PPTP siger, at din adgangskode er forkert: hvilken rettelse kommer først?

PPTP-profiler, der insisterer på, at din adgangskode er forkert, fortæller noget smallere, end det lyder. Hemmeligheden testes allersidst i en kæde, der starter med kapabilitetsforhandling, så enhver uoverensstemmelse tidligere i den kæde dukker op som en godkendelsesfejl. Derfor ændrer det intet at nulstille adgangskoden, skrive den igen eller genskabe profilen. Læs forhandlingen først, og vælg derefter rettelsen efter, hvor meget af vejen du styrer.

Hvorfor hemmeligheden aldrig bliver testet

PPP-godkendelse forhandles: serveren foreslår metoder, klienten svarer med det, den kan, og begge bliver enige om én, før nogen legitimationsoplysning udveksles. Når serveren kun tilbyder EAP-PEAP, og klientens pppd ikke implementerer det, slutter samtalen i forslagsfasen. Serveren registrerer en godkendelsesfejl, fordi det er fasen, der fejlede, ikke fordi adgangskoden blev sammenlignet og fundet utilstrækkelig.

Derfor er fejlen identisk for en forkert adgangskode og for en metodeuoverensstemmelse. Kun loggen skelner dem, og kun hvis klienten må være udførlig.

Læs forhandlingen, ikke den sidste fejl

Kør forbindelsen i forgrunden med fejlsøgning slået til, og læs godkendelseslinjerne fra toppen. Loggen angiver den foreslåede metode, den accepterede metode og hvor udvekslingen stoppede. En profil, der aldrig forlader CHAP eller MSCHAPv2, mens serveren forventer PEAP, er et metodeproblem, ikke et legitimationproblem. Den sidste linje i den log er, hvor klienten gav op, ikke hvor årsagen sidder.

sudo pppd call provider debug nodetach

Gem den udskrift. Den er også det bevis, en netværksejer har brug for, før serverpolitikken ændres, og den afgør spørgsmålet om, hvorvidt adgangskoden overhovedet var i spil.

Den anden årsag gemmer sig i hemmelighedsfilen

Hvis loggen viser, at metoderne er enige, så se på filen, der gemmer hemmeligheden. En ny linje eller et efterfølgende mellemrum skrevet i adgangskodefeltet sendes som en del af adgangskoden, så serveren sammenligner en anden streng end den, du skrev. Filen ser korrekt ud i en editor, og det er netop derfor, den overlever så mange forsøg.

sudo cat -A /etc/ppp/chap-secrets

Dollartegnet markerer slutningen af hver linje i den udskrift. Et adgangskodefelt med noget før det tegn, eller et løst mellemrum mellem felterne, skal skrives om med den citering, værktøjet dokumenterer.

Vælg rettelsen ud fra, hvem der ejer serveren

Hvis serveren er din, at tillade MSCHAPv2 for den konto er den mindste ændring, og du bør notere, at du med vilje accepterede en svagere metode. Hvis den tilhører en anden, er en klient, der implementerer EAP-PEAP, den ærlige rettelse; at lappe pppd gør uforeneligheden til dit vedligeholdelsesproblem. Hvis protokolvalget stadig er åbent, er PPTP den svageste del af designet, og migreringen er normalt billigere end at holde en lappet klient i live. Skriv den beslutning ned ved profilen, så den næste person ikke åbner den igen.

Hvilken vej du end vælger, så test bagefter fra en anden maskine på et andet netværk. En gemt profil kan blive ved med at tilbyde den gamle metode og få en rettet server til at se ødelagt ud. Fjern derefter fejlsøgningsindstillingen, da udførlige PPP-logge kan fange mere, end du ønsker på en delt arbejdsstation.