MSCHAPv2 không phải giao thức VPN: hãy hỏi về đường hầm trước

Tên người dùng và mật khẩu di chuyển bên trong một vật mang, và MSCHAPv2 chỉ gọi tên phương thức đang di chuyển. Hãy hỏi đường hầm nào mang nó trước khi chọn hồ sơ máy khách, vì cùng một chuỗi tài khoản xuất hiện trong những bố cục không chia sẻ nổi một dòng mã. Mỗi hồ sơ được giao cho bạn mã hóa cả hai quyết định, kể cả khi tờ hướng dẫn chỉ in một trong hai. Thứ tự bên dưới là điều người vận hành có thể trả lời mà không đoán và là điều bạn có thể kiểm tra mà không cần bắt gói tin.

Xác thực đi bên trong một đường hầm

Một VPN đưa ra hai quyết định trông như một: các bên dựng kênh được bảo vệ thế nào, và một người chứng minh danh tính bên trong đó ra sao. Quyết định thứ hai được in trên tờ hướng dẫn vì con người gõ nó. Quyết định thứ nhất xác định liệu có máy khách nào chạy được hay không, và đó chính là điều người ta bỏ qua. Hãy yêu cầu người vận hành nêu vật mang trước rồi mới nêu phương thức, đúng thứ tự đó. Hai kết nối có thể đòi cùng tên tài khoản và cùng mật khẩu mà không chia sẻ bất kỳ phần triển khai nào bên dưới ô đăng nhập.

Đó là lý do các thiết lập sao chép từ chiếc điện thoại đang chạy của đồng nghiệp có thể thất bại trên máy bạn, kể cả khi máy chủ chấp nhận cả hai thông tin xác thực. Thông tin xác thực chưa bao giờ là khác biệt; hồ sơ bao quanh nó mới là khác biệt. cả hai bên đều đúng và không gì kết nối được thường chính là sự nhầm lẫn này, và nó sáng tỏ ngay khi vật mang được gọi tên.

Ba nơi cùng một phương thức xuất hiện

Trong PPP, bước xác thực chờ cho đến khi có một liên kết, và RFC 2759 định nghĩa MS-CHAPv2 là bước đó, vì thế phương thức này xuất hiện trong L2TP và trong các triển khai PPTP cũ hơn. Đường hầm kết thúc trước và việc thương lượng PPP diễn ra bên trong nó, nên một giai đoạn PPP thất bại có thể để đường hầm trông như đã dựng trong nhật ký máy chủ. Hãy đọc riêng hai giai đoạn đó trước khi kết luận rằng thông tin xác thực bị từ chối. Vì vậy một máy khách cấu hình cho L2TP có thể hoàn toàn đúng mà vẫn là máy khách sai cho một cổng chỉ nói IKEv2.

IKEv2 thay vào đó đặt EAP-MSCHAPv2 bên trong trao đổi khóa, nên cùng thông tin xác thực thất bại ở thời điểm khác và hiện ra như lỗi xác thực chứ không phải lỗi phiên. Hồ sơ IKEv2 của nền tảng Android là ví dụ hằng ngày, và nó yêu cầu chứng chỉ hoặc định danh máy chủ thay vì tùy chọn PPP. Tên tài khoản giống hệt nhau trong cả hai bố cục, nên nó không thể cho bạn biết bạn có loại nào. Chỉ danh sách giao thức được người vận hành hỗ trợ mới quyết định điều đó.

Một VPN dựa trên TLS thêm bố cục thứ ba, với các trường tên người dùng và mật khẩu riêng và không có MS-CHAPv2 ở bất kỳ đâu trong trao đổi. Vì thế thấy một ô mật khẩu không phải bằng chứng về giao thức phía sau, bởi biểu mẫu được dựng để trông quen thuộc. Hãy xác nhận giao thức từ tài liệu máy chủ, không phải từ hình dáng cửa sổ máy khách.

Những câu trả lời bạn thực sự cần

Hãy gửi yêu cầu dưới dạng danh sách, vì một danh sách khó trả lời nửa vời. Hỏi giao thức của đường hầm, phương thức bên trong nó, và máy khách mà người vận hành hỗ trợ trên nền tảng của bạn. Sau đó hỏi danh tính và thiết lập tin cậy của cổng, định dạng tài khoản, và điều gì phải tiếp cận được sau khi kết nối lên.

Ba điều đầu quyết định bạn có được một hồ sơ chạy được hay không. Ba điều cuối quyết định hồ sơ đó có làm điều công việc cần hay không. Hãy giữ câu trả lời đính kèm phiếu, vì người kế tiếp sẽ hỏi đúng sáu câu đó. Ở chỗ thiếu câu trả lời, hãy coi khoảng trống là quyết định mà người vận hành chưa đưa ra, không phải điều bạn có thể tự suy ra.

Đừng nới lỏng việc xác minh cổng

Máy chủ cũng chứng minh danh tính của nó với máy khách, và nửa trao đổi đó không phải trang trí. Tắt xác minh chứng chỉ để một hồ sơ cứng đầu kết nối được là chấp nhận mọi điểm cuối trả lời, kể cả điểm không ai định chạm tới. Nó cũng che giấu một sự không khớp thật thay vì giải quyết, điều này đẩy sự cố sang một thời điểm muộn hơn và khó thấy hơn. Một hồ sơ cần tắt kiểm tra là hồ sơ trỏ tới thứ nó không thể xác minh.

Sự không khớp thường là một cái tên, vì chứng chỉ cấp cho một tên máy sẽ thất bại khi hồ sơ gọi một địa chỉ. Hãy gọi bằng tên thay vì tắt kiểm tra. Một tổ chức cấp chứng chỉ riêng thất bại khi thiết bị chưa bao giờ nhận được chứng chỉ gốc, và cách sửa là phân phối gốc đó theo đường đã được phê duyệt. Môi trường được quản lý kỳ vọng người vận hành cung cấp danh tính và neo tin cậy, và hồ sơ tham chiếu cả hai. Khi thiếu trường đó, hãy yêu cầu tạo tác thay vì từ bỏ việc xác minh.

Khớp hồ sơ, rồi chứng minh từng giai đoạn

Khi đã biết vật mang, hãy theo quy trình có tài liệu của máy khách đó và chỉ nhập những trường nó yêu cầu. Những trường thêm vào vì chúng tồn tại vẫn là giá trị sai, và chúng thất bại muộn hơn các trường bắt buộc. Hãy lưu hồ sơ không đổi sau kết nối thành công đầu tiên, để một chỉnh sửa sau này có thể so với thứ đã biết là chạy được.

Sau đó xác minh theo giai đoạn: đường hầm được dựng, người dùng được xác thực, địa chỉ và tuyến được cấp hiện ra, và một dịch vụ được phép trả lời. Mỗi giai đoạn để lại dòng nhật ký riêng trên máy chủ, và đọc chúng theo thứ tự biến một phàn nàn mơ hồ thành một phát hiện cụ thể. Nếu nền tảng không còn hỗ trợ bố cục mà người vận hành mô tả, đó là cuộc trò chuyện về di trú chứ không phải lý do bật mọi tùy chọn cũ trên thiết bị. Vật mang, phương thức và hồ sơ là ba câu trả lời riêng, và một kết nối chạy được có cả ba ăn khớp.