Windows VPN kontra Cisco Secure Client: vilket gäller?
Ett varumärke anger inte ett protokoll: Windows levererar flera inbyggda typer och Cisco-klienten bär profiler för mer än ett läge. Läs profilen.
För samma gateway kommer två instruktioner in: anslut med Windows VPN eller installera Cisco-klienten. Ingen av dem namnger det utbyte som gatewayen förväntar sig, eftersom Windows exponerar flera inbyggda anslutningstyper och leverantörens klient bär profiler för mer än ett läge. Båda etiketterna beskriver programvara, medan gatewayen förhandlar protokoll, autentisering och policy. Svaret finns i profilen, och den kan läsas utan att ansluta.
Etiketten namnger programvara, inte ett utbyte
Ett varumärke och ett operativsystem är två olika fakta, och ingen av dem väljer ett format på ledningen. Windows levererar en uppsättning inbyggda typer, och Cisco-klienten levererar en profilmotor som kan driva SSL eller IPsec/IKEv2. Att blanda de två ger diagram som jämför företag i stället för att jämföra utbyten.
Tabellen nedan ersätter produktfrågan med tre läsplatser och det fält som var och en håller. Anteckna dessa fält, och tvetydigheten försvinner:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsofts referens för VPN-typer i Windows listar IKEv2 och SSTP bland de inbyggda typerna, vilket avlivar idén att en inbyggd profil betyder PPTP. Ciscos profildokumentation beskriver både SSL-läget och IPsec/IKEv2-läget med matchande headend-policy. Varje leverantör erbjuder flera alternativ, så inget av namnen pekar ut ett enda protokoll.
Vad de inbyggda typerna lägger på ledningen
IKEv2 förhandlar säkerhetsassociationer över UDP och bär trafik inne i IPsec, vilket gör det till en jämlike med andra IKEv2-implementationer och inte en Microsoft-specifik design. SSTP packar in PPP i en HTTPS-session, så det passerar proxyservrar som IKEv2 inte kan och ser på ledningen ut som TLS utan att vara ett TLS VPN-protokoll. Dessa två fakta förklarar det mesta av ett ärende som rapporterar att tunneln fungerar i ett nät och misslyckas i ett annat.
L2TP med IPsec och den äldre PPTP-posten står i samma rullgardinsmeny, och deras närvaro där säger ingenting om serverstödet. En rullgardinsmeny är en meny över vad operativsystemet kan försöka, inte en kapacitetsförklaring från gatewayen. Att läsa den som en supportlista är hur en två timmars jakt på inloggningsuppgifter börjar.
Fälten som spelar roll i en inbyggd profil är anslutningstypen, autentiseringsmetoden och serverns identitet. Fel typ misslyckas i ett annat skede än ett dåligt lösenord, och den skillnaden är spåret som är värt att följa.
Vad en leverantörsklient tillför: profiler, inte ett protokoll
Cisco-klienten är en behållare för profiler. Ett SSL-läge och ett IPsec/IKEv2-läge skiljer sig i utbyte, portförväntningar och feltext, och den importerade profilen väljer mellan dem. Att installera klienten bevisar därför ingenting om nåbarhet.
Versioner paras av en anledning. Funktioner, autentiseringsflöden och posturkontroller förhandlas mellan klient och headend, så en gammal klient mot en ny headend kan misslyckas på ett sätt som läses som ett nätverksfel. Den parningen hör i anslutningsdefinitionen, inte i en uppgraderingsanteckning.
En profil som exporterats från en annan organisation passar sällan den lokala headenden, och import av den kan lämna klienten att erbjuda ett läge som gatewayen inte betjänar. Läs först läget ur profilen och jämför det sedan med gatewayens konfigurerade protokoll och autentiseringspolicy. Först när de stämmer blir nätet en misstänkt. Den ordningen sparar en paketinsamling som skulle ha visat en frisk TLS-session riktad mot fel tjänst.
Läs den lokala profilen innan du ändrar något
På Windows kan den inbyggda konfigurationen läsas utan att ringa, och utdata namnger typen och autentiseringsmetoden direkt. Jämför dessa värden med vad gatewayens ägare säger att headenden accepterar. Om typen inte stämmer med ärendet, rätta ärendet först, eftersom det är billigare än att installera om en klient som aldrig var fel.
Dessa fyra kommandon täcker profilen, dess rutter, anslutningsförsöket och portens nåbarhet. Kör dem i den ordningen på en maskin där profilen redan är installerad:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Porttestet är det som läses för mycket. En TCP 443-lyssnare som serverar en inloggningssida och en som avslutar IKEv2 ser likadana ut utifrån, eftersom porten är en plats och inte ett protokoll.
Skriv resultatet som tre fält, klient, läge och gateway, och håll dem vid sidan av ärendet. Allt kortare lämnar åt nästa person att upptäcka samma tvetydighet igen.