MSCHAPv2 VPN protokolu deyil: əvvəlcə tuneli soruşun

İstifadəçi adları və parollar bir daşıyıcının içində səyahət edir, MSCHAPv2 isə yalnız səyahət edən metodu adlandırır. Müştəri profili seçməzdən əvvəl onu hansı tunelin daşıdığını soruşun, çünki eyni hesab sətri heç bir kod paylaşmayan quruluşlarda da görünür. Sizə verilən hər profil hər iki qərarı kodlaşdırır, hətta təlimat vərəqi onlardan yalnız birini çap etsə də. Aşağıdakı sıra operatorun təxmin etmədən cavablandıra biləcəyi və sizin paket tutmadan yoxlaya biləcəyiniz sıradır.

Autentifikasiya tunelin içində gedir

VPN bir-birinə oxşayan iki qərar verir: tərəflərin qorunan kanalı necə qurduğu və insanın onun içində kimliyini necə sübut etdiyi. İkincisi təlimat vərəqində çap olunur, çünki onu insan yazır. Birincisi hər hansı müştərinin ümumiyyətlə işləyib-işləməyəcəyini həll edir və insanların atladığı elə budur. Operatordan əvvəlcə daşıyıcını, sonra metodu adlandırmasını xahiş edin, bu sıra ilə. İki əlaqə eyni hesab adını və eyni parolu tələb edə bilər, halbuki giriş qutusunun altında heç bir tətbiqi paylaşmırlar.

Buna görə də həmkarınızın işləyən telefonundan köçürülmüş parametrlər sizinkində uğursuz ola bilər, hətta server hər iki etimadı qəbul etsə də. Fərq heç vaxt etimad deyildi; onun ətrafına sarılan profil idi. hər iki tərəf haqlıdır və heç nə qoşulmur adətən bu qarışıqlıqdır və daşıyıcı adlandırılan kimi aradan qalxır.

Eyni metodun göründüyü üç yer

PPP-də autentifikasiya addımı keçid yaranana qədər gözləyir və RFC 2759 MS-CHAPv2-ni həmin addım kimi müəyyən edir, buna görə metod L2TP və daha köhnə PPTP quraşdırmalarında görünür. Əvvəlcə tunel sonlanır və PPP danışıqları onun içində baş verir, buna görə uğursuz PPP mərhələsi server jurnalında tuneli qurulmuş kimi göstərə bilər. Etimadların rədd edildiyi qənaətinə gəlməzdən əvvəl bu iki mərhələni ayrıca oxuyun. Beləliklə, L2TP üçün konfiqurasiya edilmiş müştəri tamamilə düzgün ola bilər və yenə də yalnız IKEv2 danışan şlüz üçün səhv müştəri ola bilər.

IKEv2 isə EAP-MSCHAPv2-ni açar mübadiləsinin içərisinə qoyur, buna görə eyni etimad fərqli anda uğursuz olur və sessiya xətası deyil, autentifikasiya xətası kimi üzə çıxır. Android-in platforma IKEv2 profili gündəlik nümunədir və o, PPP seçimləri deyil, server sertifikatı və ya identifikatoru tələb edir. Hesab adı hər iki quruluşda eynidir, buna görə hansının sizdə olduğunu deyə bilməz. Bunu yalnız operatorun dəstəklənən protokollar siyahısı həll edir.

TLS əsaslı VPN üçüncü bir quruluş əlavə edir: öz istifadəçi adı və parol sahələri var və mübadilənin heç bir yerində MS-CHAPv2 yoxdur. Ona görə parol qutusu görmək arxasındakı protokol haqqında heç bir sübut deyil, çünki forma tanış görünmək üçün qurulub. Protokolu müştəri pəncərəsinin formasından deyil, server sənədlərindən təsdiqləyin.

Həqiqətən lazım olan cavablar

Tələbi siyahı kimi göndərin, çünki siyahıya yarımçıq cavab vermək çətindir. Tunel protokolunu, onun içindəki metodu və operatorun platformanızda dəstəklədiyi müştərini soruşun. Sonra şlüz kimliyini və etimad parametrlərini, hesab formatını və əlaqə qurulduqdan sonra nəyə çatmaq lazım olduğunu soruşun.

İlk üçü ümumiyyətlə işlək profil alıb-almayacağınızı həll edir. Son üçü isə həmin profilin işin tələb etdiyini edib-etmədiyini həll edir. Cavabı biletdə saxlayın, çünki növbəti şəxs eyni altı sualı verəcək. Cavabın olmadığı yerdə boşluğu çıxara biləcəyiniz bir şey deyil, operatorun hələ vermədiyi qərar kimi qəbul edin.

Şlüz yoxlamasını yumşaltmayın

Server öz kimliyini müştəriyə də sübut edir və mübadilənin bu yarısı bəzək deyil. Sərt profil qoşulsun deyə sertifikat yoxlamasını söndürmək cavab verən istənilən son nöqtəni qəbul edir, o cümlədən heç kimin çatmaq istəmədiyi birini. O, həm də real uyğunsuzluğu həll etmək əvəzinə gizlədir və bu, nasazlığı daha sonrakı və daha az görünən ana sürükləyir. Yoxlamanın söndürülməsini tələb edən profil, yoxlaya bilmədiyi bir şeyə yönəlmiş profildir.

Uyğunsuzluq adətən addır, çünki bir host adı üçün verilmiş sertifikat profil ünvana zəng edəndə uğursuz olur. Yoxlamanı söndürmək əvəzinə ada zəng edin. Şəxsi sertifikat orqanı cihaza kök heç vaxt verilmədikdə uğursuz olur və düzəliş həmin kökü təsdiqlənmiş yolla yaymaqdır. İdarə olunan mühitlər operatorun kimliyi və etimad ankerini təmin etməsini, profilin isə hər ikisinə istinad etməsini gözləyir. Sahə yoxdursa, yoxlamadan imtina etmək əvəzinə artefaktı istəyin.

Profili uyğunlaşdırın, sonra hər mərhələni sübut edin

Daşıyıcı məlum olduqdan sonra həmin müştərinin sənədləşdirilmiş prosesini izləyin və yalnız tələb etdiyi sahələri daxil edin. Mövcud olduqları üçün doldurulan əlavə sahələr yenə səhv dəyərlərdir və tələb olunanlardan daha gec uğursuz olur. Profili ilk uğurlu əlaqədən sonra dəyişməz saxlayın ki, sonrakı düzəliş işlədiyi bilinən bir şeylə müqayisə oluna bilsin.

Sonra mərhələlərlə yoxlayın: tunel qurulur, istifadəçi autentifikasiya olunur, təyin edilmiş ünvan və marşrutlar görünür və bir icazəli xidmət cavab verir. Hər mərhələ serverdə öz jurnal sətrini buraxır və onları sıra ilə oxumaq qeyri-müəyyən şikayəti konkret tapıntıya çevirir. Platforma artıq operatorun təsvir etdiyi quruluşu dəstəkləmirsə, bu cihazda bütün köhnə seçimləri aktivləşdirmək üçün səbəb deyil, miqrasiya söhbətidir. Daşıyıcı, metod və profil üç ayrı cavabdır və işləyən əlaqədə hər üçü uzlaşır.