VPN Windows versus Cisco Secure Client: mana yang benar?

Untuk gateway yang sama datang dua instruksi: sambungkan dengan VPN Windows, atau pasang klien Cisco. Keduanya tidak menyebut pertukaran yang diharapkan gateway, karena Windows menampilkan beberapa jenis koneksi bawaan dan klien vendor membawa profil untuk lebih dari satu mode. Kedua label menggambarkan perangkat lunak, sedangkan gateway menegosiasikan protokol, autentikasi, dan kebijakan. Jawabannya ada di profil, dan bisa dibaca tanpa menyambung.

Label menyebut perangkat lunak, bukan pertukaran

Merek dan sistem operasi adalah dua fakta berbeda, dan keduanya tidak memilih format kabel. Windows menyertakan sekumpulan jenis bawaan, dan klien Cisco menyertakan mesin profil yang dapat menjalankan SSL atau IPsec/IKEv2. Mencampur keduanya menghasilkan bagan yang membandingkan perusahaan, bukan pertukaran.

Tabel di bawah ini mengganti pertanyaan produk dengan tiga lokasi pembacaan dan bidang yang disimpan masing-masing. Catat bidang itu, dan ambiguitasnya hilang:

Referensi Microsoft tentang jenis VPN Windows mencantumkan IKEv2 dan SSTP di antara jenis bawaan, yang membatalkan gagasan bahwa profil bawaan berarti PPTP. Dokumentasi profil Cisco menjelaskan mode SSL dan mode IPsec/IKEv2 dengan kebijakan headend yang sesuai. Setiap vendor menawarkan beberapa opsi, jadi tidak ada nama yang menunjuk satu protokol.

Apa yang jenis bawaan taruh di kabel

IKEv2 menegosiasikan asosiasi keamanan melalui UDP dan membawa lalu lintas di dalam IPsec, yang menjadikannya setara dengan implementasi IKEv2 lain, bukan rancangan khusus Microsoft. SSTP membungkus PPP di dalam sesi HTTPS, jadi ia melewati proksi yang tidak bisa dilewati IKEv2 dan di kabel tampak seperti TLS tanpa menjadi protokol VPN TLS. Kedua fakta itu menjelaskan sebagian besar tiket yang melaporkan terowongan berfungsi di satu jaringan dan gagal di jaringan lain.

L2TP dengan IPsec dan entri PPTP yang lebih tua berada di menu tarik-turun yang sama, dan kehadirannya di sana tidak mengatakan apa pun tentang dukungan server. Menu tarik-turun adalah daftar apa yang bisa dicoba sistem operasi, bukan pernyataan kemampuan gateway. Membacanya sebagai daftar dukungan adalah bagaimana perburuan kredensial dua jam dimulai.

Bidang yang penting dalam profil bawaan adalah jenis koneksi, metode autentikasi, dan identitas server. Jenis yang salah gagal pada tahap berbeda daripada kata sandi buruk, dan perbedaan itulah petunjuk yang layak diikuti.

Apa yang klien vendor tambahkan: profil, bukan protokol

Klien Cisco adalah wadah untuk profil. Mode SSL dan mode IPsec/IKEv2 berbeda dalam pertukaran, ekspektasi port, dan teks kesalahan, dan profil yang diimpor memilih di antara keduanya. Memasang klien karena itu tidak membuktikan apa pun tentang keterjangkauan.

Versi dipasangkan karena suatu alasan. Fitur, alur autentikasi, dan pemeriksaan postur dinegosiasikan antara klien dan headend, jadi klien lama terhadap headend baru dapat gagal dengan cara yang terbaca seperti gangguan jaringan. Pemasangan itu termasuk dalam definisi koneksi, bukan dalam catatan peningkatan.

Profil yang diekspor dari organisasi lain jarang cocok dengan headend lokal, dan mengimpornya dapat membuat klien menawarkan mode yang tidak dilayani gateway. Baca dulu mode dari profil, lalu bandingkan dengan protokol dan kebijakan autentikasi yang dikonfigurasi pada gateway. Hanya setelah keduanya cocok jaringan menjadi tersangka. Urutan itu menghemat tangkapan paket yang akan menunjukkan sesi TLS sehat yang diarahkan ke layanan yang salah.

Baca profil lokal sebelum mengubah apa pun

Di Windows konfigurasi bawaan dapat dibaca tanpa memanggil, dan keluarannya menyebut jenis dan metode autentikasi secara langsung. Bandingkan nilai itu dengan apa yang dikatakan pemilik gateway bahwa headend menerimanya. Jika jenisnya tidak cocok dengan tiket, perbaiki dulu tiketnya, karena itu lebih murah daripada memasang ulang klien yang tidak pernah salah.

Keempat perintah ini mencakup profil, rutenya, upaya koneksi, dan keterjangkauan port. Jalankan dalam urutan itu pada mesin yang profilnya sudah terpasang:

Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443

Uji port adalah yang paling sering dibaca berlebihan. Pendengar TCP 443 yang menyajikan halaman masuk dan satu yang mengakhiri IKEv2 terlihat identik dari luar, karena port adalah lokasi, bukan protokol.

Tulis hasilnya sebagai tiga bidang, klien, mode, dan gateway, dan simpan di samping tiket. Apa pun yang lebih pendek membuat orang berikutnya menemukan kembali ambiguitas yang sama.