VPN во Windows наспроти Cisco Secure Client: кој е вистинскиот?
Брендот не е име на протокол: Windows нуди неколку вградени типови, а клиентот на Cisco носи профили за повеќе од еден режим. Прочитајте го профилот.
За истиот портал пристигнуваат две инструкции: поврзете се со VPN во Windows или инсталирајте го клиентот на Cisco. Ниту една не го именува разменувањето што го очекува порталот, бидејќи Windows изложува неколку вградени типови на врска, а клиентот на добавувачот носи профили за повеќе од еден режим. Двете ознаки опишуваат софтвер, додека порталот преговара за протокол, автентикација и политика. Одговорот е во профилот и може да се прочита без поврзување.
Ознаката именува софтвер, не разменување
Брендот и оперативниот систем се два различни факти и ниту еден не избира формат на жица. Windows испорачува збир вградени типови, а клиентот на Cisco испорачува профилен мотор што може да управува со SSL или IPsec/IKEv2. Мешањето на двете создава табели што споредуваат компании наместо разменувања.
Табелата подолу го заменува прашањето за производот со три места за читање и полето што го држи секое од нив. Запишете ги тие полиња и двосмисленоста исчезнува:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Упатството на Microsoft за типовите VPN во Windows ги наведува IKEv2 и SSTP меѓу вградените типови, што ја отфрла идејата дека вграден профил значи PPTP. Документацијата на Cisco за профили го опишува и режимот SSL и режимот IPsec/IKEv2 со соодветна политика на централниот јазол. Секој добавувач нуди неколку опции, така што ниту едно име не идентификува еден протокол.
Што ставаат вградените типови на жицата
IKEv2 преговара за безбедносни асоцијации преку UDP и пренесува сообраќај внатре во IPsec, што го прави рамноправен со другите имплементации на IKEv2, а не дизајн специфичен за Microsoft. SSTP го завиткува PPP во HTTPS сесија, па поминува низ проксија низ кои IKEv2 не може и на жицата изгледа како TLS, без да е TLS VPN протокол. Овие два факти го објаснуваат најголемиот дел од тикетот што известува дека тунелот работи на една мрежа, а не успева на друга.
L2TP со IPsec и постариот запис PPTP стојат во истиот паѓачки список, а нивното присуство таму не кажува ништо за поддршката од серверот. Паѓачки список е мени на она што оперативниот систем може да го обиде, не изјава за можности од порталот. Да се чита како список за поддршка е начинот на кој започнува двосатна потрага по акредитиви.
Полињата што се важни во вграден профил се типот на врска, методот на автентикација и идентитетот на серверот. Погрешниот тип не успева во друга фаза од лоша лозинка, и токму таа разлика е трагата што вреди да се следи.
Што додава клиентот на добавувачот: профили, не протокол
Клиентот на Cisco е контејнер за профили. Режимот SSL и режимот IPsec/IKEv2 се разликуваат во разменувањето, очекувањата за портата и текстот на грешката, а увезениот профил избира меѓу нив. Затоа инсталирањето на клиентот не докажува ништо за достапноста.
Верзиите се спаруваат со причина. Функциите, текот на автентикација и проверките на состојбата се преговараат меѓу клиентот и централниот јазол, па стар клиент наспроти нов јазол може да не успее на начин што се чита како мрежен дефект. Тоа спарување припаѓа на дефиницијата на врската, не на белешка за надградба.
Профил извезен од друга организација ретко се совпаѓа со локалниот централен јазол, а неговото увезување може да го остави клиентот да нуди режим што порталот не го служи. Прво прочитајте го режимот од профилот, потоа споредете го со конфигурираниот протокол и политиката за автентикација на порталот. Само откако тие ќе се совпаднат, мрежата станува сомнителна. Овој редослед зачувува снимање на пакети што би покажало здрава TLS сесија насочена кон погрешна услуга.
Прочитајте го локалниот профил пред да промените нешто
Во Windows вградената конфигурација може да се прочита без бирање, а излезот директно ги именува типот и методот на автентикација. Споредете ги тие вредности со она што сопственикот на порталот го вели дека јазолот го прифаќа. Ако типот не се совпаѓа со тикетот, прво поправете го тикетот, бидејќи тоа е поефтино отколку повторно да се инсталира клиент што никогаш не бил погрешен.
Овие четири команди го покриваат профилот, неговите рути, обидот за поврзување и достапноста на портата. Извршете ги по тој редослед на машина каде профилот е веќе инсталиран:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Тестот на портата е оној што се пречитува. Слушач на TCP 443 што служи страница за најава и оној што го завршува IKEv2 изгледаат идентично однадвор, бидејќи портата е место, а не протокол.
Запишете го резултатот како три полиња, клиент, режим и портал, и држете ги до тикетот. Сето пократко го остава следниот човек повторно да ја открие истата двосмисленост.