Windows VPN kontra Cisco Secure Client: kva gjeld?

For same gateway kjem to instruksar inn: kople til med Windows VPN, eller installer Cisco-klienten. Ingen av dei nemner utvekslinga gatewayen ventar, fordi Windows viser fleire innebygde tilkoplingstypar og klienten til leverandøren ber profilar for meir enn éin modus. Begge etikettene skildrar programvare, medan gatewayen forhandlar om protokoll, autentisering og policy. Svaret ligg i profilen, og han kan lesast utan å kople til.

Etiketten nemner programvare, ikkje ei utveksling

Eit merke og eit operativsystem er to ulike faktum, og ingen av dei vel eit format på leidninga. Windows leverer eit sett innebygde typar, og Cisco-klienten leverer ein profilmotor som kan driva SSL eller IPsec/IKEv2. Å blande dei to gjev diagram som samanliknar selskap i staden for å samanlikna utvekslingar.

Tabellen nedanfor erstattar produktspørsmålet med tre lesestader og feltet kvar av dei held. Noter desse felta, og tvitydigskapen forsvinn:

Microsofts referanse til VPN-typar i Windows listar IKEv2 og SSTP blant dei innebygde typane, noko som avlivar ideen om at ein innebygd profil tyder PPTP. Profildokumentasjonen til Cisco skildrar både SSL-modus og IPsec/IKEv2-modus med samsvarande headend-policy. Kvar leverandør tilbyr fleire val, så ingen av namna peikar ut éin protokoll.

Kva dei innebygde typane legg på leidninga

IKEv2 forhandlar tryggleiksassosiasjonar over UDP og ber trafikk inne i IPsec, noko som gjer det til ein likeverdig part med andre IKEv2-implementasjonar og ikkje eit Microsoft-spesifikt design. SSTP pakkar PPP inn i ei HTTPS-økt, så det passerer proxyar som IKEv2 ikkje kan, og ser ut som TLS på leidninga utan å vere ein TLS VPN-protokoll. Desse to fakta forklarer det meste av ein sak som melder at tunnelen verkar på eitt nettverk og feilar på eit anna.

L2TP med IPsec og den eldre PPTP-oppføringa står i same rullegardin, og tilstadeveret deira der seier ingenting om serverstøtte. Ein rullegardin er ei meny over kva operativsystemet kan freista, ikkje ei kapabilitetserklæring frå gatewayen. Å lese han som ei støtteliste er korleis ein to timars jakt på påloggingsinformasjon byrjar.

Felta som betyr noko i ein innebygd profil, er tilkoplingstypen, autentiseringsmetoden og serveridentiteten. Feil type feilar på eit anna trinn enn eit dårleg passord, og den skilnaden er sporet som er verdt å følgje.

Kva ein leverandørklient tilfører: profilar, ikkje ein protokoll

Cisco-klienten er ein behaldar for profilar. Ein SSL-modus og ein IPsec/IKEv2-modus skil seg i utveksling, portforventningar og feiltekst, og den importerte profilen vel mellom dei. Å installere klienten beviser difor ingenting om tilgjenge.

Versjonar blir para av ei grunn. Funksjonar, autentiseringsflytar og posturesjekkar blir forhandla mellom klient og headend, så ein gammal klient mot ein ny headend kan feile på ein måte som blir lesen som ein nettverksfeil. Den paringa høyrer i tilkoplingsdefinisjonen, ikkje i eit oppgraderingsnotat.

Ein profil eksportert frå ein annan organisasjon passar sjeldan til den lokale headenden, og import av han kan la klienten tilby ein modus gatewayen ikkje tener. Les først modusen ut av profilen, og samanlikn han deretter med den konfigurerte protokollen og autentiseringspolicyen til gatewayen. Først når dei stemmer, blir nettverket ein mistenkt. Den rekkjefølgja sparer ein pakkefangst som ville ha vist ei sunn TLS-økt retta mot feil teneste.

Les den lokale profilen før du endrar noko

På Windows kan den innebygde konfigurasjonen lesast utan å ringje, og utdataa nemner typen og autentiseringsmetoden direkte. Samanlikn desse verdiane med det eigaren av gatewayen seier at headenden godtek. Viss typen avvik frå saka, rett saka først, fordi det er billegare enn å installere på nytt ein klient som aldri var feil.

Desse fire kommandoane dekkjer profilen, rutene hans, tilkoplingsforsøket og tilgjenge på porten. Køyr dei i den rekkjefølgja på ein maskin der profilen alt er installert:

Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443

Porttesten er den som blir lesen for mykje. Ein TCP 443-lyttar som tener ei påloggingsside, og ein som avsluttar IKEv2, ser like ut utanfrå, fordi porten er ein stad og ikkje ein protokoll.

Skriv resultatet som tre felt, klient, modus og gateway, og hald dei ved sida av saka. Alt kortare overlèt til neste person å gjenoppdage den same tvitydigskapen.