Windowsin VPN vai Cisco Secure Client: kumpi pitää paikkansa?
Brändi ei nimeä protokollaa: Windows tarjoaa useita natiiveja tyyppejä ja Cisco-asiakasohjelma kuljettaa profiileja useammalle kuin yhdelle tilalle. Lue profiili.
Samalle yhdyskäytävälle saapuu kaksi ohjetta: yhdistä Windowsin VPN:llä tai asenna Cisco-asiakasohjelma. Kumpikaan ei nimeä vaihtoa, jota yhdyskäytävä odottaa, koska Windows tarjoaa useita natiiveja yhteystyyppejä ja toimittajan asiakasohjelma kuljettaa profiileja useammalle kuin yhdelle tilalle. Molemmat tunnisteet kuvaavat ohjelmistoa, kun taas yhdyskäytävä neuvottelee protokollasta, todennuksesta ja käytännöstä. Vastaus on profiilissa, ja sen voi lukea yhdistämättä.
Tunniste nimeää ohjelmiston, ei vaihtoa
Brändi ja käyttöjärjestelmä ovat kaksi eri tosiasiaa, eikä kumpikaan valitse johdinmuotoa. Windows toimittaa joukon natiiveja tyyppejä, ja Cisco-asiakasohjelma toimittaa profiilimoottorin, joka voi ohjata SSL:ää tai IPsec/IKEv2:ta. Molempien sekoittaminen tuottaa kaavioita, jotka vertailevat yrityksiä vaihtojen sijaan.
Alla oleva taulukko korvaa tuotekysymyksen kolmella lukupaikalla ja kentällä, jonka kukin niistä pitää sisällään. Kirjaa ne kentät, ja epäselvyys katoaa:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsoftin viite Windowsin VPN-tyypeistä luettelee natiivien tyyppien joukossa IKEv2:n ja SSTP:n, mikä kumoaa ajatuksen, että natiiviprofiili tarkoittaa PPTP:tä. Ciscon profiilidokumentaatio kuvaa sekä SSL- että IPsec/IKEv2-tilan vastaavalla päätepisteen käytännöllä. Jokainen toimittaja tarjoaa useita vaihtoehtoja, joten mikään nimi ei yksilöi yhtä protokollaa.
Mitä natiivit tyypit lähettävät johtimelle
IKEv2 neuvottelee tietoturvayhteydet UDP:n yli ja kuljettaa liikennettä IPsecin sisällä, mikä tekee siitä tasavertaisen muiden IKEv2-toteutusten kanssa eikä Microsoftille ominaisen suunnittelun. SSTP käärii PPP:n HTTPS-istunnon sisään, joten se läpäisee välityspalvelimet, joista IKEv2 ei pääse, ja näyttää johtimella TLS:ltä olematta TLS-VPN-protokolla. Nämä kaksi tosiasiaa selittävät suurimman osan tiketistä, joka kertoo tunnelin toimivan yhdessä verkossa ja epäonnistuvan toisessa.
L2TP IPsecin kanssa ja vanhempi PPTP-merkintä ovat samassa avattavassa valikossa, eikä niiden läsnäolo siellä kerro mitään palvelimen tuesta. Avattava valikko on luettelo siitä, mitä käyttöjärjestelmä voi yrittää, ei yhdyskäytävän kyvykkyysilmoitus. Sen lukeminen tukiluettelona on se, miten kahden tunnin tunnusten metsästys alkaa.
Natiiviprofiilissa merkitykselliset kentät ovat yhteystyyppi, todennusmenetelmä ja palvelimen identiteetti. Väärä tyyppi epäonnistuu eri vaiheessa kuin huono salasana, ja juuri se ero on seuraamisen arvoinen johtolanka.
Mitä toimittajan asiakasohjelma lisää: profiileja, ei protokollaa
Cisco-asiakasohjelma on profiilien säiliö. SSL-tila ja IPsec/IKEv2-tila eroavat vaihdossa, porttiodotuksissa ja virhetekstissä, ja tuotu profiili valitsee niiden välillä. Asiakasohjelman asentaminen ei siis todista mitään tavoitettavuudesta.
Versiot paritetaan syystä. Ominaisuudet, todennusvirrat ja tilantarkistukset neuvotellaan asiakasohjelman ja päätepisteen välillä, joten vanha asiakasohjelma uutta päätepistettä vastaan voi epäonnistua tavalla, joka luetaan verkkohäiriöksi. Se paritus kuuluu yhteysmääritelmään, ei päivitysmuistioon.
Toisesta organisaatiosta viety profiili sopii harvoin paikalliseen päätepisteeseen, ja sen tuonti voi jättää asiakasohjelman tarjoamaan tilaa, jota yhdyskäytävä ei palvele. Lue ensin tila profiilista ja vertaa sitä sitten yhdyskäytävän määritettyyn protokollaan ja todennuskäytäntöön. Vasta kun ne täsmäävät, verkosta tulee epäilty. Tämä järjestys säästää pakettikaappauksen, joka olisi näyttänyt terveen TLS-istunnon osoittavan väärään palveluun.
Lue paikallinen profiili ennen kuin muutat mitään
Windowsissa natiivin kokoonpanon voi lukea valitsematta, ja tuloste nimeää tyypin ja todennusmenetelmän suoraan. Vertaa näitä arvoja siihen, mitä yhdyskäytävän omistaja sanoo päätepisteen hyväksyvän. Jos tyyppi poikkeaa tiketistä, korjaa ensin tiketti, koska se on halvempaa kuin asentaa uudelleen asiakasohjelma, joka ei koskaan ollut väärässä.
Nämä neljä komentoa kattavat profiilin, sen reitit, yhteysyrityksen ja portin tavoitettavuuden. Aja ne tässä järjestyksessä koneella, johon profiili on jo asennettu:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Porttitesti on se, jota luetaan liikaa. TCP 443 -kuuntelija, joka tarjoilee kirjautumissivua, ja toinen, joka lopettaa IKEv2:n, näyttävät ulkoa samoilta, koska portti on paikka eikä protokolla.
Kirjoita tulos kolmena kenttänä, asiakasohjelma, tila ja yhdyskäytävä, ja pidä ne tiketin vieressä. Mikä tahansa lyhyempi jättää seuraavan ihmisen löytämään saman epäselvyyden uudelleen.