Mengapa Android terhubung ke VPN IPsec rumah sedangkan Windows tidak

Ponsel masuk ke VPN router tanpa keluhan, sementara laptop di Wi-Fi yang sama tidak bisa. Kredensial yang sama, server yang sama, menit yang sama. Bedanya adalah dukungan protokol, bukan kata sandi: router menampilkan profil yang diterapkan satu sistem operasi dan tidak pernah dimiliki yang lain.

Kenali profilnya dulu, lalu bandingkan dengan apa yang benar-benar diucapkan setiap klien.

Satu menu, tiga protokol

Di bawah satu judul IPsec, firmware konsumen dapat menyembunyikan tiga terowongan yang sangat berbeda. Yang pertama IKEv1 dengan XAUTH: rahasia grup bersama, lalu nama pengguna dan kata sandi di atasnya. Yang kedua L2TP/IPsec, tempat PPP berjalan di dalam transport IPsec yang dilindungi kunci bersama. Yang ketiga IKEv2, diautentikasi dengan sertifikat atau EAP.

Baca kolomnya, bukan labelnya. Rahasia grup plus daftar pengguna berarti IKEv1 XAUTH. Kunci yang dibagikan sebelumnya plus akun PPP berarti L2TP/IPsec. Sertifikat server tanpa rahasia grup berarti IKEv2.

Kesenjangan dukungan antara ponsel dan laptop

Android membawa klien IKEv1 XAUTH PSK bawaan, dan itulah sebabnya ponsel berhasil terhadap router yang tidak menawarkan apa pun lagi. Windows tidak: klien bawaannya menangani L2TP/IPsec dan IKEv2, dan tidak ada opsi IKEv1 XAUTH untuk diaktifkan. Memasukkan rahasia lagi tidak membantu, karena bagian yang hilang adalah protokolnya, bukan kredensialnya.

Sisi Apple adalah sasaran yang bergerak. Rilis macOS dan iOS yang lebih baru mengarah ke IKEv2, profil lama gaya Cisco bertahan di sebagian build, dan pembaruan dapat menghapus atau memperketat apa yang berhasil bulan lalu. Mac yang terhubung kemarin dan tidak hari ini, tanpa perubahan pada router, biasanya ini.

Dua pengaturan yang merusak profil yang sebenarnya benar

Halaman L2TP/IPsec Synology menawarkan kotak centang bernama Enable SHA2-256 compatible mode (96 bit). Klien Apple sejak iOS 14 dan macOS Big Sur menolak mode terpotong itu, jadi kotaknya harus tidak dicentang untuk mereka. Jika dibiarkan aktif, terowongan terautentikasi lalu putus, yang terlihat seperti kredensial buruk padahal bukan. Produsen mendokumentasikan tombol itu, dan pembaruan sistem operasi biasanya menjadi momen ketika hal ini mulai penting.

Windows menyimpan sertifikat di dua penyimpanan terpisah, dan IKEv2 hanya membaca yang milik mesin. Impor sertifikat klien beserta kunci privatnya ke akun komputer; sertifikat yang ditaruh di akun pengguna Anda muncul di konsol manajemen dan tidak pernah mencapai layanan IKEv2. EAP-TLS adalah satu-satunya kasus di mana sertifikat pengguna dapat dipakai, dan CA penanda tangan tetap harus dipercaya oleh mesin. Kesalahan di sini tampil sebagai kegagalan autentikasi, bukan sebagai permintaan sertifikat yang hilang.

Ketika router tetap seperti apa adanya

Router yang hanya berbicara XAUTH PSK menyisakan tiga jalan: klien dari produsen, klien pihak ketiga yang masih menerapkan profil itu, atau memindahkan ujung terowongan ke sesuatu yang berbicara IKEv2. AVM misalnya menerbitkan perangkat lunak klien Windows dan file konfigurasi hasil ekspor untuk router-router mereka. Jalur itu didukung, dan artinya memasang alat produsen di setiap laptop.

Dukungan lebih penting daripada keanggunan ketika laptop-laptop itu bukan milik Anda untuk dibangun ulang.

Pertimbangkan juga biaya keamanan. Satu rahasia grup mencakup semua pengguna, jadi siapa pun yang memegangnya dapat berpura-pura menjadi server dan menangkap nama pengguna serta kata sandi yang ditawarkan klien. Di tempat IKEv2 dengan sertifikat tersedia, migrasi itu lebih bernilai daripada solusi alternatif apa pun di klien.

Diagnosis dari luar ke dalam

Dapatkan dulu satu sesi yang berhasil dari ponsel, agar sisi server terbukti sebelum laptop masuk ke gambar. Lalu impor profil hasil ekspor router tanpa perubahan dan baca log klien alih-alih halaman status router. Jika log tidak menunjukkan proposal yang keluar, laptop tidak pernah mencapai responder. Jika proposal dipertukarkan lalu gagal, perselisihannya soal algoritme, identitas, atau kredensial.

Simpan profil ponsel yang berfungsi sebagai kontrol. Ketika hanya laptop yang rusak setelah pembaruan firmware, sisi server berperilaku seperti sebelumnya. Ketika keduanya rusak, periksa sertifikat atau listener sebelum menyentuh klien mana pun.