Kuidas GXP21xx telefon ehitab oma OpenVPN-tunneli

Kontorivõrgu VPN-iga ühenduv lauatelefon on hallatav lõpp-punkt, millel on oma püsivara, oma identiteet ja oma taastetee. Manustatud klient ei ole väiksema ekraaniga OpenVPN töölaua paigaldus ja just selline kohtlemine viib selleni, et telefon hoiab jagatud võtit ja poliitikat, mida keegi ei kinnitanud. Siin on, mis tegelikult telefoni ja lüüsi vahel juhtub.

Mida telefon käivitamisel laadib

Lugege enne millegi ettevalmistamist seadmes süsteemiteavet. GXP21xx haldusjuhend märgib programmi versiooni põhiliseks püsivara väljalaskeks ja näitab OpenVPN-i toe oleku välja, mis ütleb, kas teie koostel üldse seda funktsiooni väidab.

Seejärel kirjeldab juhend kahte konfiguratsioonirežiimi. Lihtrežiim annab eraldi väljad: serveri aadress, port, transport ja üleslaaditud sertifikaadi materjal. Asjatundjarežiim võtab konfiguratsiooni ZIP-i. Need on kaks erinevat laadimisteed samasse kliendisse ja paketi vorming loeb sama palju kui sisu.

Suvalise töölaua .ovpn faili ZIP-i viskamine ei loo ühilduvust. Telefon sõelub seda, mida tema püsivara ootab, ja sülearvutis töötav fail võib siin vaikselt tähelepanuta jääda.

Mida klient peab väljendama

Küsige profiili nõuded esmalt lüüsi operaatorilt: lõpp-punkt, transport, partneri kontroll, autentimine, vajalikud algoritmid ja privaatsed ressursid, milleni telefon võib jõuda. Seejärel kontrollige, kas manustatud teostus suudab seda lepingut väljendada.

See järjekord on oluline, sest alternatiiv on muuta jagatud lüüsi ühe telefoni pärast. Iga lõdvendus, mille te telefoni jaoks teete, kehtib iga teise kliendi kohta samas lõpp-punktis, ja see on halb vahetus seadme jaoks, mis teeb kõnesid.

Kui vastus on, et koostel ei suuda poliitikat täita, on ausad valikud toetatud püsivara või seade või kinnitatud lüüsikorraldus hääl-lõpp-punktidele. Tunneli nõrgendamine ei ole üks neist.

Pakkimine ja vanad retseptid

Vanemad retseptid väikeste seadmete jaoks lubavad sageli pakkimise, et ribalaiust säästa. OpenVPN 2.6 kuulutab pakkimise vananenuks ja üldiselt ei soovita seda, seega sellisest retseptist kopeeritud konfiguratsioon ei ole kehtiv turvakinnitus, ükskõik mis aastal foorumipostitus kirjutati.

Sama kehtib identiteedikontrollide kohta. Kui profiil ühendub ainult väljalülitatud partneri kontrolliga, on probleem profiilis, mitte kontrollis. Parandage usaldusmaterjal, selle asemel et õpetada seadmele kontrolli vahele jätmist.

Üks seade, üks identiteet

Kolmel materjalitükil on kolm rolli. CA usaldussertifikaat laseb telefonil väljaandjat kontrollida. Telefoni sertifikaat tuvastab selle seadme. Telefoni privaatvõti on tundlik seadme materjal ja jääb seadmesse.

CA allkirjastamisvõti ei kuulu kunagi telefoni. Samuti mitte administraatori sülearvuti profiil, mis on kopeeritud üle terve parve ja muudab ühe varastatud telefoni igale telefonile volituseks.

Juhend näitab ka kliendivõtme parooli ning valikulisi VPN-i kasutajanime ja parooli välju. Need ei ole automaatselt SIP-kõrvenduse volitused. Otsustage selle seadme autentimiskord, sealhulgas kuidas see saab vajaliku sisendi pärast järelevalveta taaskäivitust.

Toimetage materjal kohale oma kaitstud hankeprotsessi kaudu ja registreerige seade, väljastatud identiteet ja kasutusest kõrvaldamise omanik. Kui telefon välja vahetatakse, on see kirje vahe viie minuti vahetuse ja oletuste täis pärastlõuna vahel.

Hoidke haldustee avatuna

Enne tunneli lubamist veenduge, et pääsete endiselt telefoni veebiliidesele või hanketeele. Seade vajab VPN-i lõpp-punkti jõudmiseks tavalist võrguühendust ja selle haldustee ei tohiks registreerimise keskel kaduda.

Kui marsruudi muutmine registreerimise ajal teid välja lukustab, on taastamine tavaliselt tehaseseadete lähtestamine ja kogu protsessi kordamine. Planeerige järjekord nii, et seda kunagi ei juhtuks: hankige, kontrollige kättesaadavust, seejärel lubage tunnel.

Võtke vastu kõne, mitte tunnel

SIP-konto jääb eraldi konfiguratsiooniks. GXP21xx juhend suunab OpenVPN-i juurutuse konto VPN-i NAT-läbimise seadele, seega kontrollige seda juhist paigaldatud püsivara ja teie PBX-i lahenduse jaoks, selle asemel et kombineerida STUN-i, puhverserveri ja VPN-i muudatusi teadmata, milline omanik neid vajab.

Seejärel kontrollige kavandatud PBX-i nime ja privaatset teed, kinnitage SIP-registreerimine ja tehke kinnitatud sissetulevad ja väljuvad kõned, mille heli on mõlemas suunas kontrollitud. Testige kõnefunktsioone, mida juurutus tegelikult vajab, sest registreerimisnäidik ei ole töötav telefon.

Lõpuks korrake kontrollitud külmkäivitusest ja pärast võrgu katkestust. Jälgige, kas telefon taastab tunneli, konto ja kasutatava kõneühenduse kavandatud järjekorras, ning kinnitage deklareeritud käitumine, kui tunnel ei saa ühenduda. GXP21xx haldusjuhend on viide ülalkirjeldatud väljadele.