MSCHAPv2 — VPN протоколу эмес: адегенде туннелди сураңыз
Сырсөз жана MSCHAPv2 деген сөз бирге байланыш түзбөйт. Алмашууну кайсы туннел ташып жүргөнүн сурап, анан кардар профилин ошого ылайыктаңыз.
Колдонуучу аттары жана сырсөздөр ташуучунун ичинде жүрөт, ал эми MSCHAPv2 жүргөн ыкманы гана атайт. Кардар профилин тандоодон мурун аны кайсы туннел ташып жүргөнүн сураңыз, анткени ошол эсеп сабы коддун бир сабын да бөлүшпөгөн түзүлүштөрдө кездешет. Сизге берилген ар бир профиль эки чечимди тең коддойт, ал тургай нускама баракчасы алардын бирөөн гана басып чыгарса да. Төмөнкү тартип — оператор болжолдоосуз жооп бере алган жана сиз пакеттерди кармабай эле текшере алган тартип.
Аутентификация туннелдин ичинде жүрөт
VPN бири-бирине окшош эки чечим кабыл алат: тараптар корголгон каналды кантип курат жана адам анын ичинде өзүнүн инсандыгын кантип далилдейт. Экинчиси нускама баракчасына басылат, анткени аны адам терет. Биринчиси кайсы кардардын жалпы иштей турганын чечет, адамдар дал ошону өткөрүп жиберишет. Оператордон адегенде ташуучуну, анан ыкманы атоосун сураңыз, дал ушундай тартипте. Эки байланыш бирдей эсеп атын жана бирдей сырсөздү талап кылышы мүмкүн, бирок кирүү талаасынын астында эч кандай ишке ашырууну бөлүшпөйт.
Ошондуктан кесиптешиңиздин иштеп турган телефонунан көчүрүлгөн жөндөөлөр сиздин телефонуңузда ишке ашпай калышы мүмкүн, сервер эки күбөлүктү тең кабыл алса да. Күбөлүк эч качан айырма болгон эмес; аны курчап турган профиль айырма болгон. эки тарап тең туура, бирок эч нерсе туташпайт адатта дал ушул түшүнбөстүк, жана ташуучунун аты аталган заматта айкындалат.
Ошол эле ыкма пайда болгон үч жер
PPP ичинде аутентификация кадамы байланыш пайда болгонго чейин күтөт, ал эми RFC 2759 MS-CHAPv2-ни ошол кадам катары аныктайт, ошондуктан ыкма L2TP жана эски PPTP орнотууларында кездешет. Туннел биринчи бүтөт, ал эми PPP сүйлөшүүлөрү анын ичинде жүрөт, ошондуктан ийгиликсиз PPP этабы сервер журналында туннелди орнотулгандай калтырышы мүмкүн. Күбөлүктөр четке кагылды деген тыянак чыгарганга чейин ошол эки этапты өз-өзүнчө окуңуз. Ошентип, L2TP үчүн конфигурацияланган кардар толугу менен туура болушу мүмкүн жана ошого карабастан IKEv2 гана сүйлөгөн шлюз үчүн туура эмес кардар болуп калат.
IKEv2 анын ордуна EAP-MSCHAPv2-ни ачкыч алмашуунун ичине салат, ошондуктан ошол эле күбөлүк башка учурда ишке ашпай, сессия катасы катары эмес, аутентификация катасы катары көрүнөт. Android платформасынын IKEv2 профили — күндөлүк мисал, ал PPP опцияларынын ордуна сервер сертификатын же идентификаторун сурайт. Эсеп аты эки түзүлүштө тең бирдей, ошондуктан кайсынысы сизде экенин айта албайт. Муну оператордун колдогон протоколдорунун тизмеси гана чечет.
TLS негизиндеги VPN үчүнчү түзүлүштү кошот, өзүнүн колдонуучу аты жана сырсөз талаалары менен жана алмашууда эч жерде MS-CHAPv2 жок. Ошондуктан сырсөз талаасын көрүү анын артындагы протоколго далил эмес, анткени форма тааныш көрүнүш үчүн курулган. Протоколду кардар терезесинин формасынан эмес, сервердин документтеринен ырастаңыз.
Сизге чындап керектүү жооптор
Сурамды тизме катары жөнөтүңүз, анткени тизмеге жарым жооп берүү кыйын. Туннелдин протоколун, анын ичиндеги ыкманы жана оператор сиздин платформаңызда колдогон кардарды сураңыз. Анан шлюздун инсандыгын жана ишеним жөндөөлөрүн, эсептин форматын жана байланыш көтөрүлгөндөн кийин эмне жеткиликтүү болушу керектигин сураңыз.
Алгачкы үчөө жалпы иштеген профиль ала аласызбы деп чечет. Акыркы үчөө ошол профиль ишке керектүүнү аткарабы деп чечет. Жоопту билетке тиркеп кармаңыз, анткени кийинки адам да ошол эле алты суроону берет. Жооп жок жерде ошол боштукту оператор али кабыл албаган чечим деп караңыз, өзүңүз божомолдой алган нерсе деп эмес.
| What you ask for | If it is wrong, the symptom shows up as |
|---|---|
| Tunnel protocol | No profile can be built at all |
| Method inside the tunnel | Credentials typed, then rejected |
| Gateway identity | The client refuses the server certificate |
| Account format | Authentication fails only for some staff |
| Routes and DNS | The tunnel is up and nothing resolves |
Шлюзду текшерүүнү алсыратпаңыз
Сервер өзүнүн инсандыгын кардарга да далилдейт, жана алмашуунун ошол жарымы кооздук эмес. Кыңыр профиль туташы үчүн сертификат текшерүүсүн өчүрүү жооп берген ар кандай акыркы чекитти кабыл алат, ага эч ким жетүүнү ойлобогон чекитти да. Ал ошондой эле чыныгы дал келбестикти чечүүнүн ордуна жашырат, бул бузулушту кийинки жана азыраак айкын учурга түртөт. Текшерүү өчүрүлүшү керек болгон профиль — өзү текшере албаган нерсени көрсөткөн профиль.
Дал келбестик адатта ат болот, анткени бир хост атына берилген сертификат профиль даректи тергенде ишке ашпайт. Текшерүүнү өчүрүүнүн ордуна атты терүүңүз. Жеке сертификат органы түзмөккө тамыр эч качан берилбегенде ишке ашпайт, ал эми оңдоо — ошол тамырды бекитилген жол менен таратуу. Башкарылуучу чөйрөлөр оператор инсандыкты жана ишеним тирегин берүүнү, профиль экөөнө тең шилтеме жасоону күтөт. Талаа жок болсо, текшерүүдөн баш тартуунун ордуна артефактты сураңыз.
Профилди ылайыктаңыз, анан ар бир этапты далилдеңиз
Ташуучу белгилүү болгондон кийин ошол кардардын документтелген процессин карманыңыз жана ал сураган талааларды гана киргизиңиз. Бар болгондуктан толтурулган кошумча талаалар да туура эмес маанилер бойдон калат жана милдеттүү талаалардан кийин ишке ашпайт. Профилди биринчи ийгиликтүү байланыштан кийин өзгөртпөй сактаңыз, кийинки оңдоону иштей турганы белгилүү нерсе менен салыштырууга болушу үчүн.
Анан этап-этабы менен текшериңиз: туннел орнотулат, колдонуучу аутентификациядан өтөт, бөлүнгөн дарек жана маршруттар пайда болот, жана бир уруксат берилген кызмат жооп берет. Ар бир этап серверде өзүнүн журнал сабын калтырат, ал эми аларды тартиби менен окуу бүдөмүк нааразылыкты так табылгага айландырат. Эгер платформа оператор сүрөттөгөн түзүлүштү мындан ары колдобосо, бул көчүү тууралуу сүйлөшүү, түзмөктө бардык эски опцияны күйгүзүүгө себеп эмес. Ташуучу, ыкма жана профиль — үч өзүнчө жооп, ал эми иштеген байланышта үчөө тең макулдашкан.