Come un telefono GXP21xx costruisce il proprio tunnel OpenVPN

Un telefono da scrivania che si collega alla VPN dell'ufficio è un endpoint gestito con firmware proprio, identità propria e percorso di ripristino proprio. Il client incorporato non è un'installazione desktop di OpenVPN con uno schermo più piccolo, e trattarlo come tale è il modo in cui un apparecchio finisce per custodire una chiave condivisa e una policy che nessuno ha approvato. Ecco cosa accade davvero tra il telefono e il gateway.

Cosa carica il telefono all'avvio

Leggi le informazioni di sistema sul dispositivo prima di preparare qualsiasi cosa. La guida amministrativa del GXP21xx identifica la versione del programma come rilascio firmware principale ed espone un campo di stato del supporto OpenVPN, che ti dice se la build in tuo possesso dichiara persino la funzione.

Poi la guida descrive due modalità di configurazione. La modalità semplice offre campi separati: indirizzo del server, porta, trasporto e materiale del certificato caricato. La modalità esperto accetta un ZIP di configurazione. Sono due percorsi di caricamento diversi verso lo stesso client, e il formato del pacchetto conta quanto il contenuto.

Mettere un file .ovpn desktop arbitrario dentro un ZIP non stabilisce compatibilità. Il telefono analizza ciò che il suo firmware si aspetta, e un file che funziona su un portatile qui può essere ignorato in silenzio.

Cosa deve esprimere il client

Ottieni prima i requisiti del profilo dall'operatore del gateway: endpoint, trasporto, verifica del peer, autenticazione, algoritmi richiesti e le risorse private che il telefono può raggiungere. Poi verifica se l'implementazione incorporata può esprimere quel contratto.

Quest'ordine conta perché l'alternativa è cambiare il gateway condiviso per un solo apparecchio. Ogni allentamento che fai per il telefono vale per ogni altro client su quell'endpoint, ed è un cattivo scambio per un dispositivo che effettua chiamate.

Se la risposta è che la build non può rispettare la policy, le opzioni oneste sono un firmware o un dispositivo supportato, oppure un assetto di gateway approvato per gli endpoint vocali. Indebolire il tunnel non è una di queste.

Compressione e ricette legacy

Le vecchie ricette per i piccoli dispositivi spesso attivano la compressione per risparmiare larghezza di banda. OpenVPN 2.6 dichiara la compressione obsoleta e in genere la sconsiglia, quindi una configurazione copiata da una ricetta del genere non è un'approvazione di sicurezza attuale, qualunque sia l'anno in cui è stato scritto il post del forum.

Lo stesso vale per i controlli di identità. Se un profilo si collega solo con la verifica del peer disattivata, il problema è il profilo, non la verifica. Correggi il materiale di fiducia invece di insegnare al dispositivo a saltare il controllo.

Un dispositivo, un'identità

Tre elementi di materiale hanno tre ruoli. Il certificato di fiducia della CA consente al telefono di verificare l'emittente. Il certificato del telefono identifica questo apparecchio. La chiave privata del telefono è materiale sensibile del dispositivo e resta sul dispositivo.

La chiave di firma della CA non appartiene mai a un telefono. Nemmeno il profilo di un portatile dell'amministratore copiato su tutta la flotta, che trasforma un telefono rubato in una credenziale per ogni telefono.

La guida espone anche una password della chiave client e campi opzionali per nome utente e password VPN. Non sono automaticamente le credenziali dell'estensione SIP. Decidi l'assetto di autenticazione per questo dispositivo, incluso come ottiene gli input necessari dopo un riavvio senza supervisione.

Consegna il materiale tramite il tuo processo di provisionamento protetto e registra il dispositivo, l'identità emessa e il responsabile della dismissione. Quando l'apparecchio viene sostituito, quella registrazione è la differenza tra una sostituzione di cinque minuti e un pomeriggio di supposizioni.

Mantieni il percorso di amministrazione

Prima di abilitare il tunnel, conferma di poter ancora raggiungere l'interfaccia web o il percorso di provisionamento del telefono. Il dispositivo ha bisogno di un accesso di rete ordinario per raggiungere l'endpoint VPN, e il suo percorso di gestione non dovrebbe sparire a metà registrazione.

Se un cambio di rotta durante la registrazione ti blocca fuori, il ripristino è di solito un reset di fabbrica e la ripetizione dell'intera procedura. Pianifica l'ordine perché ciò non accada mai: esegui il provisionamento, verifica la raggiungibilità, poi abilita il tunnel.

Accetta la chiamata, non il tunnel

L'account SIP resta una configurazione separata. La guida del GXP21xx indirizza un deployment OpenVPN verso l'impostazione di attraversamento NAT della VPN dell'account, quindi consulta quella indicazione per il firmware installato e il tuo progetto PBX invece di combinare modifiche a STUN, proxy e VPN senza sapere quale proprietario ne ha bisogno.

Poi verifica il nome PBX previsto e il percorso privato, conferma la registrazione SIP ed effettua chiamate in entrata e in uscita approvate con audio controllato in entrambe le direzioni. Prova le funzioni di chiamata di cui il deployment ha davvero bisogno, perché un indicatore di registrazione non è un telefono funzionante.

Infine, ripeti da un avvio a freddo controllato e dopo un'interruzione di rete. Osserva se il telefono ripristina il tunnel, l'account e le chiamate utilizzabili nell'ordine previsto, e conferma il comportamento dichiarato quando il tunnel non riesce a connettersi. La guida amministrativa del GXP21xx è il riferimento per i campi descritti sopra.