Неліктен Android үйдегі IPsec VPN-ге қосылады, ал Windows қосылмайды

Телефон маршрутизатордың VPN-іне шағымсыз кіреді, ал сол Wi-Fi-дегі ноутбук кіре алмайды. Бірдей тіркелу деректері, бірдей сервер, бірдей минут. Айырмашылық протоколды қолдауда, құпия сөзде емес: маршрутизатор бір операциялық жүйе жүзеге асырған, екіншісі ешқашан болмаған профильді ұсынады.

Алдымен профильді анықтаңыз, содан кейін оны әр клиент шын мәнінде сөйлейтін нәрсемен салыстырыңыз.

Бір мәзір, үш протокол

Бір IPsec тақырыбының астында тұтынушылық firmware үш мүлде басқа туннельді жасыра алады. Біріншісі — XAUTH бар IKEv1: ортақ топтық құпия, оның үстінде пайдаланушы аты мен құпия сөз. Екіншісі — L2TP/IPsec, мұнда PPP ортақ кілтпен қорғалған IPsec тасымалының ішінде жүреді. Үшіншісі — IKEv2, сертификаттармен немесе EAP-пен аутентификацияланады.

Өрістерді оқыңыз, белгіні емес. Топтық құпия мен пайдаланушылар тізімі IKEv1 XAUTH дегенді білдіреді. Алдын ала бөлінген кілт пен PPP тіркелгісі L2TP/IPsec дегенді білдіреді. Топтық құпиясыз сервер сертификаты IKEv2 дегенді білдіреді.

Телефон мен ноутбук арасындағы қолдау алшақтығы

Android-те IKEv1 XAUTH PSK клиенті кіріктірілген, сондықтан телефон басқа ештеңе ұсынбайтын маршрутизаторға қарсы сәтті болады. Windows-та жоқ: оның жергілікті клиенті L2TP/IPsec пен IKEv2-ні қолдайды, ал қосуға IKEv1 XAUTH опциясы жоқ. Құпияны қайта енгізу көмектеспейді, өйткені жетіспейтін бөлік — протокол, тіркелу деректері емес.

Apple жағы — қозғалмалы нысана. Жаңа macOS және iOS шығарылымдары IKEv2-ге бейім, ескі Cisco стиліндегі профильдер кейбір құрылымдарда сақталады, ал жаңарту өткен айда жұмыс істегенді алып тастауы немесе қатаңдатуы мүмкін. Кеше қосылып, бүгін қосылмайтын Mac, маршрутизатор өзгермей, әдетте осы.

Дұрыс профильді бұзатын екі параметр

Synology-дің L2TP/IPsec беті Enable SHA2-256 compatible mode (96 bit) деп аталатын құсбелгіні ұсынады. iOS 14 және macOS Big Sur-дан бастап Apple клиенттері бұл қысқартылған режимді қабылдамайды, сондықтан олар үшін құсбелгі өшірулі болуы керек. Қосулы қалса, туннель аутентификациядан өтіп, содан кейін құлайды, бұл нашар деректер сияқты көрінеді, бірақ олай емес. Өндіруші ажыратқышты құжаттайды, ал операциялық жүйені жаңарту — бұл маңызды бола бастайтын сәт.

Windows сертификаттарды екі бөлек қоймада ұстайды, ал IKEv2 тек машинанікін оқиды. Клиент сертификатын жеке кілтімен компьютер тіркелгісіне импорттаңыз; өз пайдаланушы тіркелгіңіздің астында тұрған сертификат басқару консолінде көрінеді, бірақ IKEv2 қызметіне ешқашан жетпейді. EAP-TLS — пайдаланушы сертификаты пайдалы болатын жалғыз жағдай, ал қол қоюшы CA машина үшін сенімді болуы керек. Мұнда қателесу аутентификация сәтсіздігі ретінде көрінеді, жоқ сертификат сұрауы ретінде емес.

Маршрутизатор сол күйінде қалғанда

Тек XAUTH PSK сөйлейтін маршрутизатор үш жол қалдырады: өндірушінің клиенті, профильді әлі жүзеге асыратын үшінші тарап клиенті, немесе туннельдің соңғы нүктесін IKEv2 сөйлейтін нәрсеге көшіру. Мысалы, AVM өз маршрутизаторлары үшін Windows клиент бағдарламасын және экспортталған конфигурация файлын жариялайды. Бұл жол қолдаулы және әр ноутбукке өндіруші құралын орнатуды білдіреді.

Ноутбуктер сіздікі болмаса, қолдау сұлулықтан маңыздырақ.

Қауіпсіздік құнын да өлшеңіз. Бір топтық құпия барлық пайдаланушыны қамтиды, сондықтан оны ұстаған кез келген адам сервердің орнына тұрып, клиент ұсынған пайдаланушы аты мен құпия сөзді ұстап ала алады. IKEv2 сертификаттармен қолжетімді жерде бұл көшу кез келген клиенттік айналып өтуден қымбат.

Сырттан ішке қарай диагностика

Алдымен телефоннан бір жұмыс сессиясын алыңыз, ноутбук пайда болмай тұрып сервер жағы дәлелденсін. Содан кейін маршрутизатордың экспортталған профилін өзгеріссіз импорттап, маршрутизатордың күй бетінің орнына клиент журналын оқыңыз. Егер журнал ешбір шығыс ұсынысты көрсетпесе, ноутбук жауап берушіге ешқашан жетпеген. Ұсыныстар алмасып, содан кейін сәтсіз болса, келіспеушілік алгоритмдер, сәйкестік немесе деректер туралы.

Жұмыс істеп тұрған телефон профилін бақылау ретінде ұстаңыз. Микробағдарлама жаңартылғаннан кейін тек ноутбук бұзылса, сервер жағы бұрынғыша әрекет етеді. Екеуі де бұзылса, кез келген клиентке тимес бұрын сертификатқа немесе тыңдаушыға қараңыз.