GXP21xx 전화기가 자체 OpenVPN 터널을 만드는 방법

사무실 VPN에 연결하는 데스크폰은 자체 펌웨어와 자체 신원, 자체 복구 경로를 갖는 관리형 엔드포인트입니다. 내장 클라이언트는 화면이 작은 OpenVPN 데스크톱 설치가 아니며, 그렇게 취급하는 것이 바로 아무도 승인하지 않은 공유 키와 정책을 전화기가 떠안게 되는 이유입니다. 전화기와 게이트웨이 사이에서 실제로 일어나는 일은 다음과 같습니다.

부팅 시 전화기가 불러오는 것

무엇이든 준비하기 전에 장치에서 시스템 정보를 읽으십시오. GXP21xx 관리 안내서는 프로그램 버전을 기본 펌웨어 릴리스로 규정하고 OpenVPN 지원 상태 필드를 노출하는데, 이를 통해 보유한 빌드가 해당 기능을 아예 표방하는지 알 수 있습니다.

그다음 안내서는 두 가지 구성 모드를 설명합니다. 단순 모드는 서버 주소, 포트, 전송, 업로드한 인증서 자료를 개별 필드로 제공합니다. 전문가 모드는 구성 ZIP을 받습니다. 두 가지는 같은 클라이언트로 들어가는 서로 다른 적재 경로이며, 번들 형식은 내용만큼 중요합니다.

임의의 데스크톱 .ovpn 파일을 ZIP에 넣는다고 해서 호환성이 생기지 않습니다. 전화기는 펌웨어가 기대하는 형식을 해석하며, 노트북에서 동작하는 파일이 여기서는 조용히 무시될 수 있습니다.

클라이언트가 표현해야 하는 것

먼저 게이트웨이 운영자에게 엔드포인트, 전송, 피어 검증, 인증, 필요한 알고리즘, 그리고 전화기가 도달할 수 있는 사설 자원이라는 프로필 요구 사항을 받으십시오. 그다음 내장 구현이 그 계약을 표현할 수 있는지 확인하십시오.

이 순서가 중요한 이유는 대안이 전화기 한 대 때문에 공용 게이트웨이를 바꾸는 것이기 때문입니다. 전화기를 위해 하는 모든 완화는 해당 엔드포인트의 다른 모든 클라이언트에 적용되며, 통화를 하는 장치에게는 나쁜 거래입니다.

빌드가 정책을 충족할 수 없다는 답이라면, 정직한 선택지는 지원되는 펌웨어나 장치, 또는 음성 엔드포인트를 위한 승인된 게이트웨이 구성입니다. 터널을 약화하는 것은 그중 하나가 아닙니다.

압축과 오래된 요리법

소형 장치용 오래된 요리법은 대역폭을 아끼려고 압축을 켜는 경우가 많습니다. OpenVPN 2.6은 압축을 폐기 예정으로 규정하고 일반적으로 권장하지 않으므로, 그런 요리법에서 복사한 구성은 포럼 글이 몇 년에 작성되었든 현재의 보안 승인이 아닙니다.

신원 검사도 마찬가지입니다. 프로필이 피어 검증을 끈 상태에서만 연결된다면 문제는 검증이 아니라 프로필입니다. 장치에 검사를 건너뛰도록 가르치는 대신 신뢰 자료를 고치십시오.

하나의 장치, 하나의 신원

세 가지 자료에는 세 가지 역할이 있습니다. CA 신뢰 인증서는 전화기가 발급자를 검증하게 합니다. 전화기 인증서는 이 단말을 식별합니다. 전화기의 개인 키는 민감한 장치 자료이며 장치에 남습니다.

CA 서명 키는 절대 전화기의 것이 아닙니다. 전체 플릿에 복사된 관리자 노트북 프로필도 마찬가지이며, 그것은 도난당한 전화기 한 대를 모든 전화기의 자격 증명으로 바꿉니다.

안내서는 또한 클라이언트 키 암호와 선택적 VPN 사용자 이름 및 암호 필드를 노출합니다. 이것들이 자동으로 SIP 확장의 자격 증명은 아닙니다. 무인 재시작 후 필요한 입력을 어떻게 얻는지를 포함해 이 장치의 인증 방식을 결정하십시오.

보호된 프로비저닝 절차를 통해 자료를 전달하고 장치, 발급된 신원, 폐기 책임자를 기록하십시오. 단말을 교체할 때 그 기록이 다섯 분짜리 교체와 반나절의 추측 사이를 가릅니다.

관리 경로를 유지하십시오

터널을 활성화하기 전에 전화기의 웹 인터페이스나 프로비저닝 경로에 여전히 도달할 수 있는지 확인하십시오. 장치는 애초에 VPN 엔드포인트에 도달하려면 일반 네트워크 접근이 필요하며, 관리 경로가 등록 도중에 사라져서는 안 됩니다.

등록 중 경로 변경으로 잠기면 복구는 보통 공장 초기화와 전체 절차의 반복입니다. 그런 일이 없도록, 프로비저닝하고 도달성을 검증한 다음 터널을 활성화하는 순서로 계획하십시오.

받아들일 것은 통화이지 터널이 아님

SIP 계정은 별도의 구성으로 남습니다. GXP21xx 안내서는 OpenVPN 배포를 계정의 VPN NAT 통과 설정으로 안내하므로, 설치된 펌웨어와 PBX 설계에 대해서는 그 지침을 확인하고, 어느 소유자가 필요한지 모른 채 STUN, 프록시, VPN 변경을 결합하지 마십시오.

그다음 의도한 PBX 이름과 사설 경로를 검증하고, SIP 등록을 확인하고, 양방향으로 오디오를 점검한 승인된 착신 및 발신 통화를 수행하십시오. 등록 표시기는 동작하는 전화기가 아니므로 배포에 실제로 필요한 통화 기능을 시험하십시오.

마지막으로 통제된 콜드 스타트와 네트워크 중단 후에 반복하십시오. 전화기가 터널, 계정, 사용 가능한 통화를 의도한 순서로 복원하는지 관찰하고, 터널이 연결될 수 없을 때 선언된 동작을 확인하십시오. GXP21xx 관리 안내서가 위에서 설명한 필드의 참조입니다.