Android VPN prie Cisco IOS: sutartis, kurią reikia gauti pirmiausia
Prieš įdiegdami Cisco IOS tinklų sietuvui skirtą Android klientą, surinkite protokolą, autentifikavimą, tapatybę ir maršrutizavimą. Šio etapo vadovas.
Telefonas turi pasiekti Cisco tinklų sietuvą. Kažkas jau nurodė, kurį klientą įdiegti. Tai neteisingas proceso galas, ir todėl tunelis sugenda po valandos pakartotinio prisijungimo duomenų įvedimo.
Pirmiausia jums reikia ryšio sutarties: protokolas, autentifikavimas, tapatybė, pasitikėjimo medžiaga, adresų priskyrimas ir maršrutizavimas, kurią surašytų tas, kas valdo sietuvą.
Gaukite tai raštu ir kliento pasirinkimas taps paieška. Praleiskite tai ir kiekviena nesėkmė atrodys kaip neteisingas slaptažodis.
Atlikite surinkimą prieš ką nors diegdami
Nusiųskite sietuvo savininkui sąrašą ir prašykite atsakymų, o ne produkto pavadinimo. Devyni punktai visiškai apima nuotolinės prieigos profilį:
- Sietuvo, į kurį klientas turi skambinti, prieglobos vardas arba adresas ir ar jis pasiekiamas iš išorės.
- Protokolas ir versija: IKEv2, kita IPsec karta arba TLS pagrindu veikianti paslauga.
- Kitos šalies tapatybė, kurios laukia sietuvas, ir ką jis pats pateikia mainais.
- Pasitikėjimo medžiaga: kuri CA pasirašo sietuvo sertifikatą, ar naudojamas iš anksto bendrinamas raktas.
- Naudotojo autentifikavimas: sertifikatas, EAP naudotojo vardas ir slaptažodis arba iš anksto bendrinamas raktas.
- Adresų telkinys, į kurį patenka klientas, su tinklo kauke ir sietuvu.
- DNS serveriai, naudotini tunelio viduje, ir ar klientas turi juos priimti.
- Leidžiami paskirties priešdėliai ir ar už jų ribų esantis srautas turi būti blokuojamas.
- Palaikomos kliento versijos ir telefono operacinės sistemos versijos, taip pat bet koks registracijos reikalavimas.
Du iš šių punktų sukelia daugumą išvengiamų gedimų. Be pasitikėjimo medžiagos negalite patikrinti sietuvo, todėl teisingas klientas atrodo sugedęs. Be leidžiamų priešdėlių negalite atskirti maršrutizavimo apribojimo nuo paslaugos problemos.
Tiekėjo pavadinimas nėra protokolas
Cisco IOS ir IOS XE siūlo kelis nuotolinės prieigos sprendimus, ir jie nesidalija vienu perdavimo formatu. IKEv2 su FlexVPN stiliaus profiliu nėra ta pati paslauga kaip senesnė IKEv1 konfigūracija, o TLS pagrindu veikianti kliento paslauga yra dar kitas produktas, dažnai kitoje platformoje toje pačioje aplinkoje.
Taigi klientas, kurio pavadinime minimas maršrutizatoriaus tiekėjas, nieko neįrodo. Jis gali gerai įgyvendinti vieną iš tų paslaugų ir nė vienos kitos. Paklauskite, kuri paslauga sukonfigūruota, tada patikrinkite, ar kliento dokumentacija tą paslaugą nurodo kaip palaikomą.
Pati Cisco IKEv2 dokumentacija atskiria pasiūlymą, politiką, profilį ir raktų ryšulį kaip atskirus objektus. Ši struktūra naudinga, kai skaitote konfigūraciją, kurią kas nors jums įklijuoja: ji pasako, kuriame objekte yra nuotoliniam telefonui svarbūs nustatymai, o ne traktuoja visą failą kaip vieną krūvą.
Ką apima įtaisytasis Android kaupas
Android pateikia platformos IKEv2/IPsec profilį per Ikev2VpnProfile, su atskirais autentifikavimo tipais iš anksto bendrinamam raktui, RSA sertifikatui bei EAP naudotojo vardui ir slaptažodžiui. Ikev2VpnProfile nuoroda yra autoritetas dėl to, ką priima kūrėjas, įskaitant sietuvo prieglobos vardą ir serverio šakninę CA, naudojamą jam patvirtinti.
Šis API yra galimybių pareiškimas, o ne suderinamumo pažadas. Jis sako, kad platforma gali IKEv2 su tais autentifikavimo tipais. Jis nesako, kad konkretus OEM nustatymų ekranas rodo kiekvieną lauką, nei kad profilio failas, eksportuotas iš kito produkto, bus importuotas.
Tai taip pat reiškia, kad įtaisytasis kaupas neišgelbės, jei sietuvas paleidžia paslaugą, kurios platforma neįgyvendina. Tokiu atveju reikia operatoriaus palaikomo tiekėjo kliento, įdiegto ir sukonfigūruoto taip, kaip dokumentuoja operatorius, o ne apėjimo, pastatyto ant protokolo, kurio telefonas nekalba.
Testuokite ta tvarka, kuria parašyta sutartis
Tikrinkite vieną sluoksnį vienu metu ir sustokite ties pirmu gedimu, nes vėlesni testai neturi prasmės, kol ankstesni nepraeina.
Pasitikėjimas. Jei klientas atmeta sietuvo sertifikatą, niekas kitas nesvarbu. Patvirtinkite, kad gauta CA pasirašo sertifikatą, kurį pateikia sietuvas, ir kad jūsų skambintas prieglobos vardas jame yra. Palikite tikrinimą įjungtą; jo išjungimas tapatybės problemą paverčia perėmimo rizika.
Autentifikavimas. Atmesti prisijungimo duomenys ir nesuderintas pasiūlymas duoda skirtingas klaidas, bet panašiai atrodančius gedimus. Sietuvo žurnalas yra sprendėjas: jis pasakys, ar pasiūlymas buvo priimtinas, prieš ką nors sakydamas apie naudotoją.
Adresas ir DNS. Patvirtinkite, kad telefonas gavo adresą iš dokumentuoto telkinio, tada išspręskite vieną vidinį vardą. Tunelis, kuris pakyla su adresu ir be sprendėjo, atrodo prisijungęs ir elgiasi taip, lyg niekas neveiktų.
Pasiekiamumas. Išbandykite vieną leidžiamą paskirties vietą pagal adresą, tada pagal vardą. Jei adresas veikia, o vardas ne, grįžote prie DNS. Jei neveikia nė vienas, prieš liesdami klientą palyginkite testuojamą priešdėlį su leidžiamu sąrašu.
Gedimų režimai ir atsukimas
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Laikykite ankstesnį veikusį profilį eksportuotą ir dokumentuotą prieš ką nors keisdami, įskaitant CA slapyvardį ir adresų telkinį. Tada atsukimas reiškia žinomo profilio atkūrimą, o ne jo perstatymą iš atminties sutrikimo metu.
Kai veikia, užsirašykite devynis surinkimo atsakymus šalia profilio. Kitas telefonas, kitas OS atnaujinimas ir kitas sietuvo pakeitimas visi tampa palyginimu su dokumentu, o ne dar vienu spėliojimų popiete.