Android VPN və Cisco IOS: əvvəlcə alınmalı müqavilə
Cisco IOS şlüzü üçün Android müştərisini quraşdırmadan əvvəl protokol, autentifikasiya, kimlik və marşrutlaşdırmanı toplayın. Bu mərhələ üçün runbook.
Telefon Cisco şlüzünə çatmalıdır. Kimsə artıq quraşdırılacaq müştərini adlandırıb. Bu prosesin yanlış ucudur və buna görə tunel bir saat ərzində etimad məlumatlarını yenidən yazdıqdan sonra uğursuz olur.
Əvvəlcə sizə lazım olan şey bağlantı müqaviləsidir: protokol, autentifikasiya, kimlik, etimad materialı, ünvan təyinatı və marşrutlaşdırma — şlüzü idarə edən şəxs tərəfindən yazılı şəkildə.
Bunu yazılı alsanız, müştəri seçimi sadəcə axtarışa çevrilir. Bunu atlarsanız, hər uğursuzluq səhv parol kimi görünür.
Heç nə quraşdırmadan əvvəl məlumat toplama mərhələsini keçirin
Şlüz sahibinə siyahı göndərin və məhsul adı deyil, cavab istəyin. Doqquz bənd uzaqdan giriş profilini tam əhatə edir:
- Müştərinin yığacağı şlüz host adı və ya ünvanı və onun xaricdən əlçatan olub-olmaması.
- Protokol və versiya: IKEv2, başqa bir IPsec nəsli və ya TLS əsaslı xidmət.
- Şlüzün gözlədiyi peer kimliyi və onun özünün təqdim etdiyi kimlik.
- Etimad materialı: şlüz sertifikatını hansı CA imzalayır və ya əvvəlcədən paylaşılmış açar istifadə olunurmu.
- İstifadəçi autentifikasiyası: sertifikat, EAP istifadəçi adı və parol və ya əvvəlcədən paylaşılmış açar.
- Müştərinin düşdüyü ünvan hovuzu, maska və şlüz ilə birlikdə.
- Tunelin içində istifadə olunacaq DNS serverləri və müştərinin onları qəbul etməli olub-olmaması.
- İcazə verilən təyinat prefiksləri və onlardan kənar trafikin bloklanmalı olub-olmaması.
- Dəstəklənən müştəri buraxılışları və telefon əməliyyat sistemi versiyaları, həmçinin hər hansı qeydiyyat tələbi.
Bu bəndlərdən ikisi qaçıla bilən uğursuzluqların çoxuna səbəb olur. Etimad materialı olmadan şlüzü yoxlaya bilməzsiniz, ona görə düzgün müştəri xarab görünür. İcazə verilən prefikslər olmadan marşrut məhdudiyyətini xidmət problemindən ayıra bilməzsiniz.
Təchizatçı adı protokol deyil
Cisco IOS və IOS XE bir neçə uzaqdan giriş quruluşu təklif edir və onlar eyni ötürmə formatını paylaşmır. FlexVPN üslubunda profil ilə IKEv2 köhnə IKEv1 konfiqurasiyası ilə eyni xidmət deyil, TLS əsaslı müştəri xidməti isə yenə başqa məhsuldur və çox vaxt eyni mühitdə başqa platformadadır.
Yəni adında router təchizatçısını çəkən müştəri heç nə sübut etmir. O, bu xidmətlərdən birini yaxşı tətbiq edə, digərlərini isə heç tətbiq etməyə bilər. Hansı xidmətin qurulduğunu soruşun, sonra müştərinin sənədlərinin həmin xidməti dəstəklənən kimi göstərdiyini yoxlayın.
Cisco-nun öz IKEv2 sənədləri təklifi, siyasəti, profili və açar halqasını ayrı obyektlər kimi ayırır. Bu quruluş kiminsə sizə yapışdırdığı konfiqurasiyanı oxuyarkən faydalıdır: bütün faylı bir kütlə kimi görmək əvəzinə hansı obyektin uzaq telefon üçün vacib ayarları saxladığını deyir.
Android-in daxili yığını nəyi əhatə edir
Android platformanın IKEv2/IPsec profilini Ikev2VpnProfile vasitəsilə təqdim edir; əvvəlcədən paylaşılmış açar, RSA sertifikatı və EAP istifadəçi adı/parolu üçün ayrı autentifikasiya növləri var. Ikev2VpnProfile sənədi qurucunun nəyi qəbul etdiyi barədə səlahiyyətli mənbədir, o cümlədən şlüz host adı və onu yoxlamaq üçün istifadə olunan server kök CA.
Bu API imkan bəyanatıdır, uyğunluq vədi deyil. Platformanın həmin autentifikasiya növləri ilə IKEv2 edə bildiyini deyir. Müəyyən OEM Parametrlər ekranının hər sahəni göstərdiyini, yaxud başqa məhsuldan ixrac edilmiş profil faylının idxal olunacağını demir.
Bu həm də o deməkdir ki, şlüz platformanın tətbiq etmədiyi bir xidmət işlədirsə, daxili yığın sizi xilas etməyəcək. Bu halda operatorun dəstəklədiyi təchizatçı müştərisi lazımdır — operatorun sənədləşdirdiyi kimi quraşdırılmış və konfiqurasiya edilmiş, telefonun danışmadığı protokol üzərində qurulmuş bir hiylə deyil.
Müqavilənin yazıldığı sıra ilə sınaqdan keçirin
Hər dəfə bir qatı yoxlayın və ilk uğursuzluqda dayanın, çünki əvvəlkilər keçməyincə sonrakı testlər mənasızdır.
Etimad. Müştəri şlüz sertifikatını rədd edirsə, başqa heç nə vacib deyil. Sizə verilən CA-nın şlüzün təqdim etdiyi sertifikatı imzaladığını və yığdığınız host adının orada göründüyünü təsdiqləyin. Yoxlamanı açıq saxlayın; onu söndürmək kimlik problemini müdaxilə riskinə çevirir.
Autentifikasiya. Rədd edilmiş etimad məlumatı və uyğun olmayan təklif fərqli xətalar, amma oxşar görünən uğursuzluqlar yaradır. Şlüz jurnalı həlledicidir: istifadəçi barədə heç nə deməzdən əvvəl təklifin məqbul olub-olmadığını deyəcək.
Ünvan və DNS. Telefonun sənədləşdirilmiş hovuzdan ünvan aldığını təsdiqləyin, sonra bir daxili adı həll edin. Ünvanla qalxan və heç bir həlledici olmayan tunel qoşulmuş görünür və heç nə işləmirmiş kimi davranır.
Əlçatanlıq. Bir icazəli təyinatı əvvəlcə ünvanla, sonra adla sınayın. Ünvan işləyir, ad işləmirsə, yenə DNS-ə qayıtmısınız. Heç biri işləmirsə, müştəriyə toxunmadan əvvəl sınadığınız prefiksi icazəli siyahı ilə müqayisə edin.
Uğursuzluq rejimləri və geri qaytarma
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Hər hansı dəyişiklik etməzdən əvvəl əvvəlki işləyən profili ixrac edilmiş və sənədləşdirilmiş saxlayın, CA ləqəbi və ünvan hovuzu daxil olmaqla. Onda geri qaytarma tanınmış profili bərpa etmək deməkdir, kəsinti zamanı onu yaddaşdan yenidən qurmaq deyil.
İşləyəndə doqquz məlumat toplama cavabını profilin yanında qeyd edin. Növbəti telefon, növbəti OS yeniləməsi və növbəti şlüz dəyişikliyi sənədə qarşı müqayisəyə çevrilir, daha bir təxmin günortasına deyil.