Эмне үчүн Android үйдөгү IPsec VPNге туташат, ал эми Windows туташпайт

Телефон маршрутизатордун VPNине нааразылыксыз кирет, ал эми ошол эле Wi-Fiдеги ноутбук кире албайт. Бирдей кирүү маалыматтары, бирдей сервер, бирдей мүнөт. Айырма протоколду колдоодо, сырсөздө эмес: маршрутизатор бир операциялык система ишке ашырган, экинчисинде эч качан болбогон профилди көрсөтөт.

Адегенде профилди аныктаңыз, андан кийин аны ар бир кардар чындап эле сүйлөгөн нерсе менен салыштырыңыз.

Бир меню, үч протокол

Бир IPsec аталышынын астында керектөөчү firmware үч такыр башка туннелди жашыра алат. Биринчиси — XAUTH менен IKEv1: жалпы топтук сыр, анын үстүндө колдонуучу аты жана сырсөз. Экинчиси — L2TP/IPsec, мында PPP жалпы ачкыч менен корголгон IPsec транспортунун ичинде жүрөт. Үчүнчүсү — IKEv2, сертификаттар же EAP менен аутентификацияланат.

Талааларды окуңуз, белгини эмес. Топтук сыр жана колдонуучулардын тизмеси IKEv1 XAUTH дегенди билдирет. Алдын ала бөлүнгөн ачкыч жана PPP эсеби L2TP/IPsec дегенди билдирет. Топтук сырсыз сервер сертификаты IKEv2 дегенди билдирет.

Телефон менен ноутбуктун ортосундагы колдоо ажырымы

Androidде IKEv1 XAUTH PSK кардары курулган, ошондуктан телефон башка эч нерсе сунуштабаган маршрутизаторго каршы ийгиликке жетет. Windowsдо жок: анын жергиликтүү кардары L2TP/IPsec жана IKEv2ни колдойт, ал эми күйгүзүү үчүн IKEv1 XAUTH опциясы жок. Сырды кайра киргизүү жардам бербейт, анткени жетишпеген бөлүк — протокол, кирүү маалыматы эмес.

Apple тарабы — кыймылдуу бута. Жаңы macOS жана iOS чыгарылыштары IKEv2ге умтулат, эски Cisco стилиндеги профилдер айрым курулуштарда сакталат, ал эми жаңыртуу өткөн айда иштегенди алып салышы же катаалдаштырышы мүмкүн. Кечээ туташып, бүгүн туташпаган Mac, маршрутизатор өзгөрбөсө, адатта ушул.

Туура профилди бузган эки параметр

Synologyнин L2TP/IPsec баракчасы Enable SHA2-256 compatible mode (96 bit) деп аталган белгилер кутучасын сунуштайт. iOS 14 жана macOS Big Surдан баштап Apple кардарлары бул кыскартылган режимди четке кагышат, ошондуктан алар үчүн кутуча өчүк болушу керек. Күйүк калса, туннель аутентификациядан өтүп, анан кулайт, бул жаман маалыматтардай көрүнөт, бирок андай эмес. Өндүрүүчү ажыраткычты документтештирет, ал эми операциялык системаны жаңыртуу — бул маанилүү боло баштаган учур.

Windows сертификаттарды эки өзүнчө кампада сактайт, ал эми IKEv2 машинаныкын гана окуйт. Кардар сертификатын жеке ачкычы менен компьютер эсебине импорттоңуз; өз колдонуучу эсебиңиздин астындагы сертификат башкаруу консолунда көрүнөт, бирок IKEv2 кызматына эч качан жетпейт. EAP-TLS — колдонуучу сертификаты пайдалуу болгон жалгыз учур, жана кол койгон CA машина үчүн ишенимдүү болушу керек. Бул жерде ката кетирүү аутентификациянын ийгиликсиздиги катары көрүнөт, жок сертификаттын суранычы катары эмес.

Маршрутизатор ошол бойдон калганда

Бир гана XAUTH PSK сүйлөгөн маршрутизатор үч жолду калтырат: өндүрүүчүнүн кардары, профилди азыр да ишке ашырган үчүнчү тараптын кардары, же туннелдин акыркы чекитин IKEv2 сүйлөгөн нерсеге которуу. Мисалы, AVM өз маршрутизаторлору үчүн Windows кардар программасын жана экспорттолгон конфигурация файлын жарыялайт. Бул жол колдоого алынган жана ар бир ноутбукка өндүрүүчүнүн куралын орнотууну билдирет.

Ноутбуктар сиздики болбосо, колдоо сулуулуктан маанилүү.

Коопсуздук баасын да өлчөңүз. Бир топтук сыр бардык колдонуучуларды камтыйт, ошондуктан аны кармаган ар ким сервердин ордуна туруп, кардар сунуш кылган колдонуучу атын жана сырсөздү кармап кала алат. IKEv2 сертификаттар менен жеткиликтүү жерде бул көчүү ар кандай кардардык айланып өтүүдөн кымбат.

Сырттан ичке карай диагностика

Адегенде телефондон бир иштеген сессия алыңыз, ноутбук пайда болоордон мурун сервер тарабы далилденсин. Андан кийин маршрутизатордун экспорттолгон профилин өзгөртүүсүз импорттоп, маршрутизатордун абал баракчасынын ордуна кардар журналын окуңуз. Эгер журнал эч кандай чыгуучу сунуш көрсөтпөсө, ноутбук жооп берүүчүгө эч качан жеткен эмес. Сунуштар алмашылып, анан ийгиликсиз болсо, келишпестик алгоритмдер, инсандык же маалыматтар жөнүндө.

Иштеген телефон профилин көзөмөл катары кармаңыз. Микропрограмма жаңыртылгандан кийин ноутбук гана бузулса, сервер тарабы мурункудай иштейт. Экөө тең бузулса, кандайдыр бир кардарга тийүүдөн мурун сертификатка же угуучуга караңыз.