wifi hotspot что это такое
Как быстро развернуть HotSpot с требованием законов РФ?
Как он работает?
На самом деле ничего сложного нет. Давайте разберём работу этого устройства по шагам.
Многие путают вайфай и интернет, но это разные вещи. Дело в том, что Хот-пот может существовать и без интернета, я просто его ввёл в понятие для понятности. По сути, хотспот это маленькая коробочка, которая строить по воздуху беспроводную, или понятнее будет сказать – Wi-Fi сеть. А вот если настроить интернет и правильно подключить – то по беспроводной сети будет гулять ещё и интернет.
Основные преимущества
Программа для раздачи интернета WiFi Creator имеет достаточно много достоинств по отношению ко всем аналогам, потому что здесь разработчики учли основные потребности пользователя. Если вы решили создать WiFi сеть для Windows, то необходимо оценить следующие факторы:
Новые версии сохраняют достоинства устаревших аналогов и одновременно открывают новые возможности. Теперь можно без малейших осложнений использовать оболочки Windows 7 и Windows 10, а также любой планшет на андроиде и т.п.
Безопасность превыше всего
WiFi Creator для Windows имеет множество достоинств, но именно технология WPA2 стала ее изюминкой. Данный протокол безопасности по праву является самым надежным из существующих, потому что он шифрует данные каждого клиента в индивидуальном порядке таким образом, что перехватить их или дешифровать отдельные пакеты данных становится практически невозможно. К тому же именно это полностью исключает любое вмешательство извне.
Дополнительные факторы
Скачать WiFi Hotspot Creator можно совершенно бесплатно на нашем сайте. При запуске точки доступа, желательно знать следующие нюансы:
WiFi Hotspot Creator для Windows – лучшее решение для людей, которые ценят комфорт и удобство использования одновременно несколько точек доступа к интернету.
Разновидности
Если говорить строго, то хотспотов бывает три вида:
Как эта магия возможна?
Сегодня модно называть технологии «Облачными» даже если они к облакам не имеют никакого отношения («камень» в сторону Mikrotik CCR)
, обесценивая реальную технологию, которую скрывает понятие «облако». Nebula чистой воды контроллер SDN сети, которая предоставляется Вам как услуга (SaaS).
Программно-определяемая сеть или программно-конфигурируемая сеть (англ. software-defined networking, SDN) — сеть передачи данных, в которой уровень управления сетью отделён от устройств передачи данных и реализуется программно. Одна из форм виртуализации сети.© Wikipedia
Компания Zyxel разработала контроллер, который Вам предоставляет логичный и понятный интерфейс настройки и мониторинга оборудования. При этом сами устройства получают чистый конфиг с уже рассчитанными данными. То есть с тем же железом внутри сетевое устройство эффективней, так как оно само уже не пересчитывает параметры (те же маршруты). Обычно такой подход реализуется в крупных датацентрах и решения, внедряемые ими, стоят не маленьких денег. Но для среднего и малого бизнеса такая модель может быть так же полезной и не такой уж и дорогой.
Бесшовный роуминг
В Mikrotik, чтобы настроить контроллер, надо пройти семь кругов ада. При этом ни один из существующих стандартов бесшовного роуминга (802.11 k/v/r) Mikrotik не поддерживает… По крайней мере ни в wiki.mikrotik.com, ни в интерфейсе Winbox таких настроек не нашёл.
К сожалению, но Mikrotik, пока сильно отстаёт по Wi-Fi от других вендоров.
TapuNet — Mikrotik hap ac2; Zyxel-5G — NWA5123-AC HD. Физически стоят в одном месте. Mikrotik hap ac2 — 2.5 dBi 2×2 MIMO Zyxel NWA5123-AC HD — 3 dBi 3×3 MIMO
В Zyxel же эти протоколы включаются одним нажатием кнопки.
Подробнее о протоколах роуминга хорошо описано в этой статье.
Лицензия на Nebula
В нашем контексте хватит и вечной бесплатной. При регистрации моих точек так же прилетела лицензия «PRO» до 2022 года.
Безопасность в облаке
Не редко слышу, что кто-то боится пользоваться облаком Nebula: «А фдрух шпивоны сопрут». Но никто не жалуется на облачные сервисы AWS. Целые компании держат почту на gmail и yandex. Современные мобильные телефоны теряют свой функционал без привязки к облаку… Поэтому бояться, что кто-то чего-то сопрёт с Nebula, учитывая, что там хранятся только конфиги вашей сети — как-то глупо. Нэбула постоянно развивается.
Пока я писал эту статью, в nebula появился контроль прошивок устройств. что позволяет оперативно устранять обнаруженные уязвимости.
Не забывайте, что Zyxel — компания мирового уровня, которая следит за своей репутацией.
Более подробно про мобильный
Представьте себе, что у вас есть ноутбук, на котором вы хотите посмотреть сериал или фильм. А провайдер как на зло задерживается и проведет к вам интернет-провод только завтра. А вам скучно, и вы хотите себя занять. Но у вас есть мобильный телефон с интернетом.
Так вот – вы можете с лёгкостью превратить ваш смартфон в роутер и раздать с него интернет на ноутбук, чтобы скачать программы, посмотреть видео, фильмы, сериалы и т.д. Это очень удобно, когда другим устройствам срочно требуется интернет. Также вы можете раздать вай-фай сеть с интернетом, чтобы поделиться им со своими друзьями.
Переключаем WiFi в режим точки доступа в Windows
Так уж получилось, что на работе для получения полноценного интернета без ограничений, мне приходиться использовать нетбук и 3g-модем. Недавно, купив iPod Touch, я очень захотел его подключить к интернету. Если смартфон еще мог вылезти в интернет самостоятельно, то вот с плеером несколько труднее. Один из вариантов — это подключение с помощью кабеля синхронизации. Вариант не очень удобный, так как носить с собой постоянно кабель желания совершенно нет, да и iTunes ставить тоже не хочеться. Второй вариант, тот который и описывается в данной статье — это подключение через WiFi. На Хабрахабре уже упоминалась похожая задача и её решение, но для Linux. Наша задача настроить тоже самое под Windows.
Итак, что мы имеем
— Нетбук, ASUS 1215B — Интернет через USB 3g-модем — Плеер и смартфон с наличием WiFi
Задача
— Получить на всех устройствах интернет
Решение
Прежде чем начать, многие советуют обновить драйвер WiFi карты на компьютере. Лично я этого не делал, но каждый решает сам.
Способы
— Можно воспользоваться графическими утилитами, типа Connectify и Virtual Router. Они работают, даже хорошо работают, но кушают ресурсы. Некоторые люди жаловались, что очень сильно кушают ресурсы.
— Можно сделать все самому через консоль используя netsh. Именно этот способ я и выбрал. Все действия необходимо выполнять от имени Администратора.
Создаем сеть
Прежде всего, необходимо создать беспроводную сеть с помощью следующей команды netsh wlan set hostednetwork mode=allow ssid=»MyHomeInternet» key=»pass12345678″ keyUsage=persistent где MyHomeInternet — имя сети(ssid), pass12345678 — пароль для входа.
Успех выполнения команды будет выглядеть примерно так:
Режим размещенной сети разрешен в службе беспроводной сети. Идентификатор SSID размещенной сети успешно изменен. Парольная фраза пользовательского ключа размещенной сети была успешно изменена. Теперь можно перейти в Панель управления \ Центр управления сетями и общим доступом \ Изменение параметров адаптера. У меня оно называется «Беспроводное сетевое соединение 2».
Управление соединением
Так как соединение находится в статусе «Нет подключения», то нам необходимо его включить. Для этого выполним команду: netsh wlan start hostednetwork После получения фразы Размещенная сеть запущена, сеть будет запущена и в списке соединений увидем подключение вашей сети. В нашем примере это MyHomeInternet.
Для остановки сети, необходимо воспользовать командой:
netsh wlan stop hostednetwork
Подключаем интернет
WiFi сеть создана и к ней даже можно подключаться, но интернет будет скорее всего отсутствовать. Для того, чтобы исправить сие недоразумение, необходимо: — перейти в Панель управления \ Центр управления сетями и общим доступом \ Изменение параметров адаптера; — зайти в свойства соединения через которое вы выходите в интернет(у меня это Internet MTS); — вкладка Доступ; — установить галку у пункта «Разрешить другим пользователям сети использовать подключение к интернету данного компьютера» и из списка выбрать нашу созданную сеть — «Беспроводное сетевое соединение 2»; — нажать Ок; — отключить и включить 3g-соединение; (в идеале перезагрузить компьютер) — отключить и включить WiFi сеть.
Что получилось
В идеале, после данных действий ноутбук превратится в небольшую WiFi точку. Для этого возьмем IPod, включим WiFi и увидем нашу созданную сеть MyHomeInternet. Вводим пароль и подключаемся. Интернет есть.
Ограничения
— прежде всего придется после каждого запуска Windows запускать сеть с помощью команды netsh wlan start hostednetwork. Решается путем написании небольшого скрипта и отправкой его в автозагрузку. Еще один вариант создать ярлык на рабочем столе и запускать сеть только тогда, когда необходимо. — ОС должна быть Windows 7. — подключаемое устройство должно поддерживать WPA2-PSK/AES
Проблемы
Не создается сеть
— обновите драйвер беспроводного адаптера на более новый — запускайте консоль от имени администратора
Сеть создалась, но не запускается
— возможно поможет перезагрузка компьютера и запуск сети от имени администратора
Сеть создалась, запустилась, но подключиться к ней невозможно
— проверить пароль — вручную прописать в свойствах TCP/IP соединения на «сервере» и клиенте настройки сети. Например, для сервера: ip — 192.168.137.1, маска — 255.255.255.0 и для клиента: ip — 192.168.137.2, маска — 255.255.255.0, шлюз — 192.168.137.1, днс — 192.168.137.1
К сети подключился, но в интернет не выйти
— убедитесь, что вы её расшарили(см. пункт «Подключаем интернет») — попробуйте перейти не по доменному имени, а по IP-адресу. Если переходит, значит время подумать о вписывании DNS-сервера в настройки клиента и\или сервера.
Как видите, решить столь простую задачу можно и без использования стороннего ПО. Тем не менее иногда бывает, что и без него необойтись. В моем случае, были проблемы с DNS и дажы указывая сервера Google Public Domain в настройках TCP/IP я ничего сделать не смог. Поэтому пришлось прибегнуть к помощи пакета BIND и настройке его на 127.0.0.1. Настраивается он так же просто, но об этом уже в следующей мини-статье.
Настройка
Чуть ниже я кратко приведу инструкции по настройке этой функции на телефонах, планшетах и ноутбуках. Для начала убедитесь, что на устройстве, которое будет выступать как хот-спот включен и работает интернет. После того как вы всё настроите, уже можно будет подключаться к сети этого устройства. Но будьте готовы, что скорость может немного упасть.
ПРИМЕЧАНИЕ! Если вы будете раздавать беспроводную сеть с мобильным интернетом, то провайдер может начать ругаться, после того как вы зайдёте в браузер. Но у меня такое было только с YOTA, с MTS – всё было в порядке. Если данная проблема возникнет и с вас будут просить деньги – прочтите эту статью. Там написана инструкция по МТС, но она подойдёт под всех мобильных операторов.
Android
IPhone, IPad с iOS
Windows 10
Для ноутбуков или компьютеров с WiFi адаптером.
Что такое Хот-Спот?
В переводе с английского Hot Spot означает «горячая точка». Такой дословный перевод ни о чем не говорит, поэтому данный термин требует пояснения. Так вот, Хот-Спот Wi-Fi – это место, где можно подключиться к интернету посредством Wi-Fi интерфейса. Например, приходите вы в кафе, пьете кофе и в своем мобильном телефоне читаете последние новости, общаетесь в социальных сетях или публикуете новые фотографии. Это значит, что в данном кафе есть Hot Spot, то есть горячая точка. Но в данном случае нас интересует функционал телефона.
Что такое хот спот и как им пользоваться?
Что такое хот спот? Это функция мобильных устройств, делающая их импровизированной точкой доступа для других девайсов, оснащенных Wi-Fi модулем. Проще говоря, устройство в режиме хотспот (hotspot) служит ретранслятором: осуществляет доступ в интернет через мобильную сеть, одновременно выступая для других устройств точкой доступа Wi-Fi. Простой способ раздавать интернет с телефона на ноутбук и наоборот.
Как раздавать интернет с андроид смартфона на ноутбук?
Вам срочно нужен доступ в интернет, а провайдер как назло затеял ремонт или же вы оказались вне зоны покрытия Wi-Fi? Проблему решит любое мобильное устройство, оснащенное одновременно модулями Wi-Fi и GSM – надо только активировать и настроить функцию хотспот.
Использование функции hotspot возможно на Андроиде версии 2.2 и выше. Делается это так:
Справка. WPА – система шифрования сигнала при беспроводном обмене денными между устройствами, уберегая информацию от несанкционированного перехвата. Чем выше степень защиты – тем больше нагрузка на устройство, работающее в режиме хотспот. Можно выбрать открытую сеть при подключении нескольких устройств для обычного интернет-серфинга. WPА PSK подойдет для работы с 1-2 устройствами. WPА PSK2 рекомендуется для сохранения важных данных – например, при интернет-банкинге или обмене конфиденциальной информацией.
Подключение к импровизированной точке доступа ничем не отличается от присоединения к обычной сети Wi-Fi. То есть к точке доступа на Андроид вы сможете без проблем подключить девайс на IOS или Windows.
Что делать если нету кнопки в смартфоне?
Эта инструкция актуальна для «чистого» Андроида. Многие разработчики устанавливают на смартфоны оболочки, меняющие алгоритм действий. Главное – понять принцип, который в любом случае одинаков. Одно из полезных дополнений производителей – вынос кнопки активации в «шторку». Это новшество незаменимо, если вам приходится использовать хот спот часто.
Пользователи чистого Андроида или оболочек, не предусматривающих включения хотспот одним касанием, могут при желании исправить ситуацию, установив соответствующее приложение выноса кнопки на робочий стол.
Последние предлагают пользователю удобные виджеты, отображающие состояние сети, скорость обмена данными, количество подключенных устройств и другую информацию. Естественно, такие программы требуют большего быстродействия от платформы.
Хотспот на IOS
Компания Apple также позволяет своим пользователям запускать хотспот на Айфоне. Делается это так:
Учтите, что при использовании режима хотспот некоторые функции вашего iPhone могут быть недоступны. В основном, не работают функции, связанные с большим объемом трафика: выгрузка фотографий в удаленную медиатеку, резервное копирование данных в «облачный» сервис iCloud и им подобные.
С помощью функции Instant Hotspot можно использовать несколько устройств Apple (Mac, iPhone, iPad), подключенных к одной точке доступа, без ввода пароля. Для этого на всех гаджетах должен быть активен один и тот же аккаунт Apple ID.
Важная информация
Hotspot – отличный способ экстренного выхода в интернет в случае непредвиденной ситуации. Но не стоит воспринимать эту функцию как замену стационарной точки доступа. Скорость соединения бывает недостаточной или слишком дорогой.
Как правило, мобильные операторы дают в рамках тарифа пакет предоплаченного трафика. В большинстве случаев речь идет о нескольких гигабайтах – этого достаточно для серфинга, почты и соцсетей. Но при просмотре видео, использовании видеосвязи, загрузке объемных приложений, «тяжелых» онлайн-играх трафика может не хватить. Пакет будет исчерпан очень быстро, а дополнительные «метры» интернета придется покупать по завышенной цене.
Кроме того, хотспот очень быстро «садит» батарею устройства, а использование смартфона при постоянной подзарядке не лучшим образом сказывается на ресурсе аккумулятора.
Лайк, если читаешь логи!: запускаем Hotspot 2.0 на сети Wi-Fi в метро
Делимся опытом создания закрытой сети Wi-Fi в метро с использованием технологии Hotspot 2.0, первой статистикой, рекомендациями по безопасности. А также приглашаем к открытому тестированию новой сети.
С середины февраля на зеленой, а с конца апреля на всех линиях московского метро запущена новая закрытая сеть Wi-Fi — MT. Сеть работала в тестовом режиме. Все это время мы проводили внутренние тесты силами сотрудников, а также наблюдали за стабильностью работы точек доступа и контроллеров, возможным влиянием на сервис в открытом SSID MT_FREE.
Запуск этой сети не прошел незамеченным среди наших пользователей. По разным каналам мы получили несколько вопросов о том, как получить учетные данные. Но многие не оставляли попыток подключиться через придуманные учетки. За все время, пока был доступен этот SSID, зарегистрировано 14 488 уникальных запросов авторизации. Более того, некоторые абоненты даже писали нам послания, используя форму для ввода User-Name. Одно из таких посланий, — фразу «Лайк, если читаешь логи!», — было особенно приятно прочесть. Взаимный лайк!
Давайте кратко рассмотрим предпосылки к за пуску закрытой сети, возможности и ограничения, технический аспект внедрения Hotspot 2.0.
Зачем нужна закрытая сеть MT?
Запуск закрытой сети с использованием учетных данных, уникально идентифицирующих устройство или пользователя, обсуждался нами неоднократно. Драйверами запуска являются, в первую очередь, вопросы безопасности. Необходимо исключить возможность подключения к фишинговым точкам с нашим SSID и делать это прозрачно, чтобы от пользователя не требовалось никаких дополнительных действий. Хотя практически весь чувствительный трафик в интернете зашифрован с помощью TLS, абоненты считают сети Wi-Fi без шифрования менее надежными.
Другая причина запуска сети с авторизацией по учетным данным — тренд на рандомизацию MAC-адресов устройств при подключении к Wi-Fi сетям. Этот тренд все заметнее проявляется на Android-устройствах. Причем, если раньше переменные MAC-адреса были атрибутом недорогих смартфонов (главным образом, китайских) и использовались производителями просто в силу нехватки официально зарезервированных пулов MAC-адресов, то недавно Google официально сообщил о внедрении подобной технологии в ОС Android с целью предотвращения трекинга абонентов. Это создает препятствия для полноценного использования публичного Wi-Fi в России, так как при каждом входе потребуется повторная идентификация устройства (в соответствии с постановлениями Правительства 758 и 801). Таким образом, MAC-адрес постепенно перестает быть приемлемым средством идентификации устройства в сети.
Краткий обзор функций Hotspot
В поисках решения указанных проблем мы обратили внимание на технологию Hotspot 2.0, которую развивают в том числе Wi-Fi Alliance и Wireless Broadband Alliance. При первом рассмотрении технология должна закрыть все возникающие потребности — защищенное подключение к проверенному SSID и шифрованное соединение. Ниже приводим сравнение новой парадигмы организации операторских Wi-Fi-сетей и текущего состояния.
Сравнение подходов к организации Wi-Fi сетей – до и после внедрения технологии Hotspot 2.0.
Стек Hotspot 2.0 включает в себя три ключевые технологии:
Вряд ли ошибусь, если предположу, что у многих читателей технология Hotspot 2.0 ассоциируется с Offload (выгрузкой трафика) из Wi-Fi сети в мобильную.
Действительно, наибольшее количество внедрений Hotspot 2.0 произошло у мобильных операторов, и первопроходцем здесь является AT&T. Этому есть объяснение — обязательным условием работы мобильной связи является наличие в устройстве физической или виртуальной SIM-карты. Вкупе с операторскими профилями и возможностью обновления их «по воздуху» это условие обеспечивает прозрачный для клиента провиженинг (в контексте Hotspot 2.0 — передача учетных данных, их валидация и применение в операционной системе).
При этом клиентский опыт в операторской Wi-Fi-сети становится сравним (а при некоторых условиях и лучше), чем опыт в мобильной сети. Кейс также применим и для MVNO-операторов, но все зависит от схемы работы с хост-оператором. Для остальных операторов, таких как мы, основной вызов — это вопрос провиженинга устройств и всего, что с этим связано. Попробуем разобраться.
Все дело в учетных данных
Учетные данные – это сущность, которая позволяет уникально идентифицировать пользователя. Эти данные должны быть надежно защищены, чтобы злоумышленник не мог перехватить и переиспользовать их. Наличие учетных данных решает проблему MAC-аутентификации, когда можно «прослушать» радио-эфир с помощью сниффера, узнать и подменить MAC-адрес с чужого устройства.
Наиболее распространенными типами учетных данных и методов аутентификации являются:
Настройка вручную — это сложный процесс, сильно зависящий от особенностей конкретной ОС. Для абонентов это крайне неудобно. Передача учетных данных через сеть с автоматической настройкой устройства может быть хорошим решением. Этот процесс будем называть провиженингом, и здесь как раз кроется главное ограничение технологии на текущем этапе развития.
Эволюция Hotspot 2.0
На данный момент выпущено три релиза Hotspot с нетривиальными обозначениями 1, 2, 3. А технология все еще называется 2.0. На самом деле Hotspot 2.0 это набор стандартов, определяющий новый подход к организации операторских Wi-Fi-сетей, когда опыт пользования такими сетями сравним с использованием мобильной сети. А в рамках релизов (1, 2, 3) формируются сами стандарты, на соответствие которым проводится сертификация устройств.
Так, основная «фишка» первого релиза и по совместительству база технологии — это стандарт IEEE 802.11u. Поддержка 802.11u необходима как на стороне инфраструктуры Wi-Fi-сети (точек доступа и контроллеров), так и на стороне клиентских устройств. В ситуации с «железом» особых проблем не наблюдается: все больше и больше вендоров поддерживает стандарт, т.к. на более-менее современных чипах реализация протокола программная. А вот ситуацию с клиентскими устройствами исследуем чуть позже.
Второй релиз стандартизирует процесс провиженинга и новую специфическую инфраструктуру — Online Signup Server (OSU). Это сервер, который осуществляет формирование и передачу настроек сети на клиентские устройства.
Недавно опубликованный Release 3 развивает инструменты провиженинга. При беглом просмотре я не заметил новых «киллер-фич», да и под рукой нет пока устройств и инфраструктуры, чтобы пощупать его на практике. Если увидим интерес читателей, можем попробовать более подробно рассмотреть функции и отличия каждого релиза в другой статье.
Провиженинг
Исследуем вопрос проникновения стека технологий Hotspot на клиентских устройствах. Для этого воспользуемся инструментом от Wi-Fi Alliance, где представлены результаты сертификации устройств. Сертификация — процесс добровольный, поэтому результаты есть не для всех устройств. Так, например, сертификацию прошло всего несколько устройств от Apple — iPhone 3, iPhone 4, iPad. Тем не менее все актуальные iOS устройства поддерживают весь необходимый стек Hotspot 2.0, и, что важно, делают это практически единообразно от версии к версии.
Таким образом, смотрим на результаты сертификации, за исключением iOS устройств, за период с 2012 (публикация первого релиза). Визуализируем полученную статистику в виде диаграммы ниже. Вывод — только каждое пятое не-iOS устройство поддерживает первый релиз (802.11u), каждое десятое — имеет стандартизованный интерфейс провиженинга. Такая ситуация осложняет массовое применение.
Проникновение Hotspot 2.0 на клиентских устройствах (за исключением iOS)
С технической точки зрения результат провиженинга — это наличие на устройстве валидных учетных данных и других необходимых настроек для определенного SSID или Wi-Fi-сети. Второй релиз стандартизировал структуру представления настроек сети в виде XML-документов и механизмы их передачи на устройства. Набор настроек сети, содержащий, в частности, учетные данные, называется сетевым профилем (Profile). Первоначально похожее решение было предложено Apple, но в итоге было стандартизировано его развитие со значительными изменениями. Ниже на скриншоте приведен пример профиля для iOS. Более того, любой пользователь Mac OS может потренироваться в создании профилей, используя утилиту Apple Configurator и следуя официальной документации.
Пример профиля для iOS
Как выглядит процесс провиженинга для пользователя? На рынке есть несколько коммерческих решений OSU, — GlobalReach Odyssys, Ruckus CloudPath, Aruba ClearPass, — поэтому мы можем посмотреть процесс на примере одного из них. По ссылке приведены скриншоты для решения от GlobalReach Odyssys. Ссылку необходимо открывать только в браузере Safari, иначе ОС смартфона не распознает файл профиля (имеет расширение mobileconfig) и не предложит его установить.
Здесь установка профиля показана с максимальным количеством шагов со стороны пользователя, например, когда помимо смартфона есть еще и Apple Watch (да, на часы можно поставить профиль и они будут подключаться к Wi-Fi). Web-провиженинг iOS-устройств возможен только через браузер Safari, это требование ОС. Провиженинг Android-устройств, в зависимости от версии, может выполняться как через браузер, так и с использованием приложения.
В целом алгоритм настройки сети одинаков для всех устройств:
Использование приложения сокращает необходимость действий до минимума, до одного-двух. Но, к сожалению, технология активно движется только в сторону развития и стандартизации web-провиженинга, протокола управления мобильными устройствами (OAM DM), тогда как возможность использования приложения никак в стандарте не отражена. Тем не менее производители мобильных ОС внедряют функционал программной настройки параметров сети Hotspot 2.0, но реализации у разных вендоров значительно отличаются, нет универсальности.
Промежуточный итог
Суммируя все вышеизложенное, подводим краткие итоги обзора и текущего состояния технологии:
Внедрение Hotspot 2.0 на масштабной сети
В процессе запуска необходимо было решить несколько крупных задач.
1. Внесение изменений на оборудовании беспроводной сети
Наши самые большие сети, в метро Москвы и Санкт-Петербурга, построены на оборудовании Cisco, которое поддерживает технологию Hotspot 2.0. Задача настройки всех контроллеров на подвижном составе была, наверное, самой объемной. Предварительно разработанный и протестированный эталонный конфиг контроллера с помощью автоконфигуратора (о нем мы писали в отдельной статье) был применен на все составы. Применение растянулось в несколько этапов. Сначала на зеленой ветке московского метро, для оценки локальных эффектов и влияния, а затем и на всю сеть. Сейчас на всем подвижном составе метро Москвы развернут второй SSID MT.
2. Доработка на стороне внутренней инфраструктуры, в частности на RADIUS-сервере
Так как у нас RADIUS-сервер полностью собственной разработки, нам пришлось реализовывать поддержку EAP и внутреннего метода аутентификации.
3. Выбор типа учетных данных и метода аутентификации
Выбор должен не только обеспечить надежную и прозрачную для абонента аутентификацию и авторизацию в сети, но и сохранить работоспособность наших текущих и перспективных моделей монетизации. Напомню, что именно монетизация (через рекламу и дополнительные услуги) позволяет нам предоставлять доступ к сети бесплатно.
Тип учетных данных выбираем между парой логин/пароль и сертификатом X.509. На первый взгляд, использование сертификата выглядит более надежным, современным и перспективным. Например, можно организовать применение этого же сертификата для аутентификации в приложениях (даже в нашем собственном личном кабинете), причем прозрачно. Однако вопрос управления пользовательскими сертификатами в масштабе большой публичной сети (а не ограниченной корпоративной, когда есть физический доступ к устройствам) выглядит нетривиальным, особенно с учетом различия в реализациях производителями.
Поэтому делаем выбор в пользу пары логин/пароль. Метод — TTLS, так как широко используется для международного межоператорского Wi-Fi роуминга. Для аутентификации сервера и исключения возможности подключения к поддельным SSID (есть нюансы, рассмотрим их в разделе про безопасность) выпустим ключ и сертификат, закрытую часть которого разместим на AAA сервере, а открытую включим в профиль. Таким образом на этапе подключения будет происходить аутентификация сервера авторизации.
Самый сложный вопрос, который до конца не закрыт. Нам необходимо обеспечить передачу учетных данных на устройства пользователя с минимальным количеством действий со стороны владельца, а лучше вообще прозрачно для него. Необходимо обеспечить одинаковый флоу для владельцев iOS и Android, где не только от версии к версии ОС, но и у устройств разных производителей настройка учетных данных может кардинально отличаться. Универсального решения, к сожалению, пока нет. У нас были идеи переложить функционал провиженинга и управления подключением к сети Wi-Fi на мобильное приложение, как универсальное решение, но мы столкнулись с ограничениями обеих платформ.
В данный момент мы продолжаем исследования, и, возможно, в финальной версии будут изменения в процедуре провиженинга или части функционала. Мы по-прежнему считаем идею использования приложения наиболее перспективной и удобной для пользователя и продолжаем эту идею развивать.
Но с чего-то нужно начинать, и так как на всех iOS-устройствах процесс провиженинга унифицирован, мы начали внедрение Hotspot 2.0 именно с гаджетов Apple. Нами был разработан web-сервис провиженинга. Приглашаем всех принять участие в открытом тестировании новой сети, подробные инструкции в конце статьи.
Про безопасность
Провиженинг сетей Wi-Fi и учетных данных с помощью профилей iOS — это только малая часть функционала MDM (Mobile Device Management). В руках злоумышленников функционал может привести к негативным последствиям для пользователей, вплоть до полного блокирования устройства или управления им третьими лицами. В частности, через профиль могут быть добавлены ограничения по установке/удалению приложений, злоумышленник может управлять установкой приложений, может направить трафик пользователя через свой прокси и т.д. Поэтому процесс установки профиля требует повышенного внимания пользователя — необходимо убедиться, что профиль выпустила доверенная компания.
Сейчас единственным прозрачным способом провиженинга iOS-устройств для работы в Hotspot 2.0-сетях является установка профилей. Мы хотели бы дать несколько рекомендаций по установке профилей, которые будут полезны не только в контексте настройки Wi-Fi:
Пример валидного и невалидного профиля
Пример профиля с различными ограничениями функционала мобильного устройства
Открытое тестирование
На данный момент Hotspot 2.0 еще не достигла своей зрелости и находится на этапе развития и становления, но мы хотим быть компанией, которая сделает первый шаг в популяризации и внедрении этой новой технологии в России. Для нас, как для оператора популярного городского сервиса, это способ повысить безопасность публичного Wi-Fi. По сути, разворачивая Hotspot 2.0 на сеть MT_FREE в Московском метро, мы создаем крупнейшую в Европе публичную сеть Wi-Fi с шифрованным соединением на уровне радио.
Мы запускаем открытое тестирование технологии Hotspot 2.0 на сети в метро для пользователей iOS. Для этого необходимо пройти процедуру провиженинга, перейдя по ссылке wi-fi.ru/hotspot и установив профиль. После этого подключение к сети Wi-Fi и доступ к безопасной среде будет происходить автоматически, как только ваше устройство появится в зоне действия MT_FREE (и, как следствие, MT).
Мы сообщим о результатах открытого тестирования в отдельном тексте. Поэтому огромная просьба: активно участвовать в тестировании и присылать отзывы по работе новой сети на hotspot@maximatelecom.ru.
Инструкция по установке профиля
Ссылку с сервисом генерации профилей wi-fi.ru/hotspot необходимо открывать только с iOS устройств и в браузере Safari. Это ограничение операционной системы. Такой сценарий провиженинга используем только на время открытого тестирования сети. В ближайшее время мы планируем выпустить уже целевой вариант с использованием приложения.
Флоу установки профиля для iOS до версии 11 включительно и начиная с 12 различаются. Ниже представлен флоу для версий до 11 включительно:
Отличия во флоу установки профиля для iOS с версии 12:
Инструкция по удалению профиля
Профиль генерируется со сроком действия до 30 ноября 2019 года. По истечении этого срока профиль удаляется автоматически без действий со стороны пользователя. Если возникла необходимость удаления профиля раньше, это можно сделать вручную.