MSCHAPv2 nav VPN protokols: vispirms jautājiet par tuneli

Lietotājvārdi un paroles ceļo nesēja iekšienē, un MSCHAPv2 nosauc tikai to metodi, kas ceļo. Pirms klienta profila izvēles jautājiet, kurš tunelis to pārnēsā, jo tā pati konta virkne parādās izkārtojumos, kas nedala nevienu koda rindu. Katrs jums dotais profils kodē abus lēmumus, arī tad, ja instrukciju lapa iespiež tikai vienu no tiem. Zemāk redzamā secība ir tas, uz ko operators var atbildēt bez minējumiem, un tas, ko jūs varat pārbaudīt, neķerot paketes.

Autentifikācija brauc tuneļa iekšienē

VPN pieņem divus lēmumus, kas izskatās kā viens: kā puses būvē aizsargātu kanālu un kā cilvēks tajā pierāda identitāti. Otrais tiek iespiests instrukciju lapā, jo to ievada cilvēks. Pirmais nosaka, vai vispār strādās kāds klients, un tieši to cilvēki izlaiž. Lūdziet operatoru vispirms nosaukt nesēju un tad metodi, tieši šādā secībā. Divi savienojumi var prasīt to pašu konta nosaukumu un to pašu paroli, bet zem pieteikšanās lauka nedalīt nekādu implementāciju.

Tāpēc iestatījumi, kas nokopēti no kolēģa strādājošā tālruņa, var jūsu tālrunī neizdoties, arī tad, ja serveris pieņem abus akreditācijas datus. Atšķirība nekad nebija akreditācijas dati; tā bija profils, kas tos ietver. abas puses ir pareizas un nekas neveido savienojumu parasti ir tieši šis apjukums, un tas noskaidrojas, tiklīdz nesējs ir nosaukts.

Trīs vietas, kur parādās tā pati metode

PPP gadījumā autentifikācijas solis gaida, līdz pastāv saite, un RFC 2759 definē MS-CHAPv2 kā šo soli, tāpēc metode parādās L2TP un vecākos PPTP izvietojumos. Tunelis beidzas pirmais, un PPP sarunas notiek tā iekšienē, tāpēc neizdevies PPP posms var atstāt tuneli servera žurnālā izskatāmu kā izveidotu. Lasiet šos divus posmus atsevišķi, pirms secināt, ka akreditācijas dati tika noraidīti. Tāpēc klients, kas konfigurēts L2TP, var būt pilnīgi pareizs un tomēr būt nepareizais klients vārtejai, kas runā tikai IKEv2.

IKEv2 tā vietā ievieto EAP-MSCHAPv2 atslēgu apmaiņā, tāpēc tie paši akreditācijas dati neizdodas citā brīdī un parādās kā autentifikācijas kļūda, nevis sesijas kļūda. Android platformas IKEv2 profils ir ikdienas piemērs, un tas prasa servera sertifikātu vai identifikatoru, nevis PPP opcijas. Konta nosaukums abos izkārtojumos ir identisks, tāpēc tas nevar pateikt, kurš jums ir. To izšķir tikai operatora atbalstīto protokolu saraksts.

Uz TLS balstīts VPN pievieno trešo izkārtojumu, ar saviem lietotājvārda un paroles laukiem un bez MS-CHAPv2 nekur apmaiņā. Tāpēc paroles lauka redzēšana nav pierādījums par protokolu aiz tā, jo forma ir veidota, lai izskatītos pazīstama. Apstipriniet protokolu servera dokumentācijā, nevis klienta loga formā.

Atbildes, kas jums patiešām vajadzīgas

Sūtiet pieprasījumu kā sarakstu, jo uz sarakstu ir grūti atbildēt uz pusi. Lūdziet tuneļa protokolu, metodi tajā un klientu, ko operators atbalsta jūsu platformā. Pēc tam lūdziet vārtejas identitāti un uzticēšanās iestatījumus, konta formātu un to, kam jābūt sasniedzamam pēc savienojuma izveides.

Pirmie trīs nosaka, vai vispār iegūsiet strādājošu profilu. Pēdējie trīs nosaka, vai šis profils dara to, kas nepieciešams darbam. Turiet atbildi pievienotu biļetei, jo nākamais cilvēks uzdos tos pašus sešus jautājumus. Kur atbilde trūkst, uzskatiet to par lēmumu, ko operators vēl nav pieņēmis, nevis par kaut ko, ko varat secināt.

Nevājiniet vārtejas pārbaudi

Serveris pierāda savu identitāti arī klientam, un šī apmaiņas puse nav rotājums. Certifikāta pārbaudes izslēgšana, lai spītīgs profils savienotos, pieņem jebkuru atbildošo galapunktu, tostarp tādu, uz kuru neviens negrasījās nokļūt. Tas arī slēpj īstu neatbilstību, nevis to atrisina, un tas nobīda kļūmi uz vēlāku un mazāk acīmredzamu brīdi. Profils, kuram vajadzīga izslēgta pārbaude, norāda uz kaut ko, ko tas nevar pārbaudīt.

Neatbilstība parasti ir nosaukums, jo sertifikāts, kas izsniegts vienam resursdatora nosaukumam, neizdodas, kad profils izvēlas adresi. Izvēlieties nosaukumu, nevis izslēdziet pārbaudi. Privāta sertifikātu iestāde neizdodas, ja ierīcei nekad nav dota sakne, un labojums ir izplatīt šo sakni apstiprinātajā ceļā. Pārvaldītas vides sagaida, ka operators nodrošinās identitāti un uzticēšanās enkuru, un profils atsauksies uz abiem. Kad lauks trūkst, lūdziet artefaktu, nevis atsakieties no pārbaudes.

Pielāgojiet profilu, tad pierādiet katru posmu

Kad nesējs ir zināms, sekojiet šī klienta dokumentētajai procedūrai un ievadiet tikai tos laukus, ko tas prasa. Papildu lauki, kas aizpildīti tāpēc, ka tie pastāv, joprojām ir nepareizas vērtības, un tie neizdodas vēlāk nekā obligātie. Saglabājiet profilu nemainītu pēc pirmā veiksmīgā savienojuma, lai vēlāku labojumu varētu salīdzināt ar kaut ko, par ko zināms, ka tas strādā.

Pēc tam pārbaudiet pa posmiem: tunelis tiek izveidots, lietotājs autentificējas, parādās piešķirtā adrese un maršruti, un atbild viens atļauts pakalpojums. Katrs posms atstāj savu žurnāla rindu serverī, un to lasīšana secībā nekonkrētu sūdzību pārvērš konkrētā atradumā. Ja platforma vairs neatbalsta operatora aprakstīto izkārtojumu, tā ir saruna par migrāciju, nevis iemesls ieslēgt ierīcē visas vecās opcijas. Nesējs, metode un profils ir trīs atsevišķas atbildes, un strādājošā savienojumā visi trīs saskan.