Pse Android lidhet me VPN-në IPsec të shtëpisë dhe Windows nuk lidhet

Telefoni i bashkohet VPN-së së ruterit pa asnjë ankesë, ndërsa laptopi në të njëjtin Wi-Fi nuk arrin. Të njëjtat kredenciale, i njëjti server, e njëjta minutë. Dallimi është mbështetja e protokollit dhe jo fjalëkalimi: ruteri ekspozon një profil që një sistem operativ e implementon dhe tjetri nuk e ka implementuar kurrë.

Identifikoni fillimisht profilin, pastaj krahasojeni me atë që flet në të vërtetë secili klient.

Një menu, tre protokolle

Nën një titull të vetëm IPsec, firmware-i i konsumatorit mund të fshehë tre tunele mjaft të ndryshme. I pari është IKEv1 me XAUTH: një sekret i përbashkët grupi, pastaj një emër përdoruesi dhe fjalëkalim sipër. I dyti është L2TP/IPsec, ku PPP ekzekutohet brenda një transporti IPsec të mbrojtur nga një çelës i përbashkët. I treti është IKEv2, i autentikuar me certifikata ose EAP.

Lexoni fushat, jo etiketën. Një sekret grupi plus një listë përdoruesish do të thotë IKEv1 XAUTH. Një çelës i përbashkët plus një llogari PPP do të thotë L2TP/IPsec. Një certifikatë serveri pa sekret grupi do të thotë IKEv2.

Hendeku i mbështetjes mes telefonit dhe laptopit

Android mban brenda një klient IKEv1 XAUTH PSK, dhe pikërisht për këtë telefoni ia del me një ruter që nuk ofron asgjë tjetër. Windows nuk e bën: klienti i tij vendas trajton L2TP/IPsec dhe IKEv2, dhe nuk ka opsion IKEv1 XAUTH për t'u aktivizuar. Ri-enterimi i sekretit nuk ndihmon, sepse pjesa që mungon është protokolli dhe jo kredenciali.

Ana e Apple është një objektiv në lëvizje. Versionet më të reja të macOS dhe iOS drejtohen kah IKEv2, profilet e vjetra në stil Cisco mbijetojnë në disa ndërtime, dhe një përditësim mund të heqë ose të shtrëngojë atë që funksiononte muajin e kaluar. Një Mac që u lidh dje dhe sot nuk lidhet, pa asnjë ndryshim në ruter, zakonisht është kjo.

Dy cilësime që prishin profile të tjera të sakta

Faqja e Synology për L2TP/IPsec ofron një kuti kontrolli me etiketën Enable SHA2-256 compatible mode (96 bit). Klientët e Apple nga iOS 14 dhe macOS Big Sur e tutje e refuzojnë atë modalitet të shkurtuar, kështu që kutia duhet të çaktivizohet për ta. Nëse lihet e ndezur, tuneli autentikohet dhe pastaj bie, gjë që duket si kredenciale të këqija dhe nuk është. Prodhuesi e dokumenton këtë çelës, dhe momenti i zakonshëm kur kjo fillon të ketë rëndësi është një përditësim i sistemit operativ.

Windows i mban certifikatat në dy depo të ndara, dhe IKEv2 lexon vetëm atë të makinës. Importoni certifikatën e klientit me çelësin e saj privat në llogarinë e kompjuterit; një certifikatë e depozituar nën llogarinë tuaj të përdoruesit shfaqet në konsolën e menaxhimit dhe nuk arrin kurrë te shërbimi IKEv2. EAP-TLS është rasti i vetëm kur një certifikatë përdoruesi është e përdorshme, dhe CA nënshkruese duhet përsëri të besohet nga makina. Një gabim këtu shfaqet si dështim autentikimi, jo si kërkesë për certifikatë që mungon.

Kur ruteri mbetet ashtu siç është

Një ruter që flet vetëm XAUTH PSK lë tre rrugë përpara: klienti i prodhuesit, një klient i palës së tretë që e implementon ende profilin, ose zhvendosja e pikës fundore të tunelit në diçka që flet IKEv2. AVM, për shembull, publikon softuer klienti për Windows dhe një skedar konfigurimi të eksportuar për ruterat e saj. Kjo rrugë është e mbështetur, dhe do të thotë instalimi i një mjeti të prodhuesit në çdo laptop.

Mbështetja ka më shumë rëndësi se eleganca kur laptopët nuk janë të tutë që t'i rindërtosh.

Pesho edhe koston e sigurisë. Një sekret i vetëm grupi mbulon çdo përdorues, kështu që kushdo që e mban mund të zërë vendin e serverit dhe të kapë emrin e përdoruesit dhe fjalëkalimin që ofron klienti. Aty ku IKEv2 me certifikata është i disponueshëm, ai migrim vlen më shumë se çdo zgjidhje anashkaluese klienti.

Diagnostiko nga jashtë nga brenda

Merrni fillimisht një sesion funksional nga telefoni, që ana e serverit të vërtetohet përpara se laptopi të hyjë në lojë. Pastaj importoni profilin e eksportuar të ruterit të pandryshuar dhe lexoni regjistrin e klientit në vend të faqes së statusit të ruterit. Nëse regjistri nuk tregon asnjë propozim që del, laptopi nuk e arriti kurrë përgjigjësin. Nëse propozimet shkëmbehen dhe pastaj dështojnë, mosmarrëveshja ka të bëjë me algoritmet, identitetin ose kredencialet.

Mbajeni profilin funksional të telefonit si kontroll. Kur pas një përditësimi firmware prishët vetëm laptopi, ana e serverit sillet si më parë. Kur prishën të dy, shikoni certifikatën ose dëgjuesin përpara se të prekni ndonjë klient.