MSCHAPv2 — гэта не пратакол VPN: спачатку спытайце пра тунель

Імёны карыстальнікаў і паролі падарожнічаюць унутры носьбіта, а MSCHAPv2 называе толькі метад, які гэта робіць. Спытайце, які тунель яго пераносіць, перш чым выбіраць профіль кліента, бо той жа радок уліковага запісу сустракаецца ў схемах, якія не дзеляць ніводнага радка кода. Кожны профіль, які вам даюць, кадуе абодва рашэнні, нават калі інструкцыя друкуе толькі адно з іх. Парадак ніжэй — гэта тое, на што аператар можа адказаць без здагадак і што вы можаце праверыць без перахопу пакетаў.

Аўтэнтыфікацыя едзе ўнутры тунеля

VPN прымае два рашэнні, якія выглядаюць як адно: як бакі будуюць абаронены канал і як чалавек даказвае сваю асобу ўнутры яго. Другое надрукавана ў інструкцыі, бо менавіта яго ўводзіць чалавек. Першае вырашае, ці будзе працаваць хоць які кліент, і менавіта яго людзі прапускаюць. Папрасіце аператара назваць спачатку носьбіт, а потым метад, менавіта ў такім парадку. Два злучэнні могуць патрабаваць аднаго і таго ж імя ўліковага запісу і аднаго пароля, не маючы нічога агульнага ніжэй за поле ўваходу.

Таму налады, скапіяваныя з працоўнага тэлефона калегі, могуць не працаваць на вашым, нават калі сервер прымае абодва ўліковыя даныя. Розніцай ніколі не былі ўліковыя даныя; ёю быў профіль, які іх ахутвае. абодва бакі маюць рацыю, а злучэння няма — гэта звычайна менавіта гэтая блытаніна, і яна знікае, як толькі носьбіт названы.

Тры месцы, дзе з'яўляецца той жа метад

У PPP крок аўтэнтыфікацыі чакае, пакуль існуе сувязь, і RFC 2759 вызначае MS-CHAPv2 як гэты крок, таму метад сустракаецца ў L2TP і ў старэйшых разгортваннях PPTP. Тунель завяршаецца першым, а перамовы PPP адбываюцца ўнутры яго, така што няўдалая стадыя PPP можа пакінуць у журнале сервера ўражанне, што тунель усталяваны. Чытайце гэтыя дзве стадыі асобна, перш чым рабіць выснову, што ўліковыя даныя адхілены. Такім чынам, кліент, наладжаны для L2TP, можа быць цалкам правільным і ўсё ж няправільным кліентам для шлюза, які размаўляе толькі па IKEv2.

IKEv2 замест гэтага змяшчае EAP-MSCHAPv2 унутры абмену ключамі, таму тыя ж уліковыя даныя адмаўляюць у іншы момант і выглядаюць як памылка аўтэнтыфікацыі, а не як памылка сеанса. Профіль IKEv2 платформы Android — штодзённы прыклад, і ён патрабуе сертыфікат або ідэнтыфікатар сервера, а не параметры PPP. Імя ўліковага запісу аднолькавае ў абедзвюх схемах, таму яно не можа сказаць, якая ў вас. Гэта вырашае толькі спіс падтрымоўваных пратаколаў ад аператара.

VPN на аснове TLS дадае трэцюю схему: уласныя палі імя карыстальніка і пароля і ніякага MS-CHAPv2 нідзе ў абмене. Таму выгляд поля пароля нічога не даказвае пра пратакол за ім, бо форма зроблена знаёмай. Пацвердзіце пратакол па дакументацыі сервера, а не па выгляду акна кліента.

Адказы, якія вам сапраўды патрэбны

Дашліце запыт як спіс, бо на спіс цяжка адказаць напалову. Папрасіце пратакол тунеля, метад унутры яго і кліент, які аператар падтрымлівае на вашай платформе. Затым папрасіце ідэнтычнасць шлюза і налады даверу, фармат уліковага запісу і тое, што павінна быць дасяжна пасля ўзняцця злучэння.

Першыя тры вырашаюць, ці атрымаеце вы наогул працоўны профіль. Апошнія тры вырашаюць, ці робіць гэты профіль тое, што патрабуе задача. Трымайце адказ прывязаным да заяўкі, бо наступны чалавек задасць тыя ж шэсць пытанняў. Там, дзе адказу няма, лічыце прабел рашэннем, якое аператар яшчэ не прыняў, а не тым, што вы можаце вывесці.

Не паслабляйце праверку шлюза

Сервер таксама даказвае сваю асобу кліенту, і гэтая палова абмену не дэкарацыя. Адключэнне праверкі сертыфіката, каб упарты профіль падключыўся, прымае любы пункт, які адказвае, уключаючы той, да якога ніхто не збіраўся дабрацца. Яно таксама хавае рэальную няадпаведнасць замест таго, каб яе вырашыць, і гэта адсоўвае збой у больш позні і менш відавочны момант. Профіль, якому патрэбна адключаная праверка, — гэта профіль, накіраваны на тое, што ён не можа праверыць.

Няадпаведнасць звычайна ў імені, бо сертыфікат, выдадзены на адно імя хоста, збаіць, калі профіль набірае адрас. Набірайце імя, а не адключайце праверку. Прыватны цэнтр сертыфікацыі збаіць, калі прыладзе ніколі не далі корань, і рашэнне — распаўсюдзіць гэты корань ухваленым шляхам. Кіраваныя асяроддзі чакаюць, што аператар дасць асобу і якар даверу, а профіль спашлецца на абодва. Калі поле адсутнічае, папрасіце артэфакт, а не адмаўляйцеся ад праверкі.

Падбярыце профіль, затым дакажыце кожную стадыю

Калі носьбіт вядомы, ідзіце дакументаваным працэсам гэтага кліента і ўводзьце толькі тыя палі, якія ён просіць. Дадатковыя палі, запоўненыя таму, што яны ёсць, — гэта ўсё яшчэ няправільныя значэнні, і яны збаяць пазней за абавязковыя. Захавайце профіль нязменным пасля першага паспяховага злучэння, каб пазнейшую праваку можна было параўнаць з тым, што дакладна працуе.

Затым правярайце па стадыях: тунель усталёўваецца, карыстальнік аўтэнтыфікуецца, прызначаны адрас і маршруты з'яўляюцца, і адзін дазволены сэрвіс адказвае. Кожная стадыя пакідае свой радок журнала на серверы, і чытанне іх па парадку ператварае расплывістую скаргу ў канкрэтную знаходку. Калі платформа больш не падтрымлівае схему, якую апісвае аператар, гэта размова пра міграцыю, а не прычына ўключаць усе састарэлыя параметры на прыладзе. Носьбіт, метад і профіль — тры асобныя адказы, і ў працоўным злучэнні ўсе тры ўзгоднены.