MSCHAPv2 ei ole VPN-protokolla: kysy ensin tunnelia
Salasana ja sana MSCHAPv2 eivät vielä tee yhteyttä. Kysy, mikä tunneli kuljettaa vaihdon, ja sovita sitten asiakasprofiili siihen.
Käyttäjänimet ja salasanat matkustavat kuljettimen sisällä, ja MSCHAPv2 nimeää vain sen menetelmän, joka matkustaa. Kysy, mikä tunneli sitä kuljettaa, ennen kuin valitset asiakasprofiilin, sillä sama tilitunnus esiintyy kokoonpanoissa, jotka eivät jaa riviäkään koodia. Jokainen sinulle annettu profiili koodaa molemmat päätökset, vaikka ohjelehti painaisi vain toisen niistä. Alla oleva järjestys on se, mihin operaattori voi vastata arvaamatta ja minkä sinä voit tarkistaa paketteja kaappaamatta.
Todennus kulkee tunnelin sisällä
VPN tekee kaksi päätöstä, jotka näyttävät yhdeltä: miten osapuolet rakentavat suojatun kanavan ja miten ihminen todistaa henkilöllisyytensä sen sisällä. Toinen painetaan ohjelehteen, koska sen kirjoittaa ihminen. Ensimmäinen ratkaisee, toimiiko mikään asiakas lainkaan, ja juuri sen ihmiset ohittavat. Pyydä operaattoria nimeämään ensin kuljetin ja sitten menetelmä, juuri siinä järjestyksessä. Kaksi yhteyttä voi vaatia saman tilitunnuksen ja saman salasanan jakamatta kirjautumiskentän alla mitään toteutusta.
Siksi kollegan toimivasta puhelimesta kopioidut asetukset voivat epäonnistua sinun laitteessasi, vaikka palvelin hyväksyy molemmat tunnistetiedot. Tunnistetieto ei ollut koskaan ero; ero oli sen ympärille kääritty profiili. molemmat osapuolet ovat oikeassa eikä mikään yhdisty on yleensä juuri tämä sekaannus, ja se selviää heti kun kuljetin nimetään.
Kolme paikkaa, joissa sama menetelmä esiintyy
PPP:ssä todennusvaihe odottaa, kunnes linkki on olemassa, ja RFC 2759 määrittelee MS-CHAPv2:n tämäksi vaiheeksi, siksi menetelmä esiintyy L2TP ja vanhemmissa PPTP-käyttöönotoissa. Tunneli päättyy ensin ja PPP-neuvottelu tapahtuu sen sisällä, joten epäonnistunut PPP-vaihe voi jättää tunnelin palvelimen lokiin pystytetyn näköiseksi. Lue ne kaksi vaihetta erikseen ennen kuin päättelet, että tunnistetiedot hylättiin. Niinpä L2TP:lle määritetty asiakas voi olla täysin oikein ja silti väärä asiakas yhdyskäytävälle, joka puhuu vain IKEv2:ta.
IKEv2 sijoittaa EAP-MSCHAPv2:n sen sijaan avainvaihdon sisään, joten sama tunnistetieto epäonnistuu eri hetkellä ja näkyy todennusvirheenä eikä istuntovirheenä. Androidin alustan IKEv2-profiili on jokapäiväinen esimerkki, ja se pyytää palvelinvarmennetta tai -tunnistetta PPP-valintojen sijaan. Tilitunnus on sama molemmissa kokoonpanoissa, joten se ei voi kertoa, kumpi sinulla on. Vain operaattorin tuettujen protokollien luettelo ratkaisee sen.
TLS-pohjainen VPN lisää kolmannen kokoonpanon, jossa on omat käyttäjänimi- ja salasanakentät eikä MS-CHAPv2:tä missään vaihdossa. Salasanakentän näkeminen ei siis ole todiste sen takana olevasta protokollasta, koska lomake on rakennettu näyttämään tutulta. Vahvista protokolla palvelimen dokumentaatiosta, älä asiakasikkunan muodosta.
Vastaukset, joita todella tarvitset
Lähetä pyyntö luettelona, koska luetteloon on vaikea vastata puoliksi. Pyydä tunneliprotokolla, sen sisällä oleva menetelmä ja asiakas, jota operaattori tukee alustallasi. Pyydä sitten yhdyskäytävän identiteetti ja luottamusasetukset, tilin muoto ja se, mihin yhteyden pystyttämisen jälkeen pitäisi päästä.
Kolme ensimmäistä ratkaisevat, saatko ylipäätään toimivan profiilin. Kolme viimeistä ratkaisevat, tekeekö se profiili sen, mitä työ vaatii. Pidä vastaus tiketin liitteenä, koska seuraava henkilö kysyy samat kuusi kysymystä. Missä vastaus puuttuu, käsittele aukko päätöksenä, jota operaattori ei ole vielä tehnyt, älä jonain, jonka voit päätellä.
| What you ask for | If it is wrong, the symptom shows up as |
|---|---|
| Tunnel protocol | No profile can be built at all |
| Method inside the tunnel | Credentials typed, then rejected |
| Gateway identity | The client refuses the server certificate |
| Account format | Authentication fails only for some staff |
| Routes and DNS | The tunnel is up and nothing resolves |
Älä löysää yhdyskäytävän vahvistusta
Palvelin todistaa henkilöllisyytensä myös asiakkaalle, eikä tuo vaihdon puolisko ole koriste. Varmenteen vahvistuksen poistaminen käytöstä, jotta itsepäinen profiili yhdistää, hyväksyy minkä tahansa vastaavan päätepisteen, myös sellaisen, johon kenenkään ei ollut tarkoitus päästä. Se myös kätkee todellisen epäsuhdan ratkaisemisen sijaan, mikä työntää vian myöhempään ja vähemmän ilmeiseen hetkeen. Profiili, joka tarvitsee tarkistuksen pois päältä, osoittaa johonkin, jota se ei voi vahvistaa.
Epäsuhta on yleensä nimi, koska yhdelle isäntänimelle myönnetty varmenne epäonnistuu, kun profiili valitsee osoitteen. Valitse nimi sen sijaan, että poistat tarkistuksen. Yksityinen varmentaja epäonnistuu, kun laitteelle ei koskaan annettu juurta, ja korjaus on jakaa se juuri hyväksyttyä reittiä. Hallitut ympäristöt odottavat, että operaattori toimittaa identiteetin ja luottamusankkurin ja profiili viittaa molempiin. Kun kenttä puuttuu, pyydä artefakti sen sijaan, että luopuisit vahvistuksesta.
Sovita profiili ja todista sitten jokainen vaihe
Kun kuljetin on tiedossa, seuraa kyseisen asiakkaan dokumentoitua prosessia ja syötä vain ne kentät, joita se pyytää. Ylimääräiset kentät, jotka täytetään siksi, että ne ovat olemassa, ovat yhä vääriä arvoja, ja ne epäonnistuvat myöhemmin kuin pakolliset. Tallenna profiili muuttumattomana ensimmäisen onnistuneen yhteyden jälkeen, jotta myöhempää muokkausta voi verrata johonkin, jonka tiedetään toimivan.
Tarkista sitten vaiheittain: tunneli muodostuu, käyttäjä todennetaan, määritetty osoite ja reitit ilmestyvät ja yksi sallittu palvelu vastaa. Jokainen vaihe jättää oman lokirivinsä palvelimelle, ja niiden lukeminen järjestyksessä muuttaa epämääräisen valituksen konkreettiseksi havainnoksi. Jos alusta ei enää tue operaattorin kuvaamaa kokoonpanoa, se on migraatiokeskustelu eikä syy kytkeä laitteessa päälle kaikkia vanhoja vaihtoehtoja. Kuljetin, menetelmä ja profiili ovat kolme erillistä vastausta, ja toimivassa yhteydessä kaikki kolme ovat sopusoinnussa.