Kvifor Android koplar til IPsec-VPN-en heime og Windows ikkje

Telefonen går inn i VPN-en til rutaren utan klager, medan den berbare på same Wi-Fi ikkje får det til. Same påloggingsdetaljar, same tenar, same minutt. Skilnaden er protokollstøtte, ikkje passordet: rutaren viser ein profil som eitt operativsystem implementerer og eit anna aldri har hatt.

Identifiser profilen først, og samanlikn han deretter med det kvar klient faktisk snakkar.

Éi meny, tre protokollar

Under éi IPsec-overskrift kan forbrukarfastvare gøyme tre heilt ulike tunnelar. Den første er IKEv1 med XAUTH: ein felles gruppehemmelegheit og oppå der eit brukarnamn og eit passord. Den andre er L2TP/IPsec, der PPP køyrer inne i ein IPsec-transport verna av ein felles nøkkel. Den tredje er IKEv2, autentisert med sertifikat eller EAP.

Les felta, ikkje etiketten. Ei gruppehemmelegheit pluss ei brukarliste tyder IKEv1 XAUTH. Ein førehandsdelt nøkkel pluss ein PPP-konto tyder L2TP/IPsec. Eit tenarsertifikat utan gruppehemmelegheit tyder IKEv2.

Støttegapet mellom telefon og berbar

Android har ein innebygd IKEv1 XAUTH PSK-klient, og nettopp difor lukkast telefonen mot ein rutar som ikkje tilbyr noko anna. Windows har det ikkje: den innebygde klienten handterer L2TP/IPsec og IKEv2, og det finst inga IKEv1 XAUTH-innstilling å slå på. Å skrive hemmelegheita på nytt hjelper ikkje, fordi det som manglar er protokollen, ikkje påloggingsdetaljane.

Apple-sida er eit rørsleg mål. Nyare macOS- og iOS-versjonar dreg mot IKEv2, gamle profilar i Cisco-stil overlever i nokre bygg, og ei oppgradering kan fjerna eller strama det som virka førre månad. Ein Mac som kopla til i går og ikkje i dag, utan endring på rutaren, er vanlegvis dette.

To innstillingar som øydelegg elles riktige profilar

Synology-sida for L2TP/IPsec har ein avkryssingsboks kalla Enable SHA2-256 compatible mode (96 bit). Apple-klientane frå iOS 14 og macOS Big Sur avviser den avkorta modusen, så boksen må vera av for dei. Vert han ståande på, autentiserer tunnelen og fell deretter, noko som ser ut som dårlege påloggingsdetaljar og ikkje er det. Produsenten dokumenterer brytaren, og ei oppgradering av operativsystemet er vanlegvis augneblinken der dette byrjar å bety noko.

Windows oppbevarer sertifikat i to separate lager, og IKEv2 les berre maskinlageret. Importer klientsertifikatet med den private nøkkelen i datamaskinkontoen; eit sertifikat som ligg under din eigen brukarkonto, viser seg i administrasjonskonsollen og når aldri IKEv2-tenesta. EAP-TLS er det einaste tilfellet der eit brukarsertifikat kan brukast, og den signerande CA-en må framleis vera klarert av maskinen. Gjer ein dette feil, viser det seg som ein autentiseringsfeil, ikkje som ei førespurnad om eit manglande sertifikat.

Når rutaren vert ståande som han er

Ein rutar som berre snakkar XAUTH PSK, etterlet tre vegar: klienten til produsenten, ein tredjepartsklient som framleis implementerer profilen, eller å flytta tunnelepunket til noko som snakkar IKEv2. AVM gjev til dømes ut Windows-klientsoftware og ei eksportert konfigurasjonsfil for rutarane sine. Den vegen er støtta, og han tyder å installera produsentens verktøy på kvar berbar.

Støtte betyr meir enn eleganse når dei berbare ikkje er dine å byggja opp att.

Veg òg tryggleikskostnaden. Éi gruppehemmelegheit dekkjer alle brukarar, så den som har henne, kan opptre som tenaren og fanga brukarnamnet og passordet klienten tilbyr. Der IKEv2 med sertifikat er tilgjengeleg, er den migreringa meir verd enn nokon klientomveg.

Diagnostiser utanfrå og inn

Skaff først ei fungerande økt frå telefonen, slik at tenarsida er provd før den berbare kjem inn i biletet. Importer deretter den eksporterte profilen til rutaren uendra og les klientloggen i staden for statussida til rutaren. Viser loggen ikkje noko forslag på veg ut, nådde den berbare aldri svararen. Vert forslag utveksla og deretter mislukkast, gjeld usemja algoritmar, identitet eller påloggingsdetaljar.

Hald den fungerande telefonprofilen som kontroll. Når berre den berbare raknar etter ei fastvareoppdatering, oppfører tenarsida seg som før. Når begge raknar, sjå på sertifikatet eller lyttaren før du rører nokon klient.