Androidi VPN Cisco IOS-iga: leping, mille peate esimesena hankima

Telefon peab jõudma Cisco lüüsini. Keegi on juba nimetanud paigaldatava kliendi. See on protsessi vale ots, ja seetõttu ebaõnnestub tunnel pärast tund aega mandaatide uuesti sisestamist.

Kõigepealt on vaja ühenduse lepingut: protokoll, autentimine, identiteet, usaldusmaterjal, aadresside määramine ja marsruutimine, mille on kirja pannud lüüsi haldaja.

Hankige see kirjalikult ja kliendi valik muutub otsinguks. Jätke see vahele ja iga tõrge näeb välja nagu vale parool.

Tehke kogumine enne, kui midagi installite

Saatke lüüsi omanikule nimekiri ja küsige vastuseid, mitte tootenime. Üheksa punkti katavad kaugjuurdepääsu profiili täielikult:

1. Lüüsi hostinimi või aadress, millele klient peab helistama, ja kas see on väljastpoolt kättesaadav.
2. Protokoll ja versioon: IKEv2, mõni teine IPsec-i põlvkond või TLS-il põhinev teenus.
3. Vastaspoole identiteet, mida lüüs ootab, ja mida ta ise vastu esitab.
4. Usaldusmaterjal: milline CA allkirjastab lüüsi sertifikaadi või kas kasutatakse eeljagatud võtit.
5. Kasutaja autentimine: sertifikaat, EAP kasutajanimi ja parool või eeljagatud võti.
6. Aadressikogum, kuhu klient maandub, koos maski ja lüüsiga.
7. Tunnelis kasutatavad DNS-serverid ja kas klient peab need vastu võtma.
8. Lubatud sihtkoha prefiksid ja kas väljaspool neid olev liiklus tuleb blokeerida.
9. Toetatud kliendi versioonid ja telefoni operatsioonisüsteemi versioonid, samuti kõik registreerimisnõuded.

Kaks neist punktidest põhjustavad enamiku välditavaid tõrkeid. Ilma usaldusmaterjalita ei saa te lüüsi valideerida, nii et korrektne klient näeb katki. Ilma lubatud prefiksiteta ei saa te marsruutimispiirangut teenuseprobleemist eristada.

Tarnija nimi ei ole protokoll

Cisco IOS ja IOS XE pakuvad mitut kaugjuurdepääsu lahendust ja need ei jaga üht juhtmestikuvormingut. IKEv2 FlexVPN-laadse profiiliga ei ole sama teenus kui vanem IKEv1 konfiguratsioon, ja TLS-il põhinev klienditeenus on jälle teine toode, sageli samas keskkonnas teisel platvormil.

Nii et klient, mille nimi mainib ruuteri tarnijat, ei tõesta midagi. See võib ühte neist teenustest hästi rakendada ja ühtegi teist mitte. Küsige, milline teenus on seadistatud, ja seejärel kontrollige, kas kliendi dokumentatsioon nimetab seda teenust toetatuna.

Cisco enda IKEv2 dokumentatsioon eristab ettepaneku, poliitika, profiili ja võtmekimbu eraldi objektidena. See struktuur on kasulik, kui loete konfiguratsiooni, mille keegi teile kleepis: see ütleb, milline objekt hoiab seadeid, mis on kaugtelefoni jaoks olulised, selle asemel et käsitleda kogu faili ühe tervikuna.

Mida Androidi sisseehitatud virn katab

Android pakub platvormi IKEv2/IPsec profiili Ikev2VpnProfile kaudu, eraldi autentimistüüpidega eeljagatud võtme, RSA sertifikaadi ning EAP kasutajanime ja parooli jaoks. Ikev2VpnProfile viide on autoriteet selle kohta, mida koostaja aktsepteerib, sealhulgas lüüsi hostinimi ja serveri juur-CA, mida selle valideerimiseks kasutatakse.

See API on võimekuse väide, mitte ühilduvuslubadus. See ütleb, et platvorm suudab IKEv2-te nende autentimistüüpidega teha. See ei ütle, et konkreetne OEM-i seadete ekraan näitab iga välja, ega seda, et mõnest teisest tootest eksporditud profiilifail imporditakse.

See tähendab ka, et sisseehitatud virn ei päästa teid, kui lüüs käitab teenust, mida platvorm ei rakenda. Sel juhul on vaja tarnija klienti, mida operaator toetab, paigaldatud ja seadistatud operaatori dokumentatsiooni järgi, mitte ümberpääsu, mis on ehitatud protokollile, mida telefon ei räägi.

Testige lepingu kirjutamise järjekorras

Valideerige üks kiht korraga ja peatuge esimesel tõrkel, sest hilisemad testid on mõttetud, kuni varasemad läbivad.

Usaldus. Kui klient lükkab lüüsi sertifikaadi tagasi, ei loe miski muu. Kinnitage, et teile antud CA allkirjastab sertifikaadi, mille lüüs esitab, ja et teie helistatud hostinimi esineb selles. Jätke valideerimine sisse; selle väljalülitamine muudab identiteediprobleemi pealtkuulamise riskiks.

Autentimine. Tagasilükatud mandaadid ja sobimatu ettepanek annavad erinevad vead, kuid sarnaselt näivad tõrked. Lüüsi logi on otsustaja: see ütleb, kas ettepanek oli vastuvõetav, enne kui ütleb midagi kasutaja kohta.

Aadress ja DNS. Kinnitage, et telefon sai aadressi dokumenteeritud kogumist, seejärel lahendage üks sisemine nimi. Tunnel, mis tõuseb aadressiga ja ilma lahendajata, näeb ühendatud ja käitub nii, nagu miski ei töötaks.

Kättesaadavus. Testige üht lubatud sihtkohta aadressi järgi, seejärel nime järgi. Kui aadress töötab ja nimi mitte, olete tagasi DNS-i juures. Kui kumbki ei tööta, võrrelge testitavat prefiksit lubatud nimekirjaga, enne kui klienti puudutate.

Tõrkerežiimid ja tagasipööramine

Hoidke eelmine töötav profiil eksporditud ja dokumenteeritud enne, kui midagi muudate, sealhulgas CA alias ja aadressikogum. Siis tähendab tagasipööramine teadaoleva profiili taastamist, mitte selle katkestuse ajal mälust uuesti konstrueerimist.

Kui see töötab, kirjutage üheksa kogumisvastust profiili kõrvale. Järgmine telefon, järgmine OS-i uuendus ja järgmine lüüsi muudatus muutuvad kõik dokumendiga võrdlemiseks, mitte veel üheks oletuste pärastlõunaks.