Pourquoi Android se connecte au VPN IPsec de la maison et Windows non

Le téléphone rejoint le VPN du routeur sans broncher, alors que l’ordinateur portable sur le même Wi-Fi n’y arrive pas. Mêmes identifiants, même serveur, même minute. La différence tient à la prise en charge du protocole, pas au mot de passe : le routeur expose un profil qu’un système d’exploitation implémente et que l’autre n’a jamais eu.

Identifiez d’abord le profil, puis comparez-le à ce que chaque client parle réellement.

Un menu, trois protocoles

Sous un seul intitulé IPsec, un micrologiciel grand public peut cacher trois tunnels très différents. Le premier est IKEv1 avec XAUTH : un secret de groupe partagé, puis un nom d’utilisateur et un mot de passe par-dessus. Le second est L2TP/IPsec, où PPP circule dans un transport IPsec protégé par une clé partagée. Le troisième est IKEv2, authentifié par certificats ou EAP.

Lisez les champs, pas l’étiquette. Un secret de groupe avec une liste d’utilisateurs signifie IKEv1 XAUTH. Une clé pré-partagée avec un compte PPP signifie L2TP/IPsec. Un certificat de serveur sans secret de groupe signifie IKEv2.

L’écart de prise en charge entre téléphone et portable

Android embarque un client IKEv1 XAUTH PSK, et c’est précisément pourquoi le téléphone réussit face à un routeur qui n’offre rien d’autre. Windows non : son client natif gère L2TP/IPsec et IKEv2, et aucune option IKEv1 XAUTH n’est activable. Ressaisir le secret n’aide pas, car la pièce manquante est le protocole, pas l’identifiant.

Le côté Apple est une cible mouvante. Les versions récentes de macOS et d’iOS vont vers IKEv2, d’anciens profils de style Cisco survivent dans certaines compilations, et une mise à jour peut retirer ou durcir ce qui marchait le mois dernier. Un Mac qui se connectait hier et plus aujourd’hui, sans changement sur le routeur, correspond généralement à cela.

Deux réglages qui cassent des profils par ailleurs corrects

La page L2TP/IPsec de Synology propose une case nommée Enable SHA2-256 compatible mode (96 bit). Les clients Apple depuis iOS 14 et macOS Big Sur refusent ce mode tronqué, la case doit donc être décochée pour eux. Si elle reste cochée, le tunnel s’authentifie puis tombe, ce qui ressemble à de mauvais identifiants sans l’être. Le constructeur documente le commutateur, et une mise à jour du système est le moment habituel où cela commence à compter.

Windows conserve les certificats dans deux magasins distincts, et IKEv2 ne lit que celui de la machine. Importez le certificat client avec sa clé privée dans le compte ordinateur ; un certificat rangé sous votre compte utilisateur apparaît dans la console de gestion et n’atteint jamais le service IKEv2. EAP-TLS est le seul cas où un certificat utilisateur est exploitable, et l’autorité signataire doit tout de même être approuvée par la machine. Se tromper ici se voit comme un échec d’authentification, non comme une demande de certificat absent.

Quand le routeur reste tel quel

Un routeur qui ne parle que XAUTH PSK laisse trois voies : le client du constructeur, un client tiers qui implémente encore le profil, ou déplacer l’extrémité du tunnel vers quelque chose qui parle IKEv2. AVM publie par exemple un logiciel client Windows et un fichier de configuration exporté pour ses routeurs. Cette voie est prise en charge, et elle impose d’installer un outil du constructeur sur chaque portable.

Le support compte plus que l’élégance quand les portables ne sont pas à vous pour être reconstruits.

Pesez aussi le coût de sécurité. Un seul secret de groupe couvre tous les utilisateurs, donc quiconque le détient peut se faire passer pour le serveur et capturer le nom d’utilisateur et le mot de passe offerts par le client. Là où IKEv2 avec certificats est disponible, cette migration vaut plus que n’importe quel contournement côté client.

Diagnostiquez de l’extérieur vers l’intérieur

Obtenez d’abord une session fonctionnelle depuis le téléphone, pour que le côté serveur soit prouvé avant que le portable entre en scène. Importez ensuite le profil exporté du routeur sans modification et lisez le journal du client plutôt que la page d’état du routeur. Si le journal ne montre aucune proposition sortante, le portable n’a jamais atteint le répondeur. Si les propositions s’échangent puis échouent, le désaccord porte sur les algorithmes, l’identité ou les identifiants.

Gardez le profil du téléphone qui fonctionne comme témoin. Quand seul le portable casse après une mise à jour du micrologiciel, le côté serveur se comporte comme avant. Quand les deux cassent, regardez le certificat ou l’écouteur avant de toucher à un client.