VPN Android tới Cisco IOS: hợp đồng cần có trước tiên
Trước khi cài đặt ứng dụng Android cho cổng Cisco IOS, hãy thu thập giao thức, xác thực, danh tính và định tuyến. Hướng dẫn cho giai đoạn đó.
Điện thoại phải tới được một cổng Cisco. Ai đó đã chỉ định sẵn ứng dụng cần cài. Đó là đầu sai của quy trình, và chính vì thế đường hầm hỏng sau một giờ gõ lại thông tin đăng nhập.
Thứ bạn cần trước tiên là một hợp đồng kết nối: giao thức, xác thực, danh tính, vật liệu tin cậy, cấp phát địa chỉ và định tuyến, do người vận hành cổng ghi lại.
Có được nó bằng văn bản thì việc chọn ứng dụng chỉ còn là tra cứu. Bỏ qua thì mọi sự cố đều trông như sai mật khẩu.
Thu thập thông tin trước khi cài đặt bất cứ thứ gì
Gửi cho chủ cổng một danh sách và yêu cầu câu trả lời, không phải tên sản phẩm. Chín mục bao quát đầy đủ một hồ sơ truy cập từ xa:
- Tên máy chủ hoặc địa chỉ của cổng mà ứng dụng phải gọi, và liệu nó có truy cập được từ bên ngoài.
- Giao thức và phiên bản: IKEv2, một thế hệ IPsec khác, hay dịch vụ dựa trên TLS.
- Danh tính đối tác mà cổng mong đợi, và những gì cổng tự trình ra để đáp lại.
- Vật liệu tin cậy: CA nào ký chứng thư của cổng, hoặc có dùng khóa chia sẻ trước hay không.
- Xác thực người dùng: chứng thư, tên người dùng và mật khẩu EAP, hoặc khóa chia sẻ trước.
- Bể địa chỉ mà ứng dụng nhận được, kèm mặt nạ và cổng.
- Các máy chủ DNS dùng trong đường hầm, và liệu ứng dụng có phải chấp nhận chúng.
- Các tiền tố đích được phép, và liệu lưu lượng ngoài chúng có phải bị chặn.
- Các phiên bản ứng dụng và phiên bản hệ điều hành điện thoại được hỗ trợ, cùng mọi yêu cầu đăng ký.
Hai trong số các mục đó gây ra phần lớn sự cố có thể tránh được. Không có vật liệu tin cậy, bạn không xác minh được cổng, nên một ứng dụng đúng vẫn trông hỏng. Không có tiền tố được phép, bạn không phân biệt được hạn chế định tuyến với sự cố dịch vụ.
Tên nhà cung cấp không phải giao thức
Cisco IOS và IOS XE cung cấp nhiều cách bố trí truy cập từ xa, và chúng không dùng chung một định dạng truyền. IKEv2 với hồ sơ kiểu FlexVPN không phải cùng một dịch vụ như cấu hình IKEv1 cũ, và dịch vụ ứng dụng dựa trên TLS lại là một sản phẩm khác, thường trên nền tảng khác trong cùng môi trường.
Vì vậy một ứng dụng có tên nhắc tới nhà sản xuất router không chứng minh điều gì. Nó có thể triển khai tốt một trong các dịch vụ đó và không làm được dịch vụ nào khác. Hỏi dịch vụ nào đã được cấu hình, rồi kiểm tra xem tài liệu của ứng dụng có nêu dịch vụ đó là được hỗ trợ hay không.
Tài liệu IKEv2 của chính Cisco tách đề xuất, chính sách, hồ sơ và chùm khóa thành các đối tượng riêng. Cấu trúc đó hữu ích khi bạn đọc một cấu hình mà ai đó dán cho bạn: nó cho biết đối tượng nào giữ những thiết lập quan trọng cho điện thoại từ xa, thay vì coi toàn bộ tệp là một khối.
Những gì ngăn xếp sẵn có của Android bao quát
Android cung cấp hồ sơ IKEv2/IPsec của nền tảng qua Ikev2VpnProfile, với các kiểu xác thực riêng cho khóa chia sẻ trước, chứng thư RSA và tên người dùng cùng mật khẩu EAP. Tài liệu tham chiếu Ikev2VpnProfile là nguồn có thẩm quyền về những gì bộ dựng chấp nhận, bao gồm tên máy chủ của cổng và CA gốc của máy chủ dùng để xác minh nó.
API đó là một tuyên bố về năng lực, không phải lời hứa tương thích. Nó nói nền tảng làm được IKEv2 với các kiểu xác thực đó. Nó không nói rằng một màn hình cài đặt OEM cụ thể hiển thị mọi trường, cũng không nói rằng tệp hồ sơ xuất từ sản phẩm khác sẽ được nhập vào.
Điều đó cũng có nghĩa ngăn xếp sẵn có sẽ không cứu bạn nếu cổng chạy một dịch vụ mà nền tảng không triển khai. Khi đó bạn cần ứng dụng của nhà cung cấp mà nhà mạng hỗ trợ, được cài và cấu hình theo tài liệu của nhà mạng, chứ không phải một cách lách dựng trên giao thức mà điện thoại không nói được.
Kiểm tra theo thứ tự hợp đồng được viết
Xác minh từng lớp một và dừng ở lỗi đầu tiên, vì các bài kiểm tra sau vô nghĩa cho đến khi các lớp trước đạt.
Tin cậy. Nếu ứng dụng từ chối chứng thư của cổng thì không điều gì khác quan trọng. Xác nhận CA bạn được cấp ký chứng thư mà cổng trình ra, và tên máy chủ bạn đã gọi có trong đó. Giữ xác minh bật; tắt nó biến vấn đề danh tính thành rủi ro bị chặn bắt.
Xác thực. Thông tin đăng nhập bị từ chối và đề xuất không khớp cho ra lỗi khác nhau nhưng sự cố trông giống nhau. Nhật ký của cổng là trọng tài: nó cho biết đề xuất có được chấp nhận trước khi nói bất cứ điều gì về người dùng.
Địa chỉ và DNS. Xác nhận điện thoại nhận được địa chỉ từ bể đã ghi trong tài liệu, rồi phân giải một tên nội bộ. Một đường hầm lên được với địa chỉ nhưng không có bộ phân giải trông như đã kết nối và hành xử như thể không có gì chạy.
Khả năng tới. Kiểm tra một đích được phép theo địa chỉ, rồi theo tên. Nếu địa chỉ chạy mà tên không, bạn quay lại DNS. Nếu cả hai đều không chạy, so tiền tố bạn đang kiểm tra với danh sách được phép trước khi chạm vào ứng dụng.
Các kiểu sự cố và việc quay lui
| Symptom | Contract item to re-check |
|---|---|
| Profile rejected at import | Protocol or client release unsupported for that service |
| No proposal chosen | IKE version or encryption proposal mismatch |
| Certificate error, correct credentials | Trust material or peer identity |
| Tunnel up, no address | Address pool or authorization on the gateway |
| Tunnel up, names fail | DNS servers or split-tunnel DNS behaviour |
Giữ hồ sơ đang chạy trước đó đã xuất và ghi tài liệu trước khi thay đổi bất cứ điều gì, kể cả bí danh CA và bể địa chỉ. Khi đó quay lui nghĩa là khôi phục một hồ sơ đã biết, không phải dựng lại nó từ trí nhớ giữa lúc gián đoạn.
Khi nó chạy, ghi chín câu trả lời thu thập bên cạnh hồ sơ. Chiếc điện thoại tiếp theo, bản cập nhật hệ điều hành tiếp theo và lần thay đổi cổng tiếp theo đều trở thành so sánh với một tài liệu thay vì thêm một buổi chiều đoán mò.