Firwat Android sech mam Heem-IPsec-VPN verbënnt an Windows net

Den Telefon geet ouni Kloen an d’VPN vum Router, wärend den Laptop am selwechten Wi-Fi et net packt. Déi selwecht Umeldungsdate, dee selwechte Server, déi selwecht Minutt. Den Ënnerscheed ass d’Protokollënnerstëtzung, net d’Passwuert: de Router weist e Profil, deen een Betriebssystem ëmsetzt an deen aneren ni hat.

Identifizéiert d’éischt de Profil, a vergläicht en duerno mat deem wat all Client tatsächlech schwätzt.

E Menü, dräi Protokoller

Ënner engem eenzegen IPsec-Titel kann Konsumentefirmware dräi ganz verschidden Tunnel verstoppen. Den éischten ass IKEv1 mat XAUTH: e gemeinsamt Gruppgeheimnis an drop e Benotzernumm a Passwuert. Den zweeten ass L2TP/IPsec, wou PPP bannen engem IPsec-Transport leeft, dee mat engem gemeinsame Schlëssel geschützt ass. Den drëtten ass IKEv2, authentifizéiert mat Zertifikater oder EAP.

Liest d’Felder, net d’Etikett. E Gruppgeheimnis plus eng Benotzerlëscht bedeit IKEv1 XAUTH. En zou virdrun gedeelte Schlëssel plus e PPP-Konto bedeit L2TP/IPsec. En Serverzertifikat ouni Gruppgeheimnis bedeit IKEv2.

D’Ënnerstëtzungslück tëschent Telefon a Laptop

Android huet e agebueten IKEv1 XAUTH PSK Client, an genau dofir geléngt et dem Telefon géint e Router, deen näischt anescht ubitt. Windows net: säi native Client behandelt L2TP/IPsec an IKEv2, an et gëtt keng IKEv1 XAUTH-Optioun fir anzeschalten. D’Geheimnis nach eng Kéier antippen hëlleft net, well d’Protokoll feelt, net d’Umeldungsdate.

D’Säit vun Apple ass en beweeglecht Zil. Méi nei macOS- an iOS-Versiounen dréien op IKEv2, al Profiler am Cisco-Stil iwwerliewe an e puer Builds, an en Update kann ewechhuelen oder verschäerfen, wat de leschte Mount nach gaangen ass. En Mac, deen gëschter verbonnen huet an haut net, ouni Ännerung um Router, ass meeschtens just dat.

Zwee Astellunge, déi soss korrekt Profiler briechen

D’L2TP/IPsec-Säit vu Synology bitt eng Këscht mam Numm Enable SHA2-256 compatible mode (96 bit). D’Cliente vun Apple zënter iOS 14 a macOS Big Sur lehnen dee verkierzte Modus of, dofir muss d’Këscht fir si aus sinn. Bleift se un, authentifizéiert den Tunnel sech a fält duerno ewech, wat no schlechten Umeldungsdate ausgesäit an et net ass. Den Hiersteller dokumentéiert de Schalter, an en Betriebssystem-Update ass de Moment, wou dat ufänkt ze zielen.

Windows hält Zertifikater an zwee getrennte Späicher, an IKEv2 liest just dee vum Computer. Importéiert de Clientzertifikat mat sengem private Schlëssel an de Computerkont; en Zertifikat ënner Ärem Benotzerkont erschéngt an der Verwaltungskonsole an erreecht den IKEv2-Service ni. EAP-TLS ass deen eenzegen Fall, wou en Benotzerzertifikat Notze fënnt, an d’CA, déi ënnerschreift, muss ëmmer nach vum Computer vertraut ginn. Sech hei ze ieren, weist sech als Authentifizéierungsfehler, net als Ufro fir en Zertifikat, deen feelt.

Wann de Router sou bleift wéi en ass

E Router, deen nëmmen XAUTH PSK schwätzt, léisst dräi Weeër iwwreg: de Client vum Hiersteller, en Drëttpersoun-Client, deen de Profil nach ëmsetzt, oder den Tunnelendpunkt op eppes verréckelen, wat IKEv2 schwätzt. AVM zum Beispill verëffentlecht Windows-Clientsoftware an eng exportéiert Konfiguratiounsdatei fir seng Router. Dee Wee ass ënnerstëtzt, an hie bedeit, op all Laptop en Hierstellertool z’installéieren.

Ënnerstëtzung zielt méi wéi Eleganz, wann d’Laptopen net Är sinn, fir se nei opzesetzen.

Wéi och d’Sécherheetskäschten of. E Gruppgeheimnis deckt all Benotzer of, also kann jiddereen, deen et huet, sech als Server ausginn an de Benotzernumm a Passwuert fänken, déi de Client ubitt. Wou IKEv2 mat Zertifikater disponibel ass, ass dee Migratioun méi wäert wéi all Client-Ëmwee.

Diagnostizéiert vun dobaussen no bannen

Huelt d’éischt eng funktionéierend Sessioun vum Telefon, sou datt d’Serversäit bewisen ass, ier den Laptop an d’Bild kënnt. Importéiert duerno de exportéierte Profil vum Router onverännert a liest de Clientlog amplaz vun der Statussäit vum Router. Weist de Log kee Vorschlag, deen erausgeet, huet den Laptop den Äntwerer ni erreecht. Ginn Vorschléi ausgetosch an duerno feelen, geet den Dissens ëm Algorithmen, Identitéit oder Umeldungsdate.

Hält de funktionéierende Telefonprofil als Kontroll. Wann nom Firmwareupdate just den Laptop briecht, behält d’Serversäit sech wéi virdrun. Wann béid briechen, kuckt den Zertifikat oder de Lauschterer un, ier Dir iergendeen Client beréiert.