Windows VPN nasuprot Cisco Secure Client: šta važi?
Brend ne imenuje protokol: Windows isporučuje nekoliko izvornih tipova, a Cisco klijent nosi profile za više od jednog režima. Pročitajte profil.
Za isti pristupni prolaz dolaze dvije instrukcije: povežite se preko Windows VPN-a ili instalirajte Cisco klijent. Nijedna ne imenuje razmjenu koju prolaz očekuje, jer Windows izlaže nekoliko izvornih tipova veze, a klijent dobavljača nosi profile za više od jednog režima. Obje oznake opisuju softver, dok prolaz pregovara protokol, autentifikaciju i politiku. Odgovor je u profilu i može se pročitati bez povezivanja.
Oznaka imenuje softver, ne razmjenu
Brend i operativni sistem su dvije različite činjenice i nijedna ne bira format na žici. Windows isporučuje skup izvornih tipova, a Cisco klijent isporučuje mašinu za profile koja može voziti SSL ili IPsec/IKEv2. Miješanje to dvoje daje tabele koje porede kompanije umjesto razmjena.
Tabela ispod zamjenjuje pitanje o proizvodu s tri mjesta čitanja i poljem koje svako drži. Zapišite ta polja i dvosmislenost nestaje:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Referenca za tipove VPN-a u Windowsu koju objavljuje Microsoft navodi IKEv2 i SSTP među izvornim tipovima, što ruši ideju da izvorni profil znači PPTP. Cisco dokumentacija o profilima opisuje i SSL i IPsec/IKEv2 režim s odgovarajućom politikom headenda. Svaki dobavljač nudi nekoliko opcija, pa nijedno ime ne označava jedan protokol.
Šta izvorni tipovi stavljaju na žicu
IKEv2 pregovara sigurnosne asocijacije preko UDP-a i nosi saobraćaj unutar IPsec-a, što ga čini ravnopravnim s drugim implementacijama IKEv2, a ne dizajnom specifičnim za Microsoft. SSTP umotava PPP u HTTPS sesiju, pa prolazi kroz proksije kroz koje IKEv2 ne može i na žici izgleda kao TLS, a da nije TLS VPN protokol. Te dvije činjenice objašnjavaju većinu tiketa koji prijavljuje da tunel radi na jednoj mreži, a pada na drugoj.
L2TP s IPsec-om i stariji unos PPTP stoje u istom padajućem meniju, a njihovo prisustvo tamo ne govori ništa o podršci servera. Padajući meni je meni onoga što operativni sistem može pokušati, a ne izjava prolaza o sposobnostima. Čitati ga kao listu podrške jeste kako počinje dvosatna potraga za akreditivima.
Polja koja su važna u izvornom profilu su tip veze, metod autentifikacije i identitet servera. Pogrešan tip pada u drugoj fazi nego loša lozinka, i ta razlika je trag koji vrijedi slijediti.
Šta klijent dobavljača dodaje: profile, ne protokol
Cisco klijent je kontejner za profile. SSL režim i IPsec/IKEv2 režim razlikuju se u razmjeni, očekivanjima portova i tekstu greške, a uvezeni profil bira između njih. Instaliranje klijenta zato ne dokazuje ništa o dostupnosti.
Verzije su uparene s razlogom. Funkcije, tokovi autentifikacije i provjere stanja pregovaraju se između klijenta i headenda, pa stari klijent prema novom headendu može pasti na način koji se čita kao mrežni kvar. To uparivanje pripada definiciji veze, a ne napomeni o nadogradnji.
Profil izvezen iz druge organizacije rijetko se poklapa s lokalnim headendom, a njegov uvoz može ostaviti klijent da nudi režim koji prolaz ne opslužuje. Prvo pročitajte režim iz profila, pa ga uporedite s konfigurisanim protokolom i politikom autentifikacije prolaza. Tek kad se to složi, mreža postaje sumnjiva. Taj redoslijed štedi snimanje paketa koje bi pokazalo zdravu TLS sesiju usmjerenu na pogrešnu uslugu.
Pročitajte lokalni profil prije nego što bilo šta promijenite
Na Windowsu se izvorna konfiguracija može pročitati bez biranja, a izlaz direktno imenuje tip i metod autentifikacije. Uporedite te vrijednosti s onim što vlasnik prolaza kaže da headend prihvata. Ako se tip ne slaže s tiketom, prvo ispravite tiket, jer je to jeftinije od ponovne instalacije klijenta koji nikada nije bio pogrešan.
Ove četiri komande pokrivaju profil, njegove rute, pokušaj veze i dostupnost porta. Pokrenite ih tim redom na mašini na kojoj je profil već instaliran:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Test porta je onaj koji se prečita. TCP 443 slušalac koji servira stranicu za prijavu i onaj koji prekida IKEv2 izgledaju identično spolja, jer je port mjesto, a ne protokol.
Zapišite rezultat kao tri polja, klijent, režim i prolaz, i držite ih uz tiket. Sve kraće ostavlja sljedeću osobu da ponovo otkrije istu dvosmislenost.