LCP finita de la kunulo ĉe PPTP: unue ebligu MPPE

La ligilo aŭtentikiĝas, la kliento raportas sin konektita, kaj unu sekundon poste la protokolo fermiĝas per LCP finita de la kunulo. Tiu linio venas el la PPP-negoocado ene de la GRE-tunelo, do la transporto jam funkciis kaj la du flankoj malkonsentis pri la ligilaj opcioj. Pasvortoj kaj servilaj adresoj estas ĉi tie kutime senkulpaj. La ĉifrada politiko estas la unua afero komparinda, kaj ĉe Linux la pppd-kunula dosiero estas la unua loko rigardenda.

Kion la LCP-malsukceso diras pri la PPP-fazo

PPTP envolvigas PPP en GRE: la TCP 1723 kontrola konekto starigas la vokon, GRE portas la ŝarĝon, kaj poste LCP negocas opciojn kiel la aŭtentikiga protokolo, kunpremado kaj MPPE. La kunulo finas LCP kiam postulata opcio neakcepteblas ĉe ĝia flanko. Protokolo, en kiu la CHAP aŭ MSCHAPv2 interŝanĝo kompletiĝas kaj LCP finiĝas tuj poste, estas politika malakcepto, ne atingebleca fiasko. Se la tunelo tute ne atingas negocadon, kontrolu pppd kaj ĝian kromaĵon antaŭ ol legi la LCP-linion.

Du antaŭkondiĉoj facile mankas. La pppd-binara dosiero devas ekzisti, kaj la PPTP-kromaĵo nomita en la kunula dosiero devas esti instalita; mankanta pako finas la vokon antaŭ ol iu opcio diskutiĝas.

Ebligu MPPE ĉe la flanko, kiu postulas ĝin

La vera decido estas, kiu flanko posedas la ĉifradan politikon. Kliento povas proponi MPPE, postuli ĝin aŭ rifuzi ĝin, kaj la servilo faras la saman elekton. Kiam ambaŭ postulas ĝin, la ligilo leviĝas; kiam unu postulas kaj la alia rifuzas, LCP finiĝas.

pty "pptp vpn.example.net --nolaunchpppd"
name alice
remotename PPTP
require-mppe-128

Ŝargu la modulon per modprobe ppp_mppe antaŭ ol voki, ĉar sen ĝi require-mppe-128 fiaskas. En Windows la ekvivalenta kontrolo estas la sekureca langeto de la VPN-ero, kie oni devas ordoni al la kliento postuli ĉifradon anstataŭ akcepti tion, kion la servilo proponas. Se la servilo ankoraŭ finas LCP, demandu ĝian operatoron, ĉu MPPE estas deviga, laŭvola aŭ malŝaltita, ĉar kliento ne povas negoci protekton, kiun la servilo rifuzas. Malŝalti ĉifradon por ke la mesaĝo malaperu estas la malĝusta direkto: ĝi forigas la solan protekton, kiun ĉi tiu protokolo havas.

Konservu la funkciantan kunulan dosieron antaŭ ol redakti ĝin. Miskompostita linio require-mppe reproduktas la saman ĝeneralan LCP-fiaskon kaj resendas vin al la komenco.

Legu la propran protokolon de pppd anstataŭ la apoleton

Labortablaj apoletoj montras la malkonekton kaj kaŝas la kialon, do legu la raporton de la demono pri unu provo. En systemd-sistemoj la mesaĝo iras al la ĵurnalo; pli malnovaj agordoj skribas al la tradiciaj protokolaj dosieroj.

journalctl --since "10 min ago" | grep -i -E "pppd|lcp|mppe"
tail -n 50 /var/log/syslog

Serĉu en fenestro ĉirkaŭ unu voko anstataŭ tuta tago da rekonektoj, por ke la malakceptita opcio estu facile videbla. pppd kutime nomas la opcion kaj la respondon de la kunulo, kio diras al vi, ĉu ŝanĝi vian propran proponon aŭ peti la servilan flankon malstreĉi sian postulon. Konservu provojn kun tempindikoj, ĉar kompari du protokolojn utilas nur kiam vi scias, kiuj linioj apartenas al kiu voko. Kiam neniu LCP-interŝanĝo aperas entute, la paneo sidas pli frue en la ĉeno kaj MPPE ne estas la suspektato.

Retenu la riparon tra rekonektoj: hokaj nomoj kaj MTU

Post kiam la ligilo restas supren, du detaloj decidas, ĉu ĝi postvivos rekonekton. Hokoj loĝas en /etc/ppp/ip-up.d kaj /etc/network/if-up.d, kaj ambaŭ dosierujojn prilaboras run-parts, kies dosiernoma filtrilo malakceptas ĉion kun punkto. Do skripto nomita set-pptp.sh estas preterlasita, dum set-pptp plenumiĝas. Kontrolu la nomon antaŭ ol sencimigi la enhavon de la skripto, poste starigu la pli malgrandan MTU el interne de tiu hoko, por ke ĉiu nova ppp-interfaco heredu ĝin sen permana komando.

run-parts --test /etc/ppp/ip-up.d
ip link set dev ppp0 mtu 1200

Por intence fini seancon, celas la pid registritan de pppd anstataŭ ŝablonigi procesajn nomojn, ĉar mortigi ĉion enhavantan ppp ankaŭ disŝiras nerilatajn ligilojn. PPTP estas eksmoda kaj MS-CHAPv2 estas febla, do traktu ĉi tiujn kontrolojn kiel prizorgadon de ligilo, kiu devas plu funkcii, ne kiel kialon uzi PPTP ie ajn nova.