Windows VPN və Cisco Secure Client: hansı doğrudur?
Brend protokolu adlandırmır: Windows bir neçə yerli növ təqdim edir, Cisco müştərisi isə birdən çox rejim üçün profil daşıyır. Profili oxuyun.
Eyni şlüzə iki təlimat gəlir: Windows VPN ilə qoşulun və ya Cisco müştərisini quraşdırın. Heç biri şlüzün gözlədiyi mübadiləni adlandırmır, çünki Windows bir neçə yerli qoşulma növü təqdim edir və təchizatçı müştərisi birdən çox rejim üçün profil daşıyır. Hər iki etiket proqram təminatını təsvir edir, şlüz isə protokol, autentifikasiya və siyasət barədə razılığa gəlir. Cavab profildədir və qoşulmadan oxuna bilər.
Etiket proqramı adlandırır, mübadiləni yox
Brend və əməliyyat sistemi iki fərqli faktdır və heç biri naqil formatını seçmir. Windows bir sıra yerli növ təqdim edir, Cisco müştərisi isə SSL və ya IPsec/IKEv2 idarə edə bilən profil mexanizmi təqdim edir. İkisini qarışdırmaq şirkətləri müqayisə edən cədvəllər yaradır, mübadilələri deyil.
Aşağıdakı cədvəl məhsul sualını üç oxu yeri və hər birinin saxladığı sahə ilə əvəz edir. Həmin sahələri qeyd edin və qeyri-müəyyənlik yox olur:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsoft-un dərc etdiyi Windows VPN növləri arayışı yerli növlər arasında IKEv2 və SSTP-ni sadalayır, bu da yerli profilin PPTP demək olduğu fikrini aradan qaldırır. Cisco-nun profil sənədləri uyğun başlıq siyasəti ilə həm SSL, həm də IPsec/IKEv2 rejimlərini təsvir edir. Hər təchizatçı bir neçə variant təklif edir, ona görə də heç bir ad tək protokolu müəyyən etmir.
Yerli növlərin naqilə qoyduğu
IKEv2 UDP üzərində təhlükəsizlik assosiasiyaları barədə razılığa gəlir və trafiki IPsec içində daşıyır, bu da onu Microsoft-a xas dizayn deyil, digər IKEv2 tətbiqləri ilə bərabər səviyyəli edir. SSTP PPP-ni HTTPS sessiyasının içində bükür, buna görə IKEv2-nin keçə bilmədiyi proksilərdən keçir və TLS VPN protokolu olmadan naqildə TLS kimi görünür. Bu iki fakt tunelin bir şəbəkədə işlədiyini, digərində uğursuz olduğunu bildirən biletin çoxunu izah edir.
IPsec ilə L2TP və daha köhnə PPTP girişi eyni açılan siyahıdadır və onların orada olması server dəstəyi barədə heç nə demir. Açılan siyahı əməliyyat sisteminin nəyə cəhd edə biləcəyinin menyusudur, şlüzün imkan bəyanatı deyil. Onu dəstək siyahısı kimi oxumaq iki saatlıq etimad məlumatı axtarışının başladığı yoldur.
Yerli profildən vacib sahələr qoşulma növü, autentifikasiya üsulu və server kimliyidir. Səhv növ pis paroldan fərqli mərhələdə uğursuz olur və bu fərq izləməyə dəyər ipucudur.
Təchizatçı müştərisi nə əlavə edir: protokol deyil, profillər
Cisco müştərisi profillər üçün konteynerdir. SSL rejimi və IPsec/IKEv2 rejimi mübadilə, port gözləntiləri və xəta mətninə görə fərqlənir və idxal edilmiş profil onların arasında seçim edir. Buna görə müştərini quraşdırmaq əlçatanlıq barədə heç nə sübut etmir.
Versiyalar bir səbəbə görə cütləşdirilir. Funksiyalar, autentifikasiya axınları və duruş yoxlamaları müştəri ilə başlıq arasında razılaşdırılır, buna görə köhnə müştəri yeni başlıq qarşısında şəbəkə nasazlığı kimi oxunan şəkildə uğursuz ola bilər. Bu cütlük yeniləmə qeydinə deyil, qoşulma tərifinə aiddir.
Başqa təşkilatdan ixrac edilmiş profil yerli başlığa nadir hallarda uyğun gəlir və onu idxal etmək müştərini şlüzün xidmət etmədiyi rejimi təklif edən vəziyyətdə qoya bilər. Əvvəlcə rejimi profildən oxuyun, sonra onu şlüzün konfiqurasiya edilmiş protokolu və autentifikasiya siyasəti ilə müqayisə edin. Yalnız bunlar uyğun gəldikdən sonra şəbəkə şübhəli olur. Bu ardıcıllıq səhv xidmətə yönəlmiş sağlam TLS sessiyasını göstərəcək paket tutmasına qənaət edir.
Nəyisə dəyişməzdən əvvəl yerli profili oxuyun
Windows-da yerli konfiqurasiya zəng etmədən oxuna bilər və çıxış növü və autentifikasiya üsulunu birbaşa adlandırır. Bu dəyərləri şlüz sahibinin başlığın qəbul etdiyini söylədiyi ilə müqayisə edin. Növ biletlə ziddiyyət təşkil edirsə, əvvəlcə bileti düzəldin, çünki bu, heç vaxt səhv olmayan müştərini yenidən quraşdırmaqdan ucuzdur.
Bu dörd əmr profili, onun marşrutlarını, qoşulma cəhdini və portun əlçatanlığını əhatə edir. Onları bu ardıcıllıqla profil artıq quraşdırılmış maşında işə salın:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Port testi artıq oxunan testdir. Giriş səhifəsi təqdim edən TCP 443 dinləyicisi və IKEv2-ni sonlandıran biri kənardan eyni görünür, çünki port yerdir, protokol deyil.
Nəticəni üç sahə kimi yazın, müştəri, rejim və şlüz, və bileti yanında saxlayın. Daha qısası növbəti insanı eyni qeyri-müəyyənliyi yenidən kəşf etməyə qoyur.