PPTP mengatakan kata sandi Anda salah: perbaikan mana yang didahulukan?

Profil PPTP yang bersikeras kata sandi Anda salah sedang mengatakan sesuatu yang lebih sempit daripada kedengarannya. Rahasia diuji di ujung rantai yang dimulai dengan negosiasi kemampuan, jadi ketidakcocokan apa pun yang lebih awal dalam rantai itu muncul sebagai kegagalan autentikasi. Karena itu, mengatur ulang kata sandi, mengetiknya kembali, atau membuat ulang profil tidak mengubah apa pun. Baca dulu negosiasinya, lalu pilih perbaikan menurut seberapa banyak jalur yang Anda kendalikan.

Mengapa rahasia tidak pernah diuji

Autentikasi PPP dinegosiasikan: server mengusulkan metode, klien menjawab dengan apa yang bisa dilakukannya, dan keduanya sepakat pada satu metode sebelum kredensial apa pun dipertukarkan. Ketika server hanya menawarkan EAP-PEAP dan pppd klien tidak menerapkannya, percakapan berakhir pada tahap usulan. Server mencatat kegagalan autentikasi karena itulah tahap yang gagal, bukan karena kata sandi dibandingkan dan dinilai kurang.

Itulah sebabnya kesalahannya identik untuk kata sandi yang salah dan untuk ketidakcocokan metode. Hanya log yang membedakannya, dan hanya jika klien diizinkan bersikap rinci.

Baca negosiasinya, bukan kesalahan terakhir

Jalankan koneksi di latar depan dengan debugging aktif dan baca baris autentikasi dari atas. Log menyebutkan metode yang diusulkan, metode yang diterima, dan tempat pertukaran berhenti. Profil yang tidak pernah meninggalkan CHAP atau MSCHAPv2 sementara server mengharapkan PEAP adalah masalah metode, bukan masalah kredensial. Baris terakhir log itu adalah tempat klien menyerah, bukan tempat penyebabnya.

sudo pppd call provider debug nodetach

Simpan keluaran itu. Itu juga bukti yang dibutuhkan pemilik jaringan sebelum mengubah kebijakan server, dan itu menyelesaikan pertanyaan apakah kata sandi pernah berperan.

Penyebab kedua bersembunyi di berkas rahasia

Jika log menunjukkan metodenya cocok, lihat berkas yang menyimpan rahasia. Baris baru atau spasi di akhir yang tertulis di bidang kata sandi ikut terkirim sebagai bagian dari kata sandi, sehingga server membandingkan untai yang berbeda dari yang Anda ketik. Berkas itu tampak benar di editor, dan itulah tepatnya sebabnya ia bertahan dari begitu banyak percobaan.

sudo cat -A /etc/ppp/chap-secrets

Tanda dolar menandai akhir setiap baris pada keluaran itu. Bidang kata sandi yang berisi sesuatu sebelum tanda itu, atau spasi liar di antara bidang, perlu ditulis ulang dengan kutipan yang didokumentasikan alat tersebut.

Pilih perbaikannya menurut siapa pemilik server

Jika server itu milik Anda, mengizinkan MSCHAPv2 untuk akun itu adalah perubahan terkecil, dan Anda sebaiknya mencatat bahwa Anda sengaja menerima metode yang lebih lemah. Jika milik orang lain, perbaikan yang jujur adalah klien yang menerapkan EAP-PEAP; menambal pppd membuat ketidakcocokan menjadi masalah pemeliharaan Anda. Jika pilihan protokol masih terbuka, PPTP adalah bagian terlemah dari rancangan dan migrasi biasanya lebih murah daripada mempertahankan klien yang ditambal tetap hidup. Tuliskan keputusan itu di samping profil supaya orang berikutnya tidak membukanya lagi.

Rute mana pun yang Anda ambil, uji setelahnya dari mesin kedua di jaringan lain. Profil tersimpan bisa terus menawarkan metode lama dan membuat server yang sudah diperbaiki tampak rusak. Lalu hapus pengaturan debugging, karena log PPP yang rinci dapat menangkap lebih banyak daripada yang Anda inginkan di stasiun kerja bersama.