Hogyan épít saját OpenVPN-alagutat egy GXP21xx telefon

Az irodai VPN-hez csatlakozó asztali telefon felügyelt végpont, saját firmware-rel, saját identitással és saját helyreállítási úttal. A beágyazott kliens nem kisebb képernyős asztali OpenVPN telepítés, és éppen az ilyen kezelés vezet oda, hogy a készülék végül olyan megosztott kulcsot és házirendet tart, amelyet senki nem hagyott jóvá. Íme, ami valójában a telefon és az átjáró között történik.

Mit tölt be a telefon indításkor

Olvassa el a rendszerinformációkat a készüléken, mielőtt bármit előkészít. A GXP21xx adminisztrációs útmutató a programverziót a fő firmware-kiadásként azonosítja, és megjelenít egy OpenVPN-támogatási állapotmezőt, amely megmondja, hogy az Ön buildje egyáltalán állítja-e a funkciót.

Ezután az útmutató két konfigurációs módot ír le. Az egyszerű mód külön mezőket ad: kiszolgálócím, port, átvitel és feltöltött tanúsítványanyag. A szakértői mód konfigurációs ZIP-et fogad. Ez két különböző betöltési út ugyanabba a kliensbe, és a csomagformátum ugyanolyan fontos, mint a tartalom.

Egy tetszőleges asztali .ovpn fájl ZIP-be dobása nem teremt kompatibilitást. A telefon azt elemzi, amit a firmware vár, és egy laptopon működő fájl itt csendben figyelmen kívül maradhat.

Mit kell kifejeznie a kliensnek

Először kérje el a profil követelményeit az átjáró üzemeltetőjétől: végpont, átvitel, partner-ellenőrzés, hitelesítés, szükséges algoritmusok és azok a privát erőforrások, amelyeket a telefon elérhet. Ezután ellenőrizze, hogy a beágyazott megvalósítás ki tudja-e fejezni ezt a szerződést.

Ez a sorrend azért fontos, mert az alternatíva a közös átjáró módosítása egyetlen telefon miatt. Minden enyhítés, amit a telefonért tesz, minden más ügyfélre is vonatkozik azon a végponton, és ez rossz üzlet egy hívásokat bonyolító eszköz esetében.

Ha a válasz az, hogy a build nem tud megfelelni a házirendnek, a tisztességes lehetőségek egy támogatott firmware vagy eszköz, illetve egy jóváhagyott átjáró-elrendezés a hangvégpontokhoz. Az alagút gyengítése nem tartozik közéjük.

Tömörítés és régi receptek

A kis eszközökre szabott régi receptek gyakran bekapcsolják a tömörítést a sávszélesség megtakarítására. Az OpenVPN 2.6 elavultnak nyilvánítja a tömörítést, és általában ellene javasol, ezért az ilyen receptből másolt konfiguráció nem jelenlegi biztonsági jóváhagyás, függetlenül attól, melyik évben írták a fórumbejegyzést.

Ugyanez vonatkozik az identitás-ellenőrzésekre. Ha egy profil csak kikapcsolt partner-ellenőrzéssel csatlakozik, a probléma a profil, nem az ellenőrzés. Javítsa a bizalmi anyagot, ahelyett hogy megtanítaná az eszközt az ellenőrzés kihagyására.

Egy eszköz, egy identitás

Három anyagnak három szerepe van. A CA bizalmi tanúsítvány lehetővé teszi a telefon számára a kibocsátó ellenőrzését. A telefon tanúsítványa azonosítja ezt a készüléket. A telefon privát kulcsa érzékeny eszközanyag, és az eszközön marad.

A CA aláírókulcs soha nem tartozik telefonra. Ahogy egy adminisztrátor laptopprofilja sem, amelyet egy egész flottára átmásolnak, és amely egy ellopott telefont minden telefon hitelesítő adatává tesz.

Az útmutató egy klienskulcs-jelszót és opcionális VPN-felhasználónév- és jelszómezőt is mutat. Ezek nem automatikusan a SIP-mellék hitelesítő adatai. Döntse el az eszköz hitelesítési rendjét, beleértve azt is, hogyan jut hozzá a szükséges bemenethez a felügyelet nélküli újraindítás után.

Juttassa el az anyagot a védett kiépítési folyamatán keresztül, és rögzítse az eszközt, a kiadott identitást és a kivonás felelősét. Amikor a készüléket cserélik, ez a nyilvántartás a különbség egy ötperces csere és egy találgatásokkal teli délután között.

Tartsa meg az adminisztrációs útvonalat

Az alagút engedélyezése előtt győződjön meg arról, hogy továbbra is eléri a telefon webes felületét vagy kiépítési útvonalát. Az eszköznek közönséges hálózati hozzáférésre van szüksége ahhoz, hogy egyáltalán elérje a VPN-végpontot, és a kezelési útvonalának nem szabad eltűnnie a regisztráció közepén.

Ha a regisztráció alatti útvonalváltozás kizárja Önt, a helyreállítás általában gyári visszaállítás és a teljes folyamat megismétlése. Tervezze meg a sorrendet, hogy ez soha ne történjen meg: építsen ki, ellenőrizze az elérhetőséget, majd engedélyezze az alagutat.

A hívást fogadja el, ne az alagutat

A SIP-fiók továbbra is külön konfiguráció. A GXP21xx útmutató az OpenVPN-telepítést a fiók VPN NAT-átjárási beállításához irányítja, ezért a telepített firmware és a PBX-terve esetében ezt az útmutatást nézze meg, ahelyett hogy STUN-, proxy- és VPN-változtatásokat kombinálna anélkül, hogy tudná, melyik tulajdonosnak van rájuk szüksége.

Ezután ellenőrizze a tervezett PBX-nevet és a privát útvonalat, erősítse meg a SIP-regisztrációt, és hajtson végre jóváhagyott bejövő és kimenő hívásokat, mindkét irányban ellenőrzött hanggal. Tesztelje a telepítés által ténylegesen igényelt hívásfunkciókat, mert a regisztrációjelző nem működő telefon.

Végül ismételje meg ellenőrzött hidegindításból és hálózati megszakítás után. Figyelje meg, hogy a telefon a tervezett sorrendben állítja-e helyre az alagutat, a fiókot és a használható hívásokat, és erősítse meg a bejelentett viselkedést, amikor az alagút nem tud csatlakozni. A GXP21xx adminisztrációs útmutató a hivatkozás a fent leírt mezőkhöz.