VPN vo Windows verzus Cisco Secure Client: čo platí?
Značka nie je názov protokolu: Windows ponúka viacero natívnych typov a klient Cisco nesie profily pre viac než jeden režim. Prečítajte si profil.
Pre tú istú bránu prichádzajú dva pokyny: pripojte sa cez VPN vo Windows alebo nainštalujte klienta Cisco. Ani jeden nepomenúva výmenu, ktorú brána očakáva, pretože Windows ponúka viacero natívnych typov pripojenia a klientsky softvér dodávateľa nesie profily pre viac než jeden režim. Obe označenia opisujú softvér, zatiaľ čo brána vyjednáva protokol, overovanie a zásady. Odpoveď je v profile a dá sa prečítať bez pripojenia.
Označenie pomenúva softvér, nie výmenu
Značka a operačný systém sú dve rôzne skutočnosti a ani jedna nevyberá formát na drôte. Windows dodáva sadu natívnych typov a klient Cisco dodáva profilový engine, ktorý dokáže riadiť SSL alebo IPsec/IKEv2. Zámena oboch vytvára tabuľky, ktoré porovnávajú firmy namiesto výmen.
Tabuľka nižšie nahrádza otázku o produkte tromi miestami čítania a poľom, ktoré každé z nich drží. Zapíšte tie polia a nejednoznačnosť zmizne:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Referenčná príručka k typom VPN vo Windows, ktorú vydáva Microsoft, uvádza IKEv2 a SSTP medzi natívnymi typmi, čo ruší predstavu, že natívny profil znamená PPTP. Dokumentácia Cisco k profilom opisuje režim SSL aj IPsec/IKEv2 s odpovedajúcou zásadou headendu. Každý dodávateľ ponúka niekoľko možností, takže žiadne meno neoznačuje jediný protokol.
Čo natívne typy posielajú na drôt
IKEv2 vyjednáva bezpečnostné asociácie cez UDP a nesie prevádzku vnútri IPsec, čo z neho robí rovnocenného partnera iným implementáciám IKEv2, nie návrh špecifický pre Microsoft. SSTP balí PPP do relácie HTTPS, takže prechádza cez proxy, ktorými IKEv2 neprejde, a na drôte vyzerá ako TLS, hoci nie je protokolom TLS VPN. Tieto dva fakty vysvetľujú väčšinu tiketu, ktorý hlási, že tunel v jednej sieti funguje a v inej zlyháva.
L2TP s IPsec a staršia položka PPTP sedia v tom istom rozbaľovacom zozname a ich prítomnosť tam nič nehovorí o podpore servera. Rozbaľovací zoznam je menu toho, čo môže operačný systém skúsiť, nie vyhlásenie brány o schopnostiach. Čítať ho ako zoznam podpory je začiatok dvojhodinového hľadania prihlasovacích údajov.
Polia, ktoré sú v natívnom profile dôležité, sú typ pripojenia, metóda overovania a identita servera. Nesprávny typ zlyhá v inej fáze ako zlé heslo, a práve ten rozdiel je stopa, ktorú sa oplatí sledovať.
Čo klientsky softvér dodávateľa pridáva: profily, nie protokol
Klient Cisco je kontajner na profily. Režim SSL a režim IPsec/IKEv2 sa líšia výmenou, očakávaniami portov a textom chyby a importovaný profil vyberá medzi nimi. Inštalácia klienta preto o dostupnosti nič nedokazuje.
Verzie sa párujú z nejakého dôvodu. Funkcie, overovacie toky a kontroly stavu sa vyjednávajú medzi klientom a headendom, takže starý klient proti novému headendu môže zlyhať spôsobom, ktorý sa číta ako sieťová porucha. Toto párovanie patrí do definície pripojenia, nie do poznámky k aktualizácii.
Profil exportovaný z inej organizácie málokedy zodpovedá miestnemu headendu a jeho import môže nechať klienta ponúkať režim, ktorý brána neobsluhuje. Najprv prečítajte režim z profilu, potom ho porovnajte s nakonfigurovaným protokolom a zásadou overovania brány. Až keď sa tieto zhodujú, stáva sa sieť podozrivou. Toto poradie ušetrí zachytávanie paketov, ktoré by ukázalo zdravú reláciu TLS namierenú na nesprávnu službu.
Prečítajte si miestny profil, skôr než čokoľvek zmeníte
Vo Windows sa natívna konfigurácia dá prečítať bez vytáčania a výstup priamo pomenúva typ a metódu overovania. Porovnajte tieto hodnoty s tým, čo vlastník brány hovorí, že headend prijíma. Ak sa typ rozchádza s tiketom, najprv opravte tiket, pretože je to lacnejšie než preinštalovať klienta, ktorý nikdy nebol nesprávny.
Tieto štyri príkazy pokrývajú profil, jeho trasy, pokus o pripojenie a dostupnosť portu. Spustite ich v tomto poradí na stroji, kde je profil už nainštalovaný:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Test portu je ten, ktorý sa prečíta príliš. Poslucháč TCP 443, ktorý servíruje prihlasovaciu stránku, a ten, ktorý ukončuje IKEv2, vyzerajú zvonku rovnako, pretože port je miesto, nie protokol.
Zapíšte výsledok ako tri polia, klient, režim a brána, a majte ich pri tikete. Čokoľvek kratšie nechá ďalšieho človeka znova objaviť tú istú nejednoznačnosť.