Как попасть в IPVPN Билайн через IPSec. Часть 2

Привет! Как и обещал, в этом посте я расскажу про комбинацию наших сервисов MultiSIM Резервирования и IPVPN через IPSec.

Сами по себе сервисы по IPSec это хорошо, сервис работает через кабельный интернет провайдера, но хотелось бы как-то зарезервировать включение или же предоставлять сервис там, где нет кабельного интернета, а есть только по LTE.

В классическом варианте работы MultiSIM Резервирования при подаче сервисов IPVPN по двум мобильным сетям есть следующие проблемы:

Для каждого клиента нужно создавать свой закрытый APN, настраивать в нем BGP или статическую маршрутизацию, сразу рассчитывать необходимое количество хостов для корректного плана ip-адресации.
Сеть каждого оператора связи на устройстве также нужно настраивать отдельно, с учетом того, что у каждого из операторов есть свои особенности.
Траблшутить такую архитектуру сложнее (намного).
Метки трафика IPVPN на входе в сети LTE обнуляются, то есть, если у вас в сети на всех объектах маркируется трафик телефонии или видео то при включении IPVPN с чистого LTE метки трафика будут выставляться в ноль.

С другой стороны, у нас есть IPSec, в котором все вопросы маршрутизации и клиентских настроек абстрагированы от транспорта, будь то проводной интернет-канал или LTE разных операторов, а ещё метки трафика можно сохранить внутри туннеля, хоть и без обеспечения SLA, так как интернет и особенно LTE/3G это довольно непредсказуемые среды для передачи данных.

Поэтому у нас и появилась идея А почему бы не использовать IPsec еще и поверх LTE?. В роутеры ставить типовые SIM-карты с заранее созданными APN и уже через них строить IPSEC до нашего VPN HUB и выпускать клиента в его VRF. А если есть и проводной канал, то использовать в качестве основного транспорта проводное соединение, а при аварии на нем переключать трафик на LTE.

Таким образом, схема сети стала выглядеть следующим образом:

Кликабельно

У клиента получается сразу до трёх WAN-каналов, которые будут выполнять роль underlay для трафика IPSec:

Проводной канал доступа Интернет.
Первая (Основная) LTE-сеть.
Вторая (Резервная) LTE-сеть (если нужна).

Теперь осталось выбрать и настроить роутер для такого варианта предоставления сервиса.

Настраиваем роутер

При выборе роутера нас заинтересовали две модели от Huawei это AR161 и AR129. В них есть поддержка IPSec, LTE модем с поддержкой двух SIM-карт, 4 Ethernet порта LAN + 1 Ethernet WAN, а в модели AR129 еще и WiFi, то есть все, что нужно для работы нашей схемы, и даже немного больше.

А вот с настройкам все оказалось намного сложнее.

Еще во время настройки роутеров для Multisim Резервирования мы столкнулись с проблемой приоритетов между проводными WAN и двумя LTE-сетями для выбора наилучшего маршрута трафика.

В Huawei AR161/129 для этого есть два инструмента:

Функциональность Network Quality Analysis(aka NQA-test).
Проводит базовое тестирование icmp-запросами на указываемый хост для определения его доступности.
Функциональность Open Programmability System(OPS) + Python.
Очень мощный инструмент, дает возможность сохранять информацию в логах и проводить интеллектуальное переключение, основываясь на статистике icmp, но и сложный для освоения.

Для решения нашей задачи мы выбрали функциональность OPS+Python для включения только двух SIM LTE-включения, и смешанный режим для Интернет + двух SIM LTE-включения.

Примерная конфигурация на роутерах получается такая:

В случае только 2x Sim LTE-включения

В случае Интернет + 2x Sim LTE-включения

#Настройка динамического IP адреса на проводном WAN интерфейсе (получение по DHCP)
interface GigabitEthernet0/0/4
ip address dhcp-alloc

#Настройка APN профилей, Cellular0/0/0 интерфейса
apn profile [APN #1]
apn [APN 1 NAME]
apn profile [APN #2]
apn [APN 2 NAME]
sim-id 2

#Настройка Cellular0/0/0 интерфейса
interface Cellular0/0/0
dialer enable-circular
apn-profile [APN #1] priority 120
apn-profile [APN #2]
dialer timer autodial 60
profile create lte-default [APN #1] sim-id 1
profile create lte-default [APN #2] sim-id 2
ip address negotiate
modem reboot

#Настройка IPSec имени
ipsec authentication sha2 compatible enable
ike local-name [IPSEC_LOGIN]

#Настройка параметров шифрования IPSec туннеля
ipsec proposal ipsec
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-256
ike proposal 1
encryption-algorithm aes-256
dh group2
authentication-algorithm sha2-256
authentication-method pre-share
integrity-algorithm hmac-sha2-256
prf hmac-sha2-256

#Настройка аутентификации IPSec туннеля
ike peer ipsec_1
pre-shared-key simple [IPSEC_PASSWORD]
ike-proposal 1
local-id-type fqdn
remote-id-type ip
dpd type periodic
dpd idle-time 10
dpd retransmit-interval 2
remote-address 81.211.80.50
route accept
config-exchange request
config-exchange set accept
config-exchange set send
ipsec profile ipsecprof_1
ike-peer ipsec_1
proposal ipsec

ike peer ipsec_2
pre-shared-key simple [IPSEC_PASSWORD]
ike-proposal 1
local-id-type fqdn
remote-id-type ip
dpd type periodic
dpd idle-time 10
dpd retransmit-interval 2
remote-address [VPN HUB INTERNAL ADDRESS]
route accept
config-exchange request
config-exchange set accept
config-exchange set send
ipsec profile ipsecprof_2
ike-peer ipsec_2
proposal ipsec

#Настройка IPSec-туннеля
interface LoopBack32
ip address [туннельный IP адрес на марш-ре Huawei] 255.255.255.252

interface Tunnel0/0/0
ip address unnumbered interface LoopBack32
tunnel-protocol ipsec
source GigabitEthernet0/0/1
ipsec profile ipsecprof_1

interface Tunnel0/0/1
ip address unnumbered interface LoopBack32
tunnel-protocol ipsec
source Cellular0/0/0
ipsec profile ipsecprof_2

#Настройка статической маршрутизации (в направлении сети Билайн)
nqa test-instance [username] inet
test-type icmp
destination-address ipv4 81.211.80.50
source-interface GigabitEthernet0/0/4
frequency 16
probe-count 2
start now

#Настройка маршрутов
ip route-static 81.211.80.50 255.255.255.255 GigabitEthernet 0/0/4 dhcp track nqa [username] inet
ip route-static [VPN HUB INTERNAL ADDRESS] 255.255.255.255 NULL0 track nqa [username] inet
ip route-static [VPN HUB INTERNAL ADDRESS] 255.255.0.0 Cellular0/0/0 preference 70
ip route-static 80.240.216.155 255.255.255.255 GigabitEthernet 0/0/4 dhcp
ip route-static 194.67.0.206 255.255.255.255 GigabitEthernet 0/0/4 dhcp

Всё, настроенный роутер можно ставить клиенту.

Планы

Из планов по развитию этого решения:

Сделать то же самое, но уже на роутерах от Cisco/Mikrotik.
Перевести всю логику переключения только на OPS + Python

В следующих статьях расскажем, как мы подружили сервисы Мультисим Резервирования с нашей Облачной АТС, сделали на тех же хуавеях режим L2-over-L3 с помощью x-connect, выложим скрипты переключения SIM-карт на Python и расскажем про USB-Deployment на роутерах.

Благодарю моих коллег из RnD, особенно Дениса Зинченко (Dzinch) и Андрея Воронова в подготовке этих технических решений и помощи написании статьи!

PS Первая часть поста вот здесь.

В 2018 году в России отменили внутрисетевой роуминг, чтобы сделать жизнь абонентов проще. Теперь, если вы приезжаете в какой-то другой регион, то все ваши звонки на номера этого региона будут считаться домашними и тарифицироваться соответственно. И вроде бы всё просто. Но страна у нас большая, областей много, и ряд сложностей возникает именно на границах этих областей из-за специфики работы базовых станций.

Представьте себе

Привет! В этой статье я расскажу о ещё двух вариантах VPN, используемых нами для включения клиентов с помощью Мультисим Резервирования, это L2TP иL2-VPN. Первый используется для включения сервисов Интернет, второй для включения каналов L2 MPLS.

Самый первый L2TP

Различные беспилотники все активнее входят в нашу жизнь. И если с дронами и БПЛА все более или менее понятно как в части практического использования в мирных и не самых мирных целях, так и в части территориального применения, то с наземными беспилотниками все немного сложнее. Тут вам и ограниченность пространства для маневра и теста, и множество дополнительных правил использования и законов, и совсем другой подход к бе

В одном из предыдущих постов мы рассказывали об отражении DDoS-атак при помощи анализа трафика по протоколу Netflow. Само собой, DDoS далеко не единственная проблема, с которой может столкнуться ресурс. Воображение злоумышленников весьма и весьма велико, да и технических средств у них хватает. Плюс не стоит забывать о том, что какой-то из ваших ресурсов вполне может работать на ПО с zero-day-уязвимостями.

Вот

Обращаем ваше внимание, что разговор записывается и может быть передан в службу контроля качества

Наверняка вы часто слышали эту фразу, когда пытались позвонить в доставку, дабы уточнить у курьера, как дела с вашей посылкой. Или же когда вам звонили из колл-центра интернет-магазина с подтверждением вашего заказа.

Хорошо, когда у таких компаний достаточно своего опыта и экспертизы для того, чтобы

Скриншот CU-SeeMe одной из первых Интернет-систем для видеоконференций, появившейся ещё в 1992 году. В бизнес-среде

Большую часть своей жизни я жил и работал в Москве. Занимался тем, что менял здоровье на деньги. Правда, на очень хорошие, поэтому под занавес пятого десятка купил квартиру в тихом приморском городке, далеко от столичной суеты и ежедневной нервотрёпки.

Особой необходимости в работе у меня не было. Дети уже стали самостоятельными настолько, что запросто могут содержать нас с женой. Да и скопить удалось прилично. Однако, были

Слово Анонимус уже давно стало нарицательным его часто употребляют в отношении пользователей интернета, не желающих лишний раз светить своими персональными данными. В то же время термин Anonymous имеет вполне конкретное значение так называется международное движение хактивистов, прославившееся целым рядом громк

Компания Bolid лидер в разработке интегрированных систем безопасности - то, что вы услышите, если позвоните им по телефону. Это своего рода российский Apple в сфере

Exchange довольно мощный и популярный почтовый сервер в мире энтерпрайза. Против угроз малварей и фишинга он имеет как встроенные механизмы защиты, так и возможность использования сторонних продуктов. Но в реальности этих возможностей не всегда достаточно для отлова всех вредоносных писем: малвари проходят к пользователям до того, как их сигнатуры попадут в антивирусные базы, а URL-адреса в репутационные списки. Поэтому мы разработ

Наверное, все разработчики слышали, что нужно писать чистый код. Но не менее важно писать и использовать безопасный код.

Python-разработчики обычно устанавливают модули и сторонние пакеты, чтобы не изобретать велосипеды, а использовать готовые и проверенные решения. Но проблема в том, что они не в

Цель статьи - собрать интересные инструменты, техники и команды, которые можно использовать для выполнения задач при проведении тестирования на проникновение. Краткий список того, что будет в этой статье:

Что такого с DNSAdmins?

Продолжаем делиться материалами [раз, два] о работе операторов связи, их инструментарии и вопросах, с которыми они периодически сталкиваются. В этой подборке посты о причинах дефицита сетевого оборудования и HDD, альтернативах VPN/IPoE-сервера ACCEL-PPP и прокладке новых широкополосных линий связи в развитых странах.

Pete Lumbis и Network Ninja в своих комментариях к моим запи

Технология единого входа обладает массой преимуществ по сравнению с классическими методами аутентификации, главное из которых заключается в том, что именно SSO обеспечивает наилучший баланс между удобством пользователя и информационной безопасностью предприятия. Ранее мы уже рассказывали о том, как реализовать SSO в Zimbra OSE при использовании аутентификации в Active Directory с помощью Kerberos. На этот раз мы

С начала этого года в России стала эксплуатироваться Национальная Система Доменных Имён - НСДИ, о чём уже можно почитать на Хабр, а провайдерам и владельцем автономных систем РКН рассылает письма с требованиями к ней подключиться. По своей сути это набор из публичных DNS серверов, доступный всем желающим и предлагаемый к использованию как провайдерам так и конечным пользователям Интернет.

Привет, я Владислав Алмазов, директор по сопровождению информационных технологий (IT Operations) в Lamoda. Одно из направлений, за которое я отвечаю uptime. Это количественный показатель непрерывной работы нашей платформы.

Дать возможность клиенту найти товар в каталоге, положить его в корзину, выбрать способ доставки, рассчитать скидки и оплатить все это значит оформить заказ. Одноименная кнопка доступ

На Хабре не стоит объяснять, что любой смартфон, купленный в магазине потенциальный жучок, который могут прослушивать в любой момент. С какой целью это делается второй вопрос, но сейчас это и не столь важно. Тема статьи интереснейшая операция авс

Введение

Несмотря на чрезвычайную популярность смартфонов, обычные кнопочные телефоны не потеряли свою актуальность среди людей, которым нужны исключительно базовые функции связи.
Рынок РФ заполнен множеством моделей разных характеристик, размеров, форм-факторов и расцветок: от миниатюрных телефонов размером с автомобильный брелок для удобной доставки на зону, до моделей а-ля 90-е, которыми можно убить грудного ребёнка

^{Motorola StarTAC 6000}
Аналоговые мобильные телефоны были популярных в 90-х. Последний оператор, поддерживавший работу сетей первого поколения, прекратил поддержку в 2007. Возможно ли вернуть к жизни и заставить работать подобный телефон сейчас? Давайте узнаем.

Одна из важнейших задач инженера по планированию сотовой связи является оптимизация существующей сети для увеличения пропускной способности и улучшения качества обслуживания. Это включает, в первую очередь, борьбу с шумом и помехами снижающими пропускную способность на сек

На самом деле - НЕТ. Я продолжаю раскручивать тему скрытых мобильных подписок Мегафона, и сейчас речь пойдет об одном забавном моменте.

Пока я разбирал подписки на сайте Мегафона (http://podpiskimf.ru/), обратил внимание, что в списке неожиданно значилось ГБУ Самарской области ЦИФРОВОЙ РЕГИОН (

Ранее меня всегда интересовало, почему интернет для юридических лиц дороже чем для физических, но проверять как-то не хотелось ввиду высокой цены. Срекламы нам говорят, что это сервис, поддержка, CIR, тоже самое, как правило встречается на различных форумах, но понятное д

Привет! Как и обещал, в этом посте я расскажу про комбинацию наших сервисов MultiSIM Резервирования

Ситуация

Выходной. Пью кофе. Студент настроил VPN соединение между двумя точками и исчез. Проверяю: туннель действительно есть, но трафика в туннеле не

Ситуация

Я получил демоверсию продуктов С-Терра VPN версии 4.3 на три месяца. Хочу разобраться, станет ли моя инженерная жизнь легче, после перехода на

Ситуация

Я должен поднять VPN соединение между двумя площадками в сети. В серверной, кажется, были шлюзы безопасности С-Терра Шлюз версии 4.2. Схема пр

Привет! Как и обещал, в этом посте я расскажу про комбинацию наших сервисов MultiSIM Резервирования

	Русский
	English

Как попасть в IPVPN Билайн через IPSec. Часть 2

Настраиваем роутер

В случае только 2x Sim LTE-включения

В случае Интернет + 2x Sim LTE-включения

Планы

Сейчас читают

Блог компании билайн бизнес

Как и зачем мы обновляли граничные соты

Еще немного про использование VPN в Билайн

Самый первый L2TP

5G для железных монстров

Web Application Firewall работа на опережение

B2S-платформа Билайн

Перевод История развития видеоконференций

Информационная безопасность

USB over IP удалённое администрирование

Имя им легион. Самые громкие акции Anonymous

Дешифрация протокола Орион Bolid

Транспортный агент MS Exchange для защиты от вирусов и нежелательной почты

Перевод Ищем уязвимости в Python-коде с помощью open source инструмента Bandit

Барахолка для Пентестера

Сетевые технологии

USB over IP удалённое администрирование

Что почитать об инфраструктуре интернет-провайдеров, протоколах и разработке систем связи

Перевод Локальный TCP Anycast это действительно сложно

Интеграция SAML в Zimbra OSE

Национальная система доменных имён первый взгляд

4 часа и ни минутой больше тактика и стратегия Uptime

Сотовая связь

Австралия и ФБР несколько лет распространяли среди криминала защищенное приложение, а потом арестовали 800 человек

Мелкая доработка прошивки кнопочного телефона на платформе RDA8826 (SC6533, MIPS) отключаем Funbox, взламываем игры

Введение

Перевод Возвращаем работоспособность аналоговому мобильному телефону из 1997 года

RET-моторы антенн сотовой связи. Оптимизация в радость

Цифровой регион (Самара) торговал старыми фильмами?

Как я подключал Интернет на юрлицо в разгар пандемии за городом. Взгляд год спустя

Ipsec vpn