Por que o Android conecta à VPN IPsec de casa e o Windows não

O telefone entra na VPN do router sem queixas, enquanto o portátil na mesma Wi-Fi não consegue. As mesmas credenciais, o mesmo servidor, o mesmo minuto. A diferença é o suporte de protocolo, não a palavra-passe: o router expõe um perfil que um sistema operativo implementa e outro nunca teve.

Identifique primeiro o perfil e depois compare-o com o que cada cliente fala de facto.

Um menu, três protocolos

Sob um único cabeçalho IPsec, o firmware de consumo pode esconder três túneis muito diferentes. O primeiro é IKEv1 com XAUTH: um segredo de grupo partilhado e, por cima, um nome de utilizador e uma palavra-passe. O segundo é L2TP/IPsec, onde o PPP corre dentro de um transporte IPsec protegido por uma chave partilhada. O terceiro é IKEv2, autenticado com certificados ou EAP.

Leia os campos, não a etiqueta. Um segredo de grupo com uma lista de utilizadores significa IKEv1 XAUTH. Uma chave pré-partilhada com uma conta PPP significa L2TP/IPsec. Um certificado de servidor sem segredo de grupo significa IKEv2.

A lacuna de suporte entre telefone e portátil

O Android traz um cliente IKEv1 XAUTH PSK integrado, e é por isso que o telefone tem êxito contra um router que não oferece mais nada. O Windows não: o cliente nativo trata de L2TP/IPsec e IKEv2, e não há opção IKEv1 XAUTH para ativar. Voltar a introduzir o segredo não ajuda, porque a peça em falta é o protocolo e não a credencial.

O lado da Apple é um alvo móvel. As versões recentes de macOS e iOS vão no sentido do IKEv2, perfis antigos ao estilo Cisco sobrevivem em algumas compilações, e uma atualização pode retirar ou endurecer o que funcionava no mês passado. Um Mac que ligava ontem e hoje não, sem alterações no router, é normalmente isto.

Duas definições que quebram perfis de resto corretos

A página L2TP/IPsec da Synology oferece uma caixa Enable SHA2-256 compatible mode (96 bit). Os clientes da Apple desde o iOS 14 e o macOS Big Sur rejeitam esse modo truncado, pelo que a caixa tem de estar desmarcada para eles. Se ficar marcada, o túnel autentica e depois cai, o que parece credenciais erradas e não é. O fabricante documenta o interruptor, e uma atualização do sistema operativo é o momento habitual em que isto começa a contar.

O Windows guarda os certificados em dois armazéns separados, e o IKEv2 lê apenas o da máquina. Importe o certificado de cliente com a sua chave privada para a conta de computador; um certificado guardado na sua conta de utilizador aparece na consola de gestão e nunca chega ao serviço IKEv2. O EAP-TLS é o único caso em que um certificado de utilizador é utilizável, e a CA signatária tem ainda de ser fidedigna para a máquina. Errar aqui vê-se como uma falha de autenticação, não como um pedido de certificado em falta.

Quando o router fica como está

Um router que só fala XAUTH PSK deixa três caminhos: o cliente do fabricante, um cliente de terceiros que ainda implementa o perfil, ou mover o extremo do túnel para algo que fale IKEv2. A AVM, por exemplo, publica software de cliente para Windows e um ficheiro de configuração exportado para os seus routers. Esse caminho é suportado, e significa instalar uma ferramenta do fabricante em cada portátil.

O suporte importa mais do que a elegância quando os portáteis não são seus para reconstruir.

Pese também o custo de segurança. Um único segredo de grupo cobre todos os utilizadores, pelo que quem o tiver pode fazer-se passar pelo servidor e capturar o nome de utilizador e a palavra-passe que o cliente oferece. Onde o IKEv2 com certificados estiver disponível, essa migração vale mais do que qualquer alternativa no cliente.

Diagnosticar de fora para dentro

Obtenha primeiro uma sessão funcional a partir do telefone, para que o lado do servidor fique provado antes de o portátil entrar em cena. Depois importe o perfil exportado do router sem alterações e leia o registo do cliente em vez da página de estado do router. Se o registo não mostrar nenhuma proposta de saída, o portátil nunca chegou ao respondedor. Se as propostas forem trocadas e depois falharem, o desacordo é sobre algoritmos, identidade ou credenciais.

Mantenha o perfil do telefone que funciona como controlo. Quando só o portátil se avaria após uma atualização de firmware, o lado do servidor comporta-se como antes. Quando ambos se avariam, olhe para o certificado ou para o ouvinte antes de tocar em qualquer cliente.