VPN ya Android hadi Cisco IOS: mkataba unaopaswa kupata kwanza

Simu inahitaji kufikia lango la Cisco. Mtu tayari amemtaja mteja wa kusakinisha. Huo ni mwisho usiofaa wa mchakato, na ndiyo sababu handaki inashindikana baada ya saa moja ya kuandika tena vitambulisho.

Unachohitaji kwanza ni mkataba wa muunganisho: itifaki, uthibitishaji, utambulisho, nyenzo za uaminifu, ugawaji wa anwani na uelekezaji, ulioandikwa na anayeendesha lango.

Upate kwa maandishi na uchaguzi wa mteja unakuwa utafutaji tu. Ukipuuza, kila kushindikana kunaonekana kama neno la siri lisilo sahihi.

Fanya ukusanyaji kabla ya kusakinisha kitu chochote

Tuma orodha kwa mmiliki wa lango na omba majibu, sio jina la bidhaa. Vipengele tisa hufunika wasifu wa ufikiaji wa mbali kikamilifu:

1. Jina la mwenyeji au anwani ya lango ambalo mteja anapaswa kupiga, na kama linafikiwa kutoka nje.
2. Itifaki na toleo: IKEv2, kizazi kingine cha IPsec, au huduma inayotegemea TLS.
3. Utambulisho wa mwenzake ambao lango linatarajia, na kile linalowasilisha lenyewe kwa kurudi.
4. Nyenzo za uaminifu: ni CA gani inayotia saini cheti cha lango, au kama ufunguo ulioshirikiwa mapema unatumika.
5. Uthibitishaji wa mtumiaji: cheti, jina la mtumiaji na neno la siri la EAP, au ufunguo ulioshirikiwa mapema.
6. Bwawa la anwani ambalo mteja hutua, pamoja na kifuniko na lango.
7. Seva za DNS za kutumia ndani ya handaki, na kama mteja anapaswa kuzikubali.
8. Viambishi awali vya mwisho vinavyoruhusiwa, na kama trafiki nje yao inapaswa kuzuiwa.
9. Matoleo ya mteja yanayotumika na matoleo ya mfumo wa uendeshaji wa simu, pamoja na sharti lolote la usajili.

Mawili kati ya vipengele hivyo husababisha kushindikana kunakoweza kuepukwa. Bila nyenzo za uaminifu huwezi kuthibitisha lango, kwa hiyo mteja sahihi anaonekana kama umeharibika. Bila viambishi awali vinavyoruhusiwa huwezi kutofautisha kizuizi cha uelekezaji na tatizo la huduma.

Jina la muuzaji sio itifaki

Cisco IOS na IOS XE hutoa mipangilio kadhaa ya ufikiaji wa mbali, na haishiriki muundo mmoja wa usambazaji. IKEv2 na wasifu wa mtindo wa FlexVPN sio huduma ile ile kama usanidi wa zamani wa IKEv1, na huduma ya mteja inayotegemea TLS ni bidhaa nyingine tena, mara nyingi kwenye jukwaa lingine katika mazingira yaleyale.

Kwa hiyo mteja ambaye jina lake linataja muuzaji wa kipanga njia haithibitishi chochote. Inaweza kutekeleza vizuri moja ya huduma hizo na hakuna nyingine. Uliza ni huduma gani imesanidiwa, kisha angalia kama nyaraka za mteja zinaitaja huduma hiyo kama inayotumika.

Nyaraka za IKEv2 za Cisco zenyewe hutenganisha pendekezo, sera, wasifu na pete ya ufunguo kama vitu tofauti. Muundo huo ni muhimu unaposoma usanidi ambao mtu anakubandika: unakuambia ni kitu gani kinashikilia mipangilio muhimu kwa simu ya mbali, badala ya kuchukua faili yote kama kitu kimoja.

Kile ambacho mkusanyiko wa Android uliojengwa ndani hufunika

Android huonyesha wasifu wa IKEv2/IPsec wa jukwaa kupitia Ikev2VpnProfile, na aina tofauti za uthibitishaji kwa ufunguo ulioshirikiwa mapema, cheti cha RSA, na jina la mtumiaji na neno la siri la EAP. Marejeleo ya Ikev2VpnProfile ndio mamlaka kuhusu kile ambacho mjenzi anakubali, ikiwa ni pamoja na jina la mwenyeji wa lango na CA ya mzizi ya seva inayotumika kulithibitisha.

API hiyo ni tamko la uwezo, sio ahadi ya upatanifu. Inasema jukwaa linaweza IKEv2 na aina hizo za uthibitishaji. Haisemi kwamba skrini fulani ya mipangilio ya OEM inaonyesha kila sehemu, wala kwamba faili ya wasifu iliyohamishwa kutoka bidhaa nyingine itaingizwa.

Pia inamaanisha kwamba mkusanyiko uliojengwa ndani hautakuokoa ikiwa lango linaendesha huduma ambayo jukwaa halitekelezi. Katika hali hiyo unahitaji mteja wa muuzaji anayeungwa mkono na mwendeshaji, aliyesakinishwa na kusanidiwa kama mwendeshaji anavyoandika, badala ya njia ya kuzunguka iliyojengwa juu ya itifaki ambayo simu haizungumzi.

Jaribu kwa mpangilio ambao mkataba umeandikwa

Thibitisha safu moja kwa wakati na usimame kwenye kushindikana kwa kwanza, kwa sababu majaribio ya baadaye hayana maana hadi yale ya awali yapite.

Uaminifu. Ikiwa mteja anakataa cheti cha lango, hakuna kingine kinachojalisha. Hakikisha kuwa CA uliyopewa inatia saini cheti ambacho lango linawasilisha, na kwamba jina la mwenyeji uliyopiga linaonekana ndani yake. Acha uthibitishaji ukiwa umewashwa; kuuzima kunageuza tatizo la utambulisho kuwa hatari ya kudukuliwa.

Uthibitishaji. Vitambulisho vilivyokataliwa na pendekezo lisilolingana hutoa makosa tofauti lakini kushindikana kwa sura inayofanana. Kumbukumbu ya lango ndio mwamuzi: itasema kama pendekezo lilikuwa likikubalika kabla ya kusema chochote kuhusu mtumiaji.

Anwani na DNS. Hakikisha simu ilipokea anwani kutoka bwawa lililoandikwa, kisha tatua jina moja la ndani. Handaki linaloinuka na anwani bila kitatuzi linaonekana limeunganishwa na linajiendesha kana kwamba hakuna kinachofanya kazi.

Ufikikaji. Jaribu lengo moja linaloruhusiwa kwa anwani, kisha kwa jina. Ikiwa anwani inafanya kazi na jina halifanyi, umerudi kwenye DNS. Ikiwa hakuna linalofanya kazi, linganisha kiambishi awali unachojaribu na orodha inayoruhusiwa kabla ya kugusa mteja.

Mbinu za kushindikana na kurudi nyuma

Weka wasifu uliopita uliofanya kazi ukiwa umehamishwa na kuandikwa kabla ya kubadilisha chochote, ikiwa ni pamoja na jina la utani la CA na bwawa la anwani. Kurudi nyuma basi humaanisha kurejesha wasifu unaojulikana, sio kuujenga upya kutoka kumbukumbu wakati wa kukatika.

Kinapofanya kazi, andika majibu tisa ya ukusanyaji kando ya wasifu. Simu inayofuata, sasisho la mfumo linalofuata na mabadiliko ya lango yanayofuata yote yanakuwa ulinganisho na hati badala ya mchana mwingine wa kukisia.