VPN në Windows kundrejt Cisco Secure Client: cila është e saktë?

Për të njëjtin gateway vijnë dy udhëzime: lidhu me VPN-në e Windows ose instaloni klientin Cisco. Asnjëra nuk emërton shkëmbimin që pret gateway-i, sepse Windows ekspozon disa lloje vendase lidhjesh dhe klienti i furnitorit mban profile për më shumë se një modalitet. Të dy etiketat përshkruajnë software, ndërsa gateway-i negocion protokollin, vërtetimin dhe politikën. Përgjigjja është në profil dhe mund të lexohet pa u lidhur.

Etiketa emërton software, jo një shkëmbim

Një markë dhe një sistem operativ janë dy fakte të ndryshme, dhe asnjëri nuk zgjedh një format në tel. Windows ofron një grup llojesh vendase, dhe klienti Cisco ofron një motor profilesh që mund të drejtojë SSL ose IPsec/IKEv2. Ngatërrimi i të dyve prodhon tabela që krahasojnë kompani në vend të shkëmbimeve.

Tabela më poshtë zëvendëson pyetjen për produktin me tre vende leximi dhe fushën që mban secili. Shënoni ato fusha, dhe paqartësia zhduket:

Referenca e Microsoft për llojet e VPN-së në Windows, e publikuar prej saj, rendit IKEv2 dhe SSTP midis llojeve vendase, çka heq idenë se një profil vendas do të thotë PPTP. Dokumentacioni i profileve të Cisco përshkruan si modalitetin SSL ashtu edhe atë IPsec/IKEv2 me politikën përkatëse të nyjës kryesore. Secili furnitor ofron disa opsione, prandaj asnjë emër nuk identifikon një protokoll të vetëm.

Çfarë vendosin llojet vendase në tel

IKEv2 negocion asociacione sigurie mbi UDP dhe transporton trafikun brenda IPsec, çka e bën atë të barabartë me implementime të tjera të IKEv2 dhe jo një dizajn specifik i Microsoft. SSTP e mbështjell PPP-në brenda një sesioni HTTPS, prandaj kalon nëpër proxy që IKEv2 nuk mundet dhe në tel duket si TLS pa qenë protokoll TLS VPN. Këto dy fakte shpjegojnë pjesën më të madhe të një tiketi që raporton se tuneli punon në një rrjet dhe dështon në një tjetër.

L2TP me IPsec dhe zëri më i vjetër PPTP qëndrojnë në të njëjtin menu rënëse, dhe prania e tyre atje nuk thotë asgjë për mbështetjen e serverit. Një menu rënëse është një listë e asaj që sistemi operativ mund të provojë, jo një deklaratë aftësish nga gateway-i. Ta lexosh si listë mbështetjeje është mënyra se si fillon një gjueti dyorëshe për kredenciale.

Fushat që kanë rëndësi në një profil vendas janë lloji i lidhjes, metoda e vërtetimit dhe identiteti i serverit. Lloji i gabuar dështon në një fazë të ndryshme nga një fjalëkalim i keq, dhe pikërisht ky ndryshim është gjurma që ia vlen të ndiqet.

Çfarë shton një klient furnitori: profile, jo një protokoll

Klienti Cisco është një enë për profile. Një modalitet SSL dhe një modalitet IPsec/IKEv2 ndryshojnë në shkëmbim, pritshmëri portash dhe tekst gabimi, dhe profili i importuar zgjedh midis tyre. Instalimi i klientit, pra, nuk provon asgjë për arritshmërinë.

Versionet çiftohen për një arsye. Funksionet, rrjedhat e vërtetimit dhe kontrollet e qëndrimit negociohen midis klientit dhe nyjës kryesore, prandaj një klient i vjetër përballë një nyje të re mund të dështojë në një mënyrë që lexohet si defekt rrjeti. Ky çiftim i takon përkufizimit të lidhjes, jo një shënimi përditësimi.

Një profil i eksportuar nga një organizatë tjetër rrallë përputhet me nyjën kryesore vendore, dhe importimi i tij mund ta lërë klientin të ofrojë një modalitet që gateway-i nuk e shërben. Lexoni së pari modalitetin nga profili, pastaj krahasojeni me protokollin dhe politikën e vërtetimit të konfiguruara në gateway. Vetëm kur ato përputhen rrjeti bëhet i dyshimtë. Kjo renditje kursen një kapje paketash që do të kishte treguar një sesion TLS të shëndoshë të drejtuar nga shërbimi i gabuar.

Lexoni profilin vendor përpara se të ndryshoni ndonjë gjë

Në Windows konfigurimi vendas mund të lexohet pa thirrur, dhe dalja emërton drejtpërdrejt llojin dhe metodën e vërtetimit. Krahasoni ato vlera me atë që pronari i gateway-it thotë se nyja kryesore pranon. Nëse lloji nuk përputhet me tiketin, korrigjoni së pari tiketin, sepse kjo është më e lirë sesa të riinstaloni një klient që nuk ishte kurrë i gabuar.

Këto katër komanda mbulojnë profilin, rrugët e tij, përpjekjen për lidhje dhe arritshmërinë e portës. Ekzekutoni ato në këtë renditje në një makinë ku profili është tashmë i instaluar:

Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443

Testi i portës është ai që lexohet tepër. Një dëgjues TCP 443 që shërben një faqe hyrjeje dhe një që përfundon IKEv2 duken njësoj nga jashtë, sepse porta është një vend dhe jo një protokoll.

Shkruani rezultatin si tre fusha, klient, modalitet dhe gateway, dhe mbajini pranë tiketit. Çdo gjë më e shkurtër lë personin tjetër të rizbulojë të njëjtën paqartësi.