Wéi en GXP21xx-Telefon säin eegenen OpenVPN-Tunnel baut

En Desktelefon, dee sech mam Büro-VPN verbënnt, ass en verwalteten Endpunkt mat senger eegener Firmware, senger eegener Identitéit a sengem eegene Wiederhierstellungswee. Den agebaute Client ass keng Desktop-Installatioun vum OpenVPN mat engem méi klengen Ecran, a genee esou Behandlung ass de Grond, datt en Telefon am Schluss eng gedeelte Schlëssel an eng Politik hält, déi keen approuvéiert huet. Hei ass, wat tatsächlech tëscht dem Telefon an dem Gateway geschitt.

Wat den Telefon beim Start lued

Liest d'Systeminformatiounen um Apparat, ier Dir eppes virbereed. D'Administratiounshandbuch vum GXP21xx bezeechent d'Programmversioun als Haaptfirmware-Release a weist en OpenVPN-Ënnerstëtzungsstatus-Feld, dat Iech seet, ob de Build, deen Dir hutt, dës Funktioun iwwerhaapt behaapt.

Duerno beschreift d'Handbuch zwou Konfiguratiounsmodi. De einfache Modus gëtt Iech eenzel Felder: Serveradress, Port, Transport an eropgeluedent Zertifikatsmaterial. Den Expertenmodus hëlt eng Konfiguratiouns-ZIP. Dat sinn zwou verschidde Luedweeër an dee selwechte Client, an d'Paketformat zielt genee esou vill wéi den Inhalt.

Eng arbiträr Desktop-.ovpn-Datei an eng ZIP ze geheien, schaaft keng Kompatibilitéit. Den Telefon analyséiert, wat seng Firmware erwaart, an eng Datei, déi um Laptop funktionéiert, kann hei stëll ignoréiert ginn.

Wat de Client muss ausdrécken

Hutt d'Profilufuerderunge fir d'éischt beim Gateway-Betreiber: Endpunkt, Transport, Peer-Verifikatioun, Authentifikatioun, erfuerderlech Algorithmen an déi privat Ressourcen, déi den Telefon erreeche kann. Préift duerno, ob déi agebaut Implementatioun dee Kontrakt ausdrécke kann.

Dës Uerdnung ass wichteg, well d'Alternativ ass, de gemeinsamen Gateway fir een eenzegen Telefon ze änneren. All Erliichterung, déi Dir fir den Telefon maacht, gëllt fir all anere Client op deem Endpunkt, an dat ass en schlechten Tausch fir en Apparat, dee telephonéiert.

Wann d'Äntwert ass, datt de Build d'Politik net erfëlle kann, dann sinn déi éierlech Optiounen eng ënnerstëtzt Firmware oder en Apparat, oder eng approuvéiert Gateway-Reegelung fir Stëmm-Endpunkten. Den Tunnel ze schwächen ass net eng dovun.

Kompressioun an al Rezepter

Älter Rezepter fir kleng Apparater aktivéieren dacks d'Kompressioun, fir Bandbreet ze spueren. OpenVPN 2.6 erkläert d'Kompressioun als iwwerholl a rät allgemeng dovun of, dofir ass eng Konfiguratioun, déi aus sou engem Rezept kopéiert gouf, keng aktuell Sécherheetsapprouvatioun, egal a wéi engem Joer de Forumsbäitrag geschriwwe gouf.

Datselwecht gëllt fir Identitéitskontrollen. Wann e Profil nëmme mat ausgeschaltener Peer-Verifikatioun verbënnt, ass de Profil de Problem, net d'Verifikatioun. Reparéiert d'Vertrauensmaterial, amplaz dem Apparat bäizebréngen, d'Kontroll ze iwwersprangen.

Een Apparat, eng Identitéit

Dräi Stécker Material hunn dräi Rollen. Den CA-Vertrauenszertifikat erlaabt dem Telefon, den Aussteller ze verifizéieren. Den Telefonzertifikat identifizéiert dësen Apparat. De privaten Schlëssel vum Telefon ass sensibelt Apparatmaterial a bleift um Apparat.

Den CA-Signaturschlëssel gehéiert ni op en Telefon. Och net de Laptop-Profil vun engem Administrateur, deen iwwer eng Flott kopéiert gëtt, wat een geklauten Telefon an en Zertifikat fir all Telefon ëmwandelt.

D'Handbuch weist och e Client-Schlëssel-Passwuert an optional Felder fir VPN-Benotzernumm a Passwuert. Déi sinn net automatesch d'Zertifikater vun der SIP-Erweiderung. Entscheet d'Authentifikatiounsreegelung fir dësen Apparat, och wéi en no engem onbewaachten Neistart déi néideg Input kritt.

Liwwert d'Material iwwer Ären geschützte Bereitstellungsprozess a registréiert den Apparat, déi ausgestallt Identitéit an den Owner vum Ofbau. Wann den Telefon ersat gëtt, ass déi Registrierung den Ënnerscheed tëscht engem fënnefminüttegen Tausch an engem Nomëtteg voller Vermutungen.

Halt den Administratiounswee op

Ier Dir den Tunnel aktivéiert, bestätegt, datt Dir nach ëmmer d'Webinterface vum Telefon oder de Bereitstellungswee erreecht. Den Apparat brauch normalen Netzwierkzougang, fir iwwerhaapt den VPN-Endpunkt z'erreechen, a säi Verwaltungswee sollt net an der Mëtt vun der Umeldung verschwannen.

Wann eng Routenännerung während der Umeldung Iech ausspäert, ass d'Erhuelung meeschtens e Fabrécksreset an eng Widderhuelung vum ganze Prozess. Plangt d'Uerdnung esou, datt dat ni geschitt: bereet vir, kontrolléiert d'Erreechbarkeet, aktivéiert duerno den Tunnel.

Akzeptéiert den Uruff, net den Tunnel

De SIP-Konto bleift eng separat Konfiguratioun. D'GXP21xx-Handbuch leet eng OpenVPN-Bereitstellung op d'VPN-NAT-Traversals-Astellung vum Konto, dofir kuckt déi Uleedung fir déi installéiert Firmware an Ären PBX-Design, amplaz STUN-, Proxy- an VPN-Ännerungen ze kombinéieren, ouni ze wëssen, wéi en Owner se brauch.

Préift duerno den ugedaachte PBX-Numm an de private Wee, bestätegt d'SIP-Umeldung a maacht approuvéiert erakommend an erausgänglech Uruff mat kontrolléiertem Audio a béide Richtungen. Test déi Urufffunktiounen, déi d'Bereitstellung wierklech brauch, well eng Umeldungsindikatioun kee funktionéierenden Telefon ass.

Zum Schluss widderhëlt aus engem kontrolléierte Kaltstart an no enger Netzwierkënnerbriechung. Observéiert, ob den Telefon den Tunnel, de Konto an notzbar Uruff an der ugedaachter Uerdnung restauréiert, a bestätegt dat deklaréiert Verhalen, wann den Tunnel sech net verbënne kann. D'Administratiounshandbuch vum GXP21xx ass d'Referenz fir d'Felder, déi uewe beschriwwe sinn.