Como un teléfono GXP21xx constrúe o seu propio túnel OpenVPN

Un teléfono de escritorio que se conecta á VPN da oficina é un punto final xestionado co seu propio firmware, a súa propia identidade e o seu propio camiño de recuperación. O cliente integrado non é unha instalación de escritorio de OpenVPN cunha pantalla máis pequena, e tratalo como tal é como un teléfono acaba gardando unha clave compartida e unha política que ninguén aprobou. Velaquí o que ocorre realmente entre o teléfono e a pasarela.

Que carga o teléfono ao arrancar

Lea a información do sistema no dispositivo antes de preparar nada. A guía de administración do GXP21xx identifica a versión do programa como a versión principal do firmware e expón un campo de estado de compatibilidade con OpenVPN, que lle di se a compilación que ten sequera declara a función.

Despois a guía describe dous modos de configuración. O modo simple ofrece campos discretos: enderezo do servidor, porto, transporte e material de certificado cargado. O modo experto acepta un ZIP de configuración. Son dous camiños de carga distintos cara ao mesmo cliente, e o formato do paquete importa tanto como o contido.

Pór un ficheiro .ovpn de escritorio arbitrario dentro dun ZIP non establece compatibilidade. O teléfono analiza o que espera o seu firmware, e un ficheiro que funciona nun portátil pode ignorarse aquí en silencio.

Que ten que expresar o cliente

Obteña primeiro os requisitos do perfil do operador da pasarela: punto final, transporte, verificación do par, autenticación, algoritmos necesarios e os recursos privados aos que o teléfono pode chegar. Despois comprobe se a implementación integrada pode expresar ese contrato.

Esta orde importa porque a alternativa é cambiar a pasarela compartida para acomodar un só teléfono. Cada relaxación que faga para o teléfono aplícase a todos os demais clientes dese punto final, e é un mal intercambio para un dispositivo que fai chamadas.

Se a resposta é que a compilación non pode cumprir a política, as opcións honestas son un firmware ou dispositivo compatible, ou un acordo de pasarela aprobado para puntos finais de voz. Debilitar o túnel non é unha delas.

Compresión e receitas antigas

As receitas antigas para dispositivos pequenos adoitan activar a compresión para aforrar ancho de banda. OpenVPN 2.6 declara a compresión obsoleta e en xeral desaconséllaa, así que unha configuración copiada dunha receita así non é unha aprobación de seguridade actual, sexa cal sexa o ano en que se escribiu a publicación do foro.

O mesmo se aplica ás comprobacións de identidade. Se un perfil só se conecta coa verificación do par desactivada, o problema é o perfil, non a verificación. Corrixa o material de confianza en lugar de ensinar ao dispositivo a saltar a comprobación.

Un dispositivo, unha identidade

Tres pezas de material teñen tres papeis. O certificado de confianza da CA permite ao teléfono verificar o emisor. O certificado do teléfono identifica este aparello. A clave privada do teléfono é material sensible do dispositivo e queda no dispositivo.

A clave de sinatura da CA non pertence nunca a un teléfono. Tampouco o perfil dun portátil de administrador copiado por toda a frota, que converte un teléfono roubado nunha credencial para todos os teléfonos.

A guía tamén expón un contrasinal de clave de cliente e campos opcionais de nome de usuario e contrasinal de VPN. Non son automaticamente as credenciais da extensión SIP. Decida o esquema de autenticación para este dispositivo, incluído como obtén calquera entrada necesaria tras un reinicio sen supervisión.

Entregue o material mediante o seu proceso de aprovisionamento protexido e rexistre o dispositivo, a identidade emitida e o responsable da retirada. Cando se substitúa o teléfono, ese rexistro é a diferenza entre un cambio de cinco minutos e unha tarde de conxecturas.

Manteña o camiño de administración

Antes de habilitar o túnel, confirme que aínda pode chegar á interface web do teléfono ou ao camiño de aprovisionamento. O dispositivo necesita acceso de rede ordinario para chegar ao punto final da VPN, e o seu camiño de xestión non debería desaparecer a metade do rexistro.

Se un cambio de ruta durante o rexistro o deixa fóra, a recuperación adoita ser un restablecemento de fábrica e repetir todo o proceso. Planifique a orde para que iso non ocorra nunca: aprovisione, verifique o alcance e despois habilite o túnel.

Acepte a chamada, non o túnel

A conta SIP segue a ser unha configuración aparte. A guía do GXP21xx dirixe un despregamento de OpenVPN ao axuste de atravesamento NAT de VPN da conta, así que consulte esa indicación para o firmware instalado e o seu deseño de PBX en lugar de combinar cambios de STUN, proxy e VPN sen saber que propietario os necesita.

Despois verifique o nome de PBX previsto e o camiño privado, confirme o rexistro SIP e realice chamadas entrantes e saíntes aprobadas co audio comprobado en ambos os sentidos. Proba as funcións de chamada que o despregamento realmente necesita, porque un indicador de rexistro non é un teléfono que funciona.

Por último, repita desde un arranque en frío controlado e tras unha interrupción de rede. Observe se o teléfono restaura o túnel, a conta e as chamadas utilizables na orde prevista, e confirme o comportamento declarado cando o túnel non pode conectar. A guía de administración do GXP21xx é a referencia para os campos descritos arriba.