كيف يبني هاتف GXP21xx نفق OpenVPN الخاص به

الهاتف المكتبي الذي يتصل بشبكة VPN الخاصة بالمكتب هو نقطة نهاية مُدارة لها برنامجها الثابت وهُويتها ومسار استعادتها. العميل المدمج ليس تثبيت OpenVPN على حاسوب مكتبي بشاشة أصغر، والتعامل معه على هذا النحو هو ما يجعل الهاتف يحمل مفتاحًا مشتركًا وسياسة لم يوافق عليها أحد. وإليك ما يحدث فعليًا بين الهاتف والبوابة.

ما الذي يحمّله الهاتف عند الإقلاع

اقرأ معلومات النظام على الجهاز قبل تحضير أي شيء. يحدد دليل إدارة GXP21xx إصدار البرنامج على أنه إصدار البرنامج الثابت الرئيسي، ويعرض حقل حالة دعم OpenVPN، الذي يخبرك ما إذا كانت النسخة التي لديك تدعم هذه الميزة أصلًا.

ثم يصف الدليل نمطي تهيئة. يمنحك النمط البسيط حقولًا منفصلة: عنوان الخادم والمنفذ والنقل ومواد الشهادة المرفوعة. يأخذ النمط المتقدم حزمة ZIP للتهيئة. وهذان مساران مختلفان للتحميل إلى العميل نفسه، وتنسيق الحزمة لا يقل أهمية عن محتوياتها.

إلقاء ملف .ovpn عشوائي من حاسوب مكتبي في حزمة ZIP لا يثبت التوافق. يفسّر الهاتف ما يتوقعه برنامجه الثابت، والملف الذي يعمل على حاسوب محمول قد يُتجاهل هنا بصمت.

ما يجب أن يعبّر عنه العميل

اطلب متطلبات الملف الشخصي من مشغّل البوابة أولًا: نقطة النهاية والنقل والتحقق من النظير والمصادقة والخوارزميات المطلوبة والموارد الخاصة التي قد يصل إليها الهاتف. ثم تحقق مما إذا كان التنفيذ المدمج قادرًا على التعبير عن ذلك العقد.

هذا الترتيب مهم لأن البديل هو تغيير البوابة المشتركة لاستيعاب هاتف واحد. وكل تساهل تجريه من أجل الهاتف ينطبق على كل عميل آخر على نقطة النهاية تلك، وهي مقايضة سيئة لجهاز يُجري مكالمات.

إذا كانت الإجابة أن النسخة لا تستطيع الوفاء بالسياسة، فالخيارات الصادقة هي برنامج ثابت أو جهاز مدعوم، أو ترتيب بوابة معتمد لنقاط نهاية الصوت. وإضعاف النفق ليس أحدها.

الضغط والوصفات القديمة

غالبًا ما تُفعّل الوصفات القديمة للأجهزة الصغيرة الضغط لتوفير النطاق الترددي. يصف OpenVPN 2.6 الضغط بأنه مهجور وينصح ضده عمومًا، لذا فإن تهيئة منسوخة من وصفة كهذه ليست موافقة أمنية حالية، أيًا كانت السنة التي كُتب فيها منشور المنتدى.

ينطبق الأمر نفسه على فحوص الهوية. إذا كان الملف الشخصي يتصل فقط مع تعطيل التحقق من النظير، فالملف هو المشكلة وليس التحقق. أصلح مواد الثقة بدلًا من تعليم الجهاز تخطي الفحص.

جهاز واحد، هوية واحدة

ثلاث قطع من المواد لها ثلاثة أدوار. تتيح شهادة ثقة CA للهاتف التحقق من الجهة المصدرة. وتحدد شهادة الهاتف هذا الجهاز. أما المفتاح الخاص للهاتف فهو مادة جهاز حساسة ويبقى على الجهاز.

لا ينتمي مفتاح توقيع CA إلى هاتف أبدًا. ولا ينتمي إليه ملف تعريف حاسوب محمول لمسؤول نُسخ عبر أسطول، لأن ذلك يحوّل هاتفًا مسروقًا واحدًا إلى بيانات اعتماد لكل هاتف.

يعرض الدليل أيضًا كلمة مرور مفتاح العميل وحقولًا اختيارية لاسم مستخدم VPN وكلمة مروره. وهذه ليست تلقائيًا بيانات اعتماد امتداد SIP. قرر ترتيب المصادقة لهذا الجهاز، بما في ذلك كيفية حصوله على أي إدخال مطلوب بعد إعادة تشغيل دون مراقبة.

سلّم المواد عبر عملية التزويد المحمية لديك، وسجّل الجهاز والهوية الصادرة ومالك الإخراج من الخدمة. وعند استبدال الهاتف، يكون ذلك السجل هو الفرق بين تبديل في خمس دقائق وأمسية من التخمين.

أبقِ مسار الإدارة متاحًا

قبل تفعيل النفق، تأكد من أنك ما زلت تستطيع الوصول إلى واجهة الويب للهاتف أو مسار التزويد. يحتاج الجهاز إلى وصول شبكي عادي للوصول إلى نقطة نهاية VPN أصلًا، ولا ينبغي أن يختفي مسار إدارته في منتصف التسجيل.

إذا أدى تغيير في المسار أثناء التسجيل إلى إغلاق الوصول أمامك، فالاستعادة عادةً إعادة ضبط المصنع وتكرار العملية بأكملها. خطط الترتيب بحيث لا يحدث ذلك أبدًا: زوّد، وتحقق من إمكانية الوصول، ثم فعّل النفق.

اقبل المكالمة، لا النفق

يبقى حساب SIP تهيئة منفصلة. يوجّه دليل GXP21xx نشر OpenVPN إلى إعداد اختراق NAT الخاص بـ VPN في الحساب، لذا راجع ذلك الإرشاد للبرنامج الثابت المثبّت وتصميم PBX لديك بدلًا من دمج تغييرات STUN والوكيل وVPN دون معرفة أي مالك يحتاجها.

ثم تحقق من اسم PBX المقصود والمسار الخاص، وأكّد تسجيل SIP، وأجرِ مكالمات واردة وصادرة معتمدة مع التحقق من الصوت في الاتجاهين. اختبر ميزات المكالمات التي يحتاجها النشر فعليًا، لأن مؤشر التسجيل ليس هاتفًا يعمل.

أخيرًا، أعد التجربة من بدء بارد تحت السيطرة وبعد انقطاع الشبكة. لاحظ ما إذا كان الهاتف يستعيد النفق والحساب والمكالمات القابلة للاستخدام بالترتيب المقصود، وأكّد السلوك المعلن عندما يتعذر اتصال النفق. والمرجع هو دليل إدارة GXP21xx للحقول الموصوفة أعلاه.