Varför Android ansluter till hemmets IPsec-VPN men Windows inte

Telefonen ansluter till routerns VPN utan invändning medan laptopen på samma Wi-Fi inte kan. Samma inloggningsuppgifter, samma server, samma minut. Skillnaden är protokollstöd och inte lösenordet: routern exponerar en profil som ett operativsystem implementerar och ett annat aldrig gjorde.

Identifiera profilen först och jämför den sedan med vad varje klient faktiskt talar.

En meny, tre protokoll

Under en enda IPsec-rubrik kan konsumentfirmware gömma tre ganska olika tunnlar. Den första är IKEv1 med XAUTH: en gemensam grupphemlighet och sedan ett användarnamn och lösenord ovanpå. Den andra är L2TP/IPsec, där PPP körs inuti en IPsec-transport som skyddas av en delad nyckel. Den tredje är IKEv2, autentiserad med certifikat eller EAP.

Läs fälten i stället för etiketten. En grupphemlighet plus en användarlista betyder IKEv1 XAUTH. En fördelad nyckel plus ett PPP-konto betyder L2TP/IPsec. Ett servercertifikat utan grupphemlighet betyder IKEv2.

Stödglappet mellan telefon och laptop

Android har en IKEv1 XAUTH PSK-klient inbyggd, och det är precis därför telefonen lyckas mot en router som inte erbjuder något annat. Windows har inte det: dess inbyggda klient hanterar L2TP/IPsec och IKEv2, och det finns inget IKEv1 XAUTH-alternativ att aktivera. Att skriva in hemligheten igen kan inte hjälpa, eftersom den saknade delen är protokollet och inte inloggningsuppgiften.

Apples sida är ett rörligt mål. Nyare macOS- och iOS-versioner styr mot IKEv2, äldre profiler i Cisco-stil överlever i vissa byggen, och en uppgradering kan ta bort eller strama åt det som fungerade förra månaden. En Mac som anslöt i går och inte i dag, utan någon routerändring, är vanligtvis detta.

Två inställningar som förstör i övrigt korrekta profiler

Synologys sida för L2TP/IPsec erbjuder en kryssruta märkt Enable SHA2-256 compatible mode (96 bit). Apples klienter från iOS 14 och macOS Big Sur och framåt avvisar det trunkerade läget, så rutan måste avmarkeras för dem. Lämnas den på autentiserar tunneln och släpps sedan, vilket ser ut som dåliga uppgifter och inte är det. Tillverkaren dokumenterar reglaget, och det vanliga ögonblicket då det börjar spela roll är en uppgradering av operativsystemet.

Windows förvarar certifikat i två separata lager, och IKEv2 läser bara maskinlagret. Importera klientcertifikatet med dess privata nyckel till datorns konto; ett certifikat som ligger under ditt eget användarkonto syns i hanteringskonsolen och når aldrig IKEv2-tjänsten. EAP-TLS är det enda fallet där ett användarcertifikat går att använda, och den signerande CA:n måste ändå vara betrodd av maskinen. Ett fel här visar sig som ett autentiseringsfel, inte som en fråga om ett saknat certifikat.

När routern förblir som den är

En router som bara talar XAUTH PSK lämnar tre vägar framåt: tillverkarens klient, en tredjepartsklient som fortfarande implementerar profilen, eller att flytta tunnelns ändpunkt till något som talar IKEv2. AVM publicerar till exempel Windows-klientprogramvara och en exporterad konfigurationsfil för sina routrar. Den vägen stöds, och den innebär att ett verktyg från tillverkaren installeras på varje laptop.

Stöd betyder mer än elegans när laptoparna inte är dina att bygga om.

Väg också in säkerhetskostnaden. En grupphemlighet täcker varje användare, så den som har den kan ta serverns plats och fånga det användarnamn och lösenord som klienten erbjuder. Där IKEv2 med certifikat finns tillgängligt är den migreringen värd mer än någon klientlösning.

Diagnostisera utifrån och in

Skaffa först en fungerande session från telefonen, så att serversidan är bevisad innan laptopen kommer in i bilden. Importera sedan routerns exporterade profil oförändrad och läs klientloggen i stället för routerns statussida. Om loggen inte visar något förslag som lämnar datorn nådde laptopen aldrig responderaren. Om förslag utbyts och sedan misslyckas gäller oenigheten algoritmer, identitet eller inloggningsuppgifter.

Behåll den fungerande telefonprofilen som kontroll. När bara laptopen går sönder efter en firmwareuppdatering beter sig serversidan som förut. När båda går sönder, titta på certifikatet eller lyssnaren innan du rör någon av klienterna.