Android VPN í Cisco IOS: samningurinn sem á að ná fyrst

Síminn þarf að ná sambandi við Cisco-hlið. Einhver hefur þegar nefnt biðlarann sem á að setja upp. Það er rangi endinn á ferlinu, og þess vegna mistekst göngin eftir klukkustund af því að slá inn skilríki aftur.

Það sem þú þarft fyrst er tengisamningur: samskiptareglur, auðkenning, identitet, traustefni, úthlutun vistfanga og leiðvöl, skrifaður af þeim sem rekur hliðið.

Fáðu hann skriflega og val á biðlara verður einföld leit. Slepptu honum og hver bilun lítur út eins og rangt lykilorð.

Gerðu kortlagninguna áður en þú setur upp nokkuð

Sendu eiganda hliðsins lista og biddu um svör, ekki vöruheiti. Níu atriði ná yfir prófíl fyrir fjaraðgang að fullu:

1. Hýsilheiti eða vistfang hliðsins sem biðlarinn á að hringja í, og hvort það er aðgengilegt utan frá.
2. Samskiptareglurnar og útgáfan: IKEv2, önnur IPsec-kynslóð eða TLS-undirstaða þjónusta.
3. Auðkenni jafningjans sem hliðið væntir, og hvað það leggur fram sjálft.
4. Traustefni: hvaða CA undirritar skírteini hliðsins, eða hvort fyrirfram deildum lykli er beitt.
5. Auðkenning notanda: skírteini, EAP-notandanafn og lykilorð, eða fyrirfram deildur lykill.
6. Vistfangasafnið sem biðlarinn lendir í, með netgrímu og hliði.
7. DNS-þjónar til að nota innan ganganna, og hvort biðlarinn verði að samþykkja þá.
8. Leyfð markforskeyti, og hvort loka eigi umferð utan þeirra.
9. Studdar biðlarautgáfur og stýrikerfisútgáfur símans, auk hvers skráningarskilyrðis.

Tvö þessara atriða valda flestum þeim bilunum sem forða má. Án traustefnisins geturðu ekki staðfest hliðið, svo réttur biðlari virðist bilaður. Án leyfðu forskyrtanna geturðu ekki greint leiðvölartakmörkun frá þjónustuvanda.

Heiti framleiðanda er ekki samskiptareglur

Cisco IOS og IOS XE bjóða nokkur fyrirkomulög fjaraðgangs, og þau deila ekki einu flutningssniði. IKEv2 með FlexVPN-kenndum prófíl er ekki sama þjónusta og eldri IKEv1-stilling, og TLS-undirstaða biðlaraþjónusta er enn önnur vara, oft á annarri kerfisstofni í sama umhverfi.

Því sannar biðlari sem nefnir leiðartækjaframleiðandann í heiti sínu ekkert. Hann getur útfært eina þessara þjónusta vel og enga hina. Spurðu hvaða þjónusta er stillt, og athugaðu síðan hvort skjöl biðlarans nefni þá þjónustu sem studda.

Eigin IKEv2-skjöl Cisco aðskilja tillöguna, stefnuna, prófílinn og lyklahringinn sem sérstaka hluti. Þessi uppbygging er gagnleg þegar þú lest stillingar sem einhver límir inn hjá þér: hún segir þér hvaða hlutur geymir stillingarnar sem skipta máli fyrir fjarstýrðan síma, í stað þess að meðhöndla alla skrána sem eina heild.

Hvað innbyggði stakkur Android nær yfir

Android býður upp á IKEv2/IPsec-prófíl kerfisins í gegnum Ikev2VpnProfile, með aðgreindum auðkenningartegundum fyrir fyrirfram deildan lykil, RSA-skírteini og EAP-notandanafn og lykilorð. Ikev2VpnProfile-viðmiðin eru valdið um hvað byggjandinn tekur við, þar á meðal hýsilheiti hliðsins og rótarskírteini þjónsins sem notað er til að staðfesta það.

Þetta API er yfirlýsing um getu, ekki loforð um samhæfni. Það segir að kerfið geti IKEv2 með þessum auðkenningartegundum. Það segir ekki að tiltekin OEM-stillingaskjár sýni hvert svæði, né að prófíllskrá sem flutt er út úr annarri vöru verði flutt inn.

Það þýðir líka að innbyggði stakkurinn bjargar þér ekki ef hliðið keyrir þjónustu sem kerfið útfærir ekki. Í því tilviki þarftu framleiðandabiðlarann sem rekstraraðilinn styður, uppsettur og stilltur eins og rekstraraðilinn skjalfestir, í stað hjáleiðis sem byggð er á samskiptareglum sem síminn talar ekki.

Prófaðu í þeirri röð sem samningurinn er skrifaður

Staðfestu eitt lag í einu og stöðvaðu við fyrstu bilun, því síðari próf eru merkingarlaus þar til þau fyrri standast.

Traust. Ef biðlarinn hafnar skírteini hliðsins skiptir ekkert annað máli. Staðfestu að CA-ið sem þú fékkst undirriti skírteinið sem hliðið leggur fram, og að hýsilheitið sem þú hringdir í komi fram í því. Haltu staðfestingunni áfram; að slökkva á henni breytir identitetsvanda í hlerunaráhættu.

Auðkenning. Hafnaðar skilríki og ósamsvarandi tillaga framleiða mismunandi villur en svipaðar bilanir. Annáll hliðsins ræður: hann segir hvort tillagan var viðunandi áður en hann segir nokkuð um notandann.

Vistfang og DNS. Staðfestu að síminn hafi fengið vistfang úr skjalfestu safninu, leystu síðan eitt innra heiti. Göng sem koma upp með vistfang og án leysir líta út sem tengd og hegða sér eins og ekkert virki.

Nálgengni. Prófaðu eitt leyft áfangastað eftir vistfangi, síðan eftir heiti. Ef vistfangið virkar en heitið ekki, ertu aftur komin í DNS. Ef hvort tveggja bregst, berðu forskyrtið sem þú prófar saman við leyfða listann áður en þú snertir biðlarann.

Bilunarhamir og afturköllun

Haltu fyrri vinnandi prófílnum útfluttum og skjalfestum áður en þú breytir nokkru, þar á meðal CA-samheiti og vistfangasafninu. Afturköllun þýðir þá að endurheimta þekktan prófíl, ekki að endurbyggja hann úr minni meðan á truflun stendur.

Þegar það virkar skaltu skrá níu kortlagningarsvörin við hlið prófílsins. Næsti sími, næsta stýrikerfisuppfærsla og næsta breyting á hliðinu verða öll samanburður við skjal í stað annars síðdegis af giskun.