Zariadenia Zyxel 3G/4G (LTE) - karty, hardvérové kľúče, pripojenie Voice over LTE a VPN

Mobilní operátori zvyčajne prideľujú mobilnému klientovi, ktorý používa pripojenie 3G alebo 4G, súkromnú IP adresu z rozsahu 10.x.x.x. Tieto IP adresy sú súčasťou súkromného adresného priestoru podľa definície RFC 1918, čo znamená, že nie sú smerovateľné vo verejnom internete. V dôsledku toho mobilný poskytovateľ používa preklad sieťových adries (NAT) na prevod týchto súkromných adries IP na verejnú adresu IP, čo umožňuje viacerým klientom zdieľať jednu verejnú adresu IP pri prístupe na internet.

Toto nastavenie funguje dobre na všeobecné surfovanie po internete a väčšinu internetových aktivít, ale prináša problémy pri pokuse o priamy prístup k zariadeniu pripojenému cez 3G/4G z internetu. Keďže zariadenie je za NAT, nie je možné sa k nemu dostať priamo z vonkajšieho sveta.

Hlas cez LTE

Prístup k funkciám Voice over LTE (VoLTE), ktoré ponúkajú poskytovatelia internetových služieb na uskutočňovanie hovorov cez LTE/4G. Vzhľadom na zložitosť konfigurácií VoLTE firmvér Zyxel nepodporuje VoLTE. Keďže každý poskytovateľ má jedinečné konfigurácie VoLTE, je najlepšie zakúpiť si zariadenie Zyxel od svojho poskytovateľa. Ako riešenie môžete router LTE nakonfigurovať len pre 3G, aby ste povolili VoLTE, ale to nebude fungovať v regiónoch, ako je Nemecko, kde 3G nie je k dispozícii.

Dôsledky pre pripojenia VPN

Pri nastavovaní virtuálnej privátnej siete (VPN) cez 3G/4G pripojenie je nevyhnutné zohľadniť prostredie NAT. Siete VPN, ktoré sa spoliehajú na protokoly ako IPSec, môžu byť ovplyvnené NAT, pretože tieto protokoly boli pôvodne navrhnuté pre priame, koncové pripojenie.

Siete VPN IPSec s výmenou internetových kľúčov verzie 1 (IKEv1) si v takýchto prostrediach vyžadujú osobitné úvahy. Konkrétne musíte povoliť NAT Traversal (NAT-T), ktorý zapuzdruje pakety IPSec do UDP, aby prešli cez zariadenia NAT. Alternatívne použitie Internet Key Exchange verzie 2 (IKEv2) môže zjednodušiť konfiguráciu, pretože prirodzene podporuje NAT traverzovanie, čím zlepšuje kompatibilitu a bezpečnosť.

Vo všetkých prípadoch, keď zariadenie na 3G/4G pripojení potrebuje vytvoriť tunel VPN, musí byť toto zariadenie tým, ktoré iniciuje pripojenie kvôli obmedzeniam NAT. Tým sa zabezpečí, že server VPN pozná adresu IP klienta a môže vytvoriť bezpečný komunikačný kanál.

Prípadová štúdia: Mobilný operátor Sunrise

Pre firemných zákazníkov, ktorí používajú mobilnú sieť Sunrise, existuje možnosť požiadať o verejnú dynamickú adresu IP špeciálne pre služby VPN. Táto služba umožňuje klientovi obísť obmedzenia NAT, ktoré sú spojené s privátnou IP adresou, čo umožňuje jednoduchšie nastavenie VPN.

Ak chcete využiť túto službu:

1. Vyžiadajte si aktiváciu: Firemní zákazníci musia kontaktovať spoločnosť Sunrise a požiadať o aktiváciu verejnej dynamickej IP adresy pre svoju službu VPN.
2. Zmena nastavení APN: Po aktivácii služby je potrebné zmeniť názov prístupového bodu (APN) v mobilnom zariadení na "vzdialený". Toto nastavenie dáva pokyn mobilnej sieti, aby zariadeniu pridelila verejnú IP adresu namiesto súkromnej, čím sa eliminuje potreba prechodu cez NAT v konfigurácii VPN.

Táto služba je obzvlášť užitočná pre podniky, ktoré vyžadujú spoľahlivé a bezpečné pripojenie VPN pre vzdialených pracovníkov, ktorí sú často na cestách a pri pripojení sa spoliehajú na mobilný internet.

Ďalšie úvahy

• Bezpečnostné dôsledky: Priradenie verejnej IP adresy mobilnému zariadeniu ho môže vystaviť potenciálnym bezpečnostným hrozbám z internetu. Preto je veľmi dôležité zabezpečiť, aby boli na zariadeniach, ktoré používajú verejné IP adresy, zavedené silné bezpečnostné opatrenia, ako napríklad robustné firewally a aktualizovaný antivírusový softvér.
• Úvahy o IPv6: S postupným zavádzaním protokolu IPv6 môžu niektorí mobilní operátori ponúkať adresy IPv6, ktoré nevyžadujú NAT. IPv6 môže zjednodušiť konfigurácie VPN, pretože každé zariadenie môže mať jedinečnú, globálne smerovateľnú IP adresu, čím sa odstránia niektoré zložitosti spojené s NAT.
• Nastavenia APN: Rôzni mobilní operátori majú špecifické nastavenia APN, ktoré sa musia konfigurovať pre rôzne služby. Je dôležité zabezpečiť, aby sa pre požadovanú službu používal správny APN, pretože nesprávne nastavenia môžu viesť k problémom s pripojením.
• Alternatívy k IPSec: Hoci je IPSec široko používaný, iné protokoly VPN, ako napríklad OpenVPN alebo WireGuard, môžu ponúknuť väčšiu flexibilitu a jednoduchšie prekonávanie NAT. Tieto protokoly sa často ľahšie konfigurujú v zariadeniach, ktoré často menia siete alebo pracujú za NAT.

Záver

Používanie 3G/4G pripojení na prístup k sieti VPN je bežné, najmä v scenároch, keď káblové internetové pripojenie nie je k dispozícii alebo je nepraktické. Používanie privátnych IP adries a NAT mobilnými operátormi však zavádza ďalšie konfiguračné kroky na zabezpečenie spoľahlivých a bezpečných pripojení VPN. Pochopením týchto nuáns a správnou konfiguráciou VPN a mobilných zariadení môžu podniky a jednotlivci dosiahnuť efektívny a bezpečný vzdialený prístup cez mobilné siete.