Cara telepon GXP21xx membangun terowongan OpenVPN sendiri

Telepon meja yang terhubung ke VPN kantor adalah titik akhir terkelola dengan firmware sendiri, identitas sendiri, dan jalur pemulihannya sendiri. Klien tertanam bukanlah pemasangan OpenVPN desktop dengan layar lebih kecil, dan memperlakukannya seperti itu justru membuat telepon menyimpan kunci bersama dan kebijakan yang tidak disetujui siapa pun. Inilah yang sebenarnya terjadi antara telepon dan gateway.

Apa yang dimuat telepon saat boot

Baca Info Sistem pada perangkat sebelum menyiapkan apa pun. Panduan administrasi GXP21xx mengidentifikasi versi program sebagai rilis firmware utama dan menampilkan bidang status dukungan OpenVPN, yang memberi tahu Anda apakah build yang Anda miliki bahkan mengklaim fitur tersebut.

Panduan itu lalu menjelaskan dua mode konfigurasi. Mode sederhana memberi bidang terpisah: alamat server, port, transport, dan materi sertifikat yang diunggah. Mode ahli menerima ZIP konfigurasi. Keduanya adalah dua jalur pemuatan berbeda ke klien yang sama, dan format bundel sama pentingnya dengan isinya.

Menjatuhkan file .ovpn desktop sembarangan ke dalam ZIP tidak menciptakan kompatibilitas. Telepon mengurai apa yang diharapkan firmwarenya, dan file yang berfungsi di laptop bisa diabaikan diam-diam di sini.

Apa yang harus dinyatakan klien

Dapatkan persyaratan profil dari operator gateway terlebih dahulu: titik akhir, transport, verifikasi rekan, autentikasi, algoritme yang diperlukan, dan sumber daya privat yang boleh dijangkau telepon. Lalu periksa apakah implementasi tertanam dapat menyatakan kontrak itu.

Urutan ini penting karena alternatifnya adalah mengubah gateway bersama demi satu telepon. Setiap pelonggaran yang Anda lakukan untuk telepon berlaku bagi setiap klien lain di titik akhir itu, dan itu pertukaran buruk untuk perangkat yang melakukan panggilan.

Jika jawabannya adalah build tidak dapat memenuhi kebijakan, pilihan jujurnya adalah firmware atau perangkat yang didukung, atau pengaturan gateway yang disetujui untuk titik akhir suara. Melemahkan terowongan bukan salah satunya.

Kompresi dan resep lama

Resep lama untuk perangkat kecil sering mengaktifkan kompresi untuk menghemat bandwidth. OpenVPN 2.6 menyatakan kompresi usang dan umumnya menyarankan untuk tidak memakainya, jadi konfigurasi yang disalin dari resep semacam itu bukan persetujuan keamanan saat ini, berapa pun tahun postingan forum itu ditulis.

Hal yang sama berlaku untuk pemeriksaan identitas. Jika profil hanya terhubung dengan verifikasi rekan dimatikan, profilnya yang bermasalah, bukan verifikasinya. Perbaiki materi kepercayaan alih-alih mengajari perangkat melewati pemeriksaan.

Satu perangkat, satu identitas

Tiga bagian materi memiliki tiga peran. Sertifikat kepercayaan CA memungkinkan telepon memverifikasi penerbit. Sertifikat telepon mengidentifikasi perangkat ini. Kunci privat telepon adalah materi perangkat yang sensitif dan tetap berada di perangkat.

Kunci penandatanganan CA tidak pernah menjadi milik telepon. Begitu pula profil laptop administrator yang disalin ke seluruh armada, yang mengubah satu telepon yang dicuri menjadi kredensial untuk setiap telepon.

Panduan ini juga menampilkan kata sandi kunci klien serta bidang opsional nama pengguna dan kata sandi VPN. Itu bukan otomatis kredensial ekstensi SIP. Tentukan pengaturan autentikasi untuk perangkat ini, termasuk bagaimana ia memperoleh masukan yang diperlukan setelah mulai ulang tanpa pengawasan.

Kirimkan materi melalui proses penyediaan terproteksi Anda, dan catat perangkat, identitas yang diterbitkan, dan pemilik penghentiannya. Saat telepon diganti, catatan itu adalah perbedaan antara penggantian lima menit dan sore penuh dugaan.

Pertahankan jalur administrasi

Sebelum mengaktifkan terowongan, pastikan Anda masih dapat menjangkau antarmuka web telepon atau jalur penyediaannya. Perangkat memerlukan akses jaringan biasa untuk mencapai titik akhir VPN, dan jalur manajemennya tidak boleh hilang di tengah pendaftaran.

Jika perubahan rute selama pendaftaran mengunci Anda di luar, pemulihannya biasanya reset pabrik dan mengulang seluruh proses. Rencanakan urutannya agar itu tidak pernah terjadi: sediakan, verifikasi keterjangkauan, lalu aktifkan terowongan.

Terima panggilannya, bukan terowongannya

Akun SIP tetap menjadi konfigurasi terpisah. Panduan GXP21xx mengarahkan penerapan OpenVPN ke pengaturan NAT-traversal VPN akun, jadi periksa panduan itu untuk firmware yang terpasang dan desain PBX Anda alih-alih menggabungkan perubahan STUN, proksi, dan VPN tanpa tahu pemilik mana yang membutuhkannya.

Lalu verifikasi nama PBX yang dimaksud dan jalur privat, konfirmasi pendaftaran SIP, dan lakukan panggilan masuk dan keluar yang disetujui dengan audio diperiksa di kedua arah. Uji fitur panggilan yang benar-benar dibutuhkan penerapan, karena indikator pendaftaran bukan telepon yang berfungsi.

Terakhir, ulangi dari boot dingin terkendali dan setelah gangguan jaringan. Amati apakah telepon memulihkan terowongan, akun, dan panggilan yang dapat digunakan dalam urutan yang dimaksud, dan konfirmasi perilaku yang dinyatakan saat terowongan tidak dapat terhubung. Panduan administrasi GXP21xx adalah referensi untuk bidang yang dijelaskan di atas.