Mengapa Android bersambung ke VPN IPsec rumah tetapi Windows tidak

Telefon masuk ke VPN router tanpa rungutan, manakala komputer riba pada Wi-Fi yang sama tidak dapat. Kredensial sama, pelayan sama, minit sama. Bezanya ialah sokongan protokol, bukan kata laluan: router mendedahkan profil yang dilaksanakan satu sistem pengendalian dan tidak pernah dimiliki yang lain.

Kenal pasti profil dahulu, kemudian bandingkan dengan apa yang setiap klien benar-benar tuturkan.

Satu menu, tiga protokol

Di bawah satu tajuk IPsec, firmware pengguna boleh menyembunyikan tiga terowong yang sangat berbeza. Yang pertama ialah IKEv1 dengan XAUTH: rahsia kumpulan dikongsi dan di atasnya nama pengguna serta kata laluan. Yang kedua ialah L2TP/IPsec, di mana PPP berjalan dalam pengangkutan IPsec yang dilindungi kunci dikongsi. Yang ketiga ialah IKEv2, disahkan dengan sijil atau EAP.

Baca medan, bukan label. Rahsia kumpulan dengan senarai pengguna bermaksud IKEv1 XAUTH. Kunci yang dikongsi awal dengan akaun PPP bermaksud L2TP/IPsec. Sijil pelayan tanpa rahsia kumpulan bermaksud IKEv2.

Jurang sokongan antara telefon dan komputer riba

Android membawa klien IKEv1 XAUTH PSK terbina dalam, dan itulah sebabnya telefon berjaya terhadap router yang tidak menawarkan apa-apa lagi. Windows tidak: klien aslinya mengendalikan L2TP/IPsec dan IKEv2, dan tiada pilihan IKEv1 XAUTH untuk dihidupkan. Memasukkan semula rahsia tidak membantu, kerana bahagian yang hilang ialah protokol, bukan kredensial.

Bahagian Apple ialah sasaran bergerak. Keluaran macOS dan iOS yang lebih baharu menuju ke IKEv2, profil lama gaya Cisco bertahan dalam sesetengah binaan, dan kemas kini boleh menarik balik atau mengetatkan apa yang berfungsi bulan lalu. Mac yang bersambung semalam dan tidak hari ini, tanpa perubahan pada router, biasanya ini.

Dua tetapan yang merosakkan profil yang sebenarnya betul

Halaman L2TP/IPsec Synology menawarkan kotak semak bernama Enable SHA2-256 compatible mode (96 bit). Klien Apple sejak iOS 14 dan macOS Big Sur menolak mod terpotong itu, jadi kotak itu mesti tidak ditanda untuk mereka. Jika dibiarkan aktif, terowong disahkan dan kemudian jatuh, yang kelihatan seperti kredensial buruk dan bukan begitu. Pengeluar mendokumenkan suis itu, dan kemas kini sistem pengendalian biasanya menjadi saat ia mula penting.

Windows menyimpan sijil dalam dua stor berasingan, dan IKEv2 hanya membaca stor mesin. Import sijil klien dengan kunci peribadinya ke akaun komputer; sijil yang diletakkan di bawah akaun pengguna anda muncul dalam konsol pengurusan dan tidak pernah sampai ke perkhidmatan IKEv2. EAP-TLS ialah satu-satunya kes di mana sijil pengguna boleh digunakan, dan CA penandatangan masih perlu dipercayai oleh mesin. Kesilapan di sini muncul sebagai kegagalan pengesahan, bukan sebagai permintaan sijil yang hilang.

Apabila router kekal seperti sedia ada

Router yang hanya bertutur XAUTH PSK meninggalkan tiga jalan: klien pengeluar, klien pihak ketiga yang masih melaksanakan profil itu, atau memindahkan hujung terowong ke sesuatu yang bertutur IKEv2. AVM misalnya menerbitkan perisian klien Windows dan fail konfigurasi yang dieksport untuk router-routernya. Jalan itu disokong, dan ia bermakna memasang alat pengeluar pada setiap komputer riba.

Sokongan lebih penting daripada keanggunan apabila komputer riba itu bukan milik anda untuk dibina semula.

Timbal juga kos keselamatan. Satu rahsia kumpulan meliputi semua pengguna, jadi sesiapa yang memilikinya boleh menyamar sebagai pelayan dan menangkap nama pengguna dan kata laluan yang ditawarkan klien. Di tempat IKEv2 dengan sijil tersedia, penghijrahan itu lebih bernilai daripada mana-mana penyelesaian alternatif pada klien.

Diagnos dari luar ke dalam

Dapatkan dahulu satu sesi yang berfungsi daripada telefon, supaya bahagian pelayan terbukti sebelum komputer riba masuk ke dalam gambaran. Kemudian import profil eksport router tanpa perubahan dan baca log klien dan bukannya halaman status router. Jika log tidak menunjukkan sebarang cadangan yang keluar, komputer riba tidak pernah sampai kepada penjawab. Jika cadangan ditukar dan kemudian gagal, perselisihan adalah tentang algoritma, identiti atau kredensial.

Simpan profil telefon yang berfungsi sebagai kawalan. Apabila hanya komputer riba rosak selepas kemas kini firmware, bahagian pelayan berkelakuan seperti sebelum ini. Apabila kedua-duanya rosak, lihat sijil atau pendengar sebelum menyentuh mana-mana klien.