MSCHAPv2 ليس بروتوكول VPN: اسأل عن النفق أولًا

تنتقل أسماء المستخدمين وكلمات المرور داخل حامل، وMSCHAPv2 لا يسمّي إلا الطريقة التي تقوم بالانتقال. اسأل عن النفق الذي يحمله قبل اختيار ملف العميل، لأن سلسلة الحساب نفسها تظهر في ترتيبات لا تشترك في أي شيفرة. كل ملف يُسلَّم إليك يرمّز القرارين معًا، حتى عندما تطبع ورقة التعليمات واحدًا منهما. الترتيب أدناه هو ما يستطيع المشغّل الإجابة عنه دون تخمين وما تستطيع أنت التحقق منه دون التقاط حزم.

المصادقة تُحمَل داخل نفق

شبكة VPN تتخذ قرارين يبدوان كقرار واحد: كيف يبني الطرفان قناة محمية، وكيف يثبت الشخص هويته داخلها. الثاني مطبوع على ورقة التعليمات لأنه ما يكتبه الإنسان. الأول يحدد ما إذا كان أي عميل سيعمل أصلًا، وهو ما يتخطاه الناس. اطلب من المشغّل أن يسمّي الحامل ثم الطريقة، بهذا الترتيب. يمكن لاتصالين أن يطلبا اسم الحساب نفسه وكلمة المرور نفسها دون أن يشتركا في أي تنفيذ تحت مربع تسجيل الدخول.

لهذا السبب قد تفشل إعدادات منسوخة من هاتف زميل يعمل على هاتفك، حتى عندما يقبل الخادم كلتا بيانات الاعتماد. لم تكن بيانات الاعتماد هي الفرق قط؛ بل الملف الملتف حولها. كلا الطرفين على حق ولا شيء يتصل هو عادة هذا الالتباس نفسه، ويزول بمجرد تسمية الحامل.

ثلاثة مواضع تظهر فيها الطريقة نفسها

في PPP تنتظر خطوة المصادقة حتى يوجد رابط، و RFC 2759 يعرّف MS-CHAPv2 بأنه تلك الخطوة، ولهذا تظهر الطريقة في L2TP وفي عمليات نشر PPTP الأقدم. ينتهي النفق أولًا وتحدث مفاوضات PPP داخله، لذا قد تترك مرحلة PPP فاشلة النفق يبدو قائمًا في سجل الخادم. اقرأ المرحلتين منفصلتين قبل أن تستنتج أن بيانات الاعتماد رُفضت. لذلك قد يكون عميل مهيأ لـ L2TP صحيحًا تمامًا ومع ذلك يكون العميل الخطأ لبوابة لا تتحدث إلا IKEv2.

IKEv2 يضع EAP-MSCHAPv2 داخل تبادل المفاتيح بدلًا من ذلك، لذا تفشل بيانات الاعتماد نفسها في لحظة مختلفة وتظهر كخطأ مصادقة لا كخطأ جلسة. ملف IKEv2 في منصة Android هو المثال اليومي، وهو يطلب شهادة خادم أو معرّفًا لا خيارات PPP. اسم الحساب متطابق في الترتيبين، لذا لا يستطيع أن يخبرك أيّهما لديك. قائمة البروتوكولات المدعومة عند المشغّل وحدها تحسم ذلك.

شبكة VPN قائمة على TLS تضيف ترتيبًا ثالثًا، بحقلي اسم مستخدم وكلمة مرور خاصين بها وبلا MS-CHAPv2 في أي موضع من التبادل. رؤية مربع كلمة مرور ليست إذن دليلًا على البروتوكول الذي يقف خلفه، لأن النموذج مبني ليبدو مألوفًا. أكّد البروتوكول من وثائق الخادم لا من شكل نافذة العميل.

الأجوبة التي تحتاجها فعلًا

أرسل الطلب كقائمة، لأن القائمة يصعب الإجابة عنها نصف إجابة. اطلب بروتوكول النفق، والطريقة داخله، والعميل الذي يدعمه المشغّل على منصتك. ثم اطلب هوية البوابة وإعدادات الثقة، وصيغة الحساب، وما ينبغي أن يكون قابلًا للوصول بعد قيام الاتصال.

الأولى تحدد ما إذا كنت ستحصل على ملف عامل أصلًا. الأخيرة تحدد ما إذا كان ذلك الملف يؤدي ما تحتاجه المهمة. أبقِ الرد مرفقًا بالتذكرة، لأن الشخص التالي سيسأل الأسئلة الستة نفسها. وحيث يغيب جواب، اعتبر الفراغ قرارًا لم يتخذه المشغّل بعد، لا شيئًا تستطيع استنتاجه.

لا تخفّف التحقق من البوابة

الخادم يثبت هويته للعميل أيضًا، وهذا النصف من التبادل ليس زينة. تعطيل التحقق من الشهادة لجعل ملف عنيد يتصل يقبل أي نقطة طرفية تجيب، بما فيها نقطة لم يقصد أحد الوصول إليها. كما أنه يخفي عدم تطابق حقيقيًا بدلًا من حله، مما يدفع الفشل إلى لحظة لاحقة وأقل وضوحًا. الملف الذي يحتاج إلى إيقاف الفحص هو ملف يشير إلى شيء لا يستطيع التحقق منه.

عدم التطابق يكون عادة اسمًا، لأن شهادة صادرة لاسم مضيف واحد تفشل عندما يتصل الملف بعنوان. اتصل بالاسم بدلًا من تعطيل الفحص. تفشل جهة إصدار شهادات خاصة عندما لا يُمنح الجهاز الجذر أبدًا، والحل هو توزيع ذلك الجذر بالطريق المعتمد. البيئات المُدارة تتوقع أن يوفّر المشغّل الهوية ومرساة الثقة، وأن يشير الملف إليهما معًا. وعندما يغيب الحقل، اطلب المادة بدلًا من الانسحاب من التحقق.

طابق الملف، ثم أثبت كل مرحلة

بمجرد أن يُعرف الحامل، اتبع عملية ذلك العميل الموثقة وأدخل فقط الحقول التي يطلبها. الحقول الإضافية التي تُملأ لأنها موجودة تظل قيمًا خاطئة، وهي تفشل بعد الحقول المطلوبة. احفظ الملف دون تغيير بعد أول اتصال ناجح، حتى يمكن مقارنة تعديل لاحق بشيء معلوم أنه يعمل.

ثم تحقّق على مراحل: يقوم النفق، ويُصادق المستخدم، ويظهر العنوان المعيّن والمسارات، ويجيب خدمة واحدة مسموح بها. كل مرحلة تترك سطر سجل خاصًا بها على الخادم، وقراءتها بالترتيب تحوّل شكوى غامضة إلى نتيجة محددة. وإذا كانت المنصة لم تعد تدعم الترتيب الذي يصفه المشغّل، فتلك محادثة ترحيل لا سبب لتمكين كل خيار قديم على الجهاز. الحامل والطريقة والملف ثلاثة أجوبة منفصلة، والاتصال الذي يعمل تكون فيه الثلاثة متوافقة.