Vì sao Android kết nối được với IPsec VPN ở nhà còn Windows thì không

Điện thoại tham gia VPN của router không chút phàn nàn trong khi laptop trên cùng mạng Wi-Fi thì không thể. Cùng thông tin đăng nhập, cùng máy chủ, cùng thời điểm. Khác biệt nằm ở hỗ trợ giao thức chứ không phải mật khẩu: router công bố một hồ sơ mà một hệ điều hành triển khai còn hệ kia thì chưa bao giờ.

Hãy xác định hồ sơ trước, rồi so sánh với thứ mà mỗi máy khách thực sự nói được.

Một menu, ba giao thức

Dưới một tiêu đề IPsec duy nhất, phần sụn tiêu dùng có thể giấu ba đường hầm khá khác nhau. Đầu tiên là IKEv1 với XAUTH: một bí mật nhóm dùng chung, rồi tên người dùng và mật khẩu chồng lên. Thứ hai là L2TP/IPsec, trong đó PPP chạy bên trong một kênh IPsec được bảo vệ bằng khóa dùng chung. Thứ ba là IKEv2, được xác thực bằng chứng chỉ hoặc EAP.

Hãy đọc các trường chứ không phải nhãn. Bí mật nhóm cộng danh sách người dùng nghĩa là IKEv1 XAUTH. Khóa dùng chung cộng tài khoản PPP nghĩa là L2TP/IPsec. Chứng chỉ máy chủ không có bí mật nhóm nghĩa là IKEv2.

Khoảng trống hỗ trợ giữa điện thoại và laptop

Android mang sẵn một máy khách IKEv1 XAUTH PSK, và đó chính là lý do điện thoại thành công với router không cung cấp gì khác. Windows thì không: máy khách gốc của nó xử lý L2TP/IPsec và IKEv2, và không có tùy chọn IKEv1 XAUTH nào để bật. Nhập lại bí mật cũng không giúp gì, vì phần còn thiếu là giao thức chứ không phải thông tin đăng nhập.

Phía Apple là một mục tiêu di động. Các bản macOS và iOS mới hơn nghiêng về IKEv2, những hồ sơ kiểu Cisco cũ vẫn sống trong một số bản dựng, và một bản nâng cấp có thể gỡ bỏ hoặc siết chặt thứ đã chạy được tháng trước. Một chiếc Mac kết nối được hôm qua mà hôm nay không, không có thay đổi nào trên router, thường là trường hợp này.

Hai cài đặt phá hỏng những hồ sơ vốn đúng

Trang L2TP/IPsec của Synology có một hộp kiểm gắn nhãn Enable SHA2-256 compatible mode (96 bit). Các máy khách Apple từ iOS 14 và macOS Big Sur trở đi từ chối chế độ bị cắt bớt đó, nên hộp này phải được bỏ chọn cho chúng. Nếu để bật, đường hầm xác thực rồi rớt, trông giống thông tin đăng nhập sai nhưng không phải. Nhà sản xuất có ghi lại công tắc này, và thời điểm thường gặp khiến nó bắt đầu quan trọng là một lần nâng cấp hệ điều hành.

Windows giữ chứng chỉ trong hai kho riêng biệt, và IKEv2 chỉ đọc kho của máy. Hãy nhập chứng chỉ máy khách cùng khóa riêng của nó vào tài khoản máy tính; một chứng chỉ nằm dưới tài khoản người dùng của bạn sẽ hiện trong bảng điều khiển quản lý và không bao giờ đến được dịch vụ IKEv2. EAP-TLS là trường hợp duy nhất mà chứng chỉ người dùng dùng được, và CA ký vẫn phải được máy tin cậy. Làm sai chỗ này hiện ra như lỗi xác thực, chứ không phải như lời nhắc thiếu chứng chỉ.

Khi router giữ nguyên như cũ

Một router chỉ nói XAUTH PSK để lại ba lối đi: máy khách của nhà sản xuất, một máy khách bên thứ ba vẫn triển khai hồ sơ đó, hoặc chuyển điểm cuối đường hầm sang thứ gì đó nói được IKEv2. Chẳng hạn AVM phát hành phần mềm máy khách Windows và một tệp cấu hình xuất sẵn cho các router của mình. Con đường đó được hỗ trợ, và nó đồng nghĩa với việc cài công cụ của nhà sản xuất trên từng chiếc laptop.

Hỗ trợ quan trọng hơn vẻ thanh lịch khi những chiếc laptop không phải của bạn để dựng lại.

Hãy cân cả cái giá về bảo mật. Một bí mật nhóm phủ mọi người dùng, nên ai giữ nó đều có thể đóng vai máy chủ và bắt lấy tên người dùng cùng mật khẩu mà máy khách đưa ra. Ở nơi có IKEv2 với chứng chỉ, việc chuyển sang đó đáng giá hơn mọi cách lách phía máy khách.

Chẩn đoán từ ngoài vào trong

Trước hết hãy lấy một phiên chạy được từ điện thoại, để phía máy chủ được chứng minh trước khi laptop xuất hiện. Sau đó nhập hồ sơ xuất sẵn của router mà không sửa gì và đọc nhật ký máy khách thay vì trang trạng thái của router. Nếu nhật ký không cho thấy đề nghị nào đi ra, laptop chưa bao giờ đến được bên trả lời. Nếu các đề nghị được trao đổi rồi thất bại, bất đồng là về thuật toán, danh tính hoặc thông tin đăng nhập.

Giữ hồ sơ điện thoại đang chạy làm đối chứng. Khi chỉ laptop hỏng sau một lần cập nhật phần sụn, phía máy chủ vẫn hành xử như trước. Khi cả hai cùng hỏng, hãy xem chứng chỉ hoặc cổng lắng nghe trước khi chạm vào bất kỳ máy khách nào.