Open VPN Configuration Guide

Summary

This document is intended to assist the user in establishing a VPN tunnel using the Open VPN client. 

Limitations

• Only TUN support (no TAP)

• Do not support Open VPN Server pushed Routes.

• Exclusive to IPV4 (will not work with IPV6 or PPPoE).

• Limited amount of Testing with different Open VPN configurations; highly recommend to adhere to provided Open VPN default config files for initial evaluation.

• The filename of the VPN client config and certificates must be the same as the provided reference example.

• Application of the VPN TAR and enable/disable the feature via the web will force a reboot. (This restriction will be removed and is currently undergoing testing).

** Above restrictions may be addressed as we further develop the feature and/or in response to customer feedback.

Operation

• Web status page will show state of VPN connection as well as VPN IP and Gateway IP.

• Deskset MMI will show state of VPN connection as well as VPN IP and Gateway IP under Network Status.

• It is important that that NTP or manual time is configured correctly so that the unit will have the correct date/time before VPN set-up. If the dates are mismatched this could invalidate the initial TLS handshake.

• If VPN is enabled, but not connected, all traffic will continue to route via the LAN IP.

• If VPN is enabled and connected, then all traffic will route via the VPN tunnel. ** The exception is the web server which will still be accessible via the LAN IP.

Open VPN Server Set-up

• Recommend a typical set up for VoIP phones.

Open VPN Phone Configuration - Web

• Open VPN can be enabled via the Network_Advanced web page.

• The TAR file can be uploaded as shown below.

• The unit will reboot whenever the Enable setting is modified and saved, or when a new TAR is uploaded.
  
  Image Added

Open VPN Phone Configuration - Provisioning

• Open VPN can be enabled via provisioning.

• An example provisioning config file is attached "enable_openvpn.cfg"

Download: enable_openvpn.xml

<settings>
<network>
<vpn>
<enable>1</enable>
</vpn>
</network>
<file>
<vpn>
<advanced_config>file_url</advanced_config>
</vpn>
</file>
</settings>

0, 1

0

file url (eg. http://myserver/openvpn_client.tar)
            

Open VPN Test Set-up:

• Open VPN has been validated in the following test scenarios:
  
  Image Added

• Open VPN using Public IP's
  
  Image Added
  

• Open VPN with SIP Endpoint behind NAT
  
  Image Added
  

• Open VPN with Endpoint and Server behind NAT

TAR File

• A TAR archive named openevpn_client.tar  has to be created

• The TAR must include:

  • client.conf (root of the archive)

  • a directory called keys, and inside the keys directory the following files:

    • ca.crt (keys directory)

    • client.crt (keys directory)

    • client.key (keys directory)

  
  If you list your tar in Linux, you should see something similar to the following (replace " openevpn_client.tar" with the name of your tar file):

  Code Block
  $ tar --list --file=openevpn_client.tar client.conf keys/    keys/client.key    keys/client.crt    keys/ca.crt

  
  

• The exact file and directory names above must be used for the device to function correctly.

Open VPN Server Generated Files

• The ca.crt, client.cert and client.key are all generated via the Open VPN server.
  
  

• client.conf File:

  • A reference client.conf file has been attached "client.conf"
    Download: client.conf
  • The only parameter that you will need to modify is the remote server IP and port.
  • The product operation has been validated using the attached client.conf and server.conf files.
  • There are too many variations of parameters within the config files that have not been validated within the timeframe. Deviation from the supplied reference config files may result in unexpected behavior.

• server.conf File:

  • A reference Open VPN server.conf file has been attached "server.conf"
    Download: server.conf
  • It should not be necessary to modify any parameters within this file.
  • The product operation has been validated using the attached client.conf and server.conf files.
  • There are too many variations of parameters within the config files that have not been validated within the timeframe. Deviation from the supplied reference config files may result in unexpected behavior.
    
    

Known limitations

• The M200 does not support a high verbosity level in client.conf, such as:

  Code Block
  verb 9

  Recommended is to use "verb 3"
  
  

Open VPN-Konfigurationsleitfaden

Zusammenfassung:

Dieses Dokument soll den Benutzer beim Aufbau eines VPN-Tunnels mit dem Open VPN-Client unterstützen.

Einschränkungen:

• Nur TUN-Unterstützung (kein TAP)

• Open VPN Server gepushte Routen werden nicht unterstützt.

• Exklusiv für IPV4 (funktioniert nicht mit IPV6 oder PPPoE).

• Begrenzte Anzahl von Tests mit verschiedenen Open VPN-Konfigurationen; es wird dringend empfohlen, die mitgelieferten Open VPN-Standardkonfigurationsdateien für eine erste Evaluierung zu verwenden.

• Der Dateiname der VPN-Client-Konfiguration und der Zertifikate muss mit dem angegebenen Referenzbeispiel übereinstimmen.

•  Die Anwendung des VPN-TAR und die Aktivierung/Deaktivierung der Funktion über das Web erzwingen einen Neustart. (Diese Einschränkung wird aufgehoben und wird derzeit getestet).

** Die oben genannten Einschränkungen werden im Zuge der Weiterentwicklung der Funktion und/oder als Reaktion auf Kundenfeedback berücksichtigt.

Betrieb:

• Die Web-Statusseite zeigt den Status der VPN-Verbindung sowie die VPN-IP und die Gateway-IP an.

• Deskset MMI zeigt den Status der VPN-Verbindung sowie die VPN-IP und die Gateway-IP unter Netzwerkstatus an.

• Es ist wichtig, dass die NTP- oder manuelle Zeit korrekt konfiguriert ist, damit das Gerät vor der VPN-Einrichtung die/das korrekte Zeit/Datum hat. Wenn die Daten nicht übereinstimmen, könnte dies das anfängliche TLS-Handshake ungültig machen.

• Wenn VPN aktiviert, aber nicht verbunden ist, wird der gesamte Datenverkehr weiterhin über die LAN-IP geleitet.

• Wenn VPN aktiviert und verbunden ist, wird der gesamte Datenverkehr über den VPN-Tunnel geleitet. ** Die Ausnahme ist der Webserver, der weiterhin über die LAN-IP erreichbar ist.

Open VPN-Server-Einrichtung:

• Empfohlene typische Einrichtung für VoIP-Telefone.

Open VPN Telefonkonfiguration - Web:

• Open VPN kann über die Web-Seite Network_Advanced aktiviert werden.

•  Die TAR-Datei kann wie unten gezeigt hochgeladen werden.

• Das Gerät wird neu gestartet, wenn die "Enable-Einstellung" geändert und gespeichert wird oder wenn eine neue TAR-Datei hochgeladen wird.
  
  Image Added

Open VPN Telefonkonfiguration - Provisionierung:

• Open VPN kann über Provisionierung aktiviert werden..

• Eine Beispielkonfigurationsdatei für die Bereitstellung ist angehängt "enable_openvpn.cfg"

Download: enable_openvpn.xml

<settings>
<network>
<vpn>
<enable>1</enable>
</vpn>
</network>
<file>
<vpn>
<advanced_config>file_url</advanced_config>
</vpn>
</file>
</settings>

0, 1

0

file url (eg. http://myserver/openvpn_client.tar)
            

Open VPN Testumgebung:

• Open VPN wurde in den folgenden Testszenarien validiert:
  
  Image Added

• Open VPN verwendet öffentliche IP's
  
  Image Added
  

• Open VPN mit SIP-Endpunkt hinter NAT
  
  Image Added
  

• Open VPN mit Endpunkt und Server hinter NAT

TAR-Datei:

• Ein TAR Archiv mit dem Namen openvpn_client.tar muss erstellt werden.

• Das TAR muss folgendes beinhalten:

  • client.conf (root des Archivs)

  • ein Verzeichnis mit dem Namen keys (Schlüssel), und innerhalb des Verzeichnisses keys die folgenden Dateien:
    

    • ca.crt  (Keys Ordner)

    • client.crt  (Keys Ordner)

    • client.key (Keys Ordner)

  
  Wenn Sie Ihr tar unter Linux aufgelistet ansehen, sollten etwas ähnliches wie das Folgende erscheinen (ersetzen Sie "openevpn_client.tar" durch den Namen Ihrer tar-Datei):

  Code Block
  $ tar --list --file=openevpn_client.tar client.conf keys/    keys/client.key    keys/client.crt    keys/ca.crt

  
  

Open VPN Server generierte Dateien:

• Die Dateien ca.crt, client.cert und client.key werden alle über den Open VPN-Server generiert.

• client.conf Datei:

  • Eine Referenzdatei client.conf wurde als Anhang "client.conf"erstellt.
    Download: client.conf
  • Der einzige Parameter, den Sie ändern müssen, ist die IP und der Port des Remote-Servers.
  • Die Produktoperation wurde mit Hilfe der angehängten Dateien client.conf und server.conf validiert.
  • Es gibt zu viele Variationen von Parametern in den Konfigurationsdateien, die nicht innerhalb des Zeitrahmens validiert wurden. Abweichungen von den mitgelieferten Referenz-Konfigurationsdateien können zu unerwartetem Verhalten führen.
    

• server.conf Datei:

  •  Eine Referenzdatei Open VPN server.conf wurde als "server.conf" angehängt.
    Download: server.conf

  • Es sollte nicht notwendig sein, irgendwelche Parameter innerhalb dieser Datei zu ändern.

  • Die Produktoperation wurde mit Hilfe der angehängten Dateien client.conf und server.conf validiert.

  • Es gibt zu viele Variationen von Parametern innerhalb der Konfigurationsdateien, die nicht innerhalb des Zeitrahmens validiert wurden. Abweichungen von den mitgelieferten Referenz-Konfigurationsdateien können zu unerwartetem Verhalten führen.
    
    

Bekannte Einschränkungen

• Das M200 unterstützt keine hohen Ausführlichkeitsstufen in der client.conf, wie z. B.:

  Code Block
  verb 9

  Empfohlen ist "verb 3"