Kial Android konektiĝas al la hejma IPsec VPN sed Windows ne

La telefono aliĝas al la VPN de la enkursigilo sen plendo, dum la tekokomputilo en la sama Wi-Fi ne sukcesas. Samaj akreditaĵoj, sama servilo, sama minuto. La diferenco estas protokola subteno, ne la pasvorto: la enkursigilo montras profilon, kiun unu operaciumo realigas kaj la alia neniam havis.

Unue identigu la profilon, poste komparu ĝin kun tio, kion ĉiu kliento efektive parolas.

Unu menuo, tri protokoloj

Sub unu rubriko IPsec konsumanta firmvaro povas kaŝi tri tute malsamajn tunelojn. La unua estas IKEv1 kun XAUTH: komuna grupa sekreto, kaj supre uzantnomo kaj pasvorto. La dua estas L2TP/IPsec, kie PPP funkcias ene de IPsec-transporto protektita per komuna ŝlosilo. La tria estas IKEv2, aŭtentikigita per atestiloj aŭ EAP.

Legu la kampojn, ne la etikedon. Grupa sekreto kun uzantlisto signifas IKEv1 XAUTH. Antaŭe dividita ŝlosilo kun PPP-konto signifas L2TP/IPsec. Servila atestilo sen grupa sekreto signifas IKEv2.

La subtena breĉo inter telefono kaj tekokomputilo

Android portas enkonstruitan klienton IKEv1 XAUTH PSK, kaj ĝuste tial la telefono sukcesas kontraŭ enkursigilo, kiu proponas nenion alian. Windows ne: ĝia enkonstruita kliento traktas L2TP/IPsec kaj IKEv2, kaj mankas opcio IKEv1 XAUTH por ŝalti. Reenigi la sekreton ne helpas, ĉar mankas la protokolo, ne la akreditaĵo.

La flanko de Apple estas moviĝanta celo. Pli novaj eldonoj de macOS kaj iOS inklinas al IKEv2, malnovaj profiloj laŭ Cisco-stilo postvivas en iuj konstruoj, kaj ĝisdatigo povas forigi aŭ streĉi tion, kio funkciis pasintmonate. Mac, kiu konektiĝis hieraŭ kaj ne hodiaŭ, sen ŝanĝo en la enkursigilo, estas kutime ĝuste tio.

Du agordoj, kiuj rompas alikaze ĝustajn profilojn

La paĝo L2TP/IPsec de Synology proponas markobuton nomatan Enable SHA2-256 compatible mode (96 bit). La klientoj de Apple ekde iOS 14 kaj macOS Big Sur rifuzas tiun tranĉitan reĝimon, do la butono devas esti malŝaltita por ili. Se ĝi restas ŝaltita, la tunelo aŭtentikiĝas kaj poste falas, kio aspektas kiel malbonaj akreditaĵoj kaj ne estas. La fabrikanto dokumentas la ŝaltilon, kaj operaciuma ĝisdatigo estas kutime la momento, kiam tio komencas gravi.

Windows tenas atestilojn en du apartaj konservejoj, kaj IKEv2 legas nur la maŝinan. Importu la klientan atestilon kun ĝia privata ŝlosilo en la komputilan konton; atestilo metita sub via uzanta konto aperas en la administra konzolo kaj neniam atingas la servon IKEv2. EAP-TLS estas la sola kazo, kiam uzanta atestilo estas uzebla, kaj la subskribanta CA ankoraŭ devas esti fidata de la maŝino. Erari ĉi tie montriĝas kiel aŭtentikiga malsukceso, ne kiel peto pri mankanta atestilo.

Kiam la enkursigilo restas kiel ĝi estas

Enkursigilo, kiu parolas nur XAUTH PSK, lasas tri vojojn: la klienton de la fabrikanto, trian klienton, kiu ankoraŭ realigas la profilon, aŭ movi la finpunkton de la tunelo al io, kio parolas IKEv2. AVM ekzemple publikigas Windows-klientan programaron kaj eksportitan agordan dosieron por siaj enkursigiloj. Tiu vojo estas subtenata, kaj ĝi signifas instali fabrikantan ilon en ĉiu tekokomputilo.

Subteno pli gravas ol eleganto, kiam la tekokomputiloj ne estas viaj por rekonstrui.

Pripensu ankaŭ la sekurecan koston. Unu grupa sekreto kovras ĉiun uzanton, do kiu ajn havas ĝin povas anstataŭi la servilon kaj kapti la uzantnomon kaj pasvorton, kiujn la kliento proponas. Kie IKEv2 kun atestiloj haveblas, tiu migrado valoras pli ol iu ajn klienta ĉirkaŭvojo.

Diagnozu de ekstere enen

Unue akiru unu funkciantan sesion de la telefono, por ke la servila flanko estu pruvita antaŭ ol la tekokomputilo eniras la bildon. Poste importu la eksportitan profilon de la enkursigilo senŝanĝe kaj legu la klientan protokolon anstataŭ la statpaĝo de la enkursigilo. Se la protokolo montras neniun elirantan proponon, la tekokomputilo neniam atingis la respondanton. Se proponoj interŝanĝiĝas kaj poste malsukcesas, la malkonsento temas pri algoritmoj, identeco aŭ akreditaĵoj.

Tenu la funkciantan telefonan profilon kiel kontrolon. Kiam post firmvara ĝisdatigo rompiĝas nur la tekokomputilo, la servila flanko kondutas kiel antaŭe. Kiam rompiĝas ambaŭ, rigardu la atestilon aŭ la aŭskultanton antaŭ ol tuŝi ajnan klienton.