Prečo sa Android pripojí k domácej IPsec VPN a Windows nie

Telefón sa bez sťažností pripojí k VPN routera, zatiaľ čo notebook na tej istej Wi-Fi to nedokáže. Rovnaké prihlasovacie údaje, rovnaký server, rovnaká minúta. Rozdiel je v podpore protokolu, nie v hesle: router vystavuje profil, ktorý jeden operačný systém implementuje a druhý nikdy neimplementoval.

Najprv identifikujte profil a potom ho porovnajte s tým, čo každý klient skutočne rozpráva.

Jedna ponuka, tri protokoly

Pod jedinou hlavičkou IPsec môže spotrebiteľský firmware skrývať tri dosť odlišné tunely. Prvý je IKEv1 s XAUTH: spoločné skupinové tajomstvo a navrch používateľské meno a heslo. Druhý je L2TP/IPsec, kde PPP beží vnútri IPsec transportu chráneného zdieľaným kľúčom. Tretí je IKEv2, overovaný certifikátmi alebo EAP.

Čítajte polia, nie označenie. Skupinové tajomstvo plus zoznam používateľov znamená IKEv1 XAUTH. Zdieľaný kľúč plus účet PPP znamená L2TP/IPsec. Serverový certifikát bez skupinového tajomstva znamená IKEv2.

Medzera v podpore medzi telefónom a notebookom

Android má v sebe klienta IKEv1 XAUTH PSK, a práve preto telefón uspeje pri routeri, ktorý neponúka nič iné. Windows nie: jeho natívny klient zvláda L2TP/IPsec a IKEv2 a možnosť IKEv1 XAUTH sa nedá zapnúť. Opätovné zadanie tajomstva nepomôže, pretože chýbajúci diel je protokol, nie prihlasovací údaj.

Applovská strana je pohyblivý terč. Novšie vydania macOS a iOS smerujú k IKEv2, staršie profily v štýle Cisco prežívajú v niektorých zostavách a aktualizácia môže odstrániť alebo sprísniť to, čo minulý mesiac fungovalo. Mac, ktorý sa včera pripojil a dnes nie, bez zmeny routera, je zvyčajne toto.

Dve nastavenia, ktoré pokazia inak správne profily

Stránka Synology pre L2TP/IPsec ponúka zaškrtávacie pole s označením Enable SHA2-256 compatible mode (96 bit). Klienti Apple od iOS 14 a macOS Big Sur odmietajú tento skrátený režim, takže pre nich treba pole odškrtnúť. Ak zostane zapnuté, tunel sa overí a potom spadne, čo vyzerá ako zlé prihlasovacie údaje, ale nie je. Výrobca tento prepínač dokumentuje a zvyčajným okamihom, keď to začne byť dôležité, je aktualizácia operačného systému.

Windows uchováva certifikáty v dvoch oddelených úložiskách a IKEv2 číta iba to počítačové. Importujte klientsky certifikát s jeho súkromným kľúčom do počítačového účtu; certifikát uložený pod vaším používateľským účtom sa objaví v konzole na správu a nikdy sa nedostane k službe IKEv2. EAP-TLS je jediný prípad, keď je používateľský certifikát použiteľný, a aj vtedy musí počítač dôverovať podpisujúcej CA. Takáto chyba sa prejaví ako zlyhanie overenia, nie ako výzva na chýbajúci certifikát.

Keď router zostáva tak, ako je

Router, ktorý hovorí len XAUTH PSK, necháva tri cesty vpred: klientsky softvér výrobcu, klientsky program tretej strany, ktorý profil ešte stále implementuje, alebo presunutie konca tunela na niečo, čo hovorí IKEv2. Napríklad AVM vydáva klientsky softvér pre Windows a exportovaný konfiguračný súbor pre svoje routery. Táto cesta je podporovaná a znamená inštaláciu nástroja výrobcu na každý notebook.

Podpora je dôležitejšia ako elegancia, keď notebooky nie sú vaše na prestavbu.

Zvážte aj bezpečnostnú cenu. Jedno skupinové tajomstvo pokrýva každého používateľa, takže ten, kto ho má, sa môže vydávať za server a zachytiť používateľské meno a heslo, ktoré klient ponúka. Tam, kde je dostupné IKEv2 s certifikátmi, má táto migrácia väčšiu cenu než akékoľvek klientske obchádzanie.

Diagnostika zvonka dovnútra

Najprv získajte jednu funkčnú reláciu z telefónu, aby bola serverová strana preukázaná skôr, než notebook vstúpi do hry. Potom importujte exportovaný profil routera nezmenený a čítajte log klienta namiesto stavovej stránky routera. Ak log neukazuje žiadny odchádzajúci návrh, notebook sa nikdy nedostal k responderu. Ak sa návrhy vymenia a potom zlyhajú, nezhoda je v algoritmoch, identite alebo prihlasovacích údajoch.

Ponechajte funkčný profil telefónu ako kontrolu. Keď po aktualizácii firmvéru zlyhá iba notebook, serverová strana sa správa ako predtým. Keď zlyhajú obidva, pozrite sa na certifikát alebo listener skôr, než sa dotknete ktoréhokoľvek klienta.