Яагаад Android гэрийн IPsec VPN-д холбогдож, Windows холбогдохгүй байна

Утас роутерын VPN-д гомдолгүй ордог бол ижил Wi-Fi дээрх зөөврийн компьютер орж чадахгүй. Ижил нэвтрэх мэдээлэл, ижил сервер, ижил минут. Ялгаа нь протоколын дэмжлэгт, нууц үгэд биш: роутер нэг үйлдлийн систем хэрэгжүүлдэг, нөгөө нь хэзээ ч байгаагүй профайлыг харуулдаг.

Эхлээд профайлыг тодорхойл, дараа нь клиент бүрийн бодитоор ярьдаг зүйлтэй харьцуул.

Нэг цэс, гурван протокол

Нэг IPsec гарчгийн доор хэрэглэгчийн firmware гурван огт өөр туннелийг нууж чадна. Эхнийх нь XAUTH-тай IKEv1: нийтлэг бүлгийн нууц, түүн дээр хэрэглэгчийн нэр, нууц үг. Хоёр дахь нь L2TP/IPsec, PPP нь нийтлэг түлхүүрээр хамгаалагдсан IPsec тээврийн дотор ажилладаг. Гурав дахь нь IKEv2 бөгөөд сертификат эсвэл EAP-аар баталгааждаг.

Талбарыг унш, шошгыг биш. Бүлгийн нууц ба хэрэглэгчийн жагсаалт нь IKEv1 XAUTH гэсэн үг. Урьдчилан хуваалцсан түлхүүр ба PPP бүртгэл нь L2TP/IPsec гэсэн үг. Бүлгийн нууцгүй серверийн сертификат нь IKEv2 гэсэн үг.

Утас ба зөөврийн компьютерын хоорондох дэмжлэгийн зөрүү

Android-д IKEv1 XAUTH PSK клиент суулгагдсан байдаг, яг үүнээс болж утас өөр юу ч санал болгодоггүй роутертай амжилттай ажилладаг. Windows-д байхгүй: түүний үндсэн клиент L2TP/IPsec ба IKEv2-ыг дэмждэг, асаах IKEv1 XAUTH сонголт байхгүй. Нууцыг дахин оруулснаар тус болохгүй, учир нь дутагдаж байгаа нь протокол, нэвтрэх мэдээлэл биш.

Apple-ын тал бол хөдөлгөөнт зорилт. Шинэ macOS ба iOS хувилбарууд IKEv2 рүү чиглэдэг, хуучин Cisco загварын профайлууд зарим бүтээцэд үлддэг, шинэчлэлт өнгөрсөн сард ажиллаж байсныг хасаж эсвэл чангатгаж болно. Өчигдөр холбогдож, өнөөдөр холбогдохгүй байгаа Mac, роутер өөрчлөгдөөгүй бол ихэвчлэн энэ.

Зөв профайлыг эвддэг хоёр тохиргоо

Synology-ийн L2TP/IPsec хуудас Enable SHA2-256 compatible mode (96 bit) гэсэн чекбокс санал болгодог. iOS 14 ба macOS Big Sur-аас эхлэн Apple-ын клиентүүд тэр богиносгосон горимыг үгүйсгэдэг тул тэдэнд чекбоксыг унтраасан байх ёстой. Асаалттай үлдвэл туннель баталгаажиж, дараа нь унадаг нь муу нэвтрэх мэдээлэл мэт харагддаг боловч тийм биш. Үйлдвэрлэгч унтраалгыг баримтжуулдаг бөгөөд үйлдлийн системийн шинэчлэлт үүнийг чухал болгож эхлэх мөч ихэвчлэн тохиодог.

Windows сертификатуудыг хоёр тусдаа санд хадгалдаг ба IKEv2 зөвхөн машины саныг уншдаг. Клиентийн сертификатыг хувийн түлхүүртэй нь компьютерийн бүртгэлд импортол; өөрийн хэрэглэгчийн бүртгэлийн доор байрлуулсан сертификат удирдлагын консольд харагдах боловч IKEv2 үйлчилгээнд хэзээ ч хүрэхгүй. EAP-TLS бол хэрэглэгчийн сертификат ашиглагдах цорын ганц тохиолдол бөгөөд гарын үсэг зурсан CA машин итгэх ёстой хэвээр. Энд алдвал баталгаажуулалтын алдаа мэт харагдана, дутуу сертификатын хүсэлт мэт биш.

Роутер хэвээрээ үлдэх үед

Зөвхөн XAUTH PSK ярьдаг роутер гурван зам үлдээдэг: үйлдвэрлэгчийн клиент, профайлыг одоо ч хэрэгжүүлдэг гуравдагч талын клиент, эсвэл туннелийн төгсгөлийг IKEv2 ярьдаг зүйл рүү зөөх. Жишээ нь AVM өөрийн роутеруудад зориулж Windows клиент програм ба экспортолсон тохиргооны файлыг нийтэлдэг. Тэр зам дэмжигддэг бөгөөд зөөврийн компьютер бүрт үйлдвэрлэгчийн хэрэгслийг суулгахыг хэлнэ.

Зөөврийн компьютер таных биш бол дахин бүтээхэд дэмжлэг нь гоо сайхнаас чухал.

Аюулгүй байдлын өртгийг ч жинлэ. Нэг бүлгийн нууц бүх хэрэглэгчийг хамардаг тул хэн түүнийг эзэмшвэл серверийн оронд зогсож, клиентийн санал болгож буй хэрэглэгчийн нэр, нууц үгийг барьж чадна. IKEv2 сертификаттай боломжтой газарт тэр шилжилт ямар ч клиентийн тойрч гарахаас илүү үнэ цэнэтэй.

Гаднаас дотогш оношил

Эхлээд утаснаас нэг ажиллаж буй сессийг ав, зөөврийн компьютер оролцохоос өмнө серверийн тал нотлогдсон байг. Дараа нь роутерын экспортолсон профайлыг өөрчлөлгүй импортолж, роутерын төлөвийн хуудасны оронд клиентийн логыг унш. Логт гарч буй санал байхгүй бол зөөврийн компьютер хариулагч руу хэзээ ч хүрээгүй. Саналууд солилцож, дараа нь бүтэлгүйтвэл зөрүү нь алгоритм, таних тэмдэг эсвэл нэвтрэх мэдээллийн тухай.

Ажиллаж буй утасны профайлыг хяналт болгон хадгал. Firmware шинэчлэлтийн дараа зөвхөн зөөврийн компьютер эвдэрвэл серверийн тал урьдын адил ажиллана. Хоёулаа эвдэрвэл аль ч клиентэд хүрэхийн өмнө сертификат эсвэл сонсогчийг хар.