Зошто Android се поврзува со домашниот IPsec VPN, а Windows не

Телефонот влегува во VPN-от на рутерот без поплаки, додека лаптопот на истото Wi-Fi не може. Исти податоци за најава, исти сервер, иста минута. Разликата е во поддршката на протоколот, не во лозинката: рутерот нуди профил што еден оперативен систем го спроведува, а другиот никогаш го немал.

Прво препознајте го профилот, потоа споредете го со она што секој клиент навистина го зборува.

Едно мени, три протоколи

Под еден наслов IPsec, потрошувачкиот фирмвер може да скрие три сосема различни тунели. Првиот е IKEv1 со XAUTH: заедничка групна тајна, а врз неа корисничко име и лозинка. Вториот е L2TP/IPsec, каде PPP работи внатре во IPsec транспорт заштитен со заеднички клуч. Третиот е IKEv2, автентифициран со сертификати или EAP.

Читајте ги полињата, не етикетата. Групна тајна и список корисници значи IKEv1 XAUTH. Претходно споделен клуч и PPP сметка значи L2TP/IPsec. Серверски сертификат без групна тајна значи IKEv2.

Јазот во поддршката меѓу телефон и лаптоп

Android има вграден клиент IKEv1 XAUTH PSK, и токму затоа телефонот успева против рутер што не нуди ништо друго. Windows нема: неговиот вграден клиент го поддржува L2TP/IPsec и IKEv2, а опција IKEv1 XAUTH нема за вклучување. Повторното внесување на тајната не помага, зашто недостасува протоколот, не податокот за најава.

Страната на Apple е подвижна цел. Новите изданија на macOS и iOS се движат кон IKEv2, старите профили во стил на Cisco преживуваат во некои градби, а надградбата може да отстрани или затегне тоа што работело минатиот месец. Mac што се поврзувал вчера, а денес не, без промена на рутерот, обично е токму тоа.

Две поставки што кршат инаку исправни профили

Страницата L2TP/IPsec на Synology нуди поле Enable SHA2-256 compatible mode (96 bit). Клиентите на Apple од iOS 14 и macOS Big Sur го одбиваат тој скратен режим, па полето мора да биде исклучено за нив. Ако остане вклучено, тунелот се автентифицира и потоа паѓа, што изгледа како лоши податоци и не е. Производителот го документира прекинувачот, а надградбата на оперативниот систем е обично моментот кога тоа почнува да биде важно.

Windows чува сертификати во две одделни складишта, а IKEv2 го чита само машинското. Увезете го клиентскиот сертификат со неговиот приватен клуч во сметката на компјутерот; сертификат сместен под вашата корисничка сметка се гледа во конзолата за управување и никогаш не стигнува до услугата IKEv2. EAP-TLS е единствениот случај кога кориснички сертификат е употреблив, а CA што потпишува сепак мора да биде доверлив за машината. Грешката овде се гледа како неуспешна автентикација, не како барање за сертификат што недостига.

Кога рутерот останува каков што е

Рутер што зборува само XAUTH PSK остава три патишта: клиентот на производителот, клиент од трета страна што сè уште го спроведува профилот, или преместување на крајот на тунелот на нешто што зборува IKEv2. AVM на пример објавува Windows клиентски софтвер и извезена конфигурациска датотека за своите рутери. Тој пат е поддржан и значи инсталирање на алатката на производителот на секој лаптоп.

Поддршката е поважна од елеганцијата кога лаптопите не се ваши за да ги преправувате.

Измерете ја и цената за безбедност. Една групна тајна ги покрива сите корисници, па кој ја има може да се преправа дека е серверот и да ги фати корисничкото име и лозинката што ги нуди клиентот. Каде што IKEv2 со сертификати е достапен, таа миграција вреди повеќе од секое клиентско заобиколување.

Дијагностицирајте однадвор навнатре

Прво земете една работна сесија од телефонот, за да биде докажана серверската страна пред лаптопот да влезе во слика. Потоа увезете го извезениот профил на рутерот без промени и читајте го дневникот на клиентот наместо страницата со состојба на рутерот. Ако дневникот не покажува излезна понуда, лаптопот никогаш не стигнал до одговорачот. Ако понудите се разменат и потоа не успеат, несогласувањето е околу алгоритми, идентитет или податоци за најава.

Држете го работниот профил на телефонот како контрола. Кога по надградба на фирмверот се расипува само лаптопот, серверската страна се однесува како порано. Кога се расипуваат двете, погледнете го сертификатот или слушателот пред да допрете кој било клиент.