Как телефон GXP21xx строит собственный туннель OpenVPN

Настольный телефон, подключающийся к офисному VPN, — это управляемая конечная точка с собственной прошивкой, собственной идентичностью и собственным путём восстановления. Встроенный клиент — не настольная установка OpenVPN с меньшим экраном, и именно такое отношение приводит к тому, что телефон хранит общий ключ и политику, которую никто не утверждал. Вот что на самом деле происходит между телефоном и шлюзом.

Что телефон загружает при запуске

Перед подготовкой прочитайте сведения о системе на устройстве. Руководство администратора GXP21xx указывает версию программы как основной выпуск прошивки и показывает поле состояния поддержки OpenVPN, которое сообщает, заявляет ли ваша сборка хотя бы такую функцию.

Затем руководство описывает два режима настройки. Простой режим даёт отдельные поля: адрес сервера, порт, транспорт и загруженный материал сертификата. Экспертный режим принимает ZIP конфигурации. Это два разных пути загрузки в один и тот же клиент, и формат пакета важен не меньше содержимого.

Если бросить произвольный настольный .ovpn файл в ZIP, совместимость не появится. Телефон разбирает то, что ожидает его прошивка, а файл, работающий на ноутбуке, здесь может быть молча проигнорирован.

Что клиент должен выразить

Сначала получите требования к профилю у оператора шлюза: конечная точка, транспорт, проверка партнёра, аутентификация, необходимые алгоритмы и частные ресурсы, до которых телефон может добраться. Затем проверьте, может ли встроенная реализация выразить этот контракт.

Этот порядок важен, потому что альтернатива — менять общий шлюз ради одного телефона. Любое послабление, сделанное для телефона, распространяется на каждого другого клиента на этой конечной точке, а это плохая сделка для устройства, которое совершает звонки.

Если ответ таков, что сборка не может соблюсти политику, честные варианты — поддерживаемая прошивка или устройство либо согласованная схема шлюза для голосовых конечных точек. Ослабление туннеля к ним не относится.

Сжатие и старые рецепты

Старые рецепты для малых устройств часто включают сжатие ради экономии полосы пропускания. OpenVPN 2.6 объявляет сжатие устаревшим и в целом не рекомендует его, поэтому конфигурация, скопированная из такого рецепта, не является текущим разрешением по безопасности, в каком бы году ни был написан пост на форуме.

То же касается проверок идентичности. Если профиль подключается только с отключённой проверкой партнёра, проблема в профиле, а не в проверке. Исправьте материал доверия вместо того, чтобы учить устройство пропускать проверку.

Одно устройство, одна идентичность

У трёх частей материала три роли. Сертификат доверия CA позволяет телефону проверить издателя. Сертификат телефона идентифицирует этот аппарат. Закрытый ключ телефона — это чувствительный материал устройства, и он остаётся на устройстве.

Ключ подписи CA никогда не принадлежит телефону. Как и профиль ноутбука администратора, скопированный на весь парк: он превращает один украденный телефон в учётные данные для каждого телефона.

Руководство также показывает пароль ключа клиента и необязательные поля имени пользователя и пароля VPN. Они не являются автоматически учётными данными SIP-расширения. Определите схему аутентификации для этого устройства, включая то, как оно получает необходимые данные после перезапуска без присмотра.

Передайте материал через ваш защищённый процесс подготовки и запишите устройство, выданную идентичность и ответственного за вывод из эксплуатации. Когда телефон заменяют, эта запись — разница между пятиминутной заменой и вечером догадок.

Сохраните путь администрирования

Прежде чем включать туннель, убедитесь, что вы всё ещё можете достичь веб-интерфейса или пути подготовки телефона. Устройству нужен обычный сетевой доступ, чтобы вообще добраться до конечной точки VPN, и его путь управления не должен исчезнуть посреди регистрации.

Если изменение маршрута во время регистрации заблокирует вас снаружи, восстановление обычно — сброс к заводским настройкам и повторение всего процесса. Планируйте порядок так, чтобы этого никогда не случилось: подготовьте, проверьте доступность, затем включите туннель.

Примите звонок, а не туннель

Учётная запись SIP остаётся отдельной конфигурацией. Руководство GXP21xx направляет развёртывание OpenVPN к параметру прохождения NAT для VPN учётной записи, поэтому сверяйтесь с этим указанием для установленной прошивки и вашего проекта PBX, вместо того чтобы объединять изменения STUN, прокси и VPN, не зная, какому владельцу они нужны.

Затем проверьте предполагаемое имя PBX и частный путь, подтвердите регистрацию SIP и выполните одобренные входящие и исходящие звонки с проверенным звуком в обе стороны. Проверьте функции звонков, которые действительно нужны развёртыванию, потому что индикатор регистрации — это не работающий телефон.

Наконец, повторите из контролируемого холодного запуска и после перерыва в сети. Наблюдайте, восстанавливает ли телефон туннель, учётную запись и пригодные для использования звонки в нужном порядке, и подтвердите заявленное поведение, когда туннель не может подключиться. Руководство администратора GXP21xx — это справочник по описанным выше полям.