Чому Android підключається до домашнього IPsec VPN, а Windows — ні

Телефон без жодних скарг приєднується до VPN маршрутизатора, тоді як ноутбук у тій самій мережі Wi-Fi не може. Ті самі облікові дані, той самий сервер, та сама хвилина. Різниця в підтримці протоколу, а не в паролі: маршрутизатор надає профіль, який одна операційна система реалізує, а інша ніколи не реалізовувала.

Спершу визначте профіль, потім порівняйте його з тим, що насправді підтримує кожен клієнт.

Одне меню, три протоколи

Під одним заголовком IPsec споживча прошивка може ховати три досить різні тунелі. Перший — IKEv1 із XAUTH: спільний груповий секрет, а потім ім'я користувача й пароль поверх. Другий — L2TP/IPsec, де PPP працює всередині транспорту IPsec, захищеного спільним ключем. Третій — IKEv2, автентифікований сертифікатами або EAP.

Читайте поля, а не етикетку. Груповий секрет і список користувачів означають IKEv1 XAUTH. Спільний ключ і обліковий запис PPP означають L2TP/IPsec. Сертифікат сервера без групового секрету означає IKEv2.

Розрив у підтримці між телефоном і ноутбуком

Android має вбудований клієнт IKEv1 XAUTH PSK, і саме тому телефон успішно працює з маршрутизатором, який не пропонує нічого іншого. Windows — ні: його вбудований клієнт підтримує L2TP/IPsec і IKEv2, а параметра IKEv1 XAUTH немає чого вмикати. Повторне введення секрету не допоможе, бо бракує протоколу, а не облікових даних.

Бік Apple — рухома ціль. Новіші випуски macOS та iOS прямують до IKEv2, старіші профілі в стилі Cisco виживають у деяких збірках, а оновлення може прибрати або посилити те, що працювало минулого місяця. Mac, який підключався вчора й не підключається сьогодні без змін на маршрутизаторі, зазвичай це саме воно.

Два налаштування, що ламають інакше правильні профілі

Сторінка Synology для L2TP/IPsec пропонує прапорець із написом Enable SHA2-256 compatible mode (96 bit). Клієнти Apple від iOS 14 і macOS Big Sur далі відкидають цей урізаний режим, тож для них прапорець треба зняти. Якщо лишити його ввімкненим, тунель автентифікується й потім падає, що виглядає як погані облікові дані, але це не так. Виробник документує цей перемикач, і звичайний момент, коли це починає мати значення, — оновлення операційної системи.

Windows тримає сертифікати в двох окремих сховищах, і IKEv2 читає лише машинне. Імпортуйте клієнтський сертифікат з його приватним ключем до облікового запису комп'ютера; сертифікат, залишений під вашим користувацьким записом, видно в консолі керування, і він ніколи не доходить до служби IKEv2. EAP-TLS — єдиний випадок, коли користувацький сертифікат придатний, і тоді машина все одно має довіряти CA, що його підписав. Помилка тут виглядає як збій автентифікації, а не як запит про відсутній сертифікат.

Коли маршрутизатор лишається таким, як є

Маршрутизатор, що говорить лише XAUTH PSK, залишає три шляхи далі: клієнт виробника, сторонній клієнт, який досі реалізує цей профіль, або перенесення кінця тунелю на щось, що говорить IKEv2. Наприклад, AVM публікує клієнтську програму для Windows та експортований файл конфігурації для своїх маршрутизаторів. Цей шлях підтримується, і він означає встановлення інструмента виробника на кожен ноутбук.

Підтримка важливіша за елегантність, коли ноутбуки не ваші й не вам їх перебудовувати.

Зважте й ціну безпеки. Один груповий секрет покриває кожного користувача, тож будь-хто, хто його має, може видати себе за сервер і перехопити ім'я користувача та пароль, які пропонує клієнт. Там, де доступний IKEv2 із сертифікатами, така міграція варта більше за будь-який обхідний шлях на клієнті.

Діагностуйте ззовні всередину

Спершу отримайте один робочий сеанс із телефона, щоб серверний бік було доведено до того, як ноутбук увійде в картину. Потім імпортуйте експортований профіль маршрутизатора без змін і читайте журнал клієнта, а не сторінку стану маршрутизатора. Якщо в журналі не видно жодної пропозиції, що виходить, ноутбук так і не дістався до відповідача. Якщо пропозиції обмінюються й потім зазнають невдачі, розбіжність стосується алгоритмів, ідентичності або облікових даних.

Тримайте робочий профіль телефона як контроль. Коли після оновлення прошивки ламається лише ноутбук, серверний бік поводиться як раніше. Коли ламаються обидва, подивіться на сертифікат або слухача, перш ніж торкатися будь-якого клієнта.