چرا اندروید به VPN IPsec خانه وصل می‌شود و ویندوز نه

گوشی بدون هیچ شکایتی به VPN روتر می‌پیوندد، در حالی که لپ‌تاپ روی همان Wi-Fi نمی‌تواند. همان اطلاعات ورود، همان سرور، همان دقیقه. تفاوت در پشتیبانی پروتکل است نه رمز عبور: روتر نمایه‌ای را نشان می‌دهد که یک سیستم‌عامل پیاده‌سازی می‌کند و دیگری هرگز نداشت.

نخست نمایه را شناسایی کنید، سپس آن را با آنچه هر کلاینت واقعاً صحبت می‌کند بسنجید.

یک منو، سه پروتکل

زیر یک عنوان IPsec، سخت‌افزار مصرفی می‌تواند سه تونل کاملاً متفاوت را پنهان کند. اولی IKEv1 با XAUTH است: یک راز گروهی مشترک و بالای آن نام کاربری و رمز عبور. دومی L2TP/IPsec است که PPP درون یک انتقال IPsec محافظت‌شده با کلید مشترک اجرا می‌شود. سومی IKEv2 است که با گواهی یا EAP احراز هویت می‌شود.

فیلدها را بخوانید نه برچسب را. راز گروهی همراه فهرست کاربران یعنی IKEv1 XAUTH. کلید از پیش مشترک همراه حساب PPP یعنی L2TP/IPsec. گواهی سرور بدون راز گروهی یعنی IKEv2.

شکاف پشتیبانی میان گوشی و لپ‌تاپ

اندروید یک کلاینت IKEv1 XAUTH PSK درون خود دارد و درست به همین دلیل گوشی در برابر روتری که چیز دیگری ندارد موفق می‌شود. ویندوز ندارد: کلاینت بومی‌اش L2TP/IPsec و IKEv2 را پشتیبانی می‌کند و گزینه‌ای برای فعال کردن IKEv1 XAUTH وجود ندارد. وارد کردن دوباره راز کمکی نمی‌کند، چون قطعه گمشده پروتکل است نه اطلاعات ورود.

سمت اپل هدفی متحرک است. نسخه‌های تازه‌تر macOS و iOS به سوی IKEv2 می‌روند، نمایه‌های قدیمی به سبک سیسکو در برخی ساخت‌ها می‌مانند، و به‌روزرسانی می‌تواند چیزی را که ماه گذشته کار می‌کرد حذف یا سخت‌تر کند. مک‌بوکی که دیروز وصل می‌شد و امروز نه، بدون تغییر در روتر، معمولاً همین است.

دو تنظیم که نمایه‌های درست را می‌شکنند

صفحه L2TP/IPsec در Synology کادری با نام Enable SHA2-256 compatible mode (96 bit) دارد. کلاینت‌های اپل از iOS 14 و macOS Big Sur به بعد آن حالت بریده را رد می‌کنند، پس کادر باید برای آن‌ها خاموش باشد. اگر روشن بماند، تونل احراز هویت می‌شود و سپس می‌افتد، که شبیه اطلاعات ورود بد است و نیست. سازنده کلید را مستند می‌کند و به‌روزرسانی سیستم‌عامل معمولاً لحظه‌ای است که این موضوع اهمیت پیدا می‌کند.

ویندوز گواهی‌ها را در دو انبار جدا نگه می‌دارد و IKEv2 فقط انبار ماشین را می‌خواند. گواهی کلاینت را با کلید خصوصی‌اش در حساب رایانه وارد کنید؛ گواهی‌ای که زیر حساب کاربری خودتان باشد در کنسول مدیریت دیده می‌شود و هرگز به سرویس IKEv2 نمی‌رسد. EAP-TLS تنها حالتی است که گواهی کاربر کاربرد دارد و CA امضاکننده هنوز باید برای ماشین مورد اعتماد باشد. اشتباه در اینجا به‌صورت شکست احراز هویت دیده می‌شود نه درخواست گواهی ناموجود.

وقتی روتر همان‌طور می‌ماند

روتری که فقط XAUTH PSK صحبت می‌کند سه راه باقی می‌گذارد: کلاینت سازنده، کلاینت شخص ثالثی که هنوز نمایه را پیاده‌سازی می‌کند، یا انتقال نقطه پایانی تونل به چیزی که IKEv2 صحبت می‌کند. برای نمونه AVM نرم‌افزار کلاینت ویندوز و فایل پیکربندی صادرشده برای روترهایش منتشر می‌کند. آن مسیر پشتیبانی می‌شود و به معنای نصب ابزار سازنده روی هر لپ‌تاپ است.

وقتی لپ‌تاپ‌ها از آنِ شما نیستند که بازسازی‌شان کنید، پشتیبانی از زیبایی مهم‌تر است.

هزینه امنیتی را هم بسنجید. یک راز گروهی همه کاربران را پوشش می‌دهد، پس هر که آن را داشته باشد می‌تواند جای سرور بایستد و نام کاربری و رمز عبوری را که کلاینت ارائه می‌دهد بگیرد. جایی که IKEv2 با گواهی موجود است، آن مهاجرت از هر راه‌حل جایگزین روی کلاینت ارزشمندتر است.

از بیرون به درون تشخیص دهید

نخست یک نشست کاری از گوشی بگیرید تا سمت سرور پیش از ورود لپ‌تاپ اثبات شود. سپس نمایه صادرشده روتر را بدون تغییر وارد کنید و گزارش کلاینت را بخوانید نه صفحه وضعیت روتر. اگر گزارش هیچ پیشنهاد خروجی نشان ندهد، لپ‌تاپ هرگز به پاسخ‌دهنده نرسیده است. اگر پیشنهادها مبادله و سپس ناموفق شوند، اختلاف بر سر الگوریتم‌ها، هویت یا اطلاعات ورود است.

نمایه کارآمد گوشی را به‌عنوان شاهد نگه دارید. وقتی پس از به‌روزرسانی فریم‌ور فقط لپ‌تاپ خراب می‌شود، سمت سرور مانند پیش رفتار می‌کند. وقتی هر دو خراب می‌شوند، پیش از دست زدن به هر کلاینتی به گواهی یا شنونده نگاه کنید.