VPN Windows yn erbyn Cisco Secure Client: pa un sy’n iawn?
Nid yw brand yn enwi protocol: mae Windows yn cynnig sawl math brodorol ac mae cleient Cisco yn cario proffiliau ar gyfer mwy nag un modd. Darllenwch y proffil.
Mae dau gyfarwyddyd yn cyrraedd ar gyfer yr un porth: cysylltwch â VPN Windows, neu osodwch gleient Cisco. Nid yw’r naill na’r llall yn enwi’r cyfnewid y mae’r porth yn ei ddisgwyl, oherwydd mae Windows yn datgelu sawl math cysylltiad brodorol ac mae cleient y gwerthwr yn cario proffiliau ar gyfer mwy nag un modd. Mae’r ddau label yn disgrifio meddalwedd, tra bod y porth yn trafod protocol, dilysu a pholisi. Mae’r ateb yn y proffil, a gellir ei ddarllen heb gysylltu.
Mae’r label yn enwi meddalwedd, nid cyfnewid
Mae brand a system weithredu yn ddau ffaith wahanol, ac nid yw’r un ohonynt yn dewis fformat weiren. Mae Windows yn cludo set o fathau brodorol, ac mae cleient Cisco yn cludo peiriant proffil a all yrru SSL neu IPsec/IKEv2. Mae cymysgu’r ddau yn cynhyrchu siartiau sy’n cymharu cwmnïau yn lle cymharu cyfnewidiau.
Mae’r tabl isod yn disodli’r cwestiwn am y cynnyrch â thri lle darllen a’r maes y mae pob un yn ei gadw. Cofnodwch y meysydd hynny, ac mae’r amwysedd yn diflannu:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Mae’r cyfeirlyfr ar gyfer fathau VPN Windows a gyhoeddir gan Microsoft yn rhestru IKEv2 a SSTP ymhlith y mathau brodorol, sy’n dileu’r syniad bod proffil brodorol yn golygu PPTP. Mae dogfennaeth proffil Cisco yn disgrifio modd SSL a modd IPsec/IKEv2 gyda pholisi pen-ben cyfatebol. Mae pob gwerthwr yn cynnig sawl opsiwn, felly nid yw’r un enw yn nodi un protocol.
Beth mae’r mathau brodorol yn ei roi ar y weiren
Mae IKEv2 yn trafod cymdeithasau diogelwch dros UDP ac yn cario traffig y tu mewn i IPsec, sy’n ei wneud yn gyfoed â gweithrediadau IKEv2 eraill yn hytrach na dyluniad penodol i Microsoft. Mae SSTP yn lapio PPP y tu mewn i sesiwn HTTPS, felly mae’n croesi dirprwyon na all IKEv2 eu croesi ac yn edrych fel TLS ar y weiren heb fod yn brotocol VPN TLS. Mae’r ddau ffaith hynny yn esbonio’r rhan fwyaf o docyn sy’n adrodd bod y twnnel yn gweithio ar un rhwydwaith ac yn methu ar un arall.
Mae L2TP gydag IPsec a’r cofnod PPTP hŷn yn eistedd yn yr un gwymplen, ac nid yw eu presenoldeb yno yn dweud dim am gefnogaeth y gweinydd. Rhestr o’r hyn y gall y system weithredu ei geisio yw gwymplen, nid datganiad gallu gan y porth. Darllen fel rhestr gefnogaeth yw sut mae helfa gymwysterau dwy awr yn dechrau.
Y meysydd sy’n bwysig mewn proffil brodorol yw’r math cysylltiad, y dull dilysu a hunaniaeth y gweinydd. Mae math anghywir yn methu ar gam gwahanol na chyfrinair gwael, a’r gwahaniaeth hwnnw yw’r cliw sy’n werth ei ddilyn.
Beth mae cleient gwerthwr yn ei ychwanegu: proffiliau, nid protocol
Cynhwysydd ar gyfer proffiliau yw cleient Cisco. Mae modd SSL a modd IPsec/IKEv2 yn wahanol o ran cyfnewid, disgwyliadau porth a thestun methiant, ac mae’r proffil a fewnforiwyd yn dewis rhyngddynt. Felly nid yw gosod y cleient yn profi dim am gyrhaeddedd.
Mae fersiynau’n cael eu paru am reswm. Mae nodweddion, llifoedd dilysu a gwiriadau osgo yn cael eu trafod rhwng cleient a phen-ben, felly gall hen gleient yn erbyn pen-ben newydd fethu mewn ffordd sy’n darllen fel nam rhwydwaith. Mae’r paru hwnnw’n perthyn i’r diffiniad cysylltiad, nid i nodyn uwchraddio.
Anaml y mae proffil a allforiwyd o sefydliad arall yn cyfateb i’r pen-ben lleol, a gall ei fewnforio adael y cleient yn cynnig modd nad yw’r porth yn ei wasanaethu. Darllenwch y modd o’r proffil yn gyntaf, yna cymharwch ef â phrotocol a pholisi dilysu cyfluniedig y porth. Dim ond ar ôl i’r rheini gytuno y daw’r rhwydwaith yn destun amheuaeth. Mae’r drefn honno’n arbed cipio pecynnau a fyddai wedi dangos sesiwn TLS iach wedi’i hanelu at y gwasanaeth anghywir.
Darllenwch y proffil lleol cyn newid unrhyw beth
Ar Windows gellir darllen y cyfluniad brodorol heb ddeialu, ac mae’r allbwn yn enwi’r math a’r dull dilysu yn uniongyrchol. Cymharwch y gwerthoedd hynny â’r hyn y mae perchennog y porth yn dweud y mae’r pen-ben yn ei dderbyn. Os yw’r math yn anghytuno â’r tocyn, cywirwch y tocyn yn gyntaf, oherwydd mae hynny’n rhatach na ailosod cleient nad oedd byth yn anghywir.
Mae’r pedwar gorchymyn hyn yn cwmpasu’r proffil, ei lwybrau, yr ymgais i gysylltu a chyrhaeddedd y porth. Rhedegwch nhw yn y drefn honno ar beiriant sydd eisoes â’r proffil wedi’i osod:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Y prawf porth yw’r un sy’n cael ei orddarllen. Mae gwrandäwr TCP 443 sy’n gwasanaethu tudalen fewngofnodi ac un sy’n terfynu IKEv2 yn edrych yn union yr un fath o’r tu allan, oherwydd lleoliad yw porth, nid protocol.
Ysgrifennwch y canlyniad fel tri maes, cleient, modd a phorth, a’u cadw wrth ymyl y tocyn. Mae unrhyw beth byrrach yn gadael y person nesaf i ailddarganfod yr un amwysedd.