VPN у Windows супраць Cisco Secure Client: што выбраць?
Брэнд не называе пратакол: Windows прапануе некалькі ўласных тыпаў, а кліент Cisco змяшчае профілі для больш чым аднаго рэжыму. Чытайце профіль.
Для аднаго і таго ж шлюза прыходзяць дзве інструкцыі: падключыцца праз VPN у Windows або ўсталяваць кліент Cisco. Ні адна з іх не называе абмен, якога чакае шлюз, бо Windows прапануе некалькі ўласных тыпаў злучэння, а кліент пастаўшчыка змяшчае профілі для больш чым аднаго рэжыму. Абедзве назвы апісваюць праграмнае забеспячэнне, тады як шлюз узгадняе пратакол, аўтэнтыфікацыю і палітыку. Адказ знаходзіцца ў профілі, і яго можна прачытаць, не падключаючыся.
Назва азначае праграмнае забеспячэнне, а не абмен
Брэнд і аперацыйная сістэма — дзве розныя рэчы, і ні адна з іх не выбірае фармат дроту. Windows пастаўляе набор уласных тыпаў, а кліент Cisco пастаўляе рухавік профіляў, які можа кіраваць SSL або IPsec/IKEv2. Блытаніна паміж імі стварае табліцы, якія параўноўваюць кампаніі, а не абмены.
Табліца ніжэй замяняе пытанне пра прадукт трыма месцамі чытання і полем, якое кожнае з іх захоўвае. Запішыце гэтыя палі, і двухсэнсоўнасць знікне:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Даведнік Microsoft па тыпах VPN у Windows пералічвае IKEv2 і SSTP сярод уласных тыпаў, што здымае думку, нібы ўласны профіль азначае PPTP. Дакументацыя Cisco па профілях апісвае як рэжым SSL, так і рэжым IPsec/IKEv2 з адпаведнай палітыкай галаўнога вузла. Кожны пастаўшчык прапануе некалькі варыянтаў, таму ні адно з назваў не вызначае адзіны пратакол.
Што ўласныя тыпы кладуць на дрог
IKEv2 узгадняе асацыяцыі бяспекі праз UDP і нясе трафік унутры IPsec, што робіць яго роўным іншым рэалізацыям IKEv2, а не ўласным дызайнам Microsoft. SSTP заварочвае PPP унутры сесіі HTTPS, таму праходзіць праз проксі, якія IKEv2 не можа, і выглядае на дроце як TLS, не будучы пратаколам TLS VPN. Гэтыя два факты тлумачаць большую частку заяўкі, якая паведамляе, што тунель працуе ў адной сетцы і не працуе ў іншай.
L2TP з IPsec і старэйшы пункт PPTP стаяць у тым жа выпадальным спісе, і іх наяўнасць там нічога не кажа пра падтрымку сервера. Выпадальны спіс — гэта меню таго, што аперацыйная сістэма можа паспрабаваць, а не заява шлюза пра магчымасці. Чытаць яго як спіс падтрымкі — так пачынаецца двухгадзіннае паляванне за ўліковымі данымі.
Палі, якія маюць значэнне ва ўласным профілі, — гэта тып злучэння, метад аўтэнтыфікацыі і ідэнтычнасць сервера. Няправільны тып правальваецца на іншай стадыі, чым дрэнны пароль, і менавіта гэтая розніца — вартая ўвагі падказка.
Што дадае кліент пастаўшчыка: профілі, а не пратакол
Кліент Cisco — гэта кантэйнер для профіляў. Рэжым SSL і рэжым IPsec/IKEv2 адрозніваюцца абменам, чаканнямі порта і тэкстам памылкі, і імпартаваны профіль выбірае паміж імі. Таму ўсталяванне кліента нічога не даказвае пра дасяжнасць.
Версіі спароны нездарма. Функцыі, патокі аўтэнтыфікацыі і праверкі стану ўзгадняюцца паміж кліентам і галаўным вузлом, таму стары кліент супраць новага вузла можа праваліцца так, што гэта чытаецца як збой сеткі. Гэтая пара належыць да вызначэння злучэння, а не да нататкі пра абнаўленне.
Профіль, экспартаваны з іншай арганізацыі, рэдка адпавядае лакальнаму галаўному вузлу, а яго імпарт можа пакінуць кліента такім, што ён прапануе рэжым, які шлюз не абслугоўвае. Спачатку прачытайце рэжым з профілю, затым параўнайце яго з наладжаным пратаколам і палітыкай аўтэнтыфікацыі шлюза. Толькі пасля іх згоды сетка становіцца падазронай. Такі парадак эканоміць захоп пакетаў, які паказаў бы здаровую сесію TLS, накіраваную на няправільную службу.
Прачытайце лакальны профіль, перш чым нешта змяняць
У Windows уласную канфігурацыю можна прачытаць без выкліку, і вывад непасрэдна называе тып і метад аўтэнтыфікацыі. Параўнайце гэтыя значэнні з тым, што ўладальнік шлюза называе прымальным. Калі тып разыходзіцца з заяўкай, спачатку выпраўце заяўку, бо гэта танней, чым пераўсталёўваць кліент, які ніколі не памыляўся.
Гэтыя чатыры каманды ахопліваюць профіль, яго маршруты, спробу злучэння і дасяжнасць порта. Выканайце іх у такім парадку на машыне, дзе профіль ужо ўсталяваны:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Тэст порта — гэта той, які перачытваюць. Слухач TCP 443, які аддае старонку ўваходу, і той, што завяршае IKEv2, выглядаюць звонку аднолькава, бо порт — гэта месца, а не пратакол.
Запішыце вынік як тры палі: кліент, рэжым і шлюз, і трымайце іх побач з заяўкай. Усё карацейшае пакідае наступнаму чалавеку паўторна выявіць тую ж двухсэнсоўнасць.