Waarom Android wél verbindt met de IPsec-VPN thuis en Windows niet

De telefoon stapt zonder klagen in de VPN van de router, terwijl de laptop op dezelfde Wi-Fi het niet redt. Dezelfde inloggegevens, dezelfde server, dezelfde minuut. Het verschil is protocolondersteuning, niet het wachtwoord: de router toont een profiel dat het ene besturingssysteem implementeert en het andere nooit heeft gehad.

Stel eerst het profiel vast en vergelijk het daarna met wat elke client werkelijk spreekt.

Eén menu, drie protocollen

Onder één IPsec-kop kan consumentenfirmware drie heel verschillende tunnels verbergen. De eerste is IKEv1 met XAUTH: een gedeeld groepsgeheim en daar bovenop een gebruikersnaam en wachtwoord. De tweede is L2TP/IPsec, waarbij PPP binnen een met een gedeelde sleutel beveiligde IPsec-transport loopt. De derde is IKEv2, geauthenticeerd met certificaten of EAP.

Lees de velden, niet het label. Een groepsgeheim plus een gebruikerslijst betekent IKEv1 XAUTH. Een vooraf gedeelde sleutel plus een PPP-account betekent L2TP/IPsec. Een servercertificaat zonder groepsgeheim betekent IKEv2.

Het ondersteuningsgat tussen telefoon en laptop

Android heeft een ingebouwde IKEv1 XAUTH PSK-client, en juist daarom lukt de telefoon bij een router die niets anders biedt. Windows niet: de eigen client handelt L2TP/IPsec en IKEv2 af, en er is geen IKEv1 XAUTH-optie om aan te zetten. Het geheim opnieuw invoeren helpt niet, want het ontbrekende stuk is het protocol, niet de inloggegevens.

De kant van Apple is een bewegend doel. Nieuwere macOS- en iOS-versies gaan richting IKEv2, oude profielen in Cisco-stijl overleven in sommige builds, en een update kan weghalen of aanscherpen wat vorige maand nog werkte. Een Mac die gisteren verbond en vandaag niet, zonder wijziging aan de router, is meestal dit.

Twee instellingen die verder correcte profielen breken

De L2TP/IPsec-pagina van Synology biedt een selectievakje Enable SHA2-256 compatible mode (96 bit). Apples clients vanaf iOS 14 en macOS Big Sur weigeren die afgekorte modus, dus het vakje moet voor hen uit staan. Blijft het aan, dan authenticeert de tunnel en valt daarna weg, wat op slechte inloggegevens lijkt en dat niet is. De fabrikant documenteert de schakelaar, en een besturingssysteemupdate is meestal het moment waarop dit gaat tellen.

Windows bewaart certificaten in twee aparte opslagplaatsen, en IKEv2 leest alleen die van de machine. Importeer het clientcertificaat met de bijbehorende persoonlijke sleutel in het computeraccount; een certificaat onder uw eigen gebruikersaccount verschijnt in de beheerconsole en bereikt de IKEv2-service nooit. EAP-TLS is het enige geval waarin een gebruikerscertificaat bruikbaar is, en de ondertekenende CA moet nog steeds door de machine worden vertrouwd. Fout doen toont zich als een authenticatiefout, niet als een vraag om een ontbrekend certificaat.

Wanneer de router blijft zoals hij is

Een router die alleen XAUTH PSK spreekt, laat drie wegen: de client van de fabrikant, een client van derden die het profiel nog implementeert, of het tunnel-eindpunt verplaatsen naar iets dat IKEv2 spreekt. AVM publiceert bijvoorbeeld Windows-clientsoftware en een geëxporteerd configuratiebestand voor zijn routers. Die weg wordt ondersteund, en hij betekent op elke laptop een hulpprogramma van de fabrikant installeren.

Ondersteuning telt zwaarder dan elegantie wanneer de laptops niet van u zijn om opnieuw op te bouwen.

Weeg ook de veiligheidskosten. Eén groepsgeheim dekt alle gebruikers, dus wie het heeft kan zich als server voordoen en de gebruikersnaam en het wachtwoord onderscheppen die de client aanbiedt. Waar IKEv2 met certificaten beschikbaar is, is die migratie meer waard dan welke clientomweg dan ook.

Diagnosticeer van buiten naar binnen

Haal eerst één werkende sessie van de telefoon, zodat de serverkant bewezen is voordat de laptop in beeld komt. Importeer daarna het geëxporteerde profiel van de router ongewijzigd en lees het clientlog in plaats van de statuspagina van de router. Toont het log geen uitgaand voorstel, dan heeft de laptop de responder nooit bereikt. Worden voorstellen uitgewisseld en mislukken ze daarna, dan gaat het meningsverschil over algoritmen, identiteit of inloggegevens.

Houd het werkende telefoonprofiel als controle. Wanneer na een firmware-update alleen de laptop stukgaat, gedraagt de serverkant zich als voorheen. Wanneer beide stukgaan, kijk dan naar het certificaat of de listener voordat u een client aanraakt.