Android evdeki IPsec VPN'e bağlanıyor da Windows neden bağlanmıyor

Telefon, yönlendiricinin VPN'ine hiçbir itiraz olmadan katılırken aynı Wi-Fi üzerindeki dizüstü bilgisayar katılamıyor. Aynı kimlik bilgileri, aynı sunucu, aynı dakika. Fark parolada değil, protokol desteğinde: yönlendirici bir işletim sisteminin uyguladığı ve diğerinin hiç uygulamadığı bir profil sunuyor.

Önce profili tanımlayın, sonra her istemcinin gerçekte ne konuştuğuyla karşılaştırın.

Tek menü, üç protokol

Tek bir IPsec başlığı altında tüketici ürün yazılımı birbirinden oldukça farklı üç tünel saklayabilir. Birincisi XAUTH ile IKEv1: paylaşılan bir grup sırrı, ardından üstüne bir kullanıcı adı ve parola. İkincisi L2TP/IPsec; burada PPP, paylaşılan bir anahtarla korunan bir IPsec taşıması içinde çalışır. Üçüncüsü, sertifikalar veya EAP ile doğrulanan IKEv2.

Etiketi değil, alanları okuyun. Grup sırrı artı kullanıcı listesi IKEv1 XAUTH demektir. Paylaşılan anahtar artı PPP hesabı L2TP/IPsec demektir. Grup sırrı olmayan bir sunucu sertifikası IKEv2 demektir.

Telefon ile dizüstü arasındaki destek uçurumu

Android içinde bir IKEv1 XAUTH PSK istemcisi taşır; telefonun başka hiçbir şey sunmayan bir yönlendirici karşısında başarılı olmasının nedeni tam olarak budur. Windows taşımaz: yerleşik istemcisi L2TP/IPsec ve IKEv2'yi işler ve etkinleştirilecek bir IKEv1 XAUTH seçeneği yoktur. Sırrı yeniden girmek yardımcı olamaz, çünkü eksik parça protokoldür, kimlik bilgisi değil.

Apple tarafı hareketli bir hedef. Daha yeni macOS ve iOS sürümleri IKEv2'ye yönelir, eski Cisco tarzı profiller bazı derlemelerde yaşamaya devam eder ve bir yükseltme geçen ay çalışan şeyi kaldırabilir veya sıkılaştırabilir. Dün bağlanan ve bugün bağlanmayan, yönlendiricide değişiklik olmayan bir Mac genellikle budur.

Doğru profilleri bozan iki ayar

Synology'nin L2TP/IPsec sayfası, Enable SHA2-256 compatible mode (96 bit) etiketli bir onay kutusu sunar. iOS 14 ve macOS Big Sur'dan itibaren Apple istemcileri bu kısaltılmış kipi reddeder, dolayısıyla kutu onlar için işaretsiz bırakılmalıdır. Açık kalırsa tünel kimlik doğrular ve sonra düşer; bu kötü kimlik bilgisi gibi görünür ama değildir. Üretici bu anahtarı belgeler ve bunun önem kazanmaya başladığı olağan an bir işletim sistemi yükseltmesidir.

Windows sertifikaları iki ayrı depoda tutar ve IKEv2 yalnızca makine deposunu okur. İstemci sertifikasını özel anahtarıyla birlikte bilgisayar hesabına aktarın; kendi kullanıcı hesabınızın altına yerleştirilen bir sertifika yönetim konsolunda görünür ve IKEv2 hizmetine hiç ulaşmaz. EAP-TLS, kullanıcı sertifikasının kullanılabildiği tek durumdur ve imzalayan CA'ya yine de makine tarafından güvenilmelidir. Buradaki hata, eksik sertifika istemi olarak değil, kimlik doğrulama hatası olarak görünür.

Yönlendirici olduğu gibi kaldığında

Yalnızca XAUTH PSK konuşan bir yönlendirici ileriye üç yol bırakır: üreticinin istemcisi, profili hâlâ uygulayan bir üçüncü taraf istemci veya tünelin ucunu IKEv2 konuşan bir şeye taşımak. Örneğin AVM, yönlendiricileri için Windows istemci yazılımı ve dışa aktarılmış bir yapılandırma dosyası yayımlar. Bu yol desteklenir ve her dizüstüne bir üretici aracı kurmayı gerektirir.

Dizüstüler sizin yeniden kuracağınız makineler değilse, destek zarafetten daha önemlidir.

Güvenlik maliyetini de tartın. Tek bir grup sırrı her kullanıcıyı kapsar, bu yüzden onu elinde tutan herkes sunucunun yerine geçebilir ve istemcinin sunduğu kullanıcı adı ile parolayı yakalayabilir. Sertifikalı IKEv2'nin bulunduğu yerlerde bu geçiş, herhangi bir istemci geçici çözümünden daha değerlidir.

Dışarıdan içeriye teşhis edin

Önce telefondan çalışan bir oturum alın, böylece dizüstü resme girmeden önce sunucu tarafı kanıtlanır. Ardından yönlendiricinin dışa aktarılmış profilini değiştirmeden içe aktarın ve yönlendiricinin durum sayfası yerine istemci günlüğünü okuyun. Günlükte dışarı çıkan hiçbir öneri görünmüyorsa dizüstü yanıtlayıcıya hiç ulaşmamıştır. Öneriler karşılıklı gidip sonra başarısız olursa anlaşmazlık algoritmalar, kimlik veya kimlik bilgileri hakkındadır.

Çalışan telefon profilini kontrol olarak saklayın. Bir ürün yazılımı güncellemesinden sonra yalnızca dizüstü bozulursa sunucu tarafı eskisi gibi davranıyor demektir. İkisi de bozulursa herhangi bir istemciye dokunmadan önce sertifikaya veya dinleyiciye bakın.