Windows VPN эсвэл Cisco Secure Client: аль нь зөв вэ?
Брэнд нь протоколын нэр биш: Windows хэд хэдэн дотоод төрлийг санал болгодог бөгөөд Cisco клиент нэгээс олон горимын профайлыг агуулдаг. Профайлыг уншаарай.
Ижил гарцад хоёр заавар ирдэг: Windows VPN-ээр холбогдох эсвэл Cisco клиентийг суулгах. Аль нь ч гарцын хүлээж буй солилцоог нэрлэхгүй, учир нь Windows хэд хэдэн дотоод холболтын төрлийг харуулж, нийлүүлэгчийн клиент нэгээс олон горимын профайлыг агуулдаг. Хоёр шошго програм хангамжийг тодорхойлдог бол гарц протокол, баталгаажуулалт, бодлогын талаар хэлэлцдэг. Хариулт нь профайлд байгаа бөгөөд холбогдохгүйгээр уншиж болно.
Шошго програм хангамжийг нэрлэдэг, солилцоог биш
Брэнд болон үйлдлийн систем нь хоёр өөр баримт бөгөөд аль нь ч утасны форматыг сонгодоггүй. Windows дотоод төрлүүдийн багцыг нийлүүлдэг бол Cisco клиент SSL эсвэл IPsec/IKEv2 удирдаж чадах профайл хөдөлгүүрийг нийлүүлдэг. Хоёулыг хольсон нь солилцоог биш, компаниудыг харьцуулсан хүснэгтүүдийг бий болгодог.
Доорх хүснэгт бүтээгдэхүүний асуултыг унших гурван газар болон тус бүрд хадгалах талбараар сольдог. Тэдгээр талбарыг тэмдэглээрэй, тэгвэл хоёрдмол утга арилна:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsoft-ын Windows VPN төрлийн лавлагаа дотоод төрлүүдийн дунд IKEv2 болон SSTP-г жагсаасан байдаг нь дотоод профайл гэдэг нь PPTP гэсэн ойлголтыг няцаадаг. Cisco-гийн профайлын баримт бичиг тохирох төв зангилааны бодлоготой SSL болон IPsec/IKEv2 горимыг хоёуланг нь тайлбарладаг. Нийлүүлэгч бүр хэд хэдэн сонголт санал болгодог тул ямар ч нэр нэг протоколыг заадаггүй.
Дотоод төрлүүд утсан дээр юу тавьдаг вэ
IKEv2 UDP дээгүүр аюулгүй байдлын ассоциацийн талаар хэлэлцэж, урсгалыг IPsec дотор зөөдөг нь түүнийг Microsoft-д онцгой биш, бусад IKEv2 хэрэгжүүлэлттэй адил түвшинд тавьдаг. SSTP PPP-г HTTPS сессийн дотор боож, IKEv2 нэвтэрч чадахгүй проксигоор дамждаг бөгөөд утсан дээр TLS мэт харагддаг ч TLS VPN протокол биш. Эдгээр хоёр баримт нь туннель нэг сүлжээнд ажиллаж, нөгөөд нь бүтэлгүйтдэг гэсэн тасалбарын ихэнхийг тайлбарладаг.
IPsec-тай L2TP болон хуучин PPTP бичлэг нэг унадаг цэсэнд байдаг бөгөөд тэдний тэнд байгаа нь серверийн дэмжлэгийн талаар юу ч хэлэхгүй. Унадаг цэс бол үйлдлийн систем туршиж үзэж болох зүйлсийн цэс, гарцын чадварын мэдэгдэл биш. Үүнийг дэмжлэгийн жагсаалт гэж унших нь хоёр цагийн нэвтрэх мэдээлэл хайлтын эхлэл юм.
Дотоод профайлд чухал талбарууд нь холболтын төрөл, баталгаажуулалтын арга, серверийн таних мэдээлэл юм. Буруу төрөл нь муу нууц үгээс өөр үе шатанд бүтэлгүйтдэг бөгөөд энэ ялгаа нь дагах үнэ цэнэтэй ул мөр юм.
Нийлүүлэгчийн клиент юу нэмдэг вэ: профайл, протокол биш
Cisco клиент нь профайлын сав юм. SSL горим болон IPsec/IKEv2 горим нь солилцоо, портын хүлээлт, алдааны текстээр ялгаатай бөгөөд импортолсон профайл тэдгээрийн хооронд сонголт хийдэг. Тиймээс клиентийг суулгах нь хүртээмжийн талаар юу ч нотолдоггүй.
Хувилбарууд нэг шалтгаанаар хослогддог. Функцууд, баталгаажуулалтын урсгал, төлөвийн шалгалтууд клиент болон төв зангилааны хооронд хэлэлцэгддэг тул хуучин клиент шинэ зангилааны эсрэг сүлжээний гэмтэл мэт уншигдах байдлаар бүтэлгүйтэж болно. Энэ хослол нь холболтын тодорхойлолтод хамаарах бөгөөд шинэчлэлтийн тэмдэглэлд биш.
Өөр байгууллагаас экспортолсон профайл нь орон нутгийн төв зангилаатай ховор тохирдог бөгөөд түүнийг импортлох нь клиентийг гарцын үйлчилдэггүй горимыг санал болгож үлдээж болно. Эхлээд горимыг профайлаас уншаад, дараа нь гарцын тохируулсан протокол, баталгаажуулалтын бодлоготой харьцуулаарай. Тэдгээр тохирсны дараа л сүлжээ сэжигтэй болдог. Энэ дараалал нь буруу үйлчилгээ рүү чиглэсэн эрүүл TLS сессийг харуулах байсан пакет бичлэгийг хэмнэдэг.
Ямар нэг зүйлийг өөрчлөхийн өмнө орон нутгийн профайлыг уншаарай
Windows дээр дотоод тохиргоог дугаарлахгүйгээр уншиж болох бөгөөд гаралт нь төрөл болон баталгаажуулалтын аргыг шууд нэрлэдэг. Эдгээр утгыг гарцын эзэн зангилаа хүлээн авдаг гэж хэлсэнтэй харьцуулаарай. Хэрэв төрөл тасалбартай зөрүүтэй бол эхлээд тасалбарыг засаарай, учир нь хэзээ ч буруу байгаагүй клиентийг дахин суулгахаас энэ нь хямд.
Эдгээр дөрвөн команд нь профайл, түүний маршрут, холболтын оролдлого, портын хүртээмжийг хамардаг. Профайл аль хэдийн суулгасан машин дээр тэдгээрийг энэ дарааллаар ажиллуулаарай:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Портын тест бол хэт их уншигддаг тест юм. Нэвтрэх хуудас үйлчилдэг TCP 443 сонсогч болон IKEv2-ыг дуусгадаг нь гаднаас ижил харагдана, учир нь порт бол байршил, протокол биш.
Үр дүнг гурван талбар болгон бичээрэй: клиент, горим, гарц, мөн тэдгээрийг тасалбарын хажууд байлгаарай. Үүнээс богинохон зүйл дараагийн хүнд ижил хоёрдмол утгыг дахин нээх боломж үлдээдэг.