Hur en GXP21xx-telefon bygger sin egen OpenVPN-tunnel

En bordstelefon som ansluter till kontorets VPN är en hanterad slutpunkt med egen firmware, egen identitet och egen återställningsväg. Den inbyggda klienten är inte en skrivbordsinstallation av OpenVPN med mindre skärm, och just ett sådant bemötande är anledningen till att en telefon till slut håller en delad nyckel och en policy som ingen har godkänt. Här är vad som faktiskt händer mellan telefonen och gatewayen.

Vad telefonen laddar vid start

Läs systeminformation på enheten innan du förbereder något. Administrationshandboken för GXP21xx anger programversionen som den huvudsakliga firmwareutgåvan och visar ett fält för OpenVPN-supportstatus, som berättar om bygget du har ens påstår sig ha funktionen.

Därefter beskriver handboken två konfigurationslägen. Enkelt läge ger separata fält: serveradress, port, transport och uppladdat certifikatmaterial. Expertläge tar en konfigurations-ZIP. Det är två olika laddningsvägar in i samma klient, och paketformatet spelar lika stor roll som innehållet.

Att slänga in en godtycklig skrivbordsfil av typen .ovpn i en ZIP skapar ingen kompatibilitet. Telefonen tolkar vad dess firmware förväntar sig, och en fil som fungerar på en bärbar dator kan tyst ignoreras här.

Vad klienten måste uttrycka

Hämta först profilens krav från gateway-operatören: slutpunkt, transport, peer-verifiering, autentisering, nödvändiga algoritmer och de privata resurser som telefonen får nå. Kontrollera sedan om den inbyggda implementeringen kan uttrycka det avtalet.

Den här ordningen spelar roll eftersom alternativet är att ändra den delade gatewayen för en enda telefon. Varje lättnad du gör för telefonen gäller för varje annan klient på den slutpunkten, och det är en dålig affär för en enhet som ringer.

Om svaret är att bygget inte kan uppfylla policyn är de ärliga alternativen en firmware eller enhet som stöds, eller en godkänd gatewayordning för röstslutpunkter. Att försvaga tunneln är inte ett av dem.

Komprimering och gamla recept

Äldre recept för små enheter aktiverar ofta komprimering för att spara bandbredd. OpenVPN 2.6 förklarar komprimering föråldrad och avråder i allmänhet från den, så en konfiguration kopierad från ett sådant recept är inte ett aktuellt säkerhetsgodkännande, oavsett vilket år foruminlägget skrevs.

Detsamma gäller identitetskontroller. Om en profil bara ansluter med peer-verifiering avstängd är profilen problemet, inte verifieringen. Reparera förtroendematerialet i stället för att lära enheten hoppa över kontrollen.

En enhet, en identitet

Tre delar material har tre roller. CA-förtroendecertifikatet låter telefonen verifiera utfärdaren. Telefoncertifikatet identifierar den här enheten. Telefonens privata nyckel är känsligt enhetsmaterial och stannar på enheten.

CA-signeringsnyckeln hör aldrig hemma på en telefon. Inte heller en administratörs bärbara profil kopierad över en hel flotta, vilket gör en stulen telefon till en inloggningsuppgift för varje telefon.

Handboken visar också ett klientnyckellösenord och valfria fält för VPN-användarnamn och lösenord. De är inte automatiskt SIP-tillägggets inloggningsuppgifter. Bestäm autentiseringsordningen för den här enheten, inklusive hur den får nödvändig inmatning efter en omstart utan tillsyn.

Leverera materialet genom din skyddade etableringsprocess och registrera enheten, den utfärdade identiteten och ägaren av avvecklingen. När telefonen byts ut är den registreringen skillnaden mellan ett utbyte på fem minuter och en eftermiddag av gissningar.

Behåll administrationsvägen

Innan du aktiverar tunneln, bekräfta att du fortfarande kan nå telefonens webbgränssnitt eller etableringsväg. Enheten behöver vanlig nätverksåtkomst för att över huvud taget nå VPN-slutpunkten, och dess administrationsväg bör inte försvinna mitt i registreringen.

Om en ruttändring under registreringen låser dig ute är återställningen oftast en fabriksåterställning och en upprepning av hela processen. Planera ordningen så att det aldrig händer: etablera, verifiera nåbarhet och aktivera sedan tunneln.

Acceptera samtalet, inte tunneln

SIP-kontot förblir en separat konfiguration. GXP21xx-handboken hänvisar en OpenVPN-driftsättning till kontots inställning för VPN NAT-traversering, så slå upp den vägledningen för den installerade firmwaren och din PBX-design i stället för att kombinera STUN-, proxy- och VPN-ändringar utan att veta vilken ägare som behöver dem.

Verifiera sedan det avsedda PBX-namnet och den privata vägen, bekräfta SIP-registreringen och ring godkända inkommande och utgående samtal med ljud kontrollerat i båda riktningarna. Testa de samtalsfunktioner som driftsättningen faktiskt behöver, för en registreringsindikator är inte en fungerande telefon.

Upprepa slutligen från en kontrollerad kallstart och efter ett nätavbrott. Observera om telefonen återställer tunneln, kontot och användbara samtal i den avsedda ordningen, och bekräfta det deklarerade beteendet när tunneln inte kan ansluta. Administrationshandboken för GXP21xx är referensen för fälten som beskrivs ovan.