Por que Android se conecta á VPN IPsec da casa e Windows non

O teléfono únese á VPN do router sen queixarse, mentres que o portátil na mesma Wi-Fi non pode. As mesmas credenciais, o mesmo servidor, o mesmo minuto. A diferenza é o soporte de protocolo, non o contrasinal: o router expón un perfil que un sistema operativo implementa e outro nunca tivo.

Identifique primeiro o perfil e despois compárao co que cada cliente fala realmente.

Un menú, tres protocolos

Baixo un único encabezado IPsec, o firmware de consumo pode agochar tres túneles ben distintos. O primeiro é IKEv1 con XAUTH: un segredo de grupo compartido e, por riba, un nome de usuario e un contrasinal. O segundo é L2TP/IPsec, onde PPP corre dentro dun transporte IPsec protexido por unha clave compartida. O terceiro é IKEv2, autenticado con certificados ou EAP.

Lea os campos, non a etiqueta. Un segredo de grupo cunha lista de usuarios significa IKEv1 XAUTH. Unha clave precompartida cunha conta PPP significa L2TP/IPsec. Un certificado de servidor sen segredo de grupo significa IKEv2.

A fenda de soporte entre teléfono e portátil

Android leva un cliente IKEv1 XAUTH PSK integrado, e por iso o teléfono triunfa fronte a un router que non ofrece nada máis. Windows non: o seu cliente nativo manexa L2TP/IPsec e IKEv2, e non hai opción IKEv1 XAUTH que activar. Volver introducir o segredo non axuda, porque a peza que falta é o protocolo e non a credencial.

O lado de Apple é un branco móbil. As versións recentes de macOS e iOS van cara a IKEv2, algúns perfís antigos estilo Cisco sobreviven en certas compilacións, e unha actualización pode retirar ou endurecer o que funcionaba o mes pasado. Un Mac que onte conectaba e hoxe non, sen cambios no router, adoita ser isto.

Dous axustes que rompen perfís por outra parte correctos

A páxina L2TP/IPsec de Synology ofrece unha caixa chamada Enable SHA2-256 compatible mode (96 bit). Os clientes de Apple desde iOS 14 e macOS Big Sur rexeitan ese modo truncado, así que a caixa debe estar desmarcada para eles. Se queda marcada, o túnel autentica e despois cae, o que parece credenciais malas e non o é. O fabricante documenta o interruptor, e unha actualización do sistema operativo é o momento habitual en que isto comeza a importar.

Windows garda os certificados en dous almacéns separados, e IKEv2 só le o da máquina. Importe o certificado de cliente coa súa clave privada na conta de equipo; un certificado gardado na súa conta de usuario aparece na consola de administración e nunca chega ao servizo IKEv2. EAP-TLS é o único caso en que un certificado de usuario é utilizábel, e a CA asinante aínda debe ser de confianza para a máquina. Equivocarse aquí vese como un fallo de autenticación, non como unha petición de certificado ausente.

Cando o router queda como está

Un router que só fala XAUTH PSK deixa tres camiños: o cliente do fabricante, un cliente de terceiros que aínda implementa o perfil, ou mover o extremo do túnel a algo que fale IKEv2. AVM, por exemplo, publica software de cliente para Windows e un ficheiro de configuración exportado para os seus routers. Esa vía está soportada, e significa instalar unha ferramenta do fabricante en cada portátil.

O soporte importa máis que a elegancia cando os portátiles non son seus para reconstruílos.

Pese tamén o custo de seguridade. Un só segredo de grupo cobre todos os usuarios, así que quen o teña pode facerse pasar polo servidor e capturar o nome de usuario e o contrasinal que ofrece o cliente. Onde IKEv2 con certificados estea dispoñible, esa migración vale máis que calquera solución alternativa no cliente.

Diagnostique de fóra cara a dentro

Consiga primeiro unha sesión funcional desde o teléfono, para que o lado do servidor quede probado antes de que o portátil entre en escena. Despois importe o perfil exportado do router sen cambios e lea o rexistro do cliente en lugar da páxina de estado do router. Se o rexistro non mostra ningunha proposta saínte, o portátil nunca chegou ao respondedor. Se as propostas se intercambian e despois fallan, o desacordo é sobre algoritmos, identidade ou credenciais.

Manteña o perfil do teléfono que funciona como control. Cando só o portátil se rompe tras unha actualización de firmware, o lado do servidor compórtase como antes. Cando se rompen ambos, mire o certificado ou o escoitador antes de tocar calquera cliente.