IPsec przez internet
Najczęstsze zakończenie: tunel z sieci operatora albo z routera brzegowego do firewalla w centrali. Szyfruje odcinek. Nie zastępuje reguł na firewallu.
Technologie
Rodzaje APN, typy połączeń i sieć radiowa — bez obietnic, których nie ma w umowie.
Poniżej jest mapa pojęć, którymi opisujemy projekt. Który wariant da się uruchomić, wynika z oferty operatora i z brzegu u Was. Nie jesteśmy operatorem i nie publikujemy parametrów jego sieci.
Zapytaj o ofertę Rodzaje APN i typy połączeń +48 698 355 667
Najczęstsze zakończenie: tunel z sieci operatora albo z routera brzegowego do firewalla w centrali. Szyfruje odcinek. Nie zastępuje reguł na firewallu.
Gdy operator ma w ofercie łącze prywatne albo VPN L2/L3 między APN a siedzibą. Bierzemy to, co jest w umowie, nie hasło z ulotki.
Inne zakończenie tunelu, spotykane u operatorów. Dobór wynika z brzegu, który już stoi.
Tunel może kończyć się w centrum danych albo w chmurze klienta, na firewallu, który tam prowadzicie. Chmura nie jest wtedy „publicznym internetem urządzenia”.
Drugi tunel, gdy brzeg i operator to udźwigną. Na obiekcie router Peplink dokłada drugą kartę albo drugie łącze.
Rodzaje APN
| Rodzaj | Co dostaje urządzenie | Kiedy ma sens |
|---|---|---|
| Publiczny APN | Wyjście do internetu, zwykle za NAT operatora | Zwykła praca człowieka. Dla sterownika i terminala — zbędna ekspozycja. |
| Prywatny APN dedykowany | Osobna brama i pula dla jednej organizacji | Flota, która ma zostać w sieci firmy. |
| Prywatna adresacja, IP stałe lub z puli | Adres prywatny na sesję albo przypisany do karty | Gdy centrala ma rozpoznawać konkretne urządzenie. |
| Zamknięty, bez internetu | Brak trasy do sieci publicznej | Układ, który wdrażamy domyślnie. |
| Internet tylko przez firewall klienta | Wyjście jest, ale za Waszą polityką | Gdy aplikacja naprawdę musi wyjść, a oddział nie może mieć własnej dziury. |
| Wielooperatorski / wiele SIM | Osobny APN każdej sieci, wspólna adresacja u klienta | Zasięg i brak zależności od jednego operatora. |
| Uwierzytelnianie PAP/CHAP, RADIUS | Dodatkowe sprawdzenie sesji, jeśli wariant operatora je ma | Gdy macie już serwer RADIUS albo polityka go wymaga. Nie obiecujemy go w każdej sieci. |
Jak APN styka się z siecią klienta
Wybierz typ. Schemat podświetla drogę. Tabela pod spodem zostaje, gdy animacja jest wyłączona.
Łącze dedykowane, MPLS, L2/L3
Gdy operator ma w ofercie łącze prywatne albo VPN L2/L3 między APN a siedzibą. Bierzemy to, co jest w umowie, nie hasło z ulotki.
GRE / L2TP
Inne zakończenie tunelu, spotykane u operatorów. Dobór wynika z brzegu, który już stoi.
Połączenie do chmury
Tunel może kończyć się w centrum danych albo w chmurze klienta, na firewallu, który tam prowadzicie. Chmura nie jest wtedy „publicznym internetem urządzenia”.
Tunele zdublowane
Drugi tunel, gdy brzeg i operator to udźwigną. Na obiekcie router Peplink dokłada drugą kartę albo drugie łącze.
Sieć radiowa
| Technika | Do czego jej używamy |
|---|---|
| 2G / 3G | Sieci są wygaszane. Nowego projektu na nich nie opieramy. |
| LTE | Routery, POS, CCTV, zapas oddziału — tam, gdzie karta i zasięg są LTE. |
| LTE-M | Liczniki i czujniki, gdy urządzenie i operator mają ten profil. |
| NB-IoT | Rzadkie, krótkie transmisje liczników i czujników. Nie do strumienia wideo. |
| 5G NSA / SA | Tam, gdzie umowa, karta i zasięg na to pozwalają. SA nie jest obietnicą w każdym punkcie. |
| eSIM / iSIM | Profil w urządzeniu zamiast plastikowej karty, jeśli sprzęt i operator to obsługują. |
| Multi-IMSI | Karta potrafiąca wejść do więcej niż jednej sieci. Stosujemy, gdy tak wychodzi zasięg — adresacja i tak schodzi się u Was. |
Urządzenie → centrala
Pomiar, transakcja, alarm, strumień. Domyślny kierunek.
Centrala → urządzenie
Zdalny serwis i polecenie. Wejście jest z tunelu, nie z internetu.
Urządzenie → urządzenie
Da się zostawić albo wyciąć. Licznik nie musi widzieć terminala.
Cztery APN, jeden firewall
Play, Orange, T-Mobile i Plus. Każdy prywatny APN osobnym tunelem IPsec albo łączem dedykowanym. Wspólny plan adresów, jedna polityka, jeden monitoring. Piątą drogą bywa Starlink, spinany na Peplinku. Światłowód zostaje łączem głównym obok tego układu.
Starlink jako uzupełnienie
Zestawy Starlink wdrażamy tylko firmom i instytucjom. Abonament satelitarny jest na zasadach Starlink — nie jesteśmy jego operatorem. Na brzegu router Peplink składa Starlink z LTE/5G (SpeedFusion: bonding i Hot Failover). Ruch i tak kończy się tunelem na firewallu klienta. Prędkości i własnego czasu przełączenia nie podajemy.
SpeedFusion składa łącza WAN — satelitę, 5G, LTE, a tam gdzie jest, także światłowód — w jeden tunel. Ruch jednej sesji może iść pakietami przez te łącza naraz. Hot Failover producent opisuje jako przeniesienie na sprawne łącze bez zrywania aktywnej sesji. InControl 2 służy do podglądu i konfiguracji routerów. Statusu partnerskiego Peplink nie deklarujemy.
blueforces.pl/peplink blueforces.pl/starlink Operatorzy Światłowód Transmisja
Centralne wyjście do internetu
Gdy aplikacja musi wyjść do sieci publicznej, robi to firewall w centrali: filtr, IPS, log. Oddział na zapasie nie dostaje własnego NAT-a. Da się też zostać przy APN całkowicie zamkniętym.