Zašto se Android povezuje s kućnim IPsec VPN-om, a Windows ne

Telefon se bez pogovora pridružuje VPN-u rutera, dok laptop na istoj Wi-Fi mreži ne može. Isti podaci za prijavu, isti server, isti trenutak. Razlika je u podršci za protokol, a ne u lozinki: ruter izlaže profil koji jedan operativni sistem podržava, a drugi nikada nije.

Najprije utvrdite o kojem je profilu riječ, pa ga uporedite s onim što svaki klijent zaista govori.

Jedan meni, tri protokola

Ispod jednog naslova IPsec, firmware za kućnu upotrebu može sakriti tri prilično različita tunela. Prvi je IKEv1 sa XAUTH: zajednička grupna tajna, a zatim korisničko ime i lozinka povrh toga. Drugi je L2TP/IPsec, gdje PPP radi unutar IPsec transporta zaštićenog zajedničkim ključem. Treći je IKEv2, autentificiran certifikatima ili EAP-om.

Čitajte polja, a ne oznaku. Grupna tajna plus lista korisnika znači IKEv1 XAUTH. Zajednički ključ plus PPP nalog znači L2TP/IPsec. Serverski certifikat bez grupne tajne znači IKEv2.

Jaz u podršci između telefona i laptopa

Android u sebi nosi IKEv1 XAUTH PSK klijent, i upravo zato telefon uspijeva kod rutera koji ne nudi ništa drugo. Windows to ne čini: njegov izvorni klijent obrađuje L2TP/IPsec i IKEv2, a opcije IKEv1 XAUTH nema da se uključi. Ponovno upisivanje tajne ne može pomoći, jer dio koji nedostaje je protokol, a ne podatak za prijavu.

Apple-ova strana je pokretna meta. Novija macOS i iOS izdanja idu ka IKEv2, stariji Cisco stil profila preživljava u nekim verzijama, a nadogradnja može ukloniti ili zategnuti ono što je radilo prošlog mjeseca. Mac koji se juče povezivao, a danas ne, bez promjene na ruteru, obično je to.

Dvije postavke koje kvare inače ispravne profile

Synology stranica za L2TP/IPsec nudi polje za potvrdu s oznakom Enable SHA2-256 compatible mode (96 bit). Apple-ovi klijenti od iOS 14 i macOS Big Sur nadalje odbijaju taj skraćeni režim, pa se to polje mora isključiti za njih. Ako ostane uključeno, tunel se autentificira i zatim pada, što izgleda kao loši podaci za prijavu, a nije. Proizvođač dokumentuje taj prekidač, a nadogradnja operativnog sistema je uobičajen trenutak kada to počne da bude važno.

Windows čuva certifikate u dva odvojena skladišta, a IKEv2 čita samo ono mašinsko. Uvezite klijentski certifikat s njegovim privatnim ključem u račun računara; certifikat koji ostane pod vašim korisničkim računom pojavljuje se u upravljačkoj konzoli i nikada ne stigne do IKEv2 servisa. EAP-TLS je jedini slučaj u kojem je korisnički certifikat upotrebljiv, i tada mašina ipak mora vjerovati CA-u koji ga potpisuje. Greška ovdje se pojavljuje kao neuspjeh autentifikacije, ne kao zahtjev za certifikatom koji nedostaje.

Kada ruter ostaje kakav jeste

Ruter koji govori samo XAUTH PSK ostavlja tri puta naprijed: klijent proizvođača, klijent treće strane koji još uvijek implementira taj profil, ili premeštanje krajnje točke tunela na nešto što govori IKEv2. AVM, na primjer, objavljuje Windows klijentski softver i izvezenu konfiguracijsku datoteku za svoje rutere. Taj put je podržan, i znači instaliranje alata proizvođača na svaki laptop.

Podrška je važnija od elegancije kada laptopi nisu vaši da ih ponovo gradite.

Odmjerite i sigurnosnu cijenu. Jedna grupna tajna pokriva svakog korisnika, pa svako ko je drži može se predstaviti kao server i uhvatiti korisničko ime i lozinku koje klijent nudi. Tamo gdje je dostupan IKEv2 s certifikatima, ta migracija vrijedi više od bilo kojeg klijentskog zaobilaznog rješenja.

Dijagnostika izvana prema unutra

Prvo izvucite jednu radnu sesiju s telefona, da se serverska strana dokaže prije nego laptop uopšte uđe u sliku. Zatim uvezite izvezeni profil rutera nepromijenjen i čitajte zapis klijenta, a ne statusnu stranicu rutera. Ako u zapisu nema nijednog predloga koji izlazi, laptop nikada nije stigao do respondera. Ako se predlozi razmjene i potom ne uspiju, neslaganje je oko algoritama, identiteta ili podataka za prijavu.

Zadržite radni profil telefona kao kontrolu. Kada se poslije ažuriranja firmwarea pokvari samo laptop, serverska strana se ponaša kao prije. Kada se pokvare oba, pogledajte certifikat ili slušalicu prije nego što dirnete bilo koji klijent.