Waarom Android aan die tuin-IPsec-VPN koppel en Windows nie

Die foon sluit sonder klag by die router se VPN aan, terwyl die skootrekenaar op dieselfde Wi-Fi dit nie regkry nie. Dieselfde geloofsbriewe, dieselfde bediener, dieselfde minuut. Die verskil is protokolondersteuning, nie die wagwoord nie: die router bied ’n profiel wat een bedryfstelsel inbou en ’n ander nooit gehad het nie.

Identifiseer eers die profiel en vergelyk dit dan met wat elke kliënt werklik praat.

Een kieslys, drie protokolle

Onder ’n enkele IPsec-opskrif kan verbruikersfirmware drie heel verskillende tonnels wegsteek. Die eerste is IKEv1 met XAUTH: ’n gedeelde groepsgeheim, dan ’n gebruikersnaam en wagwoord daarbo. Die tweede is L2TP/IPsec, waar PPP binne ’n IPsec-transport loop wat deur ’n gedeelde sleutel beskerm word. Die derde is IKEv2, geverifieer met sertifikate of EAP.

Lees die velde, nie die etiket nie. ’n Groepsgeheim plus ’n gebruikerslys beteken IKEv1 XAUTH. ’n Voorafgedeelde sleutel plus ’n PPP-rekening beteken L2TP/IPsec. ’n Bedienersertifikaat sonder ’n groepsgeheim beteken IKEv2.

Die ondersteuningsgaping tussen foon en skootrekenaar

Android het ’n IKEv1 XAUTH PSK-kliënt ingebou, en juis daarom slaag die foon teen ’n router wat niks anders bied nie. Windows het dit nie: sy native kliënt hanteer L2TP/IPsec en IKEv2, en daar is geen IKEv1 XAUTH-opsie om te aktiveer nie. Om die geheim weer in te voer kan nie help nie, want die ontbrekende deel is die protokol, nie die geloofsbrief nie.

Apple se kant is ’n bewegende teiken. Nuwer macOS- en iOS-weergawes neig na IKEv2, ouer Cisco-agtige profiele oorleef in sommige boue, en ’n opgradering kan wegneem of strenger maak wat verlede maand gewerk het. ’n Mac wat gister gekoppel het en vandag nie, sonder enige routerverandering, is gewoonlik dit.

Twee instellings wat andersins korrekte profiele breek

Synology se L2TP/IPsec-bladsy het ’n merkie Enable SHA2-256 compatible mode (96 bit). Apple se kliënte van iOS 14 en macOS Big Sur af verwerp daardie afgekapte modus, so die merkie moet vir hulle af wees. As dit aan bly, verifieer die tonnel en val dan weg, wat soos slegte geloofsbriewe lyk en nie is nie. Die vervaardiger dokumenteer die skakelaar, en ’n bedryfstelsel-opgradering is gewoonlik die oomblik wanneer dit begin saak maak.

Windows hou sertifikate in twee aparte store, en IKEv2 lees net die masjien-een. Voer die kliëntsertifikaat met sy private sleutel in die rekenaarrekening in; ’n sertifikaat wat onder jou eie gebruikerrekening geliasseer is, verskyn in die bestuurkonsol maar bereik nooit die IKEv2-diens nie. EAP-TLS is die enigste geval waar ’n gebruikersertifikaat bruikbaar is, en die ondertekenende CA moet steeds deur die masjien vertrou word. Om dit verkeerd te doen, wys as ’n verifikasiefout, nie as ’n versoek om ’n ontbrekende sertifikaat nie.

Wanneer die router bly soos dit is

’n Router wat net XAUTH PSK praat, laat drie weë oop: die vervaardiger se kliënt, ’n derdeparty-kliënt wat die profiel steeds implementeer, of om die tonnel-eindpunt te skuif na iets wat IKEv2 praat. AVM publiseer byvoorbeeld Windows-kliëntsagteware en ’n uitgevoerde konfigurasielêer vir sy routers. Daardie roete word ondersteun, en dit beteken wel dat ’n vervaardigerinstrument op elke skootrekenaar geïnstalleer moet word.

Ondersteuning maak meer saak as elegansie wanneer die skootrekenaars nie joune is om te herbou nie.

Weeg ook die sekuriteitskoste. Een groepsgeheim dek elke gebruiker, so elkeen wat dit het, kan as die bediener optree en die gebruikersnaam en wagwoord vasvang wat die kliënt aanbied. Waar IKEv2 met sertifikate beskikbaar is, is daardie migrasie meer werd as enige kliënt-ompad.

Diagnose van buite na binne

Kry eers een werkende sessie van die foon, sodat die bedienerkant bewys is voordat die skootrekenaar in die prentjie kom. Voer dan die router se uitgevoerde profiel onveranderd in en lees die kliëntlog in plaas van die router se statusbladsy. As die log wys dat geen voorstel uitgaan nie, het die skootrekenaar nooit die responder bereik nie. As voorstelle uitgeruil word en dan misluk, gaan die meningsverskil oor algoritmes, identiteit of geloofsbriewe.

Hou die werkende foonprofiel as die kontrole. Wanneer net die skootrekenaar breek ná ’n firmware-opdatering, werk die bedienerkant soos voorheen. Wanneer albei breek, kyk na die sertifikaat of die luisteraar voordat jy enige kliënt aanraak.