba změnit název přístupového bodu (APN) v mobilním zařízení na "vzdálený". Toto nastavení dává mobilní síti pokyn, aby zařízení přidělila veřejnou IP adresu namísto soukromé, čímž se eliminuje potřeba překonávání NAT v konfiguraci VPN.

Tato služba je užitečná zejména pro podniky, které vyžadují spolehlivé a bezpečné připojení VPN pro vzdálené pracovníky, kteří jsou často na cestách a spoléhají se na mobilní internet.

Další úvahy

• Důsledky pro bezpečnost: Přiřazení veřejné IP adresy mobilnímu zařízení jej může vystavit potenciálním bezpečnostním hrozbám z internetu. Proto je nezbytné zajistit, aby byla na zařízeních využívajících veřejnou IP adresu zavedena silná bezpečnostní opatření, jako jsou robustní firewally a aktuální antivirový software.
• Úvahy o protokolu IPv6: S postupným zaváděním protokolu IPv6 mohou někteří mobilní operátoři nabízet adresy IPv6, které nevyžadují NAT. IPv6 může zjednodušit konfigurace VPN, protože každé zařízení může mít jedinečnou, globálně směrovatelnou IP adresu, což eliminuje některé složitosti spojené s NAT.
• Nastavení APN: Různí mobilní operátoři mají specifická nastavení APN, která je třeba nakonfigurovat pro různé služby. Je důležité zajistit, aby se pro požadovanou službu používal správný APN, protože nesprávné nastavení může vést k problémům s připojením.
• Alternativy k IPSec: IPSec je sice široce používán, ale jiné protokoly VPN, jako je OpenVPN nebo WireGuard, mohou nabídnout větší flexibilitu a snadnější překonávání NAT. Tyto protokoly se často snáze konfigurují v zařízeních, která často mění sítě nebo pracují za NAT.

Závěr

Používání připojení 3G/4G pro přístup k síti VPN je běžné, zejména ve scénářích, kdy je kabelové připojení k internetu nedostupné nebo nepraktické. Používání privátních IP adres a NAT mobilními operátory však zavádí další konfigurační kroky k zajištění spolehlivých a bezpečných připojení VPN. Pochopením těchto nuancí a správnou konfigurací VPN a mobilních zařízení mohou firmy i jednotlivci dosáhnout efektivního a bezpečného vzdáleného přístupu přes mobilní sítě.