Windows VPN kontra Cisco Secure Client: hva gjelder?

For samme gateway kommer to instrukser inn: koble til med Windows VPN, eller installer Cisco-klienten. Ingen av dem navngir utvekslingen gatewayen forventer, fordi Windows eksponerer flere innebygde tilkoblingstyper og leverandørens klient bærer profiler for mer enn én modus. Begge etikettene beskriver programvare, mens gatewayen forhandler protokoll, autentisering og policy. Svaret ligger i profilen, og den kan leses uten å koble til.

Etiketten navngir programvare, ikke en utveksling

Et merke og et operativsystem er to forskjellige fakta, og ingen av dem velger et format på ledningen. Windows leverer et sett innebygde typer, og Cisco-klienten leverer en profilmotor som kan drive SSL eller IPsec/IKEv2. Å blande de to gir diagrammer som sammenligner selskaper i stedet for å sammenligne utvekslinger.

Tabellen nedenfor erstatter produktspørsmålet med tre lesesteder og feltet hver av dem holder. Noter disse feltene, og tvetydigheten forsvinner:

Microsofts referanse til VPN-typer i Windows lister IKEv2 og SSTP blant de innebygde typene, noe som avliver ideen om at en innebygd profil betyr PPTP. Ciscos profildokumentasjon beskriver både SSL-modus og IPsec/IKEv2-modus med samsvarende headend-policy. Hver leverandør tilbyr flere valg, så ingen av navnene peker ut én protokoll.

Hva de innebygde typene legger på ledningen

IKEv2 forhandler sikkerhetsassosiasjoner over UDP og bærer trafikk inne i IPsec, noe som gjør det til en likeverdig part med andre IKEv2-implementasjoner og ikke et Microsoft-spesifikt design. SSTP pakker PPP inn i en HTTPS-økt, så det passerer proxyer som IKEv2 ikke kan, og ser ut som TLS på ledningen uten å være en TLS VPN-protokoll. Disse to fakta forklarer det meste av en sak som melder at tunnelen virker på ett nettverk og feiler på et annet.

L2TP med IPsec og den eldre PPTP-oppføringen står i samme rullegardin, og deres tilstedeværelse der sier ingenting om serverstøtte. En rullegardin er en meny over hva operativsystemet kan forsøke, ikke en kapabilitetserklæring fra gatewayen. Å lese den som en støtteliste er hvordan en to timers jakt på påloggingsinformasjon begynner.

Feltene som betyr noe i en innebygd profil, er tilkoblingstypen, autentiseringsmetoden og serveridentiteten. Feil type feiler på et annet trinn enn et dårlig passord, og den forskjellen er sporet som er verdt å følge.

Hva en leverandørklient tilfører: profiler, ikke en protokoll

Cisco-klienten er en beholder for profiler. En SSL-modus og en IPsec/IKEv2-modus skiller seg i utveksling, portforventninger og feiltekst, og den importerte profilen velger mellom dem. Å installere klienten beviser derfor ingenting om tilgjengelighet.

Versjoner pares av en grunn. Funksjoner, autentiseringsflyter og posturesjekker forhandles mellom klient og headend, så en gammel klient mot en ny headend kan feile på en måte som leses som en nettverksfeil. Den parringen hører i tilkoblingsdefinisjonen, ikke i et oppgraderingsnotat.

En profil eksportert fra en annen organisasjon passer sjelden til den lokale headenden, og import av den kan etterlate klienten med å tilby en modus gatewayen ikke betjener. Les først modusen ut av profilen, og sammenlign den deretter med gatewayens konfigurerte protokoll og autentiseringspolicy. Først når de stemmer, blir nettverket en mistenkt. Den rekkefølgen sparer en pakkefangst som ville ha vist en sunn TLS-økt rettet mot feil tjeneste.

Les den lokale profilen før du endrer noe

På Windows kan den innebygde konfigurasjonen leses uten å ringe, og utdataene navngir typen og autentiseringsmetoden direkte. Sammenlign disse verdiene med det gatewayens eier sier at headenden godtar. Hvis typen avviker fra saken, rett saken først, fordi det er billigere enn å installere på nytt en klient som aldri var feil.

Disse fire kommandoene dekker profilen, rutene dens, tilkoblingsforsøket og portens tilgjengelighet. Kjør dem i den rekkefølgen på en maskin der profilen allerede er installert:

Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443

Porttesten er den som leses for mye. En TCP 443-lytter som serverer en påloggingsside, og en som avslutter IKEv2, ser like ut utenfra, fordi porten er et sted og ikke en protokoll.

Skriv resultatet som tre felt, klient, modus og gateway, og hold dem ved siden av saken. Alt kortere overlater til neste person å gjenoppdage den samme tvetydigheten.