Windows-VPN kontraŭ Cisco Secure Client: kiu validas?
Marko ne nomas protokolon: Windows liveras plurajn proprajn tipojn kaj la kliento Cisco portas profilojn por pli ol unu reĝimo. Legu la profilon.
Por la sama pordego alvenas du instrukcioj: konektiĝu per la Windows-VPN aŭ instalu la klienton Cisco. Neniu el ili nomas la interŝanĝon, kiun la pordego atendas, ĉar Windows proponas plurajn proprajn konektotipojn kaj la kliento de la vendisto portas profilojn por pli ol unu reĝimo. Ambaŭ etikedoj priskribas programaron, dum la pordego intertraktas protokolon, aŭtentigon kaj politikon. La respondo kuŝas en la profilo, kaj ĝi legeblas sen konekti.
La etikedo nomas programaron, ne interŝanĝon
Marko kaj operaciumo estas du malsamaj faktoj, kaj neniu el ili elektas kabloformaton. Windows liveras aron da propraj tipoj, kaj la kliento Cisco liveras profilmotoron, kiu povas funkciigi SSL aŭ IPsec/IKEv2. Konfuzi la du produktas diagramojn, kiuj komparas firmaojn anstataŭ kompari interŝanĝojn.
La suba tabelo anstataŭigas la produktan demandon per tri legolokoj kaj la kampo, kiun ĉiu tenas. Notu tiujn kampojn, kaj la malklareco malaperas:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
La referenco de Microsoft pri VPN-tipoj en Windows listigas IKEv2 kaj SSTP inter la propraj tipoj, kio forigas la ideon, ke propra profilo signifas PPTP. La profila dokumentaro de Cisco priskribas kaj SSL-reĝimon kaj IPsec/IKEv2-reĝimon kun kongrua politiko de la centra nodo. Ĉiu vendisto proponas plurajn opciojn, do neniu nomo identigas unu protokolon.
Kion la propraj tipoj metas sur la kablon
IKEv2 intertraktas sekurecajn asociojn super UDP kaj portas trafikon ene de IPsec, kio faras ĝin samtavola kun aliaj IKEv2-realigoj kaj ne Microsoft-specifa dezajno. SSTP volvas PPP ene de HTTPS-sesio, do ĝi trapasas prokurojn, kiujn IKEv2 ne povas, kaj sur la kablo aspektas kiel TLS sen esti TLS-VPN-protokolo. Tiuj du faktoj klarigas la plejparton de bileto, kiu raportas, ke la tunelo funkcias en unu reto kaj malsukcesas en alia.
L2TP kun IPsec kaj la pli malnova ero PPTP staras en la sama falmenuo, kaj ilia ĉeesto tie diras nenion pri subteno de la servilo. Falmenuo estas menuo de tio, kion la operaciumo povas provi, ne kapablecdeklaro de la pordego. Legi ĝin kiel subtenlisto estas kiel komenciĝas duhora ĉasado de akreditiloj.
La kampoj, kiuj gravas en propra profilo, estas la konektotipo, la aŭtentiga metodo kaj la servila identeco. Malĝusta tipo malsukcesas en alia etapo ol malbona pasvorto, kaj tiu diferenco estas la postsigno inda sekvi.
Kion aldonas kliento de vendisto: profilojn, ne protokolon
La kliento Cisco estas ujo por profiloj. SSL-reĝimo kaj IPsec/IKEv2-reĝimo diferencas en interŝanĝo, havenaj atendoj kaj erarteksto, kaj la importita profilo elektas inter ili. Instali la klienton do pruvas nenion pri atingeblo.
Versioj pariĝas pro kialo. Trajtoj, aŭtentigaj fluoj kaj sintenaj kontroloj intertraktiĝas inter kliento kaj centra nodo, do malnova kliento kontraŭ nova nodo povas malsukcesi tiel, ke ĝi legeblas kiel reta paneo. Tiu pariĝo apartenas al la konekta difino, ne al ĝisdatiga noto.
Profilo eksportita el alia organizo malofte kongruas kun la loka centra nodo, kaj ĝia importo povas lasi la klienton proponi reĝimon, kiun la pordego ne servas. Unue legu la reĝimon el la profilo, poste komparu ĝin kun la agordita protokolo kaj aŭtentiga politiko de la pordego. Nur post kiam tiuj kongruas, la reto fariĝas suspektinda. Tiu ordo ŝparas paketkaptadon, kiu montrus sanan TLS-sesion celantan la malĝustan servon.
Legu la lokan profilon antaŭ ol ŝanĝi ion ajn
En Windows la propra agordo legeblas sen voki, kaj la eligo rekte nomas la tipon kaj la aŭtentigan metodon. Komparu tiujn valorojn kun tio, kion la posedanto de la pordego diras, ke la nodo akceptas. Se la tipo malkongruas kun la bileto, unue ĝustigu la bileton, ĉar tio estas pli malmultekosta ol reinstali klienton, kiu neniam malpravis.
Ĉi tiuj kvar komandoj kovras la profilon, ĝiajn itinerojn, la konektoprovan kaj la atingeblon de la haveno. Rulu ilin en tiu ordo sur maŝino, kie la profilo jam estas instalita:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443La havena testo estas tiu, kiun oni trolegas. TCP 443 aŭskultanto, kiu servas ensalutan paĝon, kaj unu, kiu finas IKEv2, aspektas identaj de ekstere, ĉar la haveno estas loko kaj ne protokolo.
Skribu la rezulton kiel tri kampojn, kliento, reĝimo kaj pordego, kaj tenu ilin apud la bileto. Io pli mallonga lasas la sekvan personon retrovi la saman malklarecon.