Cách một điện thoại GXP21xx tự dựng đường hầm OpenVPN của riêng nó

Một điện thoại để bàn kết nối với VPN của văn phòng là một điểm cuối được quản lý với firmware riêng, danh tính riêng và đường khôi phục riêng. Client nhúng không phải là bản cài đặt OpenVPN trên máy tính để bàn với màn hình nhỏ hơn, và chính cách đối xử đó khiến chiếc điện thoại cuối cùng phải giữ một khóa dùng chung và một chính sách mà không ai phê duyệt. Đây là những gì thực sự diễn ra giữa điện thoại và cổng kết nối.

Điện thoại tải gì khi khởi động

Hãy đọc Thông tin hệ thống trên thiết bị trước khi chuẩn bị bất cứ thứ gì. Hướng dẫn quản trị GXP21xx xác định phiên bản chương trình là bản phát hành firmware chính và hiển thị trường trạng thái hỗ trợ OpenVPN, cho bạn biết bản dựng bạn có có tuyên bố tính năng này hay không.

Sau đó hướng dẫn mô tả hai chế độ cấu hình. Chế độ đơn giản cung cấp các trường riêng: địa chỉ máy chủ, cổng, giao vận và tài liệu chứng chỉ đã tải lên. Chế độ chuyên gia nhận một tệp ZIP cấu hình. Đây là hai đường tải khác nhau vào cùng một client, và định dạng gói quan trọng không kém nội dung.

Việc ném một tệp .ovpn trên máy tính để bàn bất kỳ vào ZIP không tạo ra khả năng tương thích. Điện thoại phân tích những gì firmware của nó mong đợi, và một tệp chạy được trên máy tính xách tay có thể bị bỏ qua một cách lặng lẽ ở đây.

Client phải diễn đạt điều gì

Trước tiên hãy lấy yêu cầu hồ sơ từ nhà vận hành cổng kết nối: điểm cuối, giao vận, xác minh đối tác, xác thực, thuật toán cần thiết và các tài nguyên riêng mà điện thoại có thể chạm tới. Sau đó kiểm tra xem phần triển khai nhúng có thể diễn đạt hợp đồng đó hay không.

Thứ tự này quan trọng vì lựa chọn thay thế là thay đổi cổng kết nối dùng chung vì một chiếc điện thoại. Mọi nới lỏng bạn làm cho điện thoại đều áp dụng cho mọi client khác trên điểm cuối đó, và đó là một trao đổi tồi cho một thiết bị thực hiện cuộc gọi.

Nếu câu trả lời là bản dựng không thể đáp ứng chính sách, các lựa chọn trung thực là firmware hoặc thiết bị được hỗ trợ, hoặc một bố trí cổng kết nối đã được phê duyệt cho các điểm cuối thoại. Làm suy yếu đường hầm không nằm trong số đó.

Nén và các công thức cũ

Các công thức cũ cho thiết bị nhỏ thường bật nén để tiết kiệm băng thông. OpenVPN 2.6 tuyên bố nén đã lỗi thời và nói chung không khuyến nghị nó, vì vậy một cấu hình sao chép từ công thức như vậy không phải là phê duyệt bảo mật hiện hành, bất kể bài đăng trên diễn đàn được viết vào năm nào.

Điều tương tự cũng áp dụng cho các kiểm tra danh tính. Nếu một hồ sơ chỉ kết nối khi tắt xác minh đối tác, thì vấn đề nằm ở hồ sơ chứ không phải ở việc xác minh. Hãy sửa tài liệu tin cậy thay vì dạy thiết bị bỏ qua kiểm tra.

Một thiết bị, một danh tính

Ba mảnh tài liệu có ba vai trò. Chứng chỉ tin cậy CA cho phép điện thoại xác minh nhà phát hành. Chứng chỉ của điện thoại nhận dạng thiết bị này. Khóa riêng của điện thoại là tài liệu thiết bị nhạy cảm và ở lại trên thiết bị.

Khóa ký của CA không bao giờ thuộc về một chiếc điện thoại. Cũng không phải hồ sơ máy tính xách tay của quản trị viên được sao chép khắp cả đội, thứ biến một chiếc điện thoại bị đánh cắp thành thông tin đăng nhập cho mọi chiếc điện thoại.

Hướng dẫn cũng hiển thị mật khẩu khóa client và các trường tùy chọn tên người dùng và mật khẩu VPN. Đây không phải là thông tin đăng nhập của phần mở rộng SIP một cách tự động. Hãy quyết định cách xác thực cho thiết bị này, bao gồm cách nó nhận được mọi đầu vào cần thiết sau khi khởi động lại mà không có người giám sát.

Hãy bàn giao tài liệu qua quy trình cung cấp được bảo vệ của bạn và ghi lại thiết bị, danh tính đã cấp và người phụ trách việc loại bỏ. Khi điện thoại được thay thế, bản ghi đó chính là khác biệt giữa một lần thay năm phút và một buổi chiều đầy phỏng đoán.

Giữ đường quản trị

Trước khi bật đường hầm, hãy xác nhận rằng bạn vẫn có thể truy cập giao diện web hoặc đường cung cấp của điện thoại. Thiết bị cần truy cập mạng thông thường để đến được điểm cuối VPN, và đường quản lý của nó không nên biến mất giữa chừng quá trình đăng ký.

Nếu một thay đổi tuyến trong quá trình đăng ký khóa bạn ra ngoài, cách khôi phục thường là đặt lại về cài đặt gốc và lặp lại toàn bộ quy trình. Hãy lên kế hoạch thứ tự để điều đó không bao giờ xảy ra: cung cấp, xác minh khả năng tiếp cận, rồi bật đường hầm.

Chấp nhận cuộc gọi, không phải đường hầm

Tài khoản SIP vẫn là một cấu hình riêng. Hướng dẫn GXP21xx hướng việc triển khai OpenVPN tới thiết lập xuyên NAT của VPN trên tài khoản, vì vậy hãy xem hướng dẫn đó cho firmware đã cài và thiết kế PBX của bạn thay vì kết hợp các thay đổi STUN, proxy và VPN mà không biết chủ sở hữu nào cần chúng.

Sau đó xác minh tên PBX dự kiến và đường riêng, xác nhận đăng ký SIP, và thực hiện các cuộc gọi đến và đi đã được phê duyệt với âm thanh được kiểm tra ở cả hai chiều. Hãy kiểm tra các tính năng gọi mà việc triển khai thực sự cần, vì chỉ báo đăng ký không phải là một chiếc điện thoại hoạt động.

Cuối cùng, hãy lặp lại từ một lần khởi động nguội có kiểm soát và sau khi mạng bị gián đoạn. Quan sát xem điện thoại có khôi phục đường hầm, tài khoản và các cuộc gọi dùng được theo thứ tự dự kiến hay không, và xác nhận hành vi đã công bố khi đường hầm không thể kết nối. Hướng dẫn quản trị GXP21xx là tài liệu tham chiếu cho các trường được mô tả ở trên.