Како телефон GXP21xx гради сопствени OpenVPN тунел

Стони телефон који се повезује на канцеларијски VPN је управљана крајња тачка са сопственим фирмвером, сопственим идентитетом и сопственом путањом опоравка. Уграђени клијент није стона инсталација OpenVPN-а са мањим екраном, и управо такав третман доводи до тога да телефон на крају држи заједнички кључ и политику коју нико није одобрио. Ево шта се заиста дешава између телефона и пролаза.

Шта телефон учитава при подизању

Прочитајте системске информације на уређају пре него што било шта припремите. Административни водич за GXP21xx наводи верзију програма као главно издање фирмвера и приказује поље статуса подршке за OpenVPN, које вам каже да ли ваша изградња уопште тврди ту функцију.

Затим водич описује два режима конфигурације. Једноставан режим даје одвојена поља: адреса сервера, порт, транспорт и отпремљени материјал сертификата. Експертски режим прихвата ZIP конфигурације. То су два различита пута учитавања у исти клијент, а формат пакета је једнако важан као садржај.

Убацивање произвољне стоне .ovpn датотеке у ZIP не успоставља компатибилност. Телефон анализира оно што његов фирмвер очекује, а датотека која ради на преносном рачунару овде може бити тихо игнорисана.

Шта клијент мора да изрази

Прво узмите захтеве профила од оператера пролаза: крајња тачка, транспорт, провера партнера, аутентификација, потребни алгоритми и приватни ресурси до којих телефон сме да дође. Затим проверите да ли уграђена имплементација може да изрази тај уговор.

Овај редослед је важан јер је алтернатива мењање заједничког пролаза због једног телефона. Свако попуштање које направите за телефон важи за сваког другог клијента на тој крајњој тачки, а то је лоша размена за уређај који обавља позиве.

Ако је одговор да изградња не може да испуни политику, поштене опције су подржани фирмвер или уређај, или одобрен распоред пролаза за гласовне крајње тачке. Слабљење тунела није једна од њих.

Компресија и стари рецепти

Старији рецепти за мале уређаје често укључују компресију ради уштеде пропусног опсега. OpenVPN 2.6 проглашава компресију застарелом и генерално је не препоручује, па конфигурација копирана са таквог рецепта није актуелно безбедносно одобрење, без обзира на годину у којој је објава на форуму написана.

Исто важи за провере идентитета. Ако се профил повезује само са искљученом провером партнера, проблем је у профилу, а не у провери. Поправите материјал поверења уместо да учите уређај да прескочи проверу.

Један уређај, један идентитет

Три дела материјала имају три улоге. CA сертификат поверења омогућава телефону да провери издаваоца. Сертификат телефона идентификује овај апарат. Приватни кључ телефона је осетљив материјал уређаја и остаје на уређају.

CA кључ за потписивање никада не припада телефону. Као ни профил преносног рачунара администратора копиран по целој флоти, који један украдени телефон претвара у акредитив за сваки телефон.

Водич такође приказује лозинку кључа клијента и опциона поља корисничког имена и лозинке за VPN. Она нису аутоматски акредитиви SIP екстензије. Одлучите о начину аутентификације за овај уређај, укључујући како добија потребне уносе после рестарта без надзора.

Доставите материјал кроз свој заштићени процес обезбеђивања и забележите уређај, издати идентитет и власника повлачења. Када се телефон замени, тај запис је разлика између петоминутне замене и поподнева испуњеног претпоставкама.

Задржите путању администрације

Пре него што укључите тунел, потврдите да још увек можете да дођете до веб интерфејса телефона или путање обезбеђивања. Уређају је потребан обичан мрежни приступ да би уопште дошао до крајње тачке VPN-а, а његова путања управљања не би требало да нестане на пола регистрације.

Ако вас промена руте током регистрације закључа, опоравак је обично фабричко ресетовање и понављање целог поступка. Планирајте редослед тако да се то никада не догоди: обезбедите, проверите доступност, затим укључите тунел.

Прихватите позив, а не тунел

SIP налог остаје одвојена конфигурација. Водич за GXP21xx усмерава OpenVPN распоређивање на подешавање VPN NAT проласка на налогу, зато проверите то упутство за инсталирани фирмвер и ваш PBX дизајн уместо да комбинујете промене STUN-а, проксија и VPN-а без знања ком власнику су потребне.

Затим проверите предвиђено PBX име и приватну путању, потврдите SIP регистрацију и обавите одобрене долазне и одлазне позиве са провереним звуком у оба смера. Тестирајте функције позива које распоређивање заиста захтева, јер индикатор регистрације није телефон који ради.

На крају поновите из контролисаног хладног покретања и после прекида мреже. Посматрајте да ли телефон враћа тунел, налог и употребљиве позиве предвиђеним редоследом и потврдите наведено понашање када тунел не може да се повеже. Административни водич за GXP21xx је референца за поља описана горе.