MSCHAPv2 ass kee VPN-Protokoll: frot d'éischt nom Tunnel

Benotzernimm a Passwierder reesen an engem Dreier, an MSCHAPv2 nennt just déi Method, déi reest. Frot, wéi en Tunnel et dréit, ier Dir e Clientprofil auswieelt, well déi selwecht Kontketten a Konstellatiounen opdaucht, déi net eng Zeil Code deelen. All Profil, deen Dir kritt, kodéiert béid Entscheedungen, och wann den Uweisungsblat just eng dovu dréckt. D'Reiefolleg hei drënner ass dat, wat en Operateur ouni ze roden beäntwere kann an wat Dir ouni Paketer ze fänken nokucke kënnt.

Authentifikatioun fiert bannent engem Tunnel

Eng VPN hëlt zwou Entscheedungen, déi wéi eng ausgesinn: wéi d'Parteien e geschützte Kanal bauen a wéi eng Persoun dobannent seng Identitéit bewisen. Déi zweet steet um Uweisungsblat, well se ee Mënsch antippt. Déi éischt entscheet, ob iwwerhaapt en Client funktionnéiert, an déi gëtt iwwersprongen. Frot den Operateur, fir d'éischt den Dreier an duerno d'Method ze nennen, an där Reiefolleg. Zwou Verbindunge kënnen deeselwechten Kontnumm an deeselwecht Passwuert verlaangen, ouni ënner dem Loginfeld eng Implementatioun ze deelen.

Dofir kënnen Astellungen, déi vum funktionéierende Telefon vun engem Kolleg kopéiert goufen, op Ärem versoen, och wann de Server béid Umeldungsinformatiounen acceptéiert. D'Umeldungsinformatioun war ni den Ënnerscheed; de Profil ronderëm war et. déi zwou Säiten Recht hunn an näischt sech verbënnt ass meeschtens just dës Verwiesselung, an se kläert sech, soubal den Dreier genannt ass.

Dräi Plazen, wou déi selwecht Method opdaucht

Am PPP waart den Authentifikatiounsschrëtt, bis et eng Verbindung gëtt, an RFC 2759 definéiert MS-CHAPv2 als dee Schrëtt, dofir daucht d'Method L2TP an an eelere PPTP-Installatiounen op. Den Tunnel endegt als éischten an d'PPP-Verhandlunge geschéien dobannent, sou datt eng gescheitert PPP-Phase den Tunnel am Serverlog etabléiert ausgesi kann. Liest déi zwou Phasen getrennt, ier Dir schléisst, datt d'Umeldungsinformatiounen ofgeleent goufen. Sou kann en Client, deen op L2TP ageriicht ass, komplett richteg sinn an trotzdem de falsche Client fir en Gateway, dee just IKEv2 schwätzt.

IKEv2 setzt EAP-MSCHAPv2 amplaz bannent dem Schlësselaustausch, sou datt déiselwecht Umeldungsinformatioun zu engem anere Moment feelt an als Authentifikatiounsfeeler amplaz als Sessiounsfeeler optrëtt. D'IKEv2-Profil vun der Android-Plattform ass dat alldeeglecht Beispill, an et freet no engem Serverzertifikat oder enger Identifizéierung amplaz no PPP-Optiounen. Den Kontnumm ass an deenen zwou Konstellatiounen identesch, also kann et Iech net soen, wat Dir hutt. Nëmmen d'Lëscht vun den ënnerstëtzten Protokoller beim Operateur entscheet dat.

Eng TLS-baséiert VPN setzt eng drëtt Konstellatioun derbäi, mat hirem eegene Benotzernumm- a Passwuertfeld an ouni MS-CHAPv2 iergendwou am Austausch. Eng Passwuertkëscht ze gesinn ass dofir kee Beweis fir de Protokoll hannendrun, well de Formulaire gebaut ass, fir vertraut auszegesinn. Bestätegt de Protokoll aus der Serverdokumentatioun, net aus der Form vum Clientfenster.

D'Äntwerten, déi Dir wierklech braucht

Schéckt d'Ufro als Lëscht, well eng Lëscht schwéier hallef ze beäntweren ass. Frot no dem Tunnelprotokoll, der Method dobannent an dem Client, deen den Operateur op Ärer Plattform ënnerstëtzt. Frot duerno no der Identitéit an den Trauensastellunge vum Gateway, dem Kontformat an deem, wat erreechbar misst sinn, wann d'Verbindung steet.

Déi éischt dräi entscheeden, ob Dir iwwerhaapt e funktionéierende Profil kritt. Déi lescht dräi entscheeden, ob dee Profil dat mécht, wat d'Aarbecht braucht. Halt d'Äntwert um Ticket, well déi nächst Persoun déiselwecht sechs Froen stellt. Wou eng Äntwert feelt, behandelt d'Lück als eng Entscheedung, déi den Operateur nach net getraff huet, an net als eppes, wat Dir ofleide kënnt.

Lockert d'Gateway-Verifikatioun net

De Server bewisen och dem Client seng Identitéit, an déi Hallschent vum Austausch ass keng Dekoratioun. D'Zertifikatsverifikatioun ausschalten, fir datt en haartnäckegen Profil sech verbënnt, akzeptéiert all Endpunkt, dee sech mellt, och een, deen kee geduecht hat z'erreechen. Et verstoppt och eng richteg Ongereimtheet, amplaz se ze léisen, wat de Feeler op e méi spéiden an onkloeren Ament schitt. E Profil, deen d'Préifung ausgeschalt braucht, weist op eppes, wat en net ka verificéieren.

D'Ongereimtheet ass meeschtens en Numm, well en Zertifikat, dat fir een Hostnumm ausgestallt gouf, feelt, wann de Profil eng Adress wiellt. Wiellt den Numm amplaz d'Préifung auszeschalten. Eng privat Zertifizéierungsinstanz feelt, wann d'Apparat ni d'Wuerzel krut, an d'Léisung ass, déi Wuerzel iwwer den ugehate Wee ze verdeelen. Verwalt Ëmfelder erwaarden, datt den Operateur d'Identitéit an den Trauensanker liwwert an de Profil op béides verweist. Wann d'Feld feelt, frot nom Artefakt amplaz op d'Verifikatioun ze verzichten.

Passt de Profil un, a bewisen duerno all Etapp

Soubal den Dreier bekannt ass, follegt dem dokumentéierte Prozess vun deem Client a gitt just d'Felder an, déi en verlaangt. Zousätzlech Felder, déi ausgefëllt ginn, well se do sinn, sinn nach ëmmer falsch Wäerter, an se feele méi spéit wéi déi obligatoresch. Späichert de Profil onverännert no der éischter erfollegräicher Verbindung, sou datt eng spéider Ännerung mat eppes verglach ka ginn, wat bekannt ass ze funktionéieren.

Verifizéiert duerno an Etappen: den Tunnel steet, de Benotzer authentifizéiert sech, déi zougewise Adress an d'Routen erschéngen, an ee erlaabte Service äntwert. All Etapp hannerléisst seng eege Logzeil um Server, an se an der Reiefolleg ze liesen mécht aus enger vagë Beschwéier en konkrete Befund. Wann d'Plattform déi Konstellatioun, déi den Operateur beschreift, net méi ënnerstëtzt, ass dat e Migratiounsgespréich an net e Grond, all al Optioun um Apparat anzeschalten. Dreier, Method a Profil sinn dräi getrennt Äntwerten, an eng Verbindung, déi funktionéiert, huet all dräi am Aklang.