Android VPN til Cisco IOS: den kontrakt, du skal have først

Telefonen skal nå en Cisco-gateway. Nogen har allerede navngivet den klient, der skal installeres. Det er den forkerte ende af processen, og det er derfor, tunnelen fejler efter en time med at skrive legitimationsoplysninger igen.

Det, du først har brug for, er en forbindelseskontrakt: protokol, godkendelse, identitet, tillidsmateriale, adressetildeling og routing, skrevet ned af den, der driver gatewayen.

Få det på skrift, og klientvalget bliver et opslag. Spring det over, og enhver fejl ser ud som en forkert adgangskode.

Kør indsamlingen, før du installerer noget

Send gatewayens ejer en liste, og bed om svar, ikke et produktnavn. Ni punkter dækker en fjernadgangsprofil fuldt ud:

1. Gatewayens værtsnavn eller adresse, som klienten skal ringe til, og om den er tilgængelig udefra.
2. Protokollen og versionen: IKEv2, en anden IPsec-generation eller en TLS-baseret tjeneste.
3. Den peer-identitet, gatewayen forventer, og hvad den selv præsenterer tilbage.
4. Tillidsmateriale: hvilken CA der signerer gatewayens certifikat, eller om en forudelt nøgle bruges.
5. Brugergodkendelse: certifikat, EAP-brugernavn og adgangskode eller en forudelt nøgle.
6. Den adressepulje, klienten lander i, med maske og gateway.
7. DNS-servere, der skal bruges inde i tunnelen, og om klienten skal acceptere dem.
8. Tilladte destinationspræfikser, og om trafik uden for dem skal blokeres.
9. De understøttede klientversioner og telefonens OS-versioner samt eventuelle krav om tilmelding.

To af de punkter forårsager de fleste undgåelige fejl. Uden tillidsmaterialet kan du ikke validere gatewayen, så en korrekt klient ser defekt ud. Uden de tilladte præfikser kan du ikke skelne en routingbegrænsning fra et serviceproblem.

Leverandørens navn er ikke en protokol

Cisco IOS og IOS XE tilbyder flere fjernadgangsopstillinger, og de deler ikke ét transmissionsformat. IKEv2 med en FlexVPN-lignende profil er ikke den samme tjeneste som en ældre IKEv1-konfiguration, og en TLS-baseret klienttjeneste er igen et andet produkt, ofte på en anden platform i samme miljø.

Så en klient, hvis navn nævner routerleverandøren, beviser intet. Den kan implementere en af de tjenester godt og ingen af de andre. Spørg, hvilken tjeneste der er konfigureret, og kontrollér derefter, om klientens dokumentation nævner den tjeneste som understøttet.

Ciscos egen IKEv2-dokumentation adskiller forslaget, politikken, profilen og nøgleringen som særskilte objekter. Den struktur er nyttig, når du læser en konfiguration, som nogen sætter ind til dig: den fortæller, hvilket objekt der holder de indstillinger, der betyder noget for en fjern telefon, i stedet for at behandle hele filen som en klump.

Hvad Androids indbyggede stak dækker

Android eksponerer en platform-IKEv2/IPsec-profil via Ikev2VpnProfile, med separate godkendelsestyper til en forudelt nøgle, et RSA-certifikat og EAP-brugernavn og adgangskode. Ikev2VpnProfile-referencen er autoriteten for, hvad builderen accepterer, herunder gatewayens værtsnavn og den serverrod-CA, der bruges til at validere den.

Den API er en kapacitetserklæring, ikke et kompatibilitetsløfte. Den siger, at platformen kan IKEv2 med de godkendelsestyper. Den siger ikke, at en given OEM-indstillingsskærm viser hvert felt, eller at en profilfil eksporteret fra et andet produkt kan importeres.

Det betyder også, at den indbyggede stak ikke redder dig, hvis gatewayen kører en tjeneste, som platformen ikke implementerer. I så fald har du brug for den leverandørklient, operatøren understøtter, installeret og konfigureret som operatøren dokumenterer, i stedet for en omvej bygget på en protokol, som telefonen ikke taler.

Test i den rækkefølge, kontrakten er skrevet i

Validér ét lag ad gangen, og stop ved den første fejl, for senere test er meningsløse, indtil de tidligere består.

Tillid. Hvis klienten afviser gatewayens certifikat, betyder alt andet intet. Bekræft, at den CA, du fik, signerer det certifikat, gatewayen præsenterer, og at det værtsnavn, du ringede til, fremgår af det. Lad valideringen være slået til; at slå den fra gør et identitetsproblem til en risiko for aflytning.

Godkendelse. Afviste legitimationsoplysninger og et ikke-matchende forslag giver forskellige fejl men ens udseende fejl. Gatewayens log er afgørelsen: den siger, om forslaget var acceptabelt, før den siger noget om brugeren.

Adresse og DNS. Bekræft, at telefonen fik en adresse fra den dokumenterede pulje, og slå derefter ét internt navn op. En tunnel, der kommer op med en adresse og ingen resolver, ser forbundet ud og opfører sig, som om intet virker.

Rækkevidde. Test én tilladt destination efter adresse, derefter efter navn. Hvis adressen virker og navnet ikke, er du tilbage ved DNS. Hvis ingen af dem virker, sammenlign det præfiks, du tester, med den tilladte liste, før du rører klienten.

Fejltilstande og tilbagerulningen

Hold den forrige fungerende profil eksporteret og dokumenteret, før du ændrer noget, inklusive CA-aliaset og adressepuljen. Tilbagerulning betyder så at gendanne en kendt profil, ikke at rekonstruere en fra hukommelsen under en afbrydelse.

Når det virker, skriv de ni indsamlingssvar ned ved siden af profilen. Den næste telefon, den næste OS-opdatering og den næste gatewayændring bliver alle en sammenligning med et dokument i stedet for endnu en eftermiddag med gætterier.