VPN Windows lawan Cisco Secure Client: yang mana betul?

Untuk gateway yang sama datang dua arahan: sambung dengan VPN Windows, atau pasang klien Cisco. Kedua-duanya tidak menamakan pertukaran yang dijangka oleh gateway, kerana Windows mendedahkan beberapa jenis sambungan asli dan klien vendor membawa profil untuk lebih daripada satu mod. Kedua-dua label menerangkan perisian, manakala gateway berunding tentang protokol, pengesahan dan dasar. Jawapannya ada dalam profil, dan ia boleh dibaca tanpa bersambung.

Label menamakan perisian, bukan pertukaran

Jenama dan sistem pengendalian ialah dua fakta berbeza, dan kedua-duanya tidak memilih format wayar. Windows menyertakan satu set jenis asli, dan klien Cisco menyertakan enjin profil yang boleh memacu SSL atau IPsec/IKEv2. Mengelirukan kedua-duanya menghasilkan carta yang membandingkan syarikat dan bukannya pertukaran.

Jadual di bawah menggantikan soalan produk dengan tiga lokasi bacaan dan medan yang dipegang oleh setiap satunya. Catat medan itu, dan kekaburan hilang:

Rujukan Microsoft tentang jenis VPN Windows menyenaraikan IKEv2 dan SSTP antara jenis asli, yang membatalkan tanggapan bahawa profil asli bermaksud PPTP. Dokumentasi profil Cisco menerangkan kedua-dua mod SSL dan mod IPsec/IKEv2 dengan dasar headend yang sepadan. Setiap vendor menawarkan beberapa pilihan, jadi tiada nama yang mengenal pasti satu protokol.

Apa yang jenis asli letakkan pada wayar

IKEv2 berunding tentang persatuan keselamatan melalui UDP dan membawa trafik di dalam IPsec, yang menjadikannya setara dengan pelaksanaan IKEv2 lain dan bukan reka bentuk khusus Microsoft. SSTP membalut PPP di dalam sesi HTTPS, jadi ia melintasi proksi yang IKEv2 tidak boleh dan pada wayar kelihatan seperti TLS tanpa menjadi protokol VPN TLS. Kedua-dua fakta itu menerangkan sebahagian besar tiket yang melaporkan terowong berfungsi pada satu rangkaian dan gagal pada rangkaian lain.

L2TP dengan IPsec dan entri PPTP yang lebih lama berada dalam menu lungsur yang sama, dan kehadirannya di sana tidak mengatakan apa-apa tentang sokongan pelayan. Menu lungsur ialah senarai apa yang boleh dicuba oleh sistem pengendalian, bukan pernyataan keupayaan daripada gateway. Membacanya sebagai senarai sokongan ialah cara pemburuan kelayakan selama dua jam bermula.

Medan yang penting dalam profil asli ialah jenis sambungan, kaedah pengesahan dan identiti pelayan. Jenis yang salah gagal pada peringkat yang berbeza daripada kata laluan yang buruk, dan perbezaan itulah petunjuk yang wajar diikuti.

Apa yang ditambah oleh klien vendor: profil, bukan protokol

Klien Cisco ialah bekas untuk profil. Mod SSL dan mod IPsec/IKEv2 berbeza dari segi pertukaran, jangkaan port dan teks ralat, dan profil yang diimport memilih antara keduanya. Oleh itu memasang klien tidak membuktikan apa-apa tentang kebolehhantaran.

Versi dipasangkan atas sesuatu sebab. Ciri, aliran pengesahan dan pemeriksaan postur dirundingkan antara klien dan headend, jadi klien lama berbanding headend baharu boleh gagal dengan cara yang dibaca seperti kerosakan rangkaian. Pasangan itu tergolong dalam definisi sambungan, bukan dalam nota peningkatan.

Profil yang dieksport daripada organisasi lain jarang sepadan dengan headend tempatan, dan mengimportnya boleh menyebabkan klien menawarkan mod yang tidak dilayani oleh gateway. Baca mod itu daripada profil dahulu, kemudian bandingkannya dengan protokol dan dasar pengesahan yang dikonfigurasikan pada gateway. Hanya selepas kedua-duanya sepadan rangkaian menjadi suspek. Urutan itu menjimatkan tangkapan paket yang akan menunjukkan sesi TLS sihat yang menuju ke perkhidmatan yang salah.

Baca profil tempatan sebelum mengubah apa-apa

Pada Windows konfigurasi asli boleh dibaca tanpa mendail, dan output menamakan jenis dan kaedah pengesahan secara langsung. Bandingkan nilai itu dengan apa yang dikatakan oleh pemilik gateway bahawa headend menerimanya. Jika jenis tidak sepadan dengan tiket, betulkan tiket dahulu, kerana itu lebih murah daripada memasang semula klien yang tidak pernah salah.

Keempat-empat arahan ini meliputi profil, laluannya, percubaan sambungan dan kebolehhantaran port. Jalankannya dalam urutan itu pada mesin yang sudah mempunyai profil dipasang:

Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443

Ujian port ialah yang dibaca berlebihan. Pendengar TCP 443 yang menyajikan halaman log masuk dan satu lagi yang menamatkan IKEv2 kelihatan serupa dari luar, kerana port ialah lokasi dan bukan protokol.

Tulis hasilnya sebagai tiga medan, klien, mod dan gateway, dan simpan di sebelah tiket. Apa-apa yang lebih pendek membiarkan orang seterusnya menemui semula kekaburan yang sama.