VPN í Windows gegn Cisco Secure Client: hvor er rétt?
Vörumerki nefnir ekki samskiptareglur: Windows býður upp á nokkrar innbyggðar gerðir og Cisco-viðskiptavinurinn ber snið fyrir fleiri en einn ham. Lestu sniðið.
Fyrir sama gáttina berast tvær leiðbeiningar: tengstu með VPN í Windows eða settu upp Cisco-viðskiptavininn. Hvorug nefnir þá skiptingu sem gáttin býst við, því Windows sýnir nokkrar innbyggðar tegundir tenginga og viðskiptavinur framleiðandans ber snið fyrir fleiri en einn ham. Bæði merkin lýsa hugbúnaði, á meðan gáttin semur um samskiptareglur, auðkenningu og stefnu. Svarið er í sniðinu, og það er hægt að lesa án þess að tengjast.
Merkið nefnir hugbúnað, ekki skiptingu
Vörumerki og stýrikerfi eru tvær ólíkar staðreyndir, og hvorugt þeirra velur vírform. Windows sendir frá sér mengi innbyggðra tegunda, og Cisco-viðskiptavinurinn sendir frá sér sniðvél sem getur knúið SSL eða IPsec/IKEv2. Að rugla þeim saman framleiðir töflur sem bera saman fyrirtæki í stað skiptinga.
Taflan hér að neðan kemur í stað vöruspurningarinnar með þremur lestrarstöðum og reitnum sem hver þeirra geymir. Skráðu þá reiti, og óskýrleikinn hverfur:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Tilvísun Microsoft um VPN-gerðir í Windows telur IKEv2 og SSTP meðal innbyggðra tegunda, sem afléttir hugmyndinni um að innbyggt snið þýði PPTP. Sniðskjöl Cisco lýsa bæði SSL-ham og IPsec/IKEv2-ham með samsvarandi stefnu höfuðstöðvarinnar. Hver framleiðandi býður nokkra valkosti, svo ekkert nafn greinir eina samskiptareglu.
Hvað innbyggðu tegundirnar setja á vírinn
IKEv2 semur um öryggissamtök yfir UDP og flytur umferð inni í IPsec, sem gerir það jafnsett öðrum IKEv2-útfærslum og ekki sérstakri hönnun Microsoft. SSTP vefur PPP inni í HTTPS-lotu, svo það fer í gegnum milliþjóna sem IKEv2 getur ekki og lítur út eins og TLS á vírnum án þess að vera TLS-VPN-samskiptaregla. Þessar tvær staðreyndir útskýra mestan hluta miða sem segir að göngin virki á einu neti og mistakist á öðru.
L2TP með IPsec og eldri PPTP-færslan eru í sama fellilistanum, og nærvera þeirra þar segir ekkert um stuðning þjónsins. Fellilisti er valmynd yfir það sem stýrikerfið getur reynt, ekki getuyfirlýsing frá gáttinni. Að lesa hann sem stuðningslista er hvernig tveggja klukkustunda leit að skilríkjum hefst.
Reitirnir sem skipta máli í innbyggðu sniði eru tegund tengingar, auðkenningaraðferð og auðkenni þjónsins. Röng tegund mistekst á öðru stigi en slæmt lykilorð, og sá munur er vísbendingin sem er þess virði að fylgja.
Hvað viðskiptavinur framleiðanda bætir við: snið, ekki samskiptareglur
Cisco-viðskiptavinurinn er ílát fyrir snið. SSL-hamur og IPsec/IKEv2-hamur eru ólíkir í skiptingu, væntingum um port og villutexta, og innflutta sniðið velur á milli þeirra. Að setja upp viðskiptavininn sannar því ekkert um aðgengi.
Útgáfur eru paraðar af ástæðu. Eiginleikar, auðkenningarflæði og stöðuprófanir eru samdar milli viðskiptavinar og höfuðstöðvar, svo gamall viðskiptavinur gegn nýrri höfuðstöð getur mistekist á þann hátt að lesa má sem netbilun. Þessi pörun á heima í skilgreiningu tengingarinnar, ekki í uppfærslunótu.
Snið sem flutt er út frá annarri stofnun passar sjaldan við hina staðbundnu höfuðstöð, og innflutningur þess getur látið viðskiptavininn bjóða ham sem gáttin þjónar ekki. Lestu fyrst haminn úr sniðinu og berðu hann svo saman við stilltar samskiptareglur og auðkenningarstefnu gáttarinnar. Aðeins þegar þau stemma verður netið grunsamt. Sú röð sparar pakkaskráningu sem hefði sýnt heilbrigða TLS-lotu beint að röngu þjónustunni.
Lestu staðbundið snið áður en þú breytir einhverju
Í Windows er hægt að lesa innbyggðu stillinguna án þess að hringja, og úttakið nefnir tegundina og auðkenningaraðferðina beint. Berðu þessi gildi saman við það sem eigandi gáttarinnar segir að höfuðstöðin samþykki. Ef tegundin stangast á við miðann skaltu laga miðann fyrst, því það er ódýrara en að setja upp aftur viðskiptavin sem var aldrei rangur.
Þessar fjórar skipanir ná yfir sniðið, leiðir þess, tengitilraunina og aðgengi portsins. Keyrðu þær í þeirri röð á vél þar sem sniðið er þegar uppsett:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Portprófið er það sem er oflesið. TCP 443 hlustandi sem þjónar innskráningarsíðu og sá sem endar IKEv2 líta eins út að utan, því portið er staður en ekki samskiptaregla.
Skrifaðu niðurstöðuna sem þrjá reiti, viðskiptavin, ham og gátt, og hafðu þá við hlið miðans. Allt styttra lætur næstu manneskju enduruppgötva sömu óskýrleikann.