VPN Windows so với Cisco Secure Client: cái nào đúng?
Thương hiệu không phải tên giao thức: Windows cung cấp nhiều kiểu gốc và ứng dụng Cisco mang hồ sơ cho nhiều hơn một chế độ. Hãy đọc hồ sơ.
Cho cùng một cổng vào có hai chỉ dẫn: kết nối bằng VPN Windows, hoặc cài ứng dụng Cisco. Cả hai đều không nêu tên trao đổi mà cổng vào mong đợi, vì Windows phơi ra nhiều kiểu kết nối gốc và ứng dụng của nhà cung cấp mang hồ sơ cho nhiều hơn một chế độ. Cả hai nhãn đều mô tả phần mềm, trong khi cổng vào thương lượng giao thức, xác thực và chính sách. Câu trả lời nằm trong hồ sơ, và có thể đọc mà không cần kết nối.
Nhãn nêu tên phần mềm, không phải trao đổi
Thương hiệu và hệ điều hành là hai sự thật khác nhau, và không cái nào chọn định dạng trên dây. Windows cung cấp một bộ kiểu gốc, và ứng dụng Cisco cung cấp một máy hồ sơ có thể điều khiển SSL hoặc IPsec/IKEv2. Nhầm lẫn hai thứ tạo ra bảng so sánh công ty thay vì trao đổi.
Bảng dưới đây thay câu hỏi về sản phẩm bằng ba vị trí đọc và trường mà mỗi vị trí giữ. Ghi lại những trường đó, và sự mơ hồ biến mất:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Tài liệu tham chiếu của Microsoft về các kiểu VPN của Windows liệt kê IKEv2 và SSTP trong các kiểu gốc, điều này gạt bỏ ý niệm rằng hồ sơ gốc nghĩa là PPTP. Tài liệu hồ sơ của Cisco mô tả cả chế độ SSL và chế độ IPsec/IKEv2 với chính sách nút đầu phù hợp. Mỗi nhà cung cấp đưa ra vài lựa chọn, nên không tên nào chỉ ra một giao thức duy nhất.
Các kiểu gốc đặt gì lên dây
IKEv2 thương lượng các hiệp hội bảo mật qua UDP và mang lưu lượng bên trong IPsec, điều này khiến nó ngang hàng với các triển khai IKEv2 khác chứ không phải thiết kế riêng của Microsoft. SSTP bọc PPP trong một phiên HTTPS, nên nó đi qua các proxy mà IKEv2 không thể và trên dây trông như TLS dù không phải giao thức TLS VPN. Hai sự thật đó giải thích phần lớn một phiếu ghi rằng đường hầm chạy được trên mạng này và hỏng trên mạng khác.
L2TP với IPsec và mục PPTP cũ hơn nằm trong cùng một danh sách thả xuống, và sự hiện diện của chúng ở đó không nói gì về hỗ trợ của máy chủ. Danh sách thả xuống là thực đơn những gì hệ điều hành có thể thử, không phải tuyên bố năng lực từ cổng vào. Đọc nó như danh sách hỗ trợ là cách một cuộc săn thông tin đăng nhập hai giờ bắt đầu.
Các trường quan trọng trong hồ sơ gốc là kiểu kết nối, phương thức xác thực và danh tính máy chủ. Kiểu sai hỏng ở giai đoạn khác với mật khẩu tồi, và chính khác biệt đó là manh mối đáng theo.
Ứng dụng của nhà cung cấp thêm gì: hồ sơ, không phải giao thức
Ứng dụng Cisco là vật chứa hồ sơ. Chế độ SSL và chế độ IPsec/IKEv2 khác nhau ở trao đổi, kỳ vọng cổng và văn bản lỗi, và hồ sơ được nhập sẽ chọn giữa hai chế độ. Vì vậy cài ứng dụng không chứng minh gì về khả năng tiếp cận.
Các phiên bản được ghép cặp có lý do. Tính năng, luồng xác thực và kiểm tra tư thế được thương lượng giữa ứng dụng và nút đầu, nên ứng dụng cũ đối diện nút đầu mới có thể hỏng theo cách đọc như sự cố mạng. Cặp đó thuộc định nghĩa kết nối, không thuộc ghi chú nâng cấp.
Hồ sơ xuất từ tổ chức khác hiếm khi khớp nút đầu cục bộ, và việc nhập nó có thể khiến ứng dụng đề nghị một chế độ mà cổng vào không phục vụ. Trước hết đọc chế độ từ hồ sơ, rồi so với giao thức và chính sách xác thực đã cấu hình trên cổng vào. Chỉ khi chúng khớp thì mạng mới thành đối tượng tình nghi. Thứ tự đó tiết kiệm một lần bắt gói vốn sẽ chỉ cho thấy một phiên TLS khỏe mạnh trỏ vào dịch vụ sai.
Đọc hồ sơ cục bộ trước khi thay đổi bất cứ điều gì
Trên Windows, cấu hình gốc đọc được mà không cần quay số, và kết quả nêu trực tiếp kiểu và phương thức xác thực. So những giá trị đó với điều chủ cổng vào nói rằng nút đầu chấp nhận. Nếu kiểu không khớp với phiếu, hãy sửa phiếu trước, vì điều đó rẻ hơn cài lại một ứng dụng chưa từng sai.
Bốn lệnh này bao quát hồ sơ, các tuyến của nó, lần thử kết nối và khả năng tiếp cận cổng. Chạy chúng theo thứ tự đó trên máy đã cài hồ sơ:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443Phép thử cổng là thứ bị đọc quá mức. Một bộ lắng nghe TCP 443 phục vụ trang đăng nhập và một bộ kết thúc IKEv2 trông giống nhau từ bên ngoài, vì cổng là một vị trí chứ không phải giao thức.
Viết kết quả thành ba trường, ứng dụng, chế độ và cổng vào, và giữ chúng cạnh phiếu. Bất cứ thứ gì ngắn hơn đều để người tiếp theo tự khám phá lại sự mơ hồ đó.