Windows VPN же Cisco Secure Client: кайсы туура?
Бренд протоколдун аты эмес: Windows бир нече жергиликтүү түрдү сунуштайт, Cisco кардары бирден ашык режимдин профилин алып жүрөт. Профилди окуңуз.
Бир эле шлюзга эки нускама келет: Windows VPN аркылуу туташыңыз же Cisco кардарын орнотуңуз. Экөө тең шлюз күткөн алмашууну атабайт, анткени Windows бир нече жергиликтүү туташуу түрүн көрсөтөт жана жеткирүүчүнүн кардары бирден ашык режимдин профилин алып жүрөт. Эки белги тең программалык камсыздоону сүрөттөйт, ал эми шлюз протокол, аутентификация жана саясат боюнча сүйлөшөт. Жооп профилде, жана аны туташпастан эле окууга болот.
Белги программалык камсыздоону атайт, алмашууну эмес
Бренд жана операциялык система эки башка факт, жана экөө тең зымдын форматын тандабайт. Windows жергиликтүү түрлөрдүн жыйындысын берет, ал эми Cisco кардары SSL же IPsec/IKEv2 жүргүзө алган профиль кыймылдаткычын берет. Экөөнү аралаштыруу алмашууларды эмес, компанияларды салыштырган таблицаларды жаратат.
Төмөнкү таблица продукт жөнүндөгү суроону үч окуу орду жана ар бири кармаган талаа менен алмаштырат. Ошол талааларды жазып алыңыз, ошондо эки маанилүүлүк жоголот:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsoft'тун Windows VPN түрлөрү боюнча маалымдамасы жергиликтүү түрлөрдүн ичинен IKEv2 жана SSTP тизмелейт, бул жергиликтүү профиль PPTP дегенди билдирет деген ойду жокко чыгарат. Cisco профиль документтери ылайыктуу борбордук түйүн саясаты менен SSL жана IPsec/IKEv2 режимдерин сүрөттөйт. Ар бир жеткирүүчү бир нече вариант сунуштайт, ошондуктан эч бир ат бир протоколду аныктабайт.
Жергиликтүү түрлөр зымга эмнени салат
IKEv2 UDP аркылуу коопсуздук ассоциациялары боюнча сүйлөшөт жана трафикти IPsec ичинде ташыйт, бул аны Microsoft'ко таандык эмес, башка IKEv2 ишке ашыруулары менен тең укуктуу кылат. SSTP PPP'ни HTTPS сессиясынын ичине ороп, IKEv2 өтө албаган проксилерден өтөт жана зымда TLS сыяктуу көрүнөт, бирок TLS VPN протоколу эмес. Бул эки факт туннель бир тармакта иштеп, экинчисинде иштебейт деген билеттин көбүн түшүндүрөт.
IPsec менен L2TP жана эски PPTP жазуусу бир эле ачылма тизмеде, жана алардын ал жерде болушу сервердин колдоосу жөнүндө эч нерсе айтпайт. Ачылма тизме — операциялык система байкап көрө алган нерселердин менюсу, шлюздун мүмкүнчүлүк билдирүүсү эмес. Аны колдоо тизмеси катары окуу эки сааттык эсеп жазууларын издөөнүн башталышы.
Жергиликтүү профилде маанилүү талаалар — туташуу түрү, аутентификация ыкмасы жана сервердин инсандыгы. Туура эмес түр жаман сырсөздөн башка этапта иштебейт, жана дал ушул айырма ээрчий турган белги.
Жеткирүүчүнүн кардары эмнени кошот: профилдер, протокол эмес
Cisco кардары профилдер үчүн идиш. SSL режими жана IPsec/IKEv2 режими алмашуу, порт күтүүлөрү жана ката тексти менен айырмаланат, ал эми импорттолгон профиль экөөнүн ортосунда тандайт. Ошондуктан кардарды орнотуу жеткиликтүүлүк жөнүндө эч нерсени далилдебейт.
Версиялар бир себептен жупташат. Мүмкүнчүлүктөр, аутентификация агымдары жана абал текшерүүлөрү кардар менен борбордук түйүндүн ортосунда сүйлөшүлөт, ошондуктан эски кардар жаңы түйүн алдында тармактын бузулушу сыяктуу окулган ийгиликсиздикке учурашы мүмкүн. Бул жупташуу туташуу аныктамасына таандык, жаңыртуу эскертүүсүнө эмес.
Башка уюмдан экспорттолгон профиль жергиликтүү борбордук түйүнгө сейрек туура келет, жана аны импорттоо кардарды шлюз кызмат көрсөтпөгөн режимди сунуштап калтырышы мүмкүн. Адегенде режимди профилден окуңуз, анан аны шлюздун конфигурацияланган протоколу жана аутентификация саясаты менен салыштырыңыз. Алар дал келгенден кийин гана тармак шектүү болот. Бул тартип туура эмес кызматка багытталган соо TLS сессиясын көрсөтө турган пакетти кармоону үнөмдөйт.
Бир нерсени өзгөртүүдөн мурун жергиликтүү профилди окуңуз
Windows'то жергиликтүү конфигурацияны чалуусуз окууга болот, жана чыгарылыш түрдү жана аутентификация ыкмасын түз атайт. Бул маанилерди шлюздун ээси түйүн кабыл алат дегени менен салыштырыңыз. Эгер түр билетке туура келбесе, адегенде билетти оңдоруңуз, анткени бул эч качан туура эмес болбогон кардарды кайра орнотуудан арзан.
Бул төрт буйрук профилди, анын маршруттарын, туташуу аракетин жана порттун жеткиликтүүлүгүн камтыйт. Аларды ушул тартипте профиль мурунтан орнотулган машинада иштетиңиз:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Порт сыноосу — ашыкча окулган сыноо. Кирүү барагын берген TCP 443 угуучусу менен IKEv2'ни бүтүргөн угуучу сырттан бирдей көрүнөт, анткени порт — орун, протокол эмес.
Жыйынтыкты үч талаа катары жазыңыз: кардар, режим жана шлюз, жана аларды билеттин жанында кармаңыз. Мындан кыска нерсе кийинки адамга ошол эле эки маанилүүлүктү кайра ачууга мүмкүндүк берет.