Windows VPN vagy Cisco Secure Client: melyik az igaz?
Egy márkanév nem protokollnév: a Windows több beépített típust kínál, a Cisco kliens pedig egynél több módhoz tartalmaz profilokat. Olvassa el a profilt.
Ugyanahhoz az átjáróhoz két utasítás érkezik: csatlakozzon a Windows VPN-nel, vagy telepítse a Cisco klienst. Egyik sem nevezi meg azt a cserét, amelyet az átjáró vár, mert a Windows több beépített kapcsolattípust tár fel, és a szállító kliense egynél több módhoz tartalmaz profilokat. Mindkét címke szoftvert ír le, miközben az átjáró protokollról, hitelesítésről és szabályzatról tárgyal. A válasz a profilban van, és csatlakozás nélkül is olvasható.
A címke szoftvert nevez meg, nem cserét
Egy márka és egy operációs rendszer két külön tény, és egyik sem választ drótformátumot. A Windows beépített típusok készletét szállítja, a Cisco kliens pedig olyan profilmotort szállít, amely SSL-t vagy IPsec/IKEv2-t tud vezérelni. A kettő összekeverése olyan táblázatokat ad, amelyek cégeket hasonlítanak össze cserék helyett.
Az alábbi táblázat a termékkérdést három olvasási hellyel és azzal a mezővel helyettesíti, amelyet mindegyik tartalmaz. Jegyezze fel ezeket a mezőket, és a kétértelműség eltűnik:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
A Microsoft Windows VPN-típusokról szóló referenciája a beépített típusok között sorolja fel az IKEv2-t és a SSTP-t, ami elveti azt az elképzelést, hogy a beépített profil PPTP-t jelent. A Cisco profil-dokumentációja az SSL és az IPsec/IKEv2 módot is leírja a megfelelő központi csomóponti szabályzattal. Minden szállító több lehetőséget kínál, ezért egyik név sem azonosít egyetlen protokollt.
Mit tesznek a beépített típusok a drótra
Az IKEv2 biztonsági társításokat tárgyal UDP felett, és IPsec-en belül szállít forgalmat, ami egyenrangúvá teszi más IKEv2-megvalósításokkal, és nem Microsoft-specifikus tervezéssé. Az SSTP PPP-t csomagol HTTPS-munkamenetbe, ezért átjut azokon a proxykon, amelyeken az IKEv2 nem tud, és a drótón TLS-nek látszik anélkül, hogy TLS VPN-protokoll lenne. Ez a két tény magyarázza egy jegy nagy részét, amely szerint az alagút az egyik hálózaton működik, a másikon pedig meghiúsul.
Az IPsec-es L2TP és a régebbi PPTP-bejegyzés ugyanabban a legördülő menüben van, és jelenlétük ott semmit sem mond a kiszolgáló támogatásáról. A legördülő menü annak menüje, amit az operációs rendszer megpróbálhat, nem az átjáró képességnyilatkozata. Támogatási listaként olvasni kezdi el a kétórás hitelesítőadat-vadászatot.
A beépített profilban számító mezők a kapcsolattípus, a hitelesítési módszer és a kiszolgáló identitása. A rossz típus más szakaszban hiúsul meg, mint egy rossz jelszó, és ez a különbség a követésre érdemes nyom.
Mit ad hozzá a szállító kliense: profilokat, nem protokollt
A Cisco kliens profilok tárolója. Az SSL mód és az IPsec/IKEv2 mód a cserében, a portelvárásokban és a hibaüzenetben tér el, és az importált profil választ közöttük. A kliens telepítése ezért semmit sem bizonyít az elérhetőségről.
A verziók okkal vannak párosítva. A funkciók, a hitelesítési folyamatok és az állapotellenőrzések a kliens és a központi csomópont között tárgyalódnak, ezért egy régi kliens egy új csomóponttal szemben olyan módon hiúsulhat meg, amely hálózati hibaként olvasható. Ez a párosítás a kapcsolatdefinícióba tartozik, nem egy frissítési megjegyzésbe.
Egy másik szervezetből exportált profil ritkán illik a helyi központi csomóponthoz, és importálása a klienst olyan módot kínálva hagyhatja, amelyet az átjáró nem szolgál ki. Először olvassa ki a módot a profilból, majd hasonlítsa össze az átjáró beállított protokolljával és hitelesítési szabályzatával. Csak ha ezek megegyeznek, válik gyanússá a hálózat. Ez a sorrend megspórol egy csomagrögzítést, amely egészséges TLS-munkamenetet mutatott volna a rossz szolgáltatás felé.
Olvassa el a helyi profilt, mielőtt bármit megváltoztat
Windowson a beépített konfiguráció tárcsázás nélkül olvasható, és a kimenet közvetlenül megnevezi a típust és a hitelesítési módszert. Hasonlítsa össze ezeket az értékeket azzal, amit az átjáró tulajdonosa mond, hogy a csomópont elfogad. Ha a típus nem egyezik a jeggyel, először a jegyet javítsa, mert az olcsóbb, mint újratelepíteni egy klienst, amely soha nem volt hibás.
Ez a négy parancs lefedi a profilt, annak útvonalait, a kapcsolódási kísérletet és a port elérhetőségét. Futtassa őket ebben a sorrendben egy gépen, ahol a profil már telepítve van:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443A portteszt az, amelyet túl sokat olvasnak. Egy TCP 443 figyelő, amely bejelentkezési oldalt szolgál ki, és egy, amely lezárja az IKEv2-t, kívülről azonosnak látszik, mert a port hely, nem protokoll.
Írja le az eredményt három mezőként, kliens, mód és átjáró, és tartsa a jegy mellett. Bármi rövidebb a következő emberre hagyja ugyanazt a kétértelműséget újrafelfedezni.