Cum un telefon GXP21xx își construiește propriul tunel OpenVPN

Un telefon de birou care se conectează la VPN-ul biroului este un punct final administrat, cu firmware propriu, identitate proprie și cale proprie de recuperare. Clientul încorporat nu este o instalare desktop de OpenVPN cu ecran mai mic, iar tratarea lui ca atare este motivul pentru care un telefon ajunge să păstreze o cheie partajată și o politică pe care nimeni nu a aprobat-o. Iată ce se întâmplă cu adevărat între telefon și gateway.

Ce încarcă telefonul la pornire

Citiți informațiile de sistem de pe dispozitiv înainte de a pregăti ceva. Ghidul de administrare GXP21xx identifică versiunea programului drept versiunea principală de firmware și afișează un câmp pentru starea suportului OpenVPN, care vă spune dacă versiunea pe care o aveți revendică măcar această funcție.

Apoi ghidul descrie două moduri de configurare. Modul simplu oferă câmpuri separate: adresa serverului, portul, transportul și materialul de certificat încărcat. Modul expert acceptă un ZIP de configurare. Sunt două căi diferite de încărcare către același client, iar formatul pachetului contează la fel de mult ca conținutul.

Aruncarea unui fișier .ovpn de birou oarecare într-un ZIP nu stabilește compatibilitate. Telefonul analizează ce așteaptă firmware-ul său, iar un fișier care funcționează pe un laptop poate fi ignorat aici în tăcere.

Ce trebuie să exprime clientul

Obțineți mai întâi cerințele profilului de la operatorul gateway-ului: punct final, transport, verificarea partenerului, autentificare, algoritmi necesari și resursele private la care telefonul poate ajunge. Apoi verificați dacă implementarea încorporată poate exprima acel contract.

Această ordine contează pentru că alternativa este modificarea gateway-ului partajat pentru un singur telefon. Fiecare relaxare pe care o faceți pentru telefon se aplică tuturor celorlalți clienți de la acel punct final, iar aceasta este o afacere proastă pentru un dispozitiv care face apeluri.

Dacă răspunsul este că versiunea nu poate respecta politica, opțiunile oneste sunt un firmware sau un dispozitiv acceptat, sau o soluție de gateway aprobată pentru punctele finale de voce. Slăbirea tunelului nu este una dintre ele.

Compresie și rețete vechi

Rețetele vechi pentru dispozitive mici activează adesea compresia pentru a economisi lățime de bandă. OpenVPN 2.6 declară compresia învechită și o descurajează în general, așa că o configurație copiată dintr-o astfel de rețetă nu este o aprobare de securitate actuală, indiferent în ce an a fost scrisă postarea de pe forum.

Același lucru se aplică verificărilor de identitate. Dacă un profil se conectează doar cu verificarea partenerului dezactivată, problema este profilul, nu verificarea. Reparați materialul de încredere în loc să învățați dispozitivul să sară peste verificare.

Un dispozitiv, o identitate

Trei piese de material au trei roluri. Certificatul de încredere al CA permite telefonului să verifice emitentul. Certificatul telefonului identifică acest aparat. Cheia privată a telefonului este material sensibil al dispozitivului și rămâne pe dispozitiv.

Cheia de semnare a CA nu aparține niciodată unui telefon. Nici profilul de laptop al unui administrator copiat pe toată flota, care transformă un telefon furat într-o acreditare pentru fiecare telefon.

Ghidul expune, de asemenea, o parolă a cheii clientului și câmpuri opționale de nume de utilizator și parolă VPN. Acestea nu sunt automat acreditările extensiei SIP. Decideți modul de autentificare pentru acest dispozitiv, inclusiv cum obține datele necesare după o repornire nesupravegheată.

Livrați materialul prin procesul dumneavoastră de aprovizionare protejat și înregistrați dispozitivul, identitatea emisă și proprietarul retragerii. Când telefonul este înlocuit, acea înregistrare este diferența dintre o schimbare de cinci minute și o după-amiază de presupuneri.

Păstrați calea de administrare

Înainte de a activa tunelul, confirmați că puteți ajunge în continuare la interfața web sau la calea de aprovizionare a telefonului. Dispozitivul are nevoie de acces normal la rețea pentru a ajunge la punctul final VPN, iar calea sa de administrare nu ar trebui să dispară la jumătatea înregistrării.

Dacă o schimbare de rută în timpul înregistrării vă blochează afară, recuperarea este de obicei o resetare din fabrică și repetarea întregului proces. Planificați ordinea astfel încât acest lucru să nu se întâmple niciodată: aprovizionați, verificați accesibilitatea, apoi activați tunelul.

Acceptați apelul, nu tunelul

Contul SIP rămâne o configurație separată. Ghidul GXP21xx direcționează un deployment OpenVPN către setarea de traversare NAT a VPN-ului contului, așa că consultați acea indicație pentru firmware-ul instalat și designul dumneavoastră PBX în loc să combinați modificări STUN, proxy și VPN fără să știți care proprietar are nevoie de ele.

Apoi verificați numele PBX dorit și calea privată, confirmați înregistrarea SIP și efectuați apeluri primite și efectuate aprobate, cu sunetul verificat în ambele direcții. Testați funcțiile de apel de care implementarea are nevoie cu adevărat, pentru că un indicator de înregistrare nu este un telefon funcțional.

În final, repetați dintr-o pornire la rece controlată și după o întrerupere de rețea. Observați dacă telefonul restaurează tunelul, contul și apelurile utilizabile în ordinea dorită și confirmați comportamentul declarat atunci când tunelul nu se poate conecta. Ghidul de administrare GXP21xx este referința pentru câmpurile descrise mai sus.