VPN v Windows proti Cisco Secure Client: kateri velja?
Blagovna znamka ni ime protokola: Windows ponuja več vgrajenih vrst, odjemalec Cisco pa nosi profile za več kot en način. Preberite profil.
Za isti prehod prihajata dve navodili: povežite se z VPN v Windows ali namestite odjemalca Cisco. Nobeno ne poimenuje izmenjave, ki jo prehod pričakuje, ker Windows razkriva več vgrajenih vrst povezav in odjemalec ponudnika nosi profile za več kot en način. Obe oznaki opisujeta programsko opremo, medtem ko prehod pogaja protokol, avtentikacijo in politiko. Odgovor je v profilu in bere se ga lahko brez povezave.
Oznaka poimenuje programsko opremo, ne izmenjave
Blagovna znamka in operacijski sistem sta dve različni dejstvi in nobeno od njiju ne izbere oblike na žici. Windows dobavi nabor vgrajenih vrst, odjemalec Cisco pa dobavi profilni motor, ki lahko poganja SSL ali IPsec/IKEv2. Zamenjava obeh ustvari tabele, ki primerjajo podjetja namesto izmenjav.
Spodnja tabela nadomesti vprašanje o izdelku s tremi mesti branja in poljem, ki ga vsako vsebuje. Zapišite ta polja in dvoumnost izgine:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Referenca Microsoft za vrste VPN v Windows, ki jo objavlja, navaja IKEv2 in SSTP med vgrajenimi vrstami, kar odpravi predstavo, da vgrajen profil pomeni PPTP. Cisco dokumentacija o profilih opisuje tako način SSL kot IPsec/IKEv2 z ustrezno politiko glavnega vozlišča. Vsak ponudnik ponuja več možnosti, zato nobeno ime ne označuje enega protokola.
Kaj vgrajene vrste položijo na žico
IKEv2 pogaja varnostne asociacije prek UDP in prenaša promet znotraj IPsec, kar ga naredi enakovrednega drugim implementacijam IKEv2 in ne Microsoftovo posebno zasnovo. SSTP zavije PPP v sejo HTTPS, zato preide skozi posrednike, skozi katere IKEv2 ne more, in na žici izgleda kot TLS, ne da bi bil protokol TLS VPN. Ti dve dejstvi pojasnita večino zahtevka, ki poroča, da tunel v enem omrežju deluje, v drugem pa ne.
L2TP s IPsec in starejši vnos PPTP stojita v istem spustnem meniju, njuna prisotnost tam pa ne pove ničesar o podpori strežnika. Spustni meni je seznam tega, kar lahko operacijski sistem poskusi, ne izjava prehoda o zmogljivostih. Brati ga kot seznam podpore je način, kako se začne dve uri dolg lov za poverilnicami.
Polja, ki so pri vgrajenem profilu pomembna, so vrsta povezave, metoda avtentikacije in identiteta strežnika. Napačna vrsta odpove v drugi fazi kot slabo geslo, in prav ta razlika je sled, ki se je vredno držati.
Kaj doda odjemalec ponudnika: profile, ne protokol
Odjemalec Cisco je vsebnik za profile. Način SSL in način IPsec/IKEv2 se razlikujeta v izmenjavi, pričakovanjih glede vrat in besedilu napake, uvožen profil pa izbira med njima. Namestitev odjemalca torej ne dokaže ničesar o dosegljivosti.
Različice so seznanjene z razlogom. Funkcije, tokovi avtentikacije in preverjanja stanja se pogajajo med odjemalcem in glavnim vozliščem, zato lahko star odjemalec proti novemu vozlišču odpove tako, da se bere kot omrežna okvara. To seznanjanje sodi v definicijo povezave, ne v opombo o nadgradnji.
Profil, izvožen iz druge organizacije, se redko ujema z lokalnim glavnim vozliščem, njegov uvoz pa lahko pusti odjemalca, da ponuja način, ki ga prehod ne streže. Najprej preberite način iz profila, nato ga primerjajte z nastavljenim protokolom in politiko avtentikacije prehoda. Šele ko se ti ujemajo, omrežje postane sumljivo. Ta vrstni red prihrani zajem paketov, ki bi pokazal zdravo sejo TLS, usmerjeno v napačno storitev.
Preberite lokalni profil, preden karkoli spremenite
V Windows je vgrajeno konfiguracijo mogoče brati brez klicanja, izpis pa neposredno poimenuje vrsto in metodo avtentikacije. Primerjajte te vrednosti s tem, kar lastnik prehoda pravi, da vozlišče sprejema. Če se vrsta ne ujema z zahtevkom, najprej popravite zahtevek, ker je to ceneje kot znova namestiti odjemalca, ki ni bil nikoli napačen.
Ti štirje ukazi pokrivajo profil, njegove poti, poskus povezave in dosegljivost vrat. Zaženite jih v tem vrstnem redu na stroju, kjer je profil že nameščen:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Preizkus vrat je tisti, ki se prebere preveč. Poslušalec TCP 443, ki streže prijavno stran, in tisti, ki zaključi IKEv2, sta od zunaj videti enaka, ker so vrata mesto in ne protokol.
Rezultat zapišite kot tri polja, odjemalec, način in prehod, in jih imejte ob zahtevku. Vse krajše pusti naslednjo osebo, da znova odkrije isto dvoumnost.