Nega Android uy IPsec VPN-ga ulanadi, Windows esa ulanmaydi

Telefon router VPN-iga hech qanday shikoyatsiz qo'shiladi, xuddi shu Wi-Fi tarmog'idagi noutbuk esa qo'shila olmaydi. Bir xil hisob ma'lumotlari, bir xil server, bir xil daqiqa. Farq parolda emas, protokol qo'llab-quvvatlashida: router bir operatsion tizim amalga oshiradigan, boshqasi esa hech qachon amalga oshirmagan profilni taqdim etadi.

Avval profilni aniqlang, so'ng uni har bir mijoz aslida nima gapiradigan bilan solishtiring.

Bitta menyu, uchta protokol

Bitta IPsec sarlavhasi ostida iste'molchi proshivkasi uchta ancha boshqacha tunnelni yashirishi mumkin. Birinchisi XAUTH bilan IKEv1: umumiy guruh siri, so'ng ustiga foydalanuvchi nomi va parol. Ikkinchisi L2TP/IPsec bo'lib, unda PPP umumiy kalit bilan himoyalangan IPsec transporti ichida ishlaydi. Uchinchisi IKEv2, sertifikatlar yoki EAP bilan autentifikatsiya qilinadi.

Yorliqni emas, maydonlarni o'qing. Guruh siri va foydalanuvchilar ro'yxati IKEv1 XAUTH degani. Umumiy kalit va PPP hisobi L2TP/IPsec degani. Guruh siri bo'lmagan server sertifikati IKEv2 degani.

Telefon va noutbuk orasidagi qo'llab-quvvatlash bo'shlig'i

Android ichida IKEv1 XAUTH PSK mijozi bor, shuning uchun telefon boshqa hech narsa taklif qilmaydigan router bilan muvaffaqiyat qozonadi. Windows esa unday emas: uning mahalliy mijozi L2TP/IPsec va IKEv2 bilan ishlaydi, yoqish uchun IKEv1 XAUTH varianti yo'q. Sirni qayta kiritish yordam bermaydi, chunki yetishmayotgan qism protokol, hisob ma'lumoti emas.

Apple tomoni harakatlanuvchi nishon. Yangiroq macOS va iOS versiyalari IKEv2 tomon yo'naladi, eski Cisco uslubidagi profillar ba'zi buildlarda saqlanib qoladi, yangilanish esa o'tgan oy ishlagan narsani olib tashlashi yoki qattiqlashtirishi mumkin. Kecha ulangan, bugun ulanmayotgan, routerda o'zgarish bo'lmagan Mac odatda shu holat.

Boshqa jihatdan to'g'ri profillarni buzadigan ikkita sozlama

Synology ning L2TP/IPsec sahifasi Enable SHA2-256 compatible mode (96 bit) deb belgilangan katakchani taklif qiladi. iOS 14 va macOS Big Sur dan boshlab Apple mijozlari o'sha qisqartirilgan rejimni rad etadi, shuning uchun ular uchun katakchani olib tashlash kerak. Agar yoqilgan qolsa, tunnel autentifikatsiyadan o'tadi va keyin uziladi, bu yomon hisob ma'lumotlaridek ko'rinadi, lekin unday emas. Ishlab chiqaruvchi bu kalitni hujjatlashtiradi va bu ahamiyatli bo'la boshlaydigan odatiy payt operatsion tizim yangilanishidir.

Windows sertifikatlarni ikkita alohida omborda saqlaydi, IKEv2 esa faqat mashina omborini o'qiydi. Mijoz sertifikatini uning shaxsiy kaliti bilan kompyuter hisobiga import qiling; o'zingizning foydalanuvchi hisobingiz ostida qoldirilgan sertifikat boshqaruv konsolida ko'rinadi va IKEv2 xizmatiga hech qachon yetib bormaydi. EAP-TLS foydalanuvchi sertifikati ishlatilishi mumkin bo'lgan yagona holat, va imzolovchi CA ga mashina baribir ishonishi kerak. Bu yerda xato autentifikatsiya muvaffaqiyatsizligi sifatida ko'rinadi, yo'q sertifikat so'rovi sifatida emas.

Router o'z holicha qolganda

Faqat XAUTH PSK gapiradigan router oldinga uchta yo'l qoldiradi: ishlab chiqaruvchi mijozi, profilni hali ham amalga oshiradigan uchinchi tomon mijozi yoki tunnel oxirini IKEv2 gapiradigan narsaga ko'chirish. Masalan, AVM o'z routerlari uchun Windows mijoz dasturini va eksport qilingan konfiguratsiya faylini e'lon qiladi. Bu yo'l qo'llab-quvvatlanadi va har bir noutbukka ishlab chiqaruvchi vositasini o'rnatishni bildiradi.

Noutbuklar sizniki bo'lmasa, qayta qurish uchun qo'llab-quvvatlash nafosatdan muhimroq.

Xavfsizlik narxini ham torting. Bitta guruh siri har bir foydalanuvchini qamrab oladi, shuning uchun uni ushlab turgan har kim server o'rnini egallashi va mijoz taklif qilgan foydalanuvchi nomi bilan parolni ushlab qolishi mumkin. Sertifikatli IKEv2 mavjud bo'lgan joyda bu migratsiya har qanday mijoz hiylasidan qimmatroq.

Tashqaridan ichkariga tashxis qo'ying

Avval telefondan bitta ishlaydigan sessiya oling, shunda noutbuk paydo bo'lishidan oldin server tomoni isbotlanadi. So'ng routerning eksport qilingan profilini o'zgartirmasdan import qiling va routerning holat sahifasi o'rniga mijoz jurnalini o'qing. Agar jurnalda hech qanday taklif chiqayotgani ko'rinmasa, noutbuk javob beruvchiga hech qachon yetib bormagan. Agar takliflar almashinib, keyin muvaffaqiyatsiz bo'lsa, kelishmovchilik algoritmlar, identifikatsiya yoki hisob ma'lumotlari haqida.

Ishlaydigan telefon profilini nazorat sifatida saqlang. Proshivka yangilanishidan keyin faqat noutbuk buzilsa, server tomoni avvalgidek ishlayapti. Ikkalasi ham buzilsa, biron mijozga tegishdan oldin sertifikat yoki tinglaydigan portga qarang.