PPTP behauptet, Ihr Passwort sei falsch: Welche Korrektur kommt zuerst?

PPTP-Profile, die behaupten, das Passwort sei falsch, sagen etwas Engeres, als es klingt. Das Geheimnis wird ganz am Ende einer Kette geprüft, die mit der Fähigkeitsaushandlung beginnt, daher erscheint jede Abweichung weiter vorne in dieser Kette als Authentifizierungsfehler. Ein Zurücksetzen, erneutes Eintippen oder Neuanlegen des Profils ändert deshalb nichts. Lesen Sie zuerst die Aushandlung und wählen Sie dann die Korrektur danach, wie viel des Weges Sie kontrollieren.

Warum das Geheimnis nie geprüft wird

Die PPP-Authentifizierung wird ausgehandelt: Der Server schlägt Methoden vor, der Client antwortet mit dem, was er kann, und beide einigen sich auf eine, bevor irgendein Geheimnis ausgetauscht wird. Bietet der Server nur EAP-PEAP an und implementiert das pppd des Clients es nicht, endet das Gespräch in der Vorschlagsphase. Der Server vermerkt einen Authentifizierungsfehler, weil diese Phase gescheitert ist, nicht weil das Passwort verglichen und für unzureichend befunden wurde.

Deshalb ist der Fehler bei einem falschen Passwort und bei einer Methodenabweichung identisch. Nur das Protokoll unterscheidet sie, und nur wenn der Client ausführlich sein darf.

Lesen Sie die Aushandlung, nicht den letzten Fehler

Starten Sie die Verbindung im Vordergrund mit aktiver Fehlersuche und lesen Sie die Authentifizierungszeilen von oben. Das Protokoll nennt die vorgeschlagene Methode, die akzeptierte Methode und wo der Austausch endete. Ein Profil, das CHAP oder MSCHAPv2 nie verlässt, während der Server PEAP erwartet, ist ein Methodenproblem, kein Geheimnisproblem. Die letzte Zeile dieses Protokolls ist die Stelle, an der der Client aufgab, nicht die Stelle der Ursache.

sudo pppd call provider debug nodetach

Bewahren Sie diese Ausgabe auf. Sie ist auch der Nachweis, den ein Netzbetreiber vor einer Änderung der Serverrichtlinie braucht, und sie klärt die Frage, ob das Passwort überhaupt im Spiel war.

Die zweite Ursache versteckt sich in der Geheimnisdatei

Zeigt das Protokoll übereinstimmende Methoden, sehen Sie sich die Datei an, die das Geheimnis speichert. Ein Zeilenumbruch oder ein Leerzeichen am Ende im Passwortfeld wird als Teil des Passworts gesendet, sodass der Server eine andere Zeichenkette vergleicht als die von Ihnen eingegebene. In einem Editor sieht die Datei korrekt aus, und genau deshalb überlebt das so viele Versuche.

sudo cat -A /etc/ppp/chap-secrets

Das Dollarzeichen markiert in dieser Ausgabe das Ende jeder Zeile. Ein Passwortfeld mit irgendetwas vor diesem Zeichen oder ein verirrtes Leerzeichen zwischen Feldern muss mit der Quotierung neu geschrieben werden, die das Werkzeug dokumentiert.

Wählen Sie die Korrektur danach, wem der Server gehört

Gehört der Server Ihnen, MSCHAPv2 für dieses Konto zu erlauben ist die kleinste Änderung, und Sie sollten festhalten, dass Sie bewusst eine schwächere Methode akzeptiert haben. Gehört er jemand anderem, ist ein Client, der EAP-PEAP implementiert, die ehrliche Korrektur; pppd zu patchen macht die Unvereinbarkeit zu Ihrem Wartungsproblem. Ist die Protokollwahl noch offen, ist PPTP der schwächste Teil des Entwurfs und die Migration meist billiger, als einen gepatchten Client am Leben zu halten. Schreiben Sie diese Entscheidung neben das Profil, damit die nächste Person sie nicht wieder aufmacht.

Welchen Weg Sie auch wählen, testen Sie danach von einem zweiten Rechner in einem anderen Netz. Ein gespeichertes Profil kann weiterhin die alte Methode anbieten und einen korrigierten Server kaputt aussehen lassen. Entfernen Sie danach die Fehlersuche-Einstellung, da ausführliche PPP-Protokolle auf einer gemeinsam genutzten Workstation mehr mitschneiden können, als Ihnen lieb ist.