Android VPN Cisco IOS менен: биринчи алуу керек келишим
Cisco IOS шлюзи үчүн Android кардарын орнотуудан мурун протоколду, аутентификацияны, инсандыкты жана маршруттоону чогултуңуз. Ошол этап үчүн колдонмо.
Телефон Cisco шлюзине жетүүгө тийиш. Кимдир бирөө орнотула турган кардарды атап койгон. Бул процесстин туура эмес учу, ошондуктан бир саат бою каттоо маалыматтарын кайра терип чыккандан кийин туннель иштебейт.
Адегенде сизге байланыш келишими керек: протокол, аутентификация, инсандык, ишеним материалы, даректерди бөлүштүрүү жана маршруттоо, аны шлюзди башкарган адам жазып бериши керек.
Аны жазуу түрүндө алсаңыз, кардар тандоо жөн гана издөөгө айланат. Эгер аны өткөрүп жиберсеңиз, ар бир ийгиликсиздик туура эмес сырсөздөй көрүнөт.
Эч нерсе орнотуудан мурун маалымат чогултуңуз
Шлюз ээсине тизме жөнөтүп, продукт атын эмес, жооп сураңыз. Тогуз пункт алыскы кирүү профилин толук камтыйт:
- Кардар чалуучу шлюздин хост аты же дареги жана ага сырттан жетүү мүмкүнбү.
- Протокол жана версия: IKEv2, IPsecтин башка мууну же TLS негизиндеги кызмат.
- Шлюз күткөн өнөктөштүн инсандыгы жана өзү кайра эмнени сунуштайт.
- Ишеним материалы: шлюздун сертификатына кайсы CA кол коёт же алдын ала бөлүнгөн ачкыч колдонулабы.
- Колдонуучунун аутентификациясы: сертификат, EAP колдонуучу аты жана сырсөзү же алдын ала бөлүнгөн ачкыч.
- Кардар түшө турган даректер бассейни, маска жана шлюз менен.
- Туннелдин ичинде колдонулуучу DNS серверлери жана кардар аларды кабыл алышы керекпи.
- Уруксат берилген багыт префикстери жана алардан тышкары трафикти блоктош керекпи.
- Колдоого алынган кардар версиялары жана телефондун операциялык система версиялары, ошондой эле каттоо талабы болсо, ошол.
Бул пункттардын экөө болтурбоого боло турган ийгиликсиздиктердин көбүн жаратат. Ишеним материалы жок болсо, шлюзди текшере албайсыз, ошондуктан туура кардар да бузук көрүнөт. Уруксат берилген префикстер жок болсо, маршруттоо чектөөсүн кызматтын көйгөйүнөн ажырата албайсыз.
Өндүрүүчүнүн аты протокол эмес
Cisco IOS жана IOS XE алыскы кирүүнүн бир нече тартибин сунуштайт жана алар бир ташымалдоо форматын бөлүшпөйт. FlexVPN стилиндеги профили бар IKEv2 эски IKEv1 конфигурациясы менен бир кызмат эмес, ал эми TLS негизиндеги кардар кызматы дагы башка продукт, көбүнчө ошол эле чөйрөдөгү башка платформада.
Ошондуктан атында маршрутизатор өндүрүүчүсү аталган кардар эч нерсени далилдебейт. Ал ошол кызматтардын бирин жакшы ишке ашырып, калгандарын такыр ишке ашырбашы мүмкүн. Кайсы кызмат конфигурацияланганын сурап, анан кардардын документтери ошол кызматты колдоого алынган деп атайбы, текшериңиз.
Ciscoнун өз IKEv2 документтери сунушту, саясатты, профилди жана ачкычтар шакегин өзүнчө объектилер катары бөлөт. Бул түзүлүш бирөө сизге чаптап койгон конфигурацияны окуганда пайдалуу: бүт файлды бир үймөк деп кароонун ордуна, алыскы телефон үчүн маанилүү жөндөөлөр кайсы объектиде экенин айтат.
Androidдин курулма стеги эмнени камтыйт
Android платформанын IKEv2/IPsec профилин Ikev2VpnProfile аркылуу сунуштайт, алдын ала бөлүнгөн ачкыч, RSA сертификаты жана EAP колдонуучу аты менен сырсөзү үчүн өзүнчө аутентификация түрлөрү менен. Ikev2VpnProfile шилтемеси куруучу эмнени кабыл алары боюнча ыйгарым укуктуу булак, анын ичинде шлюздин хост аты жана аны текшерүү үчүн колдонулган сервердин тамыр CAсы.
Бул API — мүмкүнчүлүк тууралуу билдирүү, шайкештик убадасы эмес. Платформа ошол аутентификация түрлөрү менен IKEv2 жасай аларын айтат. Белгилүү бир OEM жөндөөлөр экраны ар бир талааны көрсөтөт деп, же башка продукттан экспорттолгон профиль файлы импорттолот деп айтпайды.
Бул ошондой эле шлюз платформа ишке ашырбаган кызматты иштетсе, курулма стек сизди куткарбайт дегенди билдирет. Андай учурда оператор колдогон өндүрүүчүнүн кардары керек, оператор документтештиргендей орнотулуп, конфигурацияланышы керек, телефон сүйлөбөгөн протоколго курулган айлампа эмес.
Келишим жазылган тартипте текшериңиз
Ар бир жолу бир катмарды текшерип, биринчи ийгиликсиздикте токтоңуз, анткени мурункулары өтпөйынча кийинки сыноолор маанисиз.
Ишеним. Эгер кардар шлюздин сертификатын четке какса, башка эч нерсе маанилүү эмес. Сизге берилген CA шлюз сунуштаган сертификатка кол коёрун жана сиз чалган хост аты ошонун ичинде экенин ырастаңыз. Текшерүүнү күйүк тутуңуз; аны өчүрүү инсандык маселесин угуу коркунучуна айландырат.
Аутентификация. Четке кагылган каттоо маалыматтары жана туура келбеген сунуш башка каталарды, бирок окшош ийгиликсиздиктерди берет. Шлюздин журналы чечүүчү: колдонуучу жөнүндө бир нерсе айтпастан мурун сунуш кабыл алынарлык болгонун айтат.
Дарек жана DNS. Телефон документтештирилген бассейнден дарек алганын ырастаңыз, анан бир ички атты чечиңиз. Дарек менен көтөрүлүп, чечүүчүсү жок туннель туташкандай көрүнөт жана эч нерсе иштебей жаткандай жүрөт.
Жетүү. Бир уруксат берилген багытты дарек боюнча, анан ат боюнча сынаңыз. Дарек иштеп, ат иштебесе, сиз кайра DNSдесиз. Экөө тең иштебесе, кардарга тийүүдөн мурун сынап жаткан префиксиңизди уруксат берилген тизме менен салыштырыңыз.
Ийгиликсиздик режимдери жана артка кайтаруу
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Бир нерсени өзгөртүүдөн мурун мурунку иштеген профилди экспорттолгон жана документтештирилген абалда сактаңыз, CA псевдонимин жана даректер бассейнин кошуп. Ошондо артка кайтаруу белгилүү профилди калыбына келтирүүнү билдирет, бузулуу учурунда аны эстен кайра курууну эмес.
Иштегенде, тогуз чогултуу жообун профилдин жанына жазып кой. Кийинки телефон, кийинки ОС жаңыртуу жана шлюздун кийинки өзгөрүүсү баары документ менен салыштырууга айланат, дагы бир түштөн кийинки божомолдун ордуна.