GRE-skrifvillur í pptpd eru ekki lykilorðavandamál

GRE-skrifvilla í annálnum, og fyrsta eðlishvötin er að endurstilla lykilorð notandans. Sú hvöt er næstum alltaf röng. Þessi skilaboð lýsa gagnaleiðinni, ekki prófun auðkennisgagna: biðlarinn kann að hafa staðfest sig með góðum árangri og síðan stöðvast á því stigi þar sem hann skráir sig á netið. Tvö mismunandi skilaboð benda á tvö mismunandi mistök, og ekkert þeirra leysist með nýju lykilorði.

Tvö skilaboð, tvö mismunandi mistök

Lestursvilla þýðir að GRE-pakkar ná aldrei til djöfulsins, eða þeim er hent á leiðinni inn. Stýritengingin getur virst fullkomlega heilbrigð á meðan ekkert fer yfir gagnaleiðina. Auðkenningin er það eina sem sannanlega virkaði.

Skrifvilla þýðir venjulega að setan samdi um eitthvað sem kjarninn eða biðlarinn getur ekki notað. Stýrirásin kláraðist, og valkostirnir sem voru samþykktir í þeirri skiptingu passa ekki við það sem endapunktarnir geta í raun gert. Það er misræmi í stillingum, ekki auðkenningaratburður.

Lestu hvor tveggja birtist áður en þú breytir einhverju. Þau leiða þig á mismunandi lög, og að meðhöndla þau sem eitt einkenni er ástæðan fyrir því að sami þjónninn er plástraður tvisvar af ótengdum ástæðum. Annálarlínan er eina ókeypis greiningin sem þú fær.

Siðareglur 47 er ekki gátt 47

PPTP notar TCP 1723 til að koma símtalinu á og GRE til að bera farminn. GRE er IP-siðareglur 47, ekki gáttarnúmer, svo eldveggjarregla sem opnar gátt 47 leyfir ekkert gagnlegt.

Beini á leiðinni þarf PPTP passthrough eiginleika eða skýrt GRE-leyfi. Án þess lýkur TCP handabandinu og göngin bera aldrei pakka, sem framleiðir nákvæmlega lestursvilluna hér að ofan. Reglur um gátt 47 í eldvegg eru oftast sóað síðdegis í þessari siðareglu.

Fylgstu með báðum áttum samtímis á þjóninum í stað þess að giska á hvaða hlið hendir umferðinni: tcpdump -ni any port 1723 or proto gre.

Ef 1723 sýnir uppsetningu símtals á meðan GRE þegir, er blokkunin ofan við hýsilinn. Ef GRE berst og djöfullinn mistekst enn, er vandamálið staðbundið og valkostirnir eru næsti staður til að skoða.

Leyfðu GRE þar sem hýsillinn framsendir í raun

Að setja forward-reglu fyrir GRE er sanngjarnt próf á hýsli sem framsendir gönguumferð, og það er ekki stefna. Prófunarregla sem samþykkir allt af einni siðareglu er greining, ekki hönnun. Láttu hana standa nógu lengi til að læra eitthvað og skiptu henni svo út fyrir afmarkaða reglu.

Bættu við input-reglu fyrir pakka sem eru stílaðir á sjálfan þjóninn, því forward-keðjan sér þá ekki. Horfðu svo á teljara reglunnar fyrir og eftir tengingartilraun, sem segir þér hvort pakkarnir berist yfirleitt.

Gerðu regluna varanlega í gegnum eldveggjarþjónustu dreifingarinnar í stað þess að keyra hana aftur eftir hverja endurræsingu. Á nftables-hýsli skaltu passa ip protocol gre í bæði input- og forward-keðjunni.

Staðfestu að einingin ppp_generic sé líka hlaðin, og athugaðu hvort tengingarakning hendi bakáttinni. Bæði framleiða mistök sem líta út eins og eldveggjavandamál og eru það ekki. Vantað kjarnaeining lítur nákvæmlega út eins og blokkuð siðareglur þar til þú athugar.

Lagaðu valkostina að þeim biðlara sem þú hefur í raun

Lagfæringin úr hinni skýrslunni er í /etc/ppp/pptpd-options, þar sem uppskriftin hafnar PAP, CHAP og MSCHAP, kommentar út samsvarandi require-línur og heldur stöðutengdu MPPE. Sú uppskrift var skrifuð fyrir eina biðlarablöndu, og blind afritun brýtur algenga tilfellið. Lestu höfnunarlínurnar sem yfirlýsingu um hvaða biðlara höfundurinn hafði, ekki sem tilmæli.

Windows-biðlari þarf venjulega MS-CHAPv2 með MPPE-128. Haltu þeim kröfum og fjarlægðu aðeins þá valkosti sem biðlarinn getur í raun ekki samið um.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Að slökkva á dulkóðun til að fá tengingu til að heppnast er lækkun, ekki viðgerð. Prófaðu slíkan afbrigði á rannsóknartengingu og endurheimtu svo dulkóðunina áður en þjónustan mætir raunverulegum biðlurum. Tengingin sem virkar óörugglega er verri en sú sem mistekst heiðarlega.

Lestu villunúmer biðlarans

Tölulegur kóði biðlarans þrengir stigið hraðar en annáll þjónsins. Lestu hann áður en þú lest eitthvað annað. 691 þýðir að auðkennisgögnum var hafnað, 721 þýðir að þjónninn svaraði aldrei, og 619 þýðir að tengingin féll. Tvær mínútur með númerið spara klukkustund með stillingunum.

Berðu þann kóða saman við annál þjónsins áður en þú breytir einhverju, og prófaðu aftur með sama biðlara eftir hverja breytingu. Annars felur önnur villa sig bak við þá fyrstu og lagfæringin virðist árangurslaus.

Þegar innskráning heppnast og engin umferð hreyfist, er GRE enn grunaður. Það er augnablikið til að snúa aftur að upptökunni heldur en auðkennisgagnageymslunni.