როგორ აშენებს GXP21xx ტელეფონი საკუთარ OpenVPN გვირაბს

საოფისე VPN-ზე მიერთებული დესკტოპ ტელეფონი არის მართული საბოლოო წერტილი საკუთარი firmware-ით, საკუთარი იდენტობით და საკუთარი აღდგენის გზით. ჩაშენებული კლიენტი არ არის უფრო პატარა ეკრანის მქონე დესკტოპ OpenVPN ინსტალაცია და სწორედ ასე მოპყრობა იწვევს იმას, რომ ტელეფონი ინახავს საერთო გასაღებს და პოლიტიკას, რომელიც არავის დაუმტკიცებია. აი რა ხდება სინამდვილეში ტელეფონსა და კარიბჭეს შორის.

რას ტვირთავს ტელეფონი ჩატვირთვისას

სანამ რამეს მოამზადებთ, წაიკითხეთ სისტემის ინფორმაცია მოწყობილობაზე. GXP21xx-ის ადმინისტრირების გზამკვლევი პროგრამის ვერსიას მთავარ firmware-გამოშვებად მიიჩნევს და აჩვენებს OpenVPN-ის მხარდაჭერის სტატუსის ველს, რომელიც გეუბნებათ, საერთოდ აცხადებს თუ არა თქვენი ნაწყობი ამ ფუნქციას.

შემდეგ გზამკვლევი აღწერს კონფიგურაციის ორ რეჟიმს. მარტივი რეჟიმი ცალკეულ ველებს გაძლევთ: სერვერის მისამართი, პორტი, ტრანსპორტი და ატვირთული სერტიფიკატის მასალა. ექსპერტ რეჟიმი იღებს კონფიგურაციის ZIP-ს. ეს ერთი და იმავე კლიენტის ჩატვირთვის ორი განსხვავებული გზაა და პაკეტის ფორმატი ისე მნიშვნელოვანია, როგორც შიგთავსი.

თვითნებური დესკტოპ .ovpn ფაილის ZIP-ში ჩაგდება თავსებადობას არ ქმნის. ტელეფონი აანალიზებს იმას, რასაც მისი firmware ელოდება და ლეპტოპზე მომუშავე ფაილი აქ შეიძლება ჩუმად იქნას უგულებელყოფილი.

რა უნდა გამოხატოს კლიენტმა

ჯერ კარიბჭის ოპერატორისგან მიიღეთ პროფილის მოთხოვნები: საბოლოო წერტილი, ტრანსპორტი, პარტნიორის შემოწმება, ავთენტიფიკაცია, საჭირო ალგორითმები და ის კერძო რესურსები, რომლებზეც ტელეფონს წვდომა შეუძლია. შემდეგ შეამოწმეთ, შეუძლია თუ არა ჩაშენებულ იმპლემენტაციას ამ ხელშეკრულების გამოხატვა.

ეს თანმიმდევრობა მნიშვნელოვანია, რადგან ალტერნატივა ერთი ტელეფონის გამო საერთო კარიბჭის შეცვლაა. ყოველი შერბილება, რომელსაც ტელეფონისთვის აკეთებთ, ვრცელდება ამ საბოლოო წერტილის ყველა სხვა კლიენტზე და ეს ცუდი გაცვლაა ზარებს რომ აკეთებს, იმ მოწყობილობისთვის.

თუ პასუხია, რომ ნაწყობი პოლიტიკას ვერ აკმაყოფილებს, პატიოსანი ვარიანტებია მხარდაჭერილი firmware ან მოწყობილობა, ან ხმოვანი საბოლოო წერტილებისთვის დამტკიცებული კარიბჭის მოწყობა. გვირაბის შესუსტება მათ შორის არ არის.

შეკუმშვა და ძველი რეცეპტები

პატარა მოწყობილობებისთვის ძველი რეცეპტები ხშირად რთავს შეკუმშვას გამტარობის დასაზოგად. OpenVPN 2.6 შეკუმშვას მოძველებულად აცხადებს და ზოგადად წინააღმდეგია, ამიტომ ასეთი რეცეპტიდან კოპირებული კონფიგურაცია დღევანდელი უსაფრთხოების დამტკიცება არ არის, რა წელსაც არ უნდა იყოს დაწერილი ფორუმის პოსტი.

იგივე ეხება იდენტობის შემოწმებებს. თუ პროფილი მხოლოდ გამორთული პარტნიორის შემოწმებით უკავშირდება, პრობლემა პროფილია და არა შემოწმება. გაასწორეთ ნდობის მასალა იმის ნაცვლად, რომ მოწყობილობას შემოწმების გამოტოვება ასწავლოთ.

ერთი მოწყობილობა, ერთი იდენტობა

მასალის სამ ნაწილს სამი როლი აქვს. CA-ს ნდობის სერტიფიკატი ტელეფონს გამომცემლის შემოწმების საშუალებას აძლევს. ტელეფონის სერტიფიკატი ამ აპარატს იდენტიფიცირებს. ტელეფონის კერძო გასაღები მგრძნობიარე მოწყობილობის მასალაა და მოწყობილობაზე რჩება.

CA-ს ხელმოწერის გასაღები არასოდეს ეკუთვნის ტელეფონს. არც ადმინისტრატორის ლეპტოპის პროფილი, რომელიც მთელ ფლოტზე კოპირდება და ერთ მოპარულ ტელეფონს ყველა ტელეფონის სერთიფიკატად აქცევს.

გზამკვლევი ასევე აჩვენებს კლიენტის გასაღების პაროლს და VPN-ის მომხმარებლის სახელისა და პაროლის არასავალდებულო ველებს. ეს ავტომატურად SIP გაფართოების სერთიფიკატები არ არის. გადაწყვიტეთ ამ მოწყობილობის ავთენტიფიკაციის წესი, მათ შორის როგორ იღებს საჭირო შეყვანას უყურადღებო გადატვირთვის შემდეგ.

გადასცეთ მასალა თქვენი დაცული უზრუნველყოფის პროცესით და ჩაწერეთ მოწყობილობა, გაცემული იდენტობა და გატანის მფლობელი. როცა ტელეფონს შეცვლიან, ეს ჩანაწერი არის განსხვავება ხუთწუთიან ჩანაცვლებასა და ვარაუდებით სავსე შუადღეს შორის.

შეინარჩუნეთ ადმინისტრირების გზა

გვირაბის ჩართვამდე დაადასტურეთ, რომ ჯერ კიდევ აღწევთ ტელეფონის ვებ ინტერფეისს ან უზრუნველყოფის გზას. მოწყობილობას VPN-ის საბოლოო წერტილამდე მისასვლელად ჩვეულებრივი ქსელური წვდომა სჭირდება და მისი მართვის გზა რეგისტრაციის შუაში არ უნდა გაქრეს.

თუ რეგისტრაციის დროს მარშრუტის ცვლილება გაგიკეტავთ, აღდგენა ჩვეულებრივ ქარხნული გადაყენება და მთელი პროცესის გამეორებაა. დაგეგმეთ თანმიმდევრობა ისე, რომ ეს არასოდეს მოხდეს: უზრუნველყავით, შეამოწმეთ ხელმისაწვდომობა, შემდეგ ჩართეთ გვირაბი.

მიიღეთ ზარი და არა გვირაბი

SIP ანგარიში ცალკე კონფიგურაციად რჩება. GXP21xx-ის გზამკვლევი OpenVPN-ის განლაგებას ანგარიშის VPN NAT-გავლის პარამეტრზე მიმართავს, ამიტომ დაათვალიერეთ ეს მითითება დაყენებული firmware-ისა და თქვენი PBX დიზაინისთვის, ნაცვლად იმისა, რომ STUN, პროქსისა და VPN-ის ცვლილებები გააერთიანოთ იმის ცოდნის გარეშე, რომელ მფლობელს სჭირდება ისინი.

შემდეგ შეამოწმეთ განზრახული PBX სახელი და კერძო გზა, დაადასტურეთ SIP რეგისტრაცია და განახორციელეთ დამტკიცებული შემომავალი და გამავალი ზარები ორივე მიმართულებით შემოწმებული ხმით. გამოსცადეთ ის ზარის ფუნქციები, რომლებიც განლაგებას ნამდვილად სჭირდება, რადგან რეგისტრაციის ინდიკატორი მომუშავე ტელეფონი არ არის.

და ბოლოს, გაიმეორეთ კონტროლირებული ცივი გაშვებიდან და ქსელის შეწყვეტის შემდეგ. დააკვირდით, აღადგენს თუ არა ტელეფონი გვირაბს, ანგარიშს და გამოსაყენებელ ზარებს განზრახული თანმიმდევრობით, და დაადასტურეთ გამოცხადებული ქცევა, როცა გვირაბი ვერ უკავშირდება. GXP21xx-ის ადმინისტრირების გზამკვლევი წყაროა ზემოთ აღწერილი ველებისთვის.