Windows-VPN fersus Cisco Secure Client: hokker is it?
In merk neamt gjin protokol: Windows leveret ferskate eigen typen en de Cisco-klient draacht profilen foar mear as ien modus. Lês it profyl.
Foar deselde gateway komme twa ynstruksjes: ferbine mei de Windows-VPN, of de Cisco-klient ynstallearje. Gjint fan beide neamt de útwikseling dy't de gateway ferwachtet, want Windows biedt ferskate eigen ferbiningstypen en de klant fan 'e leveransier draacht profilen foar mear as ien modus. Beide labels beskriuwe software, wylst de gateway protokol, autentikaasje en belied úthannelt. It antwurd leit yn it profyl, en it kin lêzen wurde sûnder te ferbinen.
It label neamt software, gjin útwikseling
In merk en in bestjoeringssysteem binne twa ferskillende feiten, en gjin fan beide kiest in triedformaat. Windows leveret in set eigen typen, en de Cisco-klient leveret in profylmasine dy't SSL of IPsec/IKEv2 oanstjoere kin. It betiizjen fan 'e beiden leveret diagrammen dy't bedriuwen ferlykje ynstee fan útwikselings.
De tabel hjirûnder ferfangt de produktfraach troch trije lêsplakken en it fjild dat elk fan harren hâldt. Skriuw dy fjilden op, en de dûbelsinnigens ferdwynt:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
De referinsje fan Microsoft oer Windows-VPN-typen neamt IKEv2 en SSTP ûnder de eigen typen, wat it idee weinimt dat in eigen profyl PPTP betsjut. De profyldokumintaasje fan Cisco beskriuwt sawol de SSL-modus as de IPsec/IKEv2-modus mei byhearrend belied fan 'e sintrale node. Eltse leveransier biedt ferskate opsjes, dus gjin namme wiist ien protokol oan.
Wat de eigen typen op 'e tried sette
IKEv2 úthannelt feiligensassosjaasjes oer UDP en draacht ferkear binnen IPsec, wat it in gelikense makket fan oare IKEv2-ymplemintaasjes en net in Microsoft-spesifyk ûntwerp. SSTP pakt PPP yn in HTTPS-sesje, dus it giet troch proxies dy't IKEv2 net trochkomme kin en sjocht der op 'e tried út as TLS sûnder in TLS-VPN-protokol te wêzen. Dy twa feiten ferklearje it grutste part fan in ticket dat meldt dat de tunnel op it iene netwurk wurket en op it oare mislearret.
L2TP mei IPsec en de âldere PPTP-yngong sitte yn itselde útfalleljende menu, en harren oanwêzigens dêr seit neat oer stipe fan 'e server. In útfalleljend menu is in list fan wat it bestjoeringssysteem besykje kin, gjin kapasiteitsferklearring fan 'e gateway. It lêze as in stypelist is hoe't in syktocht fan twa oeren nei oanmeldgegevens begjint.
De fjilden dy't yn in eigen profyl ta saken dogge binne it ferbiningstype, de autentikaasjemetoade en de identiteit fan 'e server. It ferkearde type mislearret yn in oare faze as in min wachtwurd, en dat ferskil is it spoar dat it wurdich is te folgjen.
Wat in klant fan 'e leveransier taheakket: profilen, gjin protokol
De Cisco-klient is in kontener foar profilen. In SSL-modus en in IPsec/IKEv2-modus ferskille yn útwikseling, poartferwachtings en flatertekst, en it ymportearre profyl kiest tusken harren. It ynstallearjen fan 'e klient bewiist dêrom neat oer berikberens.
Ferzjes wurde om in reden peard. Funksjes, autentikaasjeflows en postuerkontrôles wurde tusken klant en sintrale node úthannele, dus in âlde klant tsjin in nije node kin mislearje op in manier dy't as in netwurkflater lêzen wurdt. Dy pearing heart yn 'e ferbiningsdefinysje, net yn in upgrade-notysje.
In profyl dat út in oare organisaasje eksportearre is, past selden by de pleatslike sintrale node, en it ymportearjen kin de klant in modus biede litte dy't de gateway net betsjinnet. Lês earst de modus út it profyl en fergelykje dy dan mei it konfigurearre protokol en belied foar autentikaasje fan 'e gateway. Pas as dy oerienkomme, wurdt it netwurk fertocht. Dy oarder besparret in pakketopname dy't in sûne TLS-sesje sjen litten hie dy't op 'e ferkearde tsjinst rjochte wie.
Lês it pleatslike profyl ear't jo wat feroarje
Op Windows kin de eigen konfiguraasje lêzen wurde sûnder te kiezen, en de útfier neamt it type en de autentikaasjemetoade direkt. Fergelykje dy wearden mei wat de eigner fan 'e gateway seit dat de node akseptearret. As it type fan it ticket ôfwiket, korrizjearje dan earst it ticket, want dat is goedkeaper as it opnij ynstallearjen fan in klant dy't nea ferkeard wie.
Dizze fjouwer opdrachten dekke it profyl, syn rûtes, de ferbiningstrij en de berikberens fan 'e poarte. Fier se yn dy oarder út op in masine dêr't it profyl al ynstallearre is:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443De poartetest is dejinge dy't oerlêzen wurdt. In TCP 443-harker dy't in oanmeldside tsjinnet en ien dy't IKEv2 beëiniget, sjogge der fan bûten itselde út, want de poarte is in plak en gjin protokol.
Skriuw it resultaat as trije fjilden, klant, modus en gateway, en hâld se njonken it ticket. Alles koarter lit de folgjende persoan deselde dûbelsinnigens wer ûntdekke.