Android VPN і Cisco IOS: дагавор, які трэба атрымаць першым

Тэлефон павінен дасягнуць шлюза Cisco. Хтосьці ўжо назваў кліент, які трэба ўсталяваць. Гэта няправільны канец працэсу, і менавіта таму тунель падае пасля гадзіны перанабора ўліковых даных.

Спачатку патрэбны дагавор аб злучэнні: пратакол, аўтэнтыфікацыя, ідэнтычнасць, давераныя матэрыялы, прызначэнне адрасоў і маршрутызацыя — запісаныя тым, хто кіруе шлюзам.

Атрымайце гэта ў пісьмовым выглядзе, і выбар кліента стане проста пошукам. Прапусціце — і кожная няўдача выглядае як няправільны пароль.

Правядзіце збор звестак да ўсталявання

Даслаць уладальніку шлюза спіс і прасіце адказы, а не назву прадукту. Дзевяць пунктаў цалкам пакрываюць профіль аддаленага доступу:

1. Імя хоста або адрас шлюза, да якога павінен падключацца кліент, і ці дасяжны ён звонку.
2. Пратакол і версія: IKEv2, іншае пакаленне IPsec або служба на базе TLS.
3. Ідэнтычнасць аднарангавага боку, якую чакае шлюз, і што ён прапануе ў адказ.
4. Давераныя матэрыялы: які CA падпісвае сертыфікат шлюза ці выкарыстоўваецца папярэдне агучаны ключ.
5. Аўтэнтыфікацыя карыстальніка: сертыфікат, імя карыстальніка і пароль EAP або папярэдне агучаны ключ.
6. Пул адрасоў, у які трапляе кліент, з маскай і шлюзам.
7. DNS-серверы для выкарыстання ўнутры тунеля і ці павінен кліент іх прымаць.
8. Дазволеныя прэфіксы прызначэння і ці трэба блакаваць трафік па-за імі.
9. Падтрыманыя выпускі кліента і версіі АС тэлефона, а таксама любае патрабаванне рэгістрацыі.

Два з гэтых пунктаў выклікаюць большасць пазбежных збояў. Без давераных матэрыялаў вы не можаце праверыць шлюз, таму спраўны кліент выглядае зламаным. Без дазволеных прэфіксаў вы не адрозніце абмежаванне маршрутызацыі ад праблемы службы.

Назва пастаўшчыка — не пратакол

Cisco IOS і IOS XE прапануюць некалькі схем аддаленага доступу, і яны не падзяляюць адзін фармат перадачы. IKEv2 з профілем у стылі FlexVPN — гэта не тая ж служба, што старэйшая канфігурацыя IKEv1, а кліенцкая служба на базе TLS — зноў іншы прадукт, часта на іншай платформе ў тым жа асяроддзі.

Таму кліент, у назве якога згаданы пастаўшчык маршрутызатара, нічога не даказвае. Ён можа добра рэалізаваць адну з гэтых службаў і ніводнай іншай. Спытайце, якая служба наладжана, затым праверце, ці дакументацыя кліента называе гэтую службу падтрыманай.

Уласная дакументацыя Cisco па IKEv2 раздзяляе прапанову, палітыку, профіль і звязку ключоў як асобныя абекты. Гэтая структура карысная, калі вы чытаеце канфігурацыю, якую нехта ўставіў вам: яна паказвае, які абект захоўвае налады, важныя для аддаленага тэлефона, замест таго каб разглядаць увесь файл як адзін камяк.

Што пакрывае ўбудаваны стек Android

Android прадстаўляе платформенны профіль IKEv2/IPsec праз Ikev2VpnProfile, з асобнымі тыпамі аўтэнтыфікацыі для папярэдне агучанага ключа, сертыфіката RSA і імя карыстальніка з паролем EAP. Даведка Ikev2VpnProfile — гэта крыніца пра тое, што прымае будаўнік, уключаючы імя хоста шлюза і карэнны CA сервера, які выкарыстоўваецца для яго праверкі.

Гэты API — заява аб магчымасцях, а не абяцанне сумяшчальнасці. Ён кажа, што платформа можа рабіць IKEv2 з такімі тыпамі аўтэнтыфікацыі. Ён не кажа, што пэўны экран налад OEM паказвае кожнае поле, ані што файл профілю, экспартаваны з іншага прадукту, імпартуецца.

Гэта таксама значыць, што ўбудаваны стек не выратуе вас, калі шлюз запускае службу, якую платформа не рэалізуе. У такім разе патрэбны кліент пастаўшчыка, які падтрымлівае аператар, усталяваны і наладжаны так, як дакументуе аператар, а не абходны шлях на пратаколе, на якім тэлефон не размаўляе.

Тэстуйце ў парадку, у якім напісаны дагавор

Правярайце адзін узровень за раз і спыняйцеся на першай няўдачы, бо наступныя тэсты бессэнсоўныя, пакуль не пройдуць папярэднія.

Давер. Калі кліент адхіляе сертыфікат шлюза, болей нічога не мае значэння. Пераканайцеся, што атрыманы CA падпісвае сертыфікат, які прадстаўляе шлюз, і што імя хоста, да якога вы падключыліся, ёсць у ім. Пакіньце праверку ўключанай; яе адключэнне ператварае праблему ідэнтычнасці ў рызыку перахопу.

Аўтэнтыфікацыя. Адхіленыя ўліковыя даныя і неадпаведная прапанова даюць розныя памылкі, але падобныя збоі. Журнал шлюза — вырашальны: ён скажа, ці была прапанова прымальнай, перш чым сказаць што-небудзь пра карыстальніка.

Адрас і DNS. Пераканайцеся, што тэлефон атрымаў адрас з дакументаванага пула, затым развяжыце адно ўнутранае імя. Тунель, які ўзнімаецца з адрасам і без рэзальвера, выглядае падключаным і паводзіць сябе так, нібы нічога не працуе.

Дасяжнасць. Праверце адзін дазволены пункт прызначэння па адрасе, затым па імені. Калі адрас працуе, а імя не, вы зноў вярнуліся да DNS. Калі ні тое, ні другое не працуе, параўнайце прэфікс, які тэстуеце, з дазволеным спісам, перш чым чапаць кліент.

Рэжымы збояў і адкат

Захоўвайце папярэдні працоўны профіль экспартаваным і задакументаваным, перш чым нешта змяняць, уключаючы псеўданім CA і пул адрасоў. Тады адкат азначае аднаўленне вядомага профілю, а не яго пабудову з памяці падчас збою.

Калі ўсё працуе, запішыце дзевяць адказаў збору побач з профілем. Наступны тэлефон, наступнае абнаўленне АС і наступная змена шлюза стануць параўнаннем з дакументам, а не чарговым пасляабедзенным гаданнем.