Android VPN-нан Cisco IOS-қа: бірінші алу керек шарт
Cisco IOS шлюзіне арналған Android клиентін орнатпас бұрын хаттаманы, аутентификацияны, сәйкестікті және маршруттауды жинаңыз. Сол кезеңге арналған нұсқаулық.
Телефон Cisco шлюзіне жетуі керек. Біреу орнатылатын клиентті әлдеқашан атап қойған. Бұл процестің дұрыс емес ұшы, сондықтан бір сағат бойы тіркелгі деректерін қайта теруден кейін туннель істен шығады.
Алдымен қажет нәрсе — байланыс шарты: хаттама, аутентификация, сәйкестік, сенім материалы, мекенжай бөлу және маршруттау, оны шлюзді басқаратын адам жазып беруі керек.
Оны жазбаша алсаңыз, клиент таңдауы қарапайым іздеуге айналады. Оны өткізіп жіберсеңіз, әрбір сәтсіздік қате құпия сөз сияқты көрінеді.
Бірдеңе орнатпас бұрын деректерді жинаңыз
Шлюз иесіне тізім жіберіп, өнім атын емес, жауап сұраңыз. Тоғыз тармақ қашықтан қатынау профилін толық қамтиды:
- Клиент қоңырау шалатын шлюздің хост аты немесе мекенжайы және оған сырттан қол жеткізуге бола ма.
- Хаттама және нұсқа: IKEv2, IPsec-тің басқа буыны немесе TLS негізіндегі қызмет.
- Шлюз күтетін серіктес сәйкестігі және оның өзі қайтарып ұсынатыны.
- Сенім материалы: шлюз сертификатына қай CA қол қояды немесе алдын ала бөлінген кілт пайдаланыла ма.
- Пайдаланушы аутентификациясы: сертификат, EAP пайдаланушы аты мен құпия сөзі немесе алдын ала бөлінген кілт.
- Клиент түсетін мекенжай пулы, маска және шлюзбен бірге.
- Туннель ішінде пайдаланылатын DNS серверлері және клиент оларды қабылдауы керек пе.
- Рұқсат етілген межелі префикстер және олардан тыс трафикті бұғаттау керек пе.
- Қолдау көрсетілетін клиент шығарылымдары мен телефон операциялық жүйесінің нұсқалары, сондай-ақ тіркелу талабы болса, ол.
Осы тармақтардың екеуі болдырмауға болатын сәтсіздіктердің көбін тудырады. Сенім материалы болмаса, шлюзді тексере алмайсыз, сондықтан дұрыс клиент те бүлінген болып көрінеді. Рұқсат етілген префикстер болмаса, маршруттау шектеуін қызмет ақауынан ажырата алмайсыз.
Өндіруші атауы хаттама емес
Cisco IOS және IOS XE қашықтан қатынаудың бірнеше тәртібін ұсынады және олар бір тасымалдау форматын бөліспейді. FlexVPN үлгісіндегі профилі бар IKEv2 ескі IKEv1 конфигурациясымен бір қызмет емес, ал TLS негізіндегі клиент қызметі тағы басқа өнім, көбіне сол ортадағы басқа платформада.
Сондықтан атауында маршрутизатор өндірушісі аталған клиент ештеңені дәлелдемейді. Ол сол қызметтердің біреуін жақсы іске асырып, қалғандарын мүлде іске асырмауы мүмкін. Қай қызмет конфигурацияланғанын сұрап, сосын клиент құжаттамасы сол қызметті қолдау көрсетілетін деп атайтынын тексеріңіз.
Cisco-ның өз IKEv2 құжаттамасы ұсынысты, саясатты, профильді және кілттер шоғырын жеке нысандар ретінде бөледі. Бұл құрылым біреу сізге қойып кеткен конфигурацияны оқығанда пайдалы: бүкіл файлды бір үйінді деп қараудың орнына қай нысанда қашықтағы телефонға маңызды баптаулар бар екенін айтады.
Android-тің кіріктірілген стегі қамтитыны
Android платформалық IKEv2/IPsec профилін Ikev2VpnProfile арқылы ұсынады, алдын ала бөлінген кілт, RSA сертификаты және EAP пайдаланушы аты мен құпия сөзі үшін жеке аутентификация түрлерімен. Ikev2VpnProfile анықтамасы құрастырушының нені қабылдайтыны туралы өкілетті көз, оның ішінде шлюздің хост аты және оны тексеру үшін пайдаланылатын сервердің түбірлік CA-сы.
Бұл API — мүмкіндік туралы мәлімдеме, үйлесімділік уәдесі емес. Платформа осы аутентификация түрлерімен IKEv2 жасай алатынын айтады. Белгілі бір OEM баптаулар экраны әр өрісті көрсетеді деп, не басқа өнімнен экспортталған профиль файлы импортталады деп айтпайды.
Бұл сондай-ақ шлюз платформа іске асырмайтын қызметті іске қосса, кіріктірілген стек сізді құтқармайтынын білдіреді. Ондай жағдайда оператор қолдайтын өндіруші клиенті керек, оператор құжаттағандай орнатылып, конфигурациялануы тиіс, телефон сөйлемейтін хаттамаға құрылған айла емес.
Шарт жазылған ретпен тексеріңіз
Әр кезде бір қабатты тексеріп, алғашқы сәтсіздікте тоқтаңыз, өйткені алдыңғылары өтпейінше кейінгі сынақтар мағынасыз.
Сенім. Клиент шлюз сертификатын қабылдамаса, басқа ештеңе маңызды емес. Берілген CA шлюз ұсынатын сертификатқа қол қоятынын және қоңырау шалған хост аты сол жерде бар екенін растаңыз. Тексеруді қосып ұстаңыз; оны өшіру сәйкестік мәселесін ұстап қалу қаупіне айналдырады.
Аутентификация. Қабылданбаған тіркелгі деректері мен сәйкес келмейтін ұсыныс түрлі қателер, бірақ ұқсас сәтсіздіктер береді. Шлюз журналы шешуші: пайдаланушы туралы бірдеңе айтпас бұрын ұсыныстың қабылдануға жарамды болғанын айтады.
Мекенжай және DNS. Телефон құжатталған пулдан мекенжай алғанын растаңыз, сосын бір ішкі атауды шешіңіз. Мекенжаймен көтеріліп, шешкіші жоқ туннель қосылған болып көрінеді және ештеңе жұмыс істемейтіндей әрекет етеді.
Қолжетімділік. Бір рұқсат етілген межеліні мекенжай бойынша, сосын ат бойынша сынаңыз. Мекенжай істеп, ат істемесе, сіз қайта DNS-тесіз. Екеуі де істемесе, клиентке тиіспес бұрын сынап жатқан префиксті рұқсат етілген тізіммен салыстырыңыз.
Ақау режимдері және кері қайтару
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Бірдеңені өзгертуден бұрын алдыңғы жұмыс істеген профильді экспортталған және құжатталған күйде сақтаңыз, CA бүркеншік аты мен мекенжай пулын қоса. Сонда кері қайтару белгілі профильді қалпына келтіруді білдіреді, ақау кезінде оны жадыдан қайта құруды емес.
Жұмыс істегенде тоғыз жинау жауабын профильдің қасына жазып қойыңыз. Келесі телефон, келесі ОЖ жаңартуы және келесі шлюз өзгерісі құжатпен салыстыруға айналады, тағы бір түстен кейінгі болжамның орнына.