PPTP tvrdí, že heslo je špatné: která oprava přijde první?

Profily PPTP, které tvrdí, že je vaše heslo špatné, vám říkají něco užšího, než to zní. Tajemství se ověřuje úplně na konci řetězce, který začíná vyjednáváním schopností, takže jakýkoli nesoulad dříve v tomto řetězci se projeví jako selhání ověřování. Resetování hesla, přepsání či nové vytvoření profilu tedy nic nezmění. Nejprve si přečtěte vyjednávání a potom vyberte opravu podle toho, jak velkou část cesty ovládáte.

Proč se tajemství nikdy neověří

Ověřování PPP se vyjednává: server navrhuje metody, klient odpovídá tím, co umí, a obě strany se shodnou na jedné dříve, než se vymění jakékoli přihlašovací údaje. Když server nabídne pouze EAP-PEAP a klientský pppd jej neimplementuje, rozhovor skončí ve fázi návrhu. Server zaznamená selhání ověřování, protože to je fáze, která selhala, ne proto, že by se heslo porovnalo a shledalo nedostatečným.

Proto je chyba stejná u špatného hesla i u nesouladu metody. Rozliší je jen protokol, a to pouze tehdy, když klient smí být podrobný.

Čtěte vyjednávání, ne poslední chybu

Spusťte spojení na popředí s laděním a čtěte řádky ověřování odshora. Protokol uvádí navrženou metodu, přijatou metodu a místo, kde se výměna zastavila. Profil, který nikdy neopustí CHAP nebo MSCHAPv2, zatímco server očekává PEAP, je problém metody, ne přihlašovacích údajů. Poslední řádek toho protokolu je místo, kde to klient vzdal, ne kde je příčina.

sudo pppd call provider debug nodetach

Ten výstup si ponechte. Je to také důkaz, který správce sítě potřebuje před změnou zásad serveru, a rozhoduje otázku, zda heslo vůbec hrálo roli.

Druhá příčina se skrývá v souboru tajemství

Pokud protokol ukazuje, že se metody shodují, podívejte se na soubor, který tajemství ukládá. Nový řádek nebo mezera na konci zapsaná do pole hesla se odesílá jako součást hesla, takže server porovnává jiný řetězec, než jste zadali. V editoru soubor vypadá správně, a právě proto přežívá tolik pokusů.

sudo cat -A /etc/ppp/chap-secrets

Znak dolaru označuje konec každého řádku v tomto výstupu. Pole hesla s čímkoli před touto značkou nebo náhodná mezera mezi poli se musí přepsat s uvozovkami, které nástroj dokumentuje.

Vyberte opravu podle toho, komu server patří

Pokud je server váš, povolení MSCHAPv2 pro tento účet je nejmenší změna a měli byste si zaznamenat, že jste vědomě přijali slabší metodu. Pokud patří někomu jinému, poctivou opravou je klient, který implementuje EAP-PEAP; záplatování pppd z nekompatibility udělá váš problém s údržbou. Pokud je volba protokolu stále otevřená, PPTP je nejslabší částí návrhu a migrace je obvykle levnější než udržovat záplatovaného klienta při životě. Zapište to rozhodnutí vedle profilu, aby je příští člověk znovu neotevíral.

Ať zvolíte kteroukoli cestu, potom to vyzkoušejte z druhého počítače v jiné síti. Uložený profil může dál nabízet starou metodu a opravený server vypadat jako rozbitý. Potom odstraňte nastavení ladění, protože podrobné protokoly PPP mohou na sdílené stanici zachytit víc, než chcete.