Hoe 'n GXP21xx-telefoon sy eie OpenVPN-tonnel bou

'n Tafeltelefoon wat aan die kantoor se VPN koppel, is 'n bestuurde eindpunt met sy eie firmware, sy eie identiteit en sy eie herstelpad. Die ingebedde kliënt is nie 'n lessenaar-OpenVPN-installering met 'n kleiner skerm nie, en om dit as so iets te behandel, is hoe 'n handset uiteindelik 'n gedeelde sleutel en 'n beleid vashou wat niemand goedgekeur het nie. Hier is wat werklik tussen die telefoon en die poort gebeur.

Wat die telefoon by die opstart laai

Lees Stelselinligting op die toestel voordat jy enigiets voorberei. Die GXP21xx-administrasiegids noem die programweergawe die hoof-firmware-vrystelling en het 'n veld vir OpenVPN-ondersteuningstatus, wat aandui of die bou wat jy het, dié funksie hoegenaamd het.

Die gids beskryf dan twee konfigurasiemodusse. Eenvoudige modus gee jou afsonderlike velde: bedieneradres, poort, vervoer en opgelaaide sertifikaatmateriaal. Deskundige modus neem 'n konfigurasie-ZIP. Dit is twee verskillende laaipaaie na dieselfde kliënt, en die bondelformaat maak net soveel saak soos die inhoud.

Om 'n willekeurige lessenaar-.ovpn-lêer in 'n ZIP te plaas, vestig nie versoenbaarheid nie. Die telefoon ontleed wat sy firmware verwag, en 'n lêer wat op 'n skootrekenaar werk, kan hier stilweg geïgnoreer word.

Wat die kliënt moet uitdruk

Kry eers die profielvereistes by die operateur van die poort: eindpunt, vervoer, verifikasie van die eweknie, bekragtiging, vereiste algoritmes en die private hulpbronne wat die telefoon mag bereik. Kyk dan of die ingebedde implementering daardie kontrak kan uitdruk.

Hierdie volgorde maak saak, want die alternatief is om die gedeelde poort vir een handset aan te pas. Elke verslapping wat jy vir die telefoon maak, geld vir elke ander kliënt op daardie eindpunt, en dit is 'n swak ruil vir 'n toestel wat oproepe maak.

As die antwoord is dat die bou nie die beleid kan nakom nie, is die eerlike opsies 'n ondersteunde firmware of toestel, of 'n goedgekeurde poortreëling vir stem-eindpunte. Die tonnel verswak is nie een van hulle nie.

Kompressie en ou resepte

Ouer resepte vir klein toestelle skakel dikwels kompressie in om bandwydte te spaar. OpenVPN 2.6 verklaar kompressie as verouderd en beveel dit oor die algemeen teen, so 'n konfigurasie wat uit so 'n resep gekopieer is, is nie 'n huidige sekuriteitsgoedkeuring nie, ongeag in watter jaar die foruminskrywing geskryf is.

Dieselfde geld vir identiteitskontroles. As 'n profiel net koppel wanneer verifikasie van die eweknie afgeskakel is, is die profiel die probleem, nie die verifikasie nie. Maak die vertrouemateriaal reg in plaas daarvan om die toestel te leer om die kontrole oor te slaan.

Een toestel, een identiteit

Drie stukke materiaal het drie rolle. Die CA-vertrouesertifikaat laat die telefoon die uitreiker verifieer. Die telefoonsertifikaat identifiseer hierdie handset. Die telefoon se private sleutel is sensitiewe toestelmateriaal en bly op die toestel.

Die CA-ondertekeningsleutel hoort nooit op 'n handset nie. Net so min 'n administrateur se skootrekenaarprofiel wat oor 'n vloot gekopieer word, want dit maak een gesteelde telefoon 'n geloofsbrief vir elke telefoon.

Die gids wys ook 'n kliëntsleutelwagwoord en opsionele velde vir VPN-gebruikersnaam en -wagwoord. Dit is nie outomaties die SIP-uitbreiding se geloofsbriewe nie. Besluit oor die bekragtigingsreëling vir hierdie toestel, insluitend hoe dit enige vereiste invoer kry ná 'n herbegin sonder toesig.

Lewer die materiaal deur jou beskermde voorsieningsproses, en teken die toestel, die uitgereikte identiteit en die eienaar van die uitfasering aan. Wanneer die handset vervang word, is daardie rekord die verskil tussen 'n omruiling van vyf minute en 'n middag van raai.

Hou die administrasiepad oop

Voordat jy die tonnel aktiveer, bevestig dat jy steeds die telefoon se webkoppelvlak of voorsieningspad kan bereik. Die toestel het gewone netwerktoegang nodig om die VPN-eindpunt te bereik, en sy bestuurspad moet nie halfpad deur die inskrywing verdwyn nie.

As 'n roeteverandering tydens die inskrywing jou uitsluit, is die herstel gewoonlik 'n fabrieksterugstelling en 'n herhaling van die hele proses. Beplan die volgorde so dat dit nooit gebeur nie: voorsien, verifieer bereikbaarheid, aktiveer dan die tonnel.

Aanvaar die oproep, nie die tonnel nie

Die SIP-rekening bly 'n aparte konfigurasie. Die GXP21xx-gids verwys 'n OpenVPN-ontplooiing na die rekening se VPN-NAT-deurgang-instelling, so kyk na daardie leiding vir die geïnstalleerde firmware en jou PBX-ontwerp eerder as om STUN-, instaanbediener- en VPN-veranderinge te kombineer sonder om te weet watter eienaar dit nodig het.

Verifieer dan die beoogde PBX-naam en private pad, bevestig SIP-registrasie en maak goedgekeurde inkomende en uitgaande oproepe met klank wat in beide rigtings nagegaan is. Toets die oproepfunksies wat die ontplooiing werklik nodig het, want 'n registrasie-aanwyser is nie 'n werkende telefoon nie.

Herhaal dit ten slotte vanuit 'n beheerde koue begin en ná 'n netwerkonderbreking. Let op of die telefoon die tonnel, die rekening en bruikbare oproepe in die beoogde volgorde herstel, en bevestig die verklaarde gedrag wanneer die tonnel nie kan koppel nie. Die GXP21xx-administrasiegids is die verwysing vir die velde hierbo beskryf.