pptpd-тегі GRE жазу қателері құпиясөз мәселесі емес

Журналда GRE жазу қатесі, және бірінші түйсік пайдаланушының құпиясөзін қайта қою. Бұл түйсік әрдайым дерлік қате. Бұл хабарламалар тіркелгі деректерін тексеруді емес, деректер жолын сипаттайды: клиент сәтті аутентификациядан өтіп, содан кейін желіде тіркелетін кезеңде тоқтап қалуы мүмкін. Екі түрлі хабарлама екі түрлі ақауға нұсқайды және ешқайсысы жаңа құпиясөзбен шешілмейді.

Екі хабарлама, екі түрлі ақау

Оқу қатесі GRE пакеттерінің демонға ешқашан жетпейтінін немесе кіре берісте тасталатынын білдіреді. Басқару қосылымы мүлдем сау көрінуі мүмкін, бірақ деректер жолынан ештеңе өтпейді. Аутентификация - бұл дәлелді түрде жұмыс істеген жалғыз нәрсе.

Жазу қатесі әдетте сессияның ядро немесе клиент пайдалана алмайтын нәрсе туралы келіскенін білдіреді. Басқару арнасы аяқталды, және сол алмасу кезінде келісілген параметрлер соңғы нүктелердің шын мәнінде не істей алатынына сәйкес келмейді. Бұл конфигурация келіспеушілігі, аутентификация оқиғасы емес.

Бірдеңені өзгерту алдында екеуінің қайсысы шыққанын оқыңыз. Олар сізді әртүрлі деңгейлерге жібереді, ал оларды бір симптом ретінде қарау сол сервердің байланыссыз себептермен екі рет патчталуының себебі. Журнал жолы - сіз алатын жалғыз тегін диагностика.

47 хаттамасы 47 порт емес

PPTP қоңырауды орнату үшін TCP 1723 және пайдалы жүктемені тасымалдау үшін GRE пайдаланады. GRE - бұл IP хаттамасы 47, порт нөмірі емес, сондықтан 47 портын ашатын firewall ережесі ешқандай пайдалы нәрсеге рұқсат бермейді.

Жолдағы маршрутизаторға PPTP passthrough функциясы немесе GRE-ге айқын рұқсат қажет. Онсыз TCP қол алысуы аяқталады және туннель ешқашан пакет тасымалдамайды, бұл жоғарыдағы оқу қатесін дәл тудырады. Firewall-дағы 47 порты ережелері осы хаттамада ең жиі босқа кеткен түстен кейінгі уақыт.

Қай тарап трафикті тастап жатқанын болжаудың орнына серверде екі бағытты бір уақытта бақылаңыз: tcpdump -ni any port 1723 or proto gre.

Егер 1723 қоңырау орнатуын көрсетіп, GRE үнсіз қалса, бұғаттау хосттан жоғары. Егер GRE келіп, демон әлі де сәтсіз болса, мәселе жергілікті және параметрлер - келесі қарайтын орын.

GRE-ге хост шын мәнінде жіберетін жерде рұқсат беріңіз

GRE үшін forward ережесін кірістіру туннель трафигін жіберетін хостта орынды сынақ, және бұл саясат емес. Бір хаттаманың бәрін қабылдайтын сынақ ережесі - диагностика, дизайн емес. Бірдеңе үйрену үшін жеткілікті ұстаңыз, содан кейін оны шектеулі ережемен ауыстырыңыз.

Сервердің өзіне адрестелген пакеттер үшін input ережесін қосыңыз, өйткені forward тізбегі оларды көрмейді. Содан кейін қосылым әрекетінің алдында және кейін ереженің санауыштарын қараңыз, бұл пакеттердің мүлдем келетінін айтады.

Әр қайта жүктеуден кейін қайта іске қосудың орнына таратудың firewall қызметі арқылы ережені тұрақты етіңіз. nftables хостта input және forward тізбектерінің екеуінде де ip protocol gre сәйкестендіріңіз.

ppp_generic модулінің де жүктелгенін растаңыз және қосылымды бақылау қайтару бағытын тастап жатқанын тексеріңіз. Екеуі де firewall мәселесіне ұқсайтын, бірақ олай емес ақауларды тудырады. Жетіспейтін ядро модулі тексермейінше дәл бұғатталған хаттамаға ұқсайды.

Параметрлерді шын мәнінде бар клиентке сәйкестендіріңіз

Басқа есептің түзетуі /etc/ppp/pptpd-options ішінде, онда рецепт PAP, CHAP және MSCHAP-тан бас тартады, сәйкес require жолдарын түсініктемеге айналдырады және күйлі MPPE-ні сақтайды. Сол рецепт бір клиент қоспасы үшін жазылған, ал соқыр көшіру қарапайым жағдайды бұзады. Бас тарту жолдарын ұсыныс ретінде емес, автордың қандай клиенттері болғаны туралы мәлімдеме ретінде оқыңыз.

Windows клиентіне әдетте MS-CHAPv2 MPPE-128-бен қажет. Осы талаптарды сақтаңыз және клиент шын мәнінде келісе алмайтын параметрлерді ғана алып тастаңыз.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Қосылым сәтті болуы үшін шифрлауды өшіру - бұл төмендету, жөндеу емес. Мұндай нұсқаны зертханалық желіде сынақтан өткізіңіз, содан кейін қызмет нақты клиенттерге кездеспес бұрын шифрлауды қалпына келтіріңіз. Қауіпсіз емес жұмыс істейтін қосылым адал түрде сәтсіз болатын қосылымнан нашар.

Клиенттің қате нөмірін оқыңыз

Клиенттің сандық коды кезеңді сервер журналына қарағанда жылдамырақ тарылтады. Басқа нәрсені оқымас бұрын оны оқыңыз. 691 тіркелгі деректері қабылданбағанын, 721 сервер ешқашан жауап бермегенін, ал 619 қосылым үзілгенін білдіреді. Нөмірмен екі минут конфигурациямен бір сағатты үнемдейді.

Бірдеңені өңдеу алдында сол кодты сервер журналымен салыстырыңыз және әр өзгерістен кейін сол клиентпен қайта сынаңыз. Әйтпесе екінші ақау біріншінің артында жасырылады және түзету тиімсіз көрінеді.

Кіру сәтті болып, трафик қозғалмаса, GRE күдікті болып қалады. Бұл тіркелгі деректері қоймасына емес, түсірілімге оралатын сәт.