Nid yw methiannau ysgrifennu GRE ar pptpd yn broblem cyfrinair

Methiant ysgrifennu GRE yn y cofnod, a'r reddf gyntaf yw ailosod cyfrinair y defnyddiwr. Mae'r reddf honno bron bob amser yn anghywir. Mae'r negeseuon hyn yn disgrifio llwybr y data, nid y gwiriad manylion aelodaeth: efallai fod y cleient wedi dilysu'n llwyddiannus ac yna wedi aros yn y cam lle mae'n cofrestru ar y rhwydwaith. Mae dau neges wahanol yn tynnu sylw at ddau fethiant gwahanol, ac ni ddatrysir y naill na'r llall gyda chyfrinair newydd.

Dau neges, dau fethiant gwahanol

Mae methiant darllen yn golygu nad yw'r pecynnau GRE byth yn cyrraedd y daemon, neu eu bod yn cael eu gollwng ar y ffordd i mewn. Gall y cysylltiad rheoli edrych yn hollol iach tra nad oes unrhyw beth yn croesi llwybr y data. Dilysu yw'r un peth a oedd yn amlwg yn gweithio.

Mae methiant ysgrifennu fel arfer yn golygu bod y sesiwn wedi negodi rhywbeth na all y cnewyllyn neu'r cleient ei ddefnyddio. Cwblhaodd y sianel reoli, ac nid yw'r opsiynau a gytunwyd yn ystod y cyfnewid hwnnw'n cyfateb i'r hyn y gall y penawdau ei wneud mewn gwirionedd. Anghytundeb ffurfweddu yw hwn, nid digwyddiad dilysu.

Darllenwch pa un o'r ddau sy'n ymddangos cyn newid unrhyw beth. Maen nhw'n eich anfon i haenau gwahanol, a thrin y ddau fel un symptom yw'r rheswm pam mae'r un gweinydd yn cael ei glytio ddwywaith am resymau annibynnol. Y llinell gofnod yw'r unig ddiagnostig am ddim a gewch.

Nid yw protocol 47 yn borth 47

Mae PPTP yn defnyddio TCP 1723 i sefydlu'r alwad a GRE i gario'r llwyth. Protocol IP 47 yw GRE, nid rhif porth, felly nid yw rheol tânfur sy'n agor porth 47 yn caniatáu unrhyw beth defnyddiol.

Mae angen nodwedd passthrough PPTP neu ganiatâd GRE penodol ar y llwybrydd yn y llwybr. Heb hynny, mae'r handshake TCP yn cwblhau ac nid yw'r twnnel byth yn cario pecyn, sy'n cynhyrchu'n union y methiant darllen uchod. Rheolau porth 47 mewn tânfur yw'r prynhawn mwyaf gwastraffus yn y protocol hwn.

Gwyliwch y ddau gyfeiriad ar unwaith ar y gweinydd yn lle dyfalu pa ochr sy'n gollwng traffig: tcpdump -ni any port 1723 or proto gre.

Os yw 1723 yn dangos sefydlu'r alwad tra mae GRE yn ddistaw, mae'r bloc uwchben y gwesteiwr. Os yw GRE yn cyrraedd ac mae'r daemon yn dal i fethu, mae'r broblem yn lleol a'r opsiynau yw'r lle nesaf i edrych.

Caniatáu GRE lle mae'r gwesteiwr mewn gwirionedd yn anfon ymlaen

Mae mewnosod rheol forward ar gyfer GRE yn brawf rhesymol ar westeiwr sy'n anfon traffig twnnel ymlaen, ac nid yw'n bolisi. Mae rheol brawf sy'n derbyn popeth o un protocol yn ddiagnostig, nid yn ddyluniad. Gadewch iddi fod yn ddigon hir i ddysgu rhywbeth, yna disodli gyda rheol gyfyngedig.

Ychwanegwch reol input ar gyfer pecynnau sy'n cael eu hanfon at y gweinydd ei hun, oherwydd nid yw'r gadwyn forward yn eu gweld. Yna edrychwch ar gwrthyddion y rheol cyn ac ar ôl ymgais i gysylltu, sy'n dweud wrthych a yw'r pecynnau'n cyrraedd o gwbl.

Cadwch y rheol yn barhaus drwy wasanaeth tânfur y dosbarthiad yn lle ei hail-redeg ar ôl pob ailgychwyn. Ar westeiwr nftables, cydweddwch ip protocol gre yn y gadwyn input a'r gadwyn forward.

Cadarnhewch fod y modiwl ppp_generic wedi'i lwytho hefyd, a gwirio a yw olrhain cysylltiadau'n gollwng y cyfeiriad dychwelyd. Mae'r ddau yn cynhyrchu methiannau sy'n edrych fel problem tânfur ac nad ydynt. Mae modiwl cnewyllyn ar goll yn edrych yn union fel protocol wedi'i rwystro nes i chi wirio.

Cyfatebwch yr opsiynau i'r cleient sydd gennych mewn gwirionedd

Mae atgyweiriad yr adroddiad arall yn /etc/ppp/pptpd-options, lle mae'r rysáit yn gwrthod PAP, CHAP a MSCHAP, yn sylwebu ar y llinellau require cyfatebol ac yn cadw MPPE â chyflwr. Ysgrifennwyd y rysáit honno ar gyfer un cymysgedd cleientiaid, ac mae ei chopïo'n ddall yn torri'r achos cyffredin. Darllenwch y llinellau gwrthod fel datganiad am ba gleientiaid oedd gan yr awdur, nid fel argymhelliad.

Mae cleient Windows fel arfer angen MS-CHAPv2 gyda MPPE-128. Cadwch y gofynion hynny a dileu dim ond yr opsiynau na all y cleient eu negodi mewn gwirionedd.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Mae analluogi amgryptio er mwyn i gysylltiad lwyddo yn ddiraddiad, nid yn atgyweiriad. Profwch amrywiolyn o'r fath ar gyswllt labordy, yna adferwch amgryptio cyn i'r gwasanaeth wynebu cleientiaid go iawn. Mae'r cysylltiad sy'n gweithio'n anniogel yn waeth na'r un sy'n methu'n onest.

Darllenwch rif gwall y cleient

Mae cod rhifol y cleient yn culhau'r cam yn gyflymach na chofnod y gweinydd. Darllenwch ef cyn darllen unrhyw beth arall. Mae 691 yn golygu bod y manylion aelodaeth wedi'u gwrthod, mae 721 yn golygu na atebodd y gweinydd erioed, ac mae 619 yn golygu bod y cysylltiad wedi torri. Mae dwy funud gyda'r rhif yn arbed awr gyda'r ffurfweddiad.

Cymharwch y cod hwnnw â chofnod y gweinydd cyn golygu unrhyw beth, ac ailbrofwch gyda'r un cleient ar ôl pob newid. Fel arall mae ail fethiant yn cuddio y tu ôl i'r cyntaf ac mae'r atgyweiriad yn edrych yn aneffeithiol.

Pan fydd mewngofnodi'n llwyddo ac nad oes traffig yn symud, GRE yw'r un a amheuir o hyd. Dyna'r foment i ddychwelyd at y cipiad yn hytrach na'r storfa manylion aelodaeth.