Windows VPN과 Cisco Secure Client: 무엇이 맞을까
브랜드는 프로토콜 이름이 아닙니다. Windows는 여러 기본 방식을 제공하고 Cisco 클라이언트는 둘 이상의 모드에 대한 프로필을 담습니다. 프로필을 읽으십시오.
같은 게이트웨이에 두 가지 지시가 도착합니다. Windows VPN으로 연결하거나 Cisco 클라이언트를 설치하라는 것입니다. 어느 쪽도 게이트웨이가 기대하는 교환을 지목하지 않습니다. Windows는 여러 기본 연결 방식을 노출하고 공급업체 클라이언트는 둘 이상의 모드에 대한 프로필을 담기 때문에, 두 이름표 모두 소프트웨어를 가리키는 반면 게이트웨이는 프로토콜과 인증, 정책을 협상하며 답은 프로필에 있어 연결하지 않고도 읽을 수 있습니다.
이름표가 가리키는 것은 소프트웨어이지 교환이 아니다
브랜드와 운영 체제는 서로 다른 사실이며 둘 다 회선 형식을 선택하지 않습니다. Windows는 기본 방식의 집합을 제공하고 Cisco 클라이언트는 SSL 또는 IPsec/IKEv2를 구동할 수 있는 프로필 엔진을 제공합니다. 둘을 혼동하면 교환이 아니라 기업을 비교하는 표가 만들어집니다.
아래 표는 제품에 대한 질문을 세 가지 읽는 위치와 각 위치가 담는 필드로 바꾸므로, 그 필드를 기록하면 모호함이 사라집니다.
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsoft가 공개한 Windows VPN 유형 참조 는 기본 방식 가운데 IKEv2와 SSTP 를 나열하므로, 기본 프로필이 PPTP를 뜻한다는 생각은 성립하지 않습니다. Cisco의 프로필 문서는 헤드엔드 정책에 대응하는 SSL 모드와 IPsec/IKEv2 모드를 모두 설명합니다. 공급업체마다 여러 선택지를 제공하므로 어느 이름도 하나의 프로토콜을 가리키지 않습니다.
기본 방식이 회선에 올리는 것
IKEv2는 UDP 위에서 보안 연계를 협상하고 IPsec 안에서 트래픽을 운반하므로 Microsoft 고유의 설계가 아니라 다른 IKEv2 구현과 대등합니다. SSTP는 PPP를 HTTPS 세션 안에 감싸므로 IKEv2가 지나갈 수 없는 프록시를 통과하고 회선에서는 TLS처럼 보이지만 TLS VPN 프로토콜은 아닙니다. 이 두 사실이 한 네트워크에서는 터널이 되고 다른 네트워크에서는 실패한다는 티켓의 대부분을 설명합니다.
IPsec을 쓰는 L2TP와 더 오래된 PPTP 항목은 같은 드롭다운에 있지만 그 자리에 있다는 사실이 서버 지원을 말해 주지는 않습니다. 드롭다운은 운영 체제가 시도할 수 있는 것의 목록이며 게이트웨이의 능력 선언이 아닙니다. 그것을 지원 목록으로 읽는 것이 두 시간짜리 자격 증명 사냥의 시작입니다.
기본 프로필에서 중요한 필드는 연결 유형과 인증 방법, 서버 신원입니다. 잘못된 유형은 잘못된 비밀번호와 다른 단계에서 실패하며 그 차이가 따라갈 만한 단서입니다.
공급업체 클라이언트가 더하는 것: 프로토콜이 아니라 프로필
Cisco 클라이언트는 프로필의 용기입니다. SSL 모드와 IPsec/IKEv2 모드는 교환과 포트 기대, 오류 문구에서 다르며 가져온 프로필이 둘 사이를 고릅니다. 따라서 클라이언트 설치만으로는 도달 가능성을 증명하지 못합니다.
버전이 짝을 이루는 데는 이유가 있습니다. 기능과 인증 흐름, 상태 점검은 클라이언트와 헤드엔드 사이에서 협상되므로 오래된 클라이언트가 새 헤드엔드를 만나면 네트워크 장애처럼 읽히는 방식으로 실패할 수 있습니다. 그 짝은 업그레이드 메모가 아니라 연결 정의에 속합니다.
다른 조직에서 내보낸 프로필은 현지 헤드엔드와 거의 맞지 않으며, 가져오면 클라이언트가 게이트웨이가 제공하지 않는 모드를 제시할 수 있습니다. 먼저 프로필에서 모드를 읽고, 그다음 게이트웨이에 구성된 프로토콜과 인증 정책과 비교하십시오. 둘이 일치한 뒤에야 네트워크가 용의자가 됩니다. 이 순서라면 잘못된 서비스를 향한 건강한 TLS 세션을 보여 줄 뿐인 패킷 캡처를 아낄 수 있습니다.
무엇이든 바꾸기 전에 로컬 프로필을 읽으십시오
Windows에서는 기본 구성을 전화 걸지 않고 읽을 수 있으며 출력이 유형과 인증 방법을 직접 밝힙니다. 그 값을 게이트웨이 소유자가 헤드엔드가 받아들인다고 말하는 내용과 비교하십시오. 유형이 티켓과 어긋나면 한 번도 틀린 적 없는 클라이언트를 다시 설치하는 것보다 티켓을 먼저 고치는 편이 쌉니다.
이 네 명령은 프로필과 그 경로, 연결 시도, 포트 도달 가능성을 다루므로 프로필이 이미 설치된 컴퓨터에서 이 순서로 실행하십시오.
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443지나치게 읽히는 것은 포트 시험입니다. 로그인 페이지를 제공하는 TCP 443 대기자와 IKEv2를 종료하는 대기자는 밖에서 보면 같으며, 포트는 위치이지 프로토콜이 아닙니다.
결과를 클라이언트, 모드, 게이트웨이라는 세 필드로 적고 티켓 옆에 두십시오. 그보다 짧으면 다음 사람이 같은 모호함을 다시 발견하게 됩니다.