VPN Android ke Cisco IOS: kontrak yang harus diperoleh lebih dulu

Ponsel harus mencapai gateway Cisco. Seseorang sudah menyebut klien yang harus dipasang. Itu ujung proses yang salah, dan itulah sebabnya terowongan gagal setelah sejam mengetik ulang kredensial.

Yang Anda butuhkan lebih dulu adalah kontrak koneksi: protokol, autentikasi, identitas, materi kepercayaan, penetapan alamat, dan perutean, yang ditulis oleh pihak yang menjalankan gateway.

Dapatkan secara tertulis dan pilihan klien menjadi sekadar pencarian. Lewatkan dan setiap kegagalan tampak seperti kata sandi yang salah.

Lakukan pendataan sebelum memasang apa pun

Kirim daftar kepada pemilik gateway dan minta jawaban, bukan nama produk. Sembilan butir mencakup profil akses jarak jauh secara lengkap:

1. Nama host atau alamat gateway yang harus dihubungi klien, dan apakah dapat dijangkau dari luar.
2. Protokol dan versinya: IKEv2, generasi IPsec lain, atau layanan berbasis TLS.
3. Identitas peer yang diharapkan gateway, dan apa yang ia sajikan kembali.
4. Materi kepercayaan: CA mana yang menandatangani sertifikat gateway, atau apakah kunci yang dibagikan sebelumnya dipakai.
5. Autentikasi pengguna: sertifikat, nama pengguna dan kata sandi EAP, atau kunci yang dibagikan sebelumnya.
6. Kumpulan alamat tempat klien mendarat, beserta mask dan gateway.
7. Server DNS untuk dipakai di dalam terowongan, dan apakah klien harus menerimanya.
8. Prefiks tujuan yang diizinkan, dan apakah lalu lintas di luarnya harus diblokir.
9. Rilis klien yang didukung dan versi sistem operasi ponsel, ditambah persyaratan pendaftaran apa pun.

Dua dari butir itu menyebabkan sebagian besar kegagalan yang bisa dihindari. Tanpa materi kepercayaan Anda tidak dapat memvalidasi gateway, sehingga klien yang benar tampak rusak. Tanpa prefiks yang diizinkan Anda tidak dapat membedakan batasan perutean dari masalah layanan.

Nama vendor bukan protokol

Cisco IOS dan IOS XE menawarkan beberapa tataan akses jarak jauh, dan semuanya tidak berbagi satu format transmisi. IKEv2 dengan profil bergaya FlexVPN bukan layanan yang sama dengan konfigurasi IKEv1 yang lebih lama, dan layanan klien berbasis TLS adalah produk lain lagi, sering pada platform berbeda di lingkungan yang sama.

Jadi klien yang namanya menyebut vendor router tidak membuktikan apa pun. Ia bisa mengimplementasikan salah satu layanan itu dengan baik dan tidak satu pun yang lain. Tanyakan layanan mana yang dikonfigurasi, lalu periksa apakah dokumentasi klien menyebut layanan itu sebagai didukung.

Dokumentasi IKEv2 milik Cisco sendiri memisahkan proposal, kebijakan, profil, dan keyring sebagai objek terpisah. Struktur itu berguna saat Anda membaca konfigurasi yang ditempel seseorang kepada Anda: ia memberi tahu objek mana yang menyimpan setelan penting bagi ponsel jarak jauh, alih-alih memperlakukan seluruh berkas sebagai satu gumpalan.

Apa yang dicakup tumpukan bawaan Android

Android mengekspos profil IKEv2/IPsec platform melalui Ikev2VpnProfile, dengan tipe autentikasi terpisah untuk kunci yang dibagikan sebelumnya, sertifikat RSA, serta nama pengguna dan kata sandi EAP. Referensi Ikev2VpnProfile adalah otoritas atas apa yang diterima pembangunnya, termasuk nama host gateway dan CA akar server yang dipakai untuk memvalidasinya.

API itu adalah pernyataan kemampuan, bukan janji kompatibilitas. Ia menyatakan platform dapat melakukan IKEv2 dengan tipe autentikasi tersebut. Ia tidak menyatakan bahwa layar Pengaturan OEM tertentu menampilkan setiap kolom, maupun bahwa berkas profil yang diekspor dari produk lain akan terimpor.

Ini juga berarti tumpukan bawaan tidak akan menyelamatkan Anda jika gateway menjalankan layanan yang tidak diimplementasikan platform. Dalam hal itu Anda memerlukan klien vendor yang didukung operator, dipasang dan dikonfigurasi seperti yang didokumentasikan operator, bukan akal-akalan di atas protokol yang tidak dikenal ponsel.

Uji sesuai urutan kontrak ditulis

Validasi satu lapisan setiap kali dan berhenti pada kegagalan pertama, karena pengujian berikutnya tidak bermakna sampai yang sebelumnya lolos.

Kepercayaan. Jika klien menolak sertifikat gateway, tidak ada hal lain yang penting. Pastikan CA yang diberikan menandatangani sertifikat yang disajikan gateway, dan nama host yang Anda hubungi muncul di dalamnya. Biarkan validasi tetap aktif; mematikannya mengubah masalah identitas menjadi risiko penyadapan.

Autentikasi. Kredensial yang ditolak dan proposal yang tidak cocok menghasilkan galat berbeda tetapi kegagalan yang tampak serupa. Log gateway adalah penentunya: ia akan menyatakan apakah proposal dapat diterima sebelum menyatakan apa pun tentang pengguna.

Alamat dan DNS. Pastikan ponsel menerima alamat dari kumpulan yang didokumentasikan, lalu resolusi satu nama internal. Terowongan yang naik dengan alamat dan tanpa resolver tampak tersambung dan berperilaku seolah tidak ada yang bekerja.

Keterjangkauan. Uji satu tujuan yang diizinkan menurut alamat, lalu menurut nama. Jika alamat berhasil dan nama gagal, Anda kembali ke DNS. Jika keduanya gagal, bandingkan prefiks yang Anda uji dengan daftar yang diizinkan sebelum menyentuh klien.

Mode kegagalan dan rollback

Simpan profil kerja sebelumnya dalam keadaan diekspor dan terdokumentasi sebelum mengubah apa pun, termasuk alias CA dan kumpulan alamat. Rollback kemudian berarti memulihkan profil yang dikenal, bukan menyusunnya kembali dari ingatan saat gangguan.

Saat berhasil, catat sembilan jawaban pendataan di samping profil. Ponsel berikutnya, pembaruan sistem berikutnya, dan perubahan gateway berikutnya semuanya menjadi perbandingan dengan dokumen alih-alih sore lain penuh dugaan.