pptpd'деги GRE жазуу каталары сырсөз маселеси эмес

Журналда GRE жазуу катасы, жана биринчи түйшүк колдонуучунун сырсөзүн кайра коюу. Бул түйшүк дээрлик ар дайым туура эмес. Бул билдирүүлөр каттоо маалыматтарын текшерүүнү эмес, маалымат жолун сүрөттөйт: кардар ийгиликтүү аутентификациядан өтүп, анан тармакка катталган этапта токтоп калышы мүмкүн. Эки башка билдирүү эки башка бузулууга көрсөтөт, жана экөө тең жаңы сырсөз менен чечилбейт.

Эки билдирүү, эки башка бузулуу

Окуу катасы GRE пакеттери демонго эч качан жетпей турганын же кирүү учурунда ыргытыларын билдирет. Башкаруу туташуусу таптакыр соо көрүнүшү мүмкүн, бирок маалымат жолунан эч нерсе өтпөйт. Аутентификация - далилдүү түрдө иштеген жалгыз нерсе.

Жазуу катасы адатта сессиянын ядро же кардар колдоно албаган нерсе боюнча келишкенин билдирет. Башкаруу каналы бүттү, жана ошол алмашуу учурунда макулдашылган параметрлер акыркы чекиттердин чындыгында эмне кыла аларына дал келбейт. Бул конфигурация келишпестиги, аутентификация окуясы эмес.

Бир нерсени өзгөртүүдөн мурун экөөнүн кайсынысы чыкканын окуңуз. Алар сизди ар башка катмарларга жиберет, жана аларды бир симптом катары кароо ошол эле сервердин байланышсыз себептер менен эки жолу патчталышынын себеби. Журнал сабы - сиз алган жалгыз бекер диагностика.

47 протоколу 47 порт эмес

PPTP чалууну орнотуу үчүн TCP 1723 жана пайдалуу жүктү ташуу үчүн GRE колдонот. GRE - бул IP протоколу 47, порт номери эмес, ошондуктан 47 портун ачкан firewall эрежеси эч кандай пайдалуу нерсеге уруксат бербейт.

Жолдогу маршрутизаторго PPTP passthrough функциясы же GRE'ге так уруксат керек. Ансыз TCP кол алышуусу бүтөт жана туннель эч качан пакет ташыбайт, бул жогорудагы окуу катасын дал келтирет. Firewall'дагы 47 порт эрежелери бул протоколдо эң көп текке кеткен түштөн кийинки убакыт.

Кайсы тарап трафикти ыргытып жатканын болжолдоонун ордуна серверде эки багытты бир убакта байкаңыз: tcpdump -ni any port 1723 or proto gre.

Эгер 1723 чалуу орнотууну көрсөтүп, GRE үнсүз калса, бөгөт коюу хосттон жогору. Эгер GRE келип, демон дагы эле ийгиликсиз болсо, маселе жергиликтүү жана параметрлер - кийинки кароочу жер.

GRE'ге хост чындыгында өткөргөн жерде уруксат бериңиз

GRE үчүн forward эрежесин киргизүү туннель трафигин өткөргөн хостдо акылга сыярлык сыноо, жана бул саясат эмес. Бир протоколдун баарын кабыл алган сыноо эрежеси - диагностика, дизайн эмес. Бир нерсе үйрөнүү үчүн жетиштүү кармаңыз, анан аны чектелген эреже менен алмаштырыңыз.

Сервердин өзүнө адресделген пакеттер үчүн input эрежесин кошуңуз, анткени forward тизмеги аларды көрбөйт. Анан туташуу аракетинен мурун жана кийин эреженин эсептегичтерин караңыз, бул пакеттердин таптакыр келерин айтат.

Ар бир кайра жүктөөдөн кийин кайра иштетүүнүн ордуна бөлүштүрүүнүн firewall кызматы аркылуу эрежени туруктуу кылыңыз. nftables хостдо input жана forward тизмектеринин экөөндө тең ip protocol gre дал келтириңиз.

ppp_generic модулунун да жүктөлгөнүн ырастаңыз жана туташуу көзөмөлү кайтаруу багытын ыргытып жатканын текшериңиз. Экөө тең firewall маселесине окшош, бирок андай эмес бузулууларды жаратат. Жок ядро модулу текшермейинче дал блоктолгон протоколго окшош.

Параметрлерди чындыгында бар кардарга ылайыкташтырыңыз

Башка отчеттун оңдоосу /etc/ppp/pptpd-options ичинде, анда рецепт PAP, CHAP жана MSCHAP'тан баш тартат, тиешелүү require саптарын комментарийге айландырат жана абалдык MPPE'ни сактайт. Ал рецепт бир кардар аралашмасы үчүн жазылган, ал эми сокур көчүрүү кадимки учурду бузат. Баш тартуу саптарын сунуш катары эмес, автордун кандай кардарлары болгону тууралуу билдирүү катары окуңуз.

Windows кардарына адатта MS-CHAPv2 MPPE-128 менен керек. Ошол талаптарды сактаңыз жана кардар чындыгында келише албаган параметрлерди гана алып салыңыз.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Туташуу ийгиликтүү болушу үчүн шифрлоону өчүрүү - бул төмөндөтүү, оңдоо эмес. Мындай вариантты лабораториялык линияда сынап көрүңүз, анан кызмат реалдуу кардарларга жолукканга чейин шифрлоону калыбына келтириңиз. Коопсуз эмес иштеген туташуу ак ниет менен ийгиликсиз болгон туташуудан жаман.

Кардардын ката номерин окуңуз

Кардардын сандык коду этапты сервер журналына караганда тезирээк тарытат. Башка нерсени окуудан мурун аны окуңуз. 691 каттоо маалыматтары четке кагылганын, 721 сервер эч качан жооп бербегенин, ал эми 619 туташуу үзүлгөнүн билдирет. Номер менен эки мүнөт конфигурация менен бир саатты үнөмдөйт.

Бир нерсени түзөтүүдөн мурун ошол кодду сервер журналы менен салыштырыңыз жана ар бир өзгөрүүдөн кийин ошол эле кардар менен кайра сынаңыз. Болбосо экинчи бузулуу биринчисинин артында жашырылат жана оңдоо натыйжасыз көрүнөт.

Кирүү ийгиликтүү болуп, трафик кыймылдабаса, GRE күмөндүү бойдон калат. Бул каттоо маалыматтарынын кампасына эмес, жазууга кайтуу керек болгон учур.