VPN в Windows против Cisco Secure Client: что верно?
Бренд не называет протокол: Windows предлагает несколько встроенных типов, а клиент Cisco несёт профили более чем для одного режима. Прочитайте профиль.
Для одного и того же шлюза приходят две инструкции: подключиться через VPN в Windows или установить клиент Cisco. Ни одна не называет обмен, которого ждёт шлюз, потому что Windows предлагает несколько встроенных типов подключения, а клиент поставщика несёт профили более чем для одного режима. Обе метки описывают программное обеспечение, тогда как шлюз согласует протокол, аутентификацию и политику. Ответ находится в профиле, и его можно прочитать, не подключаясь.
Метка называет программное обеспечение, а не обмен
Бренд и операционная система — два разных факта, и ни один из них не выбирает формат на проводе. Windows поставляет набор встроенных типов, а клиент Cisco поставляет движок профилей, который умеет управлять SSL или IPsec/IKEv2. Смешение двух даёт таблицы, которые сравнивают компании, а не обмены.
Таблица ниже заменяет вопрос о продукте тремя местами чтения и полем, которое хранит каждое из них. Запишите эти поля, и неоднозначность исчезнет:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Справочник Microsoft по типам VPN в Windows перечисляет IKEv2 и SSTP среди встроенных типов, что снимает представление, будто встроенный профиль означает PPTP. Документация Cisco по профилям описывает и режим SSL, и режим IPsec/IKEv2 с соответствующей политикой головного узла. Каждый поставщик предлагает несколько вариантов, поэтому ни одно имя не указывает на один протокол.
Что встроенные типы кладут на провод
IKEv2 согласует ассоциации безопасности поверх UDP и несёт трафик внутри IPsec, что делает его равным другим реализациям IKEv2, а не специфичным для Microsoft проектом. SSTP заворачивает PPP внутрь сеанса HTTPS, поэтому проходит через прокси, которые IKEv2 не может, и на проводе выглядит как TLS, не будучи протоколом TLS VPN. Эти два факта объясняют большую часть заявки, в которой туннель работает в одной сети и не работает в другой.
L2TP с IPsec и более старая запись PPTP стоят в том же раскрывающемся списке, и их присутствие там ничего не говорит о поддержке сервера. Раскрывающийся список — это меню того, что операционная система может попробовать, а не заявление шлюза о возможностях. Читать его как список поддержки — так начинается двухчасовая охота за учётными данными.
Поля, которые важны во встроенном профиле, — это тип подключения, метод аутентификации и идентичность сервера. Неверный тип даёт сбой на другом этапе, чем плохой пароль, и именно это различие стоит отслеживать.
Что добавляет клиент поставщика: профили, а не протокол
Клиент Cisco — это контейнер для профилей. Режим SSL и режим IPsec/IKEv2 различаются обменом, ожиданиями по портам и текстом ошибки, и импортированный профиль выбирает между ними. Поэтому установка клиента ничего не доказывает о доступности.
Версии спарены не зря. Функции, потоки аутентификации и проверки состояния согласуются между клиентом и головным узлом, поэтому старый клиент против нового узла может отказать так, что это читается как сбой сети. Эта пара относится к определению подключения, а не к заметке об обновлении.
Профиль, экспортированный из другой организации, редко соответствует местному головному узлу, а его импорт может оставить клиента предлагающим режим, который шлюз не обслуживает. Сначала прочитайте режим из профиля, затем сравните его с настроенными протоколом и политикой аутентификации шлюза. Только когда они совпадут, сеть становится подозреваемой. Такой порядок экономит захват пакетов, который показал бы здоровый сеанс TLS, направленный не в ту службу.
Прочитайте местный профиль, прежде чем что-либо менять
В Windows встроенную конфигурацию можно прочитать без дозвона, и вывод прямо называет тип и метод аутентификации. Сравните эти значения с тем, что владелец шлюза говорит о принимаемых узлом параметрах. Если тип расходится с заявкой, сначала исправьте заявку, потому что это дешевле, чем переустанавливать клиент, который никогда не был неправ.
Эти четыре команды охватывают профиль, его маршруты, попытку подключения и доступность порта. Выполните их в таком порядке на машине, где профиль уже установлен:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Тест порта — это тот, который перечитывают. Слушатель TCP 443, отдающий страницу входа, и тот, что завершает IKEv2, снаружи выглядят одинаково, потому что порт — это место, а не протокол.
Запишите результат как три поля: клиент, режим и шлюз, и держите их рядом с заявкой. Всё более короткое оставляет следующему человеку заново обнаружить ту же неоднозначность.