VPN Android i Cisco IOS: y contract i'w gael yn gyntaf

Mae angen i'r ffôn gyrraedd porth Cisco. Mae rhywun eisoes wedi enwi'r cleient i'w osod. Dyma ddiwedd anghywir y broses, a dyna pam mae'r twnnel yn methu ar ôl awr o ail-deipio manylion mewngofnodi.

Yr hyn sydd ei angen arnoch yn gyntaf yw contract cysylltiad: protocol, dilysu, hunaniaeth, deunydd ymddiriedaeth, dyraniad cyfeiriadau a llwybryd, wedi'i ysgrifennu gan bwy bynnag sy'n rhedeg y porth.

Cewch hynny'n ysgrifenedig ac mae dewis y cleient yn troi'n chwiliad. Hepgorwch ef ac mae pob methiant yn edrych fel cyfrinair gwael.

Gwnewch y casgliad cyn gosod unrhyw beth

Anfonwch restr at berchennog y porth a gofynnwch am atebion, nid enw cynnyrch. Mae naw eitem yn cwmpasu proffil mynediad o bell yn llwyr:

1. Enw gwesteiwr neu gyfeiriad y porth y dylai'r cleient ei ddeialu, ac a yw'n cyrraeddadwy o'r tu allan.
2. Y protocol a'r fersiwn: IKEv2, cenhedlaeth arall o IPsec, neu wasanaeth sy'n seiliedig ar TLS.
3. Hunaniaeth y cymar y mae'r porth yn ei disgwyl, a'r hyn y mae'n ei gyflwyno'n ôl.
4. Deunydd ymddiriedaeth: pa CA sy'n llofnodi tystysgrif y porth, neu a ddefnyddir allwedd a rannwyd ymlaen llaw.
5. Dilysu defnyddiwr: tystysgrif, enw defnyddiwr a chyfrinair EAP, neu allwedd a rannwyd ymlaen llaw.
6. Y pwll cyfeiriadau y mae'r cleient yn glanio ynddo, gyda mwgwd a phorth.
7. Gweinyddwyr DNS i'w defnyddio y tu mewn i'r twnnel, ac a oes rhaid i'r cleient eu derbyn.
8. Rhagddodiadau cyrchfan a ganiateir, ac a oes rhaid blocio traffig y tu allan iddynt.
9. Y fersiynau cleient a gefnogir a fersiynau system weithredu'r ffôn, ynghyd ag unrhyw ofyniad cofrestru.

Mae dwy o'r eitemau hynny'n achosi'r rhan fwyaf o'r methiannau y gellir eu hosgoi. Heb y deunydd ymddiriedaeth ni allwch ddilysu'r porth, felly mae cleient cywir yn edrych yn ddiffygiol. Heb y rhagddodiadau a ganiateir ni allwch wahaniaethu cyfyngiad llwybryd oddi wrth broblem gwasanaeth.

Nid yw enw'r gwerthwr yn brotocol

Mae Cisco IOS ac IOS XE yn cynnig sawl trefniant mynediad o bell, ac nid ydynt yn rhannu un fformat weiren. Nid yw IKEv2 â phroffil tebyg i FlexVPN yr un gwasanaeth â chyfluniad IKEv1 hŷn, ac mae gwasanaeth cleient sy'n seiliedig ar TLS yn gynnyrch arall eto, yn aml ar lwyfan gwahanol yn yr un amgylchedd.

Felly nid yw cleient y mae ei enw'n crybwyll gwerthwr y llwybrydd yn profi unrhyw beth. Gall weithredu un o'r gwasanaethau hynny'n dda ac unrhyw un arall ddim. Gofynnwch pa wasanaeth sydd wedi'i ffurfweddu, yna gwiriwch a yw dogfennaeth y cleient yn enwi'r gwasanaeth hwnnw fel un a gefnogir.

Mae dogfennaeth IKEv2 Cisco ei hun yn gwahanu'r cynnig, y polisi, y proffil a'r cylch allweddi fel gwrthrychau ar wahân. Mae'r strwythur hwnnw'n ddefnyddiol pan fyddwch yn darllen cyfluniad y mae rhywun yn ei bastio atoch: mae'n dweud pa wrthrych sy'n dal y gosodiadau sy'n bwysig i ffôn o bell, yn lle trin y ffeil gyfan fel un swp.

Beth mae stac adeiledig Android yn ei gwmpasu

Mae Android yn datgelu proffil IKEv2/IPsec platfform trwy Ikev2VpnProfile, gyda mathau dilysu ar wahân ar gyfer allwedd a rannwyd ymlaen llaw, tystysgrif RSA, ac enw defnyddiwr a chyfrinair EAP. Cyfeirlyfr Ikev2VpnProfile yw'r awdurdod ar yr hyn y mae'r adeiladydd yn ei dderbyn, gan gynnwys enw gwesteiwr y porth a'r CA gwraidd gweinydd a ddefnyddir i'w ddilysu.

Datganiad o allu yw'r API hwnnw, nid addewid o gydnawsedd. Mae'n dweud y gall y platfform wneud IKEv2 gyda'r mathau dilysu hynny. Nid yw'n dweud bod sgrin gosodiadau OEM benodol yn datgelu pob maes, nac y bydd ffeil proffil a allforiwyd o gynnyrch arall yn mewnforio.

Mae hefyd yn golygu na fydd y stac adeiledig yn eich achub os yw'r porth yn rhedeg gwasanaeth nad yw'r platfform yn ei weithredu. Yn yr achos hwnnw mae arnoch angen cleient y gwerthwr y mae'r gweithredwr yn ei gefnogi, wedi'i osod a'i ffurfweddu fel y mae'r gweithredwr yn ei ddogfennu, yn hytrach na chylch osgoi wedi'i adeiladu ar brotocol nad yw'r ffôn yn ei siarad.

Profwch yn y drefn y mae'r contract wedi'i ysgrifennu

Dilyswch un haen ar y tro a stopiwch ar y methiant cyntaf, oherwydd nid oes ystyr i brofion diweddarach nes bod y rhai cynharach yn pasio.

Ymddiriedaeth. Os yw'r cleient yn gwrthod tystysgrif y porth, nid oes dim arall yn bwysig. Cadarnhewch fod y CA a roddwyd i chi yn llofnodi'r dystysgrif y mae'r porth yn ei chyflwyno, a bod yr enw gwesteiwr a ddeialwyd gennych yn ymddangos ynddi. Cadwch y dilysu ymlaen; mae ei ddiffodd yn troi problem hunaniaeth yn risg rhyng-gipio.

Dilysu. Mae manylion mewngofnodi a wrthodwyd a chynnig anghyfatebol yn cynhyrchu gwahanol wallau ond methiannau tebyg yr olwg. Log y porth yw'r penderfynydd: bydd yn dweud a oedd y cynnig yn dderbyniol cyn dweud unrhyw beth am y defnyddiwr.

Cyfeiriad a DNS. Cadarnhewch fod y ffôn wedi cael cyfeiriad o'r pwll a ddogfennwyd, yna datryswch un enw mewnol. Mae twnnel sy'n codi gyda chyfeiriad a heb ddatryswr yn edrych yn gysylltiedig ac yn ymddwyn fel pe na bai unrhyw beth yn gweithio.

Cyrhaeddedd. Profwch un gyrchfan a ganiateir yn ôl cyfeiriad, yna yn ôl enw. Os yw'r cyfeiriad yn gweithio a'r enw ddim, rydych yn ôl yn DNS. Os nad yw'r un yn gweithio, cymharwch y rhagddodiad rydych yn ei brofi â'r rhestr a ganiateir cyn cyffwrdd â'r cleient.

Moddau methu a'r adferiad

Cadwch y proffil gweithio blaenorol wedi'i allforio a'i ddogfennu cyn newid unrhyw beth, gan gynnwys alias y CA a'r pwll cyfeiriadau. Yna mae adfer yn golygu adfer proffil hysbys, nid ei ailadeiladu o gof yn ystod ymyrraeth.

Pan fydd yn gweithio, cofnodwch y naw ateb casglu wrth ymyl y proffil. Mae'r ffôn nesaf, y diweddariad system nesaf a'r newid porth nesaf i gyd yn dod yn gymhariaeth â dogfen yn lle prynhawn arall o ddyfalu.