LCP wedi’i derfynu gan y cymar ar PPTP: galluogi MPPE yn gyntaf

Mae’r cyswllt yn dilysu, mae’r cleient yn adrodd ei fod wedi cysylltu, ac un eiliad yn ddiweddarach mae’r log yn cau gyda LCP wedi’i derfynu gan y cymar. Daw’r llinell hon o drafodaeth PPP y tu mewn i dwnnel GRE, felly roedd y cludiant eisoes yn gweithio ac roedd y ddau ben yn anghytuno am opsiynau’r cyswllt. Nid yw cyfrineiriau a chyfeiriadau’r gweinydd yn euog yma fel arfer. Polisi amgryptio yw’r peth cyntaf i’w gymharu, ac ar Linux y man cyntaf i edrych yw ffeil cymar pppd.

Beth mae methiant LCP yn ei ddweud am gam PPP

Mae PPTP yn lapio PPP y tu mewn i GRE: mae’r cysylltiad rheoli TCP 1723 yn gosod yr alwad, mae GRE yn cario’r llwyth, ac yna mae LCP yn trafod opsiynau fel y protocol dilysu, cywasgu a MPPE. Mae’r cymar yn terfynu LCP pan fo opsiwn gofynnol yn annerbyniol ar ei ochr. Mae log lle mae’r gyfnewidfa CHAP neu MSCHAPv2 yn cwblhau ac mae LCP yn gorffen yn syth wedyn yn wrthodiad polisi, nid yn fethiant cyrhaeddedd. Os nad yw’r twnnel yn cyrraedd trafodaeth o gwbl, archwiliwch pppd a’i blygin cyn darllen llinell LCP.

Mae dau rag-amod yn hawdd i’w colli. Rhaid i’r deuaidd pppd fodoli, a rhaid gosod y plygin PPTP a enwir yn ffeil y cymar; mae pecyn ar goll yn gorffen yr alwad cyn trafod unrhyw opsiwn.

Galluogwch MPPE ar yr ochr sy’n ei ofyn

Y gwir benderfyniad yw pa ben sy’n berchen ar y polisi amgryptio. Gall cleient gynnig MPPE, ei ofyn neu ei wrthod, ac mae’r gweinydd yn gwneud yr un dewis. Pan fo’r ddau yn ei ofyn mae’r cyswllt yn codi; pan fo un yn gofyn a’r llall yn gwrthod, mae LCP yn gorffen.

pty "pptp vpn.example.net --nolaunchpppd"
name alice
remotename PPTP
require-mppe-128

Llwythwch y modiwl gyda modprobe ppp_mppe cyn deialu, oherwydd mae require-mppe-128 yn methu hebddo. Ar Windows y rheolaeth gyfatebol yw tab diogelwch y cofnod VPN, lle mae’n rhaid dweud wrth y cleient i ofyn am amgryptio yn lle derbyn unrhyw beth a gynigir gan y gweinydd. Os yw’r gweinydd yn dal i derfynu LCP, gofynnwch i’w weithredwr a yw MPPE yn orfodol, yn ddewisol neu wedi’i analluogi, gan na all cleient drafod amddiffyniad y mae’r gweinydd yn ei wrthod. Mae diffodd amgryptio er mwyn i’r neges ddiflannu yn gamgymeriad cyfeiriad: mae’n dileu’r unig amddiffyniad sydd gan y protocol hwn.

Cadwch y ffeil cymar sy’n gweithio cyn ei golygu. Mae llinell require-mppe wedi’i theipio’n anghywir yn atgynhyrchu’r un methiant LCP cyffredinol ac yn eich anfon yn ôl i’r dechrau.

Darllenwch log pppd ei hun yn lle’r applet

Mae applets bwrdd gwaith yn dangos yr datgysylltiad ac yn cuddio’r rheswm, felly darllenwch adroddiad y daemon am un ymgais. Ar systemau systemd mae’r neges yn mynd i’r journal; mae gosodiadau hŷn yn ysgrifennu i’r ffeiliau log traddodiadol.

journalctl --since "10 min ago" | grep -i -E "pppd|lcp|mppe"
tail -n 50 /var/log/syslog

Chwiliwch mewn ffenestr o amgylch un alwad yn hytrach na diwrnod cyfan o ailddefnyddio, fel bod yr opsiwn a wrthodwyd yn hawdd i’w weld. Mae pppd fel arfer yn enwi’r opsiwn ac ateb y cymar, sy’n dweud wrthych a ddylech newid eich cynnig eich hun neu ofyn i ochr y gweinydd lacio ei gofyniad. Cadwch ymdrechion â stampiau amser, oherwydd dim ond pan wyddoch pa linellau sy’n perthyn i ba alwad y mae cymharu dau log yn ddefnyddiol. Pan nad oes unrhyw gyfnewidfa LCP yn ymddangos o gwbl, mae’r nam yn gynharach yn y gadwyn ac nid MPPE yw’r sawl a ddrwgdybir.

Cadwch y trwsiad trwy ailddefnyddio: enwau bachau a MTU

Unwaith y bydd y cyswllt yn aros i fyny, mae dau fanylyn yn penderfynu a fydd yn goroesi ailddefnyddio. Mae bachau yn byw yn /etc/ppp/ip-up.d a /etc/network/if-up.d, ac mae run-parts yn prosesu’r ddau gyfeiriadur, ac mae ei hidlydd enw ffeil yn gwrthod unrhyw beth sy’n cynnwys dot. Felly mae sgript o’r enw set-pptp.sh yn cael ei hepgor, tra bod set-pptp yn cael ei weithredu. Gwiriwch yr enw cyn dadfygio cynnwys y sgript, yna gosodwch yr MTU llai o fewn y bach hwnnw fel bod pob rhyngwyneb ppp newydd yn ei etifeddu heb orchymyn â llaw.

run-parts --test /etc/ppp/ip-up.d
ip link set dev ppp0 mtu 1200

I ddod â sesiwn i ben yn fwriadol, targedwch y pid a gofnodwyd gan pppd yn lle paru enwau prosesau, oherwydd mae lladd popeth sy’n cynnwys ppp hefyd yn rhwygo cysylltiadau di-gysylltiad. Mae PPTP yn hen ac mae MS-CHAPv2 yn wan, felly triniwch y gwiriadau hyn fel cynnal a chadw ar gyfer cyswllt sy’n rhaid iddo barhau i weithio, nid fel rheswm i osod PPTP yn unrhyw le newydd.