Wêrom Android ferbynt mei de thús-IPsec-VPN en Windows net

De telefoan giet sûnder kleien yn ’e VPN fan de router, wylst de laptop op itselde Wi-Fi it net kin. Deselde oanmeldgegevens, deselde tsjinner, deselde minút. It ferskil is protokolstipe, net it wachtwurd: de router toant in profyl dat it iene bestjoeringssysteem ymplemintearret en it oare nea hân hat.

Identifisearje earst it profyl, en fergelykje it dan mei wat elke klant eins sprekt.

Ien menu, trije protokollen

Under ien IPsec-kop kin konsumintefirmware trije hiel ferskillende tunnels ferbergje. De earste is IKEv1 mei XAUTH: in dield groepsgeheim en dêrboppe in brûkersnamme en in wachtwurd. De twadde is L2TP/IPsec, wêr’t PPP binnen in IPsec-transport rint dat troch in dielde kaai beskerme wurdt. De tredde is IKEv2, autentisearre mei sertifikaten of EAP.

Lês de fjilden, net it label. In groepsgeheim mei in brûkerslist betsjut IKEv1 XAUTH. In foarôf dielde kaai mei in PPP-account betsjut L2TP/IPsec. In tsjinnersertifikaat sûnder groepsgeheim betsjut IKEv2.

It stipegat tusken telefoan en laptop

Android hat in ynboude IKEv1 XAUTH PSK-klant, en dêrom slagget de telefoan by in router dy’t neat oars biedt. Windows net: syn eigen klant docht L2TP/IPsec en IKEv2, en der is gjin IKEv1 XAUTH-opsje om oan te setten. It geheim nochris ynfiere helpt net, want it ûntbrekkende stik is it protokol, net de oanmeldgegevens.

De kant fan Apple is in beweechber doel. Nijere macOS- en iOS-ferzjes geane nei IKEv2, âlde profylen yn Cisco-styl oerlibje yn guon builds, en in update kin fuorthelje of fêstsette wat ferline moanne wurke. In Mac dy’t juster ferbûn en hjoed net, sûnder feroaring oan de router, is meastentiids dit.

Twa ynstellings dy’t oars korrekte profylen brekke

De L2TP/IPsec-side fan Synology biedt in kontrôlefak mei de namme Enable SHA2-256 compatible mode (96 bit). Klanten fan Apple fan iOS 14 en macOS Big Sur ôf wegerje dy ôfkoarte modus, dus it fak moat foar harren út wêze. Bliuwt it oan, dan autentisearret de tunnel en falt dêrnei fuort, wat liket op minne gegevens en net is. De fabrikant dokumintearret de skeakel, en in bestjoeringssysteemupdate is meastentiids it momint wêrop’t dit begjint te tellen.

Windows bewarret sertifikaten yn twa aparte opslach, en IKEv2 lêst allinnich dy fan ’e masine. Ymportearje it klientsertifikaat mei syn priveekaai yn it kompjûteraccount; in sertifikaat ûnder jo eigen brûkersaccount ferskynt yn ’e beheerkonsole en berikt nea de IKEv2-tsjinst. EAP-TLS is it iennige gefal wêryn’t in brûkerssertifikaat brûkber is, en de ûndertekenjende CA moat noch altyd troch de masine fertroud wurde. Ferkeard dwaan hjir toant him as in autentikaasjeflater, net as in fraach om in ûntbrekkend sertifikaat.

As de router bliuwt sa’t er is

In router dy’t allinnich XAUTH PSK sprekt, lit trije wegen iepen: de klant fan ’e fabrikant, in klant fan in tredde partij dy’t it profyl noch ymplemintearret, of it tunnelendpunt ferpleatse nei eat dat IKEv2 sprekt. AVM publisearret bygelyks Windows-klantsoftware en in eksportearre konfiguraasjebestân foar syn routers. Dy wei wurdt stipe, en it betsjut dat jo in helpmiddel fan ’e fabrikant op elke laptop ynstallearje moatte.

Stipe telt mear as elegance as de laptops net fan jo binne om opnij te bouwen.

Weagje ek de feilichheidskosten. Ien groepsgeheim dekt elke brûker, dus wa’t it hat kin him foar de tsjinner útjaan en de brûkersnamme en it wachtwurd fange dy’t de klant oanbiedt. Wêr’t IKEv2 mei sertifikaten beskikber is, is dy migraasje mear wurdich as hokker klantomwei dan ek.

Diagnostisearje fan bûten nei binnen

Krij earst ien wurkjende sesje fan ’e telefoan, sadat de tsjinnerkant bewiisd is foar’t de laptop yn byld komt. Ymportearje dan it eksportearre profyl fan ’e router ûnferoare en lês it klantlogboek ynstee fan ’e statusside fan ’e router. As it logboek gjin útgeand foarstel toant, hat de laptop de responder nea berikt. As foarstellen útwiksele wurde en dêrnei mislearje, giet it skeel oer algoritmen, identiteit of oanmeldgegevens.

Hâld it wurkjende telefoanprofyl as kontrôle. As nei in firmware-update allinnich de laptop brekt, docht de tsjinnerkant him foar as earder. As beide brekke, sjoch dan nei it sertifikaat of de listener foar’t jo hokker klant dan ek oanreitsje.