MSCHAPv2 nie je VPN protokol: najprv sa pýtajte na tunel
Heslo a slovo MSCHAPv2 ešte nerobia spojenie. Opýtajte sa, ktorý tunel prenáša výmenu, a potom mu prispôsobte profil klienta.
Používateľské mená a heslá cestujú vnútri nosiča a MSCHAPv2 pomenúva len metódu, ktorá cestuje. Opýtajte sa, ktorý tunel ho prenáša, skôr než vyberiete profil klienta, pretože ten istý reťazec účtu sa objavuje v usporiadaniach, ktoré nezdieľajú ani riadok kódu. Každý profil, ktorý dostanete, kóduje obe rozhodnutia, aj keď návod na papieri tlačí iba jedno z nich. Poradie nižšie je to, na čo operátor vie odpovedať bez hádania a čo vy môžete overiť bez zachytávania paketov.
Autentifikácia ide vnútri tunela
VPN robí dve rozhodnutia, ktoré vyzerajú ako jedno: ako strany postavia chránený kanál a ako v ňom človek preukáže totožnosť. Druhé je vytlačené v návode, pretože ho zadáva človek. Prvé rozhoduje, či vôbec bude fungovať nejaký klient, a práve to ľudia preskakujú. Požiadajte operátora, aby najprv pomenoval nosič a potom metódu, v tomto poradí. Dve spojenia môžu vyžadovať rovnaké meno účtu aj rovnaké heslo, a pritom pod prihlasovacím poľom nezdieľať žiadnu implementáciu.
Preto nastavenia skopírované z kolegovho fungujúceho telefónu môžu na vašom zlyhať, aj keď server prijíma obe poverenia. Rozdielom nikdy nebolo poverenie; bol ním profil, ktorý ho obopína. obe strany majú pravdu a nič sa nepripojí býva práve tento zmätok a zmizne, len čo sa nosič pomenuje.
Tri miesta, kde sa objavuje tá istá metóda
V PPP autentifikačný krok čaká, kým vznikne spojenie, a RFC 2759 definuje MS-CHAPv2 ako tento krok, preto sa metóda objavuje v L2TP a v starších nasadeniach PPTP. Tunel sa ukončí prvý a PPP vyjednávanie prebieha vnútri neho, takže neúspešná fáza PPP môže v logu servera nechať tunel vyzerať ako nadviazaný. Čítajte tie dve fázy oddelene, skôr než usúdite, že poverenia boli odmietnuté. Klient nastavený pre L2TP teda môže byť úplne správny a napriek tomu nesprávny klient pre bránu, ktorá hovorí len IKEv2.
IKEv2 naopak vkladá EAP-MSCHAPv2 do výmeny kľúčov, takže to isté poverenie zlyhá v inom okamihu a prejaví sa ako chyba autentifikácie, nie ako chyba relácie. Profil IKEv2 platformy Android je každodenný príklad a žiada certifikát alebo identifikátor servera namiesto volieb PPP. Meno účtu je v oboch usporiadaniach rovnaké, takže vám nepovie, ktoré máte. Rozhoduje o tom iba operátorov zoznam podporovaných protokolov.
VPN postavená na TLS pridáva tretie usporiadanie, s vlastnými poľami pre meno a heslo a bez MS-CHAPv2 kdekoľvek vo výmene. Vidieť pole hesla preto nie je dôkazom o protokole za ním, lebo formulár je postavený tak, aby vyzeral známe. Protokol potvrďte z dokumentácie servera, nie z tvaru okna klienta.
Odpovede, ktoré skutočne potrebujete
Pošlite žiadosť ako zoznam, pretože na zoznam sa ťažko odpovedá napoly. Žiadajte protokol tunela, metódu v ňom a klienta, ktorého operátor podporuje na vašej platforme. Potom žiadajte identitu a nastavenia dôvery brány, formát účtu a to, čo má byť dostupné po zdvihnutí spojenia.
Prvé tri rozhodujú, či vôbec získate funkčný profil. Posledné tri rozhodujú, či ten profil robí to, čo práca potrebuje. Držte odpoveď priloženú k tiketu, pretože ďalší človek sa opýta na tých istých šesť otázok. Kde odpoveď chýba, berte medzeru ako rozhodnutie, ktoré operátor ešte neurobil, nie ako niečo, čo môžete odvodiť.
| What you ask for | If it is wrong, the symptom shows up as |
|---|---|
| Tunnel protocol | No profile can be built at all |
| Method inside the tunnel | Credentials typed, then rejected |
| Gateway identity | The client refuses the server certificate |
| Account format | Authentication fails only for some staff |
| Routes and DNS | The tunnel is up and nothing resolves |
Neuvoľňujte overovanie brány
Server preukazuje svoju totožnosť aj klientovi a tá polovica výmeny nie je dekorácia. Vypnutie overovania certifikátu, aby sa tvrdošijný profil pripojil, prijíma akýkoľvek koncový bod, ktorý odpovie, vrátane toho, kam sa nikto nechcel dostať. Tiež skrýva skutočný nesúlad namiesto toho, aby ho vyriešilo, čo posúva zlyhanie do neskoršieho a menej zrejmého okamihu. Profil, ktorý potrebuje overovanie vypnuté, ukazuje na niečo, čo nevie overiť.
Nesúlad býva v mene, pretože certifikát vydaný pre jedno meno hostiteľa zlyhá, keď profil volá adresu. Volajte meno namiesto vypínania overovania. Súkromná certifikačná autorita zlyhá, keď zariadenie nikdy nedostalo koreň, a opravou je ten koreň rozšíriť schválenou cestou. Spravované prostredia očakávajú, že operátor dodá identitu a kotvu dôvery a profil na obe odkáže. Keď pole chýba, žiadajte artefakt, namiesto toho aby ste z overovania ustúpili.
Prispôsobte profil a potom dokážte každú fázu
Keď je nosič známy, postupujte podľa dokumentovaného procesu toho klienta a zadávajte len polia, ktoré si vyžiada. Polia navyše vyplnené preto, že existujú, sú stále nesprávne hodnoty a zlyhajú neskôr ako povinné. Po prvom úspešnom pripojení profil uložte nezmenený, aby sa neskoršia úprava dala porovnať s niečím, o čom je známe, že funguje.
Potom overujte po fázach: tunel sa nadviaže, používateľ sa autentifikuje, objaví sa pridelená adresa a trasy a jedna povolená služba odpovie. Každá fáza necháva na serveri svoj riadok logu a čítanie v poradí mení vágne sťažnosti na konkrétne zistenie. Ak platforma už nepodporuje usporiadanie, ktoré operátor opisuje, je to rozhovor o migrácii a nie dôvod zapnúť v zariadení všetky staré voľby. Nosič, metóda a profil sú tri oddelené odpovede a spojenie, ktoré funguje, má všetky tri v zhode.