Windows VPN pret Cisco Secure Client: kurš ir pareizais?

Vienai un tai pašai vārtejai pienāk divas instrukcijas: savienoties ar Windows VPN vai instalēt Cisco klientu. Neviena nenosauc apmaiņu, ko vārteja gaida, jo Windows parāda vairākus vietējos savienojuma tipus un piegādātāja klients satur profilus vairāk nekā vienam režīmam. Abi apzīmējumi apraksta programmatūru, kamēr vārteja pārrunā protokolu, autentifikāciju un politiku. Atbilde ir profilā, un to var nolasīt bez pieslēgšanās.

Apzīmējums nosauc programmatūru, nevis apmaiņu

Zīmols un operētājsistēma ir divi dažādi fakti, un neviens no tiem neizvēlas vada formātu. Windows piegādā vietējo tipu kopumu, un Cisco klients piegādā profilu dzinēju, kas var vadīt SSL vai IPsec/IKEv2. Abu sajaucot, rodas tabulas, kas salīdzina uzņēmumus, nevis apmaiņas.

Zemāk esošā tabula aizstāj produkta jautājumu ar trim lasīšanas vietām un lauku, ko katra satur. Pierakstiet šos laukus, un neskaidrība pazūd:

Microsoft Windows VPN tipu uzziņa uzskaita IKEv2 un SSTP starp vietējiem tipiem, kas atceļ ideju, ka vietējais profils nozīmē PPTP. Cisco profilu dokumentācija apraksta gan SSL, gan IPsec/IKEv2 režīmu ar atbilstošu centrālā mezgla politiku. Katrs piegādātājs piedāvā vairākas iespējas, tāpēc neviens nosaukums nenorāda vienu protokolu.

Ko vietējie tipi liek uz vada

IKEv2 pārrunā drošības asociācijas UDP virsū un pārvadā satiksmi IPsec iekšienē, kas to padara līdzvērtīgu citām IKEv2 implementācijām, nevis Microsoft raksturīgu dizainu. SSTP iesaiņo PPP HTTPS sesijā, tāpēc tā šķērso starpniekserverus, kurus IKEv2 nevar, un uz vada izskatās kā TLS, nebūdams TLS VPN protokols. Šie divi fakti izskaidro lielāko daļu biļetes, kurā teikts, ka tunelis darbojas vienā tīklā un neizdodas citā.

L2TP ar IPsec un vecākais PPTP ieraksts atrodas tajā pašā nolaižamajā sarakstā, un to klātbūtne tur neko neizsaka par servera atbalstu. Nolaižamais saraksts ir saraksts ar to, ko operētājsistēma var mēģināt, nevis vārtejas iespēju deklarācija. Lasīt to kā atbalsta sarakstu ir veids, kā sākas divu stundu akreditācijas datu meklēšana.

Lauki, kas vietējā profilā ir svarīgi, ir savienojuma tips, autentifikācijas metode un servera identitāte. Nepareizs tips neizdodas citā posmā nekā slikta parole, un šī atšķirība ir pavediens, kam ir vērts sekot.

Ko pievieno piegādātāja klients: profilus, nevis protokolu

Cisco klients ir profilu konteiners. SSL režīms un IPsec/IKEv2 režīms atšķiras ar apmaiņu, ostas gaidām un kļūdas tekstu, un importētais profils izvēlas starp tiem. Tāpēc klienta instalēšana neko nepierāda par sasniedzamību.

Versijas tiek sapārotas iemesla dēļ. Funkcijas, autentifikācijas plūsmas un stāvokļa pārbaudes tiek pārrunātas starp klientu un centrālo mezglu, tāpēc vecs klients pret jaunu mezglu var neizdoties tā, ka tas lasās kā tīkla kļūme. Šis pāris pieder savienojuma definīcijai, nevis atjaunināšanas piezīmei.

Profils, kas eksportēts no citas organizācijas, reti atbilst vietējam centrālajam mezglam, un tā importēšana var atstāt klientu piedāvājam režīmu, kuru vārteja neapkalpo. Vispirms nolasiet režīmu no profila, pēc tam salīdziniet to ar vārtejas konfigurēto protokolu un autentifikācijas politiku. Tikai pēc tam, kad tie sakrīt, tīkls kļūst aizdomīgs. Šī secība ietaupa pakešu ierakstīšanu, kas būtu parādījusi veselīgu TLS sesiju, kas vērsta uz nepareizo pakalpojumu.

Izlasiet vietējo profilu, pirms kaut ko maināt

Windows vidē vietējo konfigurāciju var nolasīt bez zvanīšanas, un izvade tieši nosauc tipu un autentifikācijas metodi. Salīdziniet šīs vērtības ar to, ko vārtejas īpašnieks saka, ka mezgls pieņem. Ja tips nesakrīt ar biļeti, vispirms izlabojiet biļeti, jo tas ir lētāk nekā pārinstalēt klientu, kas nekad nav bijis nepareizs.

Šīs četras komandas aptver profilu, tā maršrutus, savienojuma mēģinājumu un ostas sasniedzamību. Izpildiet tās šajā secībā mašīnā, kurā profils jau ir instalēts:

Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443

Ostas tests ir tas, ko nolasa pārāk daudz. TCP 443 klausītājs, kas apkalpo pieteikšanās lapu, un tāds, kas beidz IKEv2, no ārpuses izskatās vienādi, jo osta ir vieta, nevis protokols.

Pierakstiet rezultātu kā trīs laukus, klients, režīms un vārteja, un turiet tos blakus biļetei. Jebkas īsāks atstāj nākamo cilvēku no jauna atklāt to pašu neskaidrību.