Pam mae Android yn cysylltu â VPN IPsec y cartref ac nad yw Windows

Mae’r ffôn yn ymuno â VPN y llwybrydd heb gwyn, tra nad yw’r gliniadur ar yr un Wi-Fi yn gallu. Yr un manylion mewngofnodi, yr un gweinydd, yr un munud. Y gwahaniaeth yw cymorth protocol, nid y cyfrinair: mae’r llwybrydd yn dangos proffil y mae un system weithredu yn ei weithredu ac na chafodd y llall erioed.

Nodwch y proffil yn gyntaf, yna cymharwch ef â’r hyn y mae pob cleient yn ei siarad mewn gwirionedd.

Un ddewislen, tri phrotocol

O dan un pennawd IPsec gall firmware defnyddwyr guddio tri thwnnel gwahanol iawn. Y cyntaf yw IKEv1 gyda XAUTH: cyfrinach grŵp a rennir, ac uwchlaw hynny enw defnyddiwr a chyfrinair. Yr ail yw L2TP/IPsec, lle mae PPP yn rhedeg y tu mewn i glud IPsec a warchodir gan allwedd a rennir. Y trydydd yw IKEv2, wedi ei ddilysu â thystysgrifau neu EAP.

Darllenwch y meysydd, nid y label. Cyfrinach grŵp a rhestr defnyddwyr yw IKEv1 XAUTH. Allwedd a rennir ymlaen llaw a chyfrif PPP yw L2TP/IPsec. Tystysgrif gweinydd heb gyfrinach grŵp yw IKEv2.

Y bwlch cymorth rhwng ffôn a gliniadur

Mae Android yn cario cleient IKEv1 XAUTH PSK yn barod, a dyna pam mae’r ffôn yn llwyddo gyda llwybrydd nad yw’n cynnig dim arall. Nid yw Windows: mae ei gleient brodorol yn trin L2TP/IPsec ac IKEv2, ac nid oes dewis IKEv1 XAUTH i’w alluogi. Ni all ail-nodi’r gyfrinach helpu, oherwydd y protocol sydd ar goll, nid y manylion mewngofnodi.

Mae ochr Apple yn darged symudol. Mae datganiadau macOS ac iOS diweddarach yn troi tuag IKEv2, mae hen broffiliau ar ddull Cisco yn goroesi mewn rhai adeiladwaith, a gall uwchraddiad ddileu neu dynhau’r hyn a weithiodd y mis diwethaf. Mac a gysylltodd ddoe ac nad yw’n cysylltu heddiw, heb newid yn y llwybrydd, yw hyn fel arfer.

Dau osodiad sy’n torri proffiliau cywir fel arall

Mae tudalen L2TP/IPsec Synology yn cynnig blwch ticio o’r enw Enable SHA2-256 compatible mode (96 bit). Mae cleientiaid Apple o iOS 14 a macOS Big Sur ymlaen yn gwrthod y modd cwtog hwnnw, felly rhaid dad-dicio’r blwch ar eu cyfer. Os yw’n aros ymlaen, mae’r twnnel yn dilysu ac yna’n cwympo, sy’n edrych fel manylion gwael ac nid ydyw. Mae’r gwneuthurwr yn dogfennu’r togl, ac uwchraddiad system weithredu yw’r funud arferol y mae hyn yn dechrau cyfrif.

Mae Windows yn cadw tystysgrifau mewn dau storfa ar wahân, ac mae IKEv2 yn darllen un y peiriant yn unig. Mewnforiwch dystysgrif y cleient gyda’i allwedd breifat i gyfrif y cyfrifiadur; mae tystysgrif a ffeiliwyd o dan eich cyfrif defnyddiwr yn ymddangos yn y consol rheoli ac yn byth yn cyrraedd gwasanaeth IKEv2. EAP-TLS yw’r un achos lle mae tystysgrif defnyddiwr yn ddefnyddiadwy, ac mae’n rhaid i’r CA llofnodol gael ei hymddiried gan y peiriant o hyd. Mae cael hyn yn anghywir yn ymddangos fel methiant dilysu, nid fel anogwr tystysgrif ar goll.

Pan fydd y llwybrydd yn aros fel y mae

Mae llwybrydd sy’n siarad XAUTH PSK yn unig yn gadael tair ffordd: cleient y gwneuthurwr, cleient trydydd parti sy’n dal i weithredu’r proffil, neu symud pen draw’r twnnel i rywbeth sy’n siarad IKEv2. Er enghraifft, mae AVM yn cyhoeddi meddalwedd cleient Windows a ffeil ffurfweddu a allfudwyd ar gyfer ei lwybryddion. Mae’r llwybr hwnnw’n cael ei gynnal, ac mae’n golygu gosod offeryn y gwneuthurwr ar bob gliniadur.

Mae cymorth yn bwysicach nag eiliant pan nad yw’r gliniaduron yn eiddo i chi i’w hailadeiladu.

Pwyswch y gost ddiogelwch hefyd. Mae un gyfrinach grŵp yn gorchuddio pob defnyddiwr, felly pwy bynnag sy’n ei chadw gall sefyll yn lle’r gweinydd a chipio’r enw defnyddiwr a’r cyfrinair a gynigir gan y cleient. Lle mae IKEv2 gyda thystysgrifau ar gael, mae’r ymfudiad hwnnw’n werth mwy nag unrhyw waith o amgylch ar y cleient.

Diagnoswch o’r tu allan i mewn

Cewch un sesiwn weithiol o’r ffôn yn gyntaf, fel bod ochr y gweinydd wedi ei phrofi cyn i’r gliniadur ddod i’r llun. Yna mewnforiwch broffil allfudedig y llwybrydd heb ei newid a darllenwch log y cleient yn lle tudalen statws y llwybrydd. Os nad yw’r log yn dangos cynnig yn gadael, ni chyrhaeddodd y gliniadur yr ymatebwr erioed. Os cyfnewidir cynigion ac yna methu, mae’r anghytundeb ynghylch algorithmau, hunaniaeth neu fanylion mewngofnodi.

Cadwch broffil gweithiol y ffôn fel rheolydd. Pan mai dim ond y gliniadur sy’n torri ar ôl diweddariad cadarnwedd, mae ochr y gweinydd yn ymddwyn fel o’r blaen. Pan fydd y ddau yn torri, edrychwch ar y dystysgrif neu’r gwrandawr cyn cyffwrdd ag unrhyw gleient.