Як телефон GXP21xx будує власний тунель OpenVPN

Настільний телефон, що підключається до офісної VPN, — це керована кінцева точка з власною прошивкою, власною ідентичністю та власним шляхом відновлення. Вбудований клієнт — не настільна інсталяція OpenVPN з меншим екраном, і саме таке ставлення призводить до того, що телефон зрештою тримає спільний ключ і політику, яку ніхто не затвердив. Ось що насправді відбувається між телефоном і шлюзом.

Що телефон завантажує під час запуску

Перед підготовкою прочитайте відомості про систему на пристрої. Посібник адміністратора GXP21xx визначає версію програми як основний випуск прошивки і показує поле стану підтримки OpenVPN, яке повідомляє, чи заявляє ваша збірка взагалі таку функцію.

Далі посібник описує два режими конфігурації. Простий режим дає окремі поля: адреса сервера, порт, транспорт і завантажений матеріал сертифіката. Експертний режим приймає ZIP конфігурації. Це два різні шляхи завантаження в той самий клієнт, і формат пакета важливий не менше за вміст.

Якщо кинути довільний настільний .ovpn файл у ZIP, сумісність не з'явиться. Телефон розбирає те, що очікує його прошивка, а файл, який працює на ноутбуці, тут може бути мовчки проігнорований.

Що клієнт має виразити

Спочатку отримайте вимоги до профілю в оператора шлюзу: кінцева точка, транспорт, перевірка партнера, автентифікація, потрібні алгоритми та приватні ресурси, до яких телефон може дістатися. Потім перевірте, чи може вбудована реалізація виразити цей контракт.

Цей порядок важливий, бо альтернатива — змінювати спільний шлюз заради одного телефона. Кожне послаблення, зроблене для телефона, поширюється на кожного іншого клієнта на цій кінцевій точці, а це погана оборудка для пристрою, який здійснює дзвінки.

Якщо відповідь така, що збірка не може дотриматися політики, чесні варіанти — підтримувана прошивка або пристрій, або узгоджена схема шлюзу для голосових кінцевих точок. Послаблення тунелю до них не належить.

Стиснення та старі рецепти

Старі рецепти для малих пристроїв часто вмикають стиснення, щоб заощадити пропускну здатність. OpenVPN 2.6 оголошує стиснення застарілим і загалом не рекомендує його, тому конфігурація, скопійована з такого рецепта, не є поточним дозволом з безпеки, у якому б році не було написано допис на форумі.

Те саме стосується перевірок ідентичності. Якщо профіль підключається лише з вимкненою перевіркою партнера, проблема в профілі, а не в перевірці. Виправте матеріал довіри замість того, щоб вчити пристрій пропускати перевірку.

Один пристрій, одна ідентичність

Три частини матеріалу мають три ролі. Сертифікат довіри CA дає змогу телефону перевірити видавця. Сертифікат телефона ідентифікує цей апарат. Закритий ключ телефона — це чутливий матеріал пристрою, і він залишається на пристрої.

Ключ підпису CA ніколи не належить телефону. Як і профіль ноутбука адміністратора, скопійований на весь парк: він перетворює один викрадений телефон на облікові дані для кожного телефона.

Посібник також показує пароль ключа клієнта та необов'язкові поля імені користувача й пароля VPN. Вони не є автоматично обліковими даними SIP-розширення. Визначте схему автентифікації для цього пристрою, зокрема те, як він отримує потрібні дані після перезапуску без нагляду.

Передайте матеріал через ваш захищений процес підготовки та запишіть пристрій, видану ідентичність і відповідального за виведення з експлуатації. Коли телефон замінюють, цей запис — різниця між п'ятихвилинною заміною та вечором здогадок.

Збережіть шлях адміністрування

Перш ніж увімкнути тунель, переконайтеся, що ви все ще можете дістатися веб-інтерфейсу або шляху підготовки телефона. Пристрою потрібен звичайний мережевий доступ, щоб узагалі дістатися кінцевої точки VPN, і його шлях керування не повинен зникати посеред реєстрації.

Якщо зміна маршруту під час реєстрації заблокує вас ззовні, відновлення зазвичай — скидання до заводських налаштувань і повторення всього процесу. Плануйте порядок так, щоб цього ніколи не сталося: підготуйте, перевірте доступність, потім увімкніть тунель.

Прийміть дзвінок, а не тунель

Обліковий запис SIP залишається окремою конфігурацією. Посібник GXP21xx спрямовує розгортання OpenVPN до налаштування проходження NAT для VPN облікового запису, тому звіряйтеся з цією вказівкою для встановленої прошивки та вашого проєкту PBX, замість того щоб поєднувати зміни STUN, проксі та VPN, не знаючи, якому власнику вони потрібні.

Потім перевірте передбачуване ім'я PBX і приватний шлях, підтвердьте реєстрацію SIP і виконайте схвалені вхідні та вихідні дзвінки з перевіреним звуком в обидва боки. Перевірте функції дзвінків, які розгортання справді потребує, бо індикатор реєстрації — це не працюючий телефон.

Насамкінець повторіть із контрольованого холодного запуску та після перерви в мережі. Спостерігайте, чи відновлює телефон тунель, обліковий запис і придатні для використання дзвінки в потрібному порядку, та підтвердьте заявлену поведінку, коли тунель не може підключитися. Посібник адміністратора GXP21xx — це довідка щодо описаних вище полів.