Windows VPN mi Cisco Secure Client mı: hangisi doğru?
Bir marka protokol adı değildir: Windows birkaç yerel tür sunar ve Cisco istemcisi birden fazla mod için profil taşır. Profili okuyun.
Aynı ağ geçidine iki talimat gelir: Windows VPN ile bağlanın veya Cisco istemcisini kurun. İkisi de ağ geçidinin beklediği değişimi adlandırmaz, çünkü Windows birkaç yerel bağlantı türü sunar ve satıcının istemcisi birden fazla mod için profil taşır. İki etiket de yazılımı tanımlar, ağ geçidi ise protokol, kimlik doğrulama ve politika üzerinde anlaşır. Cevap profilde durur ve bağlanmadan okunabilir.
Etiket yazılımı adlandırır, değişimi değil
Bir marka ile bir işletim sistemi iki ayrı olgudur ve hiçbiri tel biçimini seçmez. Windows bir dizi yerel tür sunar, Cisco istemcisi ise SSL veya IPsec/IKEv2 sürebilen bir profil motoru sunar. İkisini karıştırmak, değişimleri değil şirketleri karşılaştıran tablolar üretir.
Aşağıdaki tablo ürün sorusunun yerine üç okuma noktası ve her birinin tuttuğu alanı koyar. O alanları kaydedin, belirsizlik kaybolur:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsoft'un Windows VPN türleri başvurusu yerel türler arasında IKEv2 ve SSTP listeler; bu, yerel profilin PPTP anlamına geldiği fikrini ortadan kaldırır. Cisco'nun profil belgeleri, eşleşen baş uç politikasıyla hem SSL hem de IPsec/IKEv2 modunu açıklar. Her satıcı birkaç seçenek sunar, bu yüzden hiçbir ad tek bir protokolü tanımlamaz.
Yerel türler tele ne koyar
IKEv2, güvenlik birliklerini UDP üzerinden müzakere eder ve trafiği IPsec içinde taşır; bu onu Microsoft'a özgü bir tasarım değil, diğer IKEv2 uygulamalarıyla eşdeğer kılar. SSTP, PPP'yi bir HTTPS oturumunun içine sarar, böylece IKEv2'nin geçemediği vekillerden geçer ve telde TLS VPN protokolü olmadan TLS gibi görünür. Bu iki olgu, tünelin bir ağda çalışıp diğerinde başarısız olduğunu bildiren bir kaydın büyük bölümünü açıklar.
IPsec'li L2TP ve daha eski PPTP girdisi aynı açılır menüde durur ve oradaki varlıkları sunucu desteği hakkında hiçbir şey söylemez. Açılır menü, işletim sisteminin deneyebileceği şeylerin listesidir, ağ geçidinin yetenek beyanı değildir. Onu destek listesi olarak okumak, iki saatlik bir kimlik bilgisi avının başladığı yoldur.
Yerel bir profilde önemli alanlar bağlantı türü, kimlik doğrulama yöntemi ve sunucu kimliğidir. Yanlış tür, kötü paroladan farklı bir aşamada başarısız olur ve izlenmeye değer ipucu tam da bu farktır.
Satıcı istemcisi ne ekler: protokol değil, profiller
Cisco istemcisi profiller için bir kaptır. SSL modu ile IPsec/IKEv2 modu değişim, bağlantı noktası beklentileri ve hata metni bakımından farklıdır ve içe aktarılan profil ikisi arasında seçer. Bu yüzden istemciyi kurmak erişilebilirlik hakkında hiçbir şey kanıtlamaz.
Sürümler bir nedenle eşleştirilir. Özellikler, kimlik doğrulama akışları ve duruş denetimleri istemci ile baş uç arasında müzakere edilir, bu yüzden eski bir istemci yeni bir baş uç karşısında ağ arızası gibi okunan bir biçimde başarısız olabilir. Bu eşleştirme bağlantı tanımına aittir, güncelleme notuna değil.
Başka bir kuruluştan dışa aktarılan profil yerel baş uçla nadiren eşleşir ve içe aktarılması istemciyi ağ geçidinin sunmadığı bir modu önermeye bırakabilir. Önce modu profilden okuyun, sonra ağ geçidinin yapılandırılmış protokolü ve kimlik doğrulama politikasıyla karşılaştırın. Ancak bunlar uyuştuğunda ağ şüpheli hale gelir. Bu sıra, yanlış hizmete yönelmiş sağlıklı bir TLS oturumunu gösterecek paket yakalamayı önler.
Herhangi bir şeyi değiştirmeden önce yerel profili okuyun
Windows'ta yerel yapılandırma çevirme yapmadan okunabilir ve çıktı türü ve kimlik doğrulama yöntemini doğrudan adlandırır. Bu değerleri ağ geçidi sahibinin baş ucun kabul ettiğini söylediği şeyle karşılaştırın. Tür kayıtla uyuşmuyorsa önce kaydı düzeltin, çünkü bu, hiç yanlış olmamış bir istemciyi yeniden kurmaktan daha ucuzdur.
Bu dört komut profili, rotalarını, bağlantı denemesini ve bağlantı noktasına erişimi kapsar. Profilin zaten kurulu olduğu bir makinede bunları bu sırayla çalıştırın:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Bağlantı noktası testi fazla okunan testtir. Oturum açma sayfası sunan bir TCP 443 dinleyicisi ile IKEv2'yi sonlandıran biri dışarıdan aynı görünür, çünkü bağlantı noktası bir yerdir, protokol değil.
Sonucu üç alan olarak yazın, istemci, mod ve ağ geçidi, ve kaydın yanında tutun. Bundan kısa her şey sıradaki kişiye aynı belirsizliği yeniden keşfetmeyi bırakır.