„Windows“ VPN ar „Cisco Secure Client“: kuris teisingas?
Prekės ženklas nėra protokolo pavadinimas: „Windows“ siūlo kelis savuosius tipus, o „Cisco“ klientas turi profilių daugiau nei vienam režimui. Perskaitykite profilį.
Tam pačiam tinklų sietuvui ateina dvi instrukcijos: prisijungti per „Windows“ VPN arba įdiegti „Cisco“ klientą. Nė viena neįvardija apsikeitimo, kurio tikisi sietuvas, nes „Windows“ rodo kelis savuosius ryšio tipus, o tiekėjo klientas turi profilių daugiau nei vienam režimui. Abi etiketės apibūdina programinę įrangą, o sietuvas derasi dėl protokolo, autentifikavimo ir politikos. Atsakymas yra profilyje, ir jį galima perskaityti neprisijungus.
Etiketė įvardija programinę įrangą, o ne apsikeitimą
Prekės ženklas ir operacinė sistema yra du skirtingi faktai, ir nė vienas jų nepasirenka laidinės formos. „Windows“ pateikia savųjų tipų rinkinį, o „Cisco“ klientas pateikia profilių mechanizmą, galintį valdyti SSL arba IPsec/IKEv2. Sumaišius abu, gaunamos lentelės, kurios lygina įmones, o ne apsikeitimus.
Toliau pateikta lentelė pakeičia produkto klausimą trimis skaitymo vietomis ir lauku, kurį kiekviena laiko. Užrašykite tuos laukus, ir dviprasmiškumas išnyks:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
„Microsoft“ „Windows“ VPN tipų nuoroda išvardija IKEv2 ir SSTP tarp savųjų tipų, o tai panaikina mintį, kad savasis profilis reiškia PPTP. „Cisco“ profilių dokumentacija aprašo ir SSL, ir IPsec/IKEv2 režimą su atitinkama centrinio mazgo politika. Kiekvienas tiekėjas siūlo kelis variantus, todėl joks pavadinimas nenurodo vieno protokolo.
Ką savieji tipai padeda ant laido
IKEv2 derasi dėl saugos asociacijų per UDP ir perduoda srautą IPsec viduje, todėl jis yra lygiavertis kitoms IKEv2 realizacijoms, o ne „Microsoft“ būdingas sprendimas. SSTP įvelia PPP į HTTPS sesiją, todėl praeina pro tarpinius serverius, pro kuriuos IKEv2 negali, ir laide atrodo kaip TLS, nors nėra TLS VPN protokolas. Šie du faktai paaiškina didžiąją dalį bilieto, kuriame teigiama, kad tunelis veikia viename tinkle ir nepavyksta kitame.
L2TP su IPsec ir senesnis PPTP įrašas yra tame pačiame išskleidžiamajame meniu, o jų buvimas ten nieko nesako apie serverio palaikymą. Išskleidžiamasis meniu yra sąrašas to, ką operacinė sistema gali pabandyti, o ne sietuvo galimybių pareiškimas. Skaityti jį kaip palaikymo sąrašą yra dviejų valandų prisijungimo duomenų paieškos pradžia.
Savajame profilyje svarbūs laukai yra ryšio tipas, autentifikavimo metodas ir serverio tapatybė. Netinkamas tipas nepavyksta kitame etape nei blogas slaptažodis, ir būtent tas skirtumas yra verta sekti užuomina.
Ką prideda tiekėjo klientas: profilius, o ne protokolą
„Cisco“ klientas yra profilių talpykla. SSL režimas ir IPsec/IKEv2 režimas skiriasi apsikeitimu, prievado lūkesčiais ir klaidos tekstu, o importuotas profilis pasirenka tarp jų. Todėl kliento įdiegimas nieko neįrodo apie pasiekiamumą.
Versijos poruojamos dėl priežasties. Funkcijos, autentifikavimo srautai ir būsenos patikros derasi tarp kliento ir centrinio mazgo, todėl senas klientas prieš naują mazgą gali nepavykti taip, kad tai skaitoma kaip tinklo gedimas. Ta pora priklauso ryšio apibrėžimui, o ne atnaujinimo pastabai.
Profilis, eksportuotas iš kitos organizacijos, retai atitinka vietinį centrinį mazgą, o jį importavus klientas gali siūlyti režimą, kurio sietuvas neaptarnauja. Pirmiausia perskaitykite režimą iš profilio, tada palyginkite jį su sukonfigūruotu sietuvo protokolu ir autentifikavimo politika. Tik jiems sutarus tinklas tampa įtartinas. Ši tvarka sutaupo paketų įrašymą, kuris būtų parodęs sveiką TLS sesiją, nukreiptą į netinkamą paslaugą.
Perskaitykite vietinį profilį prieš ką nors keisdami
„Windows“ savąją konfigūraciją galima perskaityti neskambinant, o išvestis tiesiogiai įvardija tipą ir autentifikavimo metodą. Palyginkite šias reikšmes su tuo, ką sietuvo savininkas sako priimant mazgą. Jei tipas nesutampa su bilietu, pirmiausia pataisykite bilietą, nes tai pigiau nei iš naujo įdiegti klientą, kuris niekada nebuvo neteisingas.
Šios keturios komandos apima profilį, jo maršrutus, ryšio bandymą ir prievado pasiekiamumą. Vykdykite jas šia tvarka mašinoje, kurioje profilis jau įdiegtas:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Prievado testas sulaukia per daug dėmesio. TCP 443 klausytojas, teikiantis prisijungimo puslapį, ir tas, kuris užbaigia IKEv2, iš išorės atrodo vienodai, nes prievadas yra vieta, o ne protokolas.
Užrašykite rezultatą kaip tris laukus, klientas, režimas ir sietuvas, ir laikykite juos šalia bilieto. Viskas trumpesnio palieka kitam žmogui iš naujo atrasti tą patį dviprasmiškumą.