Android VPN k Cisco IOS: zmluva, ktorú treba získať ako prvú

Telefón sa musí dostať k bráne Cisco. Niekto už pomenoval klienta, ktorý sa má nainštalovať. To je nesprávny koniec postupu, a preto tunel zlyhá po hodine prepisovania prihlasovacích údajov.

Najprv potrebujete zmluvu o pripojení: protokol, overovanie, identitu, dôveryhodný materiál, prideľovanie adries a smerovanie, ktorú spíše ten, kto bránu spravuje.

Získajte ju písomne a voľba klienta sa zmení na vyhľadanie. Vynechajte ju a každé zlyhanie vyzerá ako nesprávne heslo.

Urobte zber informácií skôr, než čokoľvek nainštalujete

Pošlite správcovi brány zoznam a žiadajte odpovede, nie názov produktu. Deväť bodov pokrýva profil vzdialeného prístupu úplne:

1. Názov hostiteľa alebo adresa brány, ktorú má klient volať, a či je dostupná zvonku.
2. Protokol a verzia: IKEv2, iná generácia IPsec alebo služba založená na TLS.
3. Identita protiľahlej strany, ktorú brána očakáva, a čo sama predkladá.
4. Dôveryhodný materiál: ktorá CA podpisuje certifikát brány alebo či sa používa vopred zdieľaný kľúč.
5. Overenie používateľa: certifikát, používateľské meno a heslo EAP alebo vopred zdieľaný kľúč.
6. Fond adries, do ktorého klient pristane, s maskou a bránou.
7. DNS servery na použitie v tuneli a či ich klient musí prijať.
8. Povolené prefixy cieľových sietí a či sa má prevádzka mimo nich blokovať.
9. Podporované verzie klienta a verzie operačného systému telefónu, plus prípadná požiadavka na registráciu.

Dva z týchto bodov spôsobujú väčšinu odvrátiteľných zlyhaní. Bez dôveryhodného materiálu nemôžete bránu overiť, takže správny klient vyzerá pokazený. Bez povolených prefixov nerozlíšite obmedzenie smerovania od problému služby.

Názov dodávateľa nie je protokol

Cisco IOS a IOS XE ponúkajú niekoľko usporiadaní vzdialeného prístupu a nezdieľajú jeden prenosový formát. IKEv2 s profilom v štýle FlexVPN nie je tá istá služba ako staršia konfigurácia IKEv1 a klientska služba založená na TLS je zase iný produkt, často na inej platforme v tom istom prostredí.

Klient, v ktorého názve je výrobca smerovača, teda nič nepreukazuje. Môže dobre implementovať jednu z tých služieb a žiadnu inú. Spýtajte sa, ktorá služba je nakonfigurovaná, a potom overte, či dokumentácia klienta túto službu uvádza ako podporovanú.

Vlastná dokumentácia Cisco k IKEv2 oddeľuje návrh, politiku, profil a zväzok kľúčov ako samostatné objekty. Táto štruktúra je užitočná, keď čítate konfiguráciu, ktorú vám niekto vloží: povie vám, ktorý objekt drží nastavenia dôležité pre vzdialený telefón, namiesto toho, aby celý súbor bral ako jeden blok.

Čo pokrýva vstavaný stack Androidu

Android sprístupňuje platformový profil IKEv2/IPsec cez Ikev2VpnProfile, so samostatnými typmi overovania pre vopred zdieľaný kľúč, certifikát RSA a používateľské meno a heslo EAP. Referencia Ikev2VpnProfile je autoritou pre to, čo tvorca prijíma, vrátane názvu hostiteľa brány a koreňovej CA servera použitej na jeho overenie.

Toto API je vyhlásenie o schopnosti, nie prísľub kompatibility. Hovorí, že platforma vie IKEv2 s týmito typmi overovania. Nehovorí, že konkrétna obrazovka nastavení OEM zobrazuje každé pole, ani že sa súbor profilu exportovaný z iného produktu naimportuje.

Znamená to aj to, že vstavaný stack vás nezachráni, ak brána prevádzkuje službu, ktorú platforma neimplementuje. V takom prípade potrebujete klientsky softvér výrobcu, ktorý operátor podporuje, nainštalovaný a nakonfigurovaný podľa dokumentácie operátora, nie obchádzku postavenú na protokole, ktorým telefón nehovorí.

Testujte v poradí, v akom je zmluva napísaná

Overujte jednu vrstvu po druhej a zastavte sa pri prvom zlyhaní, pretože ďalšie testy nemajú zmysel, kým predchádzajúce neprejdú.

Dôvera. Ak klient odmietne certifikát brány, nič iné nehrá rolu. Potvrďte, že CA, ktorú ste dostali, podpisuje certifikát, ktorý brána predkladá, a že sa v ňom nachádza názov hostiteľa, ktorý ste volali. Nechajte overovanie zapnuté; jeho vypnutie mení problém identity na riziko odpočúvania.

Overovanie. Odmietnuté prihlasovacie údaje a nezhodný návrh dávajú rôzne chyby, ale podobne vyzerajúce zlyhania. Rozhodujúci je log brány: povie, či bol návrh prijateľný, skôr než povie čokoľvek o používateľovi.

Adresa a DNS. Potvrďte, že telefón dostal adresu z dokumentovaného fondu, a potom preložte jeden interný názov. Tunel, ktorý sa zdvihne s adresou a bez resolvera, vyzerá pripojený a správa sa, akoby nič nefungovalo.

Dostupnosť. Otestujte jedno povolené cieľové miesto podľa adresy, potom podľa názvu. Ak adresa funguje a názov nie, ste späť pri DNS. Ak nefunguje ani jedno, porovnajte testovaný prefix s povoleným zoznamom, skôr než sa dotknete klienta.

Režimy zlyhania a návrat

Pred akoukoľvek zmenou majte predchádzajúci funkčný profil exportovaný a zdokumentovaný, vrátane aliasu CA a fondu adries. Návrat potom znamená obnoviť známy profil, nie ho rekonštruovať z pamäte počas výpadku.

Keď to funguje, zapíšte deväť odpovedí zo zberu vedľa profilu. Ďalší telefón, ďalšia aktualizácia systému aj ďalšia zmena brány sa stanú porovnaním s dokumentom namiesto ďalšieho odpoludnia hádania.