Comment un téléphone GXP21xx construit son propre tunnel OpenVPN

Un téléphone de bureau qui se connecte au VPN du bureau est un point de terminaison géré avec son propre micrologiciel, sa propre identité et son propre chemin de récupération. Le client embarqué n'est pas une installation de bureau d'OpenVPN dotée d'un écran plus petit, et le traiter comme telle est justement ce qui conduit un combiné à détenir une clé partagée et une politique que personne n'a approuvée. Voici ce qui se passe réellement entre le téléphone et la passerelle.

Ce que le téléphone charge au démarrage

Lisez les informations système sur l'appareil avant de préparer quoi que ce soit. Le guide d'administration du GXP21xx identifie la version du programme comme la version principale du micrologiciel et expose un champ d'état de prise en charge d'OpenVPN, qui vous dit si la version dont vous disposez revendique même cette fonction.

Le guide décrit ensuite deux modes de configuration. Le mode simple offre des champs distincts : adresse du serveur, port, transport et matériel de certificat téléversé. Le mode expert accepte un ZIP de configuration. Ce sont deux chemins de chargement différents vers le même client, et le format du paquet compte autant que le contenu.

Déposer un fichier .ovpn de bureau quelconque dans un ZIP n'établit pas la compatibilité. Le téléphone analyse ce que son micrologiciel attend, et un fichier qui fonctionne sur un ordinateur portable peut être ignoré ici en silence.

Ce que le client doit exprimer

Obtenez d'abord les exigences du profil auprès de l'opérateur de la passerelle : point de terminaison, transport, vérification du pair, authentification, algorithmes requis et les ressources privées que le téléphone peut atteindre. Vérifiez ensuite si l'implémentation embarquée peut exprimer ce contrat.

Cet ordre compte, car l'alternative consiste à modifier la passerelle partagée pour un seul combiné. Chaque assouplissement que vous accordez pour le téléphone s'applique à tous les autres clients de ce point de terminaison, et c'est un mauvais échange pour un appareil qui passe des appels.

Si la réponse est que la version ne peut pas respecter la politique, les options honnêtes sont un micrologiciel ou un appareil pris en charge, ou un arrangement de passerelle approuvé pour les points de terminaison vocaux. Affaiblir le tunnel n'en fait pas partie.

Compression et recettes héritées

Les anciennes recettes pour petits appareils activent souvent la compression pour économiser de la bande passante. OpenVPN 2.6 déclare la compression obsolète et la déconseille généralement, donc une configuration copiée depuis une telle recette n'est pas une approbation de sécurité actuelle, quelle que soit l'année où le message du forum a été écrit.

Il en va de même pour les contrôles d'identité. Si un profil ne se connecte qu'avec la vérification du pair désactivée, le problème vient du profil, pas de la vérification. Corrigez le matériel de confiance au lieu d'apprendre à l'appareil à sauter le contrôle.

Un appareil, une identité

Trois éléments de matériel ont trois rôles. Le certificat de confiance de l'AC permet au téléphone de vérifier l'émetteur. Le certificat du téléphone identifie ce combiné. La clé privée du téléphone est un matériel sensible de l'appareil et reste sur l'appareil.

La clé de signature de l'AC n'appartient jamais à un téléphone. Pas plus que le profil d'ordinateur portable d'un administrateur copié sur tout un parc, qui transforme un téléphone volé en identifiant pour tous les téléphones.

Le guide expose aussi un mot de passe de clé client et des champs facultatifs de nom d'utilisateur et de mot de passe VPN. Ce ne sont pas automatiquement les identifiants de l'extension SIP. Décidez du dispositif d'authentification de cet appareil, y compris la façon dont il obtient toute saisie nécessaire après un redémarrage sans surveillance.

Livrez le matériel via votre processus d'approvisionnement protégé et consignez l'appareil, l'identité émise et le responsable du retrait. Lorsque le combiné est remplacé, cette consignation fait la différence entre un échange de cinq minutes et un après-midi de suppositions.

Conservez le chemin d'administration

Avant d'activer le tunnel, confirmez que vous pouvez encore joindre l'interface web ou le chemin d'approvisionnement du téléphone. L'appareil a besoin d'un accès réseau ordinaire pour atteindre le point de terminaison VPN, et son chemin de gestion ne devrait pas disparaître au milieu de l'enregistrement.

Si un changement de route pendant l'enregistrement vous verrouille dehors, la récupération consiste généralement en une réinitialisation d'usine et la répétition de toute la procédure. Planifiez l'ordre pour que cela n'arrive jamais : approvisionnez, vérifiez l'accessibilité, puis activez le tunnel.

Acceptez l'appel, pas le tunnel

Le compte SIP reste une configuration distincte. Le guide du GXP21xx oriente un déploiement OpenVPN vers le réglage de traversée NAT du VPN du compte, alors consultez cette indication pour le micrologiciel installé et votre conception PBX au lieu de combiner des changements STUN, proxy et VPN sans savoir quel propriétaire en a besoin.

Vérifiez ensuite le nom PBX prévu et le chemin privé, confirmez l'enregistrement SIP et passez des appels entrants et sortants approuvés avec l'audio contrôlé dans les deux sens. Testez les fonctions d'appel dont le déploiement a réellement besoin, car un indicateur d'enregistrement n'est pas un téléphone opérationnel.

Enfin, répétez depuis un démarrage à froid contrôlé et après une interruption réseau. Observez si le téléphone restaure le tunnel, le compte et des appels utilisables dans l'ordre prévu, et confirmez le comportement déclaré lorsque le tunnel ne peut pas se connecter. Le guide d'administration du GXP21xx est la référence pour les champs décrits ci-dessus.