วิธีที่โทรศัพท์ GXP21xx สร้างทันเนล OpenVPN ของตัวเอง

โทรศัพท์ตั้งโต๊ะที่เชื่อมต่อกับ VPN ของออฟฟิศเป็นปลายทางที่ได้รับการจัดการซึ่งมีเฟิร์มแวร์ของตัวเอง มีอัตลักษณ์ของตัวเอง และมีเส้นทางการกู้คืนของตัวเอง ไคลเอนต์ที่ฝังอยู่ในเครื่องไม่ใช่การติดตั้ง OpenVPN บนเดสก์ท็อปที่มีหน้าจอเล็กกว่า และการปฏิบัติต่อมันเช่นนั้นคือสาเหตุที่ทำให้โทรศัพท์ต้องถือคีย์ที่ใช้ร่วมกันและนโยบายที่ไม่มีใครอนุมัติ นี่คือสิ่งที่เกิดขึ้นจริงระหว่างโทรศัพท์กับเกตเวย์

สิ่งที่โทรศัพท์โหลดตอนบูต

อ่านข้อมูลระบบบนอุปกรณ์ก่อนที่จะเตรียมอะไรก็ตาม คู่มือการดูแลระบบของ GXP21xx ระบุเวอร์ชันโปรแกรมว่าเป็นรีลีสเฟิร์มแวร์หลัก และแสดงฟิลด์สถานะการรองรับ OpenVPN ซึ่งบอกคุณว่าบิลด์ที่คุณมีอ้างว่ามีฟีเจอร์นี้หรือไม่

จากนั้นคู่มืออธิบายโหมดการกำหนดค่าสองแบบ โหมดง่ายให้ฟิลด์แยกกัน ได้แก่ ที่อยู่เซิร์ฟเวอร์ พอร์ต การขนส่ง และวัสดุใบรับรองที่อัปโหลด โหมดผู้เชี่ยวชาญรับไฟล์ ZIP สำหรับการกำหนดค่า ทั้งสองเป็นเส้นทางการโหลดที่ต่างกันเข้าสู่ไคลเอนต์เดียวกัน และรูปแบบของบันเดิลสำคัญพอๆ กับเนื้อหา

การโยนไฟล์ .ovpn บนเดสก์ท็อปใดๆ ลงใน ZIP ไม่ได้สร้างความเข้ากันได้ โทรศัพท์จะแยกวิเคราะห์สิ่งที่เฟิร์มแวร์ของมันคาดหวัง และไฟล์ที่ทำงานบนแล็ปท็อปอาจถูกเพิกเฉยอย่างเงียบๆ ที่นี่

สิ่งที่ไคลเอนต์ต้องแสดงออก

ขอข้อกำหนดของโปรไฟล์จากผู้ดูแลเกตเวย์ก่อน ได้แก่ ปลายทาง การขนส่ง การตรวจสอบคู่สัญญา การพิสูจน์ตัวตน อัลกอริทึมที่จำเป็น และทรัพยากรส่วนตัวที่โทรศัพท์เข้าถึงได้ จากนั้นตรวจสอบว่าการใช้งานที่ฝังอยู่สามารถแสดงสัญญานั้นได้หรือไม่

ลำดับนี้สำคัญเพราะทางเลือกคือการเปลี่ยนเกตเวย์ที่ใช้ร่วมกันเพื่อรองรับโทรศัพท์เครื่องเดียว ทุกการผ่อนปรนที่คุณทำเพื่อโทรศัพท์จะมีผลกับไคลเอนต์อื่นทุกตัวบนปลายทางนั้น และเป็นการแลกเปลี่ยนที่แย่สำหรับอุปกรณ์ที่ใช้โทร

หากคำตอบคือบิลด์ไม่สามารถทำตามนโยบายได้ ทางเลือกที่ซื่อตรงคือเฟิร์มแวร์หรืออุปกรณ์ที่รองรับ หรือการจัดวางเกตเวย์ที่ได้รับอนุมัติสำหรับปลายทางเสียง การทำให้ทันเนลอ่อนแอไม่ใช่หนึ่งในนั้น

การบีบอัดและสูตรเก่า

สูตรเก่าสำหรับอุปกรณ์ขนาดเล็กมักเปิดการบีบอัดเพื่อประหยัดแบนด์วิดท์ OpenVPN 2.6 ประกาศว่าการบีบอัดล้าสมัยและโดยทั่วไปไม่แนะนำ ดังนั้นการกำหนดค่าที่คัดลอกจากสูตรดังกล่าวจึงไม่ใช่การอนุมัติความปลอดภัยในปัจจุบัน ไม่ว่าโพสต์ในฟอรัมจะเขียนในปีใด

เช่นเดียวกันกับการตรวจสอบอัตลักษณ์ หากโปรไฟล์เชื่อมต่อได้เฉพาะเมื่อปิดการตรวจสอบคู่สัญญา ปัญหาอยู่ที่โปรไฟล์ ไม่ใช่การตรวจสอบ แก้ไขวัสดุความเชื่อถือแทนการสอนให้อุปกรณ์ข้ามการตรวจสอบ

อุปกรณ์หนึ่งเครื่อง อัตลักษณ์หนึ่งรายการ

วัสดุสามชิ้นมีสามบทบาท ใบรับรองความเชื่อถือของ CA ทำให้โทรศัพท์ตรวจสอบผู้ออกใบรับรองได้ ใบรับรองของโทรศัพท์ระบุตัวเครื่องนี้ คีย์ส่วนตัวของโทรศัพท์เป็นวัสดุอุปกรณ์ที่ละเอียดอ่อนและอยู่บนเครื่อง

คีย์ลงนามของ CA ไม่เคยเป็นของโทรศัพท์ เช่นเดียวกับโปรไฟล์แล็ปท็อปของผู้ดูแลระบบที่คัดลอกไปทั่วทั้งฟลีต ซึ่งเปลี่ยนโทรศัพท์ที่ถูกขโมยหนึ่งเครื่องให้เป็นข้อมูลรับรองของทุกเครื่อง

คู่มือยังแสดงรหัสผ่านคีย์ไคลเอนต์และฟิลด์ชื่อผู้ใช้และรหัสผ่าน VPN แบบไม่บังคับ สิ่งเหล่านี้ไม่ใช่ข้อมูลรับรองของส่วนขยาย SIP โดยอัตโนมัติ ตัดสินใจวิธีพิสูจน์ตัวตนสำหรับอุปกรณ์นี้ รวมถึงวิธีที่มันได้รับข้อมูลที่จำเป็นหลังการรีสตาร์ทโดยไม่มีผู้ดูแล

ส่งมอบวัสดุผ่านกระบวนการจัดเตรียมที่ได้รับการป้องกันของคุณ และบันทึกอุปกรณ์ อัตลักษณ์ที่ออกให้ และผู้รับผิดชอบการปลดระวาง เมื่อเปลี่ยนโทรศัพท์ บันทึกนั้นคือความแตกต่างระหว่างการเปลี่ยนห้านาทีกับบ่ายทั้งบ่ายของการเดา

รักษาเส้นทางการดูแลระบบ

ก่อนเปิดใช้ทันเนล ให้ยืนยันว่าคุณยังเข้าถึงเว็บอินเทอร์เฟซหรือเส้นทางการจัดเตรียมของโทรศัพท์ได้ อุปกรณ์ต้องมีการเข้าถึงเครือข่ายตามปกติเพื่อไปถึงปลายทาง VPN และเส้นทางการจัดการไม่ควรหายไปกลางการลงทะเบียน

หากการเปลี่ยนเส้นทางระหว่างการลงทะเบียนล็อกคุณออก การกู้คืนมักเป็นการรีเซ็ตเป็นค่าจากโรงงานและทำขั้นตอนทั้งหมดซ้ำ วางแผนลำดับเพื่อไม่ให้เกิดขึ้น: จัดเตรียม ตรวจสอบการเข้าถึง แล้วจึงเปิดใช้ทันเนล

รับสาย ไม่ใช่รับทันเนล

บัญชี SIP ยังคงเป็นการกำหนดค่าแยกต่างหาก คู่มือ GXP21xx ชี้การติดตั้ง OpenVPN ไปที่การตั้งค่าการทะลุ NAT ของ VPN ในบัญชี ดังนั้นตรวจสอบคำแนะนำนั้นสำหรับเฟิร์มแวร์ที่ติดตั้งและดีไซน์ PBX ของคุณ แทนที่จะรวมการเปลี่ยนแปลง STUN พร็อกซี และ VPN โดยไม่รู้ว่าเจ้าของใดต้องการ

จากนั้นตรวจสอบชื่อ PBX ที่ต้องการและเส้นทางส่วนตัว ยืนยันการลงทะเบียน SIP และทำการโทรเข้าและโทรออกที่ได้รับอนุมัติโดยตรวจสอบเสียงทั้งสองทิศทาง ทดสอบฟีเจอร์การโทรที่การติดตั้งต้องการจริง เพราะไฟแสดงการลงทะเบียนไม่ใช่โทรศัพท์ที่ใช้งานได้

สุดท้าย ทำซ้ำจากการเริ่มระบบแบบเย็นที่ควบคุมได้และหลังการขัดข้องของเครือข่าย สังเกตว่าโทรศัพท์กู้คืนทันเนล บัญชี และการโทรที่ใช้งานได้ตามลำดับที่ต้องการหรือไม่ และยืนยันพฤติกรรมที่ประกาศไว้เมื่อทันเนลเชื่อมต่อไม่ได้ คู่มือการดูแลระบบ GXP21xx เป็นเอกสารอ้างอิงสำหรับฟิลด์ที่อธิบายข้างต้น