Архив метки: работаемудалённо

pfSense ikev2 c авторизацией Active Directory

Подготовка

Сертификаты

Для того, чтобы ikev2 без головной боли работал на клиентах, серверу всегда нужен валидный сертификат от реального центра сертификации. Использовать самоподписанные и импортировать CA на всех клиентах то ещё развлечение, по этому

  1. Добавьте запись в DNS, со ссылкой на внешний айпшиник pfsense. Типа vpn.example.com или ещё как-то
  2. Установите в pfSense расширение acme, которое автоматизирует получение бесплатных сертификатов от Let’sEncrypt. Там всё достаточно просто и очевидно.
  3. Получите бесплатный сертификат. Я делал это с проверкой через DNS, что требует добавления текстовой записи вида _acme-challenge.vpn.exmaple.com в DNS
  4. Запомните на будущее, что клиент должен обращаться к серверу только по созданному и указанному в сертификате доменному имени (то самое vpn.example.com)

Авторизация

Для авторизации логично использовать стандартный доменный пароль пользователей, это облегчает жизнь администратору :), но EAP-MSCHAPv2 авторизация не поддерживает прямое обращение к LDAP, т.к. шифрует логин и пароль. Зато шифрованные пароли хорошо поддерживает RADIUS, а Windows умеет в RADIUS, по этому:

  1. Создайте в AD группу, в которую будут входить пользователи VPN. В отличие от LDAP, в pfsense, RADIUS-метод управляет на основе групп, а не на основе контейнеров
  2. Настройте Microsoft NPS по инструкции от NetGate Не забудьте сохранить в блокнот «общий секрет» из мастера — он понадобится при настройке pfSense
  3. Дополните настройку NPS по вот этой инструкции от NetGate
  4. Настройте связь pfSense с RADIUS. Я опять же пользовался инструкцией от NetGate Протокол авторизации — MS-CHAPv2

ikev2

Просто настройте ikev2 по инструкции от NetGate, внеся изменения.

1. Выберите RADIUS-сервер в настройках Mobile Client

2. Выберите EAP-RADIUS протоколом аутентификации при настройках phase 1

pfSense OpenVPN + Active Directory, тонкости

В целом, на сайте Netgate есть очень качественный пример настройки, который можно использовать «один в один», но сначала надо подготовить авторизацию через LDAP (из Active Directory).

В Windows для этого ничего делать не надо, кроме создания пользователя для связи, а в pfSense настроить связку с LDAP по вот этой инструкции

Чтобы не морочиться с тем, почему не работает, важно правильно ввести имя пользователя в поле «Bind credentials».

Инструкция рекомендует использовать либо короткую %username%, либо каноническую «CN=username,CN=Users,DC=domain,DC=suffix»

В реальной жизни, работает нотация username@domain.suffx (bob@example.local)

Ещё один важный момент — авторизация в LDAP в актуальном pfSense управляет доступом не на основе групп пользователей, а на основе контейнеров (CN, OU) в вашей доменной структуре, так что доступ получат все пользователи указанного в конфигурации LDAP подразделения (контейнера, CN, OU)

Про удалённое управление отоплением

Изучал рынок управлялок для котлов и прочего. Да, есть прекрасный кситал, который работает, но хотелось

  • Крепления на din-рейку
  • Питания 12В (у кситал 24, хоть резервная батарея и на 12В)

Ещё на позапозапрошлом акватерме натыкался на стенд ZONT, у которых это всё есть. Пошёл читать инструкции. Смутился, перечитал Цитирую:

Настройка Термостата производится следующими способами:

● дистанционно в онлайн-сервисе ZONT, доступном из личного кабинета владельца на сайте zont-online.ru;

● дистанционно в приложении ZONT для мобильных устройств (смартфонов и планшетов) на

платформе iOS и Android.

Т.е. устройство управляющее важнейшим элементом инженерных систем загородного дома настраивается только через веб-сервис.

Понятно, что контур безопасности котла не даст выйти ему в аварийный режим, чтобы ты не делал с внешней управлялки, понятно, что нормальный инженер продублирует внешнюю управлялку ручным управлением, если за него это не сделал производитель котла (ремарка, я регулярно натыкаюсь на места, где это не сделано)

Короче, сел думать, хорошо это или плохо…

Как инженер, я считаю что это ну так себе: и с точки зрения безопасности, и с точки зрения «владения устройством»: железка без сервиса бесполезна. Если сервис накроется, что делать пользователю? Хотя, безусловно, приложение удобнее смсок
Но параноик внутри меня кричит НЕЕЕЕТ.

А с другой стороны, идея офигенная: продаёшь контроллеры, которые управляются только твоим сервисом, сервис поначалу раздаёшь бесплатно… Вот у тебя напродавалась критическая масса контроллеров, ты рраз и делаешь сервис платным.. Недорогим, но платным. И вуаля, стабильный приток денег гарантирован… И это не ирония, правда круто.

Короче, я пока остался на кситале 🙂

Разбираемся со связью в деревне. Что делать если связи нет вообще.

Теория

Сотовая связь работает на высоких радио частотах:

  • 2G — 900MHz/1800MHz
  • 3G — 900MHz/2100MHz
  • 4G — 450MHz/800MHz/1800MHz/2600MHz

В общем случае, чем ниже частота — тем дальше распространяются радиоволны, при равной мощности, по этому, вне городов, чаще всего оборудование работает на 800-900 чем на 2100-2600

В любом случае, радиоволны высоких частот распространяются строго по прямой от передатчика, и чтобы у нас была хоть какая-то связь, мы должны «видеть» вышку. В данном случае «видеть» — это практически визуально наблюдать вышку. Между нами и вышкой не должно быть холмов, гор или чего-то подобного — рельеф не преодолим для радиоволн. Именно по этому вышки такие высокие.

Вот так связь будет
Вот так уже не будет
Вот так, тоже не будет

Ищем вышки. Собираем частоты.

Как правило, недалеко находится две вышки, реже одна. Так или иначе на карте покрытия своего оператора, или прямо на местности мы можем определить ближайшие вышки, и оценить видимость до них

Карты основных операторов Москвы и области:

Вот так, по карте покрытия можно примерно определить, где вышка (в примере Yota):

примерное местоположение вышек — красным

Определяем диапазон, в котором работает наша вышка. В этом поможет приложение Netmonitor Lite, доступное в Google Play. Приложение из первой статьи тут уже не поможет, потому что в полном объёме частоты не показывает. Что надо сделать:

  1. Переключить телефон жёстко в нужный нам режим работы 4G, или 3G или 2G (как правило нужны 4G для интернета, 3G — для разговоров и неторопливого интернета, или 2G, чтобы хоть как-то поговорить). Через 4G у пока голос запрещён, по этому одного 4G не хватит для полноценной связи, а в 2G интернет крайне медленный. По этому нас интересуют 4G/3G, либо 2G/3G, либо сразу всё.
  2. Найти место, где телефон хоть как-то ловит. Хоть на одну «палочку»
  3. Запустить приложение и посмотреть, на какой частоте работает наша вышка.
  4. Записать куда-то частоту.
  5. Закрыть приложение, переключить режим работы телефона в следующий диапазон (было 4G, включили 3G, и т.д.), повторить с пункта 3

Подробнее по третьему пункту.

В телефоне надо оставить одну сим-карту, если телефон двух-симочный.

Запустить приложение, на картинке будет что-то вроде:

скриншот главного экрана Networkmonitor Lite

Собственно — обведённое красным тип сети. Частота будет вот такой:

На экранеЧастотаТип сети
G9009002G
G180018002G
GSM900/18002G
U9009003G
U210021003G
WCDMA2100*3G
L8008004G LTE
L180018004G LTE**
L260026004G LTE
L4504504G LTE***
 * но это не точно :) 
** в Московской области нет операторов на LTE 1800
*** никогда такого в телефоне не увидите. Телефонов с доступным LTE450 (band 31) в России не продают, есть только роутеры, с сим-картами Skylink

Если всё получилось у нас есть список частот, под которые подбирать репитер.

Подбираем репитер.

Самое большое веселье в этом всём процессе. Выбор огромный, но большинство заточено под LTE 1800, который есть много где в России, но не в Московской и ближайших к ней областях. Если нашлась сеть L1800 — огромное везение.

Итак, нам предстоит выбрать репитер. На что смотреть? На частоту и тип сети.

Допустим, для примера, у меня в деревне, LTE2600, WCDMA2100 UMTS1800, ну и 2G, конечно, но он меня не интересует.

Следовательно, мне нужен репитер для диапазонов

  • LTE — 2600
  • 3G — 2100
  • 3G — 1800

Я иду в магазины репитеров (гугл в помощь) и выбираю готовый комплект для этих частот. И тут меня постигает неудача, потому что репитеры будут либо 1800/2100 — что мне не подходит, потому что у меня LTE на 2600, либо 2100/2600, что мне в общем подходит. Но вот репитера на все три частоты я не найду. Более того, фиг найдёшь репитер на 3G1800/LTE2600. Зато легко может попасться комбайн на GSM900/3G2100/LTE2600.

В итоге мой выбор очевиден 2100/2600, или 900/2100/2600. Потому что я получу хотя минимум 3G и 4G LTE, или, бонусом, голос в GSM

Тем кому повезло с LTE 800 или LTE 450 скорее всего репитер не понадобится. Зоны покрытия у этих точек самые здоровые 🙂

Я постараюсь купить репитер комплектом, с уличной антенной, комнатной антенной и кабелями. Скорее всего, я добавлю в заказ дополнительную уличную антенну и антенный ответвитель, чтобы связь была и в доме и на улице…

А вешать всё буду примерно как в этой статье, со всеми грозозащитами и заземлением.

Антенну предназначенную для входного тракта репитера, постараюсь поднять повыше и направить в сторону вышки.

Тема мегасложная, но постарался изложить так, чтобы было понятно.

Разбираемся со связью в деревне. часть три. альтернатива

Это вторая часть третьей статьи. Ранее были вторая и первая.

В качестве альтернативы микротикам, в небольшом доме, может выступить, например, роутер от йоты с внешней антенной.

В принципе, всё также как в предыдущей статье, за исключением того, что сим-карта и точка доступа объединены в одно устройство. На улицу ставиться только внешня LTE-антенна. Антенна обязательно должна быть

  • секторной (направленной)
  • MIMO (подключается двумя кабелями)

Выглядит как-то так:

Панельная направленная антенна

Или так

узконаправленная антенна

К роутеру, через антенную грозозащиту (обязательно) подключается два толстых антенных кабеля, и прокладываются до антенны. Кабеля можно купить там же, где и антенну. К кабелям необходимо купить пиг-тейлы, чтобы присоединить их к роутеру (в магазине помогут подобрать правильные)

Всё остальное также как в предыдущей статье, только устройство одно, с внешней антенной.

Мне этот вариант не нравится из-за необходимости тащить толстые и несгибаемые антенные кабели, а также потому что не позволит построить бесшовную wifi-сеть в доме и на участке, но, безусловно, право на жизнь он имеет.

Работать будет (мы так тоже какое-то время жили, после дуршлага :))

разбираемся со связью в деревне. часть третья

Третья из серии статей. Вот первая и вторая.

Итак, уровень сигнала у вас везде низкий (-100 и меньше), друшлаг на втором этаже не спасает, но где-то на крыше сигнал всё же есть. Если 4G не ловит совсем — скорее всего нормального интернета не будет. Можно попробовать отловить 3G, используя предыдущие статьи, но это паллиатив: ни удалённый рабочий стол, ни телефония через 3G работать не будут. Даже youtube будет подтормаживать.

В любом случае, малой кровью уже не обойтись. Нужен уличный (необязательно) модем с направленной (обязательно) антенной, направленной в сторону ближайшей вышки, мачта (кронштейн) и грозозащита.

И если в предыдущей части, я не советовал микротик, то здесь мы будем строить доступ в интернет именно на их решениях. Потому что тут нам важна не столько простота настроек, сколько надёжность работы и мощность антенны.

Модем и антенна.

Я считаю, что оптимальным решением модем + антенна, в большинстве случаев, будет Mikrotik SXT LTE kit

  • Поддерживаются все доступные у большой четвёрки диапазоны LTE: 7,20,38
  • Встроенная мощная секторная антенна.
  • Уличное исполнение.
  • PoE-питание (до модема надо тащить только (S)FTP-кабель)

Присоединять модем к домашнему оборудованию можно только (S)FTP-кабелем. Обычная UTP не прокатит — в ней нет экрана, и никакая грозозащита порта вас не спасёт от утраты модема в случае неудачной грозы :).

Оборудование в доме

В доме вам понадобится точка доступа, или несколько (если дом большой) чтобы раздать интернет потребителям. Я рекомендую Mikrotik hAP ac lite, настроенную в режиме точки доступа:

  • это двухдиапазонная точка доступа 2,4/5GHz
  • на борту есть порт PoE, которым можно питать модем
  • все точки доступа микротик могут быть объединены в одну бесшовную беспроводную сеть, без дополнительных контроллеров.

Мачта

В роли мачты подойдёт что угодно:

  • Специальная стальная/аллюминивая конструкция
  • Деревянная жердь
  • кронштейн на стене под самой крышей

Главное условия высота: модем должен оказаться на уровне или выше конька вашего дома. Лучше выше, потому что в этом случае можно выбирать направление на вышку в диапазоне 360 градусов.

Если возможности сделать мачту выше конька нет, необходимо закрепить модем с той стороны дома, где уровень сигнала наилучший.

Грозозащита

Главное в грозозащите — она должа быть. Без грозозащиты, включённый модем, в грозу, будет почти гарантированно испрочен. Короче, я вас предупредил 🙂

Грозозащита состоит из:

  • Зазмеления
  • Громоотвода
  • Модулей защиты уличных кабелей.
  • Грозозащиты электропитания.

Заземление

Идеальный вариант заземления — выделенный контур заземления выведенный на PE-контакты розеток, и доступный к подключению. Это может быть TT или TN-C-S с повторным заземлением. Главное контур есть и свой. На «землю» приходящую по обычной TN-C-S надежды мало. Если выделенного контура нет, вся остальная защита может не сработать

Громоотвод

В любом случае, необходимо установить рядом с модемом/антенной громоотвод, который надёжно заземлить, соединив его с существующей с землёй. Если контура заземления в доме нет, и вы не планируете его изготовить, как минимум как следует заземлите сам громоотвод.

Защита кабелей и питания

Для соединения модема и домашней точки доступа необходимо применять модуль грозозащиты, например Грозозащита Nag-1.1POE, который обязательно заземлить либо на общий контур, либо если его нет, на заземление громоотвода.

Также, рекомендуется защитить розетку, питающую домашний коммутатор, как минимум вот таким реле напряжения

Разбираемся со связью в деревне. часть вторая

В прошлой статье мы определяли уровень сигнала, теперь разберём, что делать дальше.

Если уровень сигнала в доме больше -87 (-87…-77), ничего делать не надо, просто вставляйте usb-модем в ноутбук и работайте.

Если уровень сигнала в доме меньше -87, но на улице укладывается в -87, тогда модем необходимо закрепить на окне выходящем на сторону дома с наилучшим сигналом, или на улице, если окон на эту сторону нет.

Если дом двухэтажный — вешать модем на окно стоит на втором этаже (в общем случае на верхнем :))

какой стороной размещать модем к окну — определите по уровню сигнала, в админке роутера

Понято, что подключить модем висящий на окне (или на улице) к компьютеру не получится.. По этому, модем подключаем к любому роутеру с USB-портом (лучше всего подойдут роутеры кинетик, но можно любой другой). Всё, пользуемся интернетом.

Модем, как правило трогать не надо, а вот роутеру, вероятно понадобится настройка. У кинетиков с этим всё просто, и есть готовая инструкция. Для роутеров других производителей, наверняка тоже есть.

Если уровень сигнала изнутри помещения немного не дотягивает до нормы, и интернет тормозит, можно выкрутиться сделав примитивный антенный усилитель из… дуршлага. Вот так

модем надо разместить так, чтобы антенна находилась по центру дуршлага. Антенна, обычно, в дальней от разъёма части модема.

Вешаете штуку на окно, и внезапно получаете пару делений к уровню 🙂

Как бы смешно это не звучало — мы с такой конструкцией провели чуть ли не пять дачных сезонов. Без неё не ловило вовсе, с ней работало. Причём именно с этим дуршлагом и модемом, что на фото. Собрал старых друзей для статьи

Вам могут посоветовать mikrotik вместо кинетика. Не соглашайтесь. В такой конфигурации лучше кинетик: микротик железка не для дома. Я часто (почти всегда) ставлю их в офисы, делаю на них VPN и прочее. Но дружелюбие интерфейса и простота настройки — это не про микротик. Да недороги. Да надёжны. Если знаете как их готовить — ставьте, иначе не надо.

Разбираемся со связью в деревне. часть первая

Для мобильного интернета два самых важных параметра:

  • уровень сигнала
  • удалённость от вышки, к которой вы подключены

На следующем уровне:

  • нагрузка на вышку
  • наличие свободных вышек рядом

Чтобы определиться с уровнем сигнала и удалённостью, надо проделать 5 простых шагов (инструкция для Android):

1. Вставьте в смартфон сим-карту, через которую планируете выходить в интернет

2. Установите на этот смартфон приложение Netmonitor

3. Запустите приложение, предоставьте ему все необходимые разрешения.

4. На первом экране есть данные по уровню сигнала и расстоянию до вышки:

5. На третьем экране расположение активной вышки на карте.

Измерения лучше всего провести дважды: в доме и на улице. На улице желательно обойти вокруг дома и найти точку с наилучшим уровнем сигнала.

Уровень сигнала — здесь. Чем больше (меньше по модулю :)) число , тем лучше. Обратите внимание: -87 больше чем -107 :)))

Если вы хотите обратиться ко мне за помощью в подборе и настройке оборудования, пришлите мне скриншоты этих экранов

Скриншот в большинстве андроидофонов делается одновременным нажатием кнопки уменьшения громкости и выключения телефона (Vol- + Pwr)