Hoe't in GXP21xx-telefoan syn eigen OpenVPN-tunnel bout

In burotafoan dy't him mei it kantoar-VPN ferbynt, is in beheard einpunt mei eigen firmware, eigen identiteit en eigen werstelpaad. De ynboude klient is gjin buroblêd-ynstallaasje fan OpenVPN mei in lytser skerm, en krekt it behanneljen as sadanich soarget derfoar dat in telefoan úteinlik in dielde kaai en in belied hâldt dat gjinien goedkard hat. Hjir is wat der eins bart tusken de telefoan en it gateway.

Wat de telefoan by it opstarten ladt

Lês de systeemynformaasje op it apparaat foardat jo wat dan ek tariede. De behearhanneling fan GXP21xx neamt de programmaversion it wichtichste firmware-útjefte en toant in fjild foar OpenVPN-stipe-status, dat jo fertelt oft de build dy't jo hawwe dy funksje sels beweart.

Dêrnei beskriuwt de hanneling twa konfiguraasjemodi. Ienfâldige modus jout losse fjilden: serveradres, poarte, transport en opladen sertifikaatmaterial. Ekspertmodus nimt in konfiguraasje-ZIP. Dat binne twa ferskillende laadpaden nei deselde klient, en it pakketformaat is like wichtich as de ynhâld.

In willekeurich .ovpn-buroblêdbestân yn in ZIP smite, makket gjin kompatibiliteit. De telefoan ûntleat wat syn firmware ferwachtet, en in bestân dat op in laptop wurket, kin hjir stilwei negearre wurde.

Wat de klient útdrukke moat

Krij earst de profyleasken fan de gateway-operateur: einpunt, transport, peer-ferifikaasje, autentikaasje, fereaske algoritmen en de privee-brûnen dy't de telefoan berikke mei. Kontrolearje dan oft de ynboude ymplemintaasje dat kontrakt útdrukke kin.

Dizze folchoarder is wichtich, want it alternatyf is it dielde gateway oanpasse foar ien telefoan. Eltse fersoepeling dy't jo foar de telefoan meitsje, jildt foar elke oare klient op dat einpunt, en dat is in minne ruil foar in apparaat dat oproppen docht.

As it antwurd is dat de build it belied net foldwaan kin, binne de earlike opsjes in stipe firmware of apparaat, of in goedkarde gateway-regeling foar stim-einpunten. It ferswakjen fan de tunnel is ien fan dy net.

Kompresje en âlde resepten

Aldere resepten foar lytse apparaten skeakelje faak kompresje yn om bânbreedte te sparjen. OpenVPN 2.6 ferklearret kompresje ferâldere en riedt it oer it algemien ôf, dat in konfiguraasje kopiearre fan sa'n resept is gjin aktuele feiligensgoedkarring, hokker jier it forumberjocht ek skreaun waard.

Itselde jildt foar identiteitskontrôles. As in profyl allinnich ferbynt mei peer-ferifikaasje útskeakele, is it profyl it probleem, net de ferifikaasje. Reparearje it fertrouwenmaterial ynstee fan it apparaat te learen de kontrôle oer te slaan.

Ien apparaat, ien identiteit

Trije stikken materiaal hawwe trije rollen. It CA-fertrouwenssertifikaat lit de telefoan de útjouwer ferifiearje. It telefoansertifikaat identifisearret dit apparaat. De priveekaai fan de telefoan is gefoelich apparaatmaterial en bliuwt op it apparaat.

De CA-ûndertekeningskaai heart nea op in telefoan. Ek net it laptop-profyl fan in behearder dat oer in float kopiearre is, wat ien stellen telefoan ta in legitimasje foar elke telefoan makket.

De hanneling toant ek in klientkaai-wachtwurd en opsjonele fjilden foar VPN-brûkersnamme en wachtwurd. Dy binne net automatysk de legitimasjes fan de SIP-útwreiding. Bepale de autentikaasjeregeling foar dit apparaat, ynklusyf hoe't it nei in ûnbewaakte werstart de fereaske ynfier krijt.

Leverje it materiaal fia jo beskerme provisioning-proses en registrearje it apparaat, de útjûne identiteit en de eigner fan it ôffieren. As de telefoan ferfongen wurdt, is dy registraasje it ferskil tusken in ferfanging fan fiif minuten en in middei fan rieden.

Hâld it behearpaad

Foardat jo de tunnel ynskeakelje, befêstigje dat jo noch hieltyd it webynterface of it provisioningpaad fan de telefoan berikke kinne. It apparaat hat gewoane netwurktoegong nedich om it VPN-einpunt te berikken, en syn behearpaad soe net healwei de registraasje ferdwine moatte.

As in rûtferoaring by de registraasje jo bûten slút, is it werstel meastentiids in fabryksreset en in werhelling fan it hiele proses. Plan de folchoarder sa dat dat nea bart: leverje, ferifiearje berikberens, skeakelje dan de tunnel yn.

Akseptearje de oprop, net de tunnel

It SIP-account bliuwt in aparte konfiguraasje. De hanneling fan GXP21xx rjochtet in OpenVPN-ynset nei de ynstelling foar VPN-NAT-trochgong fan it account, dus besjoch dy oanwizing foar de ynstalleare firmware en jo PBX-ûntwerp ynstee fan STUN-, proxy- en VPN-feroarings te kombinearjen sûnder te witten hokker eigner se nedich hat.

Ferifiearje dan de bedoelde PBX-namme en it privee paad, befêstigje de SIP-registraasje en meitsje goedkarde ynkommende en útgeande oproppen mei audio kontrolearre yn beide rjochtingen. Test de oproppfunksjes dy't de ynset echt nedich hat, want in registraasje-yndikator is gjin wurkjende telefoan.

Werhelje it ta beslút fanôf in kontrolearre kâlde start en nei in netwurkûnderbrekking. Observearje oft de telefoan de tunnel, it account en brûkbere oproppen yn 'e bedoelde folchoarder werstelt, en befêstigje it oankundige gedrach as de tunnel gjin ferbining meitsje kin. De behearhanneling fan GXP21xx is de referinsje foar de fjilden hjirboppe beskreaun.