Γιατί το Android συνδέεται στο οικιακό IPsec VPN και τα Windows όχι

Το τηλέφωνο μπαίνει στο VPN του router χωρίς παράπονο, ενώ το laptop στο ίδιο Wi-Fi δεν τα καταφέρνει. Ίδια διαπιστευτήρια, ίδιος διακομιστής, ίδιο λεπτό. Η διαφορά είναι η υποστήριξη πρωτοκόλλου, όχι ο κωδικός: το router εκθέτει ένα προφίλ που το ένα λειτουργικό σύστημα υλοποιεί και το άλλο δεν είχε ποτέ.

Προσδιορίστε πρώτα το προφίλ και μετά συγκρίνετε το με το τι μιλάει πραγματικά κάθε πελάτης.

Ένα μενού, τρία πρωτόκολλα

Κάτω από μία επικεφαλίδα IPsec το firmware καταναλωτή μπορεί να κρύβει τρία εντελώς διαφορετικά τούνελ. Το πρώτο είναι IKEv1 με XAUTH: ένα κοινό μυστικό ομάδας και πάνω του όνομα χρήστη και κωδικός. Το δεύτερο είναι L2TP/IPsec, όπου το PPP τρέχει μέσα σε μεταφορά IPsec προστατευμένη από κοινό κλειδί. Το τρίτο είναι IKEv2, πιστοποιημένο με πιστοποιητικά ή EAP.

Διαβάστε τα πεδία, όχι την ετικέτα. Μυστικό ομάδας με λίστα χρηστών σημαίνει IKEv1 XAUTH. Προκοινοποιημένο κλειδί με λογαριασμό PPP σημαίνει L2TP/IPsec. Πιστοποιητικό διακομιστή χωρίς μυστικό ομάδας σημαίνει IKEv2.

Το χάσμα υποστήριξης ανάμεσα σε τηλέφωνο και laptop

Το Android κουβαλά ενσωματωμένο πελάτη IKEv1 XAUTH PSK, και γι αυτό ακριβώς το τηλέφωνο πετυχαίνει απέναντι σε router που δεν προσφέρει τίποτε άλλο. Τα Windows όχι: ο ενσωματωμένος πελάτης τους χειρίζεται L2TP/IPsec και IKEv2, και δεν υπάρχει επιλογή IKEv1 XAUTH για ενεργοποίηση. Η εκ νέου εισαγωγή του μυστικού δεν βοηθά, γιατί λείπει το πρωτόκολλο, όχι το διαπιστευτήριο.

Η πλευρά της Apple είναι κινούμενος στόχος. Νεότερες εκδόσεις macOS και iOS κλίνουν προς IKEv2, παλιά προφίλ τύπου Cisco επιβιώνουν σε μερικές εκδόσεις, και μια αναβάθμιση μπορεί να αφαιρέσει ή να σφίξει ό,τι δούλευε τον προηγούμενο μήνα. Ένα Mac που συνδεόταν χθες και σήμερα όχι, χωρίς αλλαγή στο router, είναι συνήθως αυτό.

Δύο ρυθμίσεις που σπάνε κατά τα άλλα σωστά προφίλ

Η σελίδα L2TP/IPsec του Synology προσφέρει πλαίσιο με την ένδειξη Enable SHA2-256 compatible mode (96 bit). Οι πελάτες της Apple από iOS 14 και macOS Big Sur απορρίπτουν αυτή την κολοβή λειτουργία, οπότε το πλαίσιο πρέπει να είναι ανενεργό γι αυτούς. Αν μείνει ενεργό, το τούνελ πιστοποιείται και μετά πέφτει, κάτι που μοιάζει με κακά διαπιστευτήρια και δεν είναι. Ο κατασκευαστής τεκμηριώνει τον διακόπτη, και μια αναβάθμιση λειτουργικού είναι συνήθως η στιγμή που αυτό αρχίζει να μετρά.

Τα Windows κρατούν τα πιστοποιητικά σε δύο ξεχωριστές αποθήκες, και το IKEv2 διαβάζει μόνο της μηχανής. Εισαγάγετε το πιστοποιητικό πελάτη με το ιδιωτικό του κλειδί στον λογαριασμό υπολογιστή· πιστοποιητικό κάτω από τον δικό σας λογαριασμό χρήστη εμφανίζεται στην κονσόλα διαχείρισης και δεν φτάνει ποτέ στην υπηρεσία IKEv2. Το EAP-TLS είναι η μόνη περίπτωση όπου πιστοποιητικό χρήστη είναι αξιοποιήσιμο, και η αρχή που υπογράφει πρέπει ακόμη να είναι αξιόπιστη από τη μηχανή. Το λάθος εδώ φαίνεται ως αποτυχία πιστοποίησης, όχι ως αίτημα για απόν πιστοποιητικό.

Όταν το router μένει όπως είναι

Ένα router που μιλά μόνο XAUTH PSK αφήνει τρεις δρόμους: τον πελάτη του κατασκευαστή, πελάτη τρίτου που υλοποιεί ακόμη το προφίλ, ή τη μετακίνηση του άκρου του τούνελ σε κάτι που μιλά IKEv2. Η AVM για παράδειγμα δημοσιεύει λογισμικό πελάτη Windows και εξαγόμενο αρχείο ρυθμίσεων για τα router της. Αυτός ο δρόμος υποστηρίζεται, και σημαίνει εγκατάσταση εργαλείου κατασκευαστή σε κάθε laptop.

Η υποστήριξη μετρά περισσότερο από την κομψότητα όταν τα laptop δεν είναι δικά σας για να τα ξαναστήσετε.

Ζυγίστε και το κόστος ασφάλειας. Ένα μυστικό ομάδας καλύπτει κάθε χρήστη, οπότε όποιος το έχει μπορεί να σταθεί στη θέση του διακομιστή και να αρπάξει το όνομα χρήστη και τον κωδικό που προσφέρει ο πελάτης. Όπου υπάρχει IKEv2 με πιστοποιητικά, αυτή η μετάβαση αξίζει περισσότερο από κάθε παράκαμψη στον πελάτη.

Διαγνώστε από έξω προς τα μέσα

Πάρτε πρώτα μια λειτουργική συνεδρία από το τηλέφωνο, ώστε η πλευρά του διακομιστή να έχει αποδειχθεί πριν μπει το laptop στην εικόνα. Μετά εισαγάγετε το εξαγόμενο προφίλ του router χωρίς αλλαγές και διαβάστε το αρχείο καταγραφής του πελάτη αντί για τη σελίδα κατάστασης του router. Αν το αρχείο δεν δείχνει πρόταση να φεύγει, το laptop δεν έφτασε ποτέ στον αποκρινόμενο. Αν οι προτάσεις ανταλλάσσονται και μετά αποτυγχάνουν, η διαφωνία αφορά αλγορίθμους, ταυτότητα ή διαπιστευτήρια.

Κρατήστε το λειτουργικό προφίλ του τηλεφώνου ως έλεγχο. Όταν μετά από αναβάθμιση firmware χαλάει μόνο το laptop, η πλευρά του διακομιστή συμπεριφέρεται όπως πριν. Όταν χαλάνε και τα δύο, κοιτάξτε το πιστοποιητικό ή τον ακροατή πριν αγγίξετε οποιονδήποτε πελάτη.