Android VPN դեպի Cisco IOS. պայմանագիրը, որը պետք է ստանալ առաջինը
Մինչ Cisco IOS դարպասի համար Android հաճախորդ տեղադրելը, հավաքեք արձանագրությունը, նույնականացումը, ինքնությունը և երթուղավորումը։ Ուղեցույց այդ փուլի համար։
Հեռախոսը պետք է հասնի Cisco դարպասի։ Ինչ-որ մեկն արդեն նշել է, թե որ հաճախորդը տեղադրել։ Դա գործընթացի սխալ ծայրն է, և դրա համար է, որ թունելը ձախողվում է մեկ ժամ վավերագրերը նորից մուտքագրելուց հետո։
Առաջին հերթին ձեզ պետք է միացման պայմանագիր՝ արձանագրություն, նույնականացում, ինքնություն, վստահության նյութ, հասցեների բաշխում և երթուղավորում, գրված նրա կողմից, ով կառավարում է դարպասը։
Ստացեք այն գրավոր, և հաճախորդի ընտրությունը կդառնա պարզ որոնում։ Բաց թողեք, և ամեն ձախողում նման կլինի սխալ գաղտնաբառի։
Կատարեք տվյալների հավաքումը մինչև որևէ բան տեղադրելը
Ուղարկեք դարպասի սեփականատիրոջը ցանկ և պահանջեք պատասխաններ, ոչ թե ապրանքի անվանում։ Ինը կետ ամբողջությամբ ծածկում են հեռակա մուտքի պրոֆիլը.
- Դարպասի հոսթի անունը կամ հասցեն, որը հաճախորդը պետք է հավաքի, և արդյոք այն հասանելի է դրսից։
- Արձանագրությունը և տարբերակը՝ IKEv2, IPsec-ի մեկ այլ սերունդ, կամ TLS-ի վրա հիմնված ծառայություն։
- Զուգընկերոջ ինքնությունը, որը սպասում է դարպասը, և ինչ է ինքը ներկայացնում փոխարենը։
- Վստահության նյութ՝ ո՞ր CA-ն է ստորագրում դարպասի վկայագիրը, թե՞ օգտագործվում է նախապես փոխանակված բանալի։
- Օգտատիրոջ նույնականացում՝ վկայագիր, EAP օգտանուն և գաղտնաբառ, կամ նախապես փոխանակված բանալի։
- Հասցեների լողավազանը, որտեղ ընկնում է հաճախորդը, դիմակով և դարպասով։
- DNS սերվերները՝ թունելի ներսում օգտագործելու համար, և արդյոք հաճախորդը պետք է դրանք ընդունի։
- Թույլատրված նպատակակետ նախածանցերը, և արդյոք դրանցից դուրս տրաֆիկը պետք է արգելափակվի։
- Աջակցվող հաճախորդի թողարկումները և հեռախոսի ՕՀ տարբերակները, ինչպես նաև գրանցման ցանկացած պահանջ։
Այդ կետերից երկուսն առաջացնում են խուսափելի ձախողումների մեծ մասը։ Առանց վստահության նյութի դուք չեք կարող վավերացնել դարպասը, ուստի ճիշտ հաճախորդը կարող է թերի թվալ։ Առանց թույլատրված նախածանցների դուք չեք կարող տարբերել երթուղավորման սահմանափակումը ծառայության խնդրից։
Մատակարարի անունը արձանագրություն չէ
Cisco IOS-ը և IOS XE-ն առաջարկում են հեռակա մուտքի մի քանի կարգավորումներ, և նրանք չեն կիսում մեկ փոխանցման ձևաչափ։ FlexVPN-ի նման պրոֆիլով IKEv2-ը նույն ծառայությունը չէ, ինչ հին IKEv1 կարգավորումը, և TLS-ի վրա հիմնված հաճախորդի ծառայությունը կրկին այլ արտադրանք է, հաճախ նույն միջավայրում այլ հարթակի վրա։
Այնպես որ, հաճախորդը, որի անվանման մեջ նշված է երթուղիչի մատակարարը, ոչինչ չի ապացուցում։ Այն կարող է լավ իրականացնել այդ ծառայություններից մեկը և ոչ մեկը մյուսներից։ Հարցրեք, թե որ ծառայությունն է կարգավորված, ապա ստուգեք՝ արդյոք հաճախորդի փաստաթղթերը նշում են այդ ծառայությունը որպես աջակցվող։
Cisco-ի սեփական IKEv2 փաստաթղթերը առանձնացնում են առաջարկը, քաղաքականությունը, պրոֆիլը և բանալիների օղակը որպես առանձին օբյեկտներ։ Այդ կառուցվածքը օգտակար է, երբ կարդում եք կոնֆիգուրացիա, որը ինչ-որ մեկը տեղադրում է ձեզ մոտ. այն ասում է, թե որ օբյեկտն է պահում հեռավոր հեռախոսի համար կարևոր կարգավորումները, փոխարենը ամբողջ ֆայլը որպես մեկ զանգված դիտելու։
Ինչ է ընդգրկում Android-ի ներկառուցված փաթեթը
Android-ը հարթակի IKEv2/IPsec պրոֆիլը տրամադրում է Ikev2VpnProfile-ի միջոցով՝ առանձին նույնականացման տեսակներով նախապես փոխանակված բանալու, RSA վկայագրի և EAP օգտանվան ու գաղտնաբառի համար։ Ikev2VpnProfile-ի տեղեկանքը հեղինակությունն է այն բանի, թե ինչ է ընդունում կառուցիչը, ներառյալ դարպասի հոսթի անունը և սերվերի արմատային CA-ն, որն օգտագործվում է այն վավերացնելու համար։
Այդ API-ն հնարավորության հայտարարություն է, ոչ թե համատեղելիության խոստում։ Այն ասում է, որ հարթակը կարող է IKEv2 այդ նույնականացման տեսակներով։ Այն չի ասում, որ որևէ OEM կարգավորումների էկրան ցույց է տալիս յուրաքանչյուր դաշտ, և ոչ էլ, որ այլ արտադրանքից արտահանված պրոֆիլի ֆայլը կներմուծվի։
Սա նաև նշանակում է, որ ներկառուցված փաթեթը ձեզ չի փրկի, եթե դարպասը գործարկում է ծառայություն, որը հարթակը չի իրականացնում։ Այդ դեպքում ձեզ պետք է օպերատորի աջակցած մատակարարի հաճախորդը՝ տեղադրված և կարգավորված այնպես, ինչպես օպերատորը փաստաթղթավորում է, այլ ոչ թե շրջանցող լուծում, որը կառուցված է արձանագրության վրա, որը հեռախոսը չի խոսում։
Փորձարկեք այն հերթականությամբ, որով գրված է պայմանագիրը
Վավերացրեք մեկ շերտ միաժամանակ և կանգ առեք առաջին ձախողման վրա, քանի որ հետագա թեստերը անիմաստ են, մինչև նախորդները չանցնեն։
Վստահություն. Եթե հաճախորդը մերժում է դարպասի վկայագիրը, ուրիշ ոչինչ նշանակություն չունի։ Համոզվեք, որ ձեզ տրված CA-ն ստորագրում է այն վկայագիրը, որը ներկայացնում է դարպասը, և որ ձեր հավաքած հոսթի անունը դրա մեջ է։ Թողեք վավերացումը միացված. այն անջատելը ինքնության խնդիրը վերածում է գաղտնալսման ռիսկի։
Նույնականացում. Մերժված վավերագրերն ու չհամապատասխանող առաջարկը տալիս են տարբեր սխալներ, բայց նմանատես ձախողումներ։ Դարպասի մատյանն է որոշիչը. այն կասի՝ արդյոք առաջարկն ընդունելի էր, նախքան օգտատիրոջ մասին որևէ բան ասելը։
Հասցե և DNS. Համոզվեք, որ հեռախոսը հասցե է ստացել փաստաթղթավորված լողավազանից, ապա լուծեք մեկ ներքին անուն։ Թունելը, որը բարձրանում է հասցեով և առանց լուծիչի, կապված է թվում և իրեն պահում է այնպես, կարծես ոչինչ չի աշխատում։
Հասանելիություն. Փորձարկեք մեկ թույլատրված նպատակակետ հասցեով, ապա անունով։ Եթե հասցեն աշխատում է, իսկ անունը՝ ոչ, դուք կրկին DNS-ի մոտ եք։ Եթե ոչ մեկը չի աշխատում, համեմատեք ձեր փորձարկած նախածանցը թույլատրված ցանկի հետ՝ նախքան հաճախորդին դիպչելը։
Ձախողման ռեժիմներ և հետադարձ
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Պահպանեք նախորդ աշխատող պրոֆիլը արտահանված և փաստաթղթավորված, նախքան որևէ բան փոխելը, ներառյալ CA կեղծանունը և հասցեների լողավազանը։ Այդ դեպքում հետադարձը նշանակում է վերականգնել հայտնի պրոֆիլ, այլ ոչ թե այն վերակառուցել հիշողությունից ընդհատման ընթացքում։
Երբ աշխատի, գրանցեք հավաքման ինը պատասխանները պրոֆիլի կողքին։ Հաջորդ հեռախոսը, հաջորդ ՕՀ թարմացումը և դարպասի հաջորդ փոփոխությունը բոլորը դառնում են փաստաթղթի հետ համեմատություն՝ ևս մեկ կռահումների կեսօրի փոխարեն։