Зашто се Android повезује са кућним IPsec VPN-ом, а Windows не

Телефон се без поговора придружује VPN-у рутера, док лаптоп на истој Wi-Fi мрежи не може. Исти подаци за пријаву, исти сервер, исти тренутак. Разлика је у подршци за протокол, а не у лозинки: рутер излаже профил који један оперативни систем подржава, а други никада није.

Најпре утврдите о ком профилу је реч, па га упоредите са оним што сваки клијент заиста говори.

Један мени, три протокола

Испод једног наслова IPsec, firmware за кућну употребу може сакрити три прилично различита тунела. Први је IKEv1 са XAUTH: заједничка групна тајна, а затим корисничко име и лозинка поврх тога. Други је L2TP/IPsec, где PPP ради унутар IPsec транспорта заштићеног заједничким кључем. Трећи је IKEv2, аутентификован сертификатима или EAP-ом.

Читајте поља, а не ознаку. Групна тајна плус листа корисника значи IKEv1 XAUTH. Заједнички кључ плус PPP налог значи L2TP/IPsec. Серверски сертификат без групне тајне значи IKEv2.

Јаз у подршци између телефона и лаптопа

Android у себи носи IKEv1 XAUTH PSK клијент, и управо зато телефон успева код рутера који не нуди ништа друго. Windows то не чини: његов изворни клијент обрађује L2TP/IPsec и IKEv2, а опције IKEv1 XAUTH нема да се укључи. Поновно уписивање тајне не може помоћи, јер део који недостаје је протокол, а не податак за пријаву.

Apple-ова страна је покретна мета. Новија macOS и iOS издања иду ка IKEv2, старији Cisco стил профила преживљава у неким верзијама, а надоградња може уклонити или затегнути оно што је радило прошлог месеца. Mac који се јуче повезивао, а данас не, без промене на рутеру, обично је то.

Две поставке које кваре иначе исправне профиле

Synology страница за L2TP/IPsec нуди поље за потврду са ознаком Enable SHA2-256 compatible mode (96 bit). Apple-ови клијенти од iOS 14 и macOS Big Sur надаље одбијају тај скраћени режим, па се то поље мора искључити за њих. Ако остане укључено, тунел се аутентификује и затим пада, што изгледа као лоши подаци за пријаву, а није. Произвођач документује тај прекидач, а надоградња оперативног система је уобичајен тренутак када то почне да буде важно.

Windows чува сертификате у два одвојена складишта, а IKEv2 чита само оно машинско. Увезите клијентски сертификат с његовим приватним кључем у рачун рачунара; сертификат који остане под вашим корисничким рачуном појављује се у управљачкој конзоли и никада не стигне до IKEv2 сервиса. EAP-TLS је једини случај у којем је кориснички сертификат употребљив, и тада машина ипак мора веровати CA-у који га потписује. Грешка овде се појављује као неуспех аутентификације, не као захтев за сертификатом који недостаје.

Када рутер остане какав јесте

Рутер који говори само XAUTH PSK оставља три пута напред: клијент произвођача, клијент треће стране који још увек имплементира тај профил, или премештање крајње тачке тунела на нешто што говори IKEv2. AVM, на пример, објављује Windows клијентски софтвер и извезену конфигурациону датотеку за своје рутере. Тај пут је подржан, и значи инсталирање алата произвођача на сваки лаптоп.

Подршка је важнија од елеганције када лаптопови нису ваши да их поново градите.

Одмерите и безбедносну цену. Једна групна тајна покрива сваког корисника, па свако ко је држи може се представити као сервер и ухватити корисничко име и лозинку које клијент нуди. Тамо где је доступан IKEv2 са сертификатима, та миграција вреди више од било ког клијентског заобилазног решења.

Дијагноза споља ка унутра

Прво извуците једну радну сесију са телефона, да се серверска страна докаже пре него лаптоп уопште уђе у слику. Затим увезите извезени профил рутера непромењен и читајте запис клијента, а не статусну страницу рутера. Ако у запису нема ниједног предлога који излази, лаптоп никада није стигао до респондера. Ако се предлози размене и потом не успеју, неслагање је око алгоритама, идентитета или података за пријаву.

Задржите радни профил телефона као контролу. Када се после ажурирања фирмвера поквари само лаптоп, серверска страна се понаша као пре. Када се покваре оба, погледајте сертификат или слушаоца пре него што дирнете било који клијент.