Як тэлефон GXP21xx будуе ўласны тунель OpenVPN

Настольны тэлефон, які падключаецца да офіснай VPN, — гэта кіруемая канцавая кропка з уласнай прашыўкай, уласнай ідэнтычнасцю і ўласным шляхам аднаўлення. Убудаваны кліент — гэта не настольная ўстаноўка OpenVPN з меншым экранам, і менавіта такое стаўленне да яго прыводзіць да таго, што тэлефон трымае агульны ключ і палітыку, якую ніхто не ўхваліў. Вось што насамрэч адбываецца паміж тэлефонам і шлюзам.

Што тэлефон загружае пры загрузцы

Перад падрыхтоўкай прачытайце звесткі пра сістэму на прыладзе. Кіраўніцтва адміністратара GXP21xx вызначае версію праграмы як асноўны выпуск прашыўкі і паказвае поле стану падтрымкі OpenVPN, якое кажа, ці заяўляе ваша зборка гэтую функцыю ўвогуле.

Далей кіраўніцтва апісвае два рэжымы канфігурацыі. Просты рэжым дае асобныя палі: адрас сервера, порт, транспарт і загружаныя матэрыялы сертыфіката. Экспертны рэжым прымае ZIP-архіў канфігурацыі. Гэта два розныя шляхі загрузкі ў адзін і той жа кліент, і фармат пакета не менш важны за змесціва.

Калі проста кінуць адвольны настольны .ovpn файл у ZIP, сумяшчальнасць не ўзнікне. Тэлефон разбірае тое, чаго чакае яго прашыўка, і файл, які працуе на ноўтбуку, тут можа быць моўчкі праігнараваны.

Што кліент павінен выказаць

Спачатку атрымайце патрабаванні да профілю ў аператара шлюза: канцавая кропка, транспарт, праверка партнёра, аўтэнтыфікацыя, патрэбныя алгарытмы і прыватныя рэсурсы, да якіх тэлефон можа дабрацца. Затым праверце, ці можа ўбудаваная рэалізацыя выказаць гэты кантракт.

Гэты парадак важны, бо альтэрнатыва — змяніць агульны шлюз пад адзін тэлефон. Кожнае паслабленне, зробленае для тэлефона, распаўсюджваецца на кожнага іншага кліента на гэтай канцавой кропцы, а гэта дрэнны абмен для прылады, якая робіць званкі.

Калі адказ у тым, што зборка не можа адпавядаць палітыцы, сумленныя варыянты — падтрымліваная прашыўка ці прылада, або ўзгодненая схема шлюза для галасавых канцавых кропак. Аслабленне тунелю да іх не належыць.

Сцісканне і старыя рэцэпты

Старыя рэцэпты для малых прылад часта ўключаюць сцісканне, каб зэканоміць прапускную здольнасць. OpenVPN 2.6 абвяшчае сцісканне састарэлым і ў цэлым не рэкамендуе яго, таму канфігурацыя, скапіяваная з такога рэцэпту, не з'яўляецца бягучым дазволам бяспекі, у якім бы годзе ні быў напісаны допіс на форуме.

Тое ж датычыцца праверкі ідэнтычнасці. Калі профіль падключаецца толькі з адключанай праверкай партнёра, праблема ў профілі, а не ў праверцы. Папраўце матэрыялы даверу замест таго, каб вучыць прыладу прапускаць праверку.

Адна прылада, адна ідэнтычнасць

Тры часткі матэрыялу маюць тры ролі. Сертыфікат даверу CA дазваляе тэлефону праверыць выдаўцу. Сертыфікат тэлефона ідэнтыфікуе гэты апарат. Прыватны ключ тэлефона — гэта адчувальны матэрыял прылады, і ён застаецца на прыладзе.

Ключ подпісу CA ніколі не належыць тэлефону. Як і профіль ноўтбука адміністратара, скапіяваны па ўсім парку, які ператварае адзін украдзены тэлефон у ўліковыя даныя для кожнага тэлефона.

Кіраўніцтва таксама паказвае пароль ключа кліента і неабавязковыя палі імя і пароля VPN. Яны не з'яўляюцца аўтаматычна ўліковымі данымі SIP-пашырэння. Вызначце схему аўтэнтыфікацыі для гэтай прылады, у тым ліку як яна атрымлівае патрэбныя даныя пасля перазапуску без нагляду.

Перадайце матэрыялы праз ваш абаронены працэс забеспячэння і запішыце прыладу, выдадзеную ідэнтычнасць і ўладальніка вываду з эксплуатацыі. Калі тэлефон заменяць, гэты запіс — розніца паміж пяціхвіліннай заменай і вечарам здагадак.

Захавайце шлях адміністравання

Перш чым уключыць тунель, пераканайцеся, што вы ўсё яшчэ можаце дабрацца да вэб-інтэрфейсу тэлефона або шляху забеспячэння. Прыладзе патрэбен звычайны сеткавы доступ, каб дабрацца да канцавой кропкі VPN, і яе шлях кіравання не павінен знікнуць пасярэдзіне рэгістрацыі.

Калі змена маршруту падчас рэгістрацыі замыкае вас звонку, аднаўленне звычайна — скід да завадскіх налад і паўтор усяго працэсу. Плануйце парадак так, каб гэтага ніколі не здаралася: забяспечце, праверце даступнасць, затым уключыце тунель.

Прымайце званок, а не тунель

Уліковы запіс SIP застаецца асобнай канфігурацыяй. Кіраўніцтва GXP21xx накіроўвае разгортванне OpenVPN да налады пранікнення праз NAT у VPN уліковага запісу, таму звяртайцеся да гэтай рэкамендацыі для ўсталяванай прашыўкі і вашай схемы PBX, а не змешвайце змены STUN, проксі і VPN, не ведаючы, якому ўладальніку яны патрэбны.

Затым праверце меркаванае імя PBX і прыватны шлях, пацвердзіце рэгістрацыю SIP і зрабіце ўзгодненыя ўваходныя і выходныя званкі з правераным гукам у абодвух напрамках. Праверце функцыі званкоў, якія рэальна патрэбны разгортванню, бо індыкатар рэгістрацыі — гэта не працоўны тэлефон.

Нарэшце, паўтарыце з кантраляванага халоднага запуску і пасля перапынку сеткі. Паназірайце, ці аднаўляе тэлефон тунель, уліковы запіс і прыдатныя для выкарыстання званкі ў патрэбным парадку, і пацвердзіце заяўленыя паводзіны, калі тунель не можа падключыцца. Кіраўніцтва адміністратара GXP21xx — гэта даведка для палёў, апісаных вышэй.