Como um telefone GXP21xx constrói o seu próprio túnel OpenVPN

Um telefone de secretária que se liga à VPN do escritório é um ponto final gerido com o seu próprio firmware, a sua própria identidade e o seu próprio caminho de recuperação. O cliente incorporado não é uma instalação de ambiente de trabalho do OpenVPN com um ecrã mais pequeno, e é precisamente esse tratamento que faz com que um telefone acabe por guardar uma chave partilhada e uma política que ninguém aprovou. Eis o que acontece realmente entre o telefone e a gateway.

O que o telefone carrega no arranque

Leia as informações do sistema no dispositivo antes de preparar seja o que for. O guia de administração do GXP21xx identifica a versão do programa como a versão principal do firmware e expõe um campo de estado de suporte a OpenVPN, que lhe diz se a compilação que tem sequer reivindica a funcionalidade.

Depois o guia descreve dois modos de configuração. O modo simples dá campos separados: endereço do servidor, porta, transporte e material de certificado carregado. O modo especialista aceita um ZIP de configuração. São dois caminhos de carregamento diferentes para o mesmo cliente, e o formato do pacote importa tanto como o conteúdo.

Colocar um ficheiro .ovpn de ambiente de trabalho arbitrário dentro de um ZIP não estabelece compatibilidade. O telefone analisa aquilo que o seu firmware espera, e um ficheiro que funciona num portátil pode ser ignorado aqui em silêncio.

O que o cliente tem de exprimir

Obtenha primeiro os requisitos do perfil junto do operador da gateway: ponto final, transporte, verificação do par, autenticação, algoritmos necessários e os recursos privados a que o telefone pode chegar. Depois verifique se a implementação incorporada consegue exprimir esse contrato.

Esta ordem importa porque a alternativa é alterar a gateway partilhada por causa de um único telefone. Cada flexibilização que fizer para o telefone aplica-se a todos os outros clientes nesse ponto final, e é uma má troca para um dispositivo que faz chamadas.

Se a resposta for que a compilação não consegue cumprir a política, as opções honestas são um firmware ou dispositivo suportado, ou um arranjo de gateway aprovado para pontos finais de voz. Enfraquecer o túnel não é uma delas.

Compressão e receitas antigas

As receitas antigas para dispositivos pequenos ativam frequentemente a compressão para poupar largura de banda. O OpenVPN 2.6 declara a compressão obsoleta e geralmente desaconselha-a, pelo que uma configuração copiada de uma receita dessas não é uma aprovação de segurança atual, seja qual for o ano em que a publicação do fórum foi escrita.

O mesmo se aplica às verificações de identidade. Se um perfil só liga com a verificação do par desativada, o problema é o perfil, não a verificação. Corrija o material de confiança em vez de ensinar o dispositivo a saltar a verificação.

Um dispositivo, uma identidade

Três peças de material têm três papéis. O certificado de confiança da AC permite ao telefone verificar o emissor. O certificado do telefone identifica este aparelho. A chave privada do telefone é material sensível do dispositivo e fica no dispositivo.

A chave de assinatura da AC nunca pertence a um telefone. Nem o perfil de portátil de um administrador copiado por toda a frota, que transforma um telefone roubado numa credencial para todos os telefones.

O guia também expõe uma palavra-passe de chave de cliente e campos opcionais de nome de utilizador e palavra-passe de VPN. Não são automaticamente as credenciais da extensão SIP. Decida o esquema de autenticação para este dispositivo, incluindo como obtém qualquer entrada necessária após um reinício sem supervisão.

Entregue o material através do seu processo de aprovisionamento protegido e registe o dispositivo, a identidade emitida e o responsável pela retirada. Quando o telefone for substituído, esse registo é a diferença entre uma troca de cinco minutos e uma tarde de suposições.

Mantenha o caminho de administração

Antes de ativar o túnel, confirme que ainda consegue chegar à interface web ou ao caminho de aprovisionamento do telefone. O dispositivo precisa de acesso de rede comum para chegar ao ponto final da VPN, e o seu caminho de gestão não deve desaparecer a meio do registo.

Se uma alteração de rota durante o registo o deixar de fora, a recuperação é normalmente uma reposição de fábrica e a repetição de todo o processo. Planeie a ordem para que isso nunca aconteça: aprovisione, verifique a acessibilidade e só depois ative o túnel.

Aceite a chamada, não o túnel

A conta SIP continua a ser uma configuração separada. O guia do GXP21xx encaminha uma implementação de OpenVPN para a definição de travessia NAT da VPN da conta, por isso consulte essa orientação para o firmware instalado e o seu projeto de PBX em vez de combinar alterações de STUN, proxy e VPN sem saber que proprietário precisa delas.

Depois verifique o nome de PBX pretendido e o caminho privado, confirme o registo SIP e faça chamadas recebidas e efetuadas aprovadas com áudio verificado nos dois sentidos. Teste as funcionalidades de chamada de que a implementação realmente precisa, porque um indicador de registo não é um telefone a funcionar.

Por fim, repita a partir de um arranque a frio controlado e após uma interrupção de rede. Observe se o telefone restaura o túnel, a conta e chamadas utilizáveis na ordem pretendida, e confirme o comportamento declarado quando o túnel não consegue ligar-se. O guia de administração do GXP21xx é a referência para os campos descritos acima.