ServiceBox to autorskie rozwiązanie HunterNet do zdalnej diagnostyki sieci LAN, kamer IP i rejestratorów. Dostęp VPN bez przekierowania portów routera.
Dlaczego zdalny dostęp do sieci LAN jest tak ważny?
Większość współczesnych urządzeń elektronicznych wyposażona jest w interfejsy sieciowe umożliwiające komunikację oraz zarządzanie za pośrednictwem sieci komputerowej. Dotyczy to między innymi kamer IP, rejestratorów monitoringu, routerów, przełączników sieciowych, systemów alarmowych, urządzeń RTV i AGD oraz wielu innych urządzeń, które coraz częściej stanowią element lokalnej sieci komputerowej (LAN).
Dopóki wszystkie urządzenia działają prawidłowo, użytkownik zazwyczaj nie musi interesować się sposobem ich komunikacji. Problem pojawia się w momencie wystąpienia awarii, utraty łączności lub nieprawidłowego działania jednego z urządzeń, a niekiedy całej sieci.
W takich sytuacjach podstawą skutecznej diagnozy jest możliwość sprawdzenia stanu poszczególnych urządzeń, ich konfiguracji oraz parametrów komunikacji sieciowej.
Jeżeli serwisant znajduje się na miejscu, przeprowadzenie takiej diagnostyki zazwyczaj nie stanowi większego problemu. Sytuacja komplikuje się jednak, gdy instalacja znajduje się w innej miejscowości, często oddalonej o kilkadziesiąt lub kilkaset kilometrów.
Opisy problemów przekazywane przez użytkowników są zwykle dość ogólne. Informacje w rodzaju „kamery nie działają”, „nie ma dostępu do rejestratora” czy „Internet działa, ale urządzenie jest niedostępne” nie pozwalają jednoznacznie określić przyczyny usterki. Bez dostępu do infrastruktury sieciowej trudno ustalić, czy problem dotyczy samego urządzenia, konfiguracji sieci, adresacji IP, czy też komunikacji pomiędzy poszczególnymi elementami systemu.
W efekcie nawet stosunkowo prosta usterka może wymagać osobistej wizyty serwisanta, generując dodatkowe koszty i wydłużając czas usunięcia problemu.
ServiceBox – własne rozwiązanie do zdalnej diagnostyki
Wychodząc naprzeciw takim sytuacjom, opracowałem urządzenie, które nazwałem ServiceBox.
Jego podstawowym zadaniem jest umożliwienie zdalnego dostępu do lokalnej sieci komputerowej klienta w taki sposób, aby ograniczyć do minimum konieczność ingerencji w istniejącą infrastrukturę sieciową.
Głównym założeniem projektu było stworzenie rozwiązania, które w typowej instalacji można uruchomić poprzez podłączenie urządzenia do wolnego portu Ethernet w sieci LAN klienta, bez konieczności zmiany konfiguracji routera, przekierowywania portów czy modyfikowania ustawień przełączników sieciowych.
Warunkiem jest prawidłowo działające połączenie z Internetem, możliwość nawiązania wychodzącego połączenia VPN oraz odpowiednie skonfigurowanie samego ServiceBox. W sieciach z zaawansowanymi mechanizmami kontroli dostępu mogą być wymagane dodatkowe ustawienia.
ServiceBox samodzielnie inicjuje szyfrowane połączenie VPN z zewnętrzną infrastrukturą dostępową. Dzięki temu możliwe jest uzyskanie dostępu serwisowego również w sieciach korzystających z prywatnych adresów IP, połączeń LTE/5G czy łączy internetowych działających za mechanizmem CGNAT.
Pozwala to serwisantowi, znajdującemu się w dowolnej lokalizacji z dostępem do Internetu, wykonywać diagnostykę urządzeń znajdujących się w sieci klienta, bez konieczności fizycznej obecności na miejscu.
Na jakich technologiach opiera się ServiceBox?
Projekt powstał z wykorzystaniem sprawdzonych rozwiązań sieciowych opartych na otwartym oprogramowaniu.
Podstawą jest system OpenWrt, który zapewnia obsługę interfejsów sieciowych, routingu, zapory sieciowej oraz narzędzi diagnostycznych.
Do realizacji zdalnych połączeń wykorzystałem dwie technologie VPN: ZeroTier oraz WireGuard. Umożliwiają one budowanie szyfrowanych połączeń pomiędzy urządzeniem serwisowym a komputerem instalatora, również wtedy, gdy nie ma możliwości bezpośredniego zestawienia połączenia przychodzącego z Internetu.
Jako platformę sprzętową zastosowałem terminal Dell Wyse, czyli niewielki komputer o niskim poborze energii, pozwalający na pracę ciągłą.
ServiceBox został wyposażony w port Ethernet służący do podłączenia do sieci LAN klienta. Opcjonalnym wyposażeniem jest również interfejs Wi-Fi, który może pracować jako lokalny punkt dostępowy, umożliwiając serwisantowi bezpośrednie połączenie z urządzeniem podczas prac wykonywanych na miejscu instalacji.
Takie rozwiązanie łączy możliwości niewielkiego komputera pracującego pod kontrolą Linuksa z funkcjonalnością routera VPN i zestawem narzędzi do diagnostyki sieci komputerowych.
Jak działa ServiceBox?
Zasada działania urządzenia opiera się na utworzeniu bezpiecznego kanału komunikacyjnego pomiędzy komputerem serwisanta a lokalną siecią klienta.
W klasycznym modelu zdalnego dostępu często konieczne jest skonfigurowanie routera klienta, uruchomienie serwera VPN lub przekierowanie odpowiednich portów. Nie zawsze jest to możliwe. Router może należeć do operatora internetowego, użytkownik może nie posiadać uprawnień administracyjnych, a samo łącze może działać za mechanizmem CGNAT, uniemożliwiającym bezpośrednie połączenia przychodzące.
W przypadku ServiceBox zastosowałem inne podejście.
Urządzenie podłączone do sieci klienta samo inicjuje połączenie wychodzące do infrastruktury VPN. Ponieważ połączenie rozpoczyna się od strony sieci lokalnej, w typowym przypadku nie trzeba otwierać portów na routerze klienta.
Komputer serwisanta również korzysta z połączenia VPN. Odpowiednio skonfigurowana infrastruktura umożliwia następnie komunikację z urządzeniami znajdującymi się w sieci klienta.
W zależności od zastosowanego wariantu może to być połączenie realizowane przez sieć ZeroTier lub przez centralny serwer WireGuard, do którego podłączają się zarówno ServiceBox, jak i komputer serwisanta.
Istotną rolę odgrywa konfiguracja routingu i zapory sieciowej. To właśnie ona decyduje, do których urządzeń i usług w sieci klienta może uzyskać dostęp serwisant.
W wybranych konfiguracjach ServiceBox wykorzystuje również translację adresów (NAT), dzięki której urządzenia w sieci lokalnej mogą odpowiadać na żądania diagnostyczne bez konieczności dodawania tras statycznych w routerze klienta.
ServiceBox nie zastępuje istniejącego routera i nie musi pełnić funkcji bramy internetowej dla urządzeń klienta. Pracuje jako dodatkowe urządzenie dostępowe, którego zadaniem jest udostępnienie kontrolowanej ścieżki komunikacyjnej na potrzeby serwisu.
Oznacza to, że wdrożenie może odbyć się bez przebudowy istniejącej sieci.
Co można diagnozować za pomocą ServiceBox?
Samo uzyskanie dostępu do sieci LAN nie jest jeszcze celem. Najważniejsze są możliwości diagnostyczne, które dzięki temu zyskuje serwisant.
ServiceBox pozwala wykorzystać zarówno standardowe narzędzia sieciowe, jak i interfejsy administracyjne poszczególnych urządzeń.
Sprawdzanie dostępności urządzeń
Jednym z podstawowych testów jest sprawdzenie, czy urządzenie odpowiada na żądania sieciowe.
Za pomocą narzędzia ping można zweryfikować dostępność określonego adresu IP, opóźnienia transmisji oraz ewentualną utratę pakietów.
Brak odpowiedzi nie zawsze oznacza awarię urządzenia, ponieważ niektóre systemy blokują komunikaty ICMP. Jest to jednak jeden z podstawowych etapów diagnostyki.
Analiza adresacji IP i komunikacji sieciowej
ServiceBox umożliwia wykonywanie testów pozwalających wykryć nieprawidłowości w konfiguracji sieci.
Można sprawdzać między innymi adresację IP, tablice ARP, dostępność bramy domyślnej, trasowanie pakietów oraz otwarte porty usług sieciowych.
Do takich zadań można wykorzystać narzędzia takie jak ping, traceroute, iproute2, arp-scan, nmap czy tcpdump.
Pozwala to odróżnić problemy wynikające z niedostępności urządzenia od problemów związanych z komunikacją pomiędzy urządzeniami.
Dostęp do paneli administracyjnych
Wiele urządzeń sieciowych posiada interfejsy administracyjne dostępne przez przeglądarkę internetową.
Dzięki odpowiednio skonfigurowanemu połączeniu VPN możliwe jest otwarcie panelu WWW kamery, rejestratora, routera, przełącznika lub innego urządzenia znajdującego się w sieci klienta.
W ten sposób można sprawdzić parametry pracy, dzienniki zdarzeń, konfigurację sieciową czy stan poszczególnych usług.
Jeżeli urządzenie udostępnia SSH lub inne protokoły zarządzania, możliwe jest również wykorzystanie tych interfejsów, pod warunkiem posiadania odpowiednich uprawnień.
Diagnostyka monitoringu CCTV
W instalacjach monitoringu wizyjnego IP zdalny dostęp do sieci ma szczególne znaczenie.
Można weryfikować dostępność kamer, sprawdzać ich konfigurację, połączenie z rejestratorem oraz dostępność usług takich jak HTTP, HTTPS, RTSP czy ONVIF.
Pozwala to ustalić, czy przyczyną braku obrazu jest niedostępność kamery, błąd adresacji IP, problem z określoną usługą, czy też konfiguracja rejestratora.
Należy przy tym pamiętać, że diagnostyka sieciowa nie zastępuje pomiarów fizycznych. Przykładowo problemu z zasilaniem PoE lub uszkodzonego przewodu nie zawsze można jednoznacznie rozpoznać zdalnie, szczególnie gdy przełącznik nie udostępnia informacji diagnostycznych.
Mimo tego możliwość wykonania wstępnych testów znacznie ułatwia zaplanowanie dalszych czynności serwisowych.
ZeroTier i WireGuard – dwa sposoby zdalnego dostępu
W projekcie ServiceBox zastosowałem dwie technologie umożliwiające zestawianie szyfrowanych połączeń sieciowych. Chociaż obie mogą realizować podobny cel, różnią się sposobem działania i organizacją infrastruktury.
ZeroTier – wirtualna sieć pomiędzy urządzeniami
ZeroTier umożliwia utworzenie wirtualnej sieci, do której dołączają uprawnione urządzenia.
Komputer serwisanta i ServiceBox mogą należeć do tej samej sieci ZeroTier, niezależnie od tego, gdzie fizycznie się znajdują.
Rozwiązanie wykorzystuje mechanizmy wykrywania dostępnych ścieżek komunikacyjnych i nawiązywania bezpośrednich połączeń pomiędzy urządzeniami, gdy warunki sieciowe na to pozwalają.
Jeżeli bezpośrednie połączenie pomiędzy urządzeniami nie jest możliwe, ZeroTier może przesyłać zaszyfrowane dane za pośrednictwem własnych serwerów komunikacyjnych.
Dużą zaletą ZeroTier jest stosunkowo proste uruchomienie połączeń, także w sieciach, w których nie dysponujemy publicznym adresem IP.
WireGuard – szyfrowany tunel VPN
WireGuard to nowoczesna technologia VPN, charakteryzująca się prostą architekturą, niewielkim narzutem protokołu i wysoką wydajnością.
W ServiceBox przewidziałem możliwość pracy w modelu opartym na centralnym serwerze WireGuard.
Urządzenie znajdujące się u klienta inicjuje połączenie z serwerem posiadającym publicznie osiągalny adres IP i odpowiednio udostępniony port UDP.
Komputer serwisanta również łączy się z tym serwerem. Odpowiednia konfiguracja tras i reguł zapory umożliwia następnie przekazywanie ruchu pomiędzy komputerem serwisanta a siecią LAN klienta.
W takim wariancie router klienta nie musi obsługiwać WireGuard ani przekierowywać portów. Istotne jest jedynie, aby sieć pozwalała ServiceBox na zestawienie połączenia wychodzącego do serwera VPN.
Centralny serwer WireGuard pełni zatem funkcję wspólnego punktu dostępowego, pośredniczącego w komunikacji pomiędzy urządzeniami.
Które rozwiązanie jest lepsze?
Nie ma tutaj jednoznacznej odpowiedzi, ponieważ oba rozwiązania mają inne zalety.
ZeroTier ułatwia tworzenie wirtualnych sieci pomiędzy urządzeniami i automatyzuje część czynności związanych z zestawianiem połączeń.
WireGuard daje natomiast dużą kontrolę nad własną infrastrukturą VPN, jej konfiguracją oraz zasadami kierowania ruchem.
W przypadku ServiceBox obecność obu technologii pozwala dobrać sposób komunikacji do warunków konkretnej instalacji i wymagań serwisowych.
Niezależnie od zastosowanego rozwiązania konieczne jest prawidłowe skonfigurowanie dostępu do sieci klienta. Samo zestawienie tunelu VPN nie oznacza jeszcze, że wszystkie urządzenia w sieci LAN będą automatycznie osiągalne.
ServiceBox w praktyce – przykład diagnostyki kamery IP
Załóżmy, że klient posiada system monitoringu składający się z kilkunastu kamer IP oraz rejestratora NVR.
Instalacja znajduje się około 200 kilometrów od siedziby firmy serwisowej.
Klient zgłasza, że jedna z kamer przestała wyświetlać obraz w rejestratorze. Pozostałe kamery działają prawidłowo.
Na podstawie samego zgłoszenia trudno ustalić przyczynę problemu. Możliwych scenariuszy jest kilka: awaria kamery, problem z zasilaniem PoE, uszkodzenie przewodu, zmiana adresu IP, nieprawidłowa konfiguracja albo utrata komunikacji pomiędzy kamerą a rejestratorem.
Bez zdalnego dostępu do sieci standardowym rozwiązaniem byłoby wysłanie serwisanta na miejsce.
Jeżeli jednak w instalacji znajduje się ServiceBox, diagnostykę można rozpocząć bez wyjazdu.
Krok pierwszy – połączenie z siecią klienta
Serwisant uruchamia na swoim komputerze klienta VPN i nawiązuje połączenie z infrastrukturą zapewniającą dostęp do ServiceBox.
Krok drugi – sprawdzenie dostępności kamery
Wykonywany jest test ping do adresu IP problematycznej kamery.
Jeżeli kamera odpowiada, można przejść do sprawdzania dostępności jej usług sieciowych. Jeżeli odpowiedzi nie ma, konieczne jest wykonanie kolejnych testów.
Krok trzeci – analiza komunikacji
Serwisant sprawdza dostępność portów wykorzystywanych przez kamerę, wpisy w tablicach ARP oraz inne parametry możliwe do zweryfikowania z poziomu sieci LAN.
Jeżeli przełącznik sieciowy jest zarządzalny, a jego interfejs administracyjny jest dostępny, można również sprawdzić stan portu Ethernet, parametry PoE oraz ewentualne błędy transmisji.
Krok czwarty – sprawdzenie konfiguracji
Jeśli kamera jest dostępna, serwisant może zalogować się do jej panelu administracyjnego i zweryfikować konfigurację adresacji IP, ustawienia usług sieciowych oraz dzienniki zdarzeń.
Możliwe jest również sprawdzenie konfiguracji odpowiedniego kanału w rejestratorze NVR.
Krok piąty – ustalenie przyczyny i podjęcie działania
Jeśli problem wynika z błędnej konfiguracji, nieprawidłowych parametrów połączenia lub ustawień rejestratora, istnieje szansa usunięcia usterki całkowicie zdalnie.
Jeżeli testy wskazują na prawdopodobne uszkodzenie kamery, przewodu lub brak zasilania, konieczny może okazać się wyjazd serwisowy.
Różnica polega jednak na tym, że serwisant dysponuje już konkretnymi informacjami o problemie i może przygotować odpowiednie części zamienne, sprzęt pomiarowy oraz narzędzia.
W praktyce oznacza to mniejszą liczbę niepotrzebnych wyjazdów, krótszy czas diagnozowania usterek i bardziej przewidywalny przebieg prac serwisowych.
Bezpieczeństwo i kontrola dostępu do sieci klienta
Zdalny dostęp do infrastruktury sieciowej jest dużym ułatwieniem, ale wymaga również odpowiedniego podejścia do bezpieczeństwa.
Jednym z założeń projektu ServiceBox jest umożliwienie dostępu serwisowego bez konieczności udostępniania urządzeń klienta bezpośrednio w Internecie.
W tradycyjnym modelu zdalnego zarządzania spotyka się rozwiązania polegające na przekierowaniu portów routera do paneli WWW kamer, rejestratorów lub innych urządzeń. Takie podejście zwiększa powierzchnię potencjalnego ataku, szczególnie w przypadku urządzeń posiadających nieaktualne oprogramowanie.
ServiceBox wykorzystuje inny model komunikacji.
Połączenia VPN są szyfrowane, a dostęp do infrastruktury powinien być ograniczony do urządzeń i użytkowników posiadających odpowiednie uprawnienia.
Samo szyfrowanie nie jest jednak wystarczającym zabezpieczeniem. Dlatego istotne znaczenie mają również konfiguracja zapory sieciowej, kontrola trasowania oraz zakres udostępnianych zasobów.
Ograniczanie dostępu
ServiceBox nie musi zapewniać nieograniczonego dostępu do całej infrastruktury klienta.
Możliwe jest skonfigurowanie zasad komunikacji w taki sposób, aby serwisant uzyskiwał dostęp wyłącznie do określonych adresów IP, podsieci lub usług.
Przykładowo, w instalacji monitoringu można dopuścić komunikację z kamerami i rejestratorem, jednocześnie blokując dostęp do komputerów biurowych i innych urządzeń niezwiązanych z serwisowanym systemem.
Pozwala to ograniczyć zakres uprawnień do rzeczywistych potrzeb diagnostycznych.
Dostęp wyłącznie dla uprawnionych użytkowników
W przypadku ZeroTier kontrola dostępu może być realizowana przez autoryzację urządzeń w wirtualnej sieci oraz odpowiednio skonfigurowane reguły komunikacji.
WireGuard wykorzystuje mechanizm kluczy kryptograficznych, które służą do uwierzytelniania uczestników połączenia VPN.
Dzięki temu dostęp do ServiceBox nie opiera się wyłącznie na znajomości adresu IP czy hasła do panelu administracyjnego.
Istotne jest również odpowiednie zabezpieczenie samego urządzenia, regularna aktualizacja jego oprogramowania oraz ochrona danych uwierzytelniających.
Kontrola czasu i zakresu połączenia
ServiceBox może pracować w trybie stałej gotowości serwisowej albo być uruchamiany wyłącznie wtedy, gdy pojawi się potrzeba przeprowadzenia diagnostyki.
Zależnie od przyjętej konfiguracji możliwe jest również ograniczanie dostępu poprzez reguły zapory sieciowej lub wyłączanie odpowiednich połączeń VPN.
Każde wdrożenie powinno uwzględniać uzgodniony z klientem zakres dostępu do jego infrastruktury.
Ograniczenia techniczne
ServiceBox nie jest rozwiązaniem eliminującym wszystkie problemy związane ze zdalnym serwisem.
Jeżeli połączenie internetowe klienta przestanie działać całkowicie, urządzenie nie będzie mogło utrzymać komunikacji VPN przez to łącze.
Podobnie, jeżeli awarii ulegnie przełącznik sieciowy, do którego podłączony jest ServiceBox, dostęp do pozostałych urządzeń może okazać się niemożliwy.
W przypadku instalacji wymagających szczególnej niezawodności można rozważyć dodatkowe łącze komunikacyjne, na przykład LTE/5G, albo niezależną ścieżkę dostępu serwisowego.
Trzeba również uwzględnić sytuacje, w których sieć klienta posiada zaawansowaną segmentację VLAN, restrykcyjną zaporę sieciową lub mechanizmy kontroli dostępu do portów Ethernet. W takich instalacjach uruchomienie ServiceBox może wymagać współpracy z administratorem sieci.
Podsumowanie – mniej wyjazdów, szybsza diagnostyka
ServiceBox powstał jako odpowiedź na konkretny problem występujący podczas serwisowania systemów monitoringu, urządzeń sieciowych i instalacji znajdujących się w odległych lokalizacjach.
Nie jest to rozwiązanie mające zastępować istniejącą infrastrukturę sieciową ani rozbudowany system zdalnego zarządzania. Jego zadaniem jest zapewnienie serwisantowi wygodnego, kontrolowanego dostępu do urządzeń lokalnych, bez konieczności każdorazowego wyjazdu na miejsce instalacji.
Wykorzystanie OpenWrt, ZeroTier i WireGuard pozwoliło stworzyć niewielkie urządzenie oferujące funkcjonalność, która w wielu przypadkach wymagałaby stosowania znacznie bardziej rozbudowanych rozwiązań.
Najważniejszą zaletą ServiceBox nie jest jednak sama technologia VPN, lecz możliwość wykorzystania jej w codziennej pracy instalatora i serwisanta.
Możliwość zdalnego sprawdzenia stanu sieci, konfiguracji urządzeń oraz parametrów ich komunikacji pozwala często rozwiązać problem bez wizyty na miejscu, a gdy wyjazd jest konieczny – znacznie lepiej się do niego przygotować.
ServiceBox jest autorskim projektem rozwijanym w ramach działalności HunterNet, opartym na doświadczeniach zdobytych podczas instalacji i serwisowania systemów CCTV oraz sieci komputerowych.
Jego celem jest uczynienie zdalnej diagnostyki praktycznym narzędziem codziennej pracy, a nie skomplikowanym przedsięwzięciem wymagającym przebudowy infrastruktury klienta.