Защо Android се свързва с домашния IPsec VPN, а Windows не

Телефонът влиза във VPN на рутера без оплаквания, докато лаптопът в същата Wi-Fi мрежа не може. Същите данни за достъп, същият сървър, същата минута. Разликата е в поддръжката на протокола, не в паролата: рутерът предлага профил, който една операционна система реализира, а друга не е имала никога.

Първо идентифицирайте профила, после го сравнете с това, което всеки клиент действително говори.

Едно меню, три протокола

Под едно заглавие IPsec потребителският фърмуер може да скрие три съвсем различни тунела. Първият е IKEv1 с XAUTH: обща групова тайна, а отгоре потребителско име и парола. Вторият е L2TP/IPsec, където PPP работи вътре в IPsec транспорт, защитен с общ ключ. Третият е IKEv2, удостоверен със сертификати или EAP.

Четете полетата, не етикета. Групова тайна плюс списък с потребители означава IKEv1 XAUTH. Предварително споделен ключ плюс PPP акаунт означава L2TP/IPsec. Сървърен сертификат без групова тайна означава IKEv2.

Разликата в поддръжката между телефон и лаптоп

Android носи вграден клиент IKEv1 XAUTH PSK, точно затова телефонът успява срещу рутер, който не предлага нищо друго. Windows не: вграденият му клиент поддържа L2TP/IPsec и IKEv2 и няма опция IKEv1 XAUTH за включване. Повторното въвеждане на тайната не помага, защото липсва протоколът, а не данните за достъп.

Страната на Apple е движеща се цел. По-новите версии на macOS и iOS клонят към IKEv2, стари профили в стил Cisco оцеляват в някои сборки, а обновяване може да премахне или затегне това, което работеше миналия месец. Mac, който се свързваше вчера и не се свързва днес без промяна в рутера, обикновено е точно това.

Две настройки, които чупят иначе правилни профили

Страницата L2TP/IPsec на Synology предлага отметка Enable SHA2-256 compatible mode (96 bit). Клиентите на Apple от iOS 14 и macOS Big Sur нататък отхвърлят този съкратен режим, затова отметката трябва да е изключена за тях. Ако остане включена, тунелът се удостоверява и след това пада, което изглежда като лоши данни за достъп и не е. Производителят документира превключвателя и обновяването на операционната система е обичайният момент, в който това започва да има значение.

Windows пази сертификатите в две отделни хранилища и IKEv2 чете само машинното. Импортирайте клиентския сертификат с частния му ключ в компютърния акаунт; сертификат, поставен под вашия потребителски акаунт, се вижда в конзолата за управление, но никога не стига до услугата IKEv2. EAP-TLS е единственият случай, в който потребителски сертификат е използваем, и подписващият CA все още трябва да е доверен от машината. Грешката тук изглежда като неуспешна автентикация, не като подкана за липсващ сертификат.

Когато рутерът остава както е

Рутер, който говори само XAUTH PSK, оставя три пътя: клиентът на производителя, клиент на трета страна, който все още реализира профила, или преместване на крайната точка на тунела към нещо, което говори IKEv2. Например AVM публикува Windows клиентски софтуер и експортиран конфигурационен файл за своите рутери. Този път е поддържан и означава инсталиране на инструмента на производителя на всеки лаптоп.

Поддръжката е по-важна от елегантността, когато лаптопите не са ваши, за да ги преправяте.

Претеглете и цената за сигурност. Една групова тайна покрива всеки потребител, така че който я държи, може да се представи за сървъра и да прихване потребителското име и паролата, които клиентът предлага. Там, където IKEv2 със сертификати е наличен, тази миграция струва повече от всеки клиентски заобиколен вариант.

Диагностицирайте отвън навътре

Първо вземете една работеща сесия от телефона, за да е доказана сървърната страна, преди лаптопът да влезе в картината. После импортирайте експортирания профил на рутера без промени и четете клиентския лог вместо страницата със статус на рутера. Ако логът не показва изходяща оферта, лаптопът никога не е достигнал до респондера. Ако офертите се разменят и после се провалят, разногласието е за алгоритми, идентичност или данни за достъп.

Пазете работещия профил на телефона като контрола. Когато само лаптопът се счупи след обновяване на фърмуера, сървърната страна работи както преди. Когато се счупят и двете, погледнете сертификата или слушателя, преди да пипате който и да е клиент.