Установка и настройка TURN-сервера

Обзор удаленного подключения

Удаленный доступ к Android-устройству предполагает установление соединения с помощью WebRTC (Web Real-Time Communication) - технологии потоковой передачи данных, которая обеспечивает одноранговые соединения между двумя браузерами или мобильными приложениями. Передача данных с использованием WebRTC осуществляется через сервер TURN (Traversal Using Relays around NAT), который выступает в качестве посредника и ретранслирует трафик между участниками соединения.

Процесс удаленного подключения представлен на рисунке ниже.

TURN-сервер должен быть доступен как для браузера, с которого вы подключаетесь к устройству, так и для самого устройства. Если браузер находится в локальной сети, а мобильное устройство - в интернете, TURN-сервер можно разместить в демилитаризованной зоне. Информация для установления соединения передается на устройство по мобильному протоколу. Для установления соединения необходимо настроить диапазон портов на TURN-сервере. Для одного соединения используются два порта.

TURN-сервер выполняет следующие функции:

• Установление соединения

  TURN-сервер обеспечивает процесс обмена кандидатами ICE (Interactive Connectivity Establishment) для выбора оптимального пути соединения между Kaspersky Security Center Web Console и мобильным устройством. По запросу от устройства TURN-сервер возвращает ICE-кандидат - потенциальный сетевой маршрут (порт 5349 на рисунке выше), который можно использовать для установления соединения.

• Передача видеоданных

  TURN-сервер действует как туннель, который принимает подключения от Kaspersky Security Center и мобильного устройства. Оба участника соединения отправляют свои медиапотоки на TURN-сервер, который затем передает их другому участнику и тем самым обеспечивает передачу данных.

Установка и настройка TURN-сервера

1. Установите TURN-сервер

   Системные требования для TURN-сервера:

   • 2 CPU или vCPU;
   • 4 ГБ ОЗУ;
   • 15 ГБ HDD;
   • 512 КБ/с на одно активное соединение.

   Мы рекомендуем использовать одну из реализаций TURN-сервера - coturn. Coturn можно установить из репозитория GitHub или пакетного менеджера вашей операционной системы. Приведенный ниже пример относится к версии coturn 4.5.2.

   Ниже приведена инструкция по установке coturn на примере операционной системы Ubuntu:

   1. Установите пакет coturn на сервере в демилитаризованной зоне, используя команды:

      sudo apt-get update

      sudo apt install coturn

   2. После успешного завершения установки проверьте статус запущенного сервиса coturn:

      systemctl status coturn.service

   3. Добавьте службу coturn в автозапуск:

      sudo systemctl enable coturn

2. Настройте TURN-сервер
   1. Укажите необходимые параметры в конфигурационном файле TURN-сервера, используя текстовый редактор, например, Vim или nano. Путь к файлу: /etc/turnserver.conf.

      Используйте параметры TURN-сервера, приведенные в примере. Неиспользуемые параметры необходимо закомментировать.

      Пример параметров TURN-сервера для coturn 4.5.2

      Параметр	Тип	Описание
      tls-listening-port=5349	Обязательный	Порт прослушивания для TLS-соединений
      server-name=<example.abc.com>	Обязательный	FQDN-имя или IP-адрес сервера
      realm=<abc.com>	Обязательный	Доменное имя сервера
      min-port=50010	Обязательный	Нижнее значение диапазона портов для ретрансляции UDP (User Datagram Protocol) Для одной сессии удаленного управления используются два UDP-порта.
      max-port=50120	Обязательный	Верхнее значение диапазона портов для ретрансляции UDP
      verbose	Опциональный	Использовать подробное ведение журналов
      fingerprint	Обязательный	Использовать цифровой отпечаток для идентификации и повышения безопасности сервера
      use-auth-secret	Обязательный	Метод аутентификации
      static-auth-secret=<секрет>	Обязательный	Статическое значение секрета аутентификации для REST API TURN-сервера Это строковое значение, которое сервер использует для проверки первоначального ICE-запроса. После этого секрет подключения генерируется динамически. Статический секрет следует периодически менять с учетом требований безопасности и политики паролей организации.
      no-udp	Опциональный	Ограничить прослушивание незашифрованного UDP
      no-tcp	Опциональный	Ограничить прослушивание незашифрованного TCP (Transmission Control Protocol)
      stale-nonce=300	Опциональный	Время ожидания предоставления учетных данных от неавторизованного пользователя (сек)
      cert=/AFMH/SSL/cert.pem	Обязательный	Путь к сертификату в формате PEM
      pkey=/AFMH/SSL/key.pem	Обязательный	Путь к ключу сертификата в формате PEM
      log-file=/var/tmp/turn.log	Обязательный	Путь для хранения файлов журналов
      new-log-timestamp	Опциональный	Включить добавление времени в файлы журналов
      log-binding	Опциональный	Включить подробное ведение журналов для конечной точки UDP
      no-stun	Опциональный	Выключить функциональность STUN (Session Traversal Utilities for NAT), чтобы сервер работал только в режиме TURN
      no-multicast-peers	Опциональный	Выключить поддержку мультикаст-пиров в качестве дополнительной меры безопасности для предотвращения отправки данных нескольким получателям одновременно
      no-tlsv1	Опциональный	Выключить небезопасные версии TLS v1
      no-tlsv1_1	Опциональный	Выключить небезопасные версии TLS v1_1
      cipher-list=ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305	Опциональный	Включить использование разрешенных шифров для TLS 1.2
      denied-peer-ip=10.0.0.0-10.255.255.255 denied-peer-ip=192.168.0.0-192.168.255.255 denied-peer-ip=172.16.0.0-172.31.255.255	Опциональный	Запретить клиентам TURN-сервера доступ к сегментам локальной сети
      allowed-peer-ip=ipv4, ipv4-ipv4	Опциональный	Разрешить адрес или диапазон адресов локальной подсети, исключив его из запрещенного списка
      max-bps=200000	Опциональный	Максимальная пропускная способность одной сессии TURN-сервера (бит/с)
      bps-capacity	Опциональный	Максимальная общая пропускная способность, которую разрешено выделять TURN-серверу (бит/с)

   2. Настройте Firewall на сервере, открыв порты, указанные в конфигурационном файле TURN-сервера:

      sudo ufw allow 5349/tcp

      sudo ufw allow 50010:50120/udp

3. Получите и настройте сертификат TURN-сервера

   Вы можете получить сертификат от центра сертификации (CA) или сгенерировать самоподписанный сертификат.

   • Сертификат от CA должен быть выдан в формате PEM для полного доменного имени сервера, указанного в конфигурационном файле TURN-сервера.
   • Чтобы сгенерировать самоподписанный сертификат (например, с использованием утилиты OpenSSL):
     1. Сгенерируйте ключ CA:

        openssl genrsa -out ca_key.key 2048

     2. Сгенерируйте самоподписанный сертификат CA, используя данные для вашей организации или произвольные данные:

        openssl req -x509 -new -nodes -key ca_key.key -sha256 -days 365 -subj "/C=<Country>/ST=<State or Province>/L=<Locality>/O=<Organization>/CN=<Common Name>" -out root_cert.pem

     3. Сгенерируйте закрытый ключ сервера:

        openssl genrsa -out cert_key.key 2048

     4. Создайте Certificate Signing Request (CSR) для сервера, используя данные для вашей организации или произвольные данные:

        openssl req -new -key cert_key.key -subj "/C=<Country>/ST=<State or Province>/L=<Locality>/O=<Organization>" -out server_cert.csr

     5. Создайте конфигурацию для расширений SAN, EKU и KeyUsage - файл ext.cnf с содержимым:

        [ v3_req ]

        subjectAltName = @alt_names

        extendedKeyUsage = serverAuth

        keyUsage = digitalSignature, keyCertSign, cRLSign

        [ alt_names ]

        DNS.1 = <TURN server FQDN>

     6. Подпишите серверный сертификат CA:

        openssl x509 -req -in server_cert.csr -CA root_cert.pem -CAkey ca_key.key -CAcreateserial -out server_cert.crt -days 365 -sha256 -extfile ext.cnf -extensions v3_req

     7. Преобразуйте закрытый ключ сервера в формат PEM для использования в конфигурационном файле TURN-сервера:

        openssl rsa -in cert_key.key -out cert_key.pem -outform PEM

     8. Преобразуйте серверный сертификат, подписанный CA, в формат PEM для использования в конфигурационном файле TURN-сервера:

        openssl x509 -in server_cert.crt -out server_cert.pem

     9. Преобразуйте самоподписанный корневой сертификат в формат CRT для установки в хранилище сертификатов доверенного центра сертификации на компьютере администратора:

        openssl x509 -in root_cert.pem -out root_cert.crt

     10. Укажите путь к ранее полученным файлам server_cert.pem и cert_key.pem в конфигурационном файле TURN-сервера. Этот путь должен быть доступен TURN-серверу, например, /var/opt/turn.

         Убедитесь, что пользователю turnserver выданы права на чтение.

     11. Установите файл root_cert.crt в хранилище сертификатов доверенного центра сертификации на компьютере администратора, а затем перезапустите браузер.
4. Завершение настройки
   1. Перезапустите coturn:

      systemctl restart coturn.service

   2. Перезапустите UFW:

      systemctl restart ufw