Zašto se Android spaja na kućni IPsec VPN, a Windows ne

Telefon ulazi u ruterov VPN bez prigovora, dok laptop na istoj Wi-Fi mreži ne može. Isti podaci za prijavu, isti server, ista minuta. Razlika je u podršci protokola, ne u lozinci: ruter nudi profil koji jedan operativni sistem implementira, a drugi nikada nije imao.

Prvo prepoznajte profil, pa ga uporedite s onim što svaki klijent stvarno govori.

Jedan meni, tri protokola

Pod jednim naslovom IPsec potrošački firmver može sakriti tri sasvim različita tunela. Prvi je IKEv1 sa XAUTH: zajednička grupna tajna, a povrh korisničko ime i lozinka. Drugi je L2TP/IPsec, gdje PPP radi unutar IPsec transporta zaštićenog zajedničkim ključem. Treći je IKEv2, autentificiran certifikatima ili EAP-om.

Čitajte polja, ne oznaku. Grupna tajna plus lista korisnika znači IKEv1 XAUTH. Unaprijed dijeljeni ključ plus PPP račun znači L2TP/IPsec. Serverski certifikat bez grupne tajne znači IKEv2.

Razmak u podršci između telefona i laptopa

Android ima ugrađen IKEv1 XAUTH PSK klijent, i upravo zato telefon uspijeva protiv rutera koji ne nudi ništa drugo. Windows nema: njegov ugrađeni klijent podržava L2TP/IPsec i IKEv2, a opcije IKEv1 XAUTH nema. Ponovni unos tajne ne pomaže, jer nedostaje protokol, a ne podaci za prijavu.

Appleova strana je pokretna meta. Novija izdanja macOS-a i iOS-a naginju ka IKEv2, stari profili u stilu Cisco-a preživljavaju u nekim verzijama, a nadogradnja može ukloniti ili zategnuti ono što je radilo prošlog mjeseca. Mac koji se juče spajao, a danas ne, bez promjene na ruteru, obično je upravo to.

Dvije postavke koje kvare inače ispravne profile

Synologyjeva stranica L2TP/IPsec nudi polje Enable SHA2-256 compatible mode (96 bit). Appleovi klijenti od iOS 14 i macOS Big Sur odbijaju taj skraćeni režim, pa polje za njih mora biti isključeno. Ako ostane uključeno, tunel se autentificira i zatim padne, što izgleda kao loši podaci za prijavu i nije. Proizvođač dokumentuje prekidač, a nadogradnja operativnog sistema je obično trenutak kada to počne biti važno.

Windows drži certifikate u dva odvojena skladišta, a IKEv2 čita samo mašinsko. Uvezite klijentski certifikat s privatnim ključem u račun računara; certifikat smješten pod vašim korisničkim računom vidi se u konzoli za upravljanje, ali nikada ne stiže do usluge IKEv2. EAP-TLS je jedini slučaj u kojem je korisnički certifikat upotrebljiv, a CA koji potpisuje ipak mora biti pouzdan za mašinu. Greška se ovdje pokazuje kao neuspjela autentifikacija, ne kao zahtjev za certifikatom koji nedostaje.

Kada ruter ostane kakav jeste

Ruter koji govori samo XAUTH PSK ostavlja tri puta: proizvođačev klijent, klijent treće strane koji još implementira profil, ili premještanje krajnje točke tunela na nešto što govori IKEv2. AVM, na primjer, objavljuje Windows klijentski softver i izvezenu konfiguracijsku datoteku za svoje rutere. Taj put je podržan i znači instaliranje proizvođačevog alata na svaki laptop.

Podrška je važnija od elegancije kada laptopi nisu vaši da ih prepravljate.

Odmjerite i cijenu sigurnosti. Jedna grupna tajna pokriva svakog korisnika, pa svako ko je ima može se predstaviti kao server i uhvatiti korisničko ime i lozinku koje klijent nudi. Gdje je IKEv2 s certifikatima dostupan, ta migracija vrijedi više od bilo kojeg klijentskog zaobilaznog rješenja.

Dijagnostikujte izvana prema unutra

Prvo uzmite jednu radnu sesiju s telefona, da serverska strana bude dokazana prije nego laptop uđe u sliku. Zatim uvezite izvezeni profil rutera bez izmjena i čitajte klijentski dnevnik umjesto stranice statusa rutera. Ako dnevnik ne pokazuje odlaznu ponudu, laptop nikada nije stigao do odgovarača. Ako se ponude razmijene i zatim ne uspiju, neslaganje je oko algoritama, identiteta ili podataka za prijavu.

Držite radni profil telefona kao kontrolu. Kada se nakon nadogradnje firmvera pokvari samo laptop, serverska strana radi kao prije. Kada se pokvare oboje, pogledajte certifikat ili slušaoca prije nego dirnete bilo koji klijent.