Warum Android sich mit dem Heim-IPsec-VPN verbindet und Windows nicht

Das Telefon wählt sich ohne Murren ins VPN des Routers ein, während der Laptop im selben WLAN es nicht schafft. Gleiche Zugangsdaten, gleicher Server, gleiche Minute. Der Unterschied liegt in der Protokollunterstützung, nicht im Passwort: Der Router bietet ein Profil, das ein Betriebssystem umsetzt und das andere nie hatte.

Bestimmen Sie zuerst das Profil und vergleichen Sie es dann damit, was jeder Client tatsächlich spricht.

Ein Menü, drei Protokolle

Unter einer einzigen IPsec-Überschrift kann Consumer-Firmware drei ganz verschiedene Tunnel verbergen. Der erste ist IKEv1 mit XAUTH: ein gemeinsames Gruppen-Geheimnis und darüber Benutzername und Passwort. Der zweite ist L2TP/IPsec, bei dem PPP innerhalb eines mit gemeinsamem Schlüssel geschützten IPsec-Transports läuft. Der dritte ist IKEv2, authentifiziert mit Zertifikaten oder EAP.

Lesen Sie die Felder, nicht das Etikett. Gruppen-Geheimnis plus Benutzerliste bedeutet IKEv1 XAUTH. Vorgabeschlüssel plus PPP-Konto bedeutet L2TP/IPsec. Serverzertifikat ohne Gruppen-Geheimnis bedeutet IKEv2.

Die Support-Lücke zwischen Telefon und Laptop

Android bringt einen IKEv1-XAUTH-PSK-Client mit, und genau deshalb gelingt dem Telefon der Zugang zu einem Router, der nichts anderes anbietet. Windows nicht: Sein nativer Client beherrscht L2TP/IPsec und IKEv2, und es gibt keine IKEv1-XAUTH-Option zum Aktivieren. Das Geheimnis erneut einzugeben hilft nicht, denn es fehlt das Protokoll, nicht die Zugangsdaten.

Apples Seite ist ein bewegliches Ziel. Neuere macOS- und iOS-Versionen gehen zu IKEv2, alte Profile im Cisco-Stil überleben in manchen Builds, und ein Upgrade kann entfernen oder verschärfen, was letzten Monat noch ging. Ein Mac, der gestern verband und heute nicht, ohne Änderung am Router, ist meist genau das.

Zwei Einstellungen, die ansonsten korrekte Profile brechen

Die L2TP/IPsec-Seite von Synology bietet ein Kästchen Enable SHA2-256 compatible mode (96 bit). Apples Clients ab iOS 14 und macOS Big Sur lehnen diesen verkürzten Modus ab, also muss das Kästchen für sie aus sein. Bleibt es an, authentifiziert der Tunnel und fällt dann weg, was nach falschen Zugangsdaten aussieht und keine sind. Der Hersteller dokumentiert den Schalter, und ein Betriebssystem-Upgrade ist der übliche Moment, in dem das zu wirken beginnt.

Windows hält Zertifikate in zwei getrennten Speichern, und IKEv2 liest nur den Maschinenspeicher. Importieren Sie das Client-Zertifikat mit seinem privaten Schlüssel ins Computerkonto; ein Zertifikat unter Ihrem Benutzerkonto erscheint in der Verwaltungskonsole und erreicht den IKEv2-Dienst nie. EAP-TLS ist der einzige Fall, in dem ein Benutzerzertifikat nutzbar ist, und die signierende CA muss trotzdem von der Maschine vertraut werden. Ein Fehler hier zeigt sich als Authentifizierungsfehler, nicht als Aufforderung zu einem fehlenden Zertifikat.

Wenn der Router bleibt, wie er ist

Ein Router, der nur XAUTH PSK spricht, lässt drei Wege: die Client-Software des Herstellers, einen Drittanbieter-Client, der das Profil noch umsetzt, oder den Tunnelendpunkt auf etwas zu verschieben, das IKEv2 spricht. AVM etwa veröffentlicht Windows-Client-Software und eine exportierte Konfigurationsdatei für seine Router. Dieser Weg ist unterstützt, und er bedeutet, auf jedem Laptop ein Herstellerwerkzeug zu installieren.

Support zählt mehr als Eleganz, wenn die Laptops nicht Ihre sind, um sie neu aufzusetzen.

Wägen Sie auch die Sicherheitskosten ab. Ein Gruppen-Geheimnis deckt alle Benutzer ab, wer es hat, kann sich als Server ausgeben und Benutzername und Passwort abfangen, die der Client anbietet. Wo IKEv2 mit Zertifikaten verfügbar ist, ist diese Migration mehr wert als jede Client-Notlösung.

Von außen nach innen diagnostizieren

Holen Sie zuerst eine funktionierende Sitzung vom Telefon, damit die Serverseite bewiesen ist, bevor der Laptop ins Bild kommt. Importieren Sie dann das exportierte Profil des Routers unverändert und lesen Sie das Client-Log statt der Statusseite des Routers. Zeigt das Log keinen ausgehenden Vorschlag, hat der Laptop den Responder nie erreicht. Werden Vorschläge ausgetauscht und scheitern dann, geht der Streit um Algorithmen, Identität oder Zugangsdaten.

Halten Sie das funktionierende Telefonprofil als Kontrolle. Wenn nach einem Firmware-Update nur der Laptop bricht, verhält sich die Serverseite wie zuvor. Wenn beide brechen, prüfen Sie Zertifikat oder Listener, bevor Sie einen Client anfassen.