Android-VPN til Cisco IOS: kontrakten du må skaffe først

Telefonen skal nå en Cisco-gateway. Noen har allerede navngitt klienten som skal installeres. Det er feil ende av prosessen, og det er derfor tunnelen feiler etter en time med å skrive inn påloggingsdata på nytt.

Det du trenger først, er en tilkoblingskontrakt: protokoll, autentisering, identitet, tillitsmateriale, adressetildeling og ruting, skrevet ned av den som drifter gatewayen.

Få det skriftlig, og klientvalget blir et oppslag. Hopp over det, og hver feil ser ut som et feil passord.

Gjennomfør kartleggingen før du installerer noe

Send gatewayens eier en liste og be om svar, ikke et produktnavn. Ni punkter dekker en fjernaksessprofil fullt ut:

1. Gatewayens vertsnavn eller adresse klienten skal ringe, og om den er tilgjengelig utenfra.
2. Protokollen og versjonen: IKEv2, en annen IPsec-generasjon eller en TLS-basert tjeneste.
3. Partneridentiteten gatewayen forventer, og hva den selv presenterer tilbake.
4. Tillitsmateriale: hvilken CA som signerer gatewayens sertifikat, eller om en forhåndsdelt nøkkel brukes.
5. Brukerautentisering: sertifikat, EAP-brukernavn og passord eller en forhåndsdelt nøkkel.
6. Adressepoolen klienten lander i, med maske og gateway.
7. DNS-servere som skal brukes inne i tunnelen, og om klienten må godta dem.
8. Tillatte destinasjonsprefikser, og om trafikk utenfor dem skal blokkeres.
9. De støttede klientversjonene og telefonens OS-versjoner, samt eventuelle registreringskrav.

To av disse punktene forårsaker de fleste unngåelige feilene. Uten tillitsmaterialet kan du ikke validere gatewayen, så en korrekt klient ser ødelagt ut. Uten de tillatte prefiksene kan du ikke skille en rutebegrensning fra et tjenesteproblem.

Leverandørens navn er ikke en protokoll

Cisco IOS og IOS XE tilbyr flere fjernaksessoppsett, og de deler ikke ett overføringsformat. IKEv2 med en FlexVPN-lignende profil er ikke samme tjeneste som en eldre IKEv1-konfigurasjon, og en TLS-basert klienttjeneste er igjen et annet produkt, ofte på en annen plattform i samme miljø.

Så en klient hvis navn nevner ruterleverandøren, beviser ingenting. Den kan implementere én av disse tjenestene godt og ingen av de andre. Spør hvilken tjeneste som er konfigurert, og sjekk deretter om klientens dokumentasjon nevner den tjenesten som støttet.

Ciscos egen IKEv2-dokumentasjon skiller forslaget, policyen, profilen og nøkkelringen som egne objekter. Den strukturen er nyttig når du leser en konfigurasjon noen limer inn til deg: den forteller hvilket objekt som holder innstillingene som betyr noe for en ekstern telefon, i stedet for å behandle hele filen som én klump.

Hva Androids innebygde stakk dekker

Android eksponerer en plattform-IKEv2/IPsec-profil via Ikev2VpnProfile, med separate autentiseringstyper for en forhåndsdelt nøkkel, et RSA-sertifikat og EAP-brukernavn og passord. Ikev2VpnProfile-referansen er autoriteten for hva byggeren godtar, inkludert gatewayens vertsnavn og serverrot-CA-en som brukes til å validere den.

Den API-en er en kapasitetserklæring, ikke et kompatibilitetsløfte. Den sier at plattformen kan IKEv2 med de autentiseringstypene. Den sier ikke at en gitt OEM-innstillingsskjerm viser hvert felt, og heller ikke at en profilfil eksportert fra et annet produkt vil bli importert.

Det betyr også at den innebygde stakken ikke redder deg hvis gatewayen kjører en tjeneste plattformen ikke implementerer. I så fall trenger du leverandørklienten operatøren støtter, installert og konfigurert slik operatøren dokumenterer, i stedet for en omvei bygget på en protokoll telefonen ikke snakker.

Test i den rekkefølgen kontrakten er skrevet i

Valider ett lag om gangen og stopp ved første feil, for senere tester er meningsløse til de tidligere består.

Tillit. Hvis klienten avviser gatewayens sertifikat, betyr ingenting annet noe. Bekreft at CA-en du fikk signerer sertifikatet gatewayen presenterer, og at vertsnavnet du ringte står i det. La valideringen stå på; å slå den av gjør et identitetsproblem til en risiko for avlytting.

Autentisering. Avviste påloggingsdata og et forslag som ikke passer gir ulike feil, men liknende feil. Gateway-loggen er avgjørende: den sier om forslaget var akseptabelt før den sier noe om brukeren.

Adresse og DNS. Bekreft at telefonen fikk en adresse fra den dokumenterte poolen, og slå deretter opp ett internt navn. En tunnel som kommer opp med en adresse og uten resolver, ser tilkoblet ut og oppfører seg som om ingenting virker.

Rekkevidde. Test én tillatt destinasjon etter adresse, deretter etter navn. Virker adressen og ikke navnet, er du tilbake på DNS. Virker ingen av dem, sammenlign prefikset du tester med den tillatte listen før du rører klienten.

Feilmoduser og tilbakerullingen

Hold den forrige fungerende profilen eksportert og dokumentert før du endrer noe, inkludert CA-aliaset og adressepoolen. Tilbakerulling betyr da å gjenopprette en kjent profil, ikke å rekonstruere den fra hukommelsen under en avbrudd.

Når det virker, skriv ned de ni kartleggingssvarene ved siden av profilen. Den neste telefonen, den neste OS-oppdateringen og den neste gatewayendringen blir alle en sammenligning med et dokument i stedet for nok en ettermiddag med gjetting.