GRE pogreške pisanja na pptpd nisu problem s lozinkom

Pogreška pisanja GRE u zapisniku, a prvi je poriv resetirati korisničku lozinku. Taj je poriv gotovo uvijek pogrešan. Ove poruke opisuju put podataka, a ne provjeru vjerodajnica: klijent se možda uspješno autentificirao i zatim zapeo u fazi u kojoj se registrira na mreži. Dvije različite poruke upućuju na dvije različite pogreške i nijedna se ne rješava novom lozinkom.

Dvije poruke, dvije različite pogreške

Pogreška čitanja znači da GRE paketi nikada ne stižu do demona ili se odbacuju na ulazu. Kontrolna veza može izgledati posve zdravo dok ništa ne prelazi put podataka. Autentifikacija je jedina stvar koja je dokazivo radila.

Pogreška pisanja obično znači da je sesija pregovarala nešto što jezgra ili klijent ne mogu koristiti. Kontrolni kanal je završio, a opcije dogovorene tijekom te razmjene ne odgovaraju onome što krajnje točke zapravo mogu raditi. To je neslaganje u konfiguraciji, a ne događaj autentifikacije.

Pročitajte koja se od dvije pojavljuje prije nego što išta promijenite. One vas vode na različite slojeve, a tretiranje kao jednog simptoma razlog je zašto se isti poslužitelj krpa dvaput iz nepovezanih razloga. Linija u zapisniku jedina je besplatna dijagnostika koju dobivate.

Protokol 47 nije port 47

PPTP koristi TCP 1723 za uspostavu poziva i GRE za prijenos korisnog tereta. GRE je IP protokol 47, a ne broj porta, pa firewall pravilo koje otvara port 47 ne dopušta ništa korisno.

Usmjerivač na putu treba PPTP passthrough značajku ili izričito dopuštenje za GRE. Bez toga TCP rukovanje završava i tunel nikada ne prenosi paket, što proizvodi točno gornju pogrešku čitanja. Pravila za port 47 u firewallu najčešće su protraćeno poslijepodne u ovom protokolu.

Promatrajte oba smjera istodobno na poslužitelju umjesto da nagađate koja strana odbacuje promet: tcpdump -ni any port 1723 or proto gre.

Ako 1723 pokazuje uspostavu poziva dok GRE ostaje tih, blokada je iznad hosta. Ako GRE stiže, a demon i dalje pada, problem je lokalan i opcije su sljedeće mjesto za pregled.

Dopustite GRE gdje host stvarno prosljeđuje

Umetanje forward pravila za GRE razuman je test na hostu koji prosljeđuje tunelski promet i nije politika. Testno pravilo koje prihvaća sve jedne protokole dijagnostika je, a ne dizajn. Ostavite ga dovoljno dugo da nešto naučite, zatim ga zamijenite ograničenim pravilom.

Dodajte input pravilo za pakete upućene samom poslužitelju, jer forward lanac ih ne vidi. Zatim gledajte brojače pravila prije i poslije pokušaja veze, što vam govori dolaze li paketi uopće.

Trajno sačuvajte pravilo kroz firewall uslugu distribucije umjesto da ga ponovno pokrećete nakon svakog podizanja. Na nftables hostu uskladite ip protocol gre u input i forward lancu.

Potvrdite da je i modul ppp_generic učitan te provjerite odbacuje li praćenje veza povratni smjer. Oba stvaraju kvarove koji izgledaju kao firewall problem i nisu. Modul jezgre koji nedostaje izgleda točno kao blokirani protokol dok ne provjerite.

Uskladite opcije s klijentom koji stvarno imate

Ispravak iz drugog izvještaja nalazi se u /etc/ppp/pptpd-options, gdje recept odbija PAP, CHAP i MSCHAP, komentira odgovarajuće require linije i zadržava stanjni MPPE. Taj je recept napisan za jednu mješavinu klijenata i slijepo kopiranje kvari uobičajeni slučaj. Čitajte linije odbijanja kao izjavu o tome koje je klijente autor imao, a ne kao preporuku.

Windows klijent obično treba MS-CHAPv2 s MPPE-128. Zadržite te zahtjeve i uklonite samo opcije koje klijent stvarno ne može pregovarati.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Isključivanje enkripcije da bi veza uspjela degradacija je, a ne popravak. Testirajte takvu varijantu na laboratorijskoj vezi, zatim vratite enkripciju prije nego se usluga suoči s pravim klijentima. Veza koja radi nesigurno gora je od one koja pošteno pada.

Pročitajte broj pogreške klijenta

Numerički kod klijenta sužava fazu brže nego poslužiteljev zapisnik. Pročitajte ga prije bilo čega drugog. 691 znači da su vjerodajnice odbijene, 721 znači da poslužitelj nikada nije odgovorio, a 619 znači da je veza prekinuta. Dvije minute s brojem štede sat s konfiguracijom.

Usporedite taj kod sa zapisnikom poslužitelja prije bilo kakvog uređivanja i ponovno testirajte istim klijentom nakon svake promjene. Inače se druga pogreška skriva iza prve i popravak izgleda nedjelotvorno.

Kada prijava uspije i promet se ne kreće, GRE ostaje osumnjičenik. To je trenutak da se vratite snimanju, a ne spremištu vjerodajnica.