Windows VPN nasuprot Cisco Secure Client: što vrijedi?
Marka ne imenuje protokol: Windows isporučuje nekoliko izvornih tipova, a Cisco klijent nosi profile za više od jednog načina rada. Pročitajte profil.
Za isti pristupni prolaz dolaze dvije upute: povežite se preko Windows VPN-a ili instalirajte Cisco klijent. Nijedna ne imenuje razmjenu koju prolaz očekuje, jer Windows izlaže nekoliko izvornih tipova veze, a klijent dobavljača nosi profile za više od jednog načina rada. Obje oznake opisuju softver, dok prolaz pregovara protokol, autentifikaciju i politiku. Odgovor je u profilu i može se pročitati bez povezivanja.
Oznaka imenuje softver, ne razmjenu
Marka i operacijski sustav dvije su različite činjenice i nijedna ne bira format na žici. Windows isporučuje skup izvornih tipova, a Cisco klijent isporučuje pogon za profile koji može voditi SSL ili IPsec/IKEv2. Miješanje to dvoje daje tablice koje uspoređuju tvrtke umjesto razmjena.
Tablica u nastavku zamjenjuje pitanje o proizvodu s tri mjesta čitanja i poljem koje svako drži. Zapišite ta polja i nejasnoća nestaje:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Referenca za tipove VPN-a u Windowsu koju objavljuje Microsoft navodi IKEv2 i SSTP među izvornim tipovima, što ruši ideju da izvorni profil znači PPTP. Cisco dokumentacija o profilima opisuje i SSL i IPsec/IKEv2 način rada s odgovarajućom politikom headenda. Svaki dobavljač nudi nekoliko opcija, pa nijedno ime ne označava jedan protokol.
Što izvorni tipovi stavljaju na žicu
IKEv2 pregovara sigurnosne asocijacije preko UDP-a i nosi promet unutar IPsec-a, što ga čini ravnopravnim s drugim implementacijama IKEv2, a ne dizajnom specifičnim za Microsoft. SSTP umata PPP u HTTPS sesiju, pa prolazi kroz proxyje kroz koje IKEv2 ne može i na žici izgleda kao TLS, a da nije TLS VPN protokol. Te dvije činjenice objašnjavaju većinu tiketa koji prijavljuje da tunel radi na jednoj mreži, a pada na drugoj.
L2TP s IPsec-om i stariji unos PPTP stoje u istom padajućem izborniku, a njihova prisutnost tamo ne govori ništa o podršci poslužitelja. Padajući izbornik je izbornik onoga što operacijski sustav može pokušati, a ne izjava prolaza o sposobnostima. Čitati ga kao popis podrške jest kako počinje dvosatna potraga za vjerodajnicama.
Polja koja su važna u izvornom profilu su tip veze, metoda autentifikacije i identitet poslužitelja. Pogrešan tip pada u drugoj fazi nego lozinka, i ta razlika je trag koji vrijedi slijediti.
Što klijent dobavljača dodaje: profile, ne protokol
Cisco klijent je spremnik za profile. SSL način rada i IPsec/IKEv2 način rada razlikuju se u razmjeni, očekivanjima portova i tekstu pogreške, a uvezeni profil bira između njih. Instaliranje klijenta zato ne dokazuje ništa o dostupnosti.
Verzije su uparene s razlogom. Funkcije, tokovi autentifikacije i provjere stanja pregovaraju se između klijenta i headenda, pa stari klijent prema novom headendu može pasti na način koji se čita kao mrežni kvar. To uparivanje pripada definiciji veze, a ne napomeni o nadogradnji.
Profil izvezen iz druge organizacije rijetko se poklapa s lokalnim headendom, a njegov uvoz može ostaviti klijent da nudi način rada koji prolaz ne poslužuje. Prvo pročitajte način rada iz profila, pa ga usporedite s konfiguriranim protokolom i politikom autentifikacije prolaza. Tek kad se to složi, mreža postaje sumnjiva. Taj redoslijed štedi snimanje paketa koje bi pokazalo zdravu TLS sesiju usmjerenu na pogrešnu uslugu.
Pročitajte lokalni profil prije nego što bilo što promijenite
Na Windowsu se izvorna konfiguracija može pročitati bez biranja, a izlaz izravno imenuje tip i metodu autentifikacije. Usporedite te vrijednosti s onim što vlasnik prolaza kaže da headend prihvaća. Ako se tip ne slaže s tiketom, prvo ispravite tiket, jer je to jeftinije od ponovne instalacije klijenta koji nikada nije bio pogrešan.
Ove četiri naredbe pokrivaju profil, njegove rute, pokušaj veze i dostupnost porta. Pokrenite ih tim redoslijedom na računalu na kojem je profil već instaliran:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Test porta je onaj koji se prečita. TCP 443 slušatelj koji poslužuje stranicu za prijavu i onaj koji prekida IKEv2 izgledaju identično izvana, jer je port mjesto, a ne protokol.
Zapišite rezultat kao tri polja, klijent, način rada i prolaz, i držite ih uz tiket. Sve kraće ostavlja sljedeću osobu da ponovno otkrije istu nejasnoću.