Android VPN'dan Cisco IOS'gacha: birinchi olinadigan shartnoma
Cisco IOS shlyuzi uchun Android mijozi o'rnatishdan oldin protokol, autentifikatsiya, shaxsiyat va marshrutlashni to'plang. Shu bosqich uchun qo'llanma.
Telefon Cisco shlyuziga yetib borishi kerak. Kimdir o'rnatiladigan mijozni allaqachon aytib qo'ygan. Bu jarayonning noto'g'ri uchi, shuning uchun bir soat davomida hisob ma'lumotlarini qayta yozgandan keyin tunnel ishlamay qoladi.
Avvalo sizga ulanish shartnomasi kerak: protokol, autentifikatsiya, shaxsiyat, ishonch materiali, manzil taqsimoti va marshrutlash, uni shlyuzni boshqaradigan kishi yozib berishi kerak.
Uni yozma ravishda olsangiz, mijoz tanlovi oddiy qidiruvga aylanadi. O'tkazib yuborsangiz, har bir nosozlik noto'g'ri parol kabi ko'rinadi.
Biror narsa o'rnatishdan oldin ma'lumot to'plang
Shlyuz egasiga ro'yxat yuboring va mahsulot nomini emas, javoblarni so'rang. To'qqiz band masofaviy kirish profilini to'liq qamrab oladi:
- Mijoz qo'ng'iroq qiladigan shlyuzning xost nomi yoki manzili va unga tashqaridan yetib borish mumkinmi.
- Protokol va versiya: IKEv2, IPsec'ning boshqa avlodi yoki TLS asosidagi xizmat.
- Shlyuz kutayotgan hamkor shaxsiyati va uning o'zi evaziga nima taqdim etadi.
- Ishonch materiali: qaysi CA shlyuz sertifikatiga imzo chekadi yoki oldindan bo'lishilgan kalit ishlatiladi.
- Foydalanuvchi autentifikatsiyasi: sertifikat, EAP foydalanuvchi nomi va paroli yoki oldindan bo'lishilgan kalit.
- Mijoz tushadigan manzillar hovuzi, mask va shlyuz bilan.
- Tunnel ichida ishlatiladigan DNS serverlar va mijoz ularni qabul qilishi kerakmi.
- Ruxsat etilgan manzil prefikslari va ulardan tashqaridagi trafikni bloklash kerakmi.
- Qo'llab-quvvatlanadigan mijoz versiyalari va telefon operatsion tizimi versiyalari, shuningdek ro'yxatdan o'tish talabi bo'lsa, u.
Bu bandlardan ikkitasi oldini olish mumkin bo'lgan nosozliklarning ko'pini keltirib chiqaradi. Ishonch materialisiz shlyuzni tekshira olmaysiz, shuning uchun to'g'ri mijoz ham buzilgandek ko'rinadi. Ruxsat etilgan prefikslarsiz marshrutlash cheklovini xizmat muammosidan ajrata olmaysiz.
Yetkazib beruvchi nomi protokol emas
Cisco IOS va IOS XE bir nechta masofaviy kirish tizimlarini taklif qiladi va ular bitta uzatish formatini bo'lishmaydi. FlexVPN uslubidagi profil bilan IKEv2 eski IKEv1 konfiguratsiyasi bilan bir xil xizmat emas, TLS asosidagi mijoz xizmati esa yana boshqa mahsulot, ko'pincha shu muhitdagi boshqa platformada.
Shuning uchun nomida marshrutizator yetkazib beruvchisi tilga olingan mijoz hech narsani isbotlamaydi. U o'sha xizmatlardan birini yaxshi amalga oshirib, qolganlarini umuman amalga oshirmasligi mumkin. Qaysi xizmat sozlanganini so'rang, keyin mijoz hujjatlari o'sha xizmatni qo'llab-quvvatlanadigan deb ko'rsatadimi, tekshiring.
Cisco'ning o'z IKEv2 hujjatlari taklif, siyosat, profil va kalit halqasini alohida obyektlar sifatida ajratadi. Bu tuzilma kimdir sizga yopishtirib bergan konfiguratsiyani o'qiganda foydali: butun faylni bitta uyum deb qarash o'rniga masofaviy telefon uchun muhim sozlamalar qaysi obyektda ekanini aytadi.
Android'ning ichki steki nimani qamrab oladi
Android platforma IKEv2/IPsec profilini Ikev2VpnProfile orqali taqdim etadi, oldindan bo'lishilgan kalit, RSA sertifikati va EAP foydalanuvchi nomi hamda paroli uchun alohida autentifikatsiya turlari bilan. Ikev2VpnProfile ma'lumotnomasi quruvchi nimani qabul qilishining vakolatli manbasi bo'lib, shlyuz xost nomi va uni tekshirish uchun ishlatiladigan server ildiz CA'si ham kiradi.
Bu API imkoniyat bayoni, muvofiqlik va'dasi emas. Platforma o'sha autentifikatsiya turlari bilan IKEv2 qila olishini aytadi. Muayyan OEM sozlamalar ekrani har bir maydonni ko'rsatishini yoki boshqa mahsulotdan eksport qilingan profil fayli import qilinishini aytmaydi.
Bu shuningdek, agar shlyuz platforma amalga oshirmaydigan xizmatni ishga tushirsa, ichki stek sizni qutqarmasligini bildiradi. Bunday holda operator qo'llab-quvvatlaydigan yetkazib beruvchi mijozi kerak, operator hujjatlashtirganidek o'rnatilgan va sozlangan, telefon gapirmaydigan protokol ustiga qurilgan aylanma yo'l emas.
Shartnoma yozilgan tartibda sinab ko'ring
Har safar bir qatlamni tekshiring va birinchi nosozlikda to'xtang, chunki avvalgilari o'tmaguncha keyingilari ma'nosiz.
Ishonch. Mijoz shlyuz sertifikatini rad etsa, boshqa hech narsa muhim emas. Sizga berilgan CA shlyuz taqdim etayotgan sertifikatga imzo chekishini va siz qo'ng'iroq qilgan xost nomi unda borligini tasdiqlang. Tekshiruvni yoqib turing; uni o'chirish shaxsiyat muammosini tinglash xavfiga aylantiradi.
Autentifikatsiya. Rad etilgan hisob ma'lumotlari va mos kelmaydigan taklif turli xatolar, ammo o'xshash nosozliklar beradi. Shlyuz jurnali hal qiluvchi: foydalanuvchi haqida biror narsa aytishdan oldin taklif maqbul bo'lganini aytadi.
Manzil va DNS. Telefon hujjatlashtirilgan hovuzdan manzil olganini tasdiqlang, keyin bitta ichki nomni hal qiling. Manzil bilan ko'tarilib, hal qiluvchisi bo'lmagan tunnel ulangandek ko'rinadi va hech narsa ishlamayotgandek tutadi.
Yetib borish. Bitta ruxsat etilgan manzilni manzil bo'yicha, keyin nom bo'yicha sinang. Manzil ishlab, nom ishlamasa, siz yana DNS'dasiz. Ikkisi ham ishlamasa, mijozga tegishdan oldin sinayotgan prefiksingizni ruxsat etilgan ro'yxat bilan solishtiring.
Nosozlik rejimlari va orqaga qaytarish
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Biror narsani o'zgartirishdan oldin avvalgi ishlagan profilni eksport qilingan va hujjatlashtirilgan holda saqlang, CA taxallusi va manzillar hovuzini qo'shib. Shunda orqaga qaytarish ma'lum profilni tiklashni bildiradi, uzilish paytida uni xotiradan qayta qurishni emas.
Ishlagach, to'qqiz to'plam javobini profil yoniga yozib qo'ying. Keyingi telefon, keyingi OS yangilanishi va shlyuzning keyingi o'zgarishi hujjat bilan solishtirishga aylanadi, yana bir tushdan keyingi taxmin o'rniga.