Как телефон GXP21xx изгражда свой тунел OpenVPN

Настолният телефон, който се свързва с офис VPN, е управлявана крайна точка със собствен фърмуер, собствена идентичност и собствен път за възстановяване. Вграденият клиент не е настолна инсталация OpenVPN с по-малък екран и точно такова отношение води до това телефонът да държи споделен ключ и политика, която никой не е одобрил. Ето какво всъщност се случва между телефона и шлюза.

Какво зарежда телефонът при стартиране

Прочетете системната информация на устройството, преди да подготвите каквото и да е. Ръководството за администрация на GXP21xx определя версията на програмата като основно издание на фърмуера и показва поле за състоянието на поддръжка на OpenVPN, което ви казва дали вашата компилация изобщо обещава тази функция.

След това ръководството описва два режима на конфигурация. Простият режим дава отделни полета: адрес на сървъра, порт, транспорт и качени материали за сертификат. Експертният режим приема ZIP архив с конфигурация. Това са два различни пътя на зареждане към един и същ клиент и форматът на пакета е също толкова важен, колкото съдържанието.

Пускането на произволен настолен .ovpn файл в ZIP не установява съвместимост. Телефонът анализира какво очаква неговият фърмуер и файл, който работи на лаптоп, тук може да бъде тихо пренебрегнат.

Какво трябва да изрази клиентът

Първо вземете изискванията за профила от оператора на шлюза: крайна точка, транспорт, проверка на партньора, удостоверяване, необходими алгоритми и частните ресурси, до които телефонът може да достигне. След това проверете дали вградената реализация може да изрази този договор.

Този ред е важен, защото алтернативата е да промените споделения шлюз заради един телефон. Всяко облекчение, което направите за телефона, се отнася за всеки друг клиент на тази крайна точка, а това е лоша размяна за устройство, което прави разговори.

Ако отговорът е, че компилацията не може да спази политиката, честните варианти са поддържан фърмуер или устройство, или одобрена схема на шлюз за гласови крайни точки. Отслабването на тунела не е един от тях.

Компресия и стари рецепти

По-старите рецепти за малки устройства често включват компресия, за да пестят честотна лента. OpenVPN 2.6 обявява компресията за остаряла и по принцип не я препоръчва, така че конфигурация, копирана от такъв рецепт, не е актуално разрешение за сигурност, независимо от годината, в която е написан форумният пост.

Същото важи за проверките на идентичността. Ако даден профил се свързва само с изключена проверка на партньора, проблемът е в профила, а не в проверката. Оправете материалите за доверие, вместо да учите устройството да пропуска проверката.

Едно устройство, една идентичност

Три части материал имат три роли. Сертификатът за доверие на CA позволява на телефона да провери издателя. Сертификатът на телефона идентифицира това устройство. Частният ключ на телефона е чувствителен материал на устройството и остава на устройството.

Ключът за подписване на CA никога не принадлежи на телефон. Нито профил на лаптоп на администратор, копиран в цялата партида, който превръща един откраднат телефон в идентификационни данни за всеки телефон.

Ръководството също показва парола за ключа на клиента и незадължителни полета за потребителско име и парола за VPN. Те не са автоматично идентификационните данни на SIP разширението. Решете схемата за удостоверяване за това устройство, включително как то получава необходимите данни след рестарт без надзор.

Доставете материалите чрез вашия защитен процес на предоставяне и запишете устройството, издадената идентичност и собственика на извеждането от експлоатация. Когато телефонът бъде заменен, този запис е разликата между петминутна замяна и един следобед на догадки.

Запазете пътя за администриране

Преди да включите тунела, потвърдете, че все още достигате до уеб интерфейса на телефона или пътя за предоставяне. Устройството се нуждае от обикновен мрежов достъп, за да достигне крайната точка на VPN, и пътят му за управление не бива да изчезва по средата на записването.

Ако промяна на маршрута по време на записването ви заключи, възстановяването обикновено е фабрично нулиране и повторение на целия процес. Планирайте реда така, че това никога да не се случва: предоставете, проверете достъпността, след това включете тунела.

Приемете разговора, не тунела

SIP акаунтът остава отделна конфигурация. Ръководството за GXP21xx насочва внедряването на OpenVPN към настройката за преминаване през NAT на VPN в акаунта, затова проверете това указание за инсталирания фърмуер и вашия дизайн на PBX, вместо да комбинирате промени по STUN, прокси и VPN, без да знаете кой собственик ги изисква.

След това проверете предвиденото име на PBX и частния път, потвърдете SIP регистрацията и направете одобрени входящи и изходящи разговори с проверено аудио в двете посоки. Тествайте функциите за разговори, от които внедряването наистина се нуждае, защото индикаторът за регистрация не е работещ телефон.

Накрая повторете от контролиран студен старт и след прекъсване на мрежата. Наблюдавайте дали телефонът възстановява тунела, акаунта и използваемите разговори в предвидения ред и потвърдете обявеното поведение, когато тунелът не може да се свърже. Ръководството за администрация на GXP21xx е справката за полетата, описани по-горе.