ทำไม Android เชื่อมต่อ IPsec VPN ที่บ้านได้ แต่ Windows ไม่ได้

โทรศัพท์เชื่อมต่อ VPN ของเราเตอร์ได้โดยไม่มีปัญหา ขณะที่แล็ปท็อปใน Wi-Fi เดียวกันเชื่อมต่อไม่ได้ ข้อมูลเข้าสู่ระบบเดียวกัน เซิร์ฟเวอร์เดียวกัน นาทีเดียวกัน ความแตกต่างคือการรองรับโปรโตคอล ไม่ใช่รหัสผ่าน: เราเตอร์เปิดเผยโปรไฟล์ที่ระบบปฏิบัติการหนึ่งใช้งานได้และอีกระบบไม่เคยมี

ระบุโปรไฟล์ก่อน แล้วเปรียบเทียบกับสิ่งที่ไคลเอนต์แต่ละตัวพูดจริง

เมนูเดียว สามโปรโตคอล

ภายใต้หัวข้อ IPsec เดียว เฟิร์มแวร์สำหรับผู้ใช้ทั่วไปอาจซ่อนอุโมงค์ที่ต่างกันสามแบบไว้ ตัวแรกคือ IKEv1 กับ XAUTH: ความลับกลุ่มที่ใช้ร่วมกัน แล้วตามด้วยชื่อผู้ใช้และรหัสผ่านทับลงไป ตัวที่สองคือ L2TP/IPsec ซึ่ง PPP ทำงานภายใน IPsec transport ที่ป้องกันด้วยคีย์ร่วม ตัวที่สามคือ IKEv2 ที่รับรองด้วยใบรับรองหรือ EAP

อ่านฟิลด์ ไม่ใช่ป้ายกำกับ ความลับกลุ่มบวกกับรายชื่อผู้ใช้หมายถึง IKEv1 XAUTH คีย์ร่วมบวกกับบัญชี PPP หมายถึง L2TP/IPsec ใบรับรองเซิร์ฟเวอร์ที่ไร้ความลับกลุ่มหมายถึง IKEv2

ช่องว่างการรองรับระหว่างโทรศัพท์กับแล็ปท็อป

Android มีไคลเอนต์ IKEv1 XAUTH PSK ติดเครื่องมาด้วย ซึ่งเป็นเหตุผลที่โทรศัพท์สำเร็จกับเราเตอร์ที่ไม่เสนออย่างอื่น Windows ไม่มี: ไคลเอนต์พื้นเมืองของมันจัดการ L2TP/IPsec และ IKEv2 และไม่มีตัวเลือก IKEv1 XAUTH ให้เปิด การกรอกความลับซ้ำไม่ช่วย เพราะชิ้นที่ขาดคือโปรโตคอล ไม่ใช่ข้อมูลเข้าสู่ระบบ

ฝั่ง Apple เป็นเป้าที่เคลื่อนไหว รุ่นใหม่ของ macOS และ iOS มุ่งไปทาง IKEv2 โปรไฟล์สไตล์ Cisco แบบเก่ายังอยู่รอดในบางบิลด์ และการอัปเกรดอาจลบหรือเข้มงวดสิ่งที่ทำงานได้เมื่อเดือนที่แล้ว Mac ที่เชื่อมต่อเมื่อวานแต่ไม่เชื่อมต่อวันนี้ โดยไม่มีการเปลี่ยนเราเตอร์ มักเป็นกรณีนี้

สองการตั้งค่าที่ทำให้โปรไฟล์ที่ถูกต้องพัง

หน้าของ Synology สำหรับ L2TP/IPsec มีช่องทำเครื่องหมายชื่อ Enable SHA2-256 compatible mode (96 bit) ไคลเอนต์ Apple ตั้งแต่ iOS 14 และ macOS Big Sur ขึ้นไปปฏิเสธโหมดที่ถูกตัดทอนนั้น จึงต้องยกเลิกการเลือกช่องนี้สำหรับพวกเขา หากเปิดไว้ อุโมงค์จะรับรองแล้วหลุด ซึ่งดูเหมือนข้อมูลเข้าสู่ระบบเสียแต่ไม่ใช่ ผู้ผลิตจัดทำเอกสารสวิตช์นี้ และช่วงเวลาปกติที่มันเริ่มสำคัญคือการอัปเกรดระบบปฏิบัติการ

Windows เก็บใบรับรองไว้ในสองที่แยกกัน และ IKEv2 อ่านเฉพาะที่ของเครื่อง นำเข้าใบรับรองไคลเอนต์พร้อมคีย์ส่วนตัวลงในบัญชีคอมพิวเตอร์ ใบรับรองที่เก็บไว้ใต้บัญชีผู้ใช้ของคุณจะปรากฏในคอนโซลจัดการและไม่เคยไปถึงบริการ IKEv2 EAP-TLS เป็นกรณีเดียวที่ใบรับรองผู้ใช้ใช้ได้ และ CA ที่ลงนามยังต้องได้รับความไว้วางใจจากเครื่อง การทำผิดตรงนี้จะแสดงเป็นการรับรองล้มเหลว ไม่ใช่การเรียกขอใบรับรองที่หายไป

เมื่อเราเตอร์ยังคงเป็นอย่างที่มันเป็น

เราเตอร์ที่พูดได้แค่ XAUTH PSK เหลือทางไปข้างหน้าสามทาง: ไคลเอนต์ของผู้ผลิต, ไคลเอนต์ของบุคคลที่สามที่ยังใช้งานโปรไฟล์นี้ หรือย้ายปลายอุโมงค์ไปยังสิ่งที่พูด IKEv2 ได้ ตัวอย่างเช่น AVM เผยแพร่ซอฟต์แวร์ไคลเอนต์ Windows และไฟล์กำหนดค่าที่ส่งออกสำหรับเราเตอร์ของตน เส้นทางนั้นได้รับการรองรับ และหมายถึงการติดตั้งเครื่องมือของผู้ผลิตบนแล็ปท็อปทุกเครื่อง

การรองรับสำคัญกว่าความสวยงาม เมื่อแล็ปท็อปไม่ใช่ของคุณที่จะสร้างใหม่

ชั่งน้ำหนักต้นทุนด้านความปลอดภัยด้วย ความลับกลุ่มเดียวครอบคลุมผู้ใช้ทุกคน ดังนั้นใครก็ตามที่ถือมันไว้สามารถสวมบทเซิร์ฟเวอร์และดักจับชื่อผู้ใช้และรหัสผ่านที่ไคลเอนต์เสนอ ที่ใดมี IKEv2 พร้อมใบรับรอง การย้ายไปทางนั้นมีค่ามากกว่าวิธีเลี่ยงใด ๆ ฝั่งไคลเอนต์

วินิจฉัยจากภายนอกเข้าสู่ภายใน

เริ่มจากได้หนึ่งเซสชันที่ใช้งานได้จากโทรศัพท์ เพื่อพิสูจน์ฝั่งเซิร์ฟเวอร์ก่อนที่แล็ปท็อปจะเข้ามาเกี่ยวข้อง จากนั้นนำเข้าโปรไฟล์ที่ส่งออกของเราเตอร์โดยไม่แก้ไข และอ่านบันทึกของไคลเอนต์แทนหน้าสถานะของเราเตอร์ หากบันทึกไม่แสดงข้อเสนอใดออกไป แสดงว่าแล็ปท็อปไม่เคยไปถึงผู้ตอบรับ หากข้อเสนอแลกเปลี่ยนกันแล้วล้มเหลว ความขัดแย้งอยู่ที่อัลกอริทึม ตัวตน หรือข้อมูลเข้าสู่ระบบ

เก็บโปรไฟล์โทรศัพท์ที่ใช้งานได้ไว้เป็นตัวควบคุม เมื่อมีเพียงแล็ปท็อปที่พังหลังอัปเดตเฟิร์มแวร์ ฝั่งเซิร์ฟเวอร์ยังทำงานเหมือนเดิม เมื่อทั้งคู่พัง ให้ดูใบรับรองหรือพอร์ตที่รับฟังก่อนแตะไคลเอนต์ใด