Kiel GXP21xx-telefono konstruas sian propran OpenVPN-tunelon

Skribotabla telefono, kiu konektiĝas al la oficeja VPN, estas administrata finpunkto kun propra firmvaro, propra identeco kaj propra riparvojo. La enkonstruita kliento ne estas surtabla instalado de OpenVPN kun pli malgranda ekrano, kaj ĝuste tia traktado kaŭzas, ke telefono finfine tenas komunan ŝlosilon kaj politikon, kiun neniu aprobis. Jen kio efektive okazas inter la telefono kaj la kluzo.

Kion la telefono ŝargas ĉe ekstarto

Legu Sisteman Informaron sur la aparato antaŭ ol prepari ion ajn. La administra gvidilo de GXP21xx nomas la programversion la ĉefa firmvara eldono kaj montras kampon pri subtena stato de OpenVPN, kiu diras al vi, ĉu via konstruo eĉ pretendas la funkcion.

Poste la gvidilo priskribas du agordajn reĝimojn. Simpla reĝimo donas apartajn kampojn: servila adreso, pordo, transporto kaj alŝutita atestila materialo. Sperta reĝimo akceptas agordan ZIP-on. Tiuj estas du malsamaj ŝarĝvojoj en la saman klienton, kaj la paka formato same gravas kiel la enhavo.

Ĵeti arbitran surtablan .ovpn dosieron en ZIP-on ne starigas kongruecon. La telefono analizas, kion atendas ĝia firmvaro, kaj dosiero, kiu funkcias sur tekkomputilo, povas esti silente ignorata ĉi tie.

Kion la kliento devas esprimi

Unue akiru la profilajn postulojn de la kluzo-operaciisto: finpunkto, transporto, kontrolo de la kunulo, aŭtentikigo, bezonataj algoritmoj kaj la privataj rimedoj, kiujn la telefono rajtas atingi. Poste kontrolu, ĉu la enkonstruita efektivigo povas esprimi tiun kontrakton.

Tiu ordo gravas, ĉar la alternativo estas ŝanĝi la komunan kluzon por unu telefono. Ĉiu malstreĉigo, kiun vi faras por la telefono, validas por ĉiu alia kliento ĉe tiu finpunkto, kaj tio estas malbona interŝanĝo por aparato, kiu telefonvokas.

Se la respondo estas, ke la konstruo ne povas plenumi la politikon, la honestaj ebloj estas subtenata firmvaro aŭ aparato, aŭ aprobita kluzoaranĝo por voĉaj finpunktoj. Malfortigi la tunelon ne estas unu el ili.

Kunpremado kaj malnovaj receptoj

Pli malnovaj receptoj por malgrandaj aparatoj ofte ŝaltas kunpremadon por ŝpari bendolarĝon. OpenVPN 2.6 deklaras kunpremadon malaktuala kaj ĝenerale malrekomendas ĝin, do agordo kopiita el tia recepto ne estas nuna sekureca aprobo, sendepende de la jaro, en kiu la forumafiŝo estis verkita.

La samo validas por identeckontroloj. Se profilo konektiĝas nur kun malŝaltita kontrolo de la kunulo, la profilo estas la problemo, ne la kontrolo. Riparu la fidan materialon anstataŭ instrui al la aparato preterpasi la kontrolon.

Unu aparato, unu identeco

Tri pecoj da materialo havas tri rolojn. La CA-fida atestilo ebligas al la telefono kontroli la eldonanton. La telefona atestilo identigas ĉi tiun aparaton. La privata ŝlosilo de la telefono estas sentema aparata materialo kaj restas sur la aparato.

La CA-subskriba ŝlosilo neniam apartenas al telefono. Nek la tekkomputila profilo de administranto kopiita tra tuta aro, kiu igas unu ŝtelitan telefonon akreditaĵo por ĉiu telefono.

La gvidilo ankaŭ montras pasvorton de klienta ŝlosilo kaj laŭvolajn kampojn por VPN-uzantnomo kaj pasvorto. Tiuj ne estas aŭtomate la akreditaĵoj de la SIP-etendaĵo. Decidu la aŭtentikigan aranĝon por ĉi tiu aparato, inkluzive kiel ĝi akiras bezonatan enigon post nesuperrigardita restartigo.

Liveru la materialon per via protektita provizprocezo kaj registru la aparaton, la eldonitan identecon kaj la posedanton de la eksigo. Kiam la telefono anstataŭiĝos, tiu registro estas la diferenco inter kvimminuta interŝanĝo kaj posttagmezo da konjektado.

Konservu la administran vojon

Antaŭ ol vi ebligos la tunelon, konfirmu, ke vi ankoraŭ povas atingi la retinterfacon de la telefono aŭ la provizvojon. La aparato bezonas ordinaran retaliron por unue atingi la VPN-finpunkton, kaj ĝia administra vojo ne devus malaperi meze de la registriĝo.

Se vojŝanĝo dum la registriĝo ŝlosos vin ekstere, la riparo kutime estas fabrika restarigo kaj ripeto de la tuta procezo. Planu la ordon tiel, ke tio neniam okazu: provizu, kontrolu atingeblon, poste ebligu la tunelon.

Akceptu la vokon, ne la tunelon

La SIP-konto restas aparta agordo. La gvidilo de GXP21xx direktas OpenVPN-ekspluaton al la agordo pri VPN-NAT-trapaso de la konto, do kontrolu tiun gvidon por la instalita firmvaro kaj via PBX-aranĝo anstataŭ kunigi ŝanĝojn de STUN, prokurilo kaj VPN sen scii, kiu posedanto bezonas ilin.

Poste kontrolu la celatan PBX-nomon kaj la privatan vojon, konfirmu la SIP-registriĝon kaj faru aprobitajn envenantajn kaj elirantajn vokojn kun sono kontrolita en ambaŭ direktoj. Testu la vokfunkciojn, kiujn la ekspluato efektive bezonas, ĉar registriĝa indikilo ne estas funkcianta telefono.

Fine ripetu el kontrolita malvarma starto kaj post retinterrompo. Observu, ĉu la telefono restarigas la tunelon, la konton kaj uzeblajn vokojn en la celita ordo, kaj konfirmu la deklaritajn kondutojn, kiam la tunelo ne povas konektiĝi. La administra gvidilo de GXP21xx estas la referenco por la kampoj priskribitaj supre.