Android VPN-ээс Cisco IOS руу: эхлээд авах ёстой гэрээ
Cisco IOS гарцын Android клиентийг суулгахаас өмнө протокол, баталгаажуулалт, таних тэмдэг, маршрутжуулалтыг цуглуул. Тэр үе шатын удирдамж.
Утас Cisco гарц руу хүрэх ёстой. Суулгах клиентийг хэн нэгэн аль хэдийн нэрлэсэн. Энэ нь үйл явцын буруу төгсгөл бөгөөд нэг цаг тутамд нэвтрэх мэдээллийг дахин бичсэний дараа туннель бүтэлгүйтдэг шалтгаан нь энэ юм.
Эхлээд танд холболтын гэрээ хэрэгтэй: протокол, баталгаажуулалт, таних тэмдэг, итгэлцлийн материал, хаяг хуваарилалт, маршрутжуулалт, гарцыг ажиллуулдаг хүн бичиж өгөх ёстой.
Үүнийг бичгээр авбал клиент сонгох нь зүгээр л хайлт болно. Үүнийг алгасвал алдаа бүр буруу нууц үг мэт харагдана.
Юу ч суулгахаас өмнө мэдээлэл цуглуул
Гарцын эзэнд жагсаалт илгээж, бүтээгдэхүүний нэр биш хариулт асуу. Есөн зүйл алсын хандалтын профайлыг бүрэн хамарна:
- Клиент залгах гарцын хост нэр эсвэл хаяг, мөн гаднаас хүрэх боломжтой эсэх.
- Протокол ба хувилбар: IKEv2, IPsec-ийн өөр үе, эсвэл TLS дээр суурилсан үйлчилгээ.
- Гарцын хүлээж буй түншийн таних тэмдэг, түүний өөрөөсөө буцааж танилцуулах зүйл.
- Итгэлцлийн материал: гарцын гэрчилгээг аль CA гарын үсэг зурдаг, эсвэл урьдчилан хуваалцсан түлхүүр ашигладаг эсэх.
- Хэрэглэгчийн баталгаажуулалт: гэрчилгээ, EAP хэрэглэгчийн нэр ба нууц үг, эсвэл урьдчилан хуваалцсан түлхүүр.
- Клиент буух хаягийн сан, маск ба гарцтайгаа.
- Туннель дотор ашиглах DNS серверүүд, клиент тэдгээрийг хүлээн авах ёстой эсэх.
- Зөвшөөрөгдсөн очих газрын префиксүүд, тэдгээрээс гадуурх урсгалыг блоклох ёстой эсэх.
- Дэмжигдсэн клиентийн хувилбарууд ба утасны үйлдлийн системийн хувилбарууд, мөн бүртгэлийн шаардлага байвал тэр нь.
Эдгээр зүйлсийн хоёр нь зайлсхийх боломжтой бүтэлгүйтлийн ихэнхийг үүсгэдэг. Итгэлцлийн материалгүй бол гарцыг баталгаажуулж чадахгүй тул зөв клиент ч гэмтсэн мэт харагдана. Зөвшөөрөгдсөн префиксгүй бол маршрутжуулалтын хязгаарлалтыг үйлчилгээний асуудлаас ялгаж чадахгүй.
Нийлүүлэгчийн нэр бол протокол биш
Cisco IOS ба IOS XE алсын хандалтын хэд хэдэн зохион байгуулалтыг санал болгодог бөгөөд тэд нэг дамжуулалтын формат хуваалцдаггүй. FlexVPN загварын профайлтай IKEv2 нь хуучин IKEv1 тохиргоотой ижил үйлчилгээ биш бөгөөд TLS дээр суурилсан клиентийн үйлчилгээ дахин өөр бүтээгдэхүүн, ихэвчлэн ижил орчинд өөр платформ дээр байдаг.
Тиймээс нэрэндээ чиглүүлэгчийн нийлүүлэгчийг дурдсан клиент юу ч нотлохгүй. Тэрээр эдгээр үйлчилгээний нэгийг сайн хэрэгжүүлж, бусдыг нь огт хэрэгжүүлэхгүй байж болно. Аль үйлчилгээ тохируулагдсаныг асууж, дараа нь клиентийн баримт бичиг тэр үйлчилгээг дэмжигдсэн гэж дурдсан эсэхийг шалга.
Cisco-гийн өөрийн IKEv2 баримт бичиг саналыг, бодлогыг, профайлыг, түлхүүрийн бөгцөгийг тусдаа объект болгон ялгадаг. Энэ бүтэц нь хэн нэгэн танд буулгасан тохиргоог уншихад хэрэгтэй: бүх файлыг нэг бөөн гэж үзэхийн оронд алсын утасны хувьд чухал тохиргоо аль объектод байгааг хэлж өгдөг.
Android-ийн суурилагдсан стек юуг хамардаг
Android платформын IKEv2/IPsec профайлыг Ikev2VpnProfile-ээр дамжуулан өгдөг, урьдчилан хуваалцсан түлхүүр, RSA гэрчилгээ, EAP хэрэглэгчийн нэр ба нууц үгэнд тусдаа баталгаажуулалтын төрлүүдтэй. Ikev2VpnProfile лавлагаа нь бүтээгчийн юуг хүлээн авдагийн эрх бүхий эх сурвалж бөгөөд гарцын хост нэр, түүнийг баталгаажуулахад ашигладаг серверийн үндсэн CA багтана.
Тэр API нь чадварын мэдэгдэл, нийцлийн амлалт биш. Платформ тэдгээр баталгаажуулалтын төрлөөр IKEv2 хийж чадна гэж хэлдэг. Тодорхой OEM тохиргооны дэлгэц бүх талбарыг харуулдаг, эсвэл өөр бүтээгдэхүүнээс экспортолсон профайл файл импортлогдоно гэж хэлдэггүй.
Энэ нь мөн гарц платформ хэрэгжүүлдэггүй үйлчилгээ ажиллуулж байвал суурилагдсан стек таныг аварч чадахгүй гэсэн үг. Тэр тохиолдолд операторын дэмждэг нийлүүлэгчийн клиент хэрэгтэй, операторын баримт бичсэнээр суулгаж тохируулсан, утас ярьдаггүй протокол дээр барьсан заль биш.
Гэрээ бичигдсэн дарааллаар шалга
Нэг удаад нэг давхаргыг баталгаажуулж, эхний бүтэлгүйтэл дээр зогс, учир нь өмнөх нь давах хүртэл дараагийн шалгалт утгагүй.
Итгэлцэл. Клиент гарцын гэрчилгээг татгалзвал өөр юу ч хамаагүй. Танд өгсөн CA гарцын танилцуулж буй гэрчилгээнд гарын үсэг зурдаг, таны залгасан хост нэр түүнд байгаа гэдгийг батал. Баталгаажуулалтыг асаалттай үлдээ; унтраах нь таних тэмдгийн асуудлыг чагналын эрсдэл болгоно.
Баталгаажуулалт. Татгалзсан мэдээлэл ба тохирохгүй санал өөр алдаа, гэхдээ төстэй харагдах бүтэлгүйтэл өгдөг. Гарцын лог нь шийдвэрлэгч: хэрэглэгчийн тухай ярихаас өмнө санал хүлээн авах боломжтой байсан эсэхийг хэлнэ.
Хаяг ба DNS. Утас баримтжуулсан сангаас хаяг авсныг батал, дараа нь нэг дотоод нэрийг шийд. Хаягтай боловч шийдэгчгүй өргөгдөх туннель холбогдсон мэт харагдаж, юу ч ажиллахгүй байгаа мэт аашилна.
Хүрэлцээ. Нэг зөвшөөрөгдсөн очих газрыг хаягаар, дараа нь нэрээр шалга. Хаяг ажиллаж нэр ажиллахгүй бол та дахин DNS дээр байна. Аль нь ч ажиллахгүй бол клиентэд хүрэхээс өмнө шалгаж буй префиксээ зөвшөөрөгдсөн жагсаалттай харьцуул.
Бүтэлгүйтлийн горим ба буцаах
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Ямар нэгэн зүйл өөрчлөхөөс өмнө өмнөх ажиллаж байсан профайлыг экспортолж, баримтжуулсан байлга, CA-гийн хуурамч нэр ба хаягийн санг оролцуулан. Тэгвэл буцаах нь мэдэгдэх профайлыг сэргээх гэсэн үг, тасалдлын үед ой санаанаас дахин бүтээх биш.
Ажилласны дараа есөн цуглуулгын хариултыг профайлын хажууд бич. Дараагийн утас, дараагийн OS шинэчлэлт, гарцын дараагийн өөрчлөлт бүгд баримт бичигтэй харьцуулалт болно, дахин нэг үдээс хойшхи таамаглалын оронд.