LCP troch de peet beëinige op PPTP: aktivearje earst MPPE

De ferbining autentisearret, de klant meldt dat er ferbûn is, en in sekonde letter slút it log mei LCP beëinige troch de peet. Dy rigel komt út ’e PPP-ûnderhanneling yn ’e GRE-tunnel, dus it ferfier wurke al en de twa einen wiene it net iens oer de opsjes fan ’e ferbining. Wachtwurden en serveradressen binne hjir meastentiids ûnskuldich. It fersiferingsbelied is it earste dat ferlike wurde moat, en op Linux is it pppd-peetbestân it earste plak om te sjen.

Wat de LCP-flater oer de PPP-faze seit

PPTP pakt PPP yn GRE: de TCP 1723-kontrôleferbining set de oprop op, GRE draacht de lading, en dan ûnderhannelt LCP opsjes lykas it autentikaasjeprotokol, kompresje en MPPE. De peet beëiniget LCP as in ferplichte opsje oan syn kant net akseptabel is. In log wêryn’t de CHAP- of MSCHAPv2-útwikseling foltôge wurdt en LCP daliks dêrnei einiget, is in beliedsôfwizing, gjin berikberheidsflater. As de tunnel hielendal gjin ûnderhanneling berikt, ûndersykje dan pppd en syn plugin foardat jo de LCP-rigel lêze.

Twa betingsten wurde maklik oersjoen. It pppd-binêre bestân moat bestean, en de PPTP-plugin neamd yn it peetbestân moat ynstallearre wêze; in ûntbrekkend pakket einiget de oprop foardat hokker opsje dan ek besprutsen wurdt.

Aktivearje MPPE oan ’e kant dy’t it easket

De echte beslissing is hokker ein it fersiferingsbelied hat. In klant kin MPPE oanbiede, easkje of wegerje, en de server makket deselde kar. As beide it easkje, komt de ferbining omheech; as ien it easket en de oare it wegeret, einiget LCP.

pty "pptp vpn.example.net --nolaunchpppd"
name alice
remotename PPTP
require-mppe-128

Laad de module mei modprobe ppp_mppe foardat jo belje, want sûnder dy mislearret require-mppe-128. Op Windows is de lykweardige kontrôle it befeiligingstabblêd fan ’e VPN-yngong, dêr’t de klant ferteld wurde moat fersifering te easkjen ynstee fan te akseptearjen wat de server biedt. As de server noch hieltyd LCP beëiniget, freegje syn operator dan oft MPPE ferplicht, opsjoneel of útskeakele is, want in klant kin gjin beskerming ûnderhannelje dy’t de server wegeret. Fersifering útskeakelje sadat it berjocht ferdwynt is de ferkearde rjochting: it hellet de iennichste beskerming fuort dy’t dit protokol hat.

Bewarje it wurkjende peetbestân foardat jo it bewurkje. In ferkeard typte require-mppe-rigel makket deselde algemiene LCP-flater en stjoert jo werom nei it begjin.

Lês it eigen log fan pppd ynstee fan ’e applet

Bureaublad-applets litte de ferbrekking sjen en ferbergje de reden, dus lês it ferslach fan ’e daemon oer ien besykjen. Op systemd-systemen belânet it berjocht yn it journaal; âldere ynstellings skriuwe nei de tradisjonele logbestannen.

journalctl --since "10 min ago" | grep -i -E "pppd|lcp|mppe"
tail -n 50 /var/log/syslog

Sykje yn in finster om ien inkele oprop ynstee fan in hiele dei werferbiningen, sadat de ôfwiisde opsje maklik te sjen is. pppd neamt meastentiids de opsje en it antwurd fan ’e peet, wat jo seit oft jo jo eigen foarstel feroarje moatte of de serverside freegje moatte syn eask te fersêftsjen. Hâld besykjen mei tiidstimpels, want twa logs ferlykje is allinnich nuttich as jo witte hokker rigels by hokker oprop hearre. As der hielendal gjin LCP-útwikseling ferskynt, sit de flater earder yn ’e keten en is MPPE net de fertochte.

Hâld de repaaraasje oer werferbiningen: hooknammen en MTU

Sa gau as de ferbining stean bliuwt, beslute twa details oft it in werferbining oerlibbet. Hooks libje yn /etc/ppp/ip-up.d en /etc/network/if-up.d, en beide mappen wurde troch run-parts ferwurke, waans bestânnamerilfilter alles mei in punt ôfwiist. In skript neamd set-pptp.sh wurdt dêrom oerslein, wylst set-pptp útfierd wurdt. Kontrolearje de namme foardat jo de ynhâld fan it skript debugge, en set dan de lytsere MTU fanút dy hook sadat elke nije ppp-interface dy’t erft sûnder in hânmjittich kommando.

run-parts --test /etc/ppp/ip-up.d
ip link set dev ppp0 mtu 1200

Om in sesje mei opsetsin te einigjen, rjochtsje jo op ’e pid dy’t pppd registrearre hat ynstee fan prosesnammen patroan te koppeljen, want alles deadzje wat ppp befettet sloopt ek net-besibbe ferbiningen del. PPTP is ferâldere en MS-CHAPv2 is swak, dus behannelje dizze kontrôles as ûnderhâld foar in ferbining dy’t trochgean moat mei wurkjen, net as reden om PPTP earne nij yn te setten.