VPN ng Windows kumpara sa Cisco Secure Client: alin ang tama?

Para sa parehong gateway dumarating ang dalawang tagubilin: kumonekta gamit ang Windows VPN, o i-install ang Cisco client. Wala sa dalawa ang nagbabanggit ng palitan na inaasahan ng gateway, dahil naglalantad ang Windows ng ilang katutubong uri ng koneksyon at ang client ng vendor ay may mga profile para sa higit sa isang mode. Pareho ang mga label na naglalarawan ng software, habang ang gateway ay nakikipag-ayos sa protocol, pagpapatotoo at patakaran. Ang sagot ay nasa profile, at mababasa ito nang hindi kumokonekta.

Pinapangalanan ng label ang software, hindi ang palitan

Ang tatak at ang operating system ay dalawang magkaibang katotohanan, at wala sa dalawa ang pumipili ng format sa kawad. Naghahatid ang Windows ng isang hanay ng katutubong uri, at ang Cisco client ay naghahatid ng makinang pang-profile na kayang magpatakbo ng SSL o IPsec/IKEv2. Ang paghahalo sa dalawa ay gumagawa ng mga tsart na naghahambing ng mga kumpanya sa halip na mga palitan.

Pinapalitan ng talahanayan sa ibaba ang tanong tungkol sa produkto ng tatlong lugar ng pagbasa at ang patlang na hawak ng bawat isa. Itala ang mga patlang na iyon, at mawawala ang kalabuan:

Ang sanggunian ng Microsoft sa mga uri ng VPN sa Windows ay naglilista ng IKEv2 at SSTP sa mga katutubong uri, na nag-aalis ng ideyang ang katutubong profile ay nangangahulugang PPTP. Inilalarawan ng dokumentasyon ng profile ng Cisco ang parehong SSL mode at IPsec/IKEv2 mode na may tugmang patakaran ng headend. Nag-aalok ang bawat vendor ng ilang opsyon, kaya walang pangalan ang tumutukoy sa isang protocol.

Ano ang inilalagay ng mga katutubong uri sa kawad

Nakikipag-ayos ang IKEv2 ng mga asosasyong pangseguridad sa UDP at nagdadala ng trapiko sa loob ng IPsec, na ginagawa itong kapantay ng iba pang implementasyon ng IKEv2 at hindi disenyong pantangi ng Microsoft. Binabalot ng SSTP ang PPP sa loob ng sesyong HTTPS, kaya dumadaan ito sa mga proxy na hindi kayang daanan ng IKEv2 at sa kawad ay mukhang TLS nang hindi ito protocol na TLS VPN. Ang dalawang katotohanang ito ang nagpapaliwanag sa malaking bahagi ng isang tiket na nag-uulat na gumagana ang tunnel sa isang network at nabibigo sa iba.

Ang L2TP na may IPsec at ang lumang entry na PPTP ay nasa parehong dropdown, at ang kanilang presensya doon ay walang sinasabi tungkol sa suporta ng server. Ang dropdown ay menu ng kayang subukan ng operating system, hindi pahayag ng kakayahan ng gateway. Ang basahin ito bilang listahan ng suporta ay kung paano nagsisimula ang dalawang oras na paghahanap ng kredensyal.

Ang mga patlang na mahalaga sa katutubong profile ay ang uri ng koneksyon, paraan ng pagpapatotoo at pagkakakilanlan ng server. Ang maling uri ay nabibigo sa ibang yugto kaysa sa masamang password, at ang pagkakaibang iyon ang bakas na dapat sundan.

Ano ang idinadagdag ng client ng vendor: mga profile, hindi protocol

Ang Cisco client ay lalagyan ng mga profile. Ang SSL mode at IPsec/IKEv2 mode ay magkaiba sa palitan, inaasahan sa port at teksto ng error, at pinipili ng na-import na profile sa pagitan ng mga ito. Kaya ang pag-install ng client ay walang pinatutunayan tungkol sa maabot.

Ang mga bersyon ay pinapares sa isang dahilan. Ang mga feature, daloy ng pagpapatotoo at pagsusuri ng postura ay pinag-aaayosan ng client at headend, kaya ang lumang client laban sa bagong headend ay maaaring mabigo sa paraang mababasa na parang sira ng network. Ang pares na iyon ay kabilang sa depinisyon ng koneksyon, hindi sa tala ng upgrade.

Ang profile na inilabas mula sa ibang organisasyon ay bihirang tumugma sa lokal na headend, at ang pag-import nito ay maaaring iwan ang client na nag-aalok ng mode na hindi pinagsisilbihan ng gateway. Basahin muna ang mode mula sa profile, pagkatapos ihambing ito sa naka-configure na protocol at patakaran ng pagpapatotoo ng gateway. Kapag nagtugma lamang ang mga iyon nagiging suspek ang network. Ang pagkakasunod na iyon ay nakakatipid ng paghuli ng packet na magpapakita sana ng malusog na sesyong TLS na nakaturo sa maling serbisyo.

Basahin ang lokal na profile bago baguhin ang anuman

Sa Windows mababasa ang katutubong configuration nang hindi tumatawag, at direktang pinapangalanan ng output ang uri at paraan ng pagpapatotoo. Ihambing ang mga halagang iyon sa sinasabi ng may-ari ng gateway na tinatanggap ng headend. Kung hindi tugma ang uri sa tiket, ayusin muna ang tiket, dahil mas mura ito kaysa i-install muli ang client na hindi kailanman nagkamali.

Saklaw ng apat na utos na ito ang profile, ang mga ruta nito, ang pagtatangkang kumonekta at ang maabot ng port. Patakbuhin ang mga ito sa ganoong pagkakasunod sa isang makinang may naka-install nang profile:

Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443

Ang pagsubok sa port ang madalas basahin nang sobra. Ang TCP 443 listener na naghahain ng pahina ng pag-login at ang isang nagtatapos sa IKEv2 ay magkamukha mula sa labas, dahil ang port ay lugar at hindi protocol.

Isulat ang resulta bilang tatlong patlang, client, mode at gateway, at itago ang mga ito sa tabi ng tiket. Ang anumang mas maikli ay iniiwan sa susunod na tao ang muling pagtuklas ng parehong kalabuan.