VPN των Windows έναντι Cisco Secure Client: ποιο ισχύει;

Για την ίδια πύλη φτάνουν δύο οδηγίες: συνδεθείτε με το VPN των Windows ή εγκαταστήστε τον πελάτη Cisco. Καμία από τις δύο δεν ονομάζει την ανταλλαγή που περιμένει η πύλη, επειδή τα Windows εκθέτουν αρκετούς εγγενείς τύπους σύνδεσης και ο πελάτης του προμηθευτή φέρει προφίλ για περισσότερες από μία λειτουργίες. Και οι δύο ετικέτες περιγράφουν λογισμικό, ενώ η πύλη διαπραγματεύεται πρωτόκολλο, έλεγχο ταυτότητας και πολιτική. Η απάντηση βρίσκεται στο προφίλ και μπορεί να διαβαστεί χωρίς σύνδεση.

Η ετικέτα ονομάζει λογισμικό, όχι ανταλλαγή

Ένα εμπορικό σήμα και ένα λειτουργικό σύστημα είναι δύο διαφορετικά γεγονότα και κανένα από τα δύο δεν επιλέγει μορφή στο καλώδιο. Τα Windows παρέχουν ένα σύνολο εγγενών τύπων και ο πελάτης Cisco παρέχει μηχανή προφίλ που μπορεί να οδηγήσει SSL ή IPsec/IKEv2. Η σύγχυση των δύο παράγει πίνακες που συγκρίνουν εταιρείες αντί να συγκρίνουν ανταλλαγές.

Ο παρακάτω πίνακας αντικαθιστά το ερώτημα του προϊόντος με τρεις θέσεις ανάγνωσης και το πεδίο που κρατά καθεμία. Καταγράψτε αυτά τα πεδία και η ασάφεια εξαφανίζεται:

Η αναφορά της Microsoft για τους τύπους VPN των Windows απαριθμεί IKEv2 και SSTP στους εγγενείς τύπους, κάτι που καταργεί την ιδέα ότι ένα εγγενές προφίλ σημαίνει PPTP. Η τεκμηρίωση προφίλ της Cisco περιγράφει και λειτουργία SSL και λειτουργία IPsec/IKEv2 με αντίστοιχη πολιτική κεντρικού κόμβου. Κάθε προμηθευτής προσφέρει αρκετές επιλογές, άρα κανένα όνομα δεν προσδιορίζει ένα πρωτόκολλο.

Τι βάζουν οι εγγενείς τύποι στο καλώδιο

Το IKEv2 διαπραγματεύεται συσχετίσεις ασφαλείας πάνω από UDP και μεταφέρει κίνηση μέσα στο IPsec, γεγονός που το κάνει ισότιμο με άλλες υλοποιήσεις IKEv2 και όχι σχεδιασμό ειδικό για τη Microsoft. Το SSTP τυλίγει το PPP μέσα σε συνεδρία HTTPS, οπότε διασχίζει διαμεσολαβητές που το IKEv2 δεν μπορεί και στο καλώδιο μοιάζει με TLS χωρίς να είναι πρωτόκολλο TLS VPN. Αυτά τα δύο γεγονότα εξηγούν το μεγαλύτερο μέρος ενός δελτίου που αναφέρει ότι η σήραγγα λειτουργεί σε ένα δίκτυο και αποτυγχάνει σε άλλο.

Το L2TP με IPsec και η παλαιότερη καταχώριση PPTP βρίσκονται στο ίδιο αναπτυσσόμενο μενού και η παρουσία τους εκεί δεν λέει τίποτα για την υποστήριξη του διακομιστή. Ένα αναπτυσσόμενο μενού είναι κατάλογος όσων μπορεί να δοκιμάσει το λειτουργικό σύστημα, όχι δήλωση δυνατοτήτων από την πύλη. Το να το διαβάζετε ως λίστα υποστήριξης είναι ο τρόπος που αρχίζει ένα κυνήγι διαπιστευτηρίων δύο ωρών.

Τα πεδία που μετράνε σε ένα εγγενές προφίλ είναι ο τύπος σύνδεσης, η μέθοδος ελέγχου ταυτότητας και η ταυτότητα του διακομιστή. Ο λάθος τύπος αποτυγχάνει σε διαφορετικό στάδιο από έναν κακό κωδικό και αυτή η διαφορά είναι το ίχνος που αξίζει να ακολουθήσετε.

Τι προσθέτει ο πελάτης του προμηθευτή: προφίλ, όχι πρωτόκολλο

Ο πελάτης Cisco είναι δοχείο για προφίλ. Μια λειτουργία SSL και μια λειτουργία IPsec/IKEv2 διαφέρουν σε ανταλλαγή, προσδοκίες θύρας και κείμενο σφάλματος, και το εισαγόμενο προφίλ επιλέγει μεταξύ τους. Επομένως η εγκατάσταση του πελάτη δεν αποδεικνύει τίποτα για την προσβασιμότητα.

Οι εκδόσεις ζευγαρώνουν για έναν λόγο. Δυνατότητες, ροές ελέγχου ταυτότητας και έλεγχοι κατάστασης διαπραγματεύονται μεταξύ πελάτη και κεντρικού κόμβου, οπότε ένας παλιός πελάτης απέναντι σε νέο κόμβο μπορεί να αποτύχει με τρόπο που διαβάζεται ως βλάβη δικτύου. Αυτό το ζευγάρωμα ανήκει στον ορισμό της σύνδεσης και όχι σε σημείωμα αναβάθμισης.

Ένα προφίλ που εξήχθη από άλλον οργανισμό σπάνια ταιριάζει με τον τοπικό κόμβο και η εισαγωγή του μπορεί να αφήσει τον πελάτη να προσφέρει λειτουργία που η πύλη δεν εξυπηρετεί. Διαβάστε πρώτα τη λειτουργία από το προφίλ και μετά συγκρίνετέ την με το ρυθμισμένο πρωτόκολλο και την πολιτική ελέγχου ταυτότητας της πύλης. Μόνο όταν αυτά συμφωνήσουν γίνεται το δίκτυο ύποπτο. Αυτή η σειρά γλιτώνει μια καταγραφή πακέτων που θα έδειχνε μια υγιή συνεδρία TLS στραμμένη στη λάθος υπηρεσία.

Διαβάστε το τοπικό προφίλ πριν αλλάξετε οτιδήποτε

Στα Windows η εγγενής διαμόρφωση διαβάζεται χωρίς κλήση και η έξοδος ονομάζει απευθείας τον τύπο και τη μέθοδο ελέγχου ταυτότητας. Συγκρίνετε αυτές τις τιμές με ό,τι λέει ο ιδιοκτήτης της πύλης ότι δέχεται ο κόμβος. Αν ο τύπος διαφωνεί με το δελτίο, διορθώστε πρώτα το δελτίο, γιατί αυτό είναι φθηνότερο από το να επανεγκαταστήσετε έναν πελάτη που δεν έφταιγε ποτέ.

Αυτές οι τέσσερις εντολές καλύπτουν το προφίλ, τις διαδρομές του, την προσπάθεια σύνδεσης και την προσβασιμότητα της θύρας. Εκτελέστε τις με αυτή τη σειρά σε μηχάνημα όπου το προφίλ είναι ήδη εγκατεστημένο:

Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443

Το τεστ θύρας είναι αυτό που διαβάζεται υπερβολικά. Ένας ακροατής TCP 443 που σερβίρει σελίδα σύνδεσης και ένας που τερματίζει IKEv2 φαίνονται ίδιοι από έξω, επειδή η θύρα είναι θέση και όχι πρωτόκολλο.

Γράψτε το αποτέλεσμα ως τρία πεδία, πελάτης, λειτουργία και πύλη, και κρατήστε τα δίπλα στο δελτίο. Οτιδήποτε συντομότερο αφήνει τον επόμενο άνθρωπο να ανακαλύψει ξανά την ίδια ασάφεια.