VPN Android σε Cisco IOS: το συμβόλαιο που πρέπει να πάρετε πρώτα

Το τηλέφωνο πρέπει να φτάσει σε μια πύλη Cisco. Κάποιος έχει ήδη ονομάσει τον πελάτη που πρέπει να εγκατασταθεί. Αυτό είναι το λάθος άκρο της διαδικασίας, και γι αυτό η σήραγγα αποτυγχάνει μετά από μία ώρα επανάληψης των διαπιστευτηρίων.

Αυτό που χρειάζεστε πρώτα είναι ένα συμβόλαιο σύνδεσης: πρωτόκολλο, έλεγχος ταυτότητας, ταυτότητα, υλικό εμπιστοσύνης, εκχώρηση διευθύνσεων και δρομολόγηση, γραμμένα από όποιον διαχειρίζεται την πύλη.

Πάρτε το γραπτώς και η επιλογή πελάτη γίνεται αναζήτηση. Παραλείψτε το και κάθε αποτυχία μοιάζει με λάθος κωδικό.

Κάντε τη συλλογή πριν εγκαταστήσετε οτιδήποτε

Στείλτε στον ιδιοκτήτη της πύλης μια λίστα και ζητήστε απαντήσεις, όχι όνομα προϊόντος. Εννέα στοιχεία καλύπτουν πλήρως ένα προφίλ απομακρυσμένης πρόσβασης:

1. Το όνομα κεντρικού υπολογιστή ή η διεύθυνση της πύλης που πρέπει να καλέσει ο πελάτης, και αν είναι προσβάσιμη από έξω.
2. Το πρωτόκολλο και η έκδοση: IKEv2, άλλη γενιά IPsec ή υπηρεσία βασισμένη σε TLS.
3. Η ταυτότητα του ομοτίμου που περιμένει η πύλη και τι παρουσιάζει η ίδια σε αντάλλαγμα.
4. Υλικό εμπιστοσύνης: ποια CA υπογράφει το πιστοποιητικό της πύλης ή αν χρησιμοποιείται προκοινοποιημένο κλειδί.
5. Έλεγχος ταυτότητας χρήστη: πιστοποιητικό, όνομα χρήστη και κωδικός EAP ή προκοινοποιημένο κλειδί.
6. Η ομάδα διευθύνσεων στην οποία προσγειώνεται ο πελάτης, με μάσκα και πύλη.
7. Διακομιστές DNS για χρήση μέσα στη σήραγγα και αν ο πελάτης πρέπει να τους δεχτεί.
8. Επιτρεπόμενα προθέματα προορισμού και αν η κίνηση έξω από αυτά πρέπει να αποκλείεται.
9. Οι υποστηριζόμενες εκδόσεις πελάτη και οι εκδόσεις λειτουργικού συστήματος του τηλεφώνου, καθώς και οποιαδήποτε απαίτηση εγγραφής.

Δύο από αυτά τα στοιχεία προκαλούν τις περισσότερες αποφεύξιμες αποτυχίες. Χωρίς το υλικό εμπιστοσύνης δεν μπορείτε να επικυρώσετε την πύλη, οπότε ένας σωστός πελάτης φαίνεται χαλασμένος. Χωρίς τα επιτρεπόμενα προθέματα δεν μπορείτε να ξεχωρίσετε έναν περιορισμό δρομολόγησης από ένα πρόβλημα υπηρεσίας.

Το όνομα του προμηθευτή δεν είναι πρωτόκολλο

Τα Cisco IOS και IOS XE προσφέρουν αρκετές ρυθμίσεις απομακρυσμένης πρόσβασης και δεν μοιράζονται μία μορφή μετάδοσης. Το IKEv2 με προφίλ τύπου FlexVPN δεν είναι η ίδια υπηρεσία με μια παλαιότερη διαμόρφωση IKEv1, και μια υπηρεσία πελάτη βασισμένη σε TLS είναι πάλι άλλο προϊόν, συχνά σε άλλη πλατφόρμα στο ίδιο περιβάλλον.

Επομένως ένας πελάτης που το όνομά του αναφέρει τον προμηθευτή του δρομολογητή δεν αποδεικνύει τίποτα. Μπορεί να υλοποιεί καλά μία από αυτές τις υπηρεσίες και καμία άλλη. Ρωτήστε ποια υπηρεσία έχει ρυθμιστεί και μετά ελέγξτε αν η τεκμηρίωση του πελάτη αναφέρει αυτή την υπηρεσία ως υποστηριζόμενη.

Η ίδια η τεκμηρίωση της Cisco για το IKEv2 διαχωρίζει την πρόταση, την πολιτική, το προφίλ και το κλειδοδοχείο ως ξεχωριστά αντικείμενα. Αυτή η δομή είναι χρήσιμη όταν διαβάζετε μια διαμόρφωση που σας επικολλά κάποιος: σας λέει ποιο αντικείμενο κρατά τις ρυθμίσεις που μετράνε για ένα απομακρυσμένο τηλέφωνο, αντί να αντιμετωπίζει όλο το αρχείο ως ένα σβώλο.

Τι καλύπτει η ενσωματωμένη στοίβα του Android

Το Android εκθέτει ένα προφίλ IKEv2/IPsec της πλατφόρμας μέσω Ikev2VpnProfile, με ξεχωριστούς τύπους ελέγχου ταυτότητας για προκοινοποιημένο κλειδί, πιστοποιητικό RSA και όνομα χρήστη και κωδικό EAP. Η αναφορά Ikev2VpnProfile είναι η αυθεντία για το τι δέχεται ο κατασκευαστής, συμπεριλαμβανομένου του ονόματος κεντρικού υπολογιστή της πύλης και της ριζικής CA του διακομιστή που χρησιμοποιείται για την επικύρωσή του.

Αυτό το API είναι δήλωση δυνατότητας, όχι υπόσχεση συμβατότητας. Λέει ότι η πλατφόρμα μπορεί IKEv2 με αυτούς τους τύπους ελέγχου ταυτότητας. Δεν λέει ότι μια δεδομένη οθόνη ρυθμίσεων OEM εκθέτει κάθε πεδίο, ούτε ότι ένα αρχείο προφίλ που εξήχθη από άλλο προϊόν θα εισαχθεί.

Σημαίνει επίσης ότι η ενσωματωμένη στοίβα δεν θα σας σώσει αν η πύλη τρέχει υπηρεσία που η πλατφόρμα δεν υλοποιεί. Σε αυτή την περίπτωση χρειάζεστε τον πελάτη του προμηθευτή που υποστηρίζει ο φορέας, εγκατεστημένο και ρυθμισμένο όπως τεκμηριώνει ο φορέας, αντί για μια παράκαμψη χτισμένη σε πρωτόκολλο που το τηλέφωνο δεν μιλά.

Δοκιμάστε με τη σειρά που είναι γραμμένο το συμβόλαιο

Επικυρώστε ένα επίπεδο τη φορά και σταματήστε στην πρώτη αποτυχία, γιατί οι επόμενες δοκιμές δεν έχουν νόημα μέχρι να περάσουν οι προηγούμενες.

Εμπιστοσύνη. Αν ο πελάτης απορρίψει το πιστοποιητικό της πύλης, τίποτα άλλο δεν έχει σημασία. Επιβεβαιώστε ότι η CA που σας δόθηκε υπογράφει το πιστοποιητικό που παρουσιάζει η πύλη και ότι το όνομα κεντρικού υπολογιστή που καλέσατε εμφανίζεται σε αυτό. Αφήστε την επικύρωση ενεργή· η απενεργοποίησή της μετατρέπει ένα πρόβλημα ταυτότητας σε κίνδυνο υποκλοπής.

Έλεγχος ταυτότητας. Απορριφθέντα διαπιστευτήρια και μη ταιριαστή πρόταση παράγουν διαφορετικά σφάλματα αλλά παρόμοιες αποτυχίες. Το αρχείο καταγραφής της πύλης είναι ο κριτής: θα πει αν η πρόταση ήταν αποδεκτή πριν πει οτιδήποτε για τον χρήστη.

Διεύθυνση και DNS. Επιβεβαιώστε ότι το τηλέφωνο έλαβε διεύθυνση από την τεκμηριωμένη ομάδα και μετά επιλύστε ένα εσωτερικό όνομα. Μια σήραγγα που ανεβαίνει με διεύθυνση και χωρίς επιλυτή φαίνεται συνδεδεμένη και συμπεριφέρεται σαν να μη δουλεύει τίποτα.

Προσβασιμότητα. Δοκιμάστε έναν επιτρεπόμενο προορισμό με διεύθυνση και μετά με όνομα. Αν η διεύθυνση δουλεύει και το όνομα όχι, επιστρέψατε στο DNS. Αν δεν δουλεύει κανένα, συγκρίνετε το πρόθεμα που δοκιμάζετε με την επιτρεπόμενη λίστα πριν αγγίξετε τον πελάτη.

Τρόποι αποτυχίας και η επαναφορά

Κρατήστε το προηγούμενο προφίλ που λειτουργούσε εξαγμένο και τεκμηριωμένο πριν αλλάξετε οτιδήποτε, μαζί με το ψευδώνυμο της CA και την ομάδα διευθύνσεων. Τότε η επαναφορά σημαίνει επαναφορά γνωστού προφίλ, όχι ανακατασκευή του από μνήμης κατά τη διάρκεια διακοπής.

Όταν δουλέψει, καταγράψτε τις εννέα απαντήσεις της συλλογής δίπλα στο προφίλ. Το επόμενο τηλέφωνο, η επόμενη ενημέρωση λειτουργικού και η επόμενη αλλαγή πύλης γίνονται σύγκριση με ένα έγγραφο αντί για άλλο ένα απόγευμα εικασιών.