Hoe een GXP21xx-telefoon zijn eigen OpenVPN-tunnel opbouwt

Een deskto-telefoon die verbinding maakt met het kantoor-VPN is een beheerd eindpunt met eigen firmware, eigen identiteit en een eigen herstelpad. De ingebouwde client is geen desktopinstallatie van OpenVPN met een kleiner scherm, en juist die behandeling zorgt ervoor dat een toestel een gedeelde sleutel en een beleid vasthoudt dat niemand heeft goedgekeurd. Dit gebeurt er werkelijk tussen de telefoon en de gateway.

Wat de telefoon bij het opstarten laadt

Lees de systeeminformatie op het apparaat voordat u iets voorbereidt. De beheerdershandleiding van de GXP21xx noemt de programmaversie de belangrijkste firmware-release en toont een veld voor OpenVPN-ondersteuningsstatus, dat u vertelt of de build die u hebt die functie überhaupt claimt.

Daarna beschrijft de handleiding twee configuratiemodi. De eenvoudige modus geeft losse velden: serveradres, poort, transport en geüpload certificaatmateriaal. De expertmodus neemt een configuratie-ZIP. Dat zijn twee verschillende laadpaden naar dezelfde client, en het pakketformaat is net zo belangrijk als de inhoud.

Een willekeurig desktopbestand van het type .ovpn in een ZIP gooien, maakt geen compatibiliteit. De telefoon parseert wat zijn firmware verwacht, en een bestand dat op een laptop werkt, kan hier stilzwijgend worden genegeerd.

Wat de client moet uitdrukken

Vraag eerst de profieleisen op bij de gateway-operator: eindpunt, transport, peer-verificatie, authenticatie, vereiste algoritmen en de privébronnen die de telefoon mag bereiken. Controleer daarna of de ingebouwde implementatie dat contract kan uitdrukken.

Deze volgorde is belangrijk, want het alternatief is de gedeelde gateway aanpassen voor één toestel. Elke versoepeling die u voor de telefoon doet, geldt voor elke andere client op dat eindpunt, en dat is een slechte ruil voor een apparaat dat belt.

Als het antwoord is dat de build het beleid niet kan naleven, zijn de eerlijke opties ondersteunde firmware of een ondersteund apparaat, of een goedgekeurde gatewayregeling voor spraakeindpunten. De tunnel verzwakken hoort daar niet bij.

Compressie en oude recepten

Oudere recepten voor kleine apparaten schakelen vaak compressie in om bandbreedte te sparen. OpenVPN 2.6 verklaart compressie verouderd en raadt het over het algemeen af, dus een configuratie die uit zo'n recept is gekopieerd, is geen actuele beveiligingsgoedkeuring, ongeacht in welk jaar het forumbericht is geschreven.

Hetzelfde geldt voor identiteitscontroles. Als een profiel alleen verbinding maakt met peer-verificatie uitgeschakeld, is het profiel het probleem, niet de verificatie. Repareer het vertrouwensmateriaal in plaats van het apparaat te leren de controle over te slaan.

Eén apparaat, één identiteit

Drie stukken materiaal hebben drie rollen. Het CA-vertrouwenscertificaat laat de telefoon de uitgever verifiëren. Het telefooncertificaat identificeert dit toestel. De privésleutel van de telefoon is gevoelig apparaatmateriaal en blijft op het apparaat.

De CA-ondertekeningssleutel hoort nooit op een telefoon. Evenmin het laptop-profiel van een beheerder dat over een vloot wordt gekopieerd en van één gestolen telefoon een inloggegeven voor elke telefoon maakt.

De handleiding toont ook een client-sleutelwachtwoord en optionele velden voor VPN-gebruikersnaam en wachtwoord. Die zijn niet automatisch de inloggegevens van de SIP-extensie. Bepaal de authenticatieregeling voor dit apparaat, inclusief hoe het na een onbeheerde herstart de benodigde invoer verkrijgt.

Lever het materiaal via uw beschermde provisioningproces en leg het apparaat, de uitgegeven identiteit en de eigenaar van de uitfasering vast. Wanneer het toestel wordt vervangen, is die registratie het verschil tussen een vervanging van vijf minuten en een middag gissen.

Houd het beheerpad open

Bevestig voordat u de tunnel inschakelt dat u de webinterface of het provisioningpad van de telefoon nog kunt bereiken. Het apparaat heeft gewone netwerktoegang nodig om het VPN-eindpunt te bereiken, en het beheerpad mag niet midden in de registratie verdwijnen.

Als een routewijziging tijdens de registratie u buitensluit, is het herstel meestal een fabrieksreset en het hele proces opnieuw. Plan de volgorde zo dat dit nooit gebeurt: provisioneren, bereikbaarheid verifiëren en dan de tunnel inschakelen.

Accepteer het gesprek, niet de tunnel

Het SIP-account blijft een aparte configuratie. De GXP21xx-handleiding verwijst een OpenVPN-implementatie naar de NAT-traversalinstelling voor VPN van het account, dus raadpleeg die richtlijn voor de geïnstalleerde firmware en uw PBX-ontwerp in plaats van STUN-, proxy- en VPN-wijzigingen te combineren zonder te weten welke eigenaar ze nodig heeft.

Controleer daarna de bedoelde PBX-naam en het privépad, bevestig de SIP-registratie en voer goedgekeurde inkomende en uitgaande gesprekken met audio die in beide richtingen is gecontroleerd. Test de gespreksfuncties die de implementatie echt nodig heeft, want een registratie-indicator is geen werkende telefoon.

Herhaal ten slotte vanuit een gecontroleerde koude start en na een netwerkonderbreking. Observeer of de telefoon de tunnel, het account en bruikbare gesprekken in de bedoelde volgorde herstelt, en bevestig het verklaarde gedrag wanneer de tunnel geen verbinding kan maken. De beheerdershandleiding van de GXP21xx is de referentie voor de hierboven beschreven velden.