Android VPN ไปยัง Cisco IOS: สัญญาที่ต้องได้รับก่อน

โทรศัพท์ต้องเข้าถึงเกตเวย์ Cisco มีคนระบุไคลเอนต์ที่จะติดตั้งไว้แล้ว นั่นคือปลายผิดของกระบวนการ และนั่นคือเหตุผลที่อุโมงค์ล้มเหลวหลังใช้เวลาหนึ่งชั่วโมงพิมพ์ข้อมูลรับรองซ้ำ

สิ่งที่คุณต้องมีก่อนคือสัญญาการเชื่อมต่อ: โปรโตคอล การพิสูจน์ตัวตน ตัวตน วัสดุความเชื่อถือ การจัดสรรที่อยู่ และการกำหนดเส้นทาง ซึ่งผู้ดูแลเกตเวย์เป็นผู้เขียน

ได้มาเป็นลายลักษณ์อักษรแล้ว การเลือกไคลเอนต์ก็กลายเป็นการค้นหา ไม่มีสัญญานี้ ทุกความล้มเหลวดูเหมือนรหัสผ่านผิด

เก็บข้อมูลก่อนติดตั้งอะไรทั้งสิ้น

ส่งรายการให้เจ้าของเกตเวย์และขอคำตอบ ไม่ใช่ชื่อผลิตภัณฑ์ เก้าข้อครอบคลุมโปรไฟล์การเข้าถึงระยะไกลได้ครบถ้วน:

1. ชื่อโฮสต์หรือที่อยู่ของเกตเวย์ที่ไคลเอนต์ต้องเชื่อมต่อ และเข้าถึงได้จากภายนอกหรือไม่
2. โปรโตคอลและเวอร์ชัน: IKEv2, IPsec รุ่นอื่น หรือบริการที่อิง TLS
3. ตัวตนของคู่เจรจาที่เกตเวย์คาดหวัง และสิ่งที่เกตเวย์เองนำเสนอตอบกลับ
4. วัสดุความเชื่อถือ: CA ใดลงนามในใบรับรองของเกตเวย์ หรือใช้คีย์ที่แชร์ไว้ล่วงหน้า
5. การพิสูจน์ตัวตนผู้ใช้: ใบรับรอง ชื่อผู้ใช้และรหัสผ่าน EAP หรือคีย์ที่แชร์ไว้ล่วงหน้า
6. กลุ่มที่อยู่ที่ไคลเอนต์ได้รับ พร้อมมาสก์และเกตเวย์
7. เซิร์ฟเวอร์ DNS ที่ใช้ภายในอุโมงค์ และไคลเอนต์ต้องยอมรับหรือไม่
8. คำนำหน้าเป้าหมายที่อนุญาต และต้องบล็อกทราฟฟิกนอกเหนือจากนั้นหรือไม่
9. เวอร์ชันไคลเอนต์ที่รองรับและเวอร์ชันระบบปฏิบัติการของโทรศัพท์ รวมถึงข้อกำหนดการลงทะเบียนใด ๆ

สองข้อในนั้นก่อให้เกิดความล้มเหลวที่หลีกเลี่ยงได้ส่วนใหญ่ หากไม่มีวัสดุความเชื่อถือ คุณตรวจสอบเกตเวย์ไม่ได้ ไคลเอนต์ที่ถูกต้องจึงดูเหมือนเสีย หากไม่มีคำนำหน้าที่อนุญาต คุณแยกข้อจำกัดการกำหนดเส้นทางออกจากปัญหาบริการไม่ได้

ชื่อผู้ขายไม่ใช่โปรโตคอล

Cisco IOS และ IOS XE มีรูปแบบการเข้าถึงระยะไกลหลายแบบ และไม่ได้ใช้รูปแบบการรับส่งเดียวกัน IKEv2 ที่มีโปรไฟล์สไตล์ FlexVPN ไม่ใช่บริการเดียวกับการกำหนดค่า IKEv1 รุ่นเก่า และบริการไคลเอนต์ที่อิง TLS ก็เป็นอีกผลิตภัณฑ์หนึ่ง มักอยู่บนแพลตฟอร์มอื่นในสภาพแวดล้อมเดียวกัน

ไคลเอนต์ที่ชื่อระบุผู้ผลิตเราเตอร์จึงไม่ได้พิสูจน์อะไร อาจใช้งานหนึ่งในบริการเหล่านั้นได้ดีและไม่ได้ใช้งานบริการอื่นเลย ถามว่าบริการใดถูกกำหนดค่าไว้ แล้วตรวจสอบว่าเอกสารของไคลเอนต์ระบุบริการนั้นว่าได้รับการรองรับหรือไม่

เอกสาร IKEv2 ของ Cisco เองแยกข้อเสนอ นโยบาย โปรไฟล์ และพวงกุญแจออกเป็นออบเจกต์ต่างหาก โครงสร้างนั้นมีประโยชน์เมื่อคุณอ่านการกำหนดค่าที่ใครบางคนวางให้: มันบอกว่าออบเจกต์ใดเก็บการตั้งค่าที่สำคัญสำหรับโทรศัพท์ระยะไกล แทนที่จะถือว่าไฟล์ทั้งหมดเป็นก้อนเดียว

สิ่งที่สแตกในตัวของ Android ครอบคลุม

Android เปิดเผยโปรไฟล์ IKEv2/IPsec ของแพลตฟอร์มผ่าน Ikev2VpnProfile โดยมีประเภทการพิสูจน์ตัวตนแยกสำหรับคีย์ที่แชร์ไว้ล่วงหน้า ใบรับรอง RSA และชื่อผู้ใช้กับรหัสผ่าน EAP เอกสารอ้างอิง Ikev2VpnProfile เป็นแหล่งอ้างอิงว่า builder ยอมรับอะไร รวมถึงชื่อโฮสต์ของเกตเวย์และ CA รากของเซิร์ฟเวอร์ที่ใช้ตรวจสอบ

API นั้นเป็นการประกาศความสามารถ ไม่ใช่คำมั่นเรื่องความเข้ากันได้ มันบอกว่าแพลตฟอร์มทำ IKEv2 ด้วยประเภทการพิสูจน์ตัวตนเหล่านั้นได้ ไม่ได้บอกว่าหน้าจอการตั้งค่าของ OEM รายใดแสดงทุกฟิลด์ หรือไฟล์โปรไฟล์ที่ส่งออกจากผลิตภัณฑ์อื่นจะนำเข้าได้

ยังหมายความว่าสแตกในตัวจะช่วยคุณไม่ได้หากเกตเวย์ให้บริการที่แพลตฟอร์มไม่ได้ใช้งาน ในกรณีนั้นคุณต้องใช้ไคลเอนต์ของผู้ขายที่ผู้ให้บริการสนับสนุน ติดตั้งและกำหนดค่าตามที่ผู้ให้บริการจัดทำเอกสาร ไม่ใช่ทางลัดที่สร้างบนโปรโตคอลที่โทรศัพท์พูดไม่ได้

ทดสอบตามลำดับที่เขียนสัญญาไว้

ตรวจสอบทีละชั้นและหยุดที่ความล้มเหลวแรก เพราะการทดสอบหลังจากนั้นไม่มีความหมายจนกว่าชั้นก่อนหน้าจะผ่าน

ความเชื่อถือ หากไคลเอนต์ปฏิเสธใบรับรองของเกตเวย์ ไม่มีสิ่งอื่นสำคัญ ยืนยันว่า CA ที่คุณได้รับลงนามในใบรับรองที่เกตเวย์นำเสนอ และชื่อโฮสต์ที่คุณเชื่อมต่อปรากฏอยู่ในนั้น เปิดการตรวจสอบไว้ การปิดมันเปลี่ยนปัญหาตัวตนเป็นความเสี่ยงต่อการดักฟัง

การพิสูจน์ตัวตน ข้อมูลรับรองที่ถูกปฏิเสธและข้อเสนอที่ไม่ตรงกันให้ข้อผิดพลาดต่างกันแต่ความล้มเหลวที่ดูคล้ายกัน บันทึกของเกตเวย์เป็นตัวชี้ขาด: มันจะบอกว่าข้อเสนอยอมรับได้หรือไม่ก่อนจะพูดอะไรเกี่ยวกับผู้ใช้

ที่อยู่และ DNS ยืนยันว่าโทรศัพท์ได้รับที่อยู่จากกลุ่มที่จัดทำเอกสารไว้ แล้วแปลงชื่อภายในหนึ่งชื่อ อุโมงค์ที่ขึ้นมาพร้อมที่อยู่แต่ไม่มีตัวแปลงชื่อดูเหมือนเชื่อมต่อแล้วและทำตัวราวกับไม่มีอะไรทำงาน

การเข้าถึง ทดสอบเป้าหมายที่อนุญาตหนึ่งแห่งด้วยที่อยู่ แล้วด้วยชื่อ หากที่อยู่ใช้ได้แต่ชื่อไม่ได้ คุณกลับไปที่ DNS หากทั้งสองใช้ไม่ได้ ให้เทียบคำนำหน้าที่คุณทดสอบกับรายการที่อนุญาตก่อนแตะไคลเอนต์

รูปแบบความล้มเหลวและการย้อนกลับ

เก็บโปรไฟล์ที่ใช้งานได้ก่อนหน้าไว้โดยส่งออกและจัดทำเอกสารก่อนเปลี่ยนแปลงสิ่งใด รวมถึงนามแฝง CA และกลุ่มที่อยู่ การย้อนกลับจึงหมายถึงการคืนค่าโปรไฟล์ที่รู้จัก ไม่ใช่การสร้างใหม่จากความจำระหว่างการหยุดชะงัก

เมื่อใช้งานได้ ให้บันทึกคำตอบจากการเก็บข้อมูลทั้งเก้าข้อไว้ข้างโปรไฟล์ โทรศัพท์เครื่องถัดไป การอัปเดตระบบครั้งถัดไป และการเปลี่ยนแปลงเกตเวย์ครั้งถัดไปจะกลายเป็นการเทียบกับเอกสารแทนการเดาอีกบ่ายหนึ่ง