VPN ویندوز در برابر Cisco Secure Client: کدام درست است؟
یک برند نام پروتکل نیست: ویندوز چند نوع بومی ارائه می‌دهد و کلاینت سیسکو پروفایل‌هایی برای بیش از یک حالت دارد. پروفایل را بخوانید.
برای همان دروازه دو دستور می‌رسد: با VPN ویندوز وصل شوید یا کلاینت سیسکو را نصب کنید. هیچ‌کدام تبادلی را که دروازه انتظار دارد نام نمی‌برد، چون ویندوز چند نوع اتصال بومی ارائه می‌دهد و کلاینت فروشنده پروفایل‌هایی برای بیش از یک حالت دارد. هر دو برچسب نرم‌افزار را توصیف می‌کنند، در حالی که دروازه درباره پروتکل، احراز هویت و سیاست توافق می‌کند. پاسخ در پروفایل است و می‌توان آن را بدون اتصال خواند.
برچسب نام نرم‌افزار است، نه تبادل
برند و سیستم‌عامل دو واقعیت متفاوت‌اند و هیچ‌کدام قالب سیم را انتخاب نمی‌کند. ویندوز مجموعه‌ای از انواع بومی را ارائه می‌دهد و کلاینت سیسکو موتور پروفایلی ارائه می‌دهد که می‌تواند SSL یا IPsec/IKEv2 را اداره کند. اشتباه گرفتن این دو جدول‌هایی می‌سازد که شرکت‌ها را مقایسه می‌کنند نه تبادل‌ها را.
جدول زیر پرسش محصول را با سه جای خواندن و فیلدی که هرکدام نگه می‌دارد جایگزین می‌کند. آن فیلدها را ثبت کنید و ابهام از میان می‌رود:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
مرجع انواع VPN ویندوز که مایکروسافت منتشر می‌کند IKEv2 و SSTP را در میان انواع بومی فهرست می‌کند، و این ایده را که پروفایل بومی یعنی PPTP کنار می‌گذارد. مستندات پروفایل سیسکو هم حالت SSL و هم حالت IPsec/IKEv2 را با سیاست متناظر سرور مرکزی توصیف می‌کند. هر فروشنده چند گزینه دارد، پس هیچ نامی یک پروتکل را مشخص نمی‌کند.
آنچه انواع بومی روی سیم می‌گذارند
IKEv2 روی UDP درباره انجمن‌های امنیتی توافق می‌کند و ترافیک را درون IPsec حمل می‌کند، که آن را هم‌تراز دیگر پیاده‌سازی‌های IKEv2 می‌کند و نه طراحی ویژه مایکروسافت. SSTP پروتکل PPP را درون یک نشست HTTPS می‌پیچد، پس از پراکسی‌هایی می‌گذرد که IKEv2 نمی‌تواند و روی سیم شبیه TLS به نظر می‌رسد بدون آنکه پروتکل VPN از نوع TLS باشد. این دو واقعیت بیشتر یک تیکت را توضیح می‌دهند که می‌گوید تونل در یک شبکه کار می‌کند و در شبکه دیگر شکست می‌خورد.
L2TP همراه IPsec و مدخل قدیمی‌تر PPTP در همان فهرست بازشو هستند و حضورشان آنجا چیزی درباره پشتیبانی سرور نمی‌گوید. فهرست بازشو منویی از آن چیزی است که سیستم‌عامل می‌تواند بیازماید، نه بیانیه توانایی دروازه. خواندن آن به‌عنوان فهرست پشتیبانی همان جایی است که شکار دو ساعته اعتبارنامه آغاز می‌شود.
فیلدهایی که در پروفایل بومی اهمیت دارند نوع اتصال، روش احراز هویت و هویت سرور هستند. نوع اشتباه در مرحله‌ای متفاوت از گذرواژه بد شکست می‌خورد و همان تفاوت سرنخی است که ارزش دنبال کردن دارد.
آنچه کلاینت فروشنده اضافه می‌کند: پروفایل، نه پروتکل
کلاینت سیسکو ظرفی برای پروفایل‌هاست. حالت SSL و حالت IPsec/IKEv2 در تبادل، انتظار درگاه و متن خطا تفاوت دارند و پروفایل واردشده میان آن دو انتخاب می‌کند. پس نصب کلاینت چیزی درباره دسترس‌پذیری اثبات نمی‌کند.
نسخه‌ها به دلیلی جفت می‌شوند. قابلیت‌ها، جریان‌های احراز هویت و بررسی‌های وضعیت میان کلاینت و سرور مرکزی مذاکره می‌شوند، پس کلاینت قدیمی در برابر سرور جدید می‌تواند به شکلی شکست بخورد که مانند خطای شبکه خوانده شود. این جفت‌شدن به تعریف اتصال تعلق دارد نه به یادداشت ارتقا.
پروفایلی که از سازمان دیگری صادر شده به‌ندرت با سرور مرکزی محلی می‌خواند و وارد کردنش می‌تواند کلاینت را با حالتی رها کند که دروازه آن را سرویس نمی‌دهد. نخست حالت را از پروفایل بخوانید، سپس آن را با پروتکل و سیاست احراز هویت پیکربندی‌شده دروازه مقایسه کنید. تنها پس از هم‌خوانی آن‌ها شبکه مشکوک می‌شود. این ترتیب یک ضبط بسته را ذخیره می‌کند که نشست TLS سالمی را نشان می‌داد که به سرویس اشتباه نشانه رفته بود.
پیش از تغییر هر چیزی پروفایل محلی را بخوانید
در ویندوز پیکربندی بومی بدون شماره‌گیری خوانده می‌شود و خروجی نوع و روش احراز هویت را مستقیم نام می‌برد. آن مقادیر را با آنچه مالک دروازه می‌گوید سرور مرکزی می‌پذیرد مقایسه کنید. اگر نوع با تیکت ناسازگار است، نخست تیکت را اصلاح کنید، چون این ارزان‌تر از نصب دوباره کلاینتی است که هرگز اشتباه نبوده.
این چهار فرمان پروفایل، مسیرهایش، تلاش اتصال و دسترس‌پذیری درگاه را پوشش می‌دهند. آن‌ها را به این ترتیب روی ماشینی اجرا کنید که پروفایل از پیش نصب شده است:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443آزمون درگاه همانی است که بیش از اندازه خوانده می‌شود. یک شنونده TCP 443 که صفحه ورود ارائه می‌دهد و یکی که IKEv2 را پایان می‌دهد از بیرون یکسان به نظر می‌رسند، چون درگاه یک مکان است نه یک پروتکل.
نتیجه را به‌صورت سه فیلد بنویسید، کلاینت، حالت و دروازه، و آن‌ها را کنار تیکت نگه دارید. هر چیز کوتاه‌تر نفر بعدی را به کشف دوباره همان ابهام وا می‌گذارد.