MSCHAPv2 is gjin VPN-protokol: freegje earst nei de tunnel
In wachtwurd en it wurd MSCHAPv2 meitsje noch gjin ferbining. Freegje hokker tunnel de útwikseling draacht, en pas dan it kliïntprofyl dêrop oan.
Brûkersnammen en wachtwurden reizgje binnen in drager, en MSCHAPv2 neamt allinnich de metoade dy't reizget. Freegje hokker tunnel it draacht foardat jo in kliïntprofyl kieze, want deselde akkountrige komt foar yn opstellings dy't gjin rigel koade diele. Elk profyl dat jo krije kodearret beide besluten, sels as it ynstruksjeblêd mar ien fan beide printsje. De folchoarder hjirûnder is wat in operator sûnder rieden beäntwurdzje kin en wat jo sûnder pakketopname kontrolearje kinne.
Autentikaasje rydt binnen in tunnel
In VPN nimt twa besluten dy't op ien lykje: hoe't de partijen in beskerme kanaal bouwe en hoe't in persoan deryn identiteit bewissiget. It twadde stiet op it ynstruksjeblêd printe, om't dat is wat in minske yntypet. It earste beslúdt oft der oait in kliïnt wurkje sil, en dat is wat minsken oerslaan. Freegje de operator om earst de drager en dan de metoade te neamen, yn dy folchoarder. Twa ferbinings kinne deselde akkountnamme en itselde wachtwurd easkje sûnder ûnder it oanmeldingsfjild hokker ymplemintaasje dan ek te dielen.
Dêrom kinne ynstellingen dy't fan 'e wurkjende tillefoan fan in kollega kopiearre binne op dy fan jo misse, sels as de tsjinner beide bewiisstikken akseptearret. It bewiisstik wie nea it ferskil; it profyl deromhinne wie dat. beide kanten gelyk hawwe en neat ferbynt is meastentiids krekt dizze betizing, en it klearret op sa gau as de drager neamd is.
Trije plakken dêr't deselde metoade ferskynt
Yn PPP wachtet de autentikaasjestap oant der in ferbining is, en RFC 2759 definearret MS-CHAPv2 as dy stap, dêrom komt de metoade foar yn L2TP en yn âldere PPTP-ynstallaasjes. De tunnel einiget earst en de PPP-ûnderhanneling bart deryn, dat in mislearre PPP-faze kin de tunnel yn it tsjinnerlog as oprjochte lykje litte. Lês dy twa fazen apart foardat jo konkludearje dat de bewiisstikken wegere binne. Sa kin in kliïnt dy't foar L2TP ynsteld is folslein korrekt wêze en dochs de ferkearde kliïnt wêze foar in gateway dy't allinnich IKEv2 praat.
IKEv2 set EAP-MSCHAPv2 ynstee binnen de kaai-útwikseling, dat itselde bewiisstik misselet op in oar momint en komt nei foaren as in autentikaasjeflap yn stee fan in sesjeflap. It IKEv2-profyl fan it Android-platfoarm is it deistige foarbyld, en it freget om in tsjinnersertifikaat of identifikaasje yn stee fan PPP-opsjes. De akkountnamme is yn beide opstellings identyk, dat it kin jo net sizze hokker jo hawwe. Allinnich de list fan stipe protokollen by de operator beslúdt dat.
In VPN op basis fan TLS foeget in tredde opstelling ta, mei syn eigen brûkersnamme- en wachtwurd-fjilden en gjin MS-CHAPv2 earne yn 'e útwikseling. In wachtwurdfjild sjen is dêrom gjin bewiis oer it protokol dêrefter, want it formulier is boud om fertroud te lykjen. Befêstigje it protokol út 'e tsjinnerdokumintaasje, net út 'e foarm fan it kliïntfinster.
De antwurden dy't jo wier nedich hawwe
Stjoer it fersyk as in list, want in list is min heal te beäntwurdzjen. Freegje om it tunnelprotokol, de metoade deryn en de kliïnt dy't de operator op jo platfoarm stipet. Freegje dan om 'e identiteit en fertrouwensynstellingen fan 'e gateway, it akkountformaat en wat berikber wêze moat as de ferbining stiet.
De earste trije beslútte oft jo oait in wurkjend profyl krije. De lêste trije beslútte oft dat profyl docht wat it wurk nedich hat. Hâld it antwurd by it ticket, want de folgjende persoan sil deselde seis fragen stelle. Wêr't in antwurd mist, behannelje de leechte as in beslissing dy't de operator noch net nommen hat, net as eat dat jo ôfliede kinne.
| What you ask for | If it is wrong, the symptom shows up as |
|---|---|
| Tunnel protocol | No profile can be built at all |
| Method inside the tunnel | Credentials typed, then rejected |
| Gateway identity | The client refuses the server certificate |
| Account format | Authentication fails only for some staff |
| Routes and DNS | The tunnel is up and nothing resolves |
Fersoepelje de gateway-ferifikaasje net
De tsjinner bewiist syn identiteit ek oan 'e kliïnt, en dy helte fan 'e útwikseling is gjin fersiering. Sertifikaatferifikaasje útsette om in stiifhollend profyl te ferbinen akseptearret elk einpunt dat antwurdet, ek ien dêr't nimmen komme woe. It ferberget ek in echte mismatch yn stee fan dy op te lossen, wat de flater nei in letter en minder dúdlik momint skoot. In profyl dat de kontrôle útset hawwe moat is in profyl dat nei eat wiist dat it net ferifiearje kin.
De mismatch is meastentiids in namme, want in sertifikaat útjûn foar ien hostnamme misselet as it profyl in adres kieze. Kies de namme yn stee fan de kontrôle út te setten. In partikuliere sertifikaatautoriteit misselet as it apparaat nea de woartel krigen hat, en de oplossing is dy woartel fia de goedkarde wei te fersprieden. Behearbere omjouwings ferwachtsje dat de operator de identiteit en it fertrouwensanker leveret, en it profyl nei beide ferwiist. As it fjild ûntbrekt, freegje om it artefakt yn stee fan jo ôf te melden fan 'e ferifikaasje.
Pas it profyl oan, bewiis dan elke faze
As de drager bekend is, folgje it dokumintearre proses fan dy kliïnt en fier allinnich de fjilden yn dy't it freget. Ekstra fjilden dy't ynfolle wurde om't se besteane binne noch altyd ferkearde wearden, en se missele letter as de ferplichte. Bewarje it profyl ûnferoare nei de earste suksesfolle ferbining, sadat in lettere bewurking ferlike wurde kin mei eat dat bekend is te wurkjen.
Kontrolearje dan yn fazen: de tunnel stiet, de brûker autentisearret, it tawiisd adres en de rûtes ferskine, en ien tastiene tsjinst antwurdet. Elke faze lit syn eigen logrigel op 'e tsjinner, en se yn folchoarder lêze makket in ûndúdlike klacht ta in konkreet fynst. As it platfoarm de opstelling dy't de operator beskriuwt net mear stipet, is dat in migraasjepetear en gjin reden om alle âlde opsjes op it apparaat oan te setten. Drager, metoade en profyl binne trije aparte antwurden, en in ferbining dy't wurket hat alle trije yn oerienstimming.