VPN в Windows срещу Cisco Secure Client: кой е верният?
Марката не назовава протокол: Windows предлага няколко вградени типа, а клиентът на Cisco носи профили за повече от един режим. Прочетете профила.
За един и същ шлюз пристигат две инструкции: свържете се през VPN в Windows или инсталирайте клиента на Cisco. Нито една не назовава обмена, който шлюзът очаква, защото Windows предлага няколко вградени типа връзка, а клиентът на доставчика носи профили за повече от един режим. Двете названия описват софтуер, докато шлюзът договаря протокол, удостоверяване и политика. Отговорът е в профила и може да се прочете без свързване.
Названието сочи софтуер, не обмен
Марката и операционната система са два различни факта и нито един от тях не избира формат по кабела. Windows доставя набор от вградени типове, а клиентът на Cisco доставя профилен двигател, който може да управлява SSL или IPsec/IKEv2. Объркването на двете създава таблици, които сравняват компании вместо обмени.
Таблицата по-долу заменя въпроса за продукта с три места за четене и полето, което всяко от тях съдържа. Запишете тези полета и нееднозначността изчезва:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Справочникът на Microsoft за типовете VPN в Windows изброява IKEv2 и SSTP сред вградените типове, което отменя представата, че вграденият профил означава PPTP. Документацията на Cisco за профилите описва както режим SSL, така и режим IPsec/IKEv2 със съответстваща политика на централния възел. Всеки доставчик предлага няколко опции, така че нито едно от названията не идентифицира един протокол.
Какво вградените типове слагат по кабела
IKEv2 договаря асоциации за сигурност през UDP и пренася трафик вътре в IPsec, което го прави равен на други реализации на IKEv2, а не дизайн, специфичен за Microsoft. SSTP обвива PPP в HTTPS сесия, затова преминава през проксита, през които IKEv2 не може, и изглежда като TLS по кабела, без да е TLS VPN протокол. Тези два факта обясняват по-голямата част от тикет, който съобщава, че тунелът работи в една мрежа и се проваля в друга.
L2TP с IPsec и по-старият запис PPTP стоят в същото падащо меню и присъствието им там не казва нищо за поддръжката от сървъра. Падащото меню е списък на това, което операционната система може да опита, а не декларация за възможности от шлюза. Да го четете като списък за поддръжка е как започва двучасов лов на идентификационни данни.
Полетата, които имат значение във вградените типове, са типът връзка, методът за удостоверяване и идентичността на сървъра. Грешният тип се проваля на различен етап от лоша парола и точно тази разлика е следата, която си струва да следвате.
Какво добавя клиентът на доставчика: профили, не протокол
Клиентът на Cisco е контейнер за профили. Режимът SSL и режимът IPsec/IKEv2 се различават по обмен, очаквания за порт и текст на грешката, а импортираният профил избира между тях. Затова инсталирането на клиента не доказва нищо за достъпността.
Версиите се сдвояват по причина. Функциите, потоците за удостоверяване и проверките на състоянието се договарят между клиента и централния възел, затова стар клиент срещу нов възел може да се провали по начин, който изглежда като мрежова повреда. Това сдвояване принадлежи в дефиницията на връзката, а не в бележка за надграждане.
Профил, експортиран от друга организация, рядко съвпада с местния централен възел, а импортирането му може да остави клиента да предлага режим, който шлюзът не обслужва. Прочетете първо режима от профила, после го сравнете с конфигурирания протокол и политика за удостоверяване на шлюза. Едва след като те съвпаднат, мрежата става заподозряна. Тази последователност спестява заснемане на пакети, което би показало здрав TLS сеанс, насочен към грешната услуга.
Прочетете местния профил, преди да промените нещо
В Windows вградената конфигурация може да се прочете без набиране и изходът назовава типа и метода за удостоверяване директно. Сравнете тези стойности с това, което собственикът на шлюза казва, че възелът приема. Ако типът не съвпада с тикета, първо коригирайте тикета, защото това е по-евтино от преинсталиране на клиент, който никога не е бил грешен.
Тези четири команди покриват профила, неговите маршрути, опита за връзка и достъпността на порта. Изпълнете ги в този ред на машина, на която профилът вече е инсталиран:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Тестът на порта е този, който се препрочита. Слушател на TCP 443, който сервира страница за вход, и такъв, който прекратява IKEv2, изглеждат идентични отвън, защото портът е място, а не протокол.
Запишете резултата като три полета: клиент, режим и шлюз, и ги дръжте до тикета. Всичко по-кратко оставя следващия човек да преоткрие същата нееднозначност.