VPN ของ Windows กับ Cisco Secure Client: อันไหนถูก?
แบรนด์ไม่ใช่ชื่อโปรโตคอล: Windows มีชนิดการเชื่อมต่อในตัวหลายแบบ และไคลเอนต์ Cisco มีโปรไฟล์สำหรับมากกว่าหนึ่งโหมด อ่านโปรไฟล์
สำหรับเกตเวย์เดียวกันมีคำแนะนำสองแบบ: เชื่อมต่อด้วย VPN ของ Windows หรือติดตั้งไคลเอนต์ Cisco ทั้งสองไม่ได้ระบุการแลกเปลี่ยนที่เกตเวย์คาดหวัง เพราะ Windows เปิดเผยชนิดการเชื่อมต่อในตัวหลายแบบ และไคลเอนต์ของผู้จำหน่ายมีโปรไฟล์สำหรับมากกว่าหนึ่งโหมด ป้ายทั้งสองอธิบายซอฟต์แวร์ ขณะที่เกตเวย์เจรจาโปรโตคอล การรับรองความถูกต้อง และนโยบาย คำตอบอยู่ในโปรไฟล์ และอ่านได้โดยไม่ต้องเชื่อมต่อ
ป้ายระบุซอฟต์แวร์ ไม่ใช่การแลกเปลี่ยน
แบรนด์และระบบปฏิบัติการเป็นข้อเท็จจริงสองอย่างที่ต่างกัน และทั้งสองไม่ได้เลือกรูปแบบบนสาย Windows จัดหาชุดชนิดในตัว และไคลเอนต์ Cisco จัดหากลไกโปรไฟล์ที่ขับ SSL หรือ IPsec/IKEv2 ได้ การสับสนสองสิ่งนี้ทำให้ได้ตารางที่เปรียบเทียบบริษัทแทนการแลกเปลี่ยน
ตารางด้านล่างแทนคำถามเรื่องผลิตภัณฑ์ด้วยตำแหน่งอ่านสามจุดและฟิลด์ที่แต่ละจุดเก็บ บันทึกฟิลด์เหล่านั้น แล้วความกำกวมก็หายไป:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
เอกสารอ้างอิงของ Microsoft เรื่อง ชนิด VPN ของ Windows แสดงรายการ IKEv2 และ SSTP ในหมู่ชนิดในตัว ซึ่งลบล้างความคิดที่ว่าโปรไฟล์ในตัวหมายถึง PPTP เอกสารโปรไฟล์ของ Cisco อธิบายทั้งโหมด SSL และโหมด IPsec/IKEv2 พร้อมนโยบายของหัวข่ายที่สอดคล้องกัน ผู้จำหน่ายแต่ละรายมีหลายตัวเลือก ดังนั้นไม่มีชื่อใดระบุโปรโตคอลเดียว
ชนิดในตัวใส่อะไรลงบนสาย
IKEv2 เจรจาสมาคมความปลอดภัยผ่าน UDP และบรรทุกทราฟฟิกภายใน IPsec ทำให้เทียบเท่ากับการใช้งาน IKEv2 อื่น ไม่ใช่การออกแบบเฉพาะของ Microsoft SSTP ห่อ PPP ไว้ในเซสชัน HTTPS จึงผ่านพร็อกซีที่ IKEv2 ผ่านไม่ได้ และบนสายดูเหมือน TLS โดยไม่ใช่โปรโตคอล TLS VPN ข้อเท็จจริงสองข้อนี้อธิบายตั๋วส่วนใหญ่ที่รายงานว่าอุโมงค์ทำงานในเครือข่ายหนึ่งและล้มเหลวในอีกเครือข่าย
L2TP กับ IPsec และรายการ PPTP ที่เก่ากว่าอยู่ในเมนูเลื่อนลงเดียวกัน และการมีอยู่ที่นั่นไม่ได้บอกอะไรเกี่ยวกับการรองรับของเซิร์ฟเวอร์ เมนูเลื่อนลงคือรายการสิ่งที่ระบบปฏิบัติการลองได้ ไม่ใช่คำแถลงความสามารถของเกตเวย์ การอ่านเป็นรายการรองรับคือจุดเริ่มต้นของการไล่ล่าข้อมูลรับรองสองชั่วโมง
ฟิลด์ที่สำคัญในโปรไฟล์ในตัวคือชนิดการเชื่อมต่อ วิธีการรับรองความถูกต้อง และตัวตนของเซิร์ฟเวอร์ ชนิดที่ผิดล้มเหลวในขั้นตอนที่ต่างจากรหัสผ่านที่ไม่ดี และความต่างนั้นคือเบาะแสที่ควรติดตาม
ไคลเอนต์ของผู้จำหน่ายเพิ่มอะไร: โปรไฟล์ ไม่ใช่โปรโตคอล
ไคลเอนต์ Cisco เป็นภาชนะสำหรับโปรไฟล์ โหมด SSL และโหมด IPsec/IKEv2 ต่างกันในการแลกเปลี่ยน ความคาดหวังของพอร์ต และข้อความแสดงข้อผิดพลาด และโปรไฟล์ที่นำเข้าจะเลือกหว่างสองโหมดนี้ การติดตั้งไคลเอนต์จึงไม่ได้พิสูจน์อะไรเกี่ยวกับการเข้าถึง
เวอร์ชันถูกจับคู่ด้วยเหตุผล คุณลักษณะ การไหลของการรับรองความถูกต้อง และการตรวจสอบสถานะถูกเจรจาระหว่างไคลเอนต์กับหัวข่าย ไคลเอนต์เก่ากับหัวข่ายใหม่อาจล้มเหลวในลักษณะที่อ่านเป็นความขัดข้องของเครือข่าย การจับคู่นั้นอยู่ในนิยามการเชื่อมต่อ ไม่ใช่ในบันทึกการอัปเกรด
โปรไฟล์ที่ส่งออกจากองค์กรอื่นไม่ค่อยตรงกับหัวข่ายในพื้นที่ และการนำเข้าอาจทำให้ไคลเอนต์เสนอโหมดที่เกตเวย์ไม่ให้บริการ อ่านโหมดจากโปรไฟล์ก่อน แล้วเปรียบเทียบกับโปรโตคอลและนโยบายการรับรองความถูกต้องที่กำหนดไว้บนเกตเวย์ เมื่อทั้งสองตรงกันเท่านั้นเครือข่ายจึงกลายเป็นผู้ต้องสงสัย ลำดับนี้ประหยัดการดักจับแพ็กเก็ตที่จะแสดงเซสชัน TLS ที่ดีซึ่งชี้ไปยังบริการผิด
อ่านโปรไฟล์ในพื้นที่ก่อนเปลี่ยนสิ่งใด
บน Windows อ่านการกำหนดค่าในตัวได้โดยไม่ต้องหมุนหมายเลข และผลลัพธ์ระบุชนิดและวิธีการรับรองความถูกต้องโดยตรง เปรียบเทียบค่าเหล่านั้นกับสิ่งที่เจ้าของเกตเวย์บอกว่าหัวข่ายยอมรับ หากชนิดไม่ตรงกับตั๋ว ให้แก้ตั๋วก่อน เพราะถูกกว่าการติดตั้งไคลเอนต์ที่ไม่เคยผิดซ้ำ
สี่คำสั่งนี้ครอบคลุมโปรไฟล์ เส้นทางของมัน การพยายามเชื่อมต่อ และการเข้าถึงพอร์ต เรียกใช้ตามลำดับนั้นบนเครื่องที่ติดตั้งโปรไฟล์ไว้แล้ว:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443การทดสอบพอร์ตคือสิ่งที่ถูกอ่านมากเกินไป ผู้ฟัง TCP 443 ที่ให้บริการหน้าเข้าสู่ระบบกับอีกตัวที่สิ้นสุด IKEv2 ดูเหมือนกันจากภายนอก เพราะพอร์ตคือตำแหน่ง ไม่ใช่โปรโตคอล
เขียนผลลัพธ์เป็นสามฟิลด์ ไคลเอนต์ โหมด และเกตเวย์ และเก็บไว้ข้างตั๋ว สิ่งที่สั้นกว่านั้นทำให้คนถัดไปต้องค้นพบความกำกวมเดิมอีกครั้ง