Dlaczego Android łączy się z domowym IPsec VPN, a Windows nie

Telefon wchodzi do VPN routera bez narzekania, a laptop w tej samej sieci Wi-Fi nie potrafi. Te same dane logowania, ten sam serwer, ta sama minuta. Różnica leży w obsłudze protokołu, nie w haśle: router udostępnia profil, który jeden system implementuje, a drugi nigdy go nie miał.

Najpierw zidentyfikuj profil, potem porównaj go z tym, co każdy klient naprawdę mówi.

Jedno menu, trzy protokoły

Pod jednym nagłówkiem IPsec firmware konsumencki może ukrywać trzy zupełnie różne tunele. Pierwszy to IKEv1 z XAUTH: wspólny sekret grupy, a nad nim nazwa użytkownika i hasło. Drugi to L2TP/IPsec, gdzie PPP działa wewnątrz transportu IPsec chronionego wspólnym kluczem. Trzeci to IKEv2, uwierzytelniany certyfikatami lub EAP.

Czytaj pola, nie etykietę. Sekret grupy i lista użytkowników oznacza IKEv1 XAUTH. Współdzielony klucz i konto PPP oznacza L2TP/IPsec. Certyfikat serwera bez sekretu grupy oznacza IKEv2.

Luka w obsłudze między telefonem a laptopem

Android ma wbudowanego klienta IKEv1 XAUTH PSK, i właśnie dlatego telefonowi udaje się przy routerze, który nie oferuje niczego innego. Windows nie: jego klient natywny obsługuje L2TP/IPsec i IKEv2, a opcji IKEv1 XAUTH do włączenia nie ma. Ponowne wpisanie sekretu nie pomoże, bo brakuje protokołu, a nie danych logowania.

Strona Apple to ruchomy cel. Nowsze wersje macOS i iOS skłaniają się ku IKEv2, stare profile w stylu Cisco przetrwały w niektórych kompilacjach, a aktualizacja może usunąć lub zaostrzyć to, co działało w zeszłym miesiącu. Mac, który łączył się wczoraj, a dziś nie, bez zmian w routerze, to zwykle właśnie to.

Dwa ustawienia, które psują skądinąd poprawne profile

Strona L2TP/IPsec w Synology oferuje pole Enable SHA2-256 compatible mode (96 bit). Klienci Apple od iOS 14 i macOS Big Sur odrzucają ten skrócony tryb, więc pole musi być dla nich wyłączone. Jeśli zostanie włączone, tunel się uwierzytelnia i potem spada, co wygląda na złe dane logowania i nimi nie jest. Producent dokumentuje przełącznik, a aktualizacja systemu to zwykle moment, w którym to zaczyna mieć znaczenie.

Windows trzyma certyfikaty w dwóch osobnych magazynach, a IKEv2 czyta tylko magazyn komputera. Zaimportuj certyfikat klienta wraz z kluczem prywatnym do konta komputera; certyfikat umieszczony w twoim koncie użytkownika pojawia się w konsoli zarządzania i nigdy nie dociera do usługi IKEv2. EAP-TLS to jedyny przypadek, w którym certyfikat użytkownika jest użyteczny, a CA podpisujący nadal musi być zaufany dla maszyny. Błąd tutaj objawia się jako niepowodzenie uwierzytelniania, nie jako prośba o brakujący certyfikat.

Gdy router zostaje taki, jaki jest

Router mówiący tylko XAUTH PSK zostawia trzy drogi: klient producenta, klient firmy trzeciej, który nadal implementuje profil, albo przeniesienie końca tunelu na coś, co mówi IKEv2. AVM na przykład publikuje oprogramowanie klienta dla Windows i wyeksportowany plik konfiguracji dla swoich routerów. Ta droga jest wspierana i oznacza instalowanie narzędzia producenta na każdym laptopie.

Wsparcie liczy się bardziej niż elegancja, gdy laptopy nie są twoje do przebudowy.

Rozważ też koszt bezpieczeństwa. Jeden sekret grupy obejmuje wszystkich użytkowników, więc kto go ma, może udawać serwer i przechwycić nazwę użytkownika i hasło, które oferuje klient. Tam, gdzie dostępny jest IKEv2 z certyfikatami, ta migracja jest warta więcej niż jakiekolwiek obejście po stronie klienta.

Diagnozuj z zewnątrz do środka

Najpierw zdobądź jedną działającą sesję z telefonu, żeby strona serwera została udowodniona, zanim laptop wejdzie do gry. Potem zaimportuj wyeksportowany profil routera bez zmian i czytaj log klienta zamiast strony statusu routera. Jeśli log nie pokazuje żadnej propozycji wychodzącej, laptop nigdy nie dotarł do respondera. Jeśli propozycje są wymieniane i potem zawodzą, spór dotyczy algorytmów, tożsamości lub danych logowania.

Trzymaj działający profil telefonu jako kontrolę. Gdy po aktualizacji firmware psuje się tylko laptop, strona serwera zachowuje się jak wcześniej. Gdy psuje się oba, spójrz na certyfikat lub listener, zanim dotkniesz jakiegokolwiek klienta.