რატომ უკავშირდება Android სახლის IPsec VPN-ს და Windows არა

ტელეფონი უპრეტენზიოდ შედის როუტერის VPN-ში, მაშინ როცა იმავე Wi-Fi-ზე მყოფი ლეპტოპი ვერ ახერხებს. იგივე მონაცემები, იგივე სერვერი, იგივე წუთი. განსხვავება პროტოკოლის მხარდაჭერაშია და არა პაროლში: როუტერი აჩვენებს პროფილს, რომელსაც ერთი ოპერაციული სისტემა ახორციელებს, მეორეს კი არასდროს ჰქონია.

ჯერ პროფილი ამოიცანით, შემდეგ შეადარეთ იმას, რასაც თითოეული კლიენტი რეალურად საუბრობს.

ერთი მენიუ, სამი პროტოკოლი

ერთი IPsec სათაურის ქვეშ სამომხმარებლო firmware-ს შეუძლია დაუმალოს სამი სრულიად განსხვავებული გვირაბი. პირველია IKEv1 XAUTH-ით: საერთო ჯგუფური საიდუმლო და მასზე მომხმარებლის სახელი და პაროლი. მეორეა L2TP/IPsec, სადაც PPP მუშაობს საერთო გასაღებით დაცული IPsec ტრანსპორტის შიგნით. მესამეა IKEv2, ავთენტიფიცირებული სერტიფიკატებით ან EAP-ით.

წაიკითხეთ ველები და არა იარლიყი. ჯგუფური საიდუმლო და მომხმარებელთა სია ნიშნავს IKEv1 XAUTH-ს. წინასწარ გაზიარებული გასაღები და PPP ანგარიში ნიშნავს L2TP/IPsec-ს. სერვერის სერტიფიკატი ჯგუფური საიდუმლოს გარეშე ნიშნავს IKEv2-ს.

მხარდაჭერის სხვაობა ტელეფონსა და ლეპტოპს შორის

Android-ს აქვს ჩაშენებული IKEv1 XAUTH PSK კლიენტი და სწორედ ამიტომ აღწევს ტელეფონი წარმატებას იმ როუტერთან, რომელიც სხვას არაფერს გვთავაზობს. Windows-ს არა: მისი მშობლიური კლიენტი უმკლავდება L2TP/IPsec-ს და IKEv2-ს, და ჩასართავი IKEv1 XAUTH პარამეტრი არ არსებობს. საიდუმლოს ხელახლა შეყვანა არ უშველის, რადგან აკლია პროტოკოლი და არა მონაცემები.

Apple-ის მხარე მოძრავი სამიზნეა. macOS-ისა და iOS-ის ახალი ვერსიები IKEv2-ისკენ მიდიან, ძველი Cisco-ს სტილის პროფილები ზოგიერთ აწყობაში რჩება, და განახლებამ შეიძლება მოხსნას ან გაამკაცროს ის, რაც გასულ თვეში მუშაობდა. Mac, რომელიც გუშინ უკავშირდებოდა და დღეს არა, როუტერის შეცვლის გარეშე, ჩვეულებრივ სწორედ ეს არის.

ორი პარამეტრი, რომელიც ამტვრევს სხვაგვარად სწორ პროფილებს

Synology-ის L2TP/IPsec გვერდი გთავაზობთ უჯრას სახელწოდებით Enable SHA2-256 compatible mode (96 bit). Apple-ის კლიენტები iOS 14-დან და macOS Big Sur-იდან იწყება უარს ამბობენ ამ შეკვეცილ რეჟიმზე, ამიტომ უჯრა მათთვის გამორთული უნდა იყოს. თუ ჩართული დარჩა, გვირაბი ავთენტიფიცირდება და შემდეგ ვარდება, რაც ცუდ მონაცემებად გამოიყურება და ასე არ არის. მწარმოებელი ამ გადამრთველს აღწერს დოკუმენტაციაში, და ოპერაციული სისტემის განახლება ჩვეულებრივ ის მომენტია, როცა ეს მნიშვნელოვანი ხდება.

Windows სერტიფიკატებს ორ ცალკე საცავში ინახავს და IKEv2 მხოლოდ მანქანისას კითხულობს. შეიტანეთ კლიენტის სერტიფიკატი მისი პირადი გასაღებით კომპიუტერის ანგარიშში; თქვენი მომხმარებლის ანგარიშქვეშ მოთავსებული სერტიფიკატი მართვის კონსოლში ჩანს და IKEv2 სერვისამდე არასდროს აღწევს. EAP-TLS ერთადერთი შემთხვევაა, როცა მომხმარებლის სერტიფიკატი გამოსადეგია, და ხელმომწერი CA მაინც უნდა იყოს მანქანისთვის სანდო. ამის შეცდომით გაკეთება ავთენტიფიკაციის წარუმატებლობად ჩანს და არა დაკარგული სერტიფიკატის მოთხოვნად.

როცა როუტერი ისე რჩება, როგორც არის

როუტერი, რომელიც მხოლოდ XAUTH PSK-ს საუბრობს, ტოვებს სამ გზას: მწარმოებლის კლიენტი, მესამე მხარის კლიენტი, რომელიც ჯერ კიდევ ახორციელებს პროფილს, ან გვირაბის ბოლო წერტილის გადატანა იმაზე, რაც IKEv2-ს საუბრობს. მაგალითად, AVM აქვეყნებს Windows-ის კლიენტ პროგრამას და ექსპორტირებულ კონფიგურაციის ფაილს თავის როუტერებზე. ეს გზა მხარდაჭერილია და ნიშნავს მწარმოებლის ხელსაწყოს დაყენებას ყველა ლეპტოპზე.

მხარდაჭერა უფრო მნიშვნელოვანია ვიდრე ელეგანტურობა, როცა ლეპტოპები შენი არ არის გადასაკეთებლად.

აწონე უსაფრთხოების ფასიც. ერთი ჯგუფური საიდუმლო ფარავს ყველა მომხმარებელს, ამიტომ ვისაც ის აქვს, შეუძლია სერვერის ადგილი დაიკავოს და ჩაიგდოს მომხმარებლის სახელი და პაროლი, რომელსაც კლიენტი გვთავაზობს. სადაც IKEv2 სერტიფიკატებით ხელმისაწვდომია, ეს მიგრაცია უფრო ღირებულია, ვიდრე ნებისმიერი კლიენტური გვერდის ავლა.

დიაგნოსტიკა გარედან შიგნით

ჯერ ტელეფონიდან მიიღე ერთი მუშა სესია, რომ სერვერის მხარე დადასტურდეს ლეპტოპის გამოჩენამდე. შემდეგ შემოიტანე როუტერის ექსპორტირებული პროფილი უცვლელად და წაიკითხე კლიენტის ჟურნალი როუტერის სტატუსის გვერდის ნაცვლად. თუ ჟურნალი არ აჩვენებს გამავალ შეთავაზებას, ლეპტოპი პასუხისმგებელს არასდროს მიჰყვდა. თუ შეთავაზებები გაიცვალა და შემდეგ ვერ შესრულდა, უთანხმოება ალგორითმებზე, იდენტობაზე ან მონაცემებზეა.

შეინახე მომუშავე ტელეფონის პროფილი როგორც კონტროლი. როცა firmware-ის განახლების შემდეგ მხოლოდ ლეპტოპი ფუჭდება, სერვერის მხარე წინანდებურად იქცევა. როცა ორივე ფუჭდება, შეხედე სერტიფიკატს ან მსმენელს, სანამ რომელიმე კლიენტს შეეხები.