VPN على Android إلى Cisco IOS: العقد الذي يجب الحصول عليه أولاً

يحتاج الهاتف إلى الوصول إلى بوابة Cisco. لقد سمّى أحدهم بالفعل العميل الذي يجب تثبيته. هذا هو الطرف الخطأ من العملية، وهو سبب فشل النفق بعد ساعة من إعادة كتابة بيانات الاعتماد.

ما تحتاجه أولاً هو عقد اتصال: البروتوكول، والمصادقة، والهوية، ومادة الثقة، وتخصيص العنوان، والتوجيه، مكتوباً من قبل من يدير البوابة.

احصل على ذلك كتابةً وسيصبح اختيار العميل عملية بحث في قائمة. تجاوزه وسيبدو كل فشل كأنه كلمة مرور خاطئة.

نفّذ مرحلة الجمع قبل تثبيت أي شيء

أرسل إلى مالك البوابة قائمة واطلب إجابات لا اسم منتج. تسعة بنود تغطي ملف الوصول عن بعد بالكامل:

1. اسم مضيف البوابة أو عنوانها الذي يجب أن يتصل به العميل، وما إذا كانت قابلة للوصول من الخارج.
2. البروتوكول والإصدار: IKEv2، أو جيل آخر من IPsec، أو خدمة قائمة على TLS.
3. هوية النظير التي تتوقعها البوابة، وما تعرضه هي بالمقابل.
4. مادة الثقة: أي CA يوقّع شهادة البوابة، أو ما إذا كان يُستخدم مفتاح مشترك مسبقاً.
5. مصادقة المستخدم: شهادة، أو اسم مستخدم EAP وكلمة مرور، أو مفتاح مشترك مسبقاً.
6. مجموعة العناوين التي يهبط فيها العميل، مع القناع والبوابة.
7. خوادم DNS التي تُستخدم داخل النفق، وما إذا كان على العميل قبولها.
8. بادئات الوجهات المسموح بها، وما إذا كان يجب حجب الحركة خارجها.
9. إصدارات العميل المدعومة وإصدارات نظام الهاتف، بالإضافة إلى أي شرط تسجيل.

بندان من تلك البنود يسببان معظم الأعطال التي يمكن تجنبها. بدون مادة الثقة لا يمكنك التحقق من البوابة، فيبدو عميل سليم كأنه معطل. وبدون البادئات المسموح بها لا يمكنك التمييز بين قيد توجيه ومشكلة خدمة.

اسم المورّد ليس بروتوكولاً

تقدّم Cisco IOS و IOS XE عدة ترتيبات للوصول عن بعد، وهي لا تشترك في صيغة نقل واحدة. إن IKEv2 مع ملف على نمط FlexVPN ليس الخدمة نفسها كإعداد أقدم من IKEv1، وخدمة عميل قائمة على TLS هي منتج آخر مرة أخرى، وغالباً على منصة مختلفة في المنشأة نفسها.

لذا فإن عميلاً يذكر اسمه مورّد الموجّه لا يثبت شيئاً. قد ينفّذ إحدى تلك الخدمات جيداً ولا ينفّذ غيرها. اسأل أي خدمة مُعدّة، ثم تحقق من أن وثائق العميل تذكر تلك الخدمة كمدعومة.

وثائق IKEv2 الخاصة بـ Cisco تفصل المقترح والسياسة والملف وحلقة المفاتيح ككائنات مستقلة. هذه البنية مفيدة عندما تقرأ إعداداً يلصقه أحدهم لك: فهي تخبرك أي كائن يحمل الإعدادات المهمة لهاتف بعيد، بدلاً من التعامل مع الملف كله ككتلة واحدة.

ما يغطيه مكدّس Android المدمج

يعرض Android ملف IKEv2/IPsec للنظام عبر Ikev2VpnProfile، بأنواع مصادقة منفصلة لمفتاح مشترك مسبقاً، وشهادة RSA، واسم مستخدم EAP وكلمة مرور. ومرجع Ikev2VpnProfile هو المرجع في ما يقبله المُنشئ، بما في ذلك اسم مضيف البوابة والـ CA الجذر للخادم المستخدم للتحقق منه.

تلك الواجهة البرمجية بيان قدرة، وليست وعداً بالتوافق. تقول إن المنصة تستطيع تنفيذ IKEv2 بأنواع المصادقة تلك. لكنها لا تقول إن شاشة إعدادات OEM معينة تعرض كل حقل، ولا أن ملف ملف تعريف صُدّر من منتج آخر سيُستورد.

وهي تعني أيضاً أن المكدّس المدمج لن ينقذك إذا كانت البوابة تشغّل خدمة لا تنفّذها المنصة. في هذه الحالة تحتاج عميل المورّد الذي يدعمه المشغّل، مثبتاً ومُعداً كما توثقه الجهة المشغّلة، بدلاً من حل ملتوي مبني على بروتوكول لا يتحدثه الهاتف.

اختبر بالترتيب المكتوب في العقد

تحقق من طبقة واحدة في كل مرة وتوقف عند أول فشل، لأن الاختبارات اللاحقة بلا معنى حتى تنجح السابقة.

الثقة. إذا رفض العميل شهادة البوابة، فلا شيء آخر يهم. تأكد من أن الـ CA الذي أُعطي لك يوقّع الشهادة التي تعرضها البوابة، ومن أن اسم المضيف الذي اتصلت به يظهر فيها. أبقِ التحقق مفعلاً؛ فتعطيله يحوّل مشكلة هوية إلى خطر اعتراض.

المصادقة. بيانات اعتماد مرفوضة ومقترح غير متطابق ينتجان خطأين مختلفين لكن أعطالاً متشابهة. سجل البوابة هو الحكم: سيقول ما إذا كان المقترح مقبولاً قبل أن يقول أي شيء عن المستخدم.

العنوان وDNS. تأكد من أن الهاتف استلم عنواناً من المجموعة الموثقة، ثم حلّ اسمًا داخلياً واحداً. النفق الذي يرتفع مع عنوان بلا مُحلّل يبدو متصلاً ويتصرف كأن شيئاً لا يعمل.

الوصولية. اختبر وجهة مسموحاً بها واحدة بالعنوان، ثم بالاسم. إن عمل العنوان ولم يعمل الاسم، فقد عدت إلى DNS. وإن لم يعمل أي منهما، فقارن البادئة التي تختبرها بالقائمة المسموح بها قبل أن تلمس العميل.

أنماط الفشل والتراجع

احتفظ بالملف الشخصي العامل السابق مصدَّراً وموثقاً قبل أن تغيّر أي شيء، بما في ذلك اسم الـ CA المستعار ومجموعة العناوين. حينها يعني التراجع استعادة ملف معروف، لا إعادة بنائه من الذاكرة أثناء انقطاع.

حين يعمل، سجّل إجابات المرحلة التسع بجانب الملف الشخصي. سيصبح الهاتف التالي، وتحديث نظام التشغيل التالي، وتغيير البوابة التالي كلها مقارنة مع وثيقة بدلاً من ظهيرة أخرى من التخمين.