PPTP diu que la contrasenya és incorrecta: quina correcció va primer?

Els perfils PPTP que insisteixen que la contrasenya és incorrecta t'estan dient una cosa més estreta del que sembla. El secret es prova al final mateix d'una cadena que comença amb la negociació de capacitats, així que qualsevol desajust anterior en aquesta cadena es manifesta com una fallada d'autenticació. Per tant, restablir la contrasenya, tornar-la a escriure o recrear el perfil no canvia res. Llegeix primer la negociació i després tria la correcció segons quant del camí controles.

Per què el secret no s'arriba a provar mai

L'autenticació PPP es negocia: el servidor proposa mètodes, el client respon amb el que pot fer, i tots dos acorden un abans que s'intercanviï cap credencial. Quan el servidor només ofereix EAP-PEAP i el pppd del client no l'implementa, la conversa acaba a l'etapa de la proposta. El servidor registra una fallada d'autenticació perquè és l'etapa que ha fallat, no perquè s'hagi comparat la contrasenya i s'hagi trobat deficient.

Per això l'error és idèntic per a una contrasenya incorrecta i per a un desajust de mètode. Només el registre els distingeix, i només si es permet que el client sigui detallat.

Llegeix la negociació, no l'últim error

Executa la connexió en primer pla amb la depuració activada i llegeix les línies d'autenticació des de dalt. El registre indica el mètode proposat, el mètode acceptat i on s'ha aturat l'intercanvi. Un perfil que no surt mai de CHAP o MSCHAPv2 mentre el servidor espera PEAP és un problema de mètode, no de credencials. L'última línia d'aquest registre és on el client va desistir, no on hi ha la causa.

sudo pppd call provider debug nodetach

Conserva aquesta sortida. També és l'evidència que el propietari de la xarxa necessita abans de canviar la política del servidor, i resol la qüestió de si la contrasenya hi va arribar a intervenir.

La segona causa s'amaga al fitxer de secrets

Si el registre mostra que els mètodes coincideixen, mira el fitxer que guarda el secret. Un salt de línia o un espai final escrit al camp de la contrasenya s'envien com a part de la contrasenya, així que el servidor compara una cadena diferent de la que has teclejat. El fitxer sembla correcte en un editor, i per això mateix sobreviu a tants intents.

sudo cat -A /etc/ppp/chap-secrets

El signe de dòlar marca el final de cada línia en aquesta sortida. Un camp de contrasenya amb qualsevol cosa abans d'aquesta marca, o un espai solt entre camps, s'ha de reescriure amb les cometes que documenta l'eina.

Tria la correcció segons qui és el propietari del servidor

Si el servidor és teu, permetre MSCHAPv2 per a aquest compte és el canvi més petit, i hauries de deixar constància que has acceptat un mètode més feble a propòsit. Si és d'una altra persona, l'arranjament honest és un client que implementi EAP-PEAP; pedaçar el pppd converteix la incompatibilitat en el teu problema de manteniment. Si l'elecció de protocol encara és oberta, PPTP és la part més feble del disseny i la migració sol ser més barata que mantenir viu un client pedaçat. Escriu aquesta decisió al costat del perfil perquè la persona següent no la torni a obrir.

Prenguis la ruta que prenguis, prova-ho després des d'una segona màquina en una altra xarxa. Un perfil desat pot continuar oferint el mètode antic i fer que un servidor corregit sembli trencat. Després treu el paràmetre de depuració, ja que els registres PPP detallats poden capturar més del que vols en una estació de treball compartida.