Hvordan en GXP21xx-telefon bygger sin egen OpenVPN-tunnel

En bordtelefon som kobler til kontorets VPN, er et administrert endepunkt med egen fastvare, egen identitet og egen gjenopprettingsvei. Den innebygde klienten er ikke en skrivebordsinstallasjon av OpenVPN med mindre skjerm, og nettopp en slik behandling er grunnen til at en telefon ender med å holde en delt nøkkel og en policy som ingen har godkjent. Her er hva som faktisk skjer mellom telefonen og gatewayen.

Hva telefonen laster ved oppstart

Les systeminformasjon på enheten før du forbereder noe. Administrasjonsveiledningen for GXP21xx angir programversjonen som den viktigste fastvareutgivelsen og viser et felt for OpenVPN-støttestatus, som forteller deg om bygget du har i det hele tatt hevder å ha funksjonen.

Deretter beskriver veiledningen to konfigurasjonsmoduser. Enkel modus gir separate felt: serveradresse, port, transport og opplastet sertifikatmateriale. Ekspertmodus tar en konfigurasjons-ZIP. Det er to forskjellige lastestier inn i samme klient, og pakkeformatet betyr like mye som innholdet.

Å kaste en vilkårlig skrivebordsfil av typen .ovpn inn i en ZIP skaper ikke kompatibilitet. Telefonen tolker det fastvaren forventer, og en fil som fungerer på en bærbar PC kan bli stille ignorert her.

Hva klienten må uttrykke

Hent først profilkravene fra gateway-operatøren: endepunkt, transport, peer-verifisering, autentisering, nødvendige algoritmer og de private ressursene telefonen kan nå. Sjekk deretter om den innebygde implementasjonen kan uttrykke den kontrakten.

Denne rekkefølgen er viktig, for alternativet er å endre den felles gatewayen for én telefon. Hver lemping du gjør for telefonen, gjelder for alle andre klienter på det endepunktet, og det er en dårlig handel for en enhet som ringer.

Hvis svaret er at bygget ikke kan oppfylle policyen, er de ærlige alternativene fastvare eller enhet som støttes, eller en godkjent gatewayordning for taleendepunkter. Å svekke tunnelen er ikke ett av dem.

Komprimering og gamle oppskrifter

Eldre oppskrifter for små enheter slår ofte på komprimering for å spare båndbredde. OpenVPN 2.6 erklærer komprimering som utdatert og fraråder det generelt, så en konfigurasjon kopiert fra en slik oppskrift er ikke en gjeldende sikkerhetsgodkjenning, uansett hvilket år foruminnlegget ble skrevet.

Det samme gjelder identitetskontroller. Hvis en profil bare kobler til med peer-verifisering deaktivert, er profilen problemet, ikke verifiseringen. Rett tillitsmaterialet i stedet for å lære enheten å hoppe over kontrollen.

Én enhet, én identitet

Tre stykker materiale har tre roller. CA-tillitssertifikatet lar telefonen verifisere utstederen. Telefonsertifikatet identifiserer denne telefonen. Telefonens private nøkkel er sensitivt enhetsmateriale og blir på enheten.

CA-signeringsnøkkelen hører aldri til på en telefon. Det gjør heller ikke en administratørs bærbare profil kopiert over en hel flåte, som gjør én stjålet telefon til en legitimasjon for hver telefon.

Veiledningen viser også et klientnøkkelpassord og valgfrie felt for VPN-brukernavn og passord. De er ikke automatisk SIP-utvidelsens legitimasjon. Bestem autentiseringsordningen for denne enheten, inkludert hvordan den får nødvendig input etter en omstart uten tilsyn.

Lever materialet gjennom din beskyttede klargjøringsprosess, og registrer enheten, identiteten som ble utstedt, og eieren av utfasingen. Når telefonen byttes ut, er den registreringen forskjellen mellom en utskifting på fem minutter og en ettermiddag med gjetting.

Hold administrasjonsveien åpen

Før du aktiverer tunnelen, bekreft at du fortsatt kan nå telefonens webgrensesnitt eller klargjøringsvei. Enheten trenger vanlig nettverkstilgang for å nå VPN-endepunktet i det hele tatt, og administrasjonsveien bør ikke forsvinne midt i registreringen.

Hvis en ruteendring under registreringen låser deg ute, er gjenopprettingen vanligvis en fabrikknullstilling og en gjentakelse av hele prosessen. Planlegg rekkefølgen slik at det aldri skjer: klargjør, bekreft tilgjengelighet, og aktiver deretter tunnelen.

Aksepter samtalen, ikke tunnelen

SIP-kontoen forblir en separat konfigurasjon. GXP21xx-veiledningen dirigerer en OpenVPN-utrulling til kontoens innstilling for VPN NAT-gjennomtrengning, så slå opp den veiledningen for den installerte fastvaren og din PBX-design i stedet for å kombinere STUN-, proxy- og VPN-endringer uten å vite hvilken eier som trenger dem.

Bekreft deretter det tiltenkte PBX-navnet og den private veien, bekreft SIP-registreringen, og foreta godkjente innkommende og utgående samtaler med lyd kontrollert i begge retninger. Test samtalefunksjonene utrullingen faktisk trenger, for en registreringsindikator er ikke en fungerende telefon.

Til slutt, gjenta fra en kontrollert kaldstart og etter et nettverksavbrudd. Observer om telefonen gjenoppretter tunnelen, kontoen og brukbare samtaler i den tiltenkte rekkefølgen, og bekreft den erklærte oppførselen når tunnelen ikke kan koble til. Administrasjonsveiledningen for GXP21xx er referansen for feltene beskrevet ovenfor.