لماذا يتصل أندرويد بـ VPN IPsec المنزلي بينما لا يتصل ويندوز

ينضم الهاتف إلى VPN الخاص بالراوتر دون مشكلة، بينما لا يستطيع الحاسوب المحمول على الشبكة اللاسلكية نفسها ذلك. بيانات الاعتماد نفسها، والخادم نفسه، والدقيقة نفسها. الفرق هو دعم البروتوكول وليس كلمة المرور: الراوتر يعرض ملف تعريف يطبقه نظام تشغيل واحد ولم يطبقه الآخر قط.

حدد ملف التعريف أولاً، ثم قارنه بما يتحدثه كل عميل فعلياً.

قائمة واحدة، ثلاثة بروتوكولات

تحت عنوان IPsec واحد يمكن لبرنامج ثابت استهلاكي أن يخفي ثلاثة أنفاق مختلفة تماماً. الأول IKEv1 مع XAUTH: سر جماعي مشترك، ثم اسم مستخدم وكلمة مرور فوقه. الثاني L2TP/IPsec، حيث يعمل PPP داخل نقل IPsec محمي بمفتاح مشترك. الثالث IKEv2، يُوثَّق بشهادات أو بـEAP.

اقرأ الحقول لا التسمية. سر جماعي مع قائمة مستخدمين يعني IKEv1 XAUTH. مفتاح مشترك مسبقاً مع حساب PPP يعني L2TP/IPsec. شهادة خادم بلا سر جماعي تعني IKEv2.

فجوة الدعم بين الهاتف والحاسوب

يحمل أندرويد عميل IKEv1 XAUTH PSK مدمجاً، ولهذا بالتحديد ينجح الهاتف مع راوتر لا يقدم شيئاً آخر. ويندوز لا يفعل: عميله المدمج يتعامل مع L2TP/IPsec وIKEv2، ولا يوجد خيار IKEv1 XAUTH لتمكينه. إعادة إدخال السر لا تفيد، لأن الجزء الناقص هو البروتوكول لا بيانات الاعتماد.

جانب آبل هدف متحرك. إصدارات macOS وiOS الأحدث تتجه إلى IKEv2، وبعض ملفات تعريف سيسكو القديمة تبقى في بعض البنيات، والترقية قد تزيل أو تشدد ما كان يعمل الشهر الماضي. جهاز Mac اتصل أمس ولا يتصل اليوم دون تغيير في الراوتر هو عادة هذا.

إعدادان يكسران ملفات تعريف سليمة

صفحة L2TP/IPsec في Synology تعرض مربع اختيار باسم Enable SHA2-256 compatible mode (96 bit). عملاء آبل من iOS 14 وmacOS Big Sur فصاعداً يرفضون ذلك الوضع المقتطع، لذا يجب إلغاء تحديد المربع لهم. إذا بقي محدداً، يجري النفق المصادقة ثم يسقط، وهو ما يبدو كبيانات اعتماد سيئة وليس كذلك. توثق الشركة المصنعة المفتاح، وترقية نظام التشغيل هي اللحظة المعتادة التي يبدأ فيها ذلك بالأهمية.

يحتفظ ويندوز بالشهادات في مخزنين منفصلين، وIKEv2 يقرأ مخزن الجهاز فقط. استورد شهادة العميل مع مفتاحها الخاص في حساب الكمبيوتر؛ الشهادة الموضوعة تحت حساب المستخدم تظهر في وحدة التحكم ولا تصل أبداً إلى خدمة IKEv2. EAP-TLS هي الحالة الوحيدة التي تكون فيها شهادة المستخدم صالحة، ويجب أن تكون جهة الإصدار موثوقة من الجهاز. الخطأ هنا يظهر كفشل مصادقة لا كطلب شهادة مفقودة.

عندما يبقى الراوتر كما هو

الراوتر الذي يتحدث XAUTH PSK فقط يترك ثلاثة طرق: عميل الشركة المصنعة، أو عميل طرف ثالث ما زال يطبق ملف التعريف، أو نقل نقطة نهاية النفق إلى شيء يتحدث IKEv2. AVM مثلاً تنشر برنامج عميل لويندوز وملف تهيئة مُصدَّراً لراوتراتها. هذا المسار مدعوم، ويعني تثبيت أداة الشركة على كل حاسوب محمول.

الدعم يهم أكثر من الأناقة عندما لا تكون الحواسيب المحمولة ملكك لتعيد بناءها.

احسب كلفة الأمان أيضاً. سر جماعي واحد يغطي كل مستخدم، فمن يحمله يمكنه انتحال الخادم والتقاط اسم المستخدم وكلمة المرور التي يقدمها العميل. حيث يتاح IKEv2 بالشهادات، تستحق تلك الهجرة أكثر من أي حل بديل على العميل.

شخِّص من الخارج إلى الداخل

احصل أولاً على جلسة عاملة من الهاتف، فيُثبت جانب الخادم قبل دخول الحاسوب. ثم استورد ملف التعريف المُصدَّر من الراوتر دون تغيير واقرأ سجل العميل بدل صفحة حالة الراوتر. إذا لم يُظهر السجل خروج أي عرض، فالحاسوب لم يصل إلى المستجيب قط. وإذا تبادل العروض ثم فشل، فالخلاف في الخوارزميات أو الهوية أو بيانات الاعتماد.

احتفظ بملف تعريف الهاتف العامل كضابط. عندما يتعطل الحاسوب وحده بعد تحديث البرنامج الثابت، يكون جانب الخادم يعمل كما كان. وعندما يتعطل الاثنان، انظر إلى الشهادة أو المستمع قبل لمس أي عميل.