Windows VPNa versus Cisco Secure Client: zein da zuzena?
Marka batek ez du protokolorik izendatzen: Windowsek hainbat mota natibo eskaintzen ditu eta Ciscoren bezeroak modu bat baino gehiagotarako profilak dakartza. Irakurri profila.
Pasabide bererako bi jarraibide iristen dira: konektatu Windows VPNarekin edo instalatu Cisco bezeroa. Batak ere ez du pasabideak espero duen trukea izendatzen, Windowsek hainbat konexio-mota natibo erakusten baititu eta saltzailearen bezeroak modu bat baino gehiagotarako profilak dakartzanez. Bi etiketek softwarea deskribatzen dute, pasabideak protokoloa, autentifikazioa eta politika negoziatzen dituen bitartean. Erantzuna profilean dago, eta konektatu gabe irakur daiteke.
Etiketak softwarea izendatzen du, ez trukea
Marka bat eta sistema eragile bat bi gertaera desberdin dira, eta batek ere ez du alanbre-formaturik aukeratzen. Windowsek mota natiboen multzo bat hornitzen du, eta Ciscoren bezeroak SSL edo IPsec/IKEv2 gidatu dezakeen profil-motorra hornitzen du. Biak nahasteak enpresak alderatzen dituzten taulak sortzen ditu, trukeak alderatu ordez.
Beheko taulak produktuari buruzko galdera hiru irakurketa-lekurekin eta bakoitzak gordetzen duen eremuarekin ordezkatzen du. Idatzi eremu horiek, eta anbiguotasuna desagertzen da:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Windowseko VPN moten erreferentzia Microsoften eskutik IKEv2 eta SSTP zerrendatzen ditu mota natiboen artean, eta horrek uxatzen du profil natiboak PPTP esan nahi duen ideia. Ciscoren profil-dokumentazioak SSL modua eta IPsec/IKEv2 modua deskribatzen ditu, buru-nodoko politikarekin bat. Saltzaile bakoitzak hainbat aukera eskaintzen ditu, beraz izen batek ere ez du protokolo bakarra identifikatzen.
Zer jartzen dute mota natiboek alanbrean
IKEv2-k segurtasun-elkarteak UDP bidez negoziatzen ditu eta trafikoa IPsec-en barruan eramaten du, eta horrek beste IKEv2 inplementazioen pareko egiten du, ez Microsoften diseinu espezifiko. SSTP-k PPP HTTPS saio baten barruan biltzen du, beraz IKEv2-k pasa ezin dituen proxyak zeharkatzen ditu eta alanbrean TLS dirudi, TLS VPN protokoloa izan gabe. Bi gertaera horiek azaltzen dute tunela sare batean funtzionatzen duela eta bestean huts egiten duela dioen tiketaren zatirik handiena.
IPsec-ekiko L2TP eta PPTP sarrera zaharragoa goitibeherako menu berean daude, eta han egoteak ez du ezer esaten zerbitzariaren laguntzaz. Goitibeherako menua sistema eragileak zer saia dezakeen adierazten duen menua da, ez pasabidearen gaitasun-adierazpena. Laguntza-zerrenda gisa irakurtzea da ordu bitako kredentzialen ehiza hasten den modua.
Profil natibo batean garrantzitsuak diren eremuak konexio-mota, autentifikazio-metodoa eta zerbitzariaren identitatea dira. Tipe okerrak pasahitz txarrak baino fase desberdinean huts egiten du, eta desberdintasun hori da jarraitzea merezi duen arrastoa.
Zer gehitzen duen saltzailearen bezeroak: profilak, ez protokoloa
Cisco bezeroa profilen edukiontzia da. SSL modua eta IPsec/IKEv2 modua trukean, portu-itxaropenetan eta errore-testuan desberdintzen dira, eta inportatutako profilak bien artean aukeratzen du. Beraz, bezeroa instalatzeak ez du ezer frogatzen irisgarritasunaz.
Bertsioak elkarrekin parekatzen dira arrazoi batengatik. Ezaugarriak, autentifikazio-fluxuak eta postura-egiaztapenak bezeroaren eta buru-nodoaren artean negoziatzen dira, beraz bezero zaharra buru-nodo berriaren aurrean sare-matxura bezala irakurtzen den moduan huts egin dezake. Parekatze hori konexio-definizioan dagokio, ez eguneratze-oharrean.
Beste erakunde batetik esportatutako profilak gutxitan egokitzen du tokiko buru-nodoarekin, eta hura inportatzeak bezeroa pasabideak eskaintzen ez duen modu bat eskaintzen utz diezaioke. Irakurri lehenik modua profiletik, eta alderatu gero pasabidearen konfiguratutako protokoloarekin eta autentifikazio-politikarekin. Hauek bat etorri ondoren soilik bihurtzen da sarea susmagarri. Ordena horrek pakete-kaptura bat aurreztatzen du, zerbitzu okerrean jarritako TLS saio osasuntsua erakutsiko zukeena.
Irakurri tokiko profila ezer aldatu aurretik
Windowsen konfigurazio natiboa markatu gabe irakur daiteke, eta irteerak mota eta autentifikazio-metodoa zuzenean izendatzen ditu. Alderatu balio horiek pasabidearen jabeak buru-nodoak onartzen duela esaten duenarekin. Mota tiketarekin bat ez badator, zuzendu lehenik tiketa, inoiz oker egon ez zen bezero bat berriro instalatzea baino merkeagoa baita.
Lau komando hauek profila, bere ibilbideak, konexio-saioera eta portuaren irisgarritasuna hartzen dituzte. Exekutatu ordena horretan profila jadanik instalatuta duen makinan:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Portu-proba da gehiegi irakurtzen dena. Login-orria zerbitzatzen duen TCP 443 entzule batek eta IKEv2 amaitzen duen beste batek berdinak dirudite kanpotik, portua leku bat delako eta ez protokoloa.
Idatzi emaitza hiru eremu gisa, bezeroa, modua eta pasabidea, eta eduki tiketaren ondoan. Laburragoa den edozerk hurrengo pertsonari anbiguotasun bera berriro aurkitzera uzten dio.