Kako GXP21xx telefon gradi vlastiti OpenVPN tunel

Stolni telefon koji se povezuje na uredsku VPN je upravljana krajnja točka s vlastitim firmverom, vlastitim identitetom i vlastitim putem oporavka. Ugrađeni klijent nije stolna instalacija OpenVPN s manjim zaslonom, i upravo takav tretman dovodi do toga da telefon nosi zajednički ključ i politiku koju nitko nije odobrio. Evo što se zapravo događa između telefona i pristupnika.

Što telefon učitava pri podizanju sustava

Pročitajte sistemske informacije na uređaju prije nego što bilo što pripremite. Administratorski vodič za GXP21xx navodi verziju programa kao glavno izdanje firmvera i prikazuje polje statusa podrške za OpenVPN, koje vam kaže podržava li vaša gradnja tu značajku uopće.

Vodič zatim opisuje dva načina konfiguracije. Jednostavni način daje zasebna polja: adresa poslužitelja, port, transport i učitani materijal certifikata. Napredni način prihvaća ZIP paket konfiguracije. To su dva različita puta učitavanja u isti klijent, a format paketa jednako je važan kao i sadržaj.

Ako proizvoljnu stolnu .ovpn datoteku ubacite u ZIP, kompatibilnost se ne uspostavlja. Telefon raščlanjuje ono što njegov firmver očekuje, a datoteka koja radi na prijenosniku ovdje može biti tiho zanemarena.

Što klijent mora izraziti

Najprije uzmite zahtjeve profila od operatera pristupnika: krajnja točka, transport, provjera druge strane, autentifikacija, potrebni algoritmi i privatni resursi do kojih telefon smije doći. Zatim provjerite može li ugrađena implementacija izraziti taj ugovor.

Taj je redoslijed važan jer je alternativa mijenjanje zajedničkog pristupnika zbog jednog telefona. Svako popuštanje koje napravite za telefon vrijedi za svakog drugog klijenta na toj krajnjoj točki, a to je loša razmjena za uređaj koji obavlja pozive.

Ako je odgovor da gradnja ne može zadovoljiti politiku, poštene opcije su podržani firmver ili uređaj, ili odobren raspored pristupnika za govorne krajnje točke. Slabljenje tunela nije jedna od njih.

Kompresija i stari recepti

Stariji recepti za male uređaje često uključuju kompresiju radi uštede propusnosti. OpenVPN 2.6 proglašava kompresiju zastarjelom i općenito je ne preporučuje, pa konfiguracija kopirana s takvog recepta nije aktualno sigurnosno odobrenje, bez obzira na godinu u kojoj je objava na forumu napisana.

Isto vrijedi za provjere identiteta. Ako se profil povezuje samo s isključenom provjerom druge strane, problem je u profilu, a ne u provjeri. Popravite materijal povjerenja umjesto da uređaj učite da preskoči provjeru.

Jedan uređaj, jedan identitet

Tri dijela materijala imaju tri uloge. CA certifikat povjerenja omogućuje telefonu da provjeri izdavatelja. Certifikat telefona identificira ovaj aparat. Privatni ključ telefona osjetljiv je materijal uređaja i ostaje na uređaju.

CA ključ za potpisivanje nikada ne pripada telefonu. Kao ni profil prijenosnika administratora kopiran po cijeloj floti, koji jedan ukradeni telefon pretvara u vjerodajnicu za svaki telefon.

Vodič također prikazuje lozinku ključa klijenta i neobavezna polja za korisničko ime i lozinku VPN-a. To nisu automatski vjerodajnice SIP ekstenzije. Odlučite o načinu autentifikacije za ovaj uređaj, uključujući kako dobiva potrebni unos nakon ponovnog pokretanja bez nadzora.

Dostavite materijal kroz svoj zaštićeni proces dodjele i zabilježite uređaj, izdani identitet i vlasnika ukidanja. Kad se telefon zamijeni, taj je zapis razlika između petominutne zamjene i poslijepodneva nagađanja.

Zadržite put administracije

Prije nego što omogućite tunel, potvrdite da još uvijek možete doći do web sučelja telefona ili puta za dodjelu. Uređaj treba običan mrežni pristup da bi uopće došao do krajnje točke VPN-a, a njegov put upravljanja ne smije nestati na pola registracije.

Ako vas promjena rute tijekom registracije zaključa, oporavak je obično tvorničko vraćanje i ponavljanje cijelog postupka. Isplanirajte redoslijed tako da se to nikad ne dogodi: dodijelite, provjerite dostupnost, zatim omogućite tunel.

Prihvatite poziv, a ne tunel

SIP račun ostaje zasebna konfiguracija. Vodič za GXP21xx upućuje OpenVPN implementaciju na postavku VPN NAT prolaska na računu, pa provjerite tu uputu za instalirani firmver i svoj PBX dizajn umjesto da kombinirate promjene STUN-a, proxyja i VPN-a bez znanja koji vlasnik ih treba.

Zatim provjerite predviđeno PBX ime i privatni put, potvrdite SIP registraciju i obavite odobrene dolazne i odlazne pozive s provjerenim zvukom u oba smjera. Testirajte funkcije poziva koje implementacija stvarno treba, jer indikator registracije nije telefon koji radi.

Na kraju ponovite iz kontroliranog hladnog pokretanja i nakon prekida mreže. Promatrajte vraća li telefon tunel, račun i upotrebljivo telefoniranje predviđenim redoslijedom i potvrdite navedeno ponašanje kad se tunel ne može povezati. Administratorski vodič za GXP21xx referenca je za polja opisana gore.