VPN ve Windows versus Cisco Secure Client: co platí?
Značka nepojmenovává protokol: Windows nabízí několik nativních typů a klient Cisco nese profily pro více než jeden režim. Přečtěte si profil.
Pro stejnou bránu přicházejí dva pokyny: připojte se přes VPN ve Windows, nebo nainstalujte klienta Cisco. Ani jeden nepojmenovává výměnu, kterou brána očekává, protože Windows nabízí několik nativních typů připojení a klientský software dodavatele nese profily pro více než jeden režim. Obě označení popisují software, zatímco brána vyjednává protokol, ověřování a zásady. Odpověď je v profilu a lze ji přečíst bez připojení.
Označení jmenuje software, ne výměnu
Značka a operační systém jsou dvě různé skutečnosti a ani jedna nevybírá formát na drátu. Windows dodává sadu nativních typů a klient Cisco dodává profilový engine, který umí řídit SSL nebo IPsec/IKEv2. Záměna obojího vytváří tabulky, které srovnávají firmy místo výměn.
Tabulka níže nahrazuje otázku na produkt třemi místy čtení a polem, které každé z nich drží. Zapište tato pole a nejednoznačnost zmizí:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Referenční příručka k typům VPN ve Windows, kterou Microsoft vydává, uvádí IKEv2 a SSTP mezi nativními typy, což ruší představu, že nativní profil znamená PPTP. Dokumentace Cisco k profilům popisuje režim SSL i IPsec/IKEv2 s odpovídající zásadou headendu. Každý dodavatel nabízí několik možností, takže žádné jméno neoznačuje jediný protokol.
Co nativní typy posílají na drát
IKEv2 vyjednává bezpečnostní asociace přes UDP a nese provoz uvnitř IPsec, což z něj dělá rovnocenného partnera jiným implementacím IKEv2, nikoli návrh specifický pro Microsoft. SSTP balí PPP do relace HTTPS, takže prochází proxy, kterými IKEv2 neprojde, a na drátu vypadá jako TLS, aniž by šlo o protokol TLS VPN. Tyto dva fakty vysvětlují většinu tiketu, který hlásí, že tunel v jedné síti funguje a v jiné selhává.
L2TP s IPsec a starší položka PPTP sedí ve stejném rozevíracím seznamu a jejich přítomnost tam nic neříká o podpoře serveru. Rozevírací seznam je menu toho, co operační systém může zkusit, ne prohlášení brány o schopnostech. Číst ho jako seznam podpory je začátek dvouhodinového hledání přihlašovacích údajů.
Pole, která u nativního profilu záleží, jsou typ připojení, metoda ověřování a identita serveru. Špatný typ selhává v jiné fázi než špatné heslo a právě ten rozdíl je stopa, kterou stojí za to sledovat.
Co klientský software dodavatele přidává: profily, ne protokol
Klient Cisco je kontejner pro profily. Režim SSL a režim IPsec/IKEv2 se liší výměnou, očekáváním portů a textem chyby a importovaný profil volí mezi nimi. Instalace klienta proto o dostupnosti nic nedokazuje.
Verze se párují z nějakého důvodu. Funkce, ověřovací toky a kontroly stavu se vyjednávají mezi klientem a headendem, takže starý klient proti novému headendu může selhat způsobem, který vypadá jako síťová závada. Toto párování patří do definice připojení, ne do poznámky k upgradu.
Profil exportovaný z jiné organizace málokdy odpovídá místnímu headendu a jeho import může nechat klienta nabízet režim, který brána neobsluhuje. Nejprve přečtěte režim z profilu, potom ho srovnejte s nakonfigurovaným protokolem a zásadou ověřování brány. Teprve když se tyto shodují, stává se síť podezřelou. Toto pořadí ušetří zachytávání paketů, které by ukázalo zdravou relaci TLS namířenou na špatnou službu.
Přečtěte si místní profil, než cokoli změníte
Ve Windows lze nativní konfiguraci přečíst bez vytáčení a výstup přímo jmenuje typ a metodu ověřování. Srovnejte tyto hodnoty s tím, co majitel brány říká, že headend přijímá. Pokud se typ rozchází s tiketem, opravte nejprve tiket, protože to je levnější než přeinstalovat klienta, který nikdy nebyl špatný.
Tyto čtyři příkazy pokrývají profil, jeho trasy, pokus o připojení a dostupnost portu. Spusťte je v tomto pořadí na stroji, kde je profil již nainstalován:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Test portu je ten, který se přečítá. Posluchač TCP 443, který servíruje přihlašovací stránku, a ten, který ukončuje IKEv2, vypadají zvenčí stejně, protože port je místo, nikoli protokol.
Zapište výsledek jako tři pole, klient, režim a brána, a mějte je u tiketu. Cokoli kratšího nechá dalšího člověka znovu objevit stejnou nejednoznačnost.