Мобильная инфраструктура ЦСС к моменту запуска данного проекта имела разнородный парк устройств, в том числе разных производителей, моделей, версий мобильных операционных систем, что сильно осложняло возможность администрирования. Вместе с этим отсутствовала централизованная платформа управления мобильными устройствами для контроля за функционалом и доступными приложениями, а также единый стандарт для удаленного мобильного рабочего места в части программного обеспечения, т.е. отсутствовал утвержденный реестр доверенных программ для использования в работе.
Реализация проекта «Мобильное рабочее место электромеханика» началась в 2019 г. Решение должно было не только входить в реестр отечественного программного обеспечения, но и соответствовать всем требованиям ОАО «РЖД» в части безопасности корпоративной информации, функциональности, удобства мобильных рабочих мест и наличия централизованной системы управления мобильными устройствами. В результате была выбрана доверенная мобильная платформа (ДМП) на базе отечественной операционной системы Аврора.
ДМП – это совокупность трех максимально защищенных компонент: доверенной мобильной ОС, под управлением которой работают мобильные устройства (МУ) сотрудников ЦСС, сертифицированной платформы управления (ПУ) и безопасных каналов связи (ГОСТ VPN) для передачи информации между МУ и ПУ. Функциональная схема доверенной мобильной платформы представлена на рис. 1.
Для организации безопасных каналов связи в качестве компонент могут выступать сертифицированные решения, поддерживающие ГОСТированные алгоритмы шифрования, ViРNet от ГК «ИнфоТекс» или «Следопыт» VPN от ООО «Открытая Мобильная Платформа».
С инфраструктурной точки зрения ключевым элементом ДМП является платформа управления ПУ. Она предназначена для управления мобильными устройствами, жизненным циклом мобильных приложений, удаленным назначением политик безопасности на мобильные устройства и для предоставления необходимых облачных сервисов. Платформа управления, также как и используемая в проекте мобильная ОС, имеет сертификаты, подтверждающие возможность ее использования для обработки общедоступной информации и информации ограниченного доступа (не содержащей сведений, составляющих государственную тайну), подлежащей защите в соответствии с требованиями законодательства в области информационной безопасности.
Программное обеспечение платформы управления и мобильной ОС может быть использовано в государственных информационных системах, не содержащих информацию, составляющую государственную тайну, до 1 класса защищенности включительно, а также в информационных системах персональных данных и автоматизированных системах управления до 1 класса защищенности.
Платформа управления содержит в себе все сервисы, необходимые для эффективной работы доверенной платформы в целом. К ним относятся такие сервисы, как:
сервис контроля за аппаратным функционалом мобильных устройств, посредством которого определяются разрешенные конкретному сотруднику функции, в частности, контролируются сетевые интерфейсы (модуль мобильной связи, Wi-Fi, Bluetooth, периферийные устройства, включая камеры, микрофоны, модуль геолокации и др.), осуществляется контроль за USB-интерфейсом устройства и возможностью делать скриншоты экрана;
сервис контроля за программным обеспечением мобильных устройств, определяющий приложения, которые будут установлены на выбранные администратором устройства;
корпоративный системный репозиторий, хранящий библиотеки и файлы, необходимые для работы и обновления операционной системы;
сервис корпоративного магазина приложений, позволяющий сотрудникам самостоятельно устанавливать разрешенные программы на свои устройства.
Локализация делает ДМП полностью независимой от любых внешних ресурсов, гарантируя работоспособность мобильной инфраструктуры даже при отключении российского сегмента сети Интернет.
Функционал управления организован в виде политик, которые могут быть применены к различным группам устройств и пользователей. При этом одно устройство может одновременно входить в группы устройств с разными аппаратными возможностями (например, смартфоны, планшеты, устройства с большим или меньшим объемом оперативной памяти, с определенной версией ОС и др.) и в группы пользователей, соответствующие организационной структуре подразделения компании.
Правила, сконфигурированные в политиках для разных групп, будут скомбинированы для устройств, входящих в эти группы. Причем на конечном устройстве работает результирующий набор правил по наиболее запрещающему алгоритму: при наличии двух правил, одно из которых разрешающее, а другое запрещающее, выбирается последнее.
Платформа управления позволяет обслуживать практически неограниченное количество мобильных устройств. Интерфейс ПУ удобен в эксплуатации и обеспечивает быстрый поиск необходимых групп устройств и пользователей. Это достигается благодаря наличию соответствующих функциональных элементов.
Интерфейс управления всеми подключенными устройствами платформы управления показан на рис. 2.
Посредством этого интерфейса можно выбрать для дистанционного управления как одно из мобильных устройств (рис. 3), так и нужную группу.
Техническая реализация программного обеспечения включает в себя несколько подсистем, в том числе безопасности, платформы управления, установки системных пакетов, а также подсистемы «Маркет» (рис. 4).
Межпроцессный обмен информацией между подсистемами и их компонентами осуществляется с использованием протокола HTTP (RFC 2616), обмен данными – в формате RFС 8259 (JSON).
Функции сервера базы данных выполняет сервер с установленной системой управления базами данных Postgres Pro 11 Std или Postgre SQL 10.x и выше, для чего при развертывании создается специальная БД. Для хранения информации о сессиях используется СУБД Redis.
Исходя из потребностей ЦСС и на основании предпроектного обследования было принято решение о создании отказоустойчивого кластера виртуальных машин, входящих в платформу управления. В качестве гипервизора задействован эксплуатируемый в ЦСС VM Ware-сервер (VM Ware ESXi 6.7.x).
В ходе развертывания платформы управления были применены специализированные инструменты настройки (Ansible), что позволило существенно сократить время ввода в эксплуатацию ПУ. Причем специалисты ООО «Открытая Мобильная Платформа» предварительно воспроизвели на собственных вычислительных мощностях (Vm Ware-сервер) точную копию сетевых и инфраструктурных настроек сети, развернули и настроили кластер виртуальных машин с последующим их экспортом и передачей в ЦСС. Благодаря этому финальная настройка и запуск системы не потребовали значительных трудовых и временных затрат.
Схема кластера виртуальных машин представлена на рис. 5. На схеме желтой линией обозначен обмен информацией по ЛВС между шлюзом (VM Gateway) и тремя серверами приложений (VM Application Server). Зеленая линия показывает обмен информацией по ЛВС между тремя серверами приложений (VM Application Server) и основным сервером баз данных (VM Database Server Primary). Красная линия – обмен информацией по ЛВС между тремя серверами приложений (VM AS) и сервером файлового хранилища (NFS), расположенным на резервном сервере баз данных (VM Database Server Replication). Синяя линия – обмен информацией по ЛВС между основным и резервным серверами баз данных (VM Database Server Replication), обозначающая так называемую одностороннюю репликацию баз данных от DB Primary к DB Replication. Черная линия – обмен информацией между шлюзом, мобильными устройствами и браузерами на ПЭВМ внутри СПД ОТН. Обмен трафиком между серверами внутри кластера виртуальных машин осуществляется с применением протоколов TCP, UDP и ICMP-трафика.
Для хранения различных файлов (rpm, png и др.), а также системных репозиториев используется VM Database Server (Replication) с настроенными NFS-сервером и NFS-клиентами на трех серверах приложений (AS1-AS3). Для виртуальной машины используется ОС CentOS 7.x + NFS ver. 4 (входит в состав дистрибутива ОС).
Входящие в кластер виртуальные машины выполняют следующие роли:
VM Gateway – входящая точка для взаимодействия МУ и браузеров с ПУ, которая распределяет нагрузку между тремя AS;
VM Application Server получает и обрабатывает запросы от VM Gateway, согласно функциональным характеристикам является центром аутентификации (Auth), центром репозиториев (repo), центром управления EMM (Enterprise Mobile Management);
VM Database Server Primary –
СУБД-сервер (SQL), который получает, обрабатывает, структурирует, хранит и выдает информацию по запросу одного из VM AS;
VM Database Server Replication –
СУБД-сервер (SQL), который предназначен для получения в режиме реального времени и хранения информации от VM Database Server Primary, содержит актуальные копии БД с возможностью восстановления на VM Database Server Primary после аварийных ситуаций (репликация БД односторонняя от Primary к Replication);
NFS-сервер получает и хранит любые файлы, связанные с работой VM Application Server (файлы программ в rpm-формате, графические файлы в разных форматах и др.), UNIX-аналог SMB (share) для ОС (Windows).
Взаимодействие МУ, а также управляющих машин (рабочих станций и ноутбуков) и ПУ происходит внутри изолированной СПД ОТН без доступа к глобальной сети Интернет. Поэтому внутри ЛВС настроены DNS-серверы для корректного разрешения доменного имени в IP-адрес VM Gateway.
Между всеми компонентами кластера ПО обеспечен трафик TCP/UDP по следующим портам: 80 (tcp), 443 (tcp), 53 (tcp/udp), 25 (tcp), 465 (tcp), 8500-8900 (tcp), 10000-12000 (tcp), 111 (tcp/udp), 2049 (tcp/udp), 6379 (tcp). Архитектура кластера ПО представлена на рис. 6.
Для доступа к платформе управления на VM Gateway открыт трафик по портам 80 (tcp) и 443 (tcp). Для работы по протоколу https внутри изолированной СПД ОТН выпущен самоподписанный wildсard SSL-сертификат Удостоверяющего центра (с последующим размещением его на каждом мобильном устройстве), а также несколько SSL-сертификатов для отдельных доменных имен внутри домена ЦСС, требующихся для работы. Внутри кластера ПО проведена настройка отказоустойчивой схемы получения точного времени для каждого виртуального сервера с учетом замкнутого контура сетевого трафика в СПД ОТН.
Для отправки кодов регистрации на платформе и служебных сообщений на электронную почту выполнена установка, настройка и пуск в эксплуатацию автономных почтовых серверов Postfix, Dovecot внутри кластера. При необходимости информация по электронной почте может переадресовываться на уже имеющиеся служебные почтовые адреса сотрудников ЦСС.
Тестовая эксплуатация пилотного проекта «Мобильное рабочее место электромеханика» показала готовность к промышленному применению в ЦСС и ОАО «РЖД» в целом отечественного программного обеспечения, а именно ДМП на базе ОС Аврора. В настоящее время решение переходит в стадию промышленной эксплуатации.
В заключение хотелось бы подчеркнуть, что внедрение ДМП на базе операционной системы Аврора позволило решить стоящие перед ЦСС задачи в части централизованного управления удаленными мобильными рабочими местами. Развертывание платформы оказалось весьма легким и быстрым процессом, а интерфейс управления достаточно простым. В перспективе постепенного перевода мобильных рабочих мест на отечественную ОС Аврора в ПУ будет организована поддержка всего эксплуатируемого парка мобильных устройств, в том числе под управлением ОС Андроид.