Kaip GXP21xx telefonas susikuria savo OpenVPN tunelį

Prie biuro VPN prisijungiantis stalinis telefonas yra valdomas galinis taškas su savo programine įranga, savo tapatybe ir savo atkūrimo keliu. Įtaisytasis klientas nėra mažesnio ekrano OpenVPN darbalaukio diegimas, ir būtent toks požiūris lemia, kad telefonas galiausiai laiko bendrą raktą ir politiką, kurios niekas nepatvirtino. Štai kas iš tikrųjų vyksta tarp telefono ir šliuzo.

Ką telefonas įkelia paleidžiant

Prieš ką nors ruošdami perskaitykite sistemos informaciją įrenginyje. GXP21xx administravimo vadovas programos versiją nurodo kaip pagrindinį programinės įrangos leidimą ir rodo OpenVPN palaikymo būsenos lauką, kuris pasako, ar jūsų turimas rinkinys apskritai teigia turintis šią funkciją.

Tada vadovas aprašo du konfigūravimo režimus. Paprastas režimas pateikia atskirus laukus: serverio adresą, prievadą, transportą ir įkeltą sertifikato medžiagą. Ekspertinis režimas priima konfigūracijos ZIP. Tai du skirtingi įkėlimo keliai į tą patį klientą, o paketo formatas svarbus tiek pat, kiek turinys.

Bet kokio darbalaukio .ovpn failo įmetimas į ZIP nesukuria suderinamumo. Telefonas analizuoja tai, ko tikisi jo programinė įranga, o nešiojamajame kompiuteryje veikiantis failas čia gali būti tyliai ignoruojamas.

Ką klientas turi išreikšti

Pirmiausia gaukite profilio reikalavimus iš šliuzo operatoriaus: galinis taškas, transportas, partnerio tikrinimas, autentifikavimas, reikalingi algoritmai ir privatūs ištekliai, kuriuos telefonas gali pasiekti. Tada patikrinkite, ar įtaisytoji realizacija gali išreikšti tą sutartį.

Ši tvarka svarbi, nes alternatyva yra keisti bendrą šliuzą dėl vieno telefono. Kiekvienas palengvinimas, kurį darote telefonui, galioja visiems kitiems to galinio taško klientams, ir tai blogas mainas įrenginiui, kuris skambina.

Jei atsakymas yra, kad rinkinys negali atitikti politikos, sąžiningi variantai yra palaikoma programinė įranga arba įrenginys, arba patvirtinta šliuzo tvarka balso galiniams taškams. Tunelio silpninimas nėra vienas iš jų.

Suspaudimas ir seni receptai

Senesni mažų įrenginių receptai dažnai įjungia suspaudimą, kad sutaupytų pralaidumo. OpenVPN 2.6 skelbia suspaudimą pasenusiu ir paprastai jo nerekomenduoja, todėl iš tokio recepto nukopijuota konfigūracija nėra dabartinis saugumo patvirtinimas, nesvarbu, kuriais metais buvo parašytas forumo įrašas.

Tas pats galioja tapatybės patikroms. Jei profilis jungiasi tik su išjungtu partnerio tikrinimu, problema yra profilis, o ne tikrinimas. Pataisykite pasitikėjimo medžiagą, o ne mokykite įrenginį praleisti patikrą.

Vienas įrenginys, viena tapatybė

Trys medžiagos dalys turi tris vaidmenis. CA pasitikėjimo sertifikatas leidžia telefonui patikrinti išdavėją. Telefono sertifikatas identifikuoja šį aparatą. Telefono privatusis raktas yra jautri įrenginio medžiaga ir lieka įrenginyje.

CA parašo raktas niekada nepriklauso telefonui. Taip pat administratoriaus nešiojamojo kompiuterio profilis, nukopijuotas per visą parką, kuris vieną pavogtą telefoną paverčia kiekvieno telefono prisijungimo duomenimis.

Vadovas taip pat rodo kliento rakto slaptažodį ir neprivalomus VPN vartotojo vardo bei slaptažodžio laukus. Jie automatiškai nėra SIP plėtinio prisijungimo duomenys. Nuspręskite šio įrenginio autentifikavimo tvarką, įskaitant tai, kaip jis gauna reikiamą įvestį po neprižiūrimo perkrovimo.

Pristatykite medžiagą per savo apsaugotą aprūpinimo procesą ir užregistruokite įrenginį, išduotą tapatybę ir išėmimo savininką. Kai telefonas pakeičiamas, tas įrašas yra skirtumas tarp penkių minučių keitimo ir visos popietės spėlionių.

Išsaugokite administravimo kelią

Prieš įjungdami tunelį patvirtinkite, kad vis dar pasiekiate telefono žiniatinklio sąsają arba aprūpinimo kelią. Įrenginiui reikia įprastos tinklo prieigos, kad apskritai pasiektų VPN galinį tašką, o jo valdymo kelias neturėtų dingti registracijos viduryje.

Jei maršruto pakeitimas registracijos metu jus užrakina, atkūrimas paprastai yra gamyklinis atstatymas ir viso proceso kartojimas. Suplanuokite tvarką taip, kad tai niekada neįvyktų: aprūpinkite, patikrinkite pasiekiamumą, tada įjunkite tunelį.

Priimkite skambutį, o ne tunelį

SIP paskyra lieka atskira konfigūracija. GXP21xx vadovas OpenVPN diegimą nukreipia į paskyros VPN NAT perėjimo nustatymą, todėl pasidomėkite ta nuoroda, skirta įdiegtai programinei įrangai ir jūsų PBX dizainui, o ne jungkite STUN, tarpinio serverio ir VPN pakeitimus nežinodami, kuriam savininkui jų reikia.

Tada patikrinkite numatytą PBX pavadinimą ir privatų kelią, patvirtinkite SIP registraciją ir atlikite patvirtintus įeinančius bei išeinančius skambučius su abiem kryptimis patikrintu garsu. Išbandykite skambučių funkcijas, kurių diegimui tikrai reikia, nes registracijos indikatorius nėra veikiantis telefonas.

Galiausiai pakartokite iš kontroliuojamo šalto paleidimo ir po tinklo sutrikimo. Stebėkite, ar telefonas atkuria tunelį, paskyrą ir naudojamus skambučius numatyta tvarka, ir patvirtinkite deklaruotą elgesį, kai tunelis negali prisijungti. GXP21xx administravimo vadovas yra nuoroda aukščiau aprašytiems laukams.