Password admin dimenticata su un Grandstream GXP1625: come l'abbiamo recuperata con TFTP e DHCP Option 66

Il contesto

Nel nostro ufficio la telefonia è gestita da un centralino FreePBX virtualizzato su Proxmox, con i telefoni IP isolati su una VLAN dedicata al VoIP. La rete è gestita da una console UniFi Dream Machine Pro, che si occupa anche del servizio DHCP delle varie reti.

Uno dei telefoni è un Grandstream GXP1625, un modello da scrivania molto diffuso nelle piccole e medie aziende. Per modificarne la configurazione serviva l'accesso all'interfaccia web di amministrazione, ma la password admin era andata persa.

Il problema: nessuna porta d'ingresso

La situazione era più ostica del previsto:

• interfaccia web bloccata: dopo alcuni tentativi il telefono risponde con "Too many consecutive failed login attempts. Locked out for 5 minutes.", quindi provare password a caso è inutile (oltre che una pratica da evitare);
• SSH aperto ma inutilizzabile: la porta 22 risponde, ma chiede la password di root, anch'essa sconosciuta;
• factory reset non disponibile dal menu: sul display del telefono la voce di ripristino non compariva, probabilmente perché disabilitata dalla configurazione o per via di un firmware datato;
• nessun tasto di hard reset: a differenza di altri dispositivi di rete, il GXP1625 non ha un pulsante fisico per riportarlo alle impostazioni di fabbrica.

Aprire fisicamente il telefono non era un'opzione sensata: non ci sono jumper di reset e intervenire sull'elettronica comporta un rischio concreto di rendere il dispositivo inutilizzabile.

L'idea: lasciare che sia il telefono a chiedere la configurazione

I telefoni Grandstream, come la maggior parte dei telefoni IP professionali, supportano il provisioning automatico: all'avvio cercano un server da cui scaricare un file di configurazione e, se lo trovano, lo applicano. È il meccanismo pensato per configurare decine di apparecchi in una volta sola, ma funziona altrettanto bene per un singolo telefono da sbloccare.

Il punto chiave è che questo processo non richiede alcun login: il telefono si fida del server di provisioning indicato dalla rete. Se possiamo controllare il DHCP, possiamo dire al telefono dove andare a prendere una configurazione che contiene una nuova password admin.

Per indicare al telefono l'indirizzo del server si usa la DHCP Option 66 (TFTP server name): il server DHCP la invia insieme all'indirizzo IP e il telefono la usa come sorgente della configurazione.

La procedura passo per passo

1. Il server TFTP

Abbiamo usato Tftpd64, un server TFTP gratuito e leggero per Windows, in esecuzione su un PC raggiungibile dalla VLAN dei telefoni (nel nostro caso attraverso la VPN dell'ufficio). La cartella radice del server conteneva due file:

• il file di configurazione del telefono;
• l'ultima versione del firmware ufficiale Grandstream per la serie GXP16xx.

Attenzione al firewall di Windows e alle regole tra le VLAN: il TFTP lavora in UDP sulla porta 69 e il telefono deve poter raggiungere il server.

2. Il file di configurazione del telefono

Il telefono cerca un file il cui nome contiene il proprio indirizzo MAC, scritto in minuscolo e senza separatori. Per un telefono con MAC 00:0B:82:AA:BB:CC il file si chiama cfg000b82aabbcc.xml. Il MAC è riportato sull'etichetta sotto il telefono e, se il dispositivo è in rete, si trova anche nella lista dei client della console UniFi.

Il contenuto minimo è molto semplice:

xml
<?xml version="1.0" encoding="UTF-8"?>
<gs_provision version="1">
  <config version="1">
    <!-- P2: password di amministrazione dell'interfaccia web -->
    <P2>NuovaPasswordAdmin</P2>
  </config>
</gs_provision>

Nei file di configurazione Grandstream ogni impostazione è identificata da un codice P numerico: P2 corrisponde alla password dell'utente admin. Inserendo solo questo parametro, il resto della configurazione del telefono (account SIP, estensione, impostazioni di rete) resta invariato.

3. La DHCP Option 66 sulla UDM Pro

Sulla console UniFi abbiamo impostato il server TFTP nelle opzioni DHCP della sola rete VoIP, così da non coinvolgere gli altri dispositivi:

1. Settings → Networks → rete VoIP;
2. sezione DHCP → campo TFTP Server, con l'indirizzo IP del PC su cui gira Tftpd64.

Se la versione della console non mostra il campo dedicato, lo stesso risultato si ottiene aggiungendo un'opzione DHCP personalizzata con codice 66 e come valore l'IP del server.

4. Il riavvio

Il telefono richiede la configurazione durante l'avvio, quindi basta riavviarlo. Senza accesso all'interfaccia, il modo più semplice è togliere e ridare alimentazione: nel nostro caso, spegnendo e riaccendendo la porta PoE dello switch.

Il risultato

Al riavvio il telefono ha ottenuto l'indirizzo e l'Option 66 dal DHCP, ha contattato il server TFTP, ha scaricato il proprio cfg<MAC>.xml e ha applicato la nuova password. Nel log di Tftpd64 si vedono chiaramente le richieste in arrivo dal telefono, utili per verificare che il nome del file sia corretto.

Il login sull'interfaccia web con la nuova password admin è andato a buon fine al primo tentativo: accesso recuperato senza factory reset e quindi senza perdere la configurazione SIP e senza dover riconfigurare l'estensione sul centralino.

Subito dopo è partito anche l'aggiornamento automatico del firmware, scaricato dalla stessa cartella del server TFTP. Un vantaggio non da poco: il firmware datato era probabilmente la causa della voce di reset mancante dal menu.

Cosa abbiamo imparato

Il provisioning è anche uno strumento di recupero

Chi gestisce telefonia IP tende a vedere il provisioning come una funzione per le installazioni di massa. In realtà è anche il modo più pulito per intervenire su un apparecchio inaccessibile, a patto di avere il controllo del DHCP della rete in cui si trova.

Il blocco della web UI non si aggira

Durante le prove abbiamo notato che la schermata di blocco dell'interfaccia web è, lato browser, un semplice overlay. Rimuoverlo però non serve a nulla: il contatore dei tentativi falliti è gestito anche dal firmware del telefono, che continua a rifiutare i login. Non è una scorciatoia e non va considerata tale.

Le password di default non aiutano

Sui modelli GXP16xx più recenti la password admin di fabbrica non è più la classica admin, ma una stringa casuale stampata sull'etichetta del telefono. Vale la pena fotografarla e archiviarla al momento dell'installazione.

Attenzione alla sicurezza

Se il provisioning ci ha permesso di cambiare la password senza credenziali, può permetterlo a chiunque riesca a controllare il DHCP o a impersonare il server TFTP sulla stessa rete. Per questo, a intervento concluso, conviene:

• rimuovere l'Option 66 dalla rete VoIP se non serve in modo permanente;
• spegnere il server TFTP e cancellare il file cfg<MAC>.xml, che contiene una password in chiaro;
• mantenere i telefoni su una VLAN dedicata, separata dalla rete degli utenti e dagli ospiti;
• per un provisioning stabile, preferire HTTPS al TFTP e valutare i file di configurazione cifrati supportati da Grandstream;
• archiviare le credenziali degli apparati in un password manager aziendale, così da non trovarsi più nella stessa situazione.

Conclusioni

Un telefono con la password admin dimenticata, senza reset dal menu e senza tasto fisico, sembra un dispositivo da buttare. Con un server TFTP, un file XML di poche righe e un'opzione DHCP lo abbiamo sbloccato in pochi minuti, mantenendo la configurazione esistente e aggiornando il firmware nello stesso passaggio.

È il tipo di problema che affrontiamo ogni giorno nella gestione di infrastrutture di rete e telefonia VoIP: soluzioni pragmatiche, documentate e attente alla sicurezza. Se la tua azienda ha bisogno di supporto su centralini, telefoni IP o reti UniFi, contattaci.