Android-VPN til Cisco IOS: kontrakten du må skaffe først

Telefonen skal nå ein Cisco-gateway. Nokon har alt namngjeve klienten som skal installerast. Det er feil ende av prosessen, og det er difor tunnelen feilar etter ein time med å skrive inn påloggingsdata på nytt.

Det du treng først, er ein tilkoplingskontrakt: protokoll, autentisering, identitet, tillitsmateriale, adressetildeling og ruting, skrive ned av den som driftar gatewayen.

Få det skriftleg, og klientvalet blir eit oppslag. Hopp over det, og kvar feil ser ut som eit feil passord.

Gjer kartlegginga før du installerer noko

Send gatewayens eigar ei liste og be om svar, ikkje eit produktnamn. Ni punkt dekkjer ein fjernåtkomstprofil fullt ut:

1. Gatewayens vertsnamn eller adresse klienten skal ringje, og om ho er tilgjengeleg utanfrå.
2. Protokollen og versjonen: IKEv2, ein annan IPsec-generasjon eller ei TLS-basert teneste.
3. Partneridentiteten gatewayen ventar, og kva han sjølv presenterer tilbake.
4. Tillitsmateriale: kva CA som signerer gatewayens sertifikat, eller om ein førehandsdelt nøkkel blir brukt.
5. Brukarautentisering: sertifikat, EAP-brukarnamn og passord eller ein førehandsdelt nøkkel.
6. Adressepoolen klienten landar i, med maske og gateway.
7. DNS-tenarar som skal brukast inne i tunnelen, og om klienten må godta dei.
8. Tillatne destinasjonsprefiks, og om trafikk utanfor dei skal blokkerast.
9. Dei støtta klientversjonane og OS-versjonane til telefonen, samt eventuelle registreringskrav.

To av desse punkta fører til dei fleste unngåelege feila. Utan tillitsmaterialet kan du ikkje validere gatewayen, så ein korrekt klient ser øydelagd ut. Utan dei tillatne prefiksa kan du ikkje skilje ei rutingavgrensing frå eit tenesteproblem.

Leverandøren sitt namn er ikkje ein protokoll

Cisco IOS og IOS XE tilbyr fleire fjernåtkomstoppsett, og dei deler ikkje eitt overføringsformat. IKEv2 med ein FlexVPN-liknande profil er ikkje same tenesta som ein eldre IKEv1-konfigurasjon, og ei TLS-basert klientteneste er igjen eit anna produkt, ofte på ein annan plattform i same miljø.

Så ein klient som nemner ruterleverandøren i namnet, beviser ingenting. Han kan implementere éi av desse tenestene godt og ingen av dei andre. Spør kva teneste som er konfigurert, og sjekk deretter om dokumentasjonen til klienten nemner den tenesta som støtta.

Ciscos eigen IKEv2-dokumentasjon skil framlegget, policyen, profilen og nøkkelringen som eigne objekt. Den strukturen er nyttig når du les ein konfigurasjon nokon limer inn til deg: han fortel kva objekt som held innstillingane som betyr noko for ein ekstern telefon, i staden for å handsame heile fila som ein klump.

Kva Androids innebygde stakk dekkjer

Android eksponerer ein plattform-IKEv2/IPsec-profil via Ikev2VpnProfile, med separate autentiseringstypar for ein førehandsdelt nøkkel, eit RSA-sertifikat og EAP-brukarnamn og passord. Ikev2VpnProfile-referansen er autoriteten for kva byggjaren godtek, inkludert vertsnamnet til gatewayen og serverrot-CA-en som blir brukt til å validere han.

Den API-en er ei kapasitetsfråsegn, ikkje eit kompatibilitetsløfte. Han seier at plattformen kan IKEv2 med dei autentiseringstypane. Han seier ikkje at ein gitt OEM-innstillingsskjerm viser kvart felt, og heller ikkje at ei profilfil eksportert frå eit anna produkt blir importert.

Det tyder også at den innebygde stakken ikkje reddar deg om gatewayen køyrer ei teneste plattformen ikkje implementerer. I så fall treng du leverandørklienten operatøren støttar, installert og konfigurert slik operatøren dokumenterer, i staden for ein omveg bygd på ein protokoll telefonen ikkje snakkar.

Test i den rekkjefølgja kontrakten er skriven i

Valider eitt lag om gongen og stopp ved første feil, for seinare testar er meiningslause til dei tidlegare består.

Tillit. Om klienten avviser sertifikatet til gatewayen, betyr ingenting anna noko. Stadfest at CA-en du fekk signerer sertifikatet gatewayen presenterer, og at vertsnamnet du ringde står i det. La valideringa stå på; å slå henne av gjer eit identitetsproblem til ein risiko for avlytting.

Autentisering. Avviste påloggingsdata og eit framlegg som ikkje passar gir ulike feil, men liknande feil. Gateway-loggen er avgjerande: han seier om framlegget var akseptabelt før han seier noko om brukaren.

Adresse og DNS. Stadfest at telefonen fekk ei adresse frå den dokumenterte poolen, og slå deretter opp eitt internt namn. Ein tunnel som kjem opp med ei adresse og utan resolver, ser tilkopla ut og oppfører seg som om ingenting verkar.

Rekkjevidd. Test éin tillaten destinasjon etter adresse, deretter etter namn. Verkar adressa og ikkje namnet, er du tilbake på DNS. Verkar ingen av dei, samanlikn prefikset du testar med den tillatne lista før du rører klienten.

Feilmodusar og tilbakerullinga

Hald den førre fungerande profilen eksportert og dokumentert før du endrar noko, inkludert CA-aliaset og adressepoolen. Tilbakerulling tyder då å gjenopprette ein kjend profil, ikkje å rekonstruere han frå minnet under eit avbrot.

Når det verkar, skriv ned dei ni kartleggingssvara ved sida av profilen. Den neste telefonen, den neste OS-oppdateringa og den neste gatewayendringa blir alle ein samanlikning med eit dokument i staden for nok ein ettermiddag med gjetting.