MSCHAPv2 nije VPN protokol: prvo pitajte za tunel
Lozinka i riječ MSCHAPv2 ne čine vezu. Pitajte koji tunel nosi razmjenu, pa prilagodite profil klijenta tome.
Korisnička imena i lozinke putuju unutar nosioca, a MSCHAPv2 imenuje samo metodu koja putuje. Pitajte koji tunel to nosi prije nego što odaberete profil klijenta, jer se isti niz računa pojavljuje u postavkama koje ne dijele ni red koda. Svaki profil koji dobijete kodira obje odluke, čak i kada uputstvo štampa samo jednu od njih. Redoslijed ispod je ono na što operater može odgovoriti bez nagađanja i što vi možete provjeriti bez hvatanja paketa.
Autentifikacija se vozi unutar tunela
VPN donosi dvije odluke koje izgledaju kao jedna: kako strane grade zaštićeni kanal i kako osoba dokazuje identitet unutar njega. Druga je otisnuta u uputstvu jer je to ono što čovjek upisuje. Prva odlučuje hoće li ijedan klijent uopšte raditi, i nju ljudi preskaču. Zamolite operatera da prvo imenuje nosioca, a zatim metodu, tim redom. Dvije veze mogu tražiti isto korisničko ime i istu lozinku, a da ispod polja za prijavu ne dijele nikakvu implementaciju.
Zato postavke kopirane s koleginog telefona koji radi mogu zakazati na vašem, čak i kada server prihvata oba akreditive. Akreditiv nikada nije bio razlika; razlika je bio profil koji ga obavija. obje strane su u pravu i ništa se ne povezuje je obično upravo ta zbrka, i nestaje čim se nosilac imenuje.
Tri mjesta na kojima se ista metoda pojavljuje
U PPP-u korak autentifikacije čeka dok veza ne postoji, i RFC 2759 definiše MS-CHAPv2 kao taj korak, zato se metoda pojavljuje u L2TP i u starijim PPTP postavkama. Tunel završava prvi, a PPP pregovori se odvijaju unutar njega, pa neuspjela PPP faza može ostaviti tunel kao uspostavljen u server logu. Čitajte te dvije faze odvojeno prije nego što zaključite da su akreditivi odbijeni. Dakle, klijent konfigurisan za L2TP može biti potpuno ispravan i ipak pogrešan klijent za mrežni prolaz koji govori samo IKEv2.
IKEv2 umjesto toga stavlja EAP-MSCHAPv2 unutar razmjene ključeva, pa isti akreditiv zakaže u drugom trenutku i pojavi se kao greška autentifikacije, a ne kao greška sesije. Androidov platformski IKEv2 profil je svakodnevni primjer, i on traži certifikat ili identifikator servera, a ne PPP opcije. Ime računa je identično u oba aranžmana, pa vam ne može reći koji imate. To rješava samo operaterov spisak podržanih protokola.
VPN zasnovan na TLS dodaje treći aranžman, s vlastitim poljima korisničkog imena i lozinke i bez MS-CHAPv2 bilo gdje u razmjeni. Zato viđanje polja za lozinku nije dokaz o protokolu iza njega, jer je formular napravljen da izgleda poznato. Potvrdite protokol iz serverske dokumentacije, a ne iz oblika klijentskog prozora.
Odgovori koji vam zaista trebaju
Pošaljite zahtjev kao spisak, jer je na spisak teško odgovoriti napola. Tražite protokol tunela, metodu unutar njega i klijent koji operater podržava na vašoj platformi. Zatim tražite identitet mrežnog prolaza i postavke povjerenja, format računa i šta treba biti dostupno kada veza bude uspostavljena.
Prva tri odlučuju da li uopšte dobijate radni profil. Posljednja tri odlučuju da li taj profil radi ono što posao traži. Držite odgovor uz tiket, jer će sljedeća osoba pitati istih šest pitanja. Gdje odgovor nedostaje, tretirajte prazninu kao odluku koju operater još nije donio, a ne kao nešto što možete zaključiti.
| What you ask for | If it is wrong, the symptom shows up as |
|---|---|
| Tunnel protocol | No profile can be built at all |
| Method inside the tunnel | Credentials typed, then rejected |
| Gateway identity | The client refuses the server certificate |
| Account format | Authentication fails only for some staff |
| Routes and DNS | The tunnel is up and nothing resolves |
Ne ublažavajte provjeru mrežnog prolaza
Server dokazuje svoj identitet i klijentu, i ta polovina razmjene nije ukras. Isključivanje provjere certifikata da bi se tvrdoglav profil povezao prihvata svaku krajnju tačku koja odgovori, uključujući onu do koje niko nije namjeravao stići. Ono takođe skriva stvarnu neusklađenost umjesto da je riješi, što gura kvar u kasniji i manje očigledan trenutak. Profil kojem treba isključena provjera je profil koji pokazuje na nešto što ne može provjeriti.
Neusklađenost je obično ime, jer certifikat izdat za jedno ime hosta zakaže kada profil bira adresu. Birajte ime umjesto da isključite provjeru. Privatno certifikatno tijelo zakaže kada uređaju nikada nije dat korijen, a popravka je distribuirati taj korijen odobrenim putem. Upravljana okruženja očekuju da operater obezbijedi identitet i sidro povjerenja, a profil da se pozove na oboje. Kada polje nedostaje, tražite artefakt umjesto da se odreknete provjere.
Prilagodite profil, pa dokažite svaku fazu
Kada je nosilac poznat, slijedite dokumentovani proces tog klijenta i unesite samo polja koja traži. Dodatna polja popunjena zato što postoje i dalje su pogrešne vrijednosti, i zakažu kasnije od obaveznih. Sačuvajte profil nepromijenjen nakon prve uspješne veze, da bi se kasnija izmjena mogla uporediti s nečim za što se zna da radi.
Zatim provjeravajte po fazama: tunel se uspostavlja, korisnik se autentifikuje, dodijeljena adresa i rute se pojavljuju i jedna dozvoljena usluga odgovara. Svaka faza ostavlja svoj red u server logu, a čitanje po redu pretvara neodređenu žalbu u konkretan nalaz. Ako platforma više ne podržava aranžman koji operater opisuje, to je razgovor o migraciji, a ne razlog da uključite svaku naslijeđenu opciju na uređaju. Nosilac, metoda i profil su tri odvojena odgovora, i veza koja radi ima sva tri usaglašena.