Обзор телефонных аппаратов с возможностью настройки VPN и рекомендации по настройке

В рамках данной статьи будет дан обзор нескольких телефонных аппаратов с возможностью подключения по VPN напрямую между сервером и телефонным аппаратом. Для начала настройки на сервере с АТС должен быть поднять OPenVPN сервер. Настройка сервера OpenVPN подробно рассмотрена в статье «Установка и конфигурирование сервера OpenVPN на CentOS»

При написании статьи были рассмотрены телефонные аппараты следующих производителей: Fanvil, Grandstream, Yealink.

Использование OpenVPN клиента на телефонах удобно тем, что нет необходимости открывать порты SIP и RTP для доступа извне, а телефон может находиться где угодно за пределами локальной сети. Также каждый телефонный аппарат подключается под собственным сертификатом, что в свою очередь дополняет безопасность.О настройке клиентских сертификатов можно прочитать в статье «Генерация клиентских сертификатов VPN сертификатов на сервере OpenVPN».

Настройка VPN на телефонных аппаратах Fanvil на примере модели X4G.

Информер 1: Обратите внимание, что Fanvil позволяет также использовать L2TP туннель, но в данном типе VPN не реализован механизм шифрования

Для настройки L2TP достаточно указать три параметра:
— Адрес сервера — L2TP Server Address
— Имя клиента — Authentication Name
— Пароль клиента — Authentication Password

Включить VPN — установив галочку Enable VPN и выбрать тип L2TP

Настройка OpenVPN немного сложнее в виду того что необходимо подобрать рабочее сочетание параметров. Далее необходимо подгрузить сертификаты: корневой сертификат сервера (ca.crt) и сертификат клиента (client.crt), ключ клиента (client.key) и файл конфигурации (client.ovpn)

Содержимое файла конфигурации OpenVPN для Fanvil должно быть примерно таким:

client
dev tun
proto udp
remote <server_ip> <server_port>
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
comp-lzo
verb 3
cipher AES-256-CBC

После загрузки необходимых файлов и включении тоннеля, выбрав тип OpenVPN — должно установиться соединение и вверху раздела в веб-интерфейсе Fanvil будет отображаться ip-адрес в сети VPN

Далее в настройках линии (Line > SIP) достаточно адрес сервера сменить на адрес VPN сервера (при условии что АТС является также и сервером OpenVPN), а также указать телефону использовать VPN, выставив параметр Use VPN.

Информер 2: В настройке были сложности при использовании более старой версии прошивок Fanvil, поэтому рекомендуется провести обновление телефона на максимально свежую версию прошивки.

Далее будет рассмотрена настройка VPN на телефоне Yealink на примере модели SIP-T21P-E2

Основным отличием от настроек OpenVPN на телефонах Yealink от Fanvil в том что все файлы подгружаются в него не по отдельности, а в едином архиве, причем архив должен быть в формате tar. Также имя файла конфигурации должно быть строго определенным: vpn.cnf. Также для данных аппаратов необходимо придерживаться определенной структуры директорий: сертификаты и ключ должны находится в директории keys, а файл конфигурации в корне архива. Соответственно в файле конфигурации необходимо указывать полный путь к сертификатам и ключу — в последних версиях прошивок Yealink данный путь выглядит так: /config/openvpn/keys/

Общий вид файла конфигурации OpenVPN для Yealink:

client
dev tun
remote <server_ip> 1194 udp
cipher AES-256-CBC
comp-lzo
persist-key
persist-tun
verb 3
keepalive 10 120
ca /config/openvpn/keys/ca.crt
cert /config/openvpn/keys/client.crt
key /config/openvpn/keys/client.key

Настройки OpenVPN в Yealink производятся в разделе Сеть (Network) > Дополнительные (Advanced). Внизу страницы будет подраздел VPN всего с парой параметров:
— Upload VPN Config — загрузка архива c файлами VPN
— Active — включение/отключение VPN

Информер 3: Обратите внимание, что в версиях прошивок аппаратов, предназначенных для таможенного союза данная настройка отсутствует, поэтому рекомендуется установить прошивку англоязычную с официального сайта Yealink.

Настройка OpenVPN на телефонах Grandstream на примере телефонного аппарата GXV3140.

Для настройки VPN на данном телефоне необходимо перейти в раздел  Maintenance > Open VPN Settings и подгрузить необходимые файлы: корнефой сертификат, сертификат клиента и ключ клиента. Далее указать адрес сервера и порт. После включения VPN на телефоне необходимо перезагрузить его.

Также есть возможность посмотреть инструкцию по настройке OpenVPN для телефона Grandstream 1615 из статьи «Подключение телефона Grandstream 1615 по OpenVPN».

Возможные проблемы при настройке подключения по OpenVPN:
1) не устанавливается соединение при этом в логах OpenVPN показано сообщение вида: 6 TLS Error: TLS handshake failed.

В первую очередь необходимо проверить время на телефонном аппарате и на сервере при их расхождении не будет установлено соединение.

2) соединение установилось но пинг между сервером и клиентом не проходит.

Необходимо проверить, что сжатие на обеих сторонах либо включено, либо выключено, также рекомендуется проверить, что на стороне клиента и сервера используется одинаковый метод шифрования.