Android VPN uz Cisco IOS: līgums, kas jāiegūst vispirms

Tālrunim jāsasniedz Cisco vārteja. Kāds jau ir nosaucis klientu, kas jāinstalē. Tas ir nepareizais procesa gals, un tāpēc tunelis sabrūk pēc stundas, kas pavadīta, atkārtoti ierakstot akreditācijas datus.

Vispirms jums vajag savienojuma līgumu: protokols, autentifikācija, identitāte, uzticības materiāls, adrešu piešķiršana un maršrutēšana, ko pierakstījis tas, kurš uztur vārteju.

Iegūstiet to rakstiski, un klienta izvēle kļūst par meklēšanu. Izlaidiet to, un katra kļūme izskatīsies kā nepareiza parole.

Veiciet apkopošanu pirms kaut kā instalēšanas

Nosūtiet vārtejas īpašniekam sarakstu un pieprasiet atbildes, nevis produkta nosaukumu. Deviņi punkti pilnībā aptver attālinātās piekļuves profilu:

1. Vārtejas resursdatora nosaukums vai adrese, uz kuru klientam jāzvana, un vai tā ir sasniedzama no ārpuses.
2. Protokols un versija: IKEv2, cita IPsec paaudze vai TLS balstīts pakalpojums.
3. Partnera identitāte, ko vārteja gaida, un to, ko tā pati pretī uzrāda.
4. Uzticības materiāls: kura CA paraksta vārtejas sertifikātu vai tiek lietota iepriekš kopīgota atslēga.
5. Lietotāja autentifikācija: sertifikāts, EAP lietotājvārds un parole vai iepriekš kopīgota atslēga.
6. Adrešu kopums, kurā nonāk klients, ar masku un vārteju.
7. DNS serveri lietošanai tunelī un vai klientam tie jāpieņem.
8. Atļautie galamērķa prefiksi un vai ārpus tiem esošā plūsma jābloķē.
9. Atbalstītās klienta versijas un tālruņa operētājsistēmas versijas, kā arī jebkura reģistrācijas prasība.

Divi no šiem punktiem izraisa lielāko daļu novēršamo kļūmju. Bez uzticības materiāla jūs nevarat validēt vārteju, tāpēc pareizs klients izskatās bojāts. Bez atļautajiem prefiksiem jūs nevarat atšķirt maršrutēšanas ierobežojumu no pakalpojuma problēmas.

Piegādātāja nosaukums nav protokols

Cisco IOS un IOS XE piedāvā vairākus attālinātās piekļuves risinājumus, un tiem nav viena pārvades formāta. IKEv2 ar FlexVPN stila profilu nav tas pats pakalpojums kā vecāka IKEv1 konfigurācija, un TLS balstīts klienta pakalpojums ir vēl cits produkts, bieži citā platformā tajā pašā vidē.

Tāpēc klients, kura nosaukumā minēts maršrutētāja piegādātājs, neko nepierāda. Tas var labi ieviest vienu no šiem pakalpojumiem un nevienu citu. Pajautājiet, kurš pakalpojums ir konfigurēts, pēc tam pārbaudiet, vai klienta dokumentācija šo pakalpojumu nosauc kā atbalstītu.

Pašas Cisco IKEv2 dokumentācija atdala priekšlikumu, politiku, profilu un atslēgu saišķi kā atsevišķus objektus. Šī struktūra noder, kad lasāt konfigurāciju, ko kāds jums iekopē: tā pasaka, kurš objekts glabā attālinātajam tālrunim svarīgos iestatījumus, nevis uzskata visu failu par vienu blāķi.

Ko aptver Android iebūvētais steks

Android pakļauj platformas IKEv2/IPsec profilu caur Ikev2VpnProfile, ar atsevišķiem autentifikācijas veidiem iepriekš kopīgotai atslēgai, RSA sertifikātam un EAP lietotājvārdam un parolei. Ikev2VpnProfile atsauce ir autoritāte par to, ko pieņem veidotājs, tostarp vārtejas resursdatora nosaukumu un servera saknes CA, kas tiek lietota tā validēšanai.

Šis API ir spēju paziņojums, nevis saderības solījums. Tas saka, ka platforma prot IKEv2 ar šiem autentifikācijas veidiem. Tas nesaka, ka konkrēts OEM iestatījumu ekrāns parāda katru lauku, nedz arī to, ka profila fails, eksportēts no cita produkta, tiks importēts.

Tas nozīmē arī to, ka iebūvētais steks jūs neizglābs, ja vārteja darbojas ar pakalpojumu, ko platforma neievieš. Tādā gadījumā jums vajag piegādātāja klientu, ko atbalsta operators, instalētu un konfigurētu tā, kā operators to dokumentē, nevis apietu risinājumu uz protokola, ko tālrunis nerunā.

Pārbaudiet tādā secībā, kādā līgums ir rakstīts

Validējiet vienu slāni vienlaikus un apstājieties pie pirmās kļūmes, jo vēlākie testi ir bezjēdzīgi, kamēr iepriekšējie nav izturēti.

Uzticība. Ja klients noraida vārtejas sertifikātu, nekas cits nav svarīgs. Pārliecinieties, ka saņemtā CA paraksta sertifikātu, ko uzrāda vārteja, un ka jūsu zvanītais resursdatora nosaukums tajā ir. Atstājiet validāciju ieslēgtu; tās izslēgšana identitātes problēmu pārvērš pārtveršanas riskā.

Autentifikācija. Noraidīti akreditācijas dati un neatbilstošs priekšlikums dod atšķirīgas kļūdas, bet līdzīgi izskatāmas kļūmes. Vārtejas žurnāls ir izšķirošais: tas pateiks, vai priekšlikums bija pieņemams, pirms pateiks kaut ko par lietotāju.

Adrese un DNS. Pārliecinieties, ka tālrunis saņēma adresi no dokumentētā kopuma, pēc tam atrisiniet vienu iekšējo nosaukumu. Tunelis, kas paceļas ar adresi un bez atrisinātāja, izskatās savienots un uzvedas tā, it kā nekas nestrādātu.

Sasniedzamība. Pārbaudiet vienu atļautu galamērķi pēc adreses, pēc tam pēc nosaukuma. Ja adrese strādā, bet nosaukums ne, jūs esat atpakaļ pie DNS. Ja neviens nestrādā, pirms aiztiekat klientu, salīdziniet testēto prefiksu ar atļauto sarakstu.

Kļūmju režīmi un atritināšana

Pirms kaut ko maināt, turiet iepriekšējo strādājošo profilu eksportētu un dokumentētu, tostarp CA aizstājvārdu un adrešu kopumu. Tad atritināšana nozīmē atjaunot zināmu profilu, nevis to pārbūvēt no atmiņas pārtraukuma laikā.

Kad tas strādā, pierakstiet deviņas apkopošanas atbildes blakus profilam. Nākamais tālrunis, nākamais OS atjauninājums un nākamās vārtejas izmaiņas visas kļūst par salīdzinājumu ar dokumentu, nevis vēl vienu minējumu pēcpusdienu.