안드로이드는 집 IPsec VPN에 연결되는데 윈도우는 왜 안 되는가

휴대폰은 불평 없이 공유기의 VPN에 들어가는데, 같은 Wi-Fi의 노트북은 들어가지 못한다. 같은 자격 증명, 같은 서버, 같은 시각이다. 차이는 비밀번호가 아니라 프로토콜 지원이다. 공유기는 한 운영체제는 구현하고 다른 운영체제는 한 번도 가진 적 없는 프로필을 노출한다.

먼저 프로필을 식별하고, 그다음 각 클라이언트가 실제로 말하는 것과 비교한다.

하나의 메뉴, 세 가지 프로토콜

하나의 IPsec 제목 아래에서 소비자용 펌웨어는 아주 다른 세 개의 터널을 숨길 수 있다. 첫째는 XAUTH를 쓰는 IKEv1이다. 공유 그룹 비밀 위에 사용자 이름과 비밀번호가 얹힌다. 둘째는 L2TP/IPsec로, PPP가 공유 키로 보호된 IPsec 전송 안에서 돈다. 셋째는 IKEv2이며 인증서나 EAP로 인증한다.

라벨이 아니라 항목을 읽어라. 그룹 비밀과 사용자 목록이면 IKEv1 XAUTH다. 미리 공유한 키와 PPP 계정이면 L2TP/IPsec이다. 그룹 비밀이 없는 서버 인증서면 IKEv2다.

휴대폰과 노트북 사이의 지원 격차

안드로이드에는 IKEv1 XAUTH PSK 클라이언트가 내장되어 있고, 그래서 휴대폰은 다른 것을 전혀 내놓지 않는 공유기에도 성공한다. 윈도우는 아니다. 기본 클라이언트는 L2TP/IPsec과 IKEv2를 다루며, 켤 수 있는 IKEv1 XAUTH 옵션이 없다. 비밀을 다시 입력해도 소용없다. 빠진 것은 자격 증명이 아니라 프로토콜이기 때문이다.

애플 쪽은 움직이는 표적이다. 최신 macOS와 iOS는 IKEv2로 기울고, 옛 시스코식 프로필은 일부 빌드에서 살아남으며, 업데이트가 지난달까지 되던 것을 없애거나 조일 수 있다. 어제는 연결되고 오늘은 안 되는 Mac이 공유기를 바꾸지 않았는데도 생긴다면 보통 이것이다.

멀쩡한 프로필을 깨는 두 가지 설정

Synology의 L2TP/IPsec 화면에는 Enable SHA2-256 compatible mode (96 bit)라는 체크 상자가 있다. iOS 14와 macOS Big Sur 이후의 애플 클라이언트는 이 잘린 모드를 거부하므로, 그들에게는 상자를 꺼야 한다. 켜 두면 터널이 인증한 뒤 끊어지는데, 이는 자격 증명이 나빠 보이지만 실제로는 아니다. 제조사는 이 스위치를 문서화하며, 운영체제 업데이트가 이것이 중요해지기 시작하는 순간이다.

윈도우는 인증서를 두 저장소에 나눠 두고, IKEv2는 컴퓨터 저장소만 읽는다. 클라이언트 인증서를 개인 키와 함께 컴퓨터 계정으로 가져와라. 사용자 계정 아래 둔 인증서는 관리 콘솔에는 보이지만 IKEv2 서비스에는 결코 닿지 않는다. EAP-TLS만이 사용자 인증서를 쓸 수 있는 경우이며, 서명한 CA는 여전히 컴퓨터가 신뢰해야 한다. 여기서 틀리면 인증서가 없다는 안내가 아니라 인증 실패로 나타난다.

공유기를 그대로 두는 경우

XAUTH PSK만 말하는 공유기는 세 갈래를 남긴다. 제조사 클라이언트, 아직 프로필을 구현하는 서드파티 클라이언트, 또는 터널 끝을 IKEv2를 말하는 무언가로 옮기는 것이다. 예를 들어 AVM은 자사 공유기용 윈도우 클라이언트 소프트웨어와 내보낸 설정 파일을 공개한다. 그 길은 지원되며, 모든 노트북에 제조사 도구를 설치해야 한다는 뜻이다.

노트북이 당신 것이 아니라 다시 만들 수 없다면 지원이 멋보다 중요하다.

보안 비용도 따져라. 그룹 비밀 하나가 모든 사용자를 덮으므로, 가진 사람은 서버 행세를 하며 클라이언트가 내미는 사용자 이름과 비밀번호를 가로챌 수 있다. 인증서를 쓰는 IKEv2가 있는 곳이라면 그 이전이 어떤 클라이언트 우회보다 값지다.

바깥에서 안으로 진단하라

먼저 휴대폰에서 되는 세션을 하나 확보해, 노트북이 등장하기 전에 서버 쪽을 입증하라. 그다음 공유기가 내보낸 프로필을 그대로 가져오고, 공유기 상태 화면 대신 클라이언트 로그를 읽어라. 로그에 나가는 제안이 없다면 노트북은 응답자에 닿지 못한 것이다. 제안이 오간 뒤 실패한다면 알고리즘, 신원, 자격 증명 가운데 하나가 어긋난 것이다.

되는 휴대폰 프로필을 대조군으로 남겨라. 펌웨어 업데이트 뒤 노트북만 깨지면 서버 쪽은 예전과 같다. 둘 다 깨지면 어느 클라이언트든 건드리기 전에 인증서나 리스너를 보라.