Zašto se Android spaja na kućni IPsec VPN, a Windows ne

Telefon ulazi u routerov VPN bez prigovora, dok prijenosnik na istom Wi-Fi-ju ne može. Isti podaci za prijavu, isti poslužitelj, ista minuta. Razlika je u podršci protokola, ne u lozinci: router izlaže profil koji jedan operacijski sustav provodi, a drugi ga nikada nije imao.

Najprije prepoznajte profil, zatim ga usporedite s onim što svaki klijent stvarno govori.

Jedan izbornik, tri protokola

Pod jednim naslovom IPsec potrošački firmware može sakriti tri posve različita tunela. Prvi je IKEv1 s XAUTH-om: zajednička grupna tajna, a povrh nje korisničko ime i lozinka. Drugi je L2TP/IPsec, gdje PPP radi unutar IPsec prijenosa zaštićenog zajedničkim ključem. Treći je IKEv2, autentificiran certifikatima ili EAP-om.

Čitajte polja, ne oznaku. Grupna tajna i popis korisnika znači IKEv1 XAUTH. Unaprijed dijeljeni ključ i PPP račun znači L2TP/IPsec. Poslužiteljski certifikat bez grupne tajne znači IKEv2.

Raskorak u podršci između telefona i prijenosnika

Android ima ugrađen klijent IKEv1 XAUTH PSK, i upravo zato telefon uspijeva protiv routera koji ne nudi ništa drugo. Windows nema: njegov ugrađeni klijent podržava L2TP/IPsec i IKEv2, a opcije IKEv1 XAUTH nema. Ponovni unos tajne ne pomaže jer nedostaje protokol, a ne podatak za prijavu.

Appleova strana je pokretna meta. Novija izdanja macOS-a i iOS-a teže IKEv2, stari profili u stilu Cisco-a preživljavaju u nekim gradnjama, a nadogradnja može ukloniti ili zategnuti ono što je radilo prošlog mjeseca. Mac koji se jučer spajao, a danas ne, bez promjene na routeru, obično je upravo to.

Dvije postavke koje lome inače ispravne profile

Synologyjeva stranica L2TP/IPsec nudi okvir Enable SHA2-256 compatible mode (96 bit). Appleovi klijenti od iOS 14 i macOS Big Sur odbijaju taj skraćeni način rada, pa okvir za njih mora biti isključen. Ostane li uključen, tunel se autentificira i zatim padne, što izgleda kao loši podaci za prijavu i nije. Proizvođač dokumentira prekidač, a nadogradnja operacijskog sustava obično je trenutak kada to počinje biti važno.

Windows drži certifikate u dva odvojena spremišta, a IKEv2 čita samo strojno. Uvezite klijentski certifikat s njegovim privatnim ključem u račun računala; certifikat smješten pod vašim korisničkim računom vidljiv je u konzoli za upravljanje i nikada ne stiže do usluge IKEv2. EAP-TLS je jedini slučaj u kojem je korisnički certifikat upotrebljiv, a CA koji potpisuje ipak mora biti pouzdan stroju. Pogreška se ovdje pokazuje kao neuspjela autentifikacija, ne kao zahtjev za certifikatom koji nedostaje.

Kada router ostane kakav jest

Router koji govori samo XAUTH PSK ostavlja tri puta: proizvođačev klijent, klijent treće strane koji još provodi profil, ili premještanje krajnje točke tunela na nešto što govori IKEv2. AVM primjerice objavljuje Windows klijentski softver i izvezenu konfiguracijsku datoteku za svoje routere. Taj je put podržan i znači instaliranje proizvođačevog alata na svaki prijenosnik.

Podrška je važnija od elegancije kada prijenosnici nisu vaši da ih prepravljate.

Odvažite i cijenu sigurnosti. Jedna grupna tajna pokriva svakog korisnika, pa svatko tko ju ima može se predstaviti kao poslužitelj i uhvatiti korisničko ime i lozinku koje klijent nudi. Gdje je IKEv2 s certifikatima dostupan, ta migracija vrijedi više od bilo kojeg klijentskog zaobilaznog rješenja.

Dijagnosticirajte izvana prema unutra

Prvo uzmite jednu radnu sesiju s telefona, da serverska strana bude dokazana prije nego prijenosnik uđe u sliku. Zatim uvezite izvezeni profil routera bez izmjena i čitajte klijentski dnevnik umjesto stranice stanja routera. Ako dnevnik ne pokazuje odlaznu ponudu, prijenosnik nikada nije stigao do sugovornika. Ako se ponude razmjene i zatim ne uspiju, neslaganje je oko algoritama, identiteta ili podataka za prijavu.

Držite radni profil telefona kao kontrolu. Kada se nakon nadogradnje firmwarea pokvari samo prijenosnik, serverska strana radi kao prije. Kada se pokvare oboje, pogledajte certifikat ili slušatelja prije nego dotaknete bilo koji klijent.