Android VPN ка Cisco IOS-у: уговор који прво треба прибавити

Телефон мора да стигне до Cisco пролаза. Неко је већ именовао клијента који треба инсталирати. То је погрешан крај поступка и зато тунел пада након сат времена поновног уписивања акредитива.

Најпре вам треба уговор о вези: протокол, аутентификација, идентитет, материјал поверења, додела адреса и рутирање, записан од стране онога који управља пролазом.

Прибавите то у писаном облику и избор клијента постаје претрага. Прескочите и сваки квар изгледа као погрешна лозинка.

Обавите прикупљање података пре него што било шта инсталирате

Пошаљите власнику пролаза списак и тражите одговоре, а не назив производа. Девет ставки потпуно покрива профил даљинског приступа:

1. Назив хоста или адреса пролаза који клијент треба да позове, и да ли је доступан споља.
2. Протокол и верзија: IKEv2, друга генерација IPsec-а или TLS услуга.
3. Идентитет партнера који пролаз очекује и шта он сам представља заузврат.
4. Материјал поверења: који CA потписује сертификат пролаза или се користи унапред подељени кључ.
5. Аутентификација корисника: сертификат, EAP корисничко име и лозинка или унапред подељени кључ.
6. Скуп адреса у који клијент долази, са маском и пролазом.
7. DNS сервери за коришћење унутар тунела и мора ли их клијент прихватити.
8. Дозвољени префикси одредишта и мора ли се саобраћај изван њих блокирати.
9. Подржана издања клијента и верзије оперативног система телефона, плус сваки захтев за регистрацију.

Две од тих ставки узрокују већину избежљивих кварова. Без материјала поверења не можете проверити пролаз, па исправан клијент изгледа неисправно. Без дозвољених префикса не можете разликовати ограничење рутирања од проблема са услугом.

Назив добављача није протокол

Cisco IOS и IOS XE нуде неколико решења за даљински приступ и она не деле исти формат преноса. IKEv2 са профилом у стилу FlexVPN није иста услуга као старија IKEv1 конфигурација, а TLS клијентска услуга је опет други производ, често на другој платформи у истом окружењу.

Зато клијент у чијем се називу спомиње добављач рутера не доказује ништа. Може добро имплементирати једну од тих услуга и ни једну другу. Питајте која је услуга конфигурисана, па проверите наводи ли документација клијента ту услугу као подржану.

Ciscova сопствена IKEv2 документација раздваја предлог, политику, профил и привезак кључева као засебне објекте. Та структура помаже када читате конфигурацију коју вам неко залепи: каже вам који објекат држи поставке важне за удаљени телефон, уместо да целу датотеку третира као једну гомилу.

Шта покрива уграђени стек Андроида

Android излаже платформски IKEv2/IPsec профил кроз Ikev2VpnProfile, са одвојеним типовима аутентификације за унапред подељени кључ, RSA сертификат и EAP корисничко име и лозинку. Ikev2VpnProfile референца је ауторитет за оно што градитељ прихвата, укључујући назив хоста пролаза и коренски CA сервера који се користи за његову проверу.

Тај API је изјава о могућностима, а не обећање компатибилности. Каже да платформа може IKEv2 с тим типовима аутентификације. Не каже да одређени OEM екран поставки приказује свако поље, нити да ће се профилна датотека извезена из другог производа увести.

То такође значи да вас уграђени стек неће спасити ако пролаз покреће услугу коју платформа не имплементира. У том случају требате добављачев клијент који оператер подржава, инсталиран и конфигурисан како оператер документује, а не заобилазно решење на протоколу који телефон не говори.

Тестирајте редом којим је уговор написан

Проверавајте један слој по један и зауставите се на првом квару, јер каснији тестови немају смисла док претходни не прођу.

Поверење. Ако клијент одбије сертификат пролаза, ништа друго није важно. Потврдите да CA који сте добили потписује сертификат који пролаз представља и да се назив хоста који сте позвали налази у њему. Оставите проверу укљученом; њено искључивање претвара проблем идентитета у ризик пресретања.

Аутентификација. Одбијени подаци за пријаву и неусклађени предлог дају различите грешке, али сличне кварове. Дневник пролаза је пресудан: рећи ће је ли предлог био прихватљив пре него што каже било шта о кориснику.

Адреса и DNS. Потврдите да је телефон добио адресу из документованог скупа, затим разрешите једно интерно име. Тунел који се подигне са адресом и без разрешивача изгледа повезан и понаша се као да ништа не ради.

Доступност. Тестирајте једно дозвољено одредиште по адреси, па по имену. Ако адреса ради а име не, вратили сте се на DNS. Ако ниједно не ради, упоредите префикс који тестирате са дозвољеним списком пре него што дирате клијент.

Начини квара и враћање

Држите претходни радни профил извезен и документован пре него што било шта промените, укључујући алијас CA и скуп адреса. Враћање тада значи обновити познати профил, а не реконструисати га по сећању током прекида.

Кад проради, запишите девет одговора прикупљања уз профил. Следећи телефон, следеће ажурирање система и следећа промена пролаза постају поређење с документом уместо још једног поподнева нагађања.