MSCHAPv2 אינו פרוטוקול VPN: שאלו קודם על המנהרה
סיסמה והמילה MSCHAPv2 אינן יוצרות חיבור. שאלו איזו מנהרה נושאת את החליפין, ואז התאימו את פרופיל הלקוח אליה.
שמות משתמש וסיסמאות נוסעים בתוך נושא, ו-MSCHAPv2 נוקב רק בשם השיטה שנוסעת. שאלו איזו מנהרה נושאת אותה לפני בחירת פרופיל לקוח, מפני שאותה מחרוזת חשבון מופיעה בסידורים שאינם חולקים אף שורת קוד. כל פרופיל שמוסרים לכם מקודד את שתי ההחלטות, גם כשגיליון ההוראות מדפיס רק אחת מהן. הסדר שלמטה הוא מה שמפעיל יכול לענות עליו בלי לנחש ומה שאתם יכולים לבדוק בלי ללכוד מנות.
האימות נוסע בתוך מנהרה
VPN מקבל שתי החלטות שנראות כאחת: כיצד הצדדים בונים ערוץ מוגן, וכיצד אדם מוכיח זהות בתוכו. השנייה מודפסת בגיליון ההוראות מפני שהיא זו שאדם מקליד. הראשונה קובעת אם בכלל יעבוד לקוח כלשהו, ואותה אנשים מדלגים עליה. בקשו מהמפעיל לנקוב בשם הנושא ואחר כך בשיטה, בסדר הזה. שני חיבורים יכולים לדרוש אותו שם חשבון ואותה סיסמה בלי לחלוק שום מימוש מתחת לתיבת ההתחברות.
לכן הגדרות שהועתקו מהטלפון העובד של עמית עלולות להיכשל אצלכם, גם כשהשרת מקבל את שני פרטי האימות. פרטי האימות מעולם לא היו ההבדל; הפרופיל שעוטף אותם היה. שני הצדדים צודקים ושום דבר לא מתחבר היא בדרך כלל בדיוק הבלבול הזה, והוא מתבהר ברגע שהנושא נקרא בשמו.
שלושה מקומות שבהם אותה שיטה מופיעה
ב-PPP שלב האימות ממתין עד שקיים קישור, ו- RFC 2759 מגדיר את MS-CHAPv2 כשלב הזה, ולכן השיטה מופיעה ב- L2TP ובפריסות PPTP ישנות יותר. המנהרה מסתיימת ראשונה והמשא ומתן של PPP מתרחש בתוכה, כך ששלב PPP כושל יכול להשאיר את המנהרה כמיושבת ביומן השרת. קראו את שני השלבים בנפרד לפני שאתם מסיקים שפרטי האימות נדחו. לכן לקוח שהוגדר ל-L2TP יכול להיות נכון לחלוטין ועדיין להיות הלקוח הלא נכון לשער שמדבר רק IKEv2.
IKEv2 מכניס במקום זאת את EAP-MSCHAPv2 בתוך חילופי המפתחות, כך שאותו פריט אימות נכשל ברגע אחר ומופיע כשגיאת אימות ולא כשגיאת הפעלה. פרופיל IKEv2 של פלטפורמת Android הוא הדוגמה היומיומית, והוא מבקש תעודת שרת או מזהה במקום אפשרויות PPP. שם החשבון זהה בשני הסידורים, כך שהוא לא יכול לומר לכם איזה מהם יש לכם. רק רשימת הפרוטוקולים הנתמכים של המפעיל מכריעה בכך.
VPN מבוסס TLS מוסיף סידור שלישי, עם שדות שם משתמש וסיסמה משלו ובלי MS-CHAPv2 בשום מקום בחליפין. לכן ראיון תיבת סיסמה אינו הוכחה לפרוטוקול שמאחוריה, מפני שהטופס בנוי להיראות מוכר. אשרו את הפרוטוקול מתיעוד השרת, ולא מצורת חלון הלקוח.
התשובות שאתם באמת צריכים
שלחו את הבקשה כרשימה, מפני שקשה לענות על רשימה בחצי. בקשו את פרוטוקול המנהרה, את השיטה שבתוכה ואת הלקוח שהמפעיל תומך בו בפלטפורמה שלכם. אחר כך בקשו את זהות השער והגדרות האמון, את תבנית החשבון ואת מה שאמור להיות נגיש לאחר שהחיבור עולה.
שלוש הראשונות קובעות אם בכלל תקבלו פרופיל עובד. שלוש האחרונות קובעות אם אותו פרופיל עושה את מה שהעבודה דורשת. החזיקו את התשובה מצורפת לכרטיס, מפני שהאדם הבא ישאל את אותן שש שאלות. במקום שתשובה חסרה, התייחסו לחוסר כהחלטה שהמפעיל טרם קיבל, ולא כמשהו שאתם יכולים להסיק.
| What you ask for | If it is wrong, the symptom shows up as |
|---|---|
| Tunnel protocol | No profile can be built at all |
| Method inside the tunnel | Credentials typed, then rejected |
| Gateway identity | The client refuses the server certificate |
| Account format | Authentication fails only for some staff |
| Routes and DNS | The tunnel is up and nothing resolves |
אל תרפו מאימות השער
השרת מוכיח את זהותו גם ללקוח, והחצי הזה של החליפין אינו קישוט. כיבוי אימות התעודה כדי שפרופיל עקשן יתחבר מקבל כל נקודת קצה שעונה, כולל כזו שאיש לא התכוון להגיע אליה. הוא גם מסתיר אי-התאמה אמיתית במקום לפתור אותה, מה שדוחף את הכשל לרגע מאוחר ופחות גלוי. פרופיל שזקוק לבדיקה כבויה הוא פרופיל שמצביע על משהו שהוא אינו יכול לאמת.
אי-ההתאמה היא בדרך כלל שם, מפני שתעודה שהונפקה לשם מארח אחד נכשלת כשהפרופיל מחייג לכתובת. חייגו לשם במקום לכבות את הבדיקה. רשות תעודות פרטית נכשלת כשהמכשיר מעולם לא קיבל את השורש, והתיקון הוא להפיץ את השורש הזה בדרך המאושרת. סביבות מנוהלות מצפות שהמפעיל יספק את הזהות ואת עוגן האמון, ושהפרופיל יתייחס לשניהם. כשהשדה חסר, בקשו את הארטיפקט במקום לוותר על האימות.
התאימו את הפרופיל, ואז הוכיחו כל שלב
לאחר שהנושא ידוע, עקבו אחר התהליך המתועד של אותו לקוח והזינו רק את השדות שהוא מבקש. שדות נוספים שממולאים מפני שהם קיימים הם עדיין ערכים שגויים, והם נכשלים מאוחר יותר מהנדרשים. שמרו את הפרופיל ללא שינוי לאחר החיבור המוצלח הראשון, כדי שעריכה מאוחרת תוכל להיות מושווית למשהו שידוע שעובד.
ואז אמתו בשלבים: המנהרה מתייצבת, המשתמש מאומת, הכתובת והמסלולים שהוקצו מופיעים, ושירות אחד מורשה עונה. כל שלב משאיר שורת יומן משלו בשרת, וקריאתם לפי הסדר הופכת תלונה מעורפלת לממצא מדויק. אם הפלטפורמה אינה תומכת עוד בסידור שהמפעיל מתאר, זו שיחת הגירה ולא סיבה להפעיל כל אפשרות ישנה במכשיר. נושא, שיטה ופרופיל הם שלוש תשובות נפרדות, ולחיבור שעובד כל השלושה מתיישבים.