Korleis ein GXP21xx-telefon byggjer sin eigen OpenVPN-tunnel

Ein bordtelefon som koplar til kontoret sin VPN, er eit administrert endepunkt med eigen fastvare, eigen identitet og eigen gjenopprettingsveg. Den innebygde klienten er ikkje ein skrivebordsinstallasjon av OpenVPN med mindre skjerm, og nettopp ei slik handsaming er grunnen til at ein telefon endar med å halde ein delt nøkkel og ein policy som ingen har godkjent. Her er kva som faktisk skjer mellom telefonen og gatewayen.

Kva telefonen lastar ved oppstart

Les systeminformasjon på eininga før du førebur noko. Administrasjonsrettleiinga for GXP21xx oppgir programversjonen som den viktigaste fastvareutgivinga og viser eit felt for OpenVPN-støttestatus, som fortel deg om bygget du har i det heile hevdar å ha funksjonen.

Deretter skildrar rettleiinga to konfigurasjonsmodus. Enkel modus gir separate felt: serveradresse, port, transport og opplasta sertifikatmateriale. Ekspertmodus tek ein konfigurasjons-ZIP. Det er to ulike lastestigar inn i same klient, og pakkeformatet tel like mykje som innhaldet.

Å kaste ei vilkårleg skrivebordsfil av typen .ovpn inn i ein ZIP skaper ikkje kompatibilitet. Telefonen tolkar det fastvara forventar, og ei fil som fungerer på ein berbar PC kan bli stille ignorert her.

Kva klienten må uttrykkje

Hent først profilkrava frå gateway-operatøren: endepunkt, transport, peer-verifisering, autentisering, nødvendige algoritmar og dei private ressursane telefonen kan nå. Sjekk deretter om den innebygde implementasjonen kan uttrykkje den kontrakten.

Denne rekkjefølgja er viktig, for alternativet er å endre den felles gatewayen for éin telefon. Kvar lempe du gjer for telefonen, gjeld for alle andre klientar på det endepunktet, og det er ein dårleg handel for ei eining som ringjer.

Viss svaret er at bygget ikkje kan oppfylle policyen, er dei ærlege alternativa fastvare eller eining som vert støtta, eller ei godkjend gatewayordning for taleendepunkt. Å svekkje tunnelen er ikkje eitt av dei.

Komprimering og gamle oppskrifter

Eldre oppskrifter for små einingar slår ofte på komprimering for å spare bandbreidde. OpenVPN 2.6 erklærer komprimering som utdatert og frårår det generelt, så ein konfigurasjon kopiert frå ei slik oppskrift er ikkje ei gjeldande sikkerheitsgodkjenning, uansett kva år foruminnlegget vart skrive.

Det same gjeld identitetskontrollar. Viss ein profil berre koplar til med peer-verifisering deaktivert, er profilen problemet, ikkje verifiseringa. Rett tillitsmaterialet i staden for å lære eininga å hoppe over kontrollen.

Éi eining, éin identitet

Tre stykke materiale har tre rollar. CA-tillitssertifikatet lèt telefonen verifisere utgivaren. Telefonsertifikatet identifiserer denne telefonen. Den private nøkkelen til telefonen er sensitivt einingsmateriale og blir verande på eininga.

CA-signeringsnøkkelen høyrer aldri til på ein telefon. Det gjer heller ikkje profilen til ein administrator sin berbare PC kopiert over ein heil flåte, som gjer éin stolen telefon til ein legitimasjon for kvar telefon.

Rettleiinga viser òg eit klientnøkkelpassord og valfrie felt for VPN-brukarnamn og passord. Dei er ikkje automatisk legitimasjonen til SIP-utvidinga. Avgjer autentiseringsordninga for denne eininga, inkludert korleis ho får nødvendig input etter ein omstart utan tilsyn.

Lever materialet gjennom den beskytta klargjeringsprosessen din, og registrer eininga, identiteten som vart gjeven ut, og eigaren av utfasinga. Når telefonen blir bytt ut, er den registreringa skillnaden mellom eit utbyte på fem minutt og ein ettermiddag med gjetting.

Hald administrasjonsvegen open

Før du aktiverer tunnelen, stadfest at du framleis kan nå webgrensesnittet eller klargjeringsvegen til telefonen. Eininga treng vanleg nettverkstilgang for å nå VPN-endepunktet i det heile, og administrasjonsvegen bør ikkje forsvinne midt i registreringa.

Viss ei ruteendring under registreringa låser deg ute, er gjenopprettinga vanlegvis ein fabrikknullstilling og ei gjentaking av heile prosessen. Planlegg rekkjefølgja slik at det aldri skjer: klargjer, stadfest tilgjenge, og aktiver deretter tunnelen.

Godta samtalen, ikkje tunnelen

SIP-kontoen blir verande ein separat konfigurasjon. GXP21xx-rettleiinga dirigerer ein OpenVPN-utrulling til kontoen si innstilling for VPN NAT-gjennomtrenging, så slå opp den rettleiinga for den installerte fastvara og din PBX-design i staden for å kombinere STUN-, proxy- og VPN-endringar utan å vite kva eigar som treng dei.

Stadfest deretter det tiltenkte PBX-namnet og den private vegen, stadfest SIP-registreringa, og føreta godkjende innkomande og utgåande samtalar med lyd kontrollert i begge retningar. Test samtalefunksjonane utrullinga faktisk treng, for ein registreringsindikator er ikkje ein fungerande telefon.

Til slutt, gjenta frå ein kontrollert kaldstart og etter eit nettverksavbrot. Observer om telefonen gjenopprettar tunnelen, kontoen og brukbare samtalar i den tiltenkte rekkjefølgja, og stadfest den erklærte åtferda når tunnelen ikkje kan kople til. Administrasjonsrettleiinga for GXP21xx er referansen for felta som er skildra ovanfor.