Windowsi VPN versus Cisco Secure Client: kumb kehtib?
Bränd ei nimeta protokolli: Windows pakub mitut natiivset tüüpi ja Cisco klient kannab profiile rohkem kui ühe režiimi jaoks. Lugege profiili.
Sama lüüsi jaoks saabub kaks juhist: ühenduge Windowsi VPN-iga või paigaldage Cisco klient. Kumbki ei nimeta vahetust, mida lüüs ootab, sest Windows pakub mitut natiivset ühendusetüüpi ja tarnija klient kannab profiile rohkem kui ühe režiimi jaoks. Mõlemad sildid kirjeldavad tarkvara, samal ajal kui lüüs läbiräägib protokolli, autentimist ja poliitikat. Vastus on profiilis ja seda saab lugeda ilma ühendumata.
Silt nimetab tarkvara, mitte vahetust
Bränd ja operatsioonisüsteem on kaks erinevat fakti ja kumbki ei vali juhtmekihti. Windows tarnib hulga natiivseid tüüpe ja Cisco klient tarnib profiilimootori, mis suudab juhtida SSL-i või IPsec/IKEv2-t. Nende segamini ajamine annab tabelid, mis võrdlevad ettevõtteid, mitte vahetusi.
Allolev tabel asendab tooteküsimuse kolme lugemiskohaga ja väljaga, mida igaüks hoiab. Kirjutage need väljad üles ja ebaselgus kaob:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsofti viide Windowsi VPN-i tüüpidele loetleb natiivsete tüüpide hulgas IKEv2 ja SSTP, mis kõrvaldab idee, et natiivne profiil tähendab PPTP-d. Cisco profiilidokumentatsioon kirjeldab nii SSL- kui ka IPsec/IKEv2-režiimi sobiva peakontori poliitikaga. Iga tarnija pakub mitut valikut, seega ei tuvasta ükski nimi ühte protokolli.
Mida natiivsed tüübid juhtmele panevad
IKEv2 läbiräägib turvaassotsiatsioonid UDP kaudu ja kannab liiklust IPsec-i sees, mis teeb sellest teiste IKEv2-teostuste võrdse, mitte Microsofti-spetsiifilise kavandi. SSTP mässib PPP HTTPS-i sessiooni sisse, nii et see läbib puhverservereid, millest IKEv2 ei pääse, ja näeb juhtmel välja nagu TLS, olemata TLS-i VPN-protokoll. Need kaks fakti selgitavad suuremat osa piletist, mis teatab, et tunnel töötab ühes võrgus ja ebaõnnestub teises.
L2TP koos IPsec-iga ja vanem PPTP-kirje on samas rippmenüüs ja nende olemasolu seal ei ütle serveri toe kohta midagi. Rippmenüü on loend sellest, mida operatsioonisüsteem võib proovida, mitte lüüsi võimekuse kinnitus. Selle lugemine toeloendina on viis, kuidas algab kahetunnine mandaadijaht.
Natiivse profiili puhul loevad ühenduse tüüp, autentimismeetod ja serveri identiteet. Vale tüüp ebaõnnestub teises etapis kui halb parool, ja just see erinevus on vihje, mida tasub jälgida.
Mida tarnija klient lisab: profiile, mitte protokolli
Cisco klient on profiilide konteiner. SSL-režiim ja IPsec/IKEv2-režiim erinevad vahetuse, pordi ootuste ja veateksti poolest ning imporditud profiil valib nende vahel. Kliendi paigaldamine ei tõesta seega kättesaadavuse kohta midagi.
Versioonid on paaris põhjusega. Funktsioonid, autentimisvood ja seisundi kontrollid lepitakse kokku kliendi ja peakontori vahel, seega vana klient uue peakontori vastu võib ebaõnnestuda viisil, mis loeb nagu võrgu rike. See paaritus kuulub ühenduse määratlusse, mitte uuendusmärkusse.
Teisest organisatsioonist eksporditud profiil harva sobib kohaliku peakontoriga ja selle importimine võib jätta kliendi pakkuma režiimi, mida lüüs ei teeninda. Lugege kõigepealt režiim profiilist ja võrrelge seda seejärel lüüsi seadistatud protokolli ja autentimispoliitikaga. Alles siis, kui need ühtivad, muutub võrk kahtlaseks. See järjekord säästab paketipüüdist, mis oleks näidanud tervet TLS-i sessiooni, mis oli suunatud vale teenuse poole.
Lugege kohalikku profiili enne, kui midagi muudate
Windowsis saab natiivset seadistust lugeda ilma valimata ja väljund nimetab tüübi ja autentimismeetodi otse. Võrrelge neid väärtusi sellega, mida lüüsi omanik ütleb peakontori aktsepteerivat. Kui tüüp lahkneb piletist, parandage kõigepealt pilet, sest see on odavam kui uuesti paigaldada klient, mis ei olnud kunagi vale.
Need neli käsku katavad profiili, selle marsruudid, ühenduskatse ja pordi kättesaadavuse. Käivitage need selles järjekorras masinas, kuhu profiil on juba paigaldatud:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Pordi test on see, mida loetakse üle. TCP 443 kuulaja, mis teenindab sisselogimislehte, ja üks, mis lõpetab IKEv2, näevad väljastpoolt identsed, sest port on koht, mitte protokoll.
Kirjutage tulemus kolme väljana, klient, režiim ja lüüs, ja hoidke neid pileti kõrval. Miski lühem jätab järgmisele inimesele sama ebaselguse uuesti avastada.