Zakaj se Android poveže z domačim IPsec VPN, Windows pa ne

Telefon se brez pritožb pridruži VPN-usmerjevalnika, medtem ko prenosnik v istem omrežju Wi-Fi ne more. Iste poverilnice, isti strežnik, ista minuta. Razlika je v podpori protokola, ne v geslu: usmerjevalnik ponuja profil, ki ga en operacijski sistem izvaja, drugi pa ga ni nikoli.

Najprej ugotovite, za kateri profil gre, nato ga primerjajte s tem, kar vsak odjemalec dejansko govori.

En meni, trije protokoli

Pod enim samim naslovom IPsec lahko potrošniška programska oprema skrije tri precej različne tunele. Prvi je IKEv1 z XAUTH: skupna skupinska skrivnost, nato pa uporabniško ime in geslo na vrhu. Drugi je L2TP/IPsec, kjer PPP teče znotraj transporta IPsec, zaščitenega z deljenim ključem. Tretji je IKEv2, overjen s potrdili ali EAP.

Berite polja, ne oznake. Skupinska skrivnost in seznam uporabnikov pomeni IKEv1 XAUTH. Vnaprej deljen ključ in račun PPP pomeni L2TP/IPsec. Strežniško potrdilo brez skupinske skrivnosti pomeni IKEv2.

Vrzel v podpori med telefonom in prenosnikom

Android ima vgrajenega odjemalca IKEv1 XAUTH PSK, zato telefon uspe pri usmerjevalniku, ki ne ponuja ničesar drugega. Windows tega nima: njegov vgrajeni odjemalec obvlada L2TP/IPsec in IKEv2, možnosti IKEv1 XAUTH pa ni mogoče vklopiti. Ponovno vnašanje skrivnosti ne pomaga, ker manjkajoči del je protokol in ne poverilnica.

Applovska stran je gibljiva tarča. Novejše izdaje macOS in iOS se usmerjajo k IKEv2, starejši profili v slogu Cisco preživijo v nekaterih gradnjah, nadgradnja pa lahko odstrani ali zaostri tisto, kar je delovalo prejšnji mesec. Mac, ki se je včeraj povezal, danes pa ne, brez spremembe usmerjevalnika, je običajno to.

Dve nastavitvi, ki pokvarita sicer pravilne profile

Stran Synology za L2TP/IPsec ponuja potrditveno polje z oznako Enable SHA2-256 compatible mode (96 bit). Odjemalci Apple od iOS 14 in macOS Big Sur naprej zavračajo ta okrnjeni način, zato je treba polje zanje odkljukati. Če ostane vključeno, se tunel overi in nato pade, kar izgleda kot slabe poverilnice, pa ni. Ponudnik to stikalo dokumentira, običajen trenutek, ko postane pomembno, pa je nadgradnja operacijskega sistema.

Windows hrani potrdila v dveh ločenih shrambah, IKEv2 pa bere samo tisto v računalniku. Uvozite odjemalčevo potrdilo z zasebnim ključem v računalniški račun; potrdilo, vloženo pod vašim uporabniškim računom, se pokaže v upravljalni konzoli in nikoli ne doseže storitve IKEv2. EAP-TLS je edini primer, ko je uporabniško potrdilo uporabno, pri čemer mora računalnik še vedno zaupati podpisni CA. Napaka se pokaže kot neuspešna overitev, ne kot poziv k manjkajočemu potrdilu.

Ko usmerjevalnik ostane tak, kot je

Usmerjevalnik, ki govori samo XAUTH PSK, pušča tri poti naprej: ponudnikov odjemalec, odjemalec tretje strani, ki profil še vedno izvaja, ali premik konca tunela na nekaj, kar govori IKEv2. AVM na primer objavlja programsko opremo za Windows in izvoženo konfiguracijsko datoteko za svoje usmerjevalnike. Ta pot je podprta in pomeni namestitev ponudnikovega orodja na vsak prenosnik.

Podpora je pomembnejša od elegance, ko prenosniki niso vaši za obnovo.

Pretehtajte tudi varnostno ceno. Ena skupinska skrivnost pokriva vse uporabnike, zato se lahko vsak, ki jo ima, predstavi kot strežnik in ujame uporabniško ime in geslo, ki jih odjemalec ponudi. Kjer je na voljo IKEv2 s potrdili, je ta migracija vredna več kot katera koli odjemalčeva rešitev.

Diagnoza od zunaj navznoter

Najprej pridobite eno delujočo sejo s telefona, da je strežniška stran dokazana, preden prenosnik vstopi v sliko. Nato uvozite izvoženi profil usmerjevalnika nespremenjen in berite dnevnik odjemalca namesto statusne strani usmerjevalnika. Če dnevnik ne kaže nobenega odhajajočega predloga, prenosnik ni nikoli dosegel odzivnika. Če se predlogi izmenjajo in nato spodletijo, je nesoglasje o algoritmih, identiteti ali poverilnicah.

Delujoči profil telefona obdržite kot kontrolo. Ko po posodobitvi vdelane programske opreme odpove samo prenosnik, se strežniška stran obnaša kot prej. Ko odpovesta oba, poglejte potrdilo ali poslušalca, preden se dotaknete katerega koli odjemalca.