Kvifor Android får samband med IPsec-VPN-en i heimen medan Windows ikkje får det

Telefonen kjem inn i VPN-en til rutaren utan å klaga, medan den berbare på den same Wi-Fi-en ikkje slepp inn. Same innlogging, same tenar, same minutt. Det som skil er støtta for protokollen, ikkje passordet: rutaren syner ein profil som det eine styresystemet har bygt inn og det andre aldri har hatt.

Finn fram til profilen fyrst, og samanlikn han så med det kvar klient verkeleg talar.

Ei liste, tre protokollar

Under eitt IPsec-namn kan fastvaren i ein heimerutar gøyma tre ganske ulike tunnelar. Den fyrste er IKEv1 med XAUTH: ei felles gruppehemmelegheit, og over henne eit brukarnamn og eit passord. Den andre er L2TP/IPsec, der PPP gjev seg inn i ein IPsec-transport som ein felles nøkkel vaktar. Den tredje er IKEv2, stadfesta med sertifikat eller EAP.

Sjå på felta, ikkje på merket. Gruppehemmelegheit og brukarliste tyder IKEv1 XAUTH. Ein nøkkel delt på førehand og ein PPP-konto tyder L2TP/IPsec. Eit tenarsertifikat utan gruppehemmelegheit tyder IKEv2.

Skillnaden i støtte mellom telefon og berbar

Android har ein IKEv1 XAUTH PSK-klient innebygd, og difor går telefonen gjennom hjå ein rutar som ikkje byr på noko anna. Windows gjer ikkje det: klienten som fylgjer med, tek L2TP/IPsec og IKEv2, og det finst ingen IKEv1 XAUTH å slå på. Det hjelper ikkje å skriva hemmelegheita inn att, for det som manglar er protokollen og ikkje innlogginga.

Apple-sida er eit mål som flyttar seg. Nye macOS- og iOS-utgåver dreg mot IKEv2, gamle profilar i Cisco-stil held seg i somme bygg, og ei oppdatering kan ta bort eller strama inn det som fungerte månaden før. Ein Mac som kom inn i går og ikkje i dag, utan at rutaren er endra, er som regel nettopp dette.

To innstillingar som øydelegg profilar som elles er rette

Synology har ei side for L2TP/IPsec med ein hake kalla Enable SHA2-256 compatible mode (96 bit). Apple-klientane frå iOS 14 og macOS Big Sur og oppover vil ikkje ha den avkorta modusen, så haken må vera av for dei. Står han på, stadfester tunnelen seg og dett så ned, og det ser ut som dårleg innlogging utan å vera det. Fabrikanten skriv om brytaren, og ei oppgradering av styresystemet er som regel den stunda då dette byrjar å gjelda.

Windows held sertifikat i to skilde lager, og IKEv2 les berre det som høyrer til maskina. Før inn klientsertifikatet med den private nøkkelen sin i datamaskinkontoen; eit sertifikat som ligg under din eigen brukarkonto, kjem til syne i styrekonsollen og når aldri fram til IKEv2-tenesta. EAP-TLS er det einaste høvet der eit brukarsertifikat kan nyttast, og CA-en som signerer må framleis vera til å lita på for maskina. Gjer ein feil her, syner det seg som ein feil i stadfestinga og ikkje som ei oppmoding om eit sertifikat som manglar.

Når rutaren blir ståande som han er

Ein rutar som berre talar XAUTH PSK, lèt tre vegar opne: klienten frå fabrikanten, ein klient frå ein tredjepart som enno byggjer inn profilen, eller å flytta enden av tunnelen over til noko som talar IKEv2. AVM gjev til dømes ut Windows-klientprogramvare og ei utførd konfigurasjonsfil for rutarane sine. Den vegen er støtta, og han inneber å leggja inn fabrikantens reiskap på kvar berbar.

Støtte veg tyngre enn fint utstyr når dei berbare ikkje er dine å byggja opp att.

Sjå òg på kva tryggleiken kostar. Ei gruppehemmelegheit dekkjer alle brukarane, så den som sit med henne, kan gje seg ut for tenaren og fanga brukarnamnet og passordet som klienten legg fram. Der IKEv2 med sertifikat er å få, er den overgangen verd meir enn noko slag omveg på klienten.

Granska utanfrå og innover

Få fyrst til ei økt som verkar frå telefonen, så tenarsida er prova før den berbare kjem med i biletet. Før så inn profilen rutaren har ført ut, utan endringar, og les loggen til klienten i staden for statussida til rutaren. Syner loggen ingen framlegg som går ut, nådde den berbare aldri fram til svararen. Blir framlegg bytte og så mislukkast, står striden om algoritmar, identitet eller innlogging.

Hald på telefonprofilen som verkar, og bruk han som kontroll. Når berre den berbare raknar etter ei fastvareoppdatering, gjer tenarsida som før. Når båe raknar, sjå på sertifikatet eller på lyttaren før du rører nokon klient.