VPN у Windows проти Cisco Secure Client: що правильно?
Бренд не називає протокол: Windows пропонує кілька вбудованих типів, а клієнт Cisco несе профілі більш ніж для одного режиму. Прочитайте профіль.
Для одного й того самого шлюзу надходять дві інструкції: підключитися через VPN у Windows або встановити клієнт Cisco. Жодна не називає обмін, якого очікує шлюз, бо Windows пропонує кілька вбудованих типів з'єднання, а клієнт постачальника несе профілі більш ніж для одного режиму. Обидві позначки описують програмне забезпечення, тоді як шлюз узгоджує протокол, автентифікацію та політику. Відповідь у профілі, і його можна прочитати, не підключаючись.
Позначка називає програмне забезпечення, а не обмін
Бренд і операційна система — два різні факти, і жоден із них не обирає формат на дроті. Windows постачає набір вбудованих типів, а клієнт Cisco постачає рушій профілів, який уміє керувати SSL або IPsec/IKEv2. Змішування обох дає таблиці, що порівнюють компанії, а не обміни.
Таблиця нижче замінює питання про продукт трьома місцями читання й полем, яке кожне з них зберігає. Запишіть ці поля, і неоднозначність зникне:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Довідник Microsoft щодо типів VPN у Windows перелічує IKEv2 і SSTP серед вбудованих типів, що знімає уявлення, ніби вбудований профіль означає PPTP. Документація Cisco щодо профілів описує і режим SSL, і режим IPsec/IKEv2 з відповідною політикою головного вузла. Кожен постачальник пропонує кілька варіантів, тож жодна назва не вказує на єдиний протокол.
Що вбудовані типи кладуть на дріт
IKEv2 узгоджує асоціації безпеки поверх UDP і несе трафік усередині IPsec, що робить його рівним іншим реалізаціям IKEv2, а не проєктом, специфічним для Microsoft. SSTP загортає PPP у сеанс HTTPS, тому проходить крізь проксі, які IKEv2 не може, і на дроті виглядає як TLS, не будучи протоколом TLS VPN. Ці два факти пояснюють більшу частину заявки, у якій тунель працює в одній мережі й не працює в іншій.
L2TP з IPsec і старіший запис PPTP стоять у тому самому спадному списку, і їхня присутність там нічого не каже про підтримку сервера. Спадний список — це меню того, що операційна система може спробувати, а не заява шлюзу про можливості. Читати його як список підтримки — так починається двогодинне полювання за обліковими даними.
Поля, які важливі у вбудованому профілі, — це тип з'єднання, метод автентифікації та ідентичність сервера. Неправильний тип зазнає невдачі на іншому етапі, ніж поганий пароль, і саме ця різниця варта уваги.
Що додає клієнт постачальника: профілі, а не протокол
Клієнт Cisco — це контейнер для профілів. Режим SSL і режим IPsec/IKEv2 різняться обміном, очікуваннями щодо портів і текстом помилки, і імпортований профіль вибирає між ними. Тому встановлення клієнта нічого не доводить про доступність.
Версії спарені недарма. Функції, потоки автентифікації та перевірки стану узгоджуються між клієнтом і головним вузлом, тож старий клієнт проти нового вузла може зазнати невдачі так, що це читається як збій мережі. Ця пара належить до визначення з'єднання, а не до нотатки про оновлення.
Профіль, експортований з іншої організації, рідко відповідає місцевому головному вузлу, а його імпорт може залишити клієнт таким, що пропонує режим, якого шлюз не обслуговує. Спершу прочитайте режим із профілю, потім порівняйте його з налаштованим протоколом і політикою автентифікації шлюзу. Лише коли вони збігаються, мережа стає підозрюваною. Такий порядок економить захоплення пакетів, яке показало б здоровий сеанс TLS, скерований не до тієї служби.
Прочитайте місцевий профіль, перш ніж щось змінювати
У Windows вбудовану конфігурацію можна прочитати без виклику, і вивід прямо називає тип і метод автентифікації. Порівняйте ці значення з тим, що власник шлюзу каже про прийнятні параметри вузла. Якщо тип розходиться із заявкою, спершу виправте заявку, бо це дешевше, ніж перевстановлювати клієнт, який ніколи не був неправим.
Ці чотири команди охоплюють профіль, його маршрути, спробу з'єднання та доступність порту. Виконайте їх у такому порядку на машині, де профіль уже встановлено:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Тест порту — це той, який перечитують. Слухач TCP 443, що віддає сторінку входу, і той, що завершує IKEv2, зовні виглядають однаково, бо порт — це місце, а не протокол.
Запишіть результат як три поля: клієнт, режим і шлюз, і тримайте їх поруч із заявкою. Усе коротше залишає наступній людині знову виявити ту саму неоднозначність.