Kāpēc Android pieslēdzas mājas IPsec VPN, bet Windows ne

Tālrunis bez iebildumiem pieslēdzas maršrutētāja VPN, bet portatīvais dators tajā pašā Wi-Fi to nespēj. Tie paši pieteikšanās dati, tas pats serveris, tā pati minūte. Atšķirība ir protokola atbalstā, nevis parolē: maršrutētājs parāda profilu, ko viena operētājsistēma realizē, bet otra nekad nav.

Vispirms nosakiet profilu, pēc tam salīdziniet to ar to, ko katrs klients patiešām runā.

Viena izvēlne, trīs protokoli

Zem viena IPsec virsraksta patērētāju programmaparatūra var paslēpt trīs pilnīgi atšķirīgus tuneļus. Pirmais ir IKEv1 ar XAUTH: kopīgs grupas noslēpums un virs tā lietotājvārds un parole. Otrais ir L2TP/IPsec, kur PPP darbojas IPsec transporta iekšienē, kas aizsargāts ar kopīgu atslēgu. Trešais ir IKEv2, autentificēts ar sertifikātiem vai EAP.

Lasiet laukus, nevis etiķeti. Grupas noslēpums un lietotāju saraksts nozīmē IKEv1 XAUTH. Iepriekš kopīga atslēga un PPP konts nozīmē L2TP/IPsec. Servera sertifikāts bez grupas noslēpuma nozīmē IKEv2.

Atbalsta plaisa starp tālruni un portatīvo datoru

Android ir iebūvēts IKEv1 XAUTH PSK klients, un tieši tāpēc tālrunim izdodas pret maršrutētāju, kas nepiedāvā neko citu. Windows nav: tā vietējais klients apstrādā L2TP/IPsec un IKEv2, un nav IKEv1 XAUTH opcijas, ko ieslēgt. Noslēpuma atkārtota ievade nepalīdz, jo trūkst protokola, nevis pieteikšanās datu.

Apple puse ir kustīgs mērķis. Jaunākās macOS un iOS versijas virzās uz IKEv2, vecie Cisco stila profili izdzīvo atsevišķos būvējumos, un atjauninājums var noņemt vai pastiprināt to, kas strādāja pagājušajā mēnesī. Mac, kas vakar pieslēdzās un šodien ne, bez maršrutētāja izmaiņām, parasti ir tieši tas.

Divi iestatījumi, kas sabojā citādi pareizus profilus

Synology L2TP/IPsec lapā ir izvēles rūtiņa Enable SHA2-256 compatible mode (96 bit). Apple klienti no iOS 14 un macOS Big Sur noraida šo saīsināto režīmu, tāpēc rūtiņai viņiem jābūt izslēgtai. Ja tā paliek ieslēgta, tunelis autentificējas un pēc tam nokrīt, kas izskatās pēc sliktiem pieteikšanās datiem un nav. Ražotājs dokumentē slēdzi, un operētājsistēmas atjauninājums parasti ir tas brīdis, kad tas sāk būt svarīgi.

Windows glabā sertifikātus divos atsevišķos krātuvēs, un IKEv2 lasa tikai mašīnas krātuvi. Importējiet klienta sertifikātu ar tā privāto atslēgu datora kontā; sertifikāts, kas ievietots jūsu lietotāja kontā, parādās pārvaldības konsolē un nekad nesasniedz IKEv2 pakalpojumu. EAP-TLS ir vienīgais gadījums, kad lietotāja sertifikāts ir izmantojams, un parakstītajai CA joprojām jābūt mašīnas uzticētai. Kļūdīšanās šeit izpaužas kā autentifikācijas kļūme, nevis kā pieprasījums pēc trūkstoša sertifikāta.

Kad maršrutētājs paliek tāds, kāds ir

Maršrutētājs, kas runā tikai XAUTH PSK, atstāj trīs ceļus: ražotāja klients, trešās puses klients, kas joprojām realizē profilu, vai tuneļa galapunkta pārvietošana uz kaut ko, kas runā IKEv2. Piemēram, AVM publicē Windows klienta programmatūru un eksportētu konfigurācijas failu saviem maršrutētājiem. Šis ceļš tiek atbalstīts, un tas nozīmē ražotāja rīka instalēšanu katrā portatīvajā datorā.

Atbalsts ir svarīgāks par eleganci, ja portatīvie datori nav jūsējie, lai tos pārbūvētu.

Izsveriet arī drošības izmaksas. Viens grupas noslēpums aptver visus lietotājus, tāpēc ikviens, kam tas ir, var uzdoties par serveri un pārtvert lietotājvārdu un paroli, ko piedāvā klients. Kur ir pieejams IKEv2 ar sertifikātiem, šī migrācija ir vērtīgāka par jebkuru klienta apiešanu.

Diagnosticējiet no ārpuses uz iekšu

Vispirms iegūstiet vienu strādājošu sesiju no tālruņa, lai servera puse būtu pierādīta pirms portatīvā datora parādīšanās. Pēc tam importējiet maršrutētāja eksportēto profilu bez izmaiņām un lasiet klienta žurnālu, nevis maršrutētāja statusa lapu. Ja žurnāls neuzrāda nevienu izejošu piedāvājumu, portatīvais dators nekad nav sasniedzis atbildētāju. Ja piedāvājumi tiek apmainīti un pēc tam neizdodas, domstarpības ir par algoritmiem, identitāti vai pieteikšanās datiem.

Saglabājiet strādājošo tālruņa profilu kā kontroli. Ja pēc programmaparatūras atjauninājuma sabojājas tikai portatīvais dators, servera puse uzvedas kā iepriekš. Ja sabojājas abi, paskatieties uz sertifikātu vai klausītāju pirms jebkura klienta aiztikšanas.