Android-VPN Cisco IOS -yhdyskäytävään: sopimus, joka on hankittava ensin

Puhelimen on päästävä Cisco-yhdyskäytävään. Joku on jo nimennyt asennettavan asiakkaan. Se on prosessin väärä pää, ja siksi tunneli epäonnistuu tunnin kuluttua tunnistetietojen uudelleen kirjoittamisesta.

Ensin tarvitset yhteyden sopimuksen: protokolla, todennus, identiteetti, luottamusmateriaali, osoitteenjako ja reititys, yhdyskäytävää hallinnoivan tahon kirjaamana.

Hanki se kirjallisena, ja asiakkaan valinnasta tulee hakutoiminto. Jätä se väliin, ja jokainen epäonnistuminen näyttää väärältä salasanalta.

Tee kartoitus ennen kuin asennat mitään

Lähetä yhdyskäytävän omistajalle lista ja pyydä vastauksia, älä tuotenimeä. Yhdeksän kohtaa kattavat etäkäyttöprofiilin täysin:

1. Yhdyskäytävän isäntänimi tai osoite, johon asiakas soittaa, ja onko se saavutettavissa ulkoa.
2. Protokolla ja versio: IKEv2, muu IPsec-sukupolvi tai TLS-pohjainen palvelu.
3. Vertaisidentiteetti, jota yhdyskäytävä odottaa, ja mitä se itse esittää vastineeksi.
4. Luottamusmateriaali: mikä CA allekirjoittaa yhdyskäytävän varmenteen tai käytetäänkö ennalta jaettua avainta.
5. Käyttäjän todennus: varmenne, EAP-käyttäjänimi ja salasana tai ennalta jaettu avain.
6. Osoitepooli, johon asiakas laskeutuu, maskin ja yhdyskäytävän kanssa.
7. Tunnelissa käytettävät DNS-palvelimet ja onko asiakkaan hyväksyttävä ne.
8. Sallitut kohde-etuliitteet ja onko niiden ulkopuolinen liikenne estettävä.
9. Tuetut asiakasversiot ja puhelimen käyttöjärjestelmäversiot sekä mahdollinen rekisteröitymisehto.

Kaksi näistä kohdista aiheuttaa suurimman osan vältettävissä olevista vioista. Ilman luottamusmateriaalia et voi validoida yhdyskäytävää, joten oikea asiakas näyttää rikkinäiseltä. Ilman sallittuja etuliitteitä et voi erottaa reititysrajoitusta palveluongelmasta.

Toimittajan nimi ei ole protokolla

Cisco IOS ja IOS XE tarjoavat useita etäkäyttöjärjestelyjä, eivätkä ne jaa yhtä siirtoformaattia. IKEv2 FlexVPN-tyylisellä profiililla ei ole sama palvelu kuin vanhempi IKEv1-kokoonpano, ja TLS-pohjainen asiakaspalvelu on taas eri tuote, usein toisella alustalla samassa ympäristössä.

Niinpä asiakas, jonka nimessä mainitaan reitittimen toimittaja, ei todista mitään. Se voi toteuttaa yhden noista palveluista hyvin eikä mitään muuta. Kysy, mikä palvelu on määritetty, ja tarkista sitten, mainitseeko asiakkaan dokumentaatio tuon palvelun tuettuna.

Ciscon oma IKEv2-dokumentaatio erottaa ehdotuksen, käytännön, profiilin ja avainnipun erillisiksi objekteiksi. Rakenne on hyödyllinen, kun luet kokoonpanoa, jonka joku liittää sinulle: se kertoo, mikä objekti pitää etäpuhelimelle tärkeät asetukset sen sijaan, että koko tiedostoa kohdeltaisiin yhtenä möykkynä.

Mitä Androidin sisäänrakennettu pino kattaa

Android tarjoaa alustan IKEv2/IPsec-profiilin Ikev2VpnProfile kautta, erillisillä todennustyypeillä ennalta jaetulle avaimelle, RSA-varmenteelle sekä EAP-käyttäjänimelle ja salasanalle. Ikev2VpnProfile-viite on auktoriteetti sille, mitä rakentaja hyväksyy, mukaan lukien yhdyskäytävän isäntänimi ja palvelimen juuri-CA, jota sen validoinnissa käytetään.

Tämä API on kyvykkyyslausunto, ei yhteensopivuuslupaus. Se sanoo, että alusta osaa IKEv2:n noilla todennustyypeillä. Se ei sano, että tietyn OEM:n asetusnäyttö näyttää jokaisen kentän, eikä että toisesta tuotteesta viety profiilitiedosto tuodaan.

Se tarkoittaa myös, että sisäänrakennettu pino ei pelasta sinua, jos yhdyskäytävässä on palvelu, jota alusta ei toteuta. Silloin tarvitset toimittajan asiakkaan, jota operaattori tukee, asennettuna ja määritettynä operaattorin dokumentoimalla tavalla, etkä kiertotietä protokollalle, jota puhelin ei puhu.

Testaa siinä järjestyksessä, jossa sopimus on kirjoitettu

Validoi yksi kerros kerrallaan ja pysähdy ensimmäiseen epäonnistumiseen, sillä myöhemmät testit ovat merkityksettömiä, kunnes aiemmat menevät läpi.

Luottamus. Jos asiakas hylkää yhdyskäytävän varmenteen, millään muulla ei ole väliä. Varmista, että saamasi CA allekirjoittaa varmenteen, jonka yhdyskäytävä esittää, ja että soittamasi isäntänimi esiintyy siinä. Pidä validointi päällä; sen poistaminen muuttaa identiteettiongelman sieppausriskiksi.

Todennus. Hylätyt tunnistetiedot ja sopimaton ehdotus tuottavat erilaiset virheet mutta samannäköiset viat. Yhdyskäytävän loki ratkaisee: se kertoo, oliko ehdotus hyväksyttävä, ennen kuin se kertoo käyttäjästä mitään.

Osoite ja DNS. Varmista, että puhelin sai osoitteen dokumentoidusta poolista, ja ratkaise sitten yksi sisäinen nimi. Tunneli, joka nousee osoitteella ja ilman ratkaisijaa, näyttää yhdistetyltä ja käyttäytyy kuin mikään ei toimisi.

Saavutettavuus. Testaa yhtä sallittua kohdetta osoitteella ja sitten nimellä. Jos osoite toimii eikä nimi, olet taas DNS:ssä. Jos kumpikaan ei toimi, vertaa testaamaasi etuliitettä sallittuun luetteloon ennen kuin kosket asiakkaaseen.

Vikatilat ja palautus

Pidä edellinen toimiva profiili vietynä ja dokumentoituna ennen kuin muutat mitään, mukaan lukien CA-alias ja osoitepooli. Silloin palautus tarkoittaa tunnetun profiilin palauttamista, ei sen rakentamista uudelleen muistista katkoksen aikana.

Kun se toimii, kirjaa yhdeksän kartoitusvastausta profiilin viereen. Seuraava puhelin, seuraava käyttöjärjestelmäpäivitys ja seuraava yhdyskäytävän muutos muuttuvat vertailuksi asiakirjaan eikä yhdeksi arvailuillaksi.