GRE գրելու ձախողումները pptpd-ում գաղտնաբառի խնդիր չեն

GRE գրելու ձախողում մատյանում, և առաջին բնազդը օգտվողի գաղտնաբառը վերականգնելն է։ Այդ բնազդը գրեթե միշտ սխալ է։ Այս հաղորդագրությունները նկարագրում են տվյալների ուղին, ոչ թե հավատարմագրերի ստուգումը՝ հաճախորդը կարող է հաջողությամբ նույնականացվել և հետո կանգ առնել այն փուլում, որտեղ գրանցվում է ցանցում։ Երկու տարբեր հաղորդագրություններ մատնանշում են երկու տարբեր խափանում, և ոչ մեկը չի լուծվում նոր գաղտնաբառով։

Երկու հաղորդագրություն, երկու տարբեր խափանում

Կարդալու ձախողումը նշանակում է, որ GRE փաթեթները երբեք չեն հասնում դեմոնին կամ դեն են նետվում ներս մտնելիս։ Կառավարման միացումը կարող է կատարյալ առողջ թվալ, մինչ տվյալների ուղով ոչինչ չի անցնում։ Նույնականացումը միակ բանն է, որ ապացուցելիորեն աշխատել է։

Գրելու ձախողումը սովորաբար նշանակում է, որ սեսիան պայմանավորվել է ինչ-որ բանի շուրջ, ինչը միջուկը կամ հաճախորդը չեն կարող օգտագործել։ Կառավարման ալիքը ավարտվել է, և այդ փոխանակության ընթացքում համաձայնեցված տարբերակները չեն համապատասխանում նրան, ինչ ծայրակետերը իրականում կարող են անել։ Սա կազմաձևման տարաձայնություն է, ոչ նույնականացման իրադարձություն։

Կարդացեք, թե դրանցից որն է հայտնվում, նախքան ինչ-որ բան փոխելը։ Նրանք ձեզ տանում են տարբեր շերտեր, և դրանք որպես մեկ ախտանիշ դիտարկելն է պատճառը, որ նույն սերվերը կարկատվում է երկու անգամ՝ անկապ պատճառներով։ Մատյանի տողը միակ անվճար ախտորոշումն է, որ ստանում եք։

47 արձանագրությունը 47 պորտ չէ

PPTP-ն օգտագործում է TCP 1723 զանգը հաստատելու և GRE՝ բեռը կրելու համար։ GRE-ը IP 47 արձանագրություն է, ոչ պորտի համար, ուստի 47 պորտը բացող firewall կանոնը ոչ մի օգտակար բան չի թույլատրում։

Ուղու վրա գտնվող երթուղիչին անհրաժեշտ է PPTP passthrough հատկություն կամ GRE-ի բացահայտ թույլտվություն։ Առանց դրա TCP ձեռքսեղմումը ավարտվում է, և թունելը երբեք փաթեթ չի կրում, ինչը ստեղծում է հենց վերը նշված կարդալու ձախողումը։ Firewall-ում 47 պորտի կանոնները այս արձանագրության ամենահաճախ վատնված կեսօրն են։

Դիտեք երկու ուղղությունները միաժամանակ սերվերի վրա՝ գուշակելու փոխարեն, թե որ կողմն է դեն նետում երթևեկությունը՝ tcpdump -ni any port 1723 or proto gre։

Եթե 1723-ը ցույց է տալիս զանգի հաստատում, մինչ GRE-ն լուռ է, արգելափակումը հոսթից վեր է։ Եթե GRE-ն հասնում է, և դեմոնը դեռ ձախողվում է, խնդիրը տեղական է, և տարբերակները հաջորդ դիտելու տեղն են։

Թույլատրեք GRE-ը այնտեղ, որտեղ հոսթն իսկապես ուղղորդում է

GRE-ի համար forward կանոն ավելացնելը խելամիտ փորձարկում է թունելային երթևեկություն ուղղորդող հոսթի վրա, և դա քաղաքականություն չէ։ Թեստային կանոնը, որն ընդունում է մեկ արձանագրության ամեն ինչ, ախտորոշում է, ոչ դիզայն։ Թողեք այն բավական երկար՝ ինչ-որ բան սովորելու համար, ապա փոխարինեք սահմանափակ կանոնով։

Ավելացրեք input կանոն հենց սերվերին ուղղված փաթեթների համար, որովհետև forward շղթան դրանք չի տեսնում։ Այնուհետև դիտեք կանոնի հաշվիչները միացման փորձից առաջ և հետո, ինչը ձեզ ասում է՝ փաթեթները ընդհանրապես հասնում են։

Կանոնը դարձրեք մշտական բաշխման firewall ծառայության միջոցով՝ յուրաքանչյուր վերագործարկումից հետո այն նորից գործարկելու փոխարեն։ nftables հոսթի վրա համապատասխանեցրեք ip protocol gre-ը և՛ input, և՛ forward շղթայում։

Հաստատեք, որ ppp_generic մոդուլը նույնպես բեռնված է, և ստուգեք՝ արդյոք միացումների հետևումը դեն է նետում վերադարձի ուղղությունը։ Երկուսն էլ ստեղծում են ձախողումներ, որոնք նման են firewall-ի խնդրի և այդպիսին չեն։ Բացակայող միջուկային մոդուլը ճիշտ նման է արգելափակված արձանագրության, մինչև չստուգեք։

Համապատասխանեցրեք տարբերակները ձեր իրական հաճախորդին

Մյուս զեկույցի ուղղումը գտնվում է /etc/ppp/pptpd-options-ում, որտեղ բաղադրատոմսը մերժում է PAP-ը, CHAP-ը և MSCHAP-ը, մեկնաբանում համապատասխան require տողերը և պահում վիճակային MPPE-ն։ Այդ բաղադրատոմսը գրվել է հաճախորդների մեկ խառնուրդի համար, և կույր պատճենումը կոտրում է սովորական դեպքը։ Մերժման տողերը կարդացեք որպես հայտարարություն այն մասին, թե հեղինակն ինչ հաճախորդներ ուներ, ոչ որպես առաջարկություն։

Windows հաճախորդին սովորաբար անհրաժեշտ է MS-CHAPv2՝ MPPE-128-ով։ Պահեք այդ պահանջները և հեռացրեք միայն այն տարբերակները, որոնք հաճախորդն իսկապես չի կարող սակարկել։

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Գաղտնագրումն անջատելը, որպեսզի միացումը հաջողվի, իջեցում է, ոչ վերանորոգում։ Փորձարկեք նման տարբերակ լաբորատոր կապով, ապա վերականգնեք գաղտնագրումը, նախքան ծառայությունը կհանդիպի իրական հաճախորդների։ Անապահով աշխատող միացումն ավելի վատ է, քան ազնվորեն ձախողվողը։

Կարդացեք հաճախորդի սխալի համարը

Հաճախորդի թվային կոդը ավելի արագ է նեղացնում փուլը, քան սերվերի մատյանը։ Կարդացեք այն նախքան ուրիշ որևէ բան կարդալը։ 691-ը նշանակում է, որ հավատարմագրերը մերժվեցին, 721-ը՝ որ սերվերը երբեք չպատասխանեց, իսկ 619-ը՝ որ միացումը կտրվեց։ Համարի հետ երկու րոպեն խնայում է մեկ ժամ կազմաձևման հետ։

Համեմատեք այդ կոդը սերվերի մատյանի հետ նախքան որևէ բան խմբագրելը, և յուրաքանչյուր փոփոխությունից հետո նորից փորձարկեք նույն հաճախորդով։ Հակառակ դեպքում երկրորդ խափանումը թաքնվում է առաջինի հետևում, և ուղղումը անարդյունավետ է թվում։

Երբ մուտքը հաջողվում է և երթևեկությունը չի շարժվում, GRE-ը մնում է կասկածյալը։ Դա այն պահն է, երբ պետք է վերադառնալ որսմանը, ոչ հավատարմագրերի պահոցին։