איך טלפון GXP21xx בונה מנהרת OpenVPN משלו

טלפון שולחני שמתחבר ל-VPN של המשרד הוא נקודת קצה מנוהלת עם קושחה משלו, זהות משלו ונתיב שחזור משלו. הלקוח המוטמע אינו התקנת שולחן של OpenVPN עם מסך קטן יותר, וההתייחסות אליו ככזה היא הדרך שבה טלפון נשאר עם מפתח משותף ומדיניות שאיש לא אישר. כך זה באמת קורה בין הטלפון לשער.

מה הטלפון טוען באתחול

קראו את פרטי המערכת במכשיר לפני שמכינים משהו. מדריך הניהול של GXP21xx מגדיר את גרסת התוכנית כגרסת הקושחה הראשית ומציג שדה סטטוס תמיכה ב-OpenVPN, שאומר לכם אם הגרסה שבידיכם בכלל מצהירה על התכונה.

לאחר מכן המדריך מתאר שני מצבי תצורה. מצב פשוט נותן שדות נפרדים: כתובת שרת, פורט, תעבורה וחומר תעודה שהועלה. מצב מומחה מקבל ZIP תצורה. אלה שני נתיבי טעינה שונים לאותו לקוח, ופורמט החבילה חשוב לא פחות מהתוכן.

השלכת קובץ .ovpn שולחני שרירותי לתוך ZIP אינה יוצרת תאימות. הטלפון מנתח את מה שהקושחה שלו מצפה לו, וקובץ שעובד במחשב נייד עלול להיתעלם כאן בשקט.

מה הלקוח חייב לבטא

קודם כל השיגו את דרישות הפרופיל ממפעיל השער: נקודת קצה, תעבורה, אימות עמית, אימות זהות, אלגוריתמים נדרשים והמשאבים הפרטיים שהטלפון רשאי להגיע אליהם. לאחר מכן בדקו אם היישום המוטמע יכול לבטא את החוזה הזה.

הסדר הזה חשוב, כי החלופה היא לשנות את השער המשותף כדי להתאים לטלפון אחד. כל הקלה שתעשו למען הטלפון חלה על כל לקוח אחר באותה נקודת קצה, וזהו סחר גרוע עבור מכשיר שמבצע שיחות.

אם התשובה היא שהגרסה אינה יכולה לעמוד במדיניות, האפשרויות הכנות הן קושחה או מכשיר נתמכים, או הסדר שער מאושר לנקודות קצה קוליות. החלשת המנהרה אינה אחת מהן.

דחיסה ומתכונים ישנים

מתכונים ישנים למכשירים קטנים מפעילים לעתים קרובות דחיסה כדי לחסוך רוחב פס. OpenVPN 2.6 מגדיר דחיסה כמיושנת ובדרך כלל ממליץ נגדה, ולכן תצורה שהועתקה ממתכון כזה אינה אישור אבטחה עדכני, לא משנה באיזו שנה נכתב הפוסט בפורום.

הדבר נכון גם לבדיקות זהות. אם פרופיל מתחבר רק כשהאימות מול העמית כבוי, הבעיה היא בפרופיל, לא באימות. תקנו את חומר האמון במקום ללמד את המכשיר לדלג על הבדיקה.

מכשיר אחד, זהות אחת

לשלושה חלקי חומר יש שלושה תפקידים. תעודת האמון של CA מאפשרת לטלפון לאמת את המנפיק. תעודת הטלפון מזהה את המכשיר הזה. המפתח הפרטי של הטלפון הוא חומר מכשיר רגיש והוא נשאר במכשיר.

מפתח החתימה של CA אינו שייך לטלפון לעולם. גם לא פרופיל מחשב נייד של מנהל שהועתק על פני צי שלם, שהופך טלפון גנוב אחד לאישור גישה לכל טלפון.

המדריך גם מציג סיסמת מפתח לקוח ושדות אופציונליים של שם משתמש וסיסמה ל-VPN. אלה אינם אוטומטית האישורים של שלוחת SIP. החליטו על הסדר האימות למכשיר הזה, כולל כיצד הוא משיג קלט נדרש לאחר אתחול ללא השגחה.

מסרו את החומר דרך תהליך האספקה המוגן שלכם ותעדו את המכשיר, את הזהות שהונפקה ואת האחראי על ההוצאה משימוש. כשהמכשיר מוחלף, התיעוד הזה הוא ההבדל בין החלפה של חמש דקות לבין אחר צהריים של ניחושים.

שמרו על נתיב הניהול

לפני הפעלת המנהרה, ודאו שאתם עדיין יכולים להגיע לממשק האינטרנט של הטלפון או לנתיב האספקה. המכשיר זקוק לגישה רגילה לרשת כדי להגיע לנקודת הקצה של ה-VPN מלכתחילה, ונתיב הניהול שלו לא אמור להיעלם באמצע הרישום.

אם שינוי נתיב במהלך הרישום נועל אתכם בחוץ, השחזור הוא בדרך כלל איפוס למצב יצרן וחזרה על כל התהליך. תכננו את הסדר כך שזה לעולם לא יקרה: ספקו, אמתו נגישות, ואז הפעילו את המנהרה.

קבלו את השיחה, לא את המנהרה

חשבון ה-SIP נשאר תצורה נפרדת. המדריך של GXP21xx מפנה פריסת OpenVPN להגדרת מעבר NAT של ה-VPN בחשבון, לכן בדקו את ההנחיה הזו עבור הקושחה המותקנת ועיצוב ה-PBX שלכם במקום לשלב שינויי STUN, פרוקסי ו-VPN בלי לדעת איזה בעלים זקוק להם.

לאחר מכן אמתו את שם ה-PBX המיועד ואת הנתיב הפרטי, אשרו רישום SIP, ובצעו שיחות נכנסות ויוצאות מאושרות עם אודיו שנבדק בשני הכיוונים. בדקו את תכונות השיחה שהפריסה באמת צריכה, כי חיווי רישום אינו טלפון עובד.

לבסוף, חזרו על הבדיקה מאתחול קר מבוקר ולאחר הפרעת רשת. התבוננו אם הטלפון משחזר את המנהרה, את החשבון ואת השיחות השמישות בסדר המיועד, ואשרו את ההתנהגות המוצהרת כאשר המנהרה אינה יכולה להתחבר. מדריך הניהול של GXP21xx הוא המקור לשדות שתוארו לעיל.