PPTP катасы 800 жана 812, ошондой эле бир мүнөттөн кийинки үзүлүү

Бир PPTP кардарынан келген үч ката билдирүүсү адатта үч башка кемчиликти сүрөттөйт. 800 катасы туннел такыр түзүлбөгөнүн билдирет, 812 катасы сервер аутентификация ыкмасын четке какканын билдирет, ал эми бир мүнөттөн кийинки үзүлүү — ден соолугу жакшы өнөктөш кетти деп чечкен keepalive таймери. Ар бир этап өз себебинен ишсиз болот, ошондуктан ар бирине өз текшерүүсү керек.

800 катасы туннел такыр түзүлбөгөнүн билдирет

Windows 800 катасын туннелди такыр кура албаганда чыгарат, ал эми жетүү мүмкүн болбогон сервер же жараксыз коопсуздук параметрлери жөнүндөгү текст диагноз эмес, корутунду. PPTP кандайдыр бир эсептик дайындарды текшерүүдөн мурун тармактан эки өзүнчө нерсе талап кылат. TCP 1723 башкаруу каналын ташыйт, ал эми IP 47 протоколу, башкача айтканда GRE, инкапсуляцияланган жүктү ташыйт.

Ошол сырткы жолду өз LAN-ыңыздын сыртынан текшериңиз, анткени кеңседе иштеген байланыш чек жөнүндө эч нерсени далилдебейт:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Эгер 1723 жооп берип, кардар туташууга аракет кылып жатканда жазуу бош калса, жол 47 протоколун таштап жатат. 1723 багытталган, бирок PPTP өткөрүүсү өчүк маршрутизатор дал ушундай сүрөттү берет: TCP кол алышуусу аяктайт, анан GRE пакеттери жоголот, ошондуктан ката эсептик дайындар маселесине окшошот, бирок кирүү аракети жасалган эмес.

Багыттоону сервердин учурдагы LAN дарегине багыттаңыз, маршрутизатор сунуш кылган жерде PPTP өткөрүүсүн күйгүзүңүз жана ошол эле сырткы чекиттен кайра аракет кылыңыз. GRE жогоруда чыпкаланса жана аны өзгөртө албасаңыз, TCP 443 үстүндөгү SSTP же UDP 500 жана 4500 үстүндөгү L2TP/IPsec Windows тарабында жасай ала турган ар кандай өзгөртүүгө караганда мүмкүнчүлүгү көбүрөөк.

812 катасы — сервердин сиздин аутентификация ыкмаңызды четке кагышы

812 катасы туннел көтөрүлгөндөн кийин кайтат, ошондуктан сырсөз маселесиндей сезилет. Сервер туташуу үчүн келишилген аутентификация ыкмасын четке кагат, сөзсүз түрдө сырсөздүн өзүн эмес. Кардарда VPN жазуусун ачыңыз, коопсуздук өтмөгүнө өтүңүз, түрүн Point-to-Point Tunneling Protocol деп коюңуз, ачык протоколдор тизмесин тандаңыз жана Microsoft CHAP 2-версиясын белгилеңиз.

Учурдагы жөндөөнү диалогдон баспай эле окуй аласыз:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

MS-CHAP v2 талап кылган сервер PAP-та же алсызыраак нерсеге келишкен автоматтык түрдө калтырылган кардарды четке кагат, ал эми ката кандайдыр бир колдонуучу сырсөзү бааланардан мурун келет. Эсеп форматы ошол эле четке кагуунун экинчи жарымы. Бир учурда Windows MicrosoftAccount\[email protected] түрүндөгү Microsoft эсеп идентификациясын жөнөттү, ал эми сервер жергиликтүү же домендик эсепти каалачу. SERVERNAME\username терүү Windows-ка кайсы эсеп кампасына кайрылууну айтып, катаны жойду. Атыңызды кол менен киргизиңиз, сакталган эсептик дайындарга мурунку форматты кайталоого жол бербеңиз.

Бир мүнөттөн кийинки үзүлүүлөр — keepalive чечими

Туннел туташып, бир аз трафикти өткөрүп, анан ажыраса, кардарга тийүүдөн мурун сервердин LCP жаңыртуу жүрүм-турумун караңыз. Демон өнөктөштөн дагы барбы деп ырастоону мезгил-мезгили менен сурайт. Белгиленген бюджеттин ичинде өтө аз жооп келсе, колдонуучунун дагы иштеген байланышы бар болсо да, сессия бузулат.

Linux pptpd серверинде бул маанилер /etc/ppp/options.pptpd ичинде жашайт, ал эми адаттагы оңдоо интервалды кыскартуу эмес, бюджетти кеңейтүү:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Беш секунддук интервалда отуз өткөрүп жиберүү кыска токтоп калууну кечирет, өнөктөштү кетти деп жарыялоонун ордуна. Санды бир же экиге төмөндөтүү которулган жолдогу кадимки титирөөнү болжол менен ар мүнөт сайын ажыратууга айландырат. Эгер сервериңиз pptpd эмес, Windows RRAS болсо, анын ордуна PPP сессиясынын тайм-аутун жана бош турганда ажыратуу саясатын караңыз. Алар башка жерде жашайт, ал эми жок pppd файлын түзөтүү эч нерсени өзгөртпөйт.

Кайчылашкан ички тармактар маалымат жолун бузат

PPTP туннели таза аутентификацияланып, баары бир эч жерге жетпеши мүмкүн, эгер эки жай тең бирдей жеке диапазонду колдонсо, мисалы кеңседе жана үйдө 192.168.1.0/24. Кардар берилген дарек кайсы хостко тиешелүү экенин айта албайт, ал эми кээ бир стектер бирөөнү тандоонун ордуна маршрутту такыр орнотпойт.

Муну долбоордук кемчилик деп карап, бир тарапты кайра номурлаңыз же кардарга атайын которулган кирүү диапазонун бериңиз. PPTP кардарын жөндөө эки жолу бар дарек мейкиндигин оңдой албайт, ал эми симптом кокустук үзүлүү сыяктуу көрүнө берет.

Ишсиз болгон этаптан баштаңыз: 800 үчүн GRE, 812 үчүн ыкма жана эсеп сабы, график боюнча өлгөн туннел үчүн жаңыртуу жөндөөлөрү.