VPN у Windows-у наспрам Cisco Secure Client: шта важи?
Бренд није име протокола: Windows нуди неколико уграђених типова, а Cisco клијент носи профиле за више од једног режима. Прочитајте профил.
За исти приступни пролаз долазе две инструкције: повежите се преко Windows VPN-а или инсталирајте Cisco клијент. Ниједна не именује размену коју пролаз очекује, јер Windows излаже неколико уграђених типова везе, а клијент добављача носи профиле за више од једног режима. Обе ознаке описују софтвер, док пролаз преговара о протоколу, аутентификацији и политици. Одговор је у профилу и може се прочитати без повезивања.
Ознака именује софтвер, не размену
Бренд и оперативни систем су две различите чињенице и ниједна не бира формат на жици. Windows испоручује скуп уграђених типова, а Cisco клијент испоручује профилни мотор који може да води SSL или IPsec/IKEv2. Мешање тога двога даје табеле које пореде компаније уместо размена.
Табела испод замењује питање о производу са три места читања и пољем које свако држи. Запишите та поља и двосмисленост нестаје:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Упутство Microsoft-а за типове VPN-а у Windows-у, које објављује, наводи IKEv2 и SSTP међу уграђеним типовима, што руши идеју да уграђени профил значи PPTP. Cisco документација о профилима описује и SSL и IPsec/IKEv2 режим са одговарајућом политиком headend-а. Сваки добављач нуди неколико опција, па ниједно име не означава један протокол.
Шта уграђени типови стављају на жицу
IKEv2 преговара безбедносне асоцијације преко UDP-а и носи саобраћај унутар IPsec-а, што га чини равноправним са другим имплементацијама IKEv2, а не дизајном специфичним за Microsoft. SSTP умотава PPP у HTTPS сесију, па пролази кроз проксије кроз које IKEv2 не може и на жици изгледа као TLS, а да није TLS VPN протокол. Те две чињенице објашњавају већину тикета који пријављује да тунел ради на једној мрежи, а пада на другој.
L2TP са IPsec-ом и старији унос PPTP стоје у истом падајућем менију, а њихово присуство тамо не говори ништа о подршци сервера. Падајући мени је мени онога што оперативни систем може да покуша, а не изјава пролаза о могућностима. Читати га као листу подршке је како почиње двосатна потрага за акредитивима.
Поља која су важна у уграђеном профилу су тип везе, метод аутентификације и идентитет сервера. Погрешан тип пада у другој фази него лоша лозинка, и та разлика је траг који вреди следити.
Шта клијент добављача додаје: профиле, не протокол
Cisco клијент је контејнер за профиле. SSL режим и IPsec/IKEv2 режим разликују се у размени, очекивањима портова и тексту грешке, а увезени профил бира између њих. Инсталирање клијента зато не доказује ништа о доступности.
Верзије су упарене с разлогом. Функције, токови аутентификације и провере стања преговарају се између клијента и headend-а, па стари клијент према новом headend-у може да падне на начин који се чита као мрежни квар. То упаривање припада дефиницији везе, а не напомени о надоградњи.
Профил извезен из друге организације ретко се поклапа са локалним headend-ом, а његов увоз може да остави клијент да нуди режим који пролаз не опслужује. Прво прочитајте режим из профила, па га упоредите са конфигурисаним протоколом и политиком аутентификације пролаза. Тек кад се то сложи, мрежа постаје сумњива. Тај редослед штеди снимање пакета које би показало здраву TLS сесију усмерену на погрешну услугу.
Прочитајте локални профил пре него што било шта промените
У Windows-у се уграђена конфигурација може прочитати без бирања, а излаз директно именује тип и метод аутентификације. Упоредите те вредности са оним што власник пролаза каже да headend прихвата. Ако се тип не слаже са тикетом, прво исправите тикет, јер је то јефтиније од поновне инсталације клијента који никада није био погрешан.
Ове четири команде покривају профил, његове руте, покушај везе и доступност порта. Покрените их тим редом на машини на којој је профил већ инсталиран:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Тест порта је онај који се пречитава. TCP 443 слушалац који сервира страницу за пријаву и онај који прекида IKEv2 изгледају идентично споља, јер је порт место, а не протокол.
Запишите резултат као три поља, клијент, режим и пролаз, и држите их уз тикет. Све краће оставља следећу особу да поново открије исту двосмисленост.