Jak telefon GXP21xx buduje własny tunel OpenVPN

Telefon biurkowy łączący się z firmowym VPN to zarządzany punkt końcowy z własnym firmware, własną tożsamością i własną ścieżką odzyskiwania. Wbudowany klient nie jest instalacją OpenVPN na komputerze z mniejszym ekranem, i właśnie takie traktowanie sprawia, że telefon trzyma współdzielony klucz i politykę, której nikt nie zatwierdził. Oto co naprawdę dzieje się między telefonem a bramą.

Co telefon wczytuje przy starcie

Przeczytaj informacje o systemie na urządzeniu, zanim cokolwiek przygotujesz. Przewodnik administracyjny GXP21xx wskazuje wersję programu jako główne wydanie firmware i pokazuje pole statusu obsługi OpenVPN, które mówi, czy twoja kompilacja w ogóle deklaruje tę funkcję.

Następnie przewodnik opisuje dwa tryby konfiguracji. Tryb prosty daje osobne pola: adres serwera, port, transport i przesłany materiał certyfikatu. Tryb ekspercki przyjmuje ZIP konfiguracji. To dwie różne ścieżki ładowania do tego samego klienta, a format pakietu ma znaczenie równie duże jak zawartość.

Wrzucenie dowolnego pliku .ovpn z komputera do ZIP nie tworzy zgodności. Telefon analizuje to, czego oczekuje jego firmware, a plik, który działa na laptopie, może tu zostać po cichu zignorowany.

Co klient musi wyrazić

Najpierw pobierz wymagania profilu od operatora bramy: punkt końcowy, transport, weryfikację partnera, uwierzytelnianie, wymagane algorytmy i prywatne zasoby, do których telefon może dotrzeć. Potem sprawdź, czy wbudowana implementacja potrafi wyrazić tę umowę.

Ta kolejność ma znaczenie, bo alternatywą jest zmiana współdzielonej bramy dla jednego telefonu. Każde złagodzenie, które zrobisz dla telefonu, dotyczy każdego innego klienta w tym punkcie końcowym, a to zły interes dla urządzenia, które wykonuje połączenia.

Jeśli odpowiedź brzmi, że kompilacja nie spełnia polityki, uczciwymi opcjami są obsługiwany firmware lub urządzenie, albo zatwierdzony układ bramy dla punktów końcowych głosu. Osłabianie tunelu nie jest jedną z nich.

Kompresja i stare przepisy

Starsze przepisy dla małych urządzeń często włączają kompresję, aby oszczędzać pasmo. OpenVPN 2.6 uznaje kompresję za przestarzałą i generalnie jej nie zaleca, więc konfiguracja skopiowana z takiego przepisu nie jest aktualnym zatwierdzeniem bezpieczeństwa, niezależnie od roku napisania posta na forum.

To samo dotyczy kontroli tożsamości. Jeśli profil łączy się tylko z wyłączoną weryfikacją partnera, problemem jest profil, a nie weryfikacja. Napraw materiał zaufania, zamiast uczyć urządzenie pomijania kontroli.

Jedno urządzenie, jedna tożsamość

Trzy części materiału mają trzy role. Certyfikat zaufania CA pozwala telefonowi zweryfikować wystawcę. Certyfikat telefonu identyfikuje ten aparat. Klucz prywatny telefonu jest wrażliwym materiałem urządzenia i pozostaje na urządzeniu.

Klucz podpisujący CA nigdy nie należy do telefonu. Podobnie profil laptopa administratora skopiowany na całą flotę, który zamienia jeden skradziony telefon w poświadczenie dla każdego telefonu.

Przewodnik pokazuje też hasło klucza klienta oraz opcjonalne pola nazwy użytkownika i hasła VPN. Nie są one automatycznie poświadczeniami rozszerzenia SIP. Zdecyduj o sposobie uwierzytelniania tego urządzenia, w tym o tym, jak uzyskuje wymagane dane po restarcie bez nadzoru.

Dostarcz materiał przez swój chroniony proces przygotowania i zapisz urządzenie, wydaną tożsamość oraz właściciela wycofania. Gdy telefon zostanie wymieniony, ten zapis jest różnicą między pięciominutową wymianą a popołudniem domysłów.

Zachowaj ścieżkę administracji

Przed włączeniem tunelu potwierdź, że nadal docierasz do interfejsu web telefonu lub ścieżki przygotowania. Urządzenie potrzebuje zwykłego dostępu sieciowego, aby w ogóle dotrzeć do punktu końcowego VPN, a jego ścieżka zarządzania nie powinna zniknąć w połowie rejestracji.

Jeśli zmiana trasy podczas rejestracji cię zablokuje, odzyskiwanie to zwykle reset fabryczny i powtórzenie całej procedury. Zaplanuj kolejność tak, aby to się nigdy nie stało: przygotuj, zweryfikuj osiągalność, a potem włącz tunel.

Przyjmij połączenie, nie tunel

Konto SIP pozostaje osobną konfiguracją. Przewodnik GXP21xx kieruje wdrożenie OpenVPN do ustawienia przechodzenia NAT dla VPN na koncie, więc sprawdź tę wskazówkę dla zainstalowanego firmware i swojego projektu PBX, zamiast łączyć zmiany STUN, serwera proxy i VPN bez wiedzy, który właściciel ich potrzebuje.

Następnie zweryfikuj zamierzoną nazwę PBX i prywatną ścieżkę, potwierdź rejestrację SIP i wykonaj zatwierdzone połączenia przychodzące i wychodzące z dźwiękiem sprawdzonym w obu kierunkach. Przetestuj funkcje połączeń, których wdrożenie naprawdę potrzebuje, bo wskaźnik rejestracji to nie działający telefon.

Na koniec powtórz z kontrolowanego zimnego startu i po przerwie w sieci. Obserwuj, czy telefon przywraca tunel, konto i użyteczne połączenia w zamierzonej kolejności, i potwierdź zadeklarowane zachowanie, gdy tunel nie może się połączyć. Przewodnik administracyjny GXP21xx jest odniesieniem dla pól opisanych powyżej.