Android VPN'den Cisco IOS'a: önce alınması gereken sözleşme

Telefonun bir Cisco ağ geçidine ulaşması gerekiyor. Kurulacak istemciyi birileri çoktan söylemiş. Bu, sürecin yanlış ucudur ve tünelin bir saat boyunca kimlik bilgilerini yeniden yazdıktan sonra başarısız olmasının nedeni budur.

Önce ihtiyacınız olan şey bir bağlantı sözleşmesidir: protokol, kimlik doğrulama, kimlik, güven malzemesi, adres ataması ve yönlendirme; ağ geçidini işleten kişi tarafından yazılmış olmalı.

Bunu yazılı olarak alın, istemci seçimi bir aramaya dönüşür. Atlaın, her arıza yanlış parola gibi görünür.

Herhangi bir şey kurmadan önce bilgileri toplayın

Ağ geçidinin sahibine bir liste gönderin ve ürün adı değil yanıt isteyin. Dokuz madde uzaktan erişim profilini tamamen kapsar:

1. İstemcinin arayacağı ağ geçidinin ana bilgisayar adı veya adresi ve dışarıdan erişilebilir olup olmadığı.
2. Protokol ve sürüm: IKEv2, başka bir IPsec nesli veya TLS tabanlı bir hizmet.
3. Ağ geçidinin beklediği eş kimliği ve kendisinin karşılık olarak sunduğu şey.
4. Güven malzemesi: ağ geçidi sertifikasını hangi CA imzalıyor veya önceden paylaşılan bir anahtar mı kullanılıyor.
5. Kullanıcı kimlik doğrulaması: sertifika, EAP kullanıcı adı ve parolası veya önceden paylaşılan anahtar.
6. İstemcinin indiği adres havuzu, maskesi ve ağ geçidiyle birlikte.
7. Tünel içinde kullanılacak DNS sunucuları ve istemcinin bunları kabul etmesi gerekip gerekmediği.
8. İzin verilen hedef önekleri ve bunların dışındaki trafiğin engellenmesi gerekip gerekmediği.
9. Desteklenen istemci sürümleri ve telefonun işletim sistemi sürümleri, ayrıca varsa kayıt koşulu.

Bu maddelerden ikisi kaçınılabilir arızaların çoğuna yol açar. Güven malzemesi olmadan ağ geçidini doğrulayamazsınız, bu yüzden doğru bir istemci bozuk görünür. İzin verilen önekler olmadan yönlendirme kısıtlamasını hizmet sorunundan ayıramazsınız.

Satıcı adı bir protokol değildir

Cisco IOS ve IOS XE birkaç uzaktan erişim düzeni sunar ve bunlar tek bir iletim biçimini paylaşmaz. FlexVPN tarzı profille IKEv2, eski bir IKEv1 yapılandırmasıyla aynı hizmet değildir ve TLS tabanlı istemci hizmeti yine başka bir üründür, çoğu zaman aynı ortamda başka bir platformda.

Bu yüzden adında yönlendirici satıcısını anan bir istemci hiçbir şeyi kanıtlamaz. Bu hizmetlerden birini iyi uygulayıp diğerlerini hiç uygulamıyor olabilir. Hangi hizmetin yapılandırıldığını sorun, ardından istemcinin belgelerinin o hizmeti desteklenen olarak anıp anmadığını kontrol edin.

Cisco'nun kendi IKEv2 belgeleri teklifi, politikayı, profili ve anahtar halkasını ayrı nesneler olarak ayırır. Bu yapı, birinin size yapıştırdığı yapılandırmayı okurken işinize yarar: tüm dosyayı tek bir kütle olarak görmek yerine uzak telefon için önemli ayarların hangi nesnede olduğunu söyler.

Android'in yerleşik yığınının kapsadıkları

Android, platformun IKEv2/IPsec profilini Ikev2VpnProfile üzerinden sunar; önceden paylaşılan anahtar, RSA sertifikası ve EAP kullanıcı adı ile parolası için ayrı kimlik doğrulama türleri vardır. Ikev2VpnProfile başvurusu, oluşturucunun neleri kabul ettiğine dair yetkili kaynaktır; ağ geçidinin ana bilgisayar adı ve onu doğrulamak için kullanılan sunucu kök CA'sı da buna dahildir.

Bu API bir yetenek beyanıdır, uyumluluk vaadi değil. Platformun bu kimlik doğrulama türleriyle IKEv2 yapabildiğini söyler. Belirli bir OEM ayarlar ekranının her alanı gösterdiğini ya da başka bir üründen dışa aktarılan profil dosyasının içe aktarılacağını söylemez.

Bu ayrıca ağ geçidi platformun uygulamadığı bir hizmeti çalıştırıyorsa yerleşik yığının sizi kurtarmayacağı anlamına gelir. O durumda işletmecinin desteklediği satıcı istemcisine ihtiyacınız vardır; işletmecinin belgelediği gibi kurulmuş ve yapılandırılmış olmalıdır, telefonun konuşmadığı bir protokol üzerine kurulmuş bir dolambaç değil.

Sözleşmenin yazıldığı sırayla test edin

Her seferinde bir katmanı doğrulayın ve ilk hatada durun, çünkü öncekiler geçmeden sonrakiler anlamsızdır.

Güven. İstemci ağ geçidinin sertifikasını reddederse başka hiçbir şey önemli değildir. Size verilen CA'nın ağ geçidinin sunduğu sertifikayı imzaladığını ve aradığınız ana bilgisayar adının onda bulunduğunu doğrulayın. Doğrulamayı açık bırakın; kapatmak kimlik sorununu dinleme riskine dönüştürür.

Kimlik doğrulama. Reddedilen kimlik bilgileri ile uyuşmayan teklif farklı hatalar ama benzer görünen arızalar üretir. Ağ geçidi günlüğü belirleyicidir: kullanıcı hakkında bir şey söylemeden önce teklifin kabul edilebilir olup olmadığını söyler.

Adres ve DNS. Telefonun belgelenen havuzdan bir adres aldığını doğrulayın, ardından bir iç adı çözün. Adresle gelip çözümleyicisi olmayan bir tünel bağlı görünür ve hiçbir şey çalışmıyormuş gibi davranır.

Erişilebilirlik. İzin verilen bir hedefi adresle, sonra adla test edin. Adres çalışıp ad çalışmıyorsa DNS'e döndünüz. İkisi de çalışmıyorsa istemciye dokunmadan önce test ettiğiniz öneki izin verilen listeyle karşılaştırın.

Arıza biçimleri ve geri alma

Herhangi bir şeyi değiştirmeden önce önceki çalışan profili dışa aktarılmış ve belgelenmiş olarak saklayın; CA takma adı ve adres havuzu da dahil. Geri alma o zaman bilinen bir profili geri yüklemek demektir, kesinti sırasında onu bellekten yeniden kurmak değil.

Çalıştığında, dokuz bilgi toplama yanıtını profilin yanına yazın. Sonraki telefon, sonraki işletim sistemi güncellemesi ve sonraki ağ geçidi değişikliği, bir tahmin öğleden sonrası yerine bir belgeyle karşılaştırmaya dönüşür.