Android VPN prema Cisco IOS: ugovor koji prvo treba pribaviti
Prije instaliranja Android klijenta za Cisco IOS mrežni prolaz, prikupite protokol, autentifikaciju, identitet i usmjeravanje. Runbook za tu fazu.
Telefon mora doći do Cisco mrežnog prolaza. Netko je već imenovao klijent koji treba instalirati. To je pogrešan kraj postupka i zato tunel pada nakon sat vremena ponovnog upisivanja vjerodajnica.
Najprije vam treba ugovor o vezi: protokol, autentifikacija, identitet, materijal povjerenja, dodjela adresa i usmjeravanje, zapisani od strane onoga koji upravlja prolazom.
Pribavite to napismeno i odabir klijenta postaje pretraga. Preskočite to i svaki kvar izgleda kao pogrešna zaporka.
Obavite prikupljanje podataka prije nego što bilo što instalirate
Pošaljite vlasniku prolaza popis i tražite odgovore, a ne ime proizvoda. Devet stavki potpuno pokriva profil daljinskog pristupa:
- Ime hosta ili adresa prolaza koji klijent treba birati i je li dostupan izvana.
- Protokol i verzija: IKEv2, druga generacija IPsec-a ili TLS usluga.
- Identitet partnera koji prolaz očekuje i što on sam predstavlja zauzvrat.
- Materijal povjerenja: koji CA potpisuje certifikat prolaza ili se rabi unaprijed dijeljeni ključ.
- Autentifikacija korisnika: certifikat, EAP korisničko ime i zaporka ili unaprijed dijeljeni ključ.
- Bazen adresa u koji klijent dolazi, s maskom i prolazom.
- DNS poslužitelji za korištenje unutar tunela i mora li ih klijent prihvatiti.
- Dopušteni prefiksi odredišta i mora li se promet izvan njih blokirati.
- Podržana izdanja klijenta i verzije OS-a telefona, plus svaki zahtjev za registraciju.
Dvije takve stavke uzrokuju većinu izbježivih kvarova. Bez materijala povjerenja ne možete provjeriti prolaz, pa ispravan klijent izgleda pokvaren. Bez dopuštenih prefiksa ne možete razlikovati ograničenje usmjeravanja od problema s uslugom.
Ime dobavljača nije protokol
Cisco IOS i IOS XE nude nekoliko rješenja za daljinski pristup i ona ne dijele isti format prijenosa. IKEv2 s profilom u stilu FlexVPN nije ista usluga kao starija IKEv1 konfiguracija, a TLS klijentska usluga je opet drugi proizvod, često na drugoj platformi u istom okruženju.
Zato klijent u čijem se imenu spominje dobavljač usmjerivača ne dokazuje ništa. Može dobro implementirati jednu od tih usluga i nijednu drugu. Pitajte koja je usluga konfigurirana, pa provjerite navodi li dokumentacija klijenta tu uslugu kao podržanu.
Ciscova vlastita IKEv2 dokumentacija razdvaja prijedlog, politiku, profil i privjesak ključeva kao zasebne objekte. Ta je struktura korisna kada čitate konfiguraciju koju vam netko zalijepi: govori vam koji objekt drži postavke važne za udaljeni telefon, umjesto da cijelu datoteku tretira kao jednu gomilu.
Što pokriva Androidov ugrađeni stog
Android izlaže platformski IKEv2/IPsec profil kroz Ikev2VpnProfile, s odvojenim tipovima autentifikacije za unaprijed dijeljeni ključ, RSA certifikat i EAP korisničko ime i zaporku. Ikev2VpnProfile referenca autoritet je za ono što graditelj prihvaća, uključujući ime hosta prolaza i korijenski CA poslužitelja koji se rabi za njegovu provjeru.
Taj je API izjava o mogućnostima, a ne obećanje kompatibilnosti. Kaže da platforma može IKEv2 s tim tipovima autentifikacije. Ne kaže da određeni OEM zaslon postavki prikazuje svako polje, niti da će se profilna datoteka izvezena iz drugog proizvoda uvesti.
To također znači da vas ugrađeni stog neće spasiti ako prolaz pokreće uslugu koju platforma ne implementira. U tom slučaju trebate dobavljačev klijent koji operater podržava, instaliran i konfiguriran kako operater dokumentira, a ne zaobilazno rješenje na protokolu koji telefon ne govori.
Testirajte redom kojim je ugovor napisan
Provjeravajte jedan sloj po jedan i zaustavite se na prvom kvaru, jer kasniji testovi nemaju smisla dok prethodni ne prođu.
Povjerenje. Ako klijent odbije certifikat prolaza, ništa drugo nije važno. Potvrdite da CA koji ste dobili potpisuje certifikat koji prolaz predstavlja i da se ime hosta koje ste birali u njemu nalazi. Ostavite provjeru uključenom; njezino isključivanje pretvara problem identiteta u rizik presretanja.
Autentifikacija. Odbijene vjerodajnice i neusklađeni prijedlog daju različite pogreške, ali slične kvarove. Dnevnik prolaza je presudan: reći će je li prijedlog bio prihvatljiv prije nego što kaže bilo što o korisniku.
Adresa i DNS. Potvrdite da je telefon dobio adresu iz dokumentiranog bazena, zatim razriješite jedno interno ime. Tunel koji se podigne s adresom i bez razrješivača izgleda povezan i ponaša se kao da ništa ne radi.
Dostupnost. Testirajte jedno dopušteno odredište po adresi, pa po imenu. Ako adresa radi a ime ne, vratili ste se na DNS. Ako nijedno ne radi, usporedite prefiks koji testirate s dopuštenim popisom prije nego što dirate klijent.
Načini kvara i vraćanje
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Držite prethodni radni profil izvezen i dokumentiran prije nego što bilo što promijenite, uključujući alias CA i bazen adresa. Vraćanje tada znači obnoviti poznati profil, a ne rekonstruirati ga po sjećanju tijekom prekida.
Kad proradi, zapišite devet odgovora prikupljanja uz profil. Sljedeći telefon, sljedeće ažuriranje OS-a i sljedeća promjena prolaza postaju usporedba s dokumentom umjesto još jednog poslijepodneva nagađanja.