Hvorfor Android opretter forbindelse til hjemmets IPsec-VPN, og Windows ikke gør

Telefonen logger på routerens VPN uden klager, mens laptop’en på samme Wi-Fi ikke kan. Samme login, samme server, samme minut. Forskellen er protokolstøtte, ikke adgangskoden: routeren udstiller en profil, som ét styresystem implementerer og et andet aldrig har haft.

Identificér først profilen, og sammenlign den derefter med det, hver klient faktisk taler.

Én menu, tre protokoller

Under én IPsec-overskrift kan forbrugerfirmware skjule tre helt forskellige tunneller. Den første er IKEv1 med XAUTH: en fælles gruppehemmelighed og ovenpå et brugernavn og en adgangskode. Den anden er L2TP/IPsec, hvor PPP kører inde i en IPsec-transport beskyttet af en fælles nøgle. Den tredje er IKEv2, autentificeret med certifikater eller EAP.

Læs felterne, ikke etiketten. En gruppehemmelighed plus en brugerliste betyder IKEv1 XAUTH. En forudelt nøgle plus en PPP-konto betyder L2TP/IPsec. Et servercertifikat uden gruppehemmelighed betyder IKEv2.

Støttehullet mellem telefon og laptop

Android har en indbygget IKEv1 XAUTH PSK-klient, og netop derfor lykkes telefonen mod en router, der ikke tilbyder andet. Windows har ikke: dens indbyggede klient klarer L2TP/IPsec og IKEv2, og der er ingen IKEv1 XAUTH-indstilling at slå til. At indtaste hemmeligheden igen hjælper ikke, fordi det manglende stykke er protokollen, ikke legitimationsoplysningen.

Apples side er et bevægeligt mål. Nyere macOS- og iOS-versioner trækker mod IKEv2, gamle profiler i Cisco-stil overlever i nogle builds, og en opgradering kan fjerne eller stramme det, der virkede sidste måned. En Mac, der forbandt i går og ikke i dag, uden ændringer på routeren, er normalt dette.

To indstillinger, der ødelægger ellers korrekte profiler

Synologys L2TP/IPsec-side har et afkrydsningsfelt med navnet Enable SHA2-256 compatible mode (96 bit). Apples klienter fra iOS 14 og macOS Big Sur afviser den afkortede tilstand, så feltet skal være slået fra for dem. Bliver det slået til, autentificerer tunnellen og falder derefter, hvilket ligner dårlige oplysninger og ikke er det. Producenten dokumenterer kontakten, og en opgradering af styresystemet er normalt det øjeblik, hvor det begynder at betyde noget.

Windows opbevarer certifikater i to separate lagre, og IKEv2 læser kun maskinlagret. Importér klientcertifikatet med dets private nøgle i computerkontoen; et certifikat, der ligger under din egen brugerkonto, vises i administrationskonsollen og når aldrig IKEv2-tjenesten. EAP-TLS er det eneste tilfælde, hvor et brugercertifikat kan bruges, og den signerende CA skal stadig være betroet af maskinen. Gør man det forkert, viser det sig som en godkendelsesfejl, ikke som en anmodning om et manglende certifikat.

Når routeren forbliver som den er

En router, der kun taler XAUTH PSK, efterlader tre veje: producentens klient, en tredjepartsklient, der stadig implementerer profilen, eller at flytte tunnellens endepunkt til noget, der taler IKEv2. AVM udgiver for eksempel Windows-klientsoftware og en eksporteret konfigurationsfil til sine routere. Den vej er understøttet, og den betyder at installere producentens værktøj på hver laptop.

Støtte betyder mere end elegance, når laptop’erne ikke er dine at genopbygge.

Vej også sikkerhedsprisen. Én gruppehemmelighed dækker alle brugere, så enhver, der har den, kan optræde som serveren og fange det brugernavn og den adgangskode, klienten tilbyder. Hvor IKEv2 med certifikater er tilgængelig, er den migrering mere værd end nogen klientomvej.

Diagnosticér udefra og ind

Få først en fungerende session fra telefonen, så serversiden er bevist, før laptop’en kommer ind i billedet. Importér derefter routerens eksporterede profil uændret, og læs klientloggen i stedet for routerens statusside. Hvis loggen ikke viser noget forslag på vej ud, nåede laptop’en aldrig responder’en. Hvis forslag udveksles og derefter fejler, handler uenigheden om algoritmer, identitet eller legitimationsoplysninger.

Hold den fungerende telefonprofil som kontrol. Når kun laptop’en går i stykker efter en firmwareopdatering, opfører serversiden sig som før. Når begge går i stykker, se på certifikatet eller listeneren, før du rører nogen klient.