Android VPN prema Cisco IOS: ugovor koji prvo treba pribaviti
Prije instaliranja Android klijenta za Cisco IOS mrežni prolaz, prikupite protokol, autentifikaciju, identitet i usmjeravanje. Runbook za tu fazu.
Telefon mora doći do Cisco mrežnog prolaza. Neko je već imenovao klijent koji treba instalirati. To je pogrešan kraj postupka i zato tunel pada nakon sat vremena ponovnog upisivanja vjerodajnica.
Prvo vam treba ugovor o vezi: protokol, autentifikacija, identitet, materijal povjerenja, dodjela adresa i usmjeravanje, zapisani od strane onoga ko upravlja prolazom.
Pribavite to napismeno i odabir klijenta postaje pretraga. Preskočite to i svaki kvar izgleda kao pogrešna lozinka.
Obavite prikupljanje podataka prije nego što bilo šta instalirate
Pošaljite vlasniku prolaza spisak i tražite odgovore, a ne ime proizvoda. Devet stavki potpuno pokriva profil daljinskog pristupa:
- Ime hosta ili adresa prolaza koji klijent treba birati i da li je dostupan spolja.
- Protokol i verzija: IKEv2, druga generacija IPsec-a ili TLS usluga.
- Identitet partnera koji prolaz očekuje i šta on sam predstavlja zauzvrat.
- Materijal povjerenja: koji CA potpisuje certifikat prolaza ili se koristi unaprijed dijeljeni ključ.
- Autentifikacija korisnika: certifikat, EAP korisničko ime i lozinka ili unaprijed dijeljeni ključ.
- Bazen adresa u koji klijent dolazi, s maskom i prolazom.
- DNS poslužitelji za korištenje unutar tunela i da li ih klijent mora prihvatiti.
- Dozvoljeni prefiksi odredišta i da li saobraćaj izvan njih mora biti blokiran.
- Podržana izdanja klijenta i verzije OS-a telefona, plus svaki zahtjev za registraciju.
Dvije od tih stavki uzrokuju većinu izbježivih kvarova. Bez materijala povjerenja ne možete provjeriti prolaz, pa ispravan klijent izgleda pokvaren. Bez dozvoljenih prefiksa ne možete razlikovati ograničenje usmjeravanja od problema s uslugom.
Ime dobavljača nije protokol
Cisco IOS i IOS XE nude nekoliko rješenja za daljinski pristup i ona ne dijele isti format prijenosa. IKEv2 s profilom u stilu FlexVPN nije ista usluga kao starija IKEv1 konfiguracija, a TLS klijentska usluga je opet drugi proizvod, često na drugoj platformi u istom okruženju.
Zato klijent u čijem imenu se spominje dobavljač rutera ne dokazuje ništa. Može dobro implementirati jednu od tih usluga i nijednu drugu. Pitajte koja je usluga konfigurisana, a zatim provjerite da li dokumentacija klijenta navodi tu uslugu kao podržanu.
Cisco-va vlastita IKEv2 dokumentacija razdvaja prijedlog, politiku, profil i privjesak ključeva kao zasebne objekte. Ta struktura je korisna kada čitate konfiguraciju koju vam neko zalijepi: govori vam koji objekat drži postavke važne za udaljeni telefon, umjesto da cijeli fajl tretira kao jednu gomilu.
Šta pokriva Android-ov ugrađeni stek
Android izlaže platformski IKEv2/IPsec profil kroz Ikev2VpnProfile, s odvojenim tipovima autentifikacije za unaprijed dijeljeni ključ, RSA certifikat i EAP korisničko ime i lozinku. Ikev2VpnProfile referenca je autoritet za ono što graditelj prihvata, uključujući ime hosta prolaza i korijenski CA poslužitelja koji se koristi za njegovu provjeru.
Taj API je izjava o mogućnostima, a ne obećanje kompatibilnosti. Kaže da platforma može IKEv2 s tim tipovima autentifikacije. Ne kaže da određeni OEM ekran postavki prikazuje svako polje, niti da će se profilna datoteka izvezena iz drugog proizvoda uvesti.
To također znači da vas ugrađeni stek neće spasiti ako prolaz pokreće uslugu koju platforma ne implementira. U tom slučaju trebate dobavljačev klijent koji operater podržava, instaliran i konfigurisan kako operater dokumentuje, a ne zaobilazno rješenje na protokolu koji telefon ne govori.
Testirajte redom kojim je ugovor napisan
Provjeravajte jedan sloj po jedan i zaustavite se na prvom kvaru, jer kasniji testovi nemaju smisla dok prethodni ne prođu.
Povjerenje. Ako klijent odbije certifikat prolaza, ništa drugo nije važno. Potvrdite da CA koji ste dobili potpisuje certifikat koji prolaz predstavlja i da se ime hosta koje ste birali nalazi u njemu. Ostavite provjeru uključenu; njeno isključivanje pretvara problem identiteta u rizik presretanja.
Autentifikacija. Odbijene vjerodajnice i neusklađeni prijedlog daju različite greške, ali slične kvarove. Dnevnik prolaza je presudan: reći će da li je prijedlog prihvatljiv prije nego što kaže bilo šta o korisniku.
Adresa i DNS. Potvrdite da je telefon dobio adresu iz dokumentovanog bazena, zatim razriješite jedno interno ime. Tunel koji se podigne s adresom i bez razrješivača izgleda povezan i ponaša se kao da ništa ne radi.
Dostupnost. Testirajte jedno dozvoljeno odredište po adresi, pa po imenu. Ako adresa radi a ime ne, vratili ste se na DNS. Ako nijedno ne radi, uporedite prefiks koji testirate s dozvoljenim spiskom prije nego što dirate klijent.
Načini kvara i vraćanje
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Držite prethodni radni profil izvezen i dokumentovan prije nego što bilo šta promijenite, uključujući alias CA i bazen adresa. Vraćanje tada znači obnavljanje poznatog profila, a ne njegovo rekonstruisanje po sjećanju tokom prekida.
Kad proradi, zapišite devet odgovora prikupljanja pored profila. Sljedeći telefon, sljedeće ažuriranje OS-a i sljedeća promjena prolaza postaju poređenje s dokumentom umjesto još jednog popodneva nagađanja.