Kā GXP21xx tālrunis izveido savu OpenVPN tuneli

Biroja VPN pieslēgts galda tālrunis ir pārvaldīts galapunkts ar savu aparātprogrammatūru, savu identitāti un savu atjaunošanas ceļu. Iegultais klients nav mazāka ekrāna OpenVPN darbvirsmas instalācija, un tieši šāda attieksme noved pie tā, ka tālrunis galu galā glabā koplietotu atslēgu un politiku, kuru neviens nav apstiprinājis. Lūk, kas patiesībā notiek starp tālruni un vārteju.

Ko tālrunis ielādē palaišanas laikā

Pirms kaut ko sagatavojat, izlasiet sistēmas informāciju ierīcē. GXP21xx administrēšanas rokasgrāmata programmas versiju nosauc par galveno aparātprogrammatūras laidienu un parāda OpenVPN atbalsta statusa lauku, kas pasaka, vai jūsu rīcībā esošā būvējums vispār apgalvo, ka tam ir šī funkcija.

Pēc tam rokasgrāmata apraksta divus konfigurācijas režīmus. Vienkāršais režīms dod atsevišķus laukus: servera adrese, ports, transports un augšupielādētais sertifikāta materiāls. Ekspertu režīms pieņem konfigurācijas ZIP. Tie ir divi dažādi ielādes ceļi uz vienu un to pašu klientu, un pakotnes formāts ir tikpat svarīgs kā saturs.

Patvaļīga darbvirsmas .ovpn faila iemetšana ZIP failā nerada savietojamību. Tālrunis analizē to, ko gaida tā aparātprogrammatūra, un fails, kas darbojas klēpjdatorā, šeit var tikt klusi ignorēts.

Kas klientam ir jāizsaka

Vispirms iegūstiet profila prasības no vārtejas operatora: galapunkts, transports, partnera pārbaude, autentifikācija, nepieciešamie algoritmi un privātie resursi, kurus tālrunis drīkst sasniegt. Pēc tam pārbaudiet, vai iegultā implementācija spēj izteikt šo līgumu.

Šī secība ir svarīga, jo alternatīva ir mainīt koplietoto vārteju viena tālruņa dēļ. Katrs atvieglojums, ko veicat tālrunim, attiecas uz visiem citiem klientiem šajā galapunktā, un tas ir slikts darījums ierīcei, kas veic zvanus.

Ja atbilde ir, ka būvējums nevar izpildīt politiku, godīgās iespējas ir atbalstīta aparātprogrammatūra vai ierīce, vai apstiprināts vārtejas risinājums balss galapunktiem. Tuneļa vājināšana nav viena no tām.

Saspiešana un vecās receptes

Vecākas receptes mazām ierīcēm bieži ieslēdz saspiešanu, lai ietaupītu joslas platumu. OpenVPN 2.6 pasludina saspiešanu par novecojušu un parasti to neiesaka, tāpēc no šādas receptes kopēta konfigurācija nav pašreizējs drošības apstiprinājums, neatkarīgi no tā, kurā gadā forums ieraksts tika rakstīts.

Tas pats attiecas uz identitātes pārbaudēm. Ja profils pieslēdzas tikai ar izslēgtu partnera pārbaudi, problēma ir profilā, nevis pārbaudē. Salabojiet uzticības materiālu, tā vietā lai mācītu ierīcei izlaist pārbaudi.

Viena ierīce, viena identitāte

Trim materiāla daļām ir trīs lomas. CA uzticības sertifikāts ļauj tālrunim pārbaudīt izdevēju. Tālruņa sertifikāts identificē šo aparātu. Tālruņa privātā atslēga ir jutīgs ierīces materiāls un paliek ierīcē.

CA parakstīšanas atslēga nekad nepieder tālrunim. Tāpat ne administratora klēpjdatora profils, kas nokopēts visā parkā un pārvērš vienu nozagtu tālruni par akreditācijas datiem katram tālrunim.

Rokasgrāmata parāda arī klienta atslēgas paroli un neobligātos VPN lietotājvārda un paroles laukus. Tie automātiski nav SIP paplašinājuma akreditācijas dati. Izlemiet šīs ierīces autentifikācijas kārtību, tostarp to, kā tā iegūst nepieciešamo ievadi pēc neuzraudzītas restartēšanas.

Piegādājiet materiālu ar savu aizsargāto nodrošināšanas procesu un reģistrējiet ierīci, izsniegto identitāti un izņemšanas īpašnieku. Kad tālrunis tiek nomainīts, šis ieraksts ir atšķirība starp piecu minūšu nomaiņu un pēcpusdienu minējumu.

Saglabājiet administrēšanas ceļu

Pirms iespējojat tuneli, pārliecinieties, ka joprojām varat sasniegt tālruņa tīmekļa saskarni vai nodrošināšanas ceļu. Ierīcei ir vajadzīga parasta tīkla piekļuve, lai vispār sasniegtu VPN galapunktu, un tās pārvaldības ceļam nevajadzētu pazust reģistrācijas vidū.

Ja maršruta maiņa reģistrācijas laikā jūs izslēdz, atjaunošana parasti ir rūpnīcas atiestatīšana un visas procedūras atkārtošana. Plānojiet secību tā, lai tas nekad nenotiktu: nodrošiniet, pārbaudiet sasniedzamību, pēc tam iespējojiet tuneli.

Pieņemiet zvanu, nevis tuneli

SIP konts paliek atsevišķa konfigurācija. GXP21xx rokasgrāmata novirza OpenVPN izvietošanu uz konta VPN NAT šķērsošanas iestatījumu, tāpēc skatiet šo norādi instalētajai aparātprogrammatūrai un savam PBX dizainam, nevis apvienojiet STUN, starpniekservera un VPN izmaiņas, nezinot, kuram īpašniekam tās vajadzīgas.

Pēc tam pārbaudiet paredzēto PBX nosaukumu un privāto ceļu, apstipriniet SIP reģistrāciju un veiciet apstiprinātus ienākošos un izejošos zvanus ar abos virzienos pārbaudītu audio. Pārbaudiet zvanu funkcijas, kas izvietošanai patiešām vajadzīgas, jo reģistrācijas indikators nav strādājošs tālrunis.

Visbeidzot atkārtojiet no kontrolētas aukstās palaišanas un pēc tīkla pārtraukuma. Vērojiet, vai tālrunis atjauno tuneli, kontu un lietojamos zvanus paredzētajā secībā, un apstipriniet deklarēto uzvedību, kad tunelis nevar izveidot savienojumu. GXP21xx administrēšanas rokasgrāmata ir atsauce uz iepriekš aprakstītajiem laukiem.