Windows VPN yoki Cisco Secure Client: qaysi biri to'g'ri?
Brend protokol nomi emas: Windows bir nechta mahalliy turni taqdim etadi, Cisco mijozi esa bir nechta rejim uchun profillarni olib yuradi. Profilni o'qing.
Bir xil shlyuzga ikkita ko'rsatma keladi: Windows VPN orqali ulanng yoki Cisco mijozini o'rnating. Ikkalasi ham shlyuz kutayotgan almashinuvni nomlamaydi, chunki Windows bir nechta mahalliy ulanish turini ko'rsatadi va yetkazib beruvchi mijozi bir nechta rejim uchun profillarni olib yuradi. Ikkala yorliq ham dasturiy ta'minotni tavsiflaydi, shlyuz esa protokol, autentifikatsiya va siyosat bo'yicha kelishadi. Javob profilda va uni ulanmasdan o'qish mumkin.
Yorliq dasturiy ta'minotni nomlaydi, almashinuvni emas
Brend va operatsion tizim ikki xil fakt bo'lib, ikkalasi ham sim formatini tanlamaydi. Windows mahalliy turlar to'plamini taqdim etadi, Cisco mijozi esa SSL yoki IPsec/IKEv2 boshqara oladigan profil dvigatelini taqdim etadi. Ikkalasini aralashtirish almashinuvlarni emas, kompaniyalarni taqqoslaydigan jadvallarni hosil qiladi.
Quyidagi jadval mahsulot savolini uchta o'qish joyi va har biri saqlaydigan maydon bilan almashtiradi. O'sha maydonlarni yozib oling, noaniqlik yo'qoladi:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsoft'ning Windows VPN turlari bo'yicha ma'lumotnomasi mahalliy turlar orasida IKEv2 va SSTP ni sanab o'tadi, bu mahalliy profil PPTP degan fikrni yo'q qiladi. Cisco profil hujjatlari mos keladigan bosh tugun siyosati bilan SSL va IPsec/IKEv2 rejimlarini tavsiflaydi. Har bir yetkazib beruvchi bir nechta variant taklif qiladi, shuning uchun hech bir nom bitta protokolni aniqlamaydi.
Mahalliy turlar simga nima qo'yadi
IKEv2 UDP ustida xavfsizlik assotsiatsiyalarini kelishadi va trafikni IPsec ichida olib yuradi, bu uni Microsoft'ga xos dizayn emas, balki boshqa IKEv2 tatbiqlari bilan tenglashtiradi. SSTP PPP ni HTTPS sessiyasi ichiga o'raydi, shuning uchun IKEv2 o'ta olmaydigan proksilardan o'tadi va simda TLS kabi ko'rinadi, lekin TLS VPN protokoli emas. Bu ikki fakt tunnel bir tarmoqda ishlab, boshqasida muvaffaqiyatsiz bo'lishi haqidagi biletning ko'p qismini tushuntiradi.
IPsec bilan L2TP va eskiroq PPTP yozuvi bir xil ochiladigan menyuda, va ularning u yerda borligi server qo'llab-quvvatlashi haqida hech narsa demaydi. Ochiladigan menyu operatsion tizim sinab ko'rishi mumkin bo'lgan narsalar menyusi, shlyuzning imkoniyat bayonoti emas. Uni qo'llab-quvvatlash ro'yxati sifatida o'qish ikki soatlik hisob ma'lumotlarini izlashning boshlanishi.
Mahalliy profilda muhim maydonlar — ulanish turi, autentifikatsiya usuli va server identifikatsiyasi. Noto'g'ri tur yomon paroldan boshqa bosqichda muvaffaqiyatsiz bo'ladi, va aynan shu farq kuzatishga arziydigan iz.
Yetkazib beruvchi mijozi nima qo'shadi: profillar, protokol emas
Cisco mijozi profillar uchun idish. SSL rejimi va IPsec/IKEv2 rejimi almashinuv, port kutilmalari va xato matni bilan farqlanadi, import qilingan profil esa ular orasida tanlaydi. Shuning uchun mijozni o'rnatish yetib borish haqida hech narsani isbotlamaydi.
Versiyalar bir sababga ko'ra juftlanadi. Funksiyalar, autentifikatsiya oqimlari va holat tekshiruvlari mijoz va bosh tugun o'rtasida kelishiladi, shuning uchun eski mijoz yangi tugun qarshisida tarmoq nosozligi kabi o'qiladigan tarzda muvaffaqiyatsiz bo'lishi mumkin. Bu juftlik ulanish ta'rifiga tegishli, yangilanish eslatmasiga emas.
Boshqa tashkilotdan eksport qilingan profil mahalliy bosh tugunga kamdan-kam mos keladi, va uni import qilish mijozni shlyuz xizmat ko'rsatmaydigan rejimni taklif qilib qoldirishi mumkin. Avval rejimni profildan o'qing, so'ng uni shlyuzning sozlangan protokoli va autentifikatsiya siyosati bilan solishtiring. Faqat ular mos kelgach tarmoq shubhali bo'ladi. Bu tartib noto'g'ri xizmatga qaratilgan sog'lom TLS sessiyasini ko'rsatadigan paket tutishni tejaydi.
Biror narsani o'zgartirishdan oldin mahalliy profilni o'qing
Windows'da mahalliy konfiguratsiyani qo'ng'iroq qilmasdan o'qish mumkin, va natija tur va autentifikatsiya usulini to'g'ridan-to'g'ri nomlaydi. Bu qiymatlarni shlyuz egasi tugun qabul qiladi degan bilan solishtiring. Agar tur biletga mos kelmasa, avval biletni tuzating, chunki bu hech qachon xato bo'lmagan mijozni qayta o'rnatishdan arzon.
Bu to'rtta buyruq profilni, uning marshrutlarini, ulanish urinishini va portning yetib borishini qamrab oladi. Ularni shu tartibda profil allaqachon o'rnatilgan mashinada ishga tushiring:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Port sinovi — ortiqcha o'qiladigan sinov. Kirish sahifasini taqdim etadigan TCP 443 tinglovchisi va IKEv2 ni tugatadigan boshqasi tashqaridan bir xil ko'rinadi, chunki port — joy, protokol emas.
Natijani uchta maydon sifatida yozing: mijoz, rejim va shlyuz, va ularni biletning yonida saqlang. Bundan qisqaroq har qanday narsa keyingi odamga o'sha noaniqlikni qaytadan kashf etishga qoldiradi.