MSCHAPv2 нь VPN протокол биш: эхлээд туннелийн талаар асуу
Нэвтрүүлэх үг ба MSCHAPv2 гэдэг үг хамтдаа холболт болохгүй. Солилцоог аль туннель зөөж байгааг асууж, дараа нь клиентийн профайлыг түүнд тохируулна.
Хэрэглэгчийн нэр, нууц үг нь тээвэрлэгчийн дотор аялдаг бөгөөд MSCHAPv2 нь аялж буй аргыг л нэрлэдэг. Клиентийн профайлыг сонгохын өмнө аль туннель үүнийг зөөж байгааг асуу, учир нь ижил дансны мөр кодын нэг мөр ч хуваалцдаггүй зохион байгуулалтад ч гарч ирдэг. Танд өгсөн профайл бүр хоёр шийдвэрийг кодлож, заавар хуудас зөвхөн нэгийг нь хэвлэсэн ч хэвээр. Доорх дараалал нь оператор таамаглахгүйгээр хариулж чадах, та пакет барихгүйгээр шалгаж чадах зүйл юм.
Баталгаажуулалт туннелийн дотор явдаг
VPN нэг мэт санагдах хоёр шийдвэр гаргадаг: талууд хамгаалагдсан сувгийг хэрхэн барьдаг, хүн түүний дотор өөрийн үнэмлэхийг хэрхэн нотолдог. Хоёр дахь нь хүн бичдэг учраас заавар хуудсанд хэвлэгддэг. Эхнийх нь аль нэг клиент огт ажиллах эсэхийг шийддэг бөгөөд хүмүүсийн алгасдаг нь яг тэр юм. Оператороос эхлээд тээвэрлэгчийг, дараа нь аргыг нэрлэхийг хүс, яг тэр дарааллаар. Хоёр холболт ижил дансны нэр, ижил нууц үг шаардаж болох ч нэвтрэх талбарын доор ямар ч хэрэгжүүлэлт хуваалцдаггүй.
Тиймээс хамт ажиллагчийн ажиллаж буй утаснаас хуулсан тохиргоо нь сервер хоёр итгэмжлэлийг хоёуланг нь хүлээн авсан ч таны утсанд бүтэлгүйтэж болно. Ялгаа нь хэзээ ч итгэмжлэл байгаагүй; түүнийг ороосон профайл байв. хоёр тал зөв боловч юу ч холбогдохгүй байна ихэвчлэн яг энэ төөрөгдөл бөгөөд тээвэрлэгчийг нэрлэсэн даруйд тодорхой болдог.
Ижил арга гарч ирдэг гурван газар
PPP-д баталгаажуулалтын шат нь холбоос үүсэх хүртэл хүлээдэг бөгөөд RFC 2759 MS-CHAPv2-ыг тэр шат гэж тодорхойлдог тул энэ арга L2TP болон хуучин PPTP байршуулалтад гарч ирдэг. Туннель эхэлж дуусч, PPP хэлэлцээр түүний дотор явагддаг тул бүтэлгүй PPP үе шат серверийн логт туннелийг тогтоогдсон мэт үлдээж болно. Итгэмжлэлүүд татгалзсан гэж дүгнэхээс өмнө тэр хоёр үе шатыг тус тусад нь унш. Иймээс L2TP-д тохируулсан клиент бүрэн зөв байж болох бөгөөд зөвхөн IKEv2 ярьдаг гарцад буруу клиент хэвээр байж болно.
IKEv2 оронд нь EAP-MSCHAPv2-ыг түлхүүрийн солилцооны дотор тавьдаг тул ижил итгэмжлэл өөр мөчид бүтэлгүйтэж, сессийн алдаа биш баталгаажуулалтын алдаа болж илэрдэг. Android платформын IKEv2 профайл нь өдөр тутмын жишээ бөгөөд PPP сонголтын оронд серверийн гэрчилгээ эсвэл танигч шаарддаг. Дансны нэр хоёр зохион байгуулалтад ижил тул аль нь таных болохыг хэлж чадахгүй. Үүнийг зөвхөн операторын дэмждэг протоколуудын жагсаалт шийднэ.
TLS-д суурилсан VPN гурав дахь зохион байгуулалтыг нэмдэг, өөрийн хэрэглэгчийн нэр, нууц үгийн талбартай бөгөөд солилцооны хаана ч MS-CHAPv2 байхгүй. Тиймээс нууц үгийн хайрцаг харагдах нь түүний ард байгаа протоколын нотолгоо биш, учир нь маягт танил харагдахаар бүтээгдсэн. Протоколыг клиентийн цонхны хэлбэрээс биш, серверийн баримт бичгээс батал.
Танд үнэхээр хэрэгтэй хариултууд
Хүсэлтийг жагсаалт хэлбэрээр илгээ, учир нь жагсаалтад хагас хариулах хэцүү. Туннелийн протокол, түүний доторх арга, оператор таны платформ дээр дэмждэг клиентийг асуу. Дараа нь гарцын үнэмлэх, итгэлцлийн тохиргоо, дансны хэлбэр, холболт боссны дараа юунд хүрэх ёстойг асуу.
Эхний гурав нь ажиллах профайл огт авах эсэхийг шийднэ. Сүүлийн гурав нь тэр профайл ажилд хэрэгтэй зүйлийг хийдэг эсэхийг шийднэ. Хариултыг тасалбарт хавсаргаж хадгал, учир нь дараагийн хүн мөн адил зургаан асуулт тавина. Хариулт байхгүй газарт тэр цоорхойг оператор хараахан гаргаагүй шийдвэр гэж үз, өөрөө таамаглаж болох зүйл гэж биш.
| What you ask for | If it is wrong, the symptom shows up as |
|---|---|
| Tunnel protocol | No profile can be built at all |
| Method inside the tunnel | Credentials typed, then rejected |
| Gateway identity | The client refuses the server certificate |
| Account format | Authentication fails only for some staff |
| Routes and DNS | The tunnel is up and nothing resolves |
Гарцын баталгаажуулалтыг сулруулж болохгүй
Сервер нь клиентэд өөрийн үнэмлэхийг бас нотолдог бөгөөд солилцооны тэр хагас нь чимэглэл биш. Зөрүүд профайл холбогдохын тулд гэрчилгээний шалгалтыг унтраах нь хариулж буй аливаа төгсгөлийн цэгийг хүлээн авна, хэн ч хүрэхийг зорьж байгаагүй цэгийг ч оролцуулан. Энэ нь бодит зөрүүг шийдэхийн оронд нуудаг бөгөөд энэ нь алдааг илүү хожуу, бага ил тод мөчид түлхдэг. Шалгалтыг унтраасан байх шаардлагатай профайл нь өөрөө баталгаажуулж чадахгүй зүйл рүү заасан профайл юм.
Зөрүү нь ихэвчлэн нэр байдаг, учир нь нэг хост нэрэнд олгосон гэрчилгээ профайл хаяг сонгоход бүтэлгүйтдэг. Шалгалтыг унтраахын оронд нэрийг сонго. Хувийн гэрчилгээний байгууллага төхөөрөмжид үндсийг хэзээ ч өгөөгүй үед бүтэлгүйтдэг бөгөөд засвар нь тэр үндсийг зөвшөөрөгдсөн замаар тараах юм. Удирдлагатай орчин нь оператор үнэмлэх, итгэлцлийн зангууг өгч, профайл хоёуланд нь холбоос хийнэ гэж хүлээдэг. Талбар байхгүй үед баталгаажуулалтаас татгалзахын оронд артефактыг асуу.
Профайлыг тохируулж, дараа нь үе шат бүрийг нотол
Тээвэрлэгч тодорхой болсны дараа тэр клиентийн баримтжуулсан үйл явцыг дагаж, зөвхөн шаардсан талбаруудыг бөглө. Байгаа учраас бөглөсөн нэмэлт талбарууд ч буруу утга хэвээр бөгөөд заавал шаардлагатайгаас хожуу бүтэлгүйтдэг. Эхний амжилттай холболтын дараа профайлыг өөрчлөхгүй хадгал, ингэснээр дараагийн засварыг ажилладаг нь мэдэгдэж буй зүйлтэй харьцуулж болно.
Дараа нь үе шаттайгаар шалга: туннель тогтоно, хэрэглэгч баталгаажна, олгосон хаяг болон маршрутууд гарч ирнэ, нэг зөвшөөрөгдсөн үйлчилгээ хариулна. Үе шат бүр сервер дээр өөрийн лог мөрийг үлдээдэг бөгөөд тэдгээрийг дараалан унших нь бүрхэг гомдлыг тодорхой олдлого болгоно. Хэрэв платформ операторын тодорхойлсон зохион байгуулалтыг цаашид дэмжихгүй бол энэ нь шилжилтийн тухай яриа бөгөөд төхөөрөмж дээр бүх хуучин сонголтыг асаах шалтгаан биш. Тээвэрлэгч, арга, профайл нь гурван тусдаа хариулт бөгөөд ажиллаж буй холболтод гурвуулаа нийцдэг.