VPN של Windows מול Cisco Secure Client: מה נכון?
מותג אינו שם של פרוטוקול: Windows מציע כמה סוגים מקוריים והלקוח של Cisco נושא פרופילים ליותר ממצב אחד. קראו את הפרופיל.
לאותו שער מגיעות שתי הוראות: להתחבר ב-VPN של Windows או להתקין את לקוח Cisco. אף אחת מהן אינה נוקבת בחילוף שהשער מצפה לו, מפני ש-Windows חושף כמה סוגי חיבור מקוריים והלקוח של הספק נושא פרופילים ליותר ממצב אחד. שתי התוויות מתארות תוכנה, בעוד השער מנהל משא ומתן על פרוטוקול, אימות ומדיניות. התשובה נמצאת בפרופיל, ואפשר לקרוא אותה בלי להתחבר.
התווית נוקבת בתוכנה, לא בחילוף
מותג ומערכת הפעלה הם שתי עובדות שונות, ואף אחד מהם אינו בוחר תבנית חוט. Windows מספק קבוצה של סוגים מקוריים, ולקוח Cisco מספק מנוע פרופילים שיכול להניע SSL או IPsec/IKEv2. ערבוב של השניים מייצר טבלאות שמשוות חברות במקום להשוות חילופים.
הטבלה שלהלן מחליפה את שאלת המוצר בשלושה מקומות קריאה ובשדה שכל אחד מהם מחזיק. רשמו את השדות הללו, והעמימות נעלמת:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
מסמך הייחוס של Microsoft בנושא סוגי VPN ב-Windows מפרט IKEv2 וגם SSTP בין הסוגים המקוריים, מה שמבטל את הרעיון שפרופיל מקורי פירושו PPTP. תיעוד הפרופילים של Cisco מתאר גם מצב SSL וגם מצב IPsec/IKEv2 עם מדיניות ראש ראשי מתאימה. כל ספק מציע כמה אפשרויות, ולכן אף שם אינו מזהה פרוטוקול אחד.
מה הסוגים המקוריים שמים על החוט
IKEv2 מנהל משא ומתן על אסוציאציות אבטחה מעל UDP ונושא תעבורה בתוך IPsec, מה שהופך אותו לשווה ערך למימושים אחרים של IKEv2 ולא לתכנון ייחודי של Microsoft. SSTP עוטף PPP בתוך הפעלת HTTPS, ולכן הוא חוצה פרוקסים ש-IKEv2 אינו יכול, ועל החוט הוא נראה כמו TLS בלי להיות פרוטוקול VPN מסוג TLS. שתי העובדות האלה מסבירות את רוב הכרטיס שמדווח שהמנהרה עובדת ברשת אחת ונכשלת באחרת.
L2TP עם IPsec והרשומה הוותיקה PPTP יושבים באותה רשימה נפתחת, והנוכחות שלהם שם אינה אומרת דבר על תמיכת השרת. רשימה נפתחת היא תפריט של מה שמערכת ההפעלה יכולה לנסות, לא הצהרת יכולת של השער. לקרוא אותה כרשימת תמיכה זה איך שמתחיל ציד אישורים של שעתיים.
השדות החשובים בפרופיל מקורי הם סוג החיבור, שיטת האימות וזהות השרת. הסוג השגוי נכשל בשלב שונה מסיסמה גרועה, וההבדל הזה הוא הרמז ששווה לעקוב אחריו.
מה לקוח של ספק מוסיף: פרופילים, לא פרוטוקול
לקוח Cisco הוא מכל לפרופילים. מצב SSL ומצב IPsec/IKEv2 נבדלים בחילוף, בציפיות הפורט ובטקסט השגיאה, והפרופיל המיובא בוחר ביניהם. לכן התקנת הלקוח אינה מוכיחה דבר על נגישות.
גרסאות מותאמות בזוגות מסיבה. תכונות, זרימות אימות ובדיקות מצב מנוהלות בין הלקוח לראש הראשי, ולכן לקוח ישן מול ראש חדש יכול להיכשל באופן שנקרא כתקלת רשת. ההתאמה הזו שייכת להגדרת החיבור, לא להערת שדרוג.
פרופיל שיוצא מארגון אחר מתאים לעיתים רחוקות לראש המקומי, וייבוא שלו יכול להשאיר את הלקוח מציע מצב שהשער אינו משרת. קראו תחילה את המצב מהפרופיל, ואחר כך השוו אותו לפרוטוקול ולמדיניות האימות המוגדרים בשער. רק אחרי שהם מתאימים הרשת נעשית חשודה. הסדר הזה חוסך לכידת מנות שהייתה מראה הפעלת TLS תקינה שכוונה לשירות הלא נכון.
קראו את הפרופיל המקומי לפני שתשנו משהו
ב-Windows אפשר לקרוא את התצורה המקורית בלי לחייג, והפלט נוקב ישירות בסוג ובשיטת האימות. השוו את הערכים האלה למה שבעל השער אומר שהראש הראשי מקבל. אם הסוג אינו תואם לכרטיס, תקנו קודם את הכרטיס, כי זה זול יותר מאשר להתקין מחדש לקוח שמעולם לא היה שגוי.
ארבע הפקודות האלה מכסות את הפרופיל, את המסלולים שלו, את ניסיון החיבור ואת נגישות הפורט. הריצו אותן בסדר הזה במחשב שבו הפרופיל כבר מותקן:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443בדיקת הפורט היא זו שנקראת יותר מדי. מאזין TCP 443 שמגיש דף התחברות ואחד שמסיים IKEv2 נראים זהים מבחוץ, מפני שהפורט הוא מקום ולא פרוטוקול.
כתבו את התוצאה כשלושה שדות, לקוח, מצב ושער, ושמרו אותם לצד הכרטיס. כל דבר קצר יותר משאיר לאדם הבא לגלות מחדש את אותה עמימות.