Miks Android ühendub kodu IPsec VPN-iga ja Windows mitte

Telefon liitub ruuteri VPN-iga ilma kaeblemata, samas kui samas Wi-Fi võrgus olev sülearvuti ei suuda. Samad volitused, sama server, sama minut. Erinevus on protokolli toetuses, mitte paroolis: ruuter pakub profiili, mida üks operatsioonisüsteem rakendab ja teine ei omanud kunagi.

Tuvastage kõigepealt profiil ja võrrelge seda seejärel sellega, mida iga klient tegelikult räägib.

Üks menüü, kolm protokolli

Ühe IPsec pealkirja all võib tarbijafirmware peita kolm täiesti erinevat tunnelit. Esimene on IKEv1 koos XAUTH-iga: ühine grupisaladus ja selle peal kasutajanimi ning parool. Teine on L2TP/IPsec, kus PPP töötab ühise võtmega kaitstud IPsec-transpordi sees. Kolmas on IKEv2, autenditud sertide või EAP-iga.

Lugege välju, mitte silti. Grupisaladus pluss kasutajate nimekiri tähendab IKEv1 XAUTH. Eelnevalt jagatud võti pluss PPP-konto tähendab L2TP/IPsec. Serverisert ilma grupisaladuseta tähendab IKEv2.

Toetuse lünk telefoni ja sülearvuti vahel

Androidil on sisseehitatud IKEv1 XAUTH PSK klient, ja just seetõttu õnnestub telefonil ruuteriga, mis ei paku midagi muud. Windowsil mitte: selle sisseehitatud klient toetab L2TP/IPsec ja IKEv2, ning IKEv1 XAUTH valikut lubada ei ole. Saladuse uuesti sisestamine ei aita, sest puudu on protokoll, mitte volitus.

Apple pool on liikuv märklaud. Uuemad macOS-i ja iOS-i versioonid kalduvad IKEv2 poole, vanad Cisco-stiilis profiilid püsivad mõnes buildis, ja uuendus võib eemaldada või karmistada selle, mis eelmisel kuul töötas. Mac, mis eile ühendus ja täna mitte, ilma ruuteri muudatuseta, on tavaliselt just see.

Kaks seadet, mis rikuvad muidu korrektsed profiilid

Synology L2TP/IPsec leht pakub märkeruutu nimega Enable SHA2-256 compatible mode (96 bit). Apple kliendid alates iOS 14 ja macOS Big Sur lükkavad selle kärbitud režiimi tagasi, seega peab ruut nende jaoks olema väljas. Kui see jääb sisse, autendib tunnel ja kukub siis, mis näeb välja nagu halvad volitused ja ei ole seda. Tootja dokumenteerib lüliti, ja operatsioonisüsteemi uuendus on tavaliselt hetk, mil see hakkab tähtsust omama.

Windows hoiab serte kahes eraldi hoidlas, ja IKEv2 loeb ainult masina oma. Importige kliendisert koos privaatvõtmega arvuti kontole; teie kasutajakonto alla pandud sert ilmub halduskonsoolis ja ei jõua kunagi IKEv2 teenuseni. EAP-TLS on ainus juhtum, kus kasutajasert on kasutatav, ja allkirjastav CA peab ikkagi olema masina poolt usaldatud. Selle valesti tegemine ilmneb autentimistõrkena, mitte puuduva serdi küsimisena.

Kui ruuter jääb nii, nagu on

Ruuter, mis räägib ainult XAUTH PSK-d, jätab kolm teed: tootja klient, kolmanda osapoole klient, mis profiili veel rakendab, või tunnelipunkti viimine millegi juurde, mis räägib IKEv2-t. Näiteks AVM avaldab Windowsi klienditarkvara ja eksporditud konfiguratsioonifaili oma ruuteritele. See tee on toetatud, ja see tähendab tootja tööriista paigaldamist igasse sülearvutisse.

Tugi loeb rohkem kui elegantsus, kui sülearvutid ei ole sinu omad, mida ümber ehitada.

Kaaluge ka turvahinda. Üks grupisaladus katab kõik kasutajad, seega igaüks, kellel see on, saab esineda serverina ja püüda kinni kasutajanime ja parooli, mida klient pakub. Kus IKEv2 sertidega on saadaval, seal on see migratsioon väärt rohkem kui ükski kliendipoolne mööraik.

Diagnoosige väljast sissepoole

Hankige esmalt üks töötav seanss telefonist, et serveripool oleks tõestatud enne, kui sülearvuti pilti tuleb. Seejärel importige ruuteri eksporditud profiil muutmata kujul ja lugege kliendi logi ruuteri olekulehe asemel. Kui logi ei näita ühtegi väljuvat pakkumist, ei jõudnud sülearvuti kunagi vastajani. Kui pakkumised vahetatakse ja siis ebaõnnestuvad, on lahkarvamus algoritmides, identiteedis või volitustes.

Hoidke töötavat telefoniprofiili kontrollina. Kui pärast püsivara uuendust läheb katki ainult sülearvuti, käitub serveripool nagu enne. Kui lähevad katki mõlemad, vaadake sertifikaati või kuulajat enne, kui ühtegi klienti puutute.