MSCHAPv2 VPN protokoli emas: avval tunnel haqida so‘rang

Foydalanuvchi nomlari va parollar tashuvchi ichida sayohat qiladi, MSCHAPv2 esa faqat sayohat qilayotgan usulni nomlaydi. Mijoz profilini tanlashdan oldin uni qaysi tunnel olib yurishini so‘rang, chunki xuddi shu hisob qatori kodning bir satrini ham baham ko‘rmaydigan tuzilmalarda ham uchraydi. Sizga berilgan har bir profil ikkala qarorni ham kodlaydi, hatto yo‘riqnoma varaqasi ulardan faqat birini chop etsa ham. Quyidagi tartib operator taxmin qilmasdan javob bera oladigan va siz paketlarni ushlamasdan tekshira oladigan tartibdir.

Autentifikatsiya tunnel ichida yuradi

VPN bitta ko‘rinadigan ikkita qaror qabul qiladi: tomonlar himoyalangan kanalni qanday quradi va odam uning ichida o‘z shaxsini qanday isbotlaydi. Ikkinchisi odam teradigan narsa bo‘lgani uchun yo‘riqnoma varaqasiga bosiladi. Birinchisi biron mijoz umuman ishlashini belgilaydi va odamlar aynan shuni o‘tkazib yuboradi. Operatordan avval tashuvchini, so‘ngra usulni nomlashni so‘rang, aynan shu tartibda. Ikki ulanish bir xil hisob nomini va bir xil parolni talab qilishi mumkin, ammo kirish maydoni ostida hech qanday amalga oshirishni baham ko‘rmaydi.

Shuning uchun hamkasbning ishlayotgan telefonidan ko‘chirilgan sozlamalar, server ikkala guvohni ham qabul qilganda ham sizning telefoningizda muvaffaqiyatsiz bo‘lishi mumkin. Farq hech qachon guvoh bo‘lmagan; uni o‘rab turgan profil farq edi. ikkala tomon ham haq, lekin hech narsa ulanmaydi odatda aynan shu chalkashlik, va tashuvchi nomlangach darhol oydinlashadi.

Xuddi shu usul ko‘rinadigan uch joy

PPPda autentifikatsiya qadami aloqa mavjud bo‘lguncha kutadi, va RFC 2759 MS-CHAPv2ni shu qadam deb belgilaydi, shuning uchun usul L2TP va eski PPTP o‘rnatishlarida uchraydi. Tunnel birinchi tugaydi va PPP muzokaralari uning ichida bo‘lib o‘tadi, shuning uchun muvaffaqiyatsiz PPP bosqichi server jurnalida tunnelni o‘rnatilgandek qoldirishi mumkin. Guvohlar rad etildi degan xulosaga kelishdan oldin bu ikki bosqichni alohida o‘qing. Shunday qilib, L2TP uchun sozlangan mijoz to‘liq to‘g‘ri bo‘lishi va baribir faqat IKEv2 gapiradigan shlyuz uchun noto‘g‘ri mijoz bo‘lishi mumkin.

IKEv2 esa EAP-MSCHAPv2ni kalit almashinuvi ichiga joylashtiradi, shuning uchun o‘sha guvoh boshqa paytda muvaffaqiyatsiz bo‘lib, sessiya xatosi emas, autentifikatsiya xatosi sifatida namoyon bo‘ladi. Android platformasining IKEv2 profili kundalik misol bo‘lib, u PPP variantlari o‘rniga server sertifikati yoki identifikatorini so‘raydi. Hisob nomi ikkala tuzilmada bir xil, shuning uchun qaysi biri sizda ekanini ayta olmaydi. Buni faqat operatorning qo‘llab-quvvatlanadigan protokollari ro‘yxati hal qiladi.

TLS asosidagi VPN uchinchi tuzilmani qo‘shadi, o‘zining foydalanuvchi nomi va parol maydonlari bilan va almashinuvda hech qayerda MS-CHAPv2siz. Shuning uchun parol maydonini ko‘rish uning orqasidagi protokolga dalil emas, chunki shakl tanish ko‘rinish uchun qurilgan. Protokolni mijoz oynasining shaklidan emas, server hujjatlaridan tasdiqlang.

Sizga haqiqatan kerak bo‘lgan javoblar

So‘rovni ro‘yxat sifatida yuboring, chunki ro‘yxatga yarim javob berish qiyin. Tunnel protokolini, uning ichidagi usulni va operator sizning platformangizda qo‘llab-quvvatlaydigan mijozni so‘rang. So‘ngra shlyuzning shaxsi va ishonch sozlamalarini, hisob formatini va ulanish ko‘tarilgach nima yetib borish kerakligini so‘rang.

Birinchi uchtasi umuman ishlaydigan profil olasizmi-yo‘qmi shuni hal qiladi. Oxirgi uchtasi bu profil ish talab qilgan narsani qiladimi-yo‘qmi shuni hal qiladi. Javobni chiptaga biriktirib saqlang, chunki keyingi odam ham xuddi shu olti savolni beradi. Javob yo‘q joyda bu bo‘shliqni operator hali qabul qilmagan qaror deb biling, siz taxmin qilishingiz mumkin bo‘lgan narsa deb emas.

Shlyuz tekshiruvini bo‘shashtirmang

Server o‘z shaxsini mijozga ham isbotlaydi, va almashinuvning bu yarmi bezak emas. Qaysar profil ulanishi uchun sertifikat tekshiruvini o‘chirish javob beradigan har qanday oxirgi nuqtani qabul qiladi, hech kim yetishni o‘ylamagan nuqtani ham. U shuningdek haqiqiy nomuvofiqlikni hal qilish o‘rniga yashiradi, bu esa nosozlikni kechroq va kamroq ravshan lahzaga suradi. Tekshiruv o‘chirilishini talab qiladigan profil o‘zi tekshira olmaydigan narsaga ishora qiladi.

Nomuvofiqlik odatda nom bo‘ladi, chunki bitta xost nomiga berilgan sertifikat profil manzilni terganida muvaffaqiyatsiz bo‘ladi. Tekshiruvni o‘chirish o‘rniga nomni tering. Xususiy sertifikat organi qurilmaga ildiz hech qachon berilmaganida muvaffaqiyatsiz bo‘ladi, va tuzatish shu ildizni tasdiqlangan yo‘l bilan tarqatishdir. Boshqariladigan muhitlar operator shaxs va ishonch langarini taqdim etishini, profil esa ikkalasiga havola qilishini kutadi. Maydon yo‘q bo‘lsa, tekshiruvdan voz kechish o‘rniga artefaktni so‘rang.

Profilni moslashtiring, so‘ngra har bir bosqichni isbotlang

Tashuvchi ma’lum bo‘lgach, o‘sha mijozning hujjatlashtirilgan jarayoniga amal qiling va faqat u so‘ragan maydonlarni kiriting. Mavjud bo‘lgani uchun to‘ldirilgan qo‘shimcha maydonlar ham noto‘g‘ri qiymatlar bo‘lib qoladi va majburiylardan kechroq muvaffaqiyatsiz bo‘ladi. Birinchi muvaffaqiyatli ulanishdan keyin profilni o‘zgartirmasdan saqlang, shunda keyingi tahrir ishlashi ma’lum bo‘lgan narsa bilan solishtirilishi mumkin.

So‘ngra bosqichma-bosqich tekshiring: tunnel o‘rnatiladi, foydalanuvchi autentifikatsiyadan o‘tadi, ajratilgan manzil va marshrutlar paydo bo‘ladi, va bitta ruxsat etilgan xizmat javob beradi. Har bir bosqich serverda o‘z jurnal satrini qoldiradi, va ularni tartib bilan o‘qish noaniq shikoyatni aniq topilmaga aylantiradi. Agar platforma operator tasvirlagan tuzilmani endi qo‘llab-quvvatlamasa, bu ko‘chirish haqidagi suhbat, qurilmada barcha eski variantlarni yoqish uchun sabab emas. Tashuvchi, usul va profil uchta alohida javob, va ishlaydigan ulanishda uchtasi ham kelishilgan.