Windows VPN, թե Cisco Secure Client. ո՞րն է ճիշտը
Ապրանքանիշը պրոտոկոլի անուն չէ. Windows-ը տրամադրում է մի քանի բնիկ տեսակ, իսկ Cisco-ի հաճախորդը կրում է պրոֆիլներ մեկից ավելի ռեժիմի համար։ Կարդացե՛ք պրոֆիլը։
Նույն դարպասի համար գալիս է երկու հրահանգ՝ միացե՛ք Windows VPN-ով կամ տեղադրե՛ք Cisco-ի հաճախորդը։ Ոչ մեկը չի անվանում այն փոխանակումը, որը սպասում է դարպասը, որովհետև Windows-ը ցուցադրում է մի քանի բնիկ կապի տեսակ, և մատակարարի հաճախորդը կրում է պրոֆիլներ մեկից ավելի ռեժիմի համար։ Երկու պիտակներն էլ նկարագրում են ծրագրային ապահովում, մինչ դարպասը բանակցում է պրոտոկոլի, նույնականացման և քաղաքականության շուրջ։ Պատասխանը պրոֆիլում է, և այն կարելի է կարդալ առանց միանալու։
Պիտակը անվանում է ծրագրային ապահովում, ոչ փոխանակում
Ապրանքանիշը և օպերացիոն համակարգը երկու տարբեր փաստեր են, և ոչ մեկը չի ընտրում մետաղալարի ձևաչափ։ Windows-ը տրամադրում է բնիկ տեսակների հավաքածու, իսկ Cisco-ի հաճախորդը տրամադրում է պրոֆիլի մեխանիզմ, որը կարող է վարել SSL կամ IPsec/IKEv2։ Երկուսը շփոթելը ստեղծում է աղյուսակներ, որոնք համեմատում են ընկերություններ, ոչ փոխանակումներ։
Ստորև բերված աղյուսակը արտադրանքի հարցը փոխարինում է ընթերցման երեք տեղով և յուրաքանչյուրում պահվող դաշտով։ Գրանցե՛ք այդ դաշտերը, և երկիմաստությունը կվերանա.
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsoft-ի Windows VPN տեսակների տեղեկագիրը թվարկում է IKEv2-ը և SSTP-ն բնիկ տեսակների շարքում, ինչը վերացնում է այն միտքը, թե բնիկ պրոֆիլը նշանակում է PPTP։ Cisco-ի պրոֆիլային փաստաթղթերը նկարագրում են և՛ SSL, և՛ IPsec/IKEv2 ռեժիմը՝ համապատասխան կենտրոնական հանգույցի քաղաքականությամբ։ Յուրաքանչյուր մատակարար առաջարկում է մի քանի տարբերակ, ուստի ոչ մի անուն չի նույնականացնում մեկ պրոտոկոլ։
Ինչ են դնում բնիկ տեսակները մետաղալարի վրա
IKEv2-ը UDP-ի վրայով բանակցում է անվտանգության ասոցիացիաներ և տեղափոխում երթևեկությունը IPsec-ի ներսում, ինչը այն դարձնում է հավասար այլ IKEv2 իրականացումների հետ, այլ ոչ Microsoft-ին հատուկ ձևավորում։ SSTP-ն փաթաթում է PPP-ն HTTPS սեսիայի մեջ, ուստի այն անցնում է այն պրոքսիներով, որոնցով IKEv2-ը չի կարող, և մետաղալարի վրա երևում է որպես TLS՝ չլինելով TLS VPN պրոտոկոլ։ Այս երկու փաստերը բացատրում են այն տոմսի մեծ մասը, որը հաղորդում է, թե թունելը աշխատում է մի ցանցում և ձախողվում է մյուսում։
L2TP-ն IPsec-ով և ավելի հին PPTP մուտքը գտնվում են նույն իջնող ցանկում, և նրանց ներկայությունը այնտեղ ոչինչ չի ասում սերվերի աջակցության մասին։ Իջնող ցանկը մենյու է այն բանի, ինչ օպերացիոն համակարգը կարող է փորձել, ոչ թե դարպասի հնարավորությունների հայտարարություն։ Այն որպես աջակցության ցանկ կարդալը երկու ժամ տևող հավատարմագրերի որսի սկիզբն է։
Բնիկ պրոֆիլում կարևոր դաշտերն են կապի տեսակը, նույնականացման եղանակը և սերվերի ինքնությունը։ Սխալ տեսակը ձախողվում է այլ փուլում, քան վատ գաղտնաբառը, և հենց այդ տարբերությունն է հետևելու արժանի հուշումը։
Ինչ է ավելացնում մատակարարի հաճախորդը՝ պրոֆիլներ, ոչ պրոտոկոլ
Cisco-ի հաճախորդը պրոֆիլների տարա է։ SSL ռեժիմը և IPsec/IKEv2 ռեժիմը տարբերվում են փոխանակմամբ, պորտի սպասումներով և սխալի տեքստով, և ներմուծված պրոֆիլը ընտրում է նրանց միջև։ Ուստի հաճախորդի տեղադրումը ոչինչ չի ապացուցում հասանելիության մասին։
Տարբերակները զույգվում են ինչ-որ պատճառով։ Հատկությունները, նույնականացման հոսքերը և վիճակի ստուգումները բանակցվում են հաճախորդի և կենտրոնական հանգույցի միջև, ուստի հին հաճախորդը նոր հանգույցի դեմ կարող է ձախողվել այնպես, որ ընթերցվի որպես ցանցի խափանում։ Այդ զույգումը պատկանում է կապի սահմանմանը, ոչ թե թարմացման նշումին։
Այլ կազմակերպությունից արտահանված պրոֆիլը հազվադեպ է համապատասխանում տեղական կենտրոնական հանգույցին, և դրա ներմուծումը կարող է հաճախորդին թողնել առաջարկել ռեժիմ, որը դարպասը չի սպասարկում։ Նախ կարդացե՛ք ռեժիմը պրոֆիլից, ապա համեմատե՛ք այն դարպասի կարգավորված պրոտոկոլի և նույնականացման քաղաքականության հետ։ Միայն դրանց համընկնելուց հետո է ցանցը դառնում կասկածելի։ Այդ կարգը խնայում է փաթեթների գրառում, որը կցուցադրեր առողջ TLS սեսիա՝ ուղղված սխալ ծառայությանը։
Կարդացե՛ք տեղական պրոֆիլը նախքան ինչ-որ բան փոխելը
Windows-ում բնիկ կարգավորումը կարելի է կարդալ առանց հավաքելու, և ելքը ուղղակիորեն անվանում է տեսակը և նույնականացման եղանակը։ Համեմատե՛ք այդ արժեքները դարպասի տիրոջ ասածի հետ, թե ինչ է ընդունում հանգույցը։ Եթե տեսակը չի համընկնում տոմսի հետ, նախ ուղղե՛ք տոմսը, որովհետև դա ավելի էժան է, քան վերատեղադրել հաճախորդ, որը երբեք սխալ չի եղել։
Այս չորս հրամանները ծածկում են պրոֆիլը, դրա երթուղիները, միացման փորձը և պորտի հասանելիությունը։ Գործարկե՛ք դրանք այդ հերթականությամբ մի մեքենայի վրա, որտեղ պրոֆիլն արդեն տեղադրված է.
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Պորտի փորձարկումն այն է, որը չափից շատ են կարդում։ TCP 443 լսողը, որը մատուցում է մուտքի էջ, և մեկը, որը ավարտում է IKEv2-ը, դրսից նույն տեսքն ունեն, որովհետև պորտը տեղ է, ոչ պրոտոկոլ։
Արդյունքը գրե՛ք որպես երեք դաշտ՝ հաճախորդ, ռեժիմ և դարպաս, և պահե՛ք դրանք տոմսի կողքին։ Ավելի կարճ ամեն ինչ թողնում է հաջորդ մարդուն նորից բացահայտել նույն երկիմաստությունը։