Android VPN prema Cisco IOS: ugovor koji prvo treba pribaviti
Prije instalacije Android klijenta za Cisco IOS gateway, prikupite protokol, autentikaciju, identitet i rutiranje. Priručnik za tu fazu.
Telefon treba da stigne do Cisco gatewaya. Neko je već imenovao klijent koji se instalira. To je pogrešan kraj postupka, i zato tunel pada nakon sat vremena ponovnog upisivanja podataka za prijavu.
Najprije vam treba ugovor o vezi: protokol, autentikacija, identitet, materijal povjerenja, dodjela adresa i rutiranje, zapisan od strane onoga koji upravlja gatewayem.
Pribavite to u pisanom obliku i izbor klijenta postaje pretraga. Preskočite i svaki kvar izgleda kao pogrešna lozinka.
Obavite prikupljanje podataka prije nego što bilo šta instalirate
Pošaljite vlasniku gatewaya popis i tražite odgovore, a ne naziv proizvoda. Devet stavki potpuno pokriva profil daljinskog pristupa:
- Naziv hosta ili adresa gatewaya koji klijent treba da pozove, i da li je dostupan spolja.
- Protokol i verzija: IKEv2, druga generacija IPsec-a ili TLS usluga.
- Identitet partnera koji gateway očekuje i šta on sam predstavlja zauzvrat.
- Materijal povjerenja: koji CA potpisuje certifikat gatewaya ili se koristi unaprijed podijeljeni ključ.
- Autentikacija korisnika: certifikat, EAP korisničko ime i lozinka ili unaprijed podijeljeni ključ.
- Skup adresa u koji klijent dolazi, s maskom i gatewayem.
- DNS serveri za korištenje unutar tunela i mora li ih klijent prihvatiti.
- Dozvoljeni prefiksi odredišta i mora li se saobraćaj izvan njih blokirati.
- Podržana izdanja klijenta i verzije operativnog sistema telefona, plus svaki zahtjev za registraciju.
Dvije od tih stavki uzrokuju većinu izbježivih kvarova. Bez materijala povjerenja ne možete provjeriti gateway, pa ispravan klijent izgleda neispravno. Bez dozvoljenih prefiksa ne možete razlikovati ograničenje rutiranja od problema sa servisom.
Naziv dobavljača nije protokol
Cisco IOS i IOS XE nude nekoliko rješenja za daljinski pristup i ona ne dijele isti format prijenosa. IKEv2 s profilom u stilu FlexVPN nije ista usluga kao starija IKEv1 konfiguracija, a TLS klijentska usluga je opet drugi proizvod, često na drugoj platformi u istom okruženju.
Zato klijent u čijem se nazivu spominje dobavljač rutera ne dokazuje ništa. Može dobro implementirati jednu od tih usluga i nijednu drugu. Pitajte koja je usluga konfigurisana, pa provjerite navodi li dokumentacija klijenta tu uslugu kao podržanu.
Ciscova vlastita IKEv2 dokumentacija razdvaja prijedlog, politiku, profil i privjesak ključeva kao zasebne objekte. Ta struktura pomaže kada čitate konfiguraciju koju vam neko zalijepi: kaže vam koji objekat drži postavke važne za udaljeni telefon, umjesto da cijelu datoteku tretira kao jednu gomilu.
Šta pokriva ugrađeni stek Androida
Android izlaže platformski IKEv2/IPsec profil kroz Ikev2VpnProfile, s odvojenim tipovima autentikacije za unaprijed podijeljeni ključ, RSA certifikat i EAP korisničko ime i lozinku. Ikev2VpnProfile referenca je autoritet za ono što graditelj prihvata, uključujući naziv hosta gatewaya i korijenski CA servera koji se koristi za njegovu provjeru.
Taj API je izjava o mogućnostima, a ne obećanje kompatibilnosti. Kaže da platforma može IKEv2 s tim tipovima autentikacije. Ne kaže da određeni OEM ekran postavki prikazuje svako polje, niti da će se profilna datoteka izvezena iz drugog proizvoda uvesti.
To također znači da vas ugrađeni stek neće spasiti ako gateway pokreće uslugu koju platforma ne implementira. U tom slučaju trebate dobavljačev klijent koji operater podržava, instaliran i konfigurisan kako operater dokumentuje, a ne zaobilazno rješenje na protokolu koji telefon ne govori.
Testirajte redom kojim je ugovor napisan
Provjeravajte jedan sloj po jedan i zaustavite se na prvom kvaru, jer kasniji testovi nemaju smisla dok prethodni ne prođu.
Povjerenje. Ako klijent odbije certifikat gatewaya, ništa drugo nije važno. Potvrdite da CA koji ste dobili potpisuje certifikat koji gateway predstavlja i da se naziv hosta koji ste pozvali nalazi u njemu. Ostavite provjeru uključenom; njeno isključivanje pretvara problem identiteta u rizik presretanja.
Autentikacija. Odbijeni podaci za prijavu i neusklađeni prijedlog daju različite greške, ali slične kvarove. Dnevnik gatewaya je presudan: reći će je li prijedlog bio prihvatljiv prije nego što kaže bilo šta o korisniku.
Adresa i DNS. Potvrdite da je telefon dobio adresu iz dokumentovanog skupa, zatim razriješite jedno interno ime. Tunel koji se podigne s adresom i bez razrješivača izgleda povezan i ponaša se kao da ništa ne radi.
Dostupnost. Testirajte jedno dozvoljeno odredište po adresi, pa po imenu. Ako adresa radi a ime ne, vratili ste se na DNS. Ako nijedno ne radi, uporedite prefiks koji testirate s dozvoljenim popisom prije nego što dirate klijent.
Načini kvara i vraćanje
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Držite prethodni radni profil izvezen i dokumentovan prije nego što bilo šta promijenite, uključujući alias CA i skup adresa. Vraćanje tada znači obnoviti poznati profil, a ne rekonstruisati ga po sjećanju tokom prekida.
Kad proradi, zapišite devet odgovora prikupljanja uz profil. Sljedeći telefon, sljedeće ažuriranje sistema i sljedeća promjena gatewaya postaju poređenje s dokumentom umjesto još jednog poslijepodneva nagađanja.