Per què Android es connecta a la VPN IPsec de casa i Windows no

El telèfon s’uneix a la VPN del router sense queixes, mentre que el portàtil a la mateixa Wi-Fi no pot. Les mateixes credencials, el mateix servidor, el mateix minut. La diferència és el suport de protocol, no la contrasenya: el router exposa un perfil que un sistema operatiu implementa i un altre mai va tenir.

Identifiqueu primer el perfil i després compareu-lo amb el que cada client parla realment.

Un menú, tres protocols

Sota un sol encapçalament IPsec, el firmware de consum pot amagar tres túnels ben diferents. El primer és IKEv1 amb XAUTH: un secret de grup compartit i, a sobre, un nom d’usuari i una contrasenya. El segon és L2TP/IPsec, on PPP funciona dins d’un transport IPsec protegit per una clau compartida. El tercer és IKEv2, autenticat amb certificats o EAP.

Llegiu els camps, no l’etiqueta. Un secret de grup amb una llista d’usuaris vol dir IKEv1 XAUTH. Una clau prèviament compartida amb un compte PPP vol dir L2TP/IPsec. Un certificat de servidor sense secret de grup vol dir IKEv2.

El buit de suport entre telèfon i portàtil

Android porta un client IKEv1 XAUTH PSK integrat, i per això el telèfon triomfa davant un router que no ofereix res més. Windows no: el seu client natiu admet L2TP/IPsec i IKEv2, i no hi ha cap opció IKEv1 XAUTH per activar. Tornar a introduir el secret no ajuda, perquè la peça que falta és el protocol i no la credencial.

El costat d’Apple és un blanc mòbil. Les versions noves de macOS i iOS van cap a IKEv2, alguns perfils antics d’estil Cisco sobreviuen en certes compilacions, i una actualització pot treure o endurir el que funcionava el mes passat. Un Mac que ahir es connectava i avui no, sense cap canvi al router, normalment és això.

Dues opcions que trenquen perfils correctes

La pàgina L2TP/IPsec de Synology ofereix una casella anomenada Enable SHA2-256 compatible mode (96 bit). Els clients d’Apple des d’iOS 14 i macOS Big Sur rebutgen aquest mode retallat, així que la casella ha d’estar desmarcada per a ells. Si es deixa marcada, el túnel s’autentica i després cau, cosa que sembla credencials dolentes i no ho és. El fabricant documenta el commutador, i una actualització del sistema operatiu és el moment habitual en què això comença a importar.

Windows guarda els certificats en dos magatzems separats, i IKEv2 només llegeix el de la màquina. Importeu el certificat de client amb la seva clau privada al compte d’equip; un certificat desat al vostre compte d’usuari apareix a la consola de gestió i mai arriba al servei IKEv2. EAP-TLS és l’únic cas en què un certificat d’usuari és utilitzable, i la CA signant encara ha de ser de confiança per a la màquina. Fer-ho malament es veu com un error d’autenticació, no com una petició de certificat absent.

Quan el router es queda com està

Un router que només parla XAUTH PSK deixa tres camins: el client del fabricant, un client de tercers que encara implementa el perfil, o moure el punt final del túnel a una cosa que parli IKEv2. AVM, per exemple, publica programari de client per a Windows i un fitxer de configuració exportat per als seus routers. Aquesta via està suportada, i vol dir instal·lar una eina del fabricant a cada portàtil.

El suport importa més que l’elegància quan els portàtils no són vostres per reconstruir-los.

Penseu també en el cost de seguretat. Un sol secret de grup cobreix tots els usuaris, així que qui el tingui pot fer-se passar pel servidor i capturar el nom d’usuari i la contrasenya que ofereix el client. On IKEv2 amb certificats estigui disponible, aquesta migració val més que qualsevol solució alternativa al client.

Diagnostiqueu de fora cap a dins

Aconseguiu primer una sessió funcional des del telèfon, perquè el costat del servidor quedi provat abans que el portàtil entri en escena. Després importeu el perfil exportat del router sense canvis i llegiu el registre del client en lloc de la pàgina d’estat del router. Si el registre no mostra cap proposta sortint, el portàtil no va arribar mai al responedor. Si les propostes s’intercanvien i després fallen, el desacord és sobre algorismes, identitat o credencials.

Mantingueu el perfil del telèfon que funciona com a control. Quan només el portàtil es trenca després d’una actualització de firmware, el costat del servidor es comporta com abans. Quan es trenquen tots dos, mireu el certificat o l’escoltador abans de tocar cap client.