Sådan opbygger en GXP21xx-telefon sin egen OpenVPN-tunnel

En bordtelefon, der forbinder til kontorets VPN, er et administreret endepunkt med sin egen firmware, sin egen identitet og sin egen gendannelsesvej. Den indlejrede klient er ikke en skrivebordsinstallation af OpenVPN med en mindre skærm, og netop den behandling er årsagen til, at en telefon ender med en delt nøgle og en politik, som ingen har godkendt. Her er, hvad der faktisk sker mellem telefonen og gatewayen.

Hvad telefonen indlæser ved opstart

Læs Systemoplysninger på enheden, før du forbereder noget. Administrationsvejledningen til GXP21xx angiver programversionen som den primære firmwareudgivelse og viser et felt for OpenVPN-supportstatus, som fortæller, om din build overhovedet påstår at have funktionen.

Vejledningen beskriver derefter to konfigurationstilstande. Simpel tilstand giver separate felter: serveradresse, port, transport og uploadet certifikatmateriale. Eksperttilstand tager en konfigurations-ZIP. Det er to forskellige indlæsningsveje til samme klient, og pakkeformatet betyder lige så meget som indholdet.

At smide en vilkårlig skrivebordsfil af typen .ovpn ind i en ZIP skaber ikke kompatibilitet. Telefonen fortolker det, dens firmware forventer, og en fil, der virker på en bærbar computer, kan blive tavst ignoreret her.

Hvad klienten skal kunne udtrykke

Hent først profilens krav hos gatewayoperatøren: endepunkt, transport, peer-verifikation, godkendelse, nødvendige algoritmer og de private ressourcer, som telefonen må nå. Kontroller derefter, om den indlejrede implementering kan udtrykke den kontrakt.

Rækkefølgen betyder noget, for alternativet er at ændre den fælles gateway for at imødekomme én telefon. Enhver lempelse, du laver for telefonen, gælder for enhver anden klient på det endepunkt, og det er en dårlig handel for en enhed, der ringer.

Hvis svaret er, at buildet ikke kan opfylde politikken, er de ærlige muligheder en understøttet firmware eller enhed eller en godkendt gatewayordning til taleendepunkter. At svække tunnelen er ikke en af dem.

Komprimering og gamle opskrifter

Ældre opskrifter til små enheder aktiverer ofte komprimering for at spare båndbredde. OpenVPN 2.6 erklærer komprimering forældet og fraråder det generelt, så en konfiguration kopieret fra en sådan opskrift er ikke en aktuel sikkerhedsgodkendelse, uanset hvilket år forumindlægget blev skrevet.

Det samme gælder identitetskontroller. Hvis en profil kun forbinder med peer-verifikation deaktiveret, er profilen problemet, ikke verifikationen. Ret tillidsmaterialet i stedet for at lære enheden at springe kontrollen over.

Én enhed, én identitet

Tre stykker materiale har tre roller. CA-tillidscertifikatet lader telefonen verificere udstederen. Telefoncertifikatet identificerer denne telefon. Telefonens private nøgle er følsomt enhedsmateriale og bliver på enheden.

CA-signeringsnøglen hører aldrig til på en telefon. Det gør en administrators bærbare profil kopieret ud over en flåde heller ikke, for den gør én stjålet telefon til en adgangsfaktor for hver telefon.

Vejledningen viser også en adgangskode til klientnøglen og valgfrie felter til VPN-brugernavn og adgangskode. De er ikke automatisk SIP-udvidelsens legitimationsoplysninger. Beslut godkendelsesordningen for denne enhed, herunder hvordan den får nødvendige input efter en genstart uden opsyn.

Lever materialet gennem din beskyttede klargøringsproces, og registrer enheden, den udstedte identitet og ejeren af udfasningen. Når telefonen udskiftes, er den registrering forskellen mellem en udskiftning på fem minutter og en eftermiddag med gætteri.

Behold administrationsvejen

Før du aktiverer tunnelen, skal du bekræfte, at du stadig kan nå telefonens webgrænseflade eller klargøringsvej. Enheden skal have almindelig netværksadgang for overhovedet at nå VPN-endepunktet, og dens administrationsvej bør ikke forsvinde midt i registreringen.

Hvis en ruteændring under registreringen låser dig ude, er gendannelsen normalt en fabriksnulstilling og en gentagelse af hele processen. Planlæg rækkefølgen, så det aldrig sker: klargør, bekræft tilgængelighed, og aktivér derefter tunnelen.

Accepter opkaldet, ikke tunnelen

SIP-kontoen forbliver en separat konfiguration. GXP21xx-vejledningen henviser en OpenVPN-udrulning til kontoens indstilling for VPN NAT-gennemtrængning, så slå den vejledning op for den installerede firmware og dit PBX-design i stedet for at kombinere STUN-, proxy- og VPN-ændringer uden at vide, hvilken ejer der har brug for dem.

Bekræft derefter det tilsigtede PBX-navn og den private vej, bekræft SIP-registreringen, og foretag godkendte indgående og udgående opkald med lyd kontrolleret i begge retninger. Test de opkaldsfunktioner, som udrulningen faktisk har brug for, for en registreringsindikator er ikke en fungerende telefon.

Gentag til sidst fra en kontrolleret koldstart og efter en netværksafbrydelse. Observer, om telefonen gendanner tunnelen, kontoen og brugbare opkald i den tilsigtede rækkefølge, og bekræft den erklærede adfærd, når tunnelen ikke kan oprette forbindelse. Administrationsvejledningen til GXP21xx er reference for de felter, der er beskrevet ovenfor.