Android ev IPsec VPN-nə qoşulur, Windows isə niyə qoşulmur

Telefon şikayətsiz olaraq marşrutlaşdırıcının VPN-nə qoşulur, eyni Wi-Fi-dakı noutbuk isə qoşula bilmir. Eyni etimadnamə, eyni server, eyni dəqiqə. Fərq şifrədə deyil, protokol dəstəyindədir: marşrutlaşdırıcı bir əməliyyat sisteminin tətbiq etdiyi, digərinin isə heç vaxt tətbiq etmədiyi profili təklif edir.

Əvvəlcə profili müəyyən edin, sonra onu hər bir müştərinin həqiqətən danışdığı ilə müqayisə edin.

Bir menyu, üç protokol

Tək bir IPsec başlığı altında istehlakçı proqram təminatı üç tamamilə fərqli tuneli gizlədə bilər. Birincisi XAUTH ilə IKEv1-dir: ortaq qrup sirri, üstündə istifadəçi adı və şifrə. İkincisi L2TP/IPsec-dir, burada PPP ortaq açarla qorunan IPsec daşıyıcısı daxilində işləyir. Üçüncüsü IKEv2-dir, sertifikatlar və ya EAP ilə doğrulanır.

Etiketə deyil, sahələrə baxın. Qrup sirri və istifadəçi siyahısı IKEv1 XAUTH deməkdir. Əvvəlcədən paylaşılan açar və PPP hesabı L2TP/IPsec deməkdir. Qrup sirri olmayan server sertifikatı IKEv2 deməkdir.

Telefonla noutbuk arasındakı dəstək boşluğu

Android-də IKEv1 XAUTH PSK müştərisi quraşdırılıb, buna görə telefon başqa heç nə təklif etməyən marşrutlaşdırıcıya qarşı uğur qazanır. Windows-da belə deyil: onun yerli müştərisi L2TP/IPsec və IKEv2-ni dəstəkləyir və aktivləşdirmək üçün IKEv1 XAUTH seçimi yoxdur. Sirri yenidən daxil etmək kömək etmir, çünki çatışmayan hissə etimadnamə deyil, protokoldur.

Apple tərəfi hərəkətli hədəfdir. Yeni macOS və iOS buraxılışları IKEv2-yə meyl edir, köhnə Cisco üslublu profillər bəzi quruluşlarda qalır və yeniləmə keçən ay işləyəni silə və ya sərtləşdirə bilər. Dünən qoşulan və bu gün qoşulmayan Mac, marşrutlaşdırıcı dəyişmədən, adətən budur.

Düzgün profilləri pozan iki parametr

Synology-nin L2TP/IPsec səhifəsində Enable SHA2-256 compatible mode (96 bit) adlı işarələmə qutusu var. Apple müştəriləri iOS 14 və macOS Big Sur-dən başlayaraq o kəsilmiş rejimi rədd edir, ona görə qutu onlar üçün söndürülməlidir. Açıq qalsa, tunel doğrulamadan keçir və sonra düşür, bu da pis etimadnamə kimi görünür və deyil. İstehsalçı keçidi sənədləşdirir və əməliyyat sistemi yeniləməsi adətən bunun əhəmiyyət kəsb etməyə başladığı andır.

Windows sertifikatları iki ayrı anbarda saxlayır və IKEv2 yalnız maşın anbarını oxuyur. Müştəri sertifikatını şəxsi açarı ilə kompüter hesabına idxal edin; öz istifadəçi hesabınız altında saxlanılan sertifikat idarəetmə konsolunda görünür, lakin IKEv2 xidmətinə heç vaxt çatmır. EAP-TLS istifadəçi sertifikatının yararlı olduğu yeganə haldır və imzalayan CA hələ də maşın tərəfindən etibarlı sayılmalıdır. Bunu səhv etmək doğrulama uğursuzluğu kimi görünür, itkin sertifikat tələbi kimi deyil.

Marşrutlaşdırıcı olduğu kimi qaldıqda

Yalnız XAUTH PSK danışan marşrutlaşdırıcı üç yol buraxır: istehsalçının müştərisi, profili hələ də tətbiq edən üçüncü tərəf müştərisi, ya da tunelin son nöqtəsini IKEv2 danışan bir şeyə köçürmək. Məsələn, AVM öz marşrutlaşdırıcıları üçün Windows müştəri proqramı və ixrac edilmiş konfiqurasiya faylı yayımlayır. Bu yol dəstəklənir və hər noutbuka istehsalçı alətinin quraşdırılmasını tələb edir.

Noutbuklar sizin yenidən quracağınız cihazlar deyilsə, dəstək zəriflikdən daha vacibdir.

Təhlükəsizlik xərcini də ölçün. Bir qrup sirri hər istifadəçini əhatə edir, ona görə onu saxlayan hər kəs serverin yerinə keçə və müştərinin təqdim etdiyi istifadəçi adı ilə şifrəni tuta bilər. IKEv2 sertifikatlarla mövcud olduqda, o miqrasiya hər hansı müştəri həllindən daha dəyərlidir.

Xaricdən içəriyə diaqnoz qoyun

Əvvəlcə telefondan bir işlək sessiya alın ki, noutbuk işə qarışmadan əvvəl server tərəfi təsdiqlənsin. Sonra marşrutlaşdırıcının ixrac etdiyi profili dəyişmədən idxal edin və marşrutlaşdırıcının status səhifəsi yerinə müştəri jurnalını oxuyun. Jurnal heç bir təklifin çıxmadığını göstərirsə, noutbuk cavabdehə heç vaxt çatmayıb. Təkliflər mübadilə olunub sonra uğursuz olarsa, fikir ayrılığı alqoritmlər, kimlik və ya etimadnamə ilə bağlıdır.

İşlək telefon profilini nəzarət kimi saxlayın. Firmware yeniləməsindən sonra yalnız noutbuk pozulursa, server tərəfi əvvəlki kimi işləyir. Hər ikisi pozulursa, hər hansı müştəriyə toxunmadan əvvəl sertifikata və ya dinləyiciyə baxın.