Jak telefon GXP21xx sestaví vlastní tunel OpenVPN

Stolní telefon, který se připojuje k firemní VPN, je spravovaný koncový bod s vlastním firmwarem, vlastní identitou a vlastní cestou obnovy. Vestavěný klient není stolní instalace OpenVPN s menším displejem a právě takové zacházení vede k tomu, že telefon drží sdílený klíč a zásadu, kterou nikdo neschválil. Tady je, co se mezi telefonem a bránou skutečně děje.

Co telefon načítá při spuštění

Než cokoli připravíte, přečtěte si v zařízení systémové informace. Administrátorská příručka GXP21xx označuje verzi programu za hlavní vydání firmwaru a zobrazuje pole stavu podpory OpenVPN, které vám řekne, zda váš build tuto funkci vůbec deklaruje.

Příručka pak popisuje dva režimy konfigurace. Jednoduchý režim nabízí samostatná pole: adresa serveru, port, transport a nahraný certifikátový materiál. Expertní režim přijímá konfigurační ZIP. Jsou to dvě různé cesty načtení do stejného klienta a formát balíku je stejně důležitý jako obsah.

Vhození libovolného stolního .ovpn souboru do ZIPu kompatibilitu neprokáže. Telefon analyzuje to, co jeho firmware očekává, a soubor, který funguje na notebooku, zde může být tiše ignorován.

Co musí klient vyjádřit

Nejprve si vyžádejte požadavky na profil od operátora brány: koncový bod, transport, ověření protistrany, autentizaci, požadované algoritmy a privátní zdroje, k nimž telefon smí dosáhnout. Potom ověřte, zda vestavěná implementace dokáže tento kontrakt vyjádřit.

Toto pořadí je důležité, protože alternativou je úprava sdílené brány kvůli jednomu telefonu. Každé uvolnění, které pro telefon uděláte, platí pro každého dalšího klienta na daném koncovém bodu, a to je špatná výměna za zařízení, které telefonuje.

Pokud je odpověď taková, že build zásadu nesplní, poctivé možnosti jsou podporovaný firmware nebo zařízení, případně schválené uspořádání brány pro hlasové koncové body. Oslabení tunelu mezi ně nepatří.

Komprese a staré recepty

Starší recepty pro malá zařízení často zapínají kompresi, aby ušetřily šířku pásma. OpenVPN 2.6 označuje kompresi za zastaralou a obecně ji nedoporučuje, takže konfigurace zkopírovaná z takového receptu není aktuální bezpečnostní schválení, ať byl příspěvek na fóru napsán v kterémkoli roce.

Totéž platí pro kontroly identity. Pokud se profil připojuje jen s vypnutým ověřením protistrany, problém je v profilu, ne v ověření. Opravte materiál důvěry místo toho, abyste zařízení učili kontrolu přeskakovat.

Jedno zařízení, jedna identita

Tři kusy materiálu mají tři role. Kořenový certifikát CA umožňuje telefonu ověřit vydavatele. Certifikát telefonu identifikuje toto zařízení. Soukromý klíč telefonu je citlivý materiál zařízení a zůstává v zařízení.

Podepisovací klíč CA do telefonu nikdy nepatří. Stejně tak profil notebooku administrátora zkopírovaný přes celou flotilu, který z jednoho ukradeného telefonu udělá přihlašovací údaj pro každý telefon.

Příručka také uvádí heslo klientského klíče a volitelná pole uživatelského jména a hesla VPN. Ta nejsou automaticky přihlašovacími údaji SIP linky. Rozhodněte o způsobu autentizace tohoto zařízení, včetně toho, jak získá potřebný vstup po restartu bez dozoru.

Doručte materiál svým chráněným procesem zřizování a zaznamenejte zařízení, vydanou identitu a vlastníka vyřazení. Když telefon vyměníte, právě tento záznam je rozdíl mezi pětiminutovou výměnou a odpolednem hádání.

Zachovejte cestu správy

Než tunel povolíte, ověřte, že se stále dostanete na webové rozhraní telefonu nebo na cestu zřizování. Zařízení potřebuje běžný síťový přístup, aby se vůbec dostalo ke koncovému bodu VPN, a jeho cesta správy by neměla zmizet uprostřed registrace.

Pokud vás změna trasy během registrace uzamkne, obnovou je obvykle tovární nastavení a zopakování celého procesu. Naplánujte pořadí tak, aby se to nikdy nestalo: zřiďte, ověřte dostupnost, potom tunel povolte.

Přijměte hovor, ne tunel

Účet SIP zůstává samostatnou konfigurací. Příručka GXP21xx směruje nasazení OpenVPN k nastavení průchodu NAT pro VPN na účtu, proto se pro nainstalovaný firmware a váš návrh PBX řiďte tímto pokynem, místo abyste kombinovali změny STUN, proxy a VPN, aniž byste věděli, který vlastník je potřebuje.

Potom ověřte zamýšlený název PBX a privátní cestu, potvrďte registraci SIP a uskutečněte schválené příchozí a odchozí hovory s ověřeným zvukem v obou směrech. Otestujte funkce hovorů, které nasazení skutečně potřebuje, protože indikátor registrace není fungující telefon.

Nakonec to zopakujte z řízeného studeného startu a po přerušení sítě. Sledujte, zda telefon obnoví tunel, účet a použitelné telefonování v zamýšleném pořadí, a potvrďte deklarované chování, když se tunel nemůže připojit. Administrátorská příručka GXP21xx je referencí pro pole popsaná výše.