Почему Android подключается к домашнему IPsec VPN, а Windows нет

Телефон без жалоб входит в VPN роутера, а ноутбук в той же сети Wi-Fi не может. Те же учётные данные, тот же сервер, та же минута. Разница в поддержке протокола, а не в пароле: роутер предлагает профиль, который одна операционная система реализует, а другая никогда не имела.

Сначала определите профиль, затем сравните его с тем, что каждый клиент действительно умеет.

Одно меню, три протокола

Под одним заголовком IPsec потребительская прошивка может скрывать три совершенно разных туннеля. Первый — IKEv1 с XAUTH: общий групповой секрет, а поверх него имя пользователя и пароль. Второй — L2TP/IPsec, где PPP работает внутри транспорта IPsec, защищённого общим ключом. Третий — IKEv2, аутентифицируемый сертификатами или EAP.

Читайте поля, а не название. Групповой секрет и список пользователей означают IKEv1 XAUTH. Общий ключ и учётная запись PPP означают L2TP/IPsec. Серверный сертификат без группового секрета означает IKEv2.

Разрыв в поддержке между телефоном и ноутбуком

В Android встроен клиент IKEv1 XAUTH PSK, и именно поэтому телефон успешно работает с роутером, который больше ничего не предлагает. В Windows такого нет: его штатный клиент поддерживает L2TP/IPsec и IKEv2, а включаемой опции IKEv1 XAUTH не существует. Повторный ввод секрета не поможет: отсутствует протокол, а не учётные данные.

Сторона Apple — движущаяся цель. Новые версии macOS и iOS тянутся к IKEv2, старые профили в стиле Cisco выживают в некоторых сборках, а обновление может убрать или ужесточить то, что работало в прошлом месяце. Mac, который вчера подключался, а сегодня нет, без изменений в роутере, — обычно именно это.

Две настройки, ломающие в остальном верные профили

На странице L2TP/IPsec в Synology есть флажок Enable SHA2-256 compatible mode (96 bit). Клиенты Apple начиная с iOS 14 и macOS Big Sur отвергают этот усечённый режим, поэтому для них флажок нужно снять. Если оставить его включённым, туннель аутентифицируется и затем падает, что выглядит как неверные данные, хотя это не так. Производитель описывает переключатель, и обновление операционной системы обычно становится моментом, когда это начинает иметь значение.

Windows хранит сертификаты в двух отдельных хранилищах, и IKEv2 читает только хранилище компьютера. Импортируйте клиентский сертификат вместе с закрытым ключом в учётную запись компьютера; сертификат, помещённый в вашу учётную запись пользователя, виден в консоли управления и никогда не доходит до службы IKEv2. EAP-TLS — единственный случай, когда сертификат пользователя пригоден, и подписывающий CA всё равно должен быть доверенным для машины. Ошибка здесь проявляется как сбой аутентификации, а не как запрос отсутствующего сертификата.

Когда роутер остаётся как есть

Роутер, говорящий только XAUTH PSK, оставляет три пути: клиент производителя, сторонний клиент, всё ещё реализующий профиль, или перенос конечной точки туннеля на что-то, что говорит по IKEv2. Например, AVM публикует клиентское ПО для Windows и экспортированный файл конфигурации для своих роутеров. Этот путь поддерживается, и он означает установку инструмента производителя на каждый ноутбук.

Поддержка важнее изящества, когда ноутбуки не ваши, чтобы их переделывать.

Взвесьте и цену безопасности. Один групповой секрет покрывает всех пользователей, поэтому любой, у кого он есть, может выдать себя за сервер и перехватить имя пользователя и пароль, которые предлагает клиент. Там, где доступен IKEv2 с сертификатами, этот переход ценнее любого обходного решения на клиенте.

Диагностируйте снаружи внутрь

Сначала получите рабочую сессию с телефона, чтобы сторона сервера была доказана до появления ноутбука. Затем импортируйте экспортированный профиль роутера без изменений и читайте журнал клиента вместо страницы состояния роутера. Если в журнале нет исходящего предложения, ноутбук не дошёл до ответчика. Если предложения обменялись и затем провалились, разногласие в алгоритмах, идентичности или учётных данных.

Держите рабочий профиль телефона как контроль. Когда после обновления прошивки ломается только ноутбук, сторона сервера ведёт себя как прежде. Когда ломаются оба, смотрите на сертификат или слушателя, прежде чем трогать любого клиента.