Kodėl Android prisijungia prie namų IPsec VPN, o Windows – ne

Telefonas be jokių priekaištų prisijungia prie maršrutizatoriaus VPN, o nešiojamasis kompiuteris tame pačiame Wi-Fi tinkle negali. Tie patys prisijungimo duomenys, tas pats serveris, ta pati minutė. Skirtumas – protokolo palaikymas, o ne slaptažodis: maršrutizatorius siūlo profilį, kurį viena operacinė sistema įgyvendina, o kita niekada neturėjo.

Pirmiausia nustatykite profilį, tada palyginkite jį su tuo, ką kiekvienas klientas iš tikrųjų kalba.

Vienas meniu, trys protokolai

Po vienu IPsec antrašte vartotojiška programinė įranga gali paslėpti tris visiškai skirtingus tunelius. Pirmasis – IKEv1 su XAUTH: bendra grupinė paslaptis, o virš jos vartotojo vardas ir slaptažodis. Antrasis – L2TP/IPsec, kai PPP veikia bendru raktu apsaugoto IPsec transporto viduje. Trečiasis – IKEv2, autentifikuojamas sertifikatais arba EAP.

Skaitote laukus, o ne etiketę. Grupinė paslaptis ir vartotojų sąrašas reiškia IKEv1 XAUTH. Iš anksto bendras raktas ir PPP paskyra reiškia L2TP/IPsec. Serverio sertifikatas be grupinės paslapties reiškia IKEv2.

Palaikymo atotrūkis tarp telefono ir nešiojamojo kompiuterio

Android turi įtaisytą IKEv1 XAUTH PSK klientą, ir būtent todėl telefonui pavyksta prie maršrutizatoriaus, kuris nesiūlo nieko kito. Windows – ne: jo savasis klientas palaiko L2TP/IPsec ir IKEv2, o IKEv1 XAUTH parinkties įjungti nėra. Pakartotinai įvesti slaptažodį nepadės, nes trūksta protokolo, o ne prisijungimo duomenų.

Apple pusė – judantis taikinys. Naujesnės macOS ir iOS versijos krypsta prie IKEv2, seni Cisco stiliaus profiliai išlieka kai kuriuose rinkiniuose, o atnaujinimas gali pašalinti ar sugriežtinti tai, kas veikė praėjusį mėnesį. Mac, kuris vakar prisijungdavo, o šiandien ne, nekeičiant maršrutizatoriaus, paprastai yra būtent tai.

Du nustatymai, sugadinantys kitaip teisingus profilius

Synology L2TP/IPsec puslapyje yra žymimasis langelis Enable SHA2-256 compatible mode (96 bit). Apple klientai nuo iOS 14 ir macOS Big Sur atmeta tą sutrumpintą režimą, todėl jiems langelis turi būti išjungtas. Jei jis liks įjungtas, tunelis autentifikuojasi ir tada nukrenta, o tai atrodo kaip blogi prisijungimo duomenys ir nėra. Gamintojas dokumentuoja jungiklį, o operacinės sistemos atnaujinimas paprastai yra tas momentas, kai tai pradeda rūpėti.

Windows laiko sertifikatus dviejose atskirose saugyklose, o IKEv2 skaito tik mašinos saugyklą. Importuokite kliento sertifikatą su jo privačiuoju raktu į kompiuterio paskyrą; sertifikatas, padėtas po jūsų vartotojo paskyra, matomas valdymo konsolėje ir niekada nepasiekia IKEv2 tarnybos. EAP-TLS yra vienintelis atvejis, kai vartotojo sertifikatas tinka, ir pasirašiusi CA vis tiek turi būti mašinos pasitikėta. Suklydus tai pasirodo kaip autentifikavimo klaida, o ne kaip prašymas dėl trūkstamo sertifikato.

Kai maršrutizatorius lieka toks, koks yra

Maršrutizatorius, kalbantis tik XAUTH PSK, palieka tris kelius: gamintojo klientas, trečiosios šalies klientas, kuris vis dar įgyvendina profilį, arba tunelio galinio taško perkėlimas į tai, kas kalba IKEv2. Pavyzdžiui, AVM skelbia Windows kliento programinę įrangą ir eksportuotą konfigūracijos failą savo maršrutizatoriams. Šis kelias palaikomas, ir jis reiškia, kad į kiekvieną nešiojamąjį kompiuterį reikia įdiegti gamintojo įrankį.

Palaikymas svarbiau už eleganciją, kai nešiojamieji kompiuteriai ne jūsų, kad juos perstatytumėte.

Pasverkite ir saugumo kainą. Viena grupinė paslaptis apima visus vartotojus, todėl kas ją turi, gali apsimesti serveriu ir pagauti vartotojo vardą bei slaptažodį, kuriuos siūlo klientas. Ten, kur yra IKEv2 su sertifikatais, ta migracija verta daugiau nei bet koks kliento apėjimas.

Diagnozuokite iš išorės į vidų

Pirmiausia gaukite vieną veikiančią sesiją iš telefono, kad serverio pusė būtų įrodyta prieš pasirodant nešiojamajam kompiuteriui. Tada importuokite eksportuotą maršrutizatoriaus profilį be pakeitimų ir skaitykite kliento žurnalą, o ne maršrutizatoriaus būsenos puslapį. Jei žurnale nėra išeinančio pasiūlymo, nešiojamasis kompiuteris niekada nepasiekė atsakiklio. Jei pasiūlymai pasikeičia ir tada nepavyksta, nesutarimas dėl algoritmų, tapatybės ar prisijungimo duomenų.

Laikykite veikiantį telefono profilį kaip kontrolinį. Kai po programinės įrangos atnaujinimo sugenda tik nešiojamasis kompiuteris, serverio pusė elgiasi kaip anksčiau. Kai sugenda abu, pažiūrėkite į sertifikatą arba klausytuvą prieš liesdami bet kurį klientą.