Miksi Android yhdistää kodin IPsec-VPN:ään mutta Windows ei

Puhelin liittyy reitittimen VPN:ään valittamatta, kun taas samassa Wi-Fi-verkossa oleva kannettava ei pysty. Samat tunnukset, sama palvelin, sama minuutti. Ero on protokollatuessa, ei salasanassa: reititin tarjoaa profiilin, jonka yksi käyttöjärjestelmä toteuttaa ja toinen ei koskaan omannut.

Tunnista ensin profiili ja vertaa sitä sitten siihen, mitä kukin asiakas todella puhuu.

Yksi valikko, kolme protokollaa

Yhden IPsec-otsikon alla kuluttajalaitteen laiteohjelmisto voi piilottaa kolme täysin erilaista tunnelia. Ensimmäinen on IKEv1 XAUTHilla: jaettu ryhmäsalaisuus ja sen päällä käyttäjänimi ja salasana. Toinen on L2TP/IPsec, jossa PPP kulkee jaetulla avaimella suojatun IPsec-siirron sisällä. Kolmas on IKEv2, joka todennetaan varmenteilla tai EAP:lla.

Lue kentät, älä nimikettä. Ryhmäsalaisuus ja käyttäjälista tarkoittaa IKEv1 XAUTHia. Jaettu avain ja PPP-tili tarkoittaa L2TP/IPseciä. Palvelinvarmenne ilman ryhmäsalaisuutta tarkoittaa IKEv2:ta.

Tuen kuilu puhelimen ja kannettavan välillä

Androidissa on sisäänrakennettu IKEv1 XAUTH PSK -asiakasohjelma, ja juuri siksi puhelin onnistuu reitittimen kanssa, joka ei tarjoa mitään muuta. Windowsissa ei ole: sen oma asiakasohjelma hoitaa L2TP/IPsecin ja IKEv2:n, eikä IKEv1 XAUTH -valintaa voi ottaa käyttöön. Salaisuuden syöttäminen uudelleen ei auta, koska puuttuva osa on protokolla, ei tunnus.

Applen puoli on liikkuva maali. Uudemmat macOS- ja iOS-versiot suuntaavat IKEv2:een, vanhat Cisco-tyyliset profiilit säilyvät joissakin koontiversioissa, ja päivitys voi poistaa tai kiristää sitä, mikä toimi viime kuussa. Mac, joka yhdisti eilen ja tänään ei, ilman reitittimen muutosta, on yleensä tätä.

Kaksi asetusta, jotka rikkovat muuten oikeat profiilit

Synologyn L2TP/IPsec-sivulla on valintaruutu Enable SHA2-256 compatible mode (96 bit). Applen asiakkaat iOS 14:stä ja macOS Big Surista alkaen hylkäävät tuon lyhennetyn tilan, joten ruudun on oltava pois päältä niille. Jos se jää päälle, tunneli todennetaan ja putoaa sitten, mikä näyttää huonoilta tunnuksilta eikä ole sitä. Valmistaja dokumentoi kytkimen, ja käyttöjärjestelmän päivitys on yleensä hetki, jolloin tämä alkaa merkitä.

Windows pitää varmenteet kahdessa erillisessä varastossa, ja IKEv2 lukee vain koneen varastoa. Tuo asiakasvarmenne yksityisen avaimensa kanssa tietokoneen tiliin; omaan käyttäjätiliin tallennettu varmenne näkyy hallintakonsolissa eikä koskaan saavuta IKEv2-palvelua. EAP-TLS on ainoa tapaus, jossa käyttäjävarmenne on käyttökelpoinen, ja allekirjoittava CA on silti koneen luotettava. Virhe näkyy todennusvirheenä, ei puuttuvan varmenteen pyyntönä.

Kun reititin jää sellaiseksi kuin se on

Reititin, joka puhuu vain XAUTH PSK:ta, jättää kolme tietä: valmistajan asiakasohjelma, kolmannen osapuolen asiakasohjelma, joka yhä toteuttaa profiilin, tai tunnelin päätepisteen siirtäminen johonkin, mikä puhuu IKEv2:ta. AVM julkaisee esimerkiksi Windows-asiakasohjelmiston ja vietyyn määritystiedoston reitittimilleen. Tätä tietä tuetaan, ja se tarkoittaa valmistajan työkalun asentamista jokaiseen kannettavaan.

Tuki merkitsee enemmän kuin tyylikkyys, kun kannettavat eivät ole sinun rakennettaviksi uudelleen.

Punnitse myös turvallisuuden hinta. Yksi ryhmäsalaisuus kattaa kaikki käyttäjät, joten kuka tahansa sen haltija voi esiintyä palvelimena ja siepata käyttäjänimen ja salasanan, jotka asiakasohjelma tarjoaa. Missä IKEv2 varmenteilla on saatavilla, se siirtymä on arvokkaampi kuin mikään asiakaspuolen kiertotie.

Diagnosoi ulkoa sisään

Hanki ensin yksi toimiva istunto puhelimesta, jotta palvelinpuoli on todistettu ennen kuin kannettava tulee kuvaan. Tuo sitten reitittimen viety profiili muuttamattomana ja lue asiakasohjelman lokia reitittimen tilasivun sijaan. Jos loki ei näytä yhtään lähtevää ehdotusta, kannettava ei koskaan saavuttanut vastaajaa. Jos ehdotuksia vaihdetaan ja sitten epäonnistutaan, erimielisyys koskee algoritmeja, identiteettiä tai tunnuksia.

Pidä toimiva puhelinprofiili kontrollina. Kun laiteohjelmistopäivityksen jälkeen hajoaa vain kannettava, palvelinpuoli käyttäytyy kuten ennen. Kun molemmat hajoavat, katso varmennetta tai kuuntelijaa ennen kuin kosket yhtään asiakasohjelmaa.