Hvorfor Android kobler til hjemmets IPsec-VPN og Windows ikke

Telefonen går inn i ruterens VPN uten klager, mens laptopen på samme Wi-Fi ikke får det til. Samme påloggingsdetaljer, samme server, samme minutt. Forskjellen er protokollstøtte, ikke passordet: ruteren viser en profil som ett operativsystem implementerer og et annet aldri har hatt.

Identifiser profilen først, og sammenlign den deretter med det hver klient faktisk snakker.

Én meny, tre protokoller

Under én IPsec-overskrift kan forbrukerfastvare skjule tre helt forskjellige tunneler. Den første er IKEv1 med XAUTH: en felles gruppehemmelighet og oppå der et brukernavn og et passord. Den andre er L2TP/IPsec, der PPP kjører inne i en IPsec-transport beskyttet av en felles nøkkel. Den tredje er IKEv2, autentisert med sertifikater eller EAP.

Les feltene, ikke etiketten. En gruppehemmelighet pluss en brukerliste betyr IKEv1 XAUTH. En forhåndsdelt nøkkel pluss en PPP-konto betyr L2TP/IPsec. Et serversertifikat uten gruppehemmelighet betyr IKEv2.

Støttegapet mellom telefon og laptop

Android har en innebygd IKEv1 XAUTH PSK-klient, og nettopp derfor lykkes telefonen mot en ruter som ikke tilbyr noe annet. Windows har det ikke: den innebygde klienten håndterer L2TP/IPsec og IKEv2, og det finnes ingen IKEv1 XAUTH-innstilling å slå på. Å skrive hemmeligheten på nytt hjelper ikke, fordi det som mangler er protokollen, ikke påloggingsdetaljene.

Apples side er et bevegelig mål. Nyere macOS- og iOS-versjoner drar mot IKEv2, gamle profiler i Cisco-stil overlever i noen bygg, og en oppgradering kan fjerne eller stramme det som virket forrige måned. En Mac som koblet til i går og ikke i dag, uten endring på ruteren, er vanligvis dette.

To innstillinger som ødelegger ellers riktige profiler

Synologys L2TP/IPsec-side har en avkrysningsboks kalt Enable SHA2-256 compatible mode (96 bit). Apples klienter fra iOS 14 og macOS Big Sur avviser den avkortede modusen, så boksen må være av for dem. Blir den stående på, autentiserer tunnelen og faller deretter, noe som ser ut som dårlige påloggingsdetaljer og ikke er det. Produsenten dokumenterer bryteren, og en oppgradering av operativsystemet er vanligvis øyeblikket der dette begynner å bety noe.

Windows oppbevarer sertifikater i to separate lagre, og IKEv2 leser bare maskinlagret. Importer klientsertifikatet med den private nøkkelen i datamaskinkontoen; et sertifikat som ligger under din egen brukerkonto, vises i administrasjonskonsollen og når aldri IKEv2-tjenesten. EAP-TLS er det eneste tilfellet der et brukersertifikat kan brukes, og den signerende CA-en må fortsatt være klarert av maskinen. Gjør man dette feil, viser det seg som en autentiseringsfeil, ikke som en forespørsel om et manglende sertifikat.

Når ruteren blir stående som den er

En ruter som bare snakker XAUTH PSK, etterlater tre veier: produsentens klient, en tredjepartsklient som fortsatt implementerer profilen, eller å flytte tunnelepunket til noe som snakker IKEv2. AVM utgir for eksempel Windows-klientsoftware og en eksportert konfigurasjonsfil for ruterne sine. Den veien støttes, og den betyr å installere produsentens verktøy på hver laptop.

Støtte betyr mer enn eleganse når laptoppene ikke er dine å bygge opp på nytt.

Vei også sikkerhetskostnaden. Én gruppehemmelighet dekker alle brukere, så den som har den, kan opptre som serveren og fange brukernavnet og passordet klienten tilbyr. Der IKEv2 med sertifikater er tilgjengelig, er den migreringen mer verdt enn noen klientomvei.

Diagnostiser utenfra og inn

Skaff først en fungerende økt fra telefonen, slik at serversiden er bevist før laptopen kommer inn i bildet. Importer deretter ruterens eksporterte profil uendret og les klientloggen i stedet for ruterens statusside. Hvis loggen ikke viser noe forslag på vei ut, nådde laptopen aldri responder-en. Hvis forslag utveksles og deretter feiler, gjelder uenigheten algoritmer, identitet eller påloggingsdetaljer.

Hold den fungerende telefonprofilen som kontroll. Når bare laptopen ryker etter en fastvareoppdatering, oppfører serversiden seg som før. Når begge ryker, se på sertifikatet eller lytteren før du berører noen klient.