PPTP боюнча LCP өнөктөш тарабынан токтотулду: адегенде MPPE күйгүзүңүз

Байланыш аутентификациядан өтөт, кардар туташкандыгын билдирет, ал эми бир секунддан кийин журнал LCP өнөктөш тарабынан токтотулду деп жабылат. Бул сап GRE туннелинин ичиндеги PPP сүйлөшүүлөрүнөн келет, демек транспорт мурун эле иштеп жаткан жана эки тарап байланыш параметрлери боюнча макулдашкан эмес. Сырсөздөр жана сервер даректери бул жерде адатта күнөөсүз. Шифрлөө саясаты биринчи салыштырылуучу нерсе, ал эми Linuxте pppdнин өнөктөш файлы биринчи каралуучу жер.

LCP катасы PPP баскычы тууралуу эмне дейт

PPTP PPPни GRE ичине ороп, TCP 1723 көзөмөл байланышы чалууну орнотот, GRE жүктү ташыйт, андан соң LCP аутентификация протоколу, кысуу жана MPPE сыяктуу параметрлерди сүйлөшөт. Өнөктөш өз тарабында милдеттүү параметр кабыл алынбаса, LCPни токтотот. CHAP же MSCHAPv2 алмашуусу аяктап, дароо LCP бүткөн журнал — саясий баш тартуу, жеткиликтүүлүк катасы эмес. Эгер туннель сүйлөшүүгө такыр жетпесе, LCP сабын окуудан мурун pppd жана анын плагинин текшериңиз.

Эки алгы шарт оңой көздөн качат. pppd бинардык файлы болушу керек жана өнөктөш файлында аталган PPTP плагини орнотулган болушу керек; жок пакет кандайдыр бир параметр талкуулана электе чалууну бүтүрөт.

MPPEни аны талап кылган тарапта күйгүзүңүз

Чыныгы чечим — шифрлөө саясаты кайсы тарапка таандык экенинде. Кардар MPPEни сунуштай алат, талап кыла алат же баш тарта алат, сервер да ошондой тандоо кылат. Эки тарап тең талап кылса байланыш көтөрүлөт; бири талап кылып, экинчиси баш тартса, LCP бүтөт.

pty "pptp vpn.example.net --nolaunchpppd"
name alice
remotename PPTP
require-mppe-128

Чалуудан мурун модулду modprobe ppp_mppe аркылуу жүктөңүз, анткени онсуз require-mppe-128 ишке ашпайт. Windowsто барабар көзөмөл — VPN жазуусунун коопсуздук өтмөгү, ал жерде кардарга сервер сунуштаганды кабыл алуунун ордуна шифрлөөнү талап кылууну айтуу керек. Сервер дагы эле LCPни токтотсо, анын операторунан MPPE милдеттүүбү, кошумчабы же өчүрүлгөнбү деп сураңыз, анткени кардар сервер баш тарткан коргоону сүйлөшө албайт. Билдирүү жоголушу үчүн шифрлөөнү өчүрүү — туура эмес багыт: бул ушул протоколдун жалгыз коргоосун алып салат.

Оңдоодон мурун иштеген өнөктөш файлын сактаңыз. Туура эмес тертилген require-mppe сабы ошол эле жалпы LCP катасын кайталап, сизди башталышка кайтарат.

Апплеттин ордуна pppdнин өз журналын окуңуз

Иш тактасынын апплеттери үзүлүүнү көрсөтүп, себебин жашырат, ошондуктан демондун бир аракет тууралуу баянын окуңуз. systemd системаларында билдирүү journalга түшөт; эскирээк конфигурациялар салттуу журнал файлдарына жазат.

journalctl --since "10 min ago" | grep -i -E "pppd|lcp|mppe"
tail -n 50 /var/log/syslog

Бир күндүк кайра туташуулардын ордуна бир чалуунун айланасындагы терезеде издеңиз, ошондо баш тартылган параметр оңой көрүнөт. pppd адатта параметрдин атын жана өнөктөштүн жообун айтат, бул өз сунушуңузду өзгөртүү керекпи же сервер тарабынан талапты жумшартууну сурануу керекпи экенин билдирет. Аракеттерди убакыт белгиси менен кармаңыз, анткени кайсы саптар кайсы чалууга таандык экенин билбейинче эки журналды салыштыруу пайдасыз. Эгер LCP алмашуусу такыр көрүнбөсө, ката чынжырда эртерек жана MPPE шектүү эмес.

Кайра туташууларда оңдоону сактаңыз: hook аттары жана MTU

Байланыш туруктуу тургандан кийин, анын кайра туташууга чыдайбы же жокпу дегенди эки деталь чечет. Hookтор /etc/ppp/ip-up.d жана /etc/network/if-up.d ичинде жашайт, эки каталогду тең run-parts иштетет, анын файл аты чыпкасы чекит бардыгын кабыл албайт. Ошондуктан set-pptp.sh деп аталган скрипт өткөрүлүп кетет, ал эми set-pptp аткарылат. Скрипттин ичиндеги мазмунду жөндөөдөн мурун атын текшериңиз, андан кийин ошол hookтун ичинен кичирээк MTUну коюңуз, ошентип ар бир жаңы ppp интерфейси аны кол менен буйруксуз мураска алат.

run-parts --test /etc/ppp/ip-up.d
ip link set dev ppp0 mtu 1200

Сессияны атайын бүтүрүү үчүн процесс аттарын үлгү менен дал келтирүүнүн ордуна pppd жазып койгон pidди бутага алыңыз, анткени ppp бардыгын өлтүрүү байланышсыз шилтемелерди да бузат. PPTP эскирген жана MS-CHAPv2 алсыз, ошондуктан бул текшерүүлөрдү иштеп турушу керек болгон байланышка тейлөө катары кабыл алыңыз, PPTPни жаңы жерде жайгаштыруу себеби катары эмес.