Android VPN кон Cisco IOS: договорот што треба прво да се добие

Телефонот мора да стигне до порта Cisco. Некој веќе го навел клиентот што треба да се инсталира. Тоа е погрешниот крај на постапката, и затоа тунелот паѓа по еден час повторно внесување на акредитивите.

Прво ви треба договор за врска: протокол, автентикација, идентитет, материјал за доверба, доделување адреси и рутирање, запишан од оној што ја управува портата.

Добијте го писмено и изборот на клиент станува само пребарување. Прескокнете го и секој дефект изгледа како погрешна лозинка.

Направете го собирањето пред да инсталирате нешто

Испратете на сопственикот на портата список и барајте одговори, а не име на производ. Девет точки целосно покриваат профил за далечински пристап:

1. Името на домаќинот или адресата на портата што клиентот треба да ја бира, и дали е достапна однадвор.
2. Протоколот и верзијата: IKEv2, друга генерација на IPsec или услуга заснована на TLS.
3. Идентитетот на партнерот што го очекува портата и што таа самата презентира за возврат.
4. Материјал за доверба: која CA го потпишува сертификатот на портата или дали се користи однапред споделен клуч.
5. Автентикација на корисникот: сертификат, EAP корисничко име и лозинка или однапред споделен клуч.
6. Базенот адреси во кој слегува клиентот, со маска и порта.
7. DNS сервери за користење во тунелот и дали клиентот мора да ги прифати.
8. Дозволени префикси на одредиштето и дали сообраќајот надвор од нив мора да се блокира.
9. Поддржаните изданија на клиентот и верзиите на оперативниот систем на телефонот, плус секое барање за регистрација.

Две од тие точки предизвикуваат најголем дел од избегливите дефекти. Без материјалот за доверба не можете да ја проверите портата, па исправен клиент изгледа расипан. Без дозволените префикси не можете да разликувате ограничување во рутирањето од проблем со услугата.

Името на добавувачот не е протокол

Cisco IOS и IOS XE нудат неколку решенија за далечински пристап и тие не делат ист формат на пренос. IKEv2 со профил во стил FlexVPN не е иста услуга како постара конфигурација IKEv1, а клиентска услуга заснована на TLS е пак друг производ, често на друга платформа во истото опкружување.

Затоа клиент во чие име се споменува добавувачот на рутерот не докажува ништо. Може добро да имплементира една од тие услуги и ниту една друга. Прашајте која услуга е конфигурирана, потоа проверете дали документацијата на клиентот ја наведува таа услуга како поддржана.

Сопствената документација на Cisco за IKEv2 ги одделува предлогот, политиката, профилот и приврзокот на клучеви како посебни објекти. Таа структура е корисна кога читате конфигурација што некој ви ја залепил: ви кажува кој објект ги држи поставките важни за далечински телефон, наместо целиот документ да се третира како една грутка.

Што покрива вградениот стек на Android

Android изложува платформски профил IKEv2/IPsec преку Ikev2VpnProfile, со одделни типови автентикација за однапред споделен клуч, RSA сертификат и EAP корисничко име и лозинка. Референцата за Ikev2VpnProfile е авторитет за она што го прифаќа градителот, вклучувајќи го името на домаќинот на портата и коренската CA на серверот што се користи за негова проверка.

Тој API е изјава за можности, а не ветување за компатибилност. Вели дека платформата може IKEv2 со тие типови автентикација. Не вели дека одреден екран за поставки на OEM ги прикажува сите полиња, ниту дека профилна датотека извезена од друг производ ќе се увезе.

Тоа исто така значи дека вградениот стек нема да ве спаси ако портата работи услуга што платформата не ја имплементира. Во тој случај ви треба клиентот на добавувачот што го поддржува операторот, инсталиран и конфигуриран како што документира операторот, а не заобиколно решение на протокол што телефонот не го зборува.

Тестирајте по редоследот по кој е напишан договорот

Проверувајте еден слој одеднаш и застанете при првиот дефект, бидејќи следните тестови се бесмислени додека претходните не поминат.

Доверба. Ако клиентот го одбие сертификатот на портата, ништо друго не е важно. Потврдете дека CA што ви е даден го потпишува сертификатот што портата го презентира и дека името на домаќинот што сте го бирале се наоѓа во него. Оставете ја проверката вклучена; нејзиното исклучување претвора проблем со идентитетот во ризик од пресретнување.

Автентикација. Одбиени акредитиви и неусогласен предлог даваат различни грешки, но слични дефекти. Дневникот на портата е решавачки: ќе каже дали предлогот бил прифатлив пред да каже нешто за корисникот.

Адреса и DNS. Потврдете дека телефонот добил адреса од документираниот базен, потоа разрешете едно внатрешно име. Тунел што се крева со адреса и без разрешувач изгледа поврзан и се однесува како ништо да не работи.

Достапност. Тестирајте едно дозволено одредиште по адреса, потоа по име. Ако адресата работи, а името не, се вративте на DNS. Ако ниту едно не работи, споредете го префиксот што го тестирате со дозволениот список пред да го допрете клиентот.

Режими на дефект и враќање

Чувајте го претходниот работен профил извезен и документиран пред да промените нешто, вклучувајќи го псевдонимот на CA и базенот адреси. Тогаш враќањето значи обновување на познат профил, а не негово повторно составување од меморија за време на прекин.

Кога ќе проработи, запишете ги деветте одговори од собирањето до профилот. Следниот телефон, следното ажурирање на системот и следната промена на портата стануваат споредба со документ наместо уште едно попладне на гаѓање.