VPN Android għal Cisco IOS: il-kuntratt li trid tikseb l-ewwel

It-telefon irid jasal għal gateway Cisco. Xi ħadd diġà semma l-klijent li għandu jiġi installat. Dak huwa t-tarf ħażin tal-proċess, u huwa għalhekk li t-tunnel ifalli wara siegħa ta' kitba mill-ġdid tal-kredenzjali.

L-ewwel ħaġa li għandek bżonn hija kuntratt tal-konnessjoni: protokoll, awtentikazzjoni, identità, materjal ta' fiduċja, allokazzjoni tal-indirizzi u routing, miktub minn min imexxi l-gateway.

Ġib dan bil-miktub u l-għażla tal-klijent issir tiftixa. Ħallih barra u kull falliment jidher bħal password ħażina.

Agħmel il-ġbir qabel ma tinstalla xejn

Ibgħat lista lis-sid tal-gateway u itlob tweġibiet, mhux isem ta' prodott. Disa' punti jkopru profil ta' aċċess remot għal kollox:

1. L-isem tal-host jew l-indirizz tal-gateway li l-klijent għandu jċempel, u jekk huwiex aċċessibbli minn barra.
2. Il-protokoll u l-verżjoni: IKEv2, ġenerazzjoni oħra ta' IPsec, jew servizz ibbażat fuq TLS.
3. L-identità tal-pari li tistenna l-gateway, u x'tippreżenta hi stess lura.
4. Materjal ta' fiduċja: liema CA tiffirma ċ-ċertifikat tal-gateway, jew jekk tintużax ċavetta maqsuma bil-quddiem.
5. Awtentikazzjoni tal-utent: ċertifikat, isem tal-utent u password EAP, jew ċavetta maqsuma bil-quddiem.
6. Il-pool tal-indirizzi li fih jinżel il-klijent, bil-maskra u l-gateway.
7. Is-servers DNS li għandhom jintużaw fit-tunnel, u jekk il-klijent għandux jaċċettahom.
8. Il-prefissi tad-destinazzjoni permessi, u jekk it-traffiku barra minnhom għandux jiġi mblukkat.
9. Il-verżjonijiet tal-klijent appoġġati u l-verżjonijiet tas-sistema operattiva tat-telefon, flimkien ma' kwalunkwe rekwiżit ta' reġistrazzjoni.

Tnejn minn dawn il-punti jikkawżaw il-biċċa l-kbira tal-fallimenti li jistgħu jiġu evitati. Mingħajr il-materjal ta' fiduċja ma tistax tivvalida l-gateway, għalhekk klijent korrett jidher imkisser. Mingħajr il-prefissi permessi ma tistax tiddistingwi restrizzjoni tar-routing minn problema tas-servizz.

L-isem tal-fornitur mhuwiex protokoll

Cisco IOS u IOS XE joffru bosta arranġamenti ta' aċċess remot, u dawn ma jaqsmu l-ebda format wieħed ta' trażmissjoni. IKEv2 bi profil stil FlexVPN mhuwiex l-istess servizz bħal konfigurazzjoni IKEv1 eqdem, u servizz tal-klijent ibbażat fuq TLS huwa prodott ieħor għal kollox, spiss fuq pjattaforma oħra fl-istess ambjent.

Għalhekk klijent li ismu jsemmi l-fornitur tar-router ma jipprova xejn. Jista' jimplimenta wieħed minn dawk is-servizzi tajjeb u l-ebda wieħed mill-oħrajn. Staqsi liema servizz huwa kkonfigurat, imbagħad iċċekkja jekk id-dokumentazzjoni tal-klijent issemmix dak is-servizz bħala appoġġat.

Id-dokumentazzjoni tal-IKEv2 ta' Cisco nnifisha tifred il-proposta, il-politika, il-profil u l-keyring bħala oġġetti distinti. Dik l-istruttura hija utli meta taqra konfigurazzjoni li xi ħadd ippejstjaha lilek: tgħidlek liema oġġett iżomm is-settings li jimpurtaw għal telefon remot, minflok ma tittratta l-fajl kollu bħala blokka waħda.

X'ikopri l-istack inkorporat ta' Android

Android jesponi profil IKEv2/IPsec tal-pjattaforma permezz ta' Ikev2VpnProfile, bi tipi ta' awtentikazzjoni separati għal ċavetta maqsuma bil-quddiem, ċertifikat RSA, u isem tal-utent u password EAP. Ir-referenza Ikev2VpnProfile hija l-awtorità dwar x'jaċċetta l-builder, inkluż l-isem tal-host tal-gateway u l-CA root tas-server użata biex tivvalidah.

Dak l-API huwa dikjarazzjoni ta' kapaċità, mhux wegħda ta' kompatibilità. Tgħid li l-pjattaforma tista' tagħmel IKEv2 b'dawk it-tipi ta' awtentikazzjoni. Ma tgħidx li skrin tas-Settings ta' OEM partikolari jesponi kull qasam, u lanqas li fajl tal-profil esportat minn prodott ieħor se jiġi importat.

Dan ifisser ukoll li l-istack inkorporat mhux se jsalvak jekk il-gateway qed iħaddem servizz li l-pjattaforma ma timplimentax. F'dak il-każ għandek bżonn il-klijent tal-fornitur li jappoġġa l-operatur, installat u kkonfigurat kif jiddokumenta l-operatur, minflok soluzzjoni mibnija fuq protokoll li t-telefon ma jitkellimx.

Ittestja fl-ordni li fiha miktub il-kuntratt

Ivvalida saff wieħed kull darba u waqaf fl-ewwel falliment, għax it-testijiet ta' wara ma jagħmlux sens sakemm dawk ta' qabel jgħaddu.

Fiduċja. Jekk il-klijent jirrifjuta ċ-ċertifikat tal-gateway, xejn ieħor ma jimpurta. Ikkonferma li l-CA li ngħatatlek tiffirma ċ-ċertifikat li tippreżenta l-gateway, u li l-isem tal-host li ċempilt jidher fih. Żomm il-validazzjoni mixgħula; li titfiha jbiddel problema ta' identità fi riskju ta' interċettazzjoni.

Awtentikazzjoni. Kredenzjali miċħuda u proposta li ma taqbilx jipproduċu żbalji differenti iżda fallimenti li jidhru simili. Il-log tal-gateway huwa l-imħallef: se jgħid jekk il-proposta kinitx aċċettabbli qabel ma jgħid xejn dwar l-utent.

Indirizz u DNS. Ikkonferma li t-telefon irċieva indirizz mill-pool iddokumentat, imbagħad issolvi isem intern wieħed. Tunnel li jitla' b'indirizz u mingħajr resolver jidher konness u jġib ruħu bħallikieku xejn ma qed jaħdem.

Aċċessibilità. Ittestja destinazzjoni permessa waħda bl-indirizz, imbagħad bl-isem. Jekk l-indirizz jaħdem u l-isem le, mort lura għad-DNS. Jekk lanqas waħda ma taħdem, qabbel il-prefiss li qed tittestja mal-lista permessa qabel ma tmiss il-klijent.

Modi ta' falliment u r-rollback

Żomm il-profil li kien jaħdem qabel esportat u ddokumentat qabel ma tbiddel xejn, inkluż l-alias tal-CA u l-pool tal-indirizzi. Imbagħad ir-rollback ifisser li tirrestawra profil magħruf, mhux li tibnih mill-ġdid mill-memorja waqt interruzzjoni.

Meta jaħdem, innota d-disa' tweġibiet tal-ġbir ħdejn il-profil. It-telefon li jmiss, l-aġġornament tas-sistema li jmiss u l-bidla li jmiss fil-gateway kollha jsiru tqabbil ma' dokument minflok wara nofsinhar ieħor ta' tbassir.