Како телефон GXP21xx гради сопствен OpenVPN тунел

Десктоп телефон што се поврзува со канцеларискиот VPN е управувана крајна точка со сопствен фирмвер, сопствен идентитет и сопствена патека за враќање. Вградениот клиент не е десктоп инсталација на OpenVPN со помал екран, и токму таквиот третман е причината што телефонот на крајот држи споделен клуч и политика што никој не ја одобрил. Еве што навистина се случува меѓу телефонот и портата.

Што вчитува телефонот при подигнување

Прочитајте системски информации на уредот пред да подготвите нешто. Административниот водич за GXP21xx ја наведува верзијата на програмата како главно издание на фирмверот и прикажува поле за статусот на поддршка на OpenVPN, што ви кажува дали вашата изградба воопшто ја тврди таа функција.

Потоа водичот опишува два режима на конфигурација. Едноставниот режим дава одделни полиња: адреса на серверот, порта, транспорт и подигнат материјал за сертификат. Експертскиот режим прифаќа ZIP за конфигурација. Тоа се две различни патеки за вчитување во истиот клиент, а форматот на пакетот е исто толку важен како содржината.

Ставањето произволна десктоп .ovpn датотека во ZIP не воспоставува компатибилност. Телефонот го анализира тоа што го очекува неговиот фирмвер, а датотека што работи на преносен компјутер овде може тивко да биде игнорирана.

Што треба да изрази клиентот

Прво земете ги барањата за профилот од операторот на портата: крајна точка, транспорт, проверка на партнерот, автентикација, потребни алгоритми и приватните ресурси до кои телефонот смее да стигне. Потоа проверете дали вградената имплементација може да го изрази тој договор.

Овој редослед е важен зашто алтернативата е менување на заедничката порта за еден телефон. Секое олеснување што го правите за телефонот важи за секој друг клиент на таа крајна точка, а тоа е лоша размена за уред што прави повици.

Ако одговорот е дека изградбата не може да ја исполни политиката, чесните опции се поддржан фирмвер или уред, или одобрена портална поставеност за гласовни крајни точки. Слабеењето на тунелот не е една од нив.

Компресија и стари рецепти

Постарите рецепти за мали уреди често вклучуваат компресија за да заштедат пропусен опсег. OpenVPN 2.6 ја прогласува компресијата за застарена и генерално не ја препорачува, па конфигурација копирана од таков рецепт не е тековно безбедносно одобрување, без оглед на годината кога е напишана објавата на форумот.

Истото важи и за проверките на идентитетот. Ако профилот се поврзува само со исклучена проверка на партнерот, проблемот е во профилот, а не во проверката. Поправете го материјалот за доверба наместо да го учите уредот да ја прескокнува проверката.

Еден уред, еден идентитет

Три парчиња материјал имаат три улоги. Сертификатот за доверба на CA му овозможува на телефонот да го провери издавачот. Сертификатот на телефонот го идентификува овој апарат. Приватниот клуч на телефонот е чувствителен материјал на уредот и останува на уредот.

Клучот за потпишување на CA никогаш не припаѓа на телефон. Ниту профилот на преносен компјутер на администратор копиран низ целата флота, што го претвора еден украден телефон во акредитив за секој телефон.

Водичот исто така прикажува лозинка за клучот на клиентот и опционални полиња за корисничко име и лозинка за VPN. Тие не се автоматски акредитивите на SIP екстензијата. Одлучете го распоредот за автентикација за овој уред, вклучително како ги добива потребните внесувања по негледано рестартирање.

Доставете го материјалот преку вашиот заштитен процес за обезбедување и запишете го уредот, издадениот идентитет и сопственикот на повлекувањето. Кога телефонот се заменува, тој запис е разликата меѓу петминутна замена и попладне исполнето со претпоставки.

Задржете ја административната патека

Пред да го вклучите тунелот, потврдете дека сѐ уште можете да стигнете до веб-интерфејсот на телефонот или патеката за обезбедување. Уредот бара обичен мрежен пристап за воопшто да стигне до крајната точка на VPN, а неговата управувачка патека не треба да исчезне на половина од регистрацијата.

Ако промена на рутата за време на регистрацијата ве заклучи надвор, враќањето обично е фабричко ресетирање и повторување на целиот процес. Планирајте го редоследот така што тоа никогаш да не се случи: обезбедете, проверете достапност, па вклучете го тунелот.

Прифатете го повикот, не тунелот

SIP сметката останува одделна конфигурација. Водичот за GXP21xx го насочува распоредувањето на OpenVPN кон поставката за VPN NAT-пробив на сметката, затоа проверете го тоа упатство за инсталираниот фирмвер и вашиот PBX дизајн наместо да комбинирате промени на STUN, прокси и VPN без да знаете на кој сопственик му требаат.

Потоа проверете го предвиденото име на PBX и приватната патека, потврдете ја SIP регистрацијата и направете одобрени дојдовни и појдовни повици со проверен звук во двете насоки. Тестирајте ги функциите за повици што распоредувањето навистина ги бара, зашто индикаторот за регистрација не е телефон што работи.

На крајот повторете од контролирано ладно стартување и по прекин на мрежата. Набљудувајте дали телефонот ги враќа тунелот, сметката и употребливите повици по предвидениот редослед и потврдете го објавеното однесување кога тунелот не може да се поврзе. Административниот водич за GXP21xx е референца за полињата опишани погоре.