Cén fáth nach féidir le PPP CHAP amháin riachtanas MPPE a shásamh

Teipeann próifíl PPTP a áitíonn ar chriptiú go hiondúil san áit chéanna: socraíonn PPP ar mhalartú fíordheimhniúcháin nach dtáirgeann riamh an t-ábhar eochrach a theastaíonn ó MPPE. Breathnaíonn an tollán leathbheo, glactar leis an bhfocal faire, agus titeann an nasc sula dtrasnaíonn aon trácht é. Clúdaíonn rochtain ar an liosta anuas CHAP go dtí go nascann rud éigin an fíor-mhífheidhm, agus is conradh í idir an modh fíordheimhniúcháin agus an polasaí cosanta. Tá na seiceálacha thíos ordaithe ionas go n-eisiatar le gach ceann cúis níos saoire ná an chéad cheann eile.

Reáchtáiltear dhá chaibidlíocht laistigh d’aon nasc PPTP amháin

Iompraíonn PPTP seisiún PPP normálta laistigh de thollán GRE, agus déanann an dá rud caibidlíocht ar leithligh. Cinneann an ciseal seachtrach conas a dhéantar pacáistí a ionchapsú agus cén cainéal rialaithe atá ann; cinneann an seisiún PPP inmheánach cé hé an piara agus cén chosaint a théann air. Mar sin ní chruthaíonn leid focal faire ach rud éigin faoin gciseal inmheánach, agus ní chruthaíonn cruthú láimhe seachtrach críochnaithe aon rud faoi cheachtar acu. Teipeann próifílí anseo toisc go ndéanann daoine dífhabhtú ar an tollán agus an easaontas suite taobh istigh de PPP.

Is é CHAP lom an malartú dúshláin-agus-freagartha i RFC 1994, tógtha ar rún comhroinnte agus ar rud ar bith eile. Is malartú difriúil é MS-CHAPv2 le teachtaireachtaí difriúla agus aschur difriúil, caighdeánaithe i RFC 2759. Is é an focal comhroinnte sa dá ainm an t-aon rud atá i gcoiteann acu ar an sreang. Ní insíonn ceachtar ainm cad a tháirgeann an malartú, agus sin an t-aon chuid a bhfuil tábhacht léi.

Sin é an fáth a bhfuil rogha ar a bhfuil an lipéad CHAP amháin débhríoch i seanphróifíl. Nuair a theastaíonn MS-CHAPv2 ón bhfreastalaí agus nuair a thairgeann an cliant CHAP lom, is féidir le rialú nasc fós críochnú agus is féidir focal faire fós a ghlacadh. Tagann an teip níos déanaí, nuair a dhéanann an freastalaí iarracht eochracha cosanta a dhíorthú ó mhalartú nár tháirg aon rud.

Meaitseáil an modh riachtanach leis na heochracha is féidir leis a tháirgeadh

Ní airí de chuid PPP i gcoitinne iad eochracha MPPE. Don teaghlach Microsoft CHAP tá an díorthú sonraithe i RFC 3079, agus tógann sé mar ionchur aschur malartaithe MS-CHAP seach rún comhroinnte. Sroicheann modhanna EAP an áit chéanna ar bhealach eile, agus an freastalaí fíordheimhniúcháin ag filleadh na n-eochracha mar thréithe MS-MPPE-Recv-Key agus MS-MPPE-Send-Key. Ní thagann CHAP lom in aon cheann den dá bhealach, agus sin an chúis iomlán atá leis an mí-chomhoiriúnú.

Tá cumraíocht a éilíonn MPPE agus a dhiúltaíonn do gach modh atá in ann eochracha a sholáthar go hinmheánach contrártha. Réitíonn pppd an chontrárthacht sin tríd an nasc a dhiúltú, ní trí eochracha a chumadh, mar sin is é an toradh infheicthe seisiún a fhíordheimhnítear agus a chríochnaíonn ansin le linn na céime líonra. Ní athróidh atriail an chliaint sin fad a dhiúltaíonn an freastalaí do na haon mhodhanna a dhíorthaíonn rud ar bith.

Tá an riail a leanann gearr: má éilíonn an phróifíl MPPE, caithfidh an modh a bheith ina leagan de MS-CHAP nó ina mhodh EAP a bhfilleann an freastalaí a eochracha. Ní fhorchuireann diúltú do MS-CHAPv2 amháin sin, toisc go ndíorthaíonn MS-CHAPv1 eochracha freisin agus go bhfanann sé ar fáil mura ndiúltaítear dó ar leithligh; má dhiúltaítear don dá cheann fágtar CHAP lom agus PAP, nach ndíorthaíonn aon rud agus a dhéanann an riachtanas dosháraithe. Ainmnigh an modh glactha go sainráite in ionad na cinn nach dtaitníonn leat a liostú. Is díghrádú é an riachtanas criptithe a ligean ar lár chun cliant a nascadh, ní deisiú.

Léigh roghanna an fhreastalaí sula n-athraíonn tú cliant

Tá formhór na mí-chomhoiriúnuithe seo infheicthe ar an bhfreastalaí i dhá chomhad, agus cosnaíonn léamh iad níos lú ná cliant a atógáil. Ar chríochphointe PPTP Linux maireann na socruithe ábhartha i gcomhad roghanna pppd a thugann pptpd ar aghaidh. Rith é ar an bhfreastalaí, ní ó scáileán stádais cliaint. Tosaigh leis na línte a éilíonn, a dhiúltaíonn do, nó a ainmníonn mód cosanta:

sudo grep -nE 'require-|refuse-|mppe|mschap' /etc/ppp/options.pptpd

Léigh an t-aschur mar chonradh seach mar liosta bratach. Ní féidir le haon chliant líne a éilíonn MPPE agus a dhiúltaíonn don dá leagan de MS-CHAP a shásamh, agus fágann riachtanas atá ar iarraidh do mhodh MS-CHAP an doras oscailte do mhalartuithe nach dtugann eochracha. Ansin seiceáil cé atá ceadaithe chun fíordheimhniú a dhéanamh ar chor ar bith, rud a chinnfidh an comhad rúin:

sudo sed -n '1,20p' /etc/ppp/chap-secrets
sudo pppd --version

Scríobh síos trí luach sula n-athraíonn tú aon rud: an prótacal seachtrach, an modh fíordheimhniúcháin a éilíonn an freastalaí, agus an bhfuil cosaint éigeantach nó roghnach. Cinneann na trí sin gach cinneadh ina dhiaidh sin, agus is é buille faoi thuairim a thógáil orthu ó dhiolog cliaint an bealach a chríochnaíonn próifíl leathchumraithe. Coinnigh an comhad oscailte agus tú ag obair, toisc go dteastaíonn na trí luach céanna ón gcéad roinn eile.

Aimsigh an teip de réir céim PPP

Tuairiscíonn PPP teipeanna i gcéimeanna, agus insíonn an chéim cé an chlásal den chonradh a briseadh. Tá fadhb ionchapsúcháin nó caibidlíochta ag nasc nach bhfágann rialú naisc riamh, agus is gnách go mbíonn fadhb polasaí nó eochrach ag ceann a fhíordheimhnítear agus a fhaigheann bás ansin. Tá nasc a fhanann suas agus nach n-iompraíonn aon rud tar éis bogadh ar aghaidh chuig ródú, rud atá ina imscrúdú difriúil.

Coinníonn an dialann na línte céime, agus tá siad níos úsáidí ná leibhéal dífhabhtaithe níos airde. Iarr na próisis PPP agus na teachtaireachtaí cosanta, ansin léigh toradh an fhíordheimhniúcháin roimh aon rud eile. De ghnáth ainmníonn na línte deireanacha an chlásal a dhiúltaigh:

sudo journalctl -b --no-pager | grep -iE 'pppd|pptpd|mppe|chap' | tail -40

San aschur sin, féach ar dtús ar thoradh an fhíordheimhniúcháin agus ansin ar ghearán gur éilíodh cosaint ach nár caibidlíodh í. Is é an dara teachtaireacht síniú na contrárthachta thuas, agus ní ghlanann aon mhéid atriail í fad a dhiúltaíonn an freastalaí don aon mhodh amháin atá in ann eochracha a tháirgeadh. Is fiú dhá ghaiste a ainmniú: cruthaíonn ardú an leibhéil dífhabhtaithe gan na línte céime a léamh torann, agus déanann gabháil ábhair dhúshláin nó focail faire tasc cumraíochta a iompú ina sceitheadh dintiúirí. Taifead an chéim sin sula n-athraíonn tú aon rogha.

Pleanáil an t-imeacht sula múchtar an seanchríochphointe

Is meicníocht stairiúil cosanta naisc é MPPE, agus ní dhéanann a láithreacht PPTP ina rogha réasúnta do imscaradh nua. Molann treoir reatha Microsoft cheana féin i gcoinne PPTP agus i gcoinne L2TP/IPsec le heochair réamhroinnte d’imscarthaí nua rochtana cianda. Is cinneadh faoi sheirbhís atá ann cheana é seanchríochphointe a choinneáil beo, ní teimpléad don chéad cheann eile.

Nuair a chaithfidh an críochphointe fanacht, scríobh an conradh síos: prótacal seachtrach, modh fíordheimhniúcháin riachtanach, cosaint éigeantach, agus an leagan cliaint a dhéanann a chaibidlíocht. Nuair a fhéadfaidh sé imeacht, roghnaigh féiniúlacht geata an ionadaí, a fhíordheimhniú cliaint agus an áit a mbeidh na dintiúirí sula dteagmhálann tú leis an seanphróifíl. Ansin pleanáil bealaí, DNS agus na hacmhainní a bhfuil gach úsáideoir údaraithe chun rochtain a fháil orthu. Bailíochtaigh an cliant beartaithe i gcoinne riachtanais an úinéara seach i gcoinne nasc atá ag obair.

Ba chóir go bhfanfadh diúltú toilteanach ina dhiúltú, toisc go n-athraíonn titim siar ar mhodh neamhchosanta chun tástáil a rith ó theip polasaí go nochtadh. Is é an staid chríochnaithe conradh tacaithe, doiciméadaithe, ní an tsraith athruithe is lú a dhéanann sean-nasc amháin a éiríonn. Fág an seanphróifíl ina háit, gan úsáid agus doiciméadaithe, go dtí go n-éiríonn leis an ionadaí na seiceálacha céanna a rith.