Πώς ένα τηλέφωνο GXP21xx χτίζει τη δική του σήραγγα OpenVPN

Ένα τηλέφωνο γραφείου που συνδέεται στο VPN του γραφείου είναι διαχειριζόμενο τελικό σημείο με δικό του firmware, δική του ταυτότητα και δική του διαδρομή ανάκτησης. Ο ενσωματωμένος πελάτης δεν είναι εγκατάσταση OpenVPN σε υπολογιστή με μικρότερη οθόνη, και η αντιμετώπισή του ως τέτοιας είναι ο τρόπος που μια συσκευή καταλήγει να κρατά κοινό κλειδί και πολιτική που δεν ενέκρινε κανείς. Να τι συμβαίνει πραγματικά ανάμεσα στο τηλέφωνο και την πύλη.

Τι φορτώνει το τηλέφωνο κατά την εκκίνηση

Διαβάστε τις Πληροφορίες συστήματος στη συσκευή πριν προετοιμάσετε οτιδήποτε. Ο οδηγός διαχείρισης του GXP21xx προσδιορίζει την έκδοση προγράμματος ως την κύρια έκδοση firmware και εμφανίζει πεδίο κατάστασης υποστήριξης OpenVPN, που σας λέει αν η έκδοση που έχετε διεκδικεί καν τη λειτουργία.

Στη συνέχεια ο οδηγός περιγράφει δύο τρόπους διαμόρφωσης. Η απλή λειτουργία δίνει ξεχωριστά πεδία: διεύθυνση διακομιστή, θύρα, μεταφορά και ανεβασμένο υλικό πιστοποιητικού. Η λειτουργία ειδικού δέχεται ZIP διαμόρφωσης. Είναι δύο διαφορετικές διαδρομές φόρτωσης στον ίδιο πελάτη, και η μορφή του πακέτου μετρά όσο και το περιεχόμενο.

Το να ρίξετε ένα αυθαίρετο αρχείο .ovpn για υπολογιστή σε ένα ZIP δεν καθιερώνει συμβατότητα. Το τηλέφωνο αναλύει τι περιμένει το firmware του, και ένα αρχείο που δουλεύει σε φορητό υπολογιστή μπορεί εδώ να αγνοηθεί σιωπηλά.

Τι πρέπει να εκφράζει ο πελάτης

Ζητήστε πρώτα τις απαιτήσεις του προφίλ από τον χειριστή της πύλης: τελικό σημείο, μεταφορά, επαλήθευση ομοτίμου, έλεγχος ταυτότητας, απαιτούμενοι αλγόριθμοι και οι ιδιωτικοί πόροι στους οποίους επιτρέπεται να φτάσει το τηλέφωνο. Έπειτα ελέγξτε αν η ενσωματωμένη υλοποίηση μπορεί να εκφράσει αυτό το συμβόλαιο.

Αυτή η σειρά έχει σημασία, γιατί η εναλλακτική είναι να αλλάξετε την κοινή πύλη για ένα τηλέφωνο. Κάθε χαλάρωση που κάνετε για το τηλέφωνο ισχύει για κάθε άλλον πελάτη σε αυτό το τελικό σημείο, και αυτό είναι κακή ανταλλαγή για μια συσκευή που κάνει κλήσεις.

Αν η απάντηση είναι ότι η έκδοση δεν μπορεί να τηρήσει την πολιτική, οι έντιμες επιλογές είναι υποστηριζόμενο firmware ή συσκευή, ή εγκεκριμένη ρύθμιση πύλης για τελικά σημεία φωνής. Η αποδυνάμωση της σήραγγας δεν είναι μία από αυτές.

Συμπίεση και παλιές συνταγές

Παλιότερες συνταγές για μικρές συσκευές συχνά ενεργοποιούν συμπίεση για εξοικονόμηση εύρους ζώνης. Το OpenVPN 2.6 χαρακτηρίζει τη συμπίεση παρωχημένη και γενικά δεν τη συνιστά, οπότε μια διαμόρφωση αντιγραμμένη από τέτοια συνταγή δεν είναι τρέχουσα έγκριση ασφαλείας, όποια χρονιά κι αν γράφτηκε η ανάρτηση στο φόρουμ.

Το ίδιο ισχύει για τους ελέγχους ταυτότητας. Αν ένα προφίλ συνδέεται μόνο με απενεργοποιημένη επαλήθευση ομοτίμου, το πρόβλημα είναι το προφίλ, όχι η επαλήθευση. Διορθώστε το υλικό εμπιστοσύνης αντί να μάθετε στη συσκευή να παραλείπει τον έλεγχο.

Μία συσκευή, μία ταυτότητα

Τρία κομμάτια υλικού έχουν τρεις ρόλους. Το πιστοποιητικό εμπιστοσύνης CA επιτρέπει στο τηλέφωνο να επαληθεύσει τον εκδότη. Το πιστοποιητικό του τηλεφώνου ταυτοποιεί αυτή τη συσκευή. Το ιδιωτικό κλειδί του τηλεφώνου είναι ευαίσθητο υλικό συσκευής και μένει στη συσκευή.

Το κλειδί υπογραφής CA δεν ανήκει ποτέ σε τηλέφωνο. Ούτε το προφίλ φορητού υπολογιστή ενός διαχειριστή που αντιγράφεται σε ένα στόλο, το οποίο μετατρέπει ένα κλεμμένο τηλέφωνο σε διαπιστευτήριο για κάθε τηλέφωνο.

Ο οδηγός εκθέτει επίσης κωδικό κλειδιού πελάτη και προαιρετικά πεδία ονόματος χρήστη και κωδικού VPN. Αυτά δεν είναι αυτόματα τα διαπιστευτήρια της επέκτασης SIP. Αποφασίστε τη ρύθμιση ελέγχου ταυτότητας για αυτή τη συσκευή, συμπεριλαμβανομένου του πώς λαμβάνει τυχόν απαιτούμενη είσοδο μετά από επανεκκίνηση χωρίς επίβλεψη.

Παραδώστε το υλικό μέσω της προστατευμένης διαδικασίας παροχής σας και καταγράψτε τη συσκευή, την ταυτότητα που εκδόθηκε και τον υπεύθυνο απόσυρσης. Όταν το τηλέφωνο αντικατασταθεί, αυτή η εγγραφή είναι η διαφορά ανάμεσα σε αλλαγή πέντε λεπτών και ένα απόγευμα εικασιών.

Κρατήστε τη διαδρομή διαχείρισης

Πριν ενεργοποιήσετε τη σήραγγα, επιβεβαιώστε ότι μπορείτε ακόμη να φτάσετε στη διεπαφή web του τηλεφώνου ή στη διαδρομή παροχής. Η συσκευή χρειάζεται συνηθισμένη πρόσβαση δικτύου για να φτάσει στο τελικό σημείο VPN εξαρχής, και η διαδρομή διαχείρισής της δεν πρέπει να εξαφανιστεί στη μέση της εγγραφής.

Αν μια αλλαγή δρομολόγησης κατά την εγγραφή σας κλειδώσει έξω, η ανάκτηση είναι συνήθως επαναφορά εργοστασιακών ρυθμίσεων και επανάληψη όλης της διαδικασίας. Σχεδιάστε τη σειρά ώστε αυτό να μη συμβεί ποτέ: παροχή, επαλήθευση προσβασιμότητας, μετά ενεργοποίηση της σήραγγας.

Δεχτείτε την κλήση, όχι τη σήραγγα

Ο λογαριασμός SIP παραμένει ξεχωριστή διαμόρφωση. Ο οδηγός του GXP21xx κατευθύνει μια ανάπτυξη OpenVPN στη ρύθμιση διάσχισης NAT VPN του λογαριασμού, οπότε συμβουλευτείτε αυτή την οδηγία για το εγκατεστημένο firmware και τον σχεδιασμό PBX σας αντί να συνδυάζετε αλλαγές STUN, διακομιστή μεσολάβησης και VPN χωρίς να ξέρετε ποιος ιδιοκτήτης τις χρειάζεται.

Έπειτα επαληθεύστε το προβλεπόμενο όνομα PBX και την ιδιωτική διαδρομή, επιβεβαιώστε την εγγραφή SIP και πραγματοποιήστε εγκεκριμένες εισερχόμενες και εξερχόμενες κλήσεις με ήχο ελεγμένο και στις δύο κατευθύνσεις. Δοκιμάστε τις λειτουργίες κλήσης που χρειάζεται πραγματικά η ανάπτυξη, γιατί μια ένδειξη εγγραφής δεν είναι τηλέφωνο που δουλεύει.

Τέλος, επαναλάβετε από ελεγχόμενη ψυχρή εκκίνηση και μετά από διακοπή δικτύου. Παρατηρήστε αν το τηλέφωνο επαναφέρει τη σήραγγα, τον λογαριασμό και χρησιμοποιήσιμες κλήσεις με την προβλεπόμενη σειρά, και επιβεβαιώστε τη δηλωμένη συμπεριφορά όταν η σήραγγα δεν μπορεί να συνδεθεί. Ο οδηγός διαχείρισης του GXP21xx είναι η αναφορά για τα πεδία που περιγράφονται παραπάνω.