Android VPN do Cisco IOS: pogodba, ki jo je treba dobiti najprej

Telefon mora doseči prehod Cisco. Nekdo je že imenoval odjemalca, ki ga je treba namestiti. To je napačni konec postopka, in zato tunel odpove po uri ponovnega vnašanja poverilnic.

Najprej potrebujete pogodbo o povezavi: protokol, preverjanje pristnosti, identiteto, gradivo zaupanja, dodeljevanje naslovov in usmerjanje, ki jo zapiše tisti, ki upravlja prehod.

Priskrbite si jo pisno in izbira odjemalca postane iskanje. Če jo izpustite, je vsaka napaka videti kot napačno geslo.

Zberite podatke, preden karkoli namestite

Upravljavcu prehoda pošljite seznam in zahtevajte odgovore, ne imena izdelka. Devet točk v celoti pokrije profil oddaljenega dostopa:

1. Ime gostitelja ali naslov prehoda, ki ga mora odjemalec poklicati, in ali je dosegljiv od zunaj.
2. Protokol in različica: IKEv2, druga generacija IPsec ali storitev na osnovi TLS.
3. Identiteta partnerja, ki jo prehod pričakuje, in kaj sam predstavi v zameno.
4. Gradivo zaupanja: katera CA podpiše potrdilo prehoda ali se uporablja vnaprej dogovorjeni ključ.
5. Preverjanje pristnosti uporabnika: potrdilo, uporabniško ime in geslo EAP ali vnaprej dogovorjeni ključ.
6. Nabor naslovov, v katerega pristane odjemalec, z masko in prehodom.
7. Strežniki DNS za uporabo v tunelu in ali jih mora odjemalec sprejeti.
8. Dovoljene predpone ponora in ali je treba promet zunaj njih blokirati.
9. Podprte različice odjemalca in različice operacijskega sistema telefona ter morebitne zahteve po registraciji.

Dve od teh točk povzročita večino preprečljivih napak. Brez gradiva zaupanja ne morete preveriti prehoda, zato se pravilen odjemalec zdi pokvarjen. Brez dovoljenih predpon ne morete ločiti omejitve usmerjanja od težave s storitvijo.

Ime dobavitelja ni protokol

Cisco IOS in IOS XE ponujata več ureditev oddaljenega dostopa in si ne delita enega prenosnega formata. IKEv2 s profilom v slogu FlexVPN ni ista storitev kot starejša konfiguracija IKEv1, odjemalska storitev na osnovi TLS pa je spet drug izdelek, pogosto na drugi platformi v istem okolju.

Zato odjemalec, katerega ime omenja dobavitelja usmerjevalnika, ne dokazuje ničesar. Lahko dobro izvede eno od teh storitev in nobene druge. Vprašajte, katera storitev je nastavljena, nato preverite, ali dokumentacija odjemalca to storitev navaja kot podprto.

Ciscova lastna dokumentacija za IKEv2 ločuje predlog, politiko, profil in obesek s ključi kot ločene objekte. Ta struktura je koristna, ko berete konfiguracijo, ki vam jo nekdo prilepi: pove, kateri objekt hrani nastavitve, pomembne za oddaljeni telefon, namesto da bi celotno datoteko obravnavala kot eno grudo.

Kaj pokriva vgrajeni sklad Android

Android izpostavi platformni profil IKEv2/IPsec prek Ikev2VpnProfile, z ločenimi vrstami preverjanja pristnosti za vnaprej dogovorjeni ključ, potrdilo RSA ter uporabniško ime in geslo EAP. Referenca Ikev2VpnProfile je avtoriteta za to, kaj graditelj sprejme, vključno z imenom gostitelja prehoda in korensko CA strežnika, uporabljeno za njegovo preverjanje.

Ta API je izjava o zmožnostih, ne obljuba združljivosti. Pravi, da zmore platforma IKEv2 s temi vrstami preverjanja pristnosti. Ne pravi, da določen zaslon nastavitev OEM razkriva vsako polje, niti da bo profilna datoteka, izvožena iz drugega izdelka, uvožena.

To tudi pomeni, da vas vgrajeni sklad ne bo rešil, če prehod izvaja storitev, ki je platforma ne izvaja. V tem primeru potrebujete odjemalca dobavitelja, ki ga operater podpira, nameščenega in nastavljenega tako, kot dokumentira operater, ne pa obhoda, zgrajenega na protokolu, ki ga telefon ne govori.

Preizkusite v vrstnem redu, v katerem je napisana pogodba

Preverjajte eno plast naenkrat in se ustavite ob prvi napaki, ker nadaljnji preizkusi nimajo smisla, dokler prejšnji ne uspejo.

Zaupanje. Če odjemalec zavrne potrdilo prehoda, nič drugega ni pomembno. Potrdite, da CA, ki ste jo prejeli, podpisuje potrdilo, ki ga prehod predstavi, in da je v njem ime gostitelja, ki ste ga poklicali. Pustite preverjanje vklopljeno; če ga izklopite, težavo identitete spremenite v tveganje prestrezanja.

Preverjanje pristnosti. Zavrnjene poverilnice in neustrezen predlog dajo različne napake, a podobno videze napake. Odločilen je dnevnik prehoda: pove, ali je bil predlog sprejemljiv, preden pove karkoli o uporabniku.

Naslov in DNS. Potrdite, da je telefon prejel naslov iz dokumentiranega nabora, nato razrešite eno notranje ime. Tunel, ki se dvigne z naslovom in brez razreševalnika, je videti povezan in se obnaša, kot da nič ne deluje.

Dosegljivost. Preizkusite en dovoljeni cilj po naslovu, nato po imenu. Če naslov deluje, ime pa ne, ste spet pri DNS. Če ne deluje nobeno, primerjajte predpono, ki jo preizkušate, z dovoljenim seznamom, preden se dotaknete odjemalca.

Načini napak in razveljavitev

Preden karkoli spremenite, imejte prejšnji delujoči profil izvožen in dokumentiran, vključno z vzdevkom CA in naborom naslovov. Razveljavitev potem pomeni obnovitev znanega profila, ne pa njegovo ponovno sestavljanje iz spomina med izpadom.

Ko deluje, zapišite devet odgovorov zbiranja ob profilu. Naslednji telefon, naslednja posodobitev sistema in naslednja sprememba prehoda postanejo primerjava z dokumentom namesto še enega popoldneva ugibanja.