MSCHAPv2 ei ole VPN-protokoll: küsige esmalt tunnelit
Parool ja sõna MSCHAPv2 ei moodusta ühendust. Küsige, milline tunnel vahetust kannab, ja sobitage kliendiprofiil sellega.
Kasutajanimed ja paroolid reisivad kandja sees ning MSCHAPv2 nimetab ainult meetodit, mis reisib. Küsige, milline tunnel seda kannab, enne kui valite kliendiprofiili, sest sama konto string esineb lahendustes, mis ei jaga ühtki koodirida. Iga profiil, mille teile antakse, kodeerib mõlemad otsused, isegi kui juhendileht trükib neist ainult ühe. Alljärgnev järjekord on see, millele operaator oskab ilma oletusteta vastata ja mida teie saate ilma paketipüügita kontrollida.
Autentimine sõidab tunneli sees
VPN teeb kaks otsust, mis näivad ühena: kuidas osapooled ehitavad kaitstud kanali ja kuidas inimene tõestab selle sees identiteeti. Teine on juhendilehele trükitud, sest selle trükib inimene. Esimene otsustab, kas üldse mõni klient töötab, ja just selle jätavad inimesed vahele. Paluge operaatoril nimetada esmalt kandja ja seejärel meetod, just selles järjekorras. Kaks ühendust võivad nõuda sama kontonime ja sama parooli, jagamata sisselogimisvälja all mingit teostust.
Seetõttu võivad kolleegi töötava telefoni pealt kopeeritud seaded teie omal ebaõnnestuda, isegi kui server aktsepteerib mõlemat mandaati. Mandaat ei olnud kunagi erinevus; selle ümber olev profiil oli. mõlemal poolel on õigus ja miski ei ühendu on tavaliselt just see segadus, ja see selgineb niipea, kui kandja on nimetatud.
Kolm kohta, kus sama meetod ilmub
PPP-s ootab autentimissamm, kuni link on olemas, ja RFC 2759 määratleb MS-CHAPv2 selle sammuna, seetõttu ilmub meetod L2TP ja vanemates PPTP-paigaldistes. Tunnel lõpeb esimesena ja PPP läbirääkimised toimuvad selle sees, nii et ebaõnnestunud PPP etapp võib jätta serveri logis mulje, et tunnel on püsti. Lugege neid kahte etappi eraldi, enne kui järeldate, et mandaadid lükati tagasi. Nii võib L2TP jaoks seadistatud klient olla täiesti korrektne ja ikkagi vale klient lüüsile, mis räägib ainult IKEv2.
IKEv2 paneb EAP-MSCHAPv2 hoopis võtmevahetuse sisse, nii et sama mandaat ebaõnnestub teisel hetkel ja ilmub autentimisveana, mitte sessiooniveana. Androidi platvormi IKEv2 profiil on igapäevane näide ja see küsib serveri sertifikaati või identifikaatorit, mitte PPP valikuid. Kontonimi on mõlemas lahenduses identne, seega ei saa see öelda, milline teil on. Seda otsustab ainult operaatori toetatud protokollide loend.
TLS-põhine VPN lisab kolmanda lahenduse, oma kasutajanime- ja parooliväljadega ning ilma MS-CHAPv2-ta kusagil vahetuses. Seega ei ole paroolivälja nägemine tõend selle taga oleva protokolli kohta, sest vorm on ehitatud tuttavana näima. Kinnitage protokoll serveri dokumentatsioonist, mitte kliendi akna kujust.
Vastused, mida te tegelikult vajate
Saatke taotlus loendina, sest loendile on raske poolikut vastata. Küsige tunneli protokolli, selle sees olevat meetodit ja klienti, mida operaator teie platvormil toetab. Seejärel küsige lüüsi identiteeti ja usaldusseadeid, konto vormingut ja seda, mis peaks olema kättesaadav, kui ühendus on püsti.
Esimesed kolm otsustavad, kas saate üldse toimiva profiili. Viimased kolm otsustavad, kas see profiil teeb seda, mida töö nõuab. Hoidke vastus pileti juures, sest järgmine inimene küsib samu kuut küsimust. Kui vastus puudub, käsitlege lünka otsusena, mida operaator pole veel teinud, mitte millegi tuletatavana.
| What you ask for | If it is wrong, the symptom shows up as |
|---|---|
| Tunnel protocol | No profile can be built at all |
| Method inside the tunnel | Credentials typed, then rejected |
| Gateway identity | The client refuses the server certificate |
| Account format | Authentication fails only for some staff |
| Routes and DNS | The tunnel is up and nothing resolves |
Ärge lõdvendage lüüsi kontrolli
Server tõestab oma identiteeti ka kliendile ja see pool vahetusest ei ole kaunistus. Sertifikaadi kontrolli väljalülitamine, et kangekaelne profiil ühenduks, aktsepteerib iga vastavat lõpp-punkti, kaasa arvatud selle, kuhu keegi ei kavatsenud jõuda. See peidab ka tegelikku mittevastavust, selle asemel et seda lahendada, mis lükkab tõrke hilisemasse ja vähem silmatorkavasse hetke. Profiil, mis vajab kontrolli väljalülitamist, on profiil, mis osutab millelegi, mida ta ei suuda kontrollida.
Mittevastavus on tavaliselt nimi, sest ühele hostinimele välja antud sertifikaat ebaõnnestub, kui profiil valib aadressi. Valige nimi, mitte ärge lülitage kontrolli välja. Privaatne sertifitseerimisasutus ebaõnnestub, kui seadmele ei ole kunagi juurt antud, ja parandus on see juur heakskiidetud teed pidi levitada. Hallatavad keskkonnad eeldavad, et operaator annab identiteedi ja usaldusankru ning profiil viitab mõlemale. Kui väli puudub, küsige artefakti, mitte ärge loobuge kontrollist.
Sobitage profiil ja tõestage seejärel iga etapp
Kui kandja on teada, järgige selle kliendi dokumenteeritud protsessi ja sisestage ainult väljad, mida see küsib. Lisaväljad, mis täidetakse sellepärast, et need on olemas, on ikka valed väärtused ja need ebaõnnestuvad hiljem kui nõutud. Salvestage profiil pärast esimest edukat ühendust muutumatuna, et hilisemat muudatust saaks võrrelda millegi töötavana teadaolevaga.
Seejärel kontrollige etappidena: tunnel püstitub, kasutaja autenditakse, määratud aadress ja marsruudid ilmuvad ning üks lubatud teenus vastab. Iga etapp jätab serverisse oma logirea ja nende järjekorras lugemine muudab ebamäärase kaebuse konkreetseks leiuks. Kui platvorm ei toeta enam operaatori kirjeldatud lahendust, on see migratsioonivestlus, mitte põhjus seadmes kõiki vanu valikuid sisse lülitada. Kandja, meetod ja profiil on kolm eraldi vastust ning töötaval ühendusel on kõik kolm kooskõlas.