Το MSCHAPv2 δεν είναι πρωτόκολλο VPN: ρωτήστε πρώτα για τη σήραγγα

Τα ονόματα χρηστών και οι κωδικοί πρόσβασης ταξιδεύουν μέσα σε έναν φορέα, και το MSCHAPv2 ονομάζει μόνο τη μέθοδο που ταξιδεύει. Ρωτήστε ποια σήραγγα το μεταφέρει πριν επιλέξετε προφίλ πελάτη, γιατί η ίδια συμβολοσειρά λογαριασμού εμφανίζεται σε ρυθμίσεις που δεν μοιράζονται ούτε μία γραμμή κώδικα. Κάθε προφίλ που σας δίνουν κωδικοποιεί και τις δύο αποφάσεις, ακόμη και όταν το φύλλο οδηγιών τυπώνει μόνο τη μία από αυτές. Η σειρά παρακάτω είναι ό,τι μπορεί να απαντήσει ένας πάροχος χωρίς εικασίες και ό,τι μπορείτε να ελέγξετε εσείς χωρίς σύλληψη πακέτων.

Η πιστοποίηση ταξιδεύει μέσα σε σήραγγα

Ένα VPN παίρνει δύο αποφάσεις που μοιάζουν με μία: πώς τα δύο άκρα χτίζουν ένα προστατευμένο κανάλι και πώς ένα άτομο αποδεικνύει την ταυτότητά του μέσα σε αυτό. Η δεύτερη τυπώνεται στο φύλλο οδηγιών, γιατί αυτήν πληκτρολογεί ένας άνθρωπος. Η πρώτη καθορίζει αν θα δουλέψει καθόλου κάποιος πελάτης, και αυτήν παραλείπουν οι άνθρωποι. Ζητήστε από τον πάροχο να ονομάσει πρώτα τον φορέα και μετά τη μέθοδο, με αυτή τη σειρά. Δύο συνδέσεις μπορούν να απαιτούν το ίδιο όνομα λογαριασμού και τον ίδιο κωδικό πρόσβασης χωρίς να μοιράζονται καμία υλοποίηση κάτω από το πεδίο σύνδεσης.

Γι' αυτό ρυθμίσεις αντιγραμμένες από το τηλέφωνο ενός συναδέλφου που δουλεύει μπορούν να αποτύχουν στο δικό σας, ακόμη και όταν ο διακομιστής δέχεται και τα δύο διαπιστευτήρια. Το διαπιστευτήριο δεν ήταν ποτέ η διαφορά· το προφίλ γύρω του ήταν. και οι δύο πλευρές έχουν δίκιο και τίποτα δεν συνδέεται είναι συνήθως ακριβώς αυτή η σύγχυση, και ξεκαθαρίζει μόλις ονομαστεί ο φορέας.

Τρία σημεία όπου εμφανίζεται η ίδια μέθοδος

Στο PPP το βήμα πιστοποίησης περιμένει να υπάρξει ζεύξη, και RFC 2759 ορίζει το MS-CHAPv2 ως αυτό το βήμα, γι' αυτό η μέθοδος εμφανίζεται σε L2TP και σε παλαιότερες εγκαταστάσεις PPTP. Η σήραγγα τερματίζεται πρώτη και η διαπραγμάτευση PPP γίνεται μέσα της, οπότε ένα αποτυχημένο στάδιο PPP μπορεί να αφήσει τη σήραγγα να φαίνεται εγκατεστημένη στο αρχείο καταγραφής του διακομιστή. Διαβάστε αυτά τα δύο στάδια χωριστά πριν συμπεράνετε ότι απορρίφθηκαν τα διαπιστευτήρια. Έτσι, ένας πελάτης ρυθμισμένος για L2TP μπορεί να είναι απόλυτα σωστός και παρόλα αυτά λάθος πελάτης για μια πύλη που μιλά μόνο IKEv2.

Το IKEv2 βάζει αντίθετα το EAP-MSCHAPv2 μέσα στην ανταλλαγή κλειδιών, οπότε το ίδιο διαπιστευτήριο αποτυγχάνει σε άλλη στιγμή και εμφανίζεται ως σφάλμα πιστοποίησης και όχι ως σφάλμα συνεδρίας. Το προφίλ IKEv2 της πλατφόρμας Android είναι το καθημερινό παράδειγμα, και ζητά πιστοποιητικό ή αναγνωριστικό διακομιστή αντί για επιλογές PPP. Το όνομα λογαριασμού είναι ίδιο και στις δύο ρυθμίσεις, οπότε δεν μπορεί να σας πει ποια έχετε. Μόνο η λίστα υποστηριζόμενων πρωτοκόλλων του παρόχου το κρίνει.

Ένα VPN βασισμένο σε TLS προσθέτει τρίτη ρύθμιση, με δικά του πεδία ονόματος χρήστη και κωδικού πρόσβασης και χωρίς MS-CHAPv2 πουθενά στην ανταλλαγή. Το να βλέπετε πεδίο κωδικού πρόσβασης δεν αποτελεί επομένως απόδειξη για το πρωτόκολλο πίσω του, γιατί η φόρμα είναι φτιαγμένη να φαίνεται οικεία. Επιβεβαιώστε το πρωτόκολλο από την τεκμηρίωση του διακομιστή και όχι από το σχήμα του παραθύρου του πελάτη.

Οι απαντήσεις που χρειάζεστε πραγματικά

Στείλτε το αίτημα ως λίστα, γιατί σε μια λίστα είναι δύσκολο να απαντήσεις μισά. Ζητήστε το πρωτόκολλο της σήραγγας, τη μέθοδο μέσα της και τον πελάτη που υποστηρίζει ο πάροχος στην πλατφόρμα σας. Μετά ζητήστε την ταυτότητα και τις ρυθμίσεις εμπιστοσύνης της πύλης, τη μορφή λογαριασμού και το τι πρέπει να είναι προσβάσιμο όταν σηκωθεί η σύνδεση.

Τα τρία πρώτα καθορίζουν αν θα πάρετε καθόλου προφίλ που δουλεύει. Τα τρία τελευταία καθορίζουν αν αυτό το προφίλ κάνει ό,τι χρειάζεται η δουλειά. Κρατήστε την απάντηση συνημμένη στο αίτημα, γιατί το επόμενο άτομο θα κάνει τις ίδιες έξι ερωτήσεις. Όπου λείπει απάντηση, αντιμετωπίστε το κενό ως απόφαση που ο πάροχος δεν έχει πάρει ακόμη, όχι ως κάτι που μπορείτε να συμπεράνετε.

Μην χαλαρώνετε την επαλήθευση της πύλης

Ο διακομιστής αποδεικνύει την ταυτότητά του και στον πελάτη, και αυτό το μισό της ανταλλαγής δεν είναι διακόσμηση. Το να απενεργοποιήσετε την επαλήθευση πιστοποιητικού για να συνδεθεί ένα πεισματάρικο προφίλ δέχεται οποιοδήποτε άκρο απαντήσει, ακόμη και ένα όπου κανείς δεν σκόπευε να φτάσει. Κρύβει επίσης μια πραγματική αναντιστοιχία αντί να τη λύσει, κάτι που σπρώχνει την αποτυχία σε μεταγενέστερη και λιγότερο προφανή στιγμή. Ένα προφίλ που χρειάζεται τον έλεγχο κλειστό είναι ένα προφίλ που δείχνει σε κάτι που δεν μπορεί να επαληθεύσει.

Η αναντιστοιχία είναι συνήθως όνομα, γιατί ένα πιστοποιητικό που εκδόθηκε για ένα όνομα κεντρικού υπολογιστή αποτυγχάνει όταν το προφίλ καλεί διεύθυνση. Καλέστε το όνομα αντί να απενεργοποιήσετε τον έλεγχο. Μια ιδιωτική αρχή πιστοποιητικών αποτυγχάνει όταν η συσκευή δεν πήρε ποτέ τη ρίζα, και η διόρθωση είναι να διανείμετε αυτή τη ρίζα με τον εγκεκριμένο τρόπο. Τα διαχειριζόμενα περιβάλλοντα περιμένουν ο πάροχος να δώσει την ταυτότητα και την άγκυρα εμπιστοσύνης, και το προφίλ να αναφέρεται και στα δύο. Όταν το πεδίο απουσιάζει, ζητήστε το τεκμήριο αντί να αποχωρήσετε από την επαλήθευση.

Προσαρμόστε το προφίλ και μετά αποδείξτε κάθε στάδιο

Μόλις γίνει γνωστός ο φορέας, ακολουθήστε τη τεκμηριωμένη διαδικασία αυτού του πελάτη και εισαγάγετε μόνο τα πεδία που ζητά. Τα επιπλέον πεδία που συμπληρώνονται επειδή υπάρχουν είναι και πάλι λάθος τιμές, και αποτυγχάνουν αργότερα από τα υποχρεωτικά. Αποθηκεύστε το προφίλ αμετάβλητο μετά την πρώτη επιτυχημένη σύνδεση, ώστε μια μεταγενέστερη αλλαγή να συγκρίνεται με κάτι γνωστό ότι δουλεύει.

Μετά επαληθεύστε σε στάδια: η σήραγγα εγκαθίσταται, ο χρήστης πιστοποιείται, η διευθετημένη διεύθυνση και οι διαδρομές εμφανίζονται και μία επιτρεπόμενη υπηρεσία απαντά. Κάθε στάδιο αφήνει τη δική του γραμμή καταγραφής στον διακομιστή, και η ανάγνωσή τους με σειρά μετατρέπει μια ασαφή αναφορά σε συγκεκριμένο εύρημα. Αν η πλατφόρμα δεν υποστηρίζει πια τη ρύθμιση που περιγράφει ο πάροχος, αυτό είναι συζήτηση μετάβασης και όχι λόγος να ενεργοποιήσετε κάθε παλιά επιλογή στη συσκευή. Φορέας, μέθοδος και προφίλ είναι τρεις ξεχωριστές απαντήσεις, και μια σύνδεση που δουλεύει τις έχει και τις τρεις σε συμφωνία.