Com un telèfon GXP21xx construeix el seu propi túnel OpenVPN

Un telèfon d'escriptori que es connecta a la VPN de l'oficina és un punt final gestionat amb el seu propi firmware, la seva pròpia identitat i el seu propi camí de recuperació. El client incrustat no és una instal·lació d'escriptori d'OpenVPN amb una pantalla més petita, i tractar-lo com si ho fos és com un telèfon acaba portant una clau compartida i una política que ningú no va aprovar. Això és el que passa realment entre el telèfon i la passarel·la.

Què carrega el telèfon en arrencar

Llegeix la informació del sistema al dispositiu abans de preparar res. La guia d'administració del GXP21xx identifica la versió del programa com la versió principal del firmware i exposa un camp d'estat de suport d'OpenVPN, que et diu si la compilació que tens fins i tot afirma tenir aquesta funció.

Després la guia descriu dos modes de configuració. El mode simple ofereix camps discrets: adreça del servidor, port, transport i material de certificat carregat. El mode expert accepta un ZIP de configuració. Són dos camins de càrrega diferents cap al mateix client, i el format del paquet importa tant com el contingut.

Deixar caure un .ovpn fitxer arbitrari d'escriptori dins d'un ZIP no estableix compatibilitat. El telèfon analitza què espera el seu firmware, i un fitxer que funciona en un portàtil aquí pot ser ignorat en silenci.

Què ha d'expressar el client

Primer obtén els requisits del perfil de l'operador de la passarel·la: punt final, transport, verificació del parell, autenticació, algorismes necessaris i els recursos privats als quals el telèfon pot arribar. Després comprova si la implementació incrustada pot expressar aquest contracte.

Aquest ordre importa perquè l'alternativa és canviar la passarel·la compartida per encabir un sol telèfon. Cada relaxació que facis pel telèfon s'aplica a tots els altres clients d'aquest punt final, i és un mal intercanvi per a un dispositiu que fa trucades.

Si la resposta és que la compilació no pot complir la política, les opcions honestes són un firmware o dispositiu compatible, o un acord de passarel·la aprovat per a punts final de veu. Debilitar el túnel no és una d'elles.

Compressió i receptes antigues

Les receptes antigues per a dispositius petits sovint activen la compressió per estalviar amplada de banda. OpenVPN 2.6 declara la compressió obsoleta i en general no la recomana, així que una configuració copiada d'una recepta així no és una aprovació de seguretat actual, sigui quin sigui l'any en què es va escriure el missatge del fòrum.

El mateix passa amb les comprovacions d'identitat. Si un perfil només es connecta amb la verificació del parell desactivada, el problema és el perfil, no la verificació. Corregeix el material de confiança en lloc d'ensenyar el dispositiu a saltar-se la comprovació.

Un dispositiu, una identitat

Tres peces de material tenen tres papers. El certificat de confiança de la CA permet al telèfon verificar l'emissor. El certificat del telèfon identifica aquest aparell. La clau privada del telèfon és material sensible del dispositiu i es queda al dispositiu.

La clau de signatura de la CA no pertany mai a un telèfon. Tampoc el perfil d'un portàtil d'administrador copiat per tota la flota, que converteix un telèfon robat en una credencial per a tots els telèfons.

La guia també exposa una contrasenya de clau de client i camps opcionals de nom d'usuari i contrasenya de VPN. No són automàticament les credencials de l'extensió SIP. Decideix l'esquema d'autenticació d'aquest dispositiu, incloent com obté qualsevol entrada necessària després d'un reinici sense supervisió.

Lliura el material pel teu procés d'aprovisionament protegit i registra el dispositiu, la identitat emesa i el responsable de la retirada. Quan es substitueixi el telèfon, aquest registre és la diferència entre un canvi de cinc minuts i una tarda d'endevinar.

Mantén el camí d'administració

Abans d'habilitar el túnel, confirma que encara pots arribar a la interfície web del telèfon o al camí d'aprovisionament. El dispositiu necessita accés de xarxa ordinari per arribar al punt final de la VPN, i el seu camí de gestió no hauria de desaparèixer a mig aprovisionament.

Si un canvi de ruta durant l'aprovisionament et deixa fora, la recuperació sol ser un restabliment de fàbrica i repetir tot el procés. Planifica l'ordre perquè això no passi mai: aprovisiona, verifica l'abast, i després habilita el túnel.

Accepta la trucada, no el túnel

El compte SIP continua sent una configuració separada. La guia del GXP21xx dirigeix un desplegament d'OpenVPN a la configuració de travessa NAT de la VPN del compte, així que consulta aquesta guia per al firmware instal·lat i el teu disseny de PBX en lloc de combinar canvis de STUN, servidor intermediari i VPN sense saber quin propietari els necessita.

Després verifica el nom de PBX previst i el camí privat, confirma el registre SIP i fes trucades entrant i sortint aprovades amb l'àudio comprovat en totes dues direccions. Prova les funcions de trucada que el desplegament realment necessita, perquè un indicador de registre no és un telèfon que funciona.

Finalment, repeteix des d'un arrencada en fred controlada i després d'una interrupció de xarxa. Observa si el telèfon restaura el túnel, el compte i les trucades utilitzables en l'ordre previst, i confirma el comportament declarat quan el túnel no es pot connectar. La guia d'administració del GXP21xx és la referència per als camps descrits més amunt.