Windows VPN kontra Cisco Secure Client: hvad gælder?
Et mærke angiver ikke en protokol: Windows leverer flere indbyggede typer, og Cisco-klienten bærer profiler til mere end én tilstand. Læs profilen.
Til samme gateway ankommer to instrukser: forbind med Windows VPN, eller installér Cisco-klienten. Ingen af dem angiver den udveksling, gatewayen forventer, fordi Windows udbyder flere indbyggede forbindelsestyper, og leverandørens klient bærer profiler til mere end én tilstand. Begge etiketter beskriver software, mens gatewayen forhandler protokol, autentificering og politik. Svaret ligger i profilen, og den kan læses uden at forbinde.
Etiketten angiver software, ikke en udveksling
Et mærke og et styresystem er to forskellige kendsgerninger, og ingen af dem vælger et format på ledningen. Windows leverer et sæt indbyggede typer, og Cisco-klienten leverer en profilmotor, der kan drive SSL eller IPsec/IKEv2. At forveksle de to giver diagrammer, der sammenligner virksomheder i stedet for at sammenligne udvekslinger.
Tabellen nedenfor erstatter produktspørgsmålet med tre læsesteder og det felt, hver af dem rummer. Notér de felter, og tvetydigheden forsvinder:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsofts reference til VPN-typer i Windows opremser IKEv2 og SSTP blandt de indbyggede typer, hvilket afliver idéen om, at en indbygget profil betyder PPTP. Ciscos profildokumentation beskriver både SSL- og IPsec/IKEv2-tilstand med passende headend-politik. Hver leverandør tilbyder flere muligheder, så ingen af navnene udpeger én protokol.
Hvad de indbyggede typer lægger på ledningen
IKEv2 forhandler sikkerhedsassociationer over UDP og bærer trafik inde i IPsec, hvilket gør det til en ligemand med andre IKEv2-implementeringer og ikke et Microsoft-specifikt design. SSTP pakker PPP ind i en HTTPS-session, så det passerer proxyservere, som IKEv2 ikke kan, og ser ud som TLS på ledningen uden at være en TLS VPN-protokol. De to kendsgerninger forklarer det meste af en sag, der melder, at tunnelen virker på ét netværk og fejler på et andet.
L2TP med IPsec og den ældre PPTP-post står i samme rullemenu, og deres tilstedeværelse der siger intet om serverunderstøttelse. En rullemenu er en menu over, hvad styresystemet kan forsøge, ikke en kapabilitetserklæring fra gatewayen. At læse den som en understøttelsesliste er, hvordan en to timers jagt på loginoplysninger begynder.
De felter, der betyder noget i en indbygget profil, er forbindelsestypen, autentificeringsmetoden og serveridentiteten. Den forkerte type fejler på et andet trin end en dårlig adgangskode, og den forskel er det spor, der er værd at følge.
Hvad en leverandørklient tilføjer: profiler, ikke en protokol
Cisco-klienten er en beholder for profiler. En SSL-tilstand og en IPsec/IKEv2-tilstand adskiller sig i udveksling, portforventninger og fejltekst, og den importerede profil vælger mellem dem. At installere klienten beviser derfor intet om tilgængelighed.
Versioner parres af en grund. Funktioner, autentificeringsforløb og posture-tjek forhandles mellem klient og headend, så en gammel klient mod en ny headend kan fejle på en måde, der læses som en netværksfejl. Den parring hører i forbindelsesdefinitionen, ikke i en opgraderingsnote.
En profil eksporteret fra en anden organisation passer sjældent til den lokale headend, og import af den kan efterlade klienten med at tilbyde en tilstand, som gatewayen ikke betjener. Læs først tilstanden ud af profilen, og sammenlign den derefter med gatewayens konfigurerede protokol og autentificeringspolitik. Først når de stemmer, bliver netværket en mistænkt. Den rækkefølge sparer en pakkeoptagelse, der ville have vist en sund TLS-session rettet mod den forkerte tjeneste.
Læs den lokale profil, før du ændrer noget
På Windows kan den indbyggede konfiguration læses uden opkald, og outputtet angiver typen og autentificeringsmetoden direkte. Sammenlign de værdier med det, gatewayens ejer siger, at headenden accepterer. Hvis typen afviger fra sagen, så ret sagen først, fordi det er billigere end at geninstallere en klient, der aldrig var forkert.
Disse fire kommandoer dækker profilen, dens ruter, forbindelsesforsøget og portens tilgængelighed. Kør dem i den rækkefølge på en maskine, hvor profilen allerede er installeret:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Porttesten er den, der læses for meget. En TCP 443-lytter, der serverer en login-side, og en der afslutter IKEv2, ser ens ud udefra, fordi porten er et sted og ikke en protokol.
Skriv resultatet som tre felter, klient, tilstand og gateway, og hold dem ved siden af sagen. Alt kortere overlader det til den næste person at genopdage den samme tvetydighed.