GRE-Schreiffehler op pptpd sinn net e Passwuertproblem

GRE-Schreiffehler am Log, an den éischten Instinkt ass dem Benotzer säi Passwuert zréckzesetzen. Dee Instinkt ass bal ëmmer falsch. Dës Meldungen beschreiwen den Datenwee, net d'Préifung vun den Umeldungsdaten: de Client kann sech erfollegräich authentifizéiert hunn an duerno an der Etapp stoe bliwwen, wou en sech am Netz registréiert. Zwou verschidde Meldungen deiten op zwee verschidde Feeler, an keen gëtt duerch en neit Passwuert geléist.

Zwou Meldungen, zwee verschidde Feeler

E Liefehler heescht, datt d'GRE-Päckelen ni beim Daemon ukommen, oder um Wee dobannen erofgehäit ginn. D'Kontrollverbindung kann komplett gesond ausgesinn, wärend näischt iwwer den Datenwee geet. D'Authentifikatioun ass dat eenzegt, wat bewosst funktionéiert huet.

E Schreiffehler heescht meeschtens, datt d'Sessioun eppes verhandelt huet, wat de Kernel oder de Client net ka benotzen. De Kontrollkanal ass fäerdeg ginn, an d'Optiounen, déi an deem Austausch ausgemaach goufen, passen net zu deem, wat d'Ennpunkten tatsächlech kënnen. Dat ass eng Konfiguratiounsdifferenz, keen Authentifikatiounsevent.

Liest, wéi eng vun den zwou erschéngt, ier dir eppes ännert. Si schécken dech an aner Schichten, an se als een Symptom ze behandelen ass de Grond, firwat dee selwechte Server zweemol aus onverbonnene Grënn gepatcht gëtt. D'Loglinn ass déi eenzeg gratis Diagnos, déi s du kréis.

Protokoll 47 ass net Port 47

PPTP benotzt TCP 1723 fir den Uruff opzebauen an GRE fir d'Notzlaascht ze droen. GRE ass IP-Protokoll 47, keng Portnummer, dofir erlaabt eng Firewallregel, déi Port 47 opmécht, näischt Nëtzleches.

E Router um Wee brauch eng PPTP-Passthrough-Funktioun oder eng explizit GRE-Erlaabnes. Ouni déi geet den TCP-Handshake fäerdeg an den Tunnel dréit ni e Pak, wat genee de Liefehler uewe produzéiert. Port-47-Regelen an enger Firewall sinn de meescht verschwendten Nomëtteg an dësem Protokoll.

Beobacht béid Richtungen zur selwechter Zäit um Server amplaz ze roden, wéi eng Säit den Traffic erofgeheit: tcpdump -ni any port 1723 or proto gre.

Wann 1723 den Uruffopbau weist, während GRE stëll bleift, ass de Block iwwer dem Host. Wann GRE ukommt an den Daemon nach ëmmer feelt, ass de Problem lokal an d'Optiounen sinn déi nächst Plaz.

Erlaabt GRE do wou den Host tatsächlech weiderleet

Eng forward-Regel fir GRE anzefügen ass en raisonnabel Test op engem Host, deen Tunnel-Traffic weiderleet, an et ass keng Politik. Eng Testregel, déi alles vun engem Protokoll akzeptéiert, ass eng Diagnos, keen Design. Looss se laang genuch stoen, fir eppes ze léieren, an ersetz se duerno duerch eng agegrenzt Regel.

Füüg eng input-Regel fir Päckelen derbäi, déi un de Server selwer adresséiert sinn, well d'forward-Kette se net gesäit. Kuck duerno d'Zähler vun der Regel virun an no engem Verbindungsversuch, wat dir seet, ob d'Päckelen iwwerhaapt ukommen.

Maach d'Regel dauerhaft iwwer de Firewalldéngscht vun der Distributioun amplaz se no all Neistart nach eng Kéier auszeféieren. Op engem nftables-Host passt ip protocol gre souwuel an der input- wéi och an der forward-Kette un.

Bestätegt, datt de Modul ppp_generic och gelueden ass, a préift ob d'Verbindungsverfolgung d'Réckrichtung erofgeheit. Béides produzéiert Feeler, déi wéi e Firewallproblem ausgesinn an et net sinn. E fehlende Kernelmodul gesäit genee wéi e blockéierte Protokoll aus, bis du no kucks.

Passt d'Optiounen un de Client un, deen s du tatsächlech hues

D'Korrektur aus dem aneren Rapport ass an /etc/ppp/pptpd-options, wou d'Rezept PAP, CHAP an MSCHAP refuséiert, déi passend require-Zeilen auskommentéiert a stateful MPPE behält. Dëst Rezept gouf fir eng Clientmëschung geschriwwen, a blann kopéieren brécht den normale Fall. Liest d'Refuszeilen als Ausso iwwer déi Cliente vum Auteur, net als Empfehlung.

E Windows-Client brauch normalerweis MS-CHAPv2 mat MPPE-128. Behäl déi Ufuerderungen a läsch just d'Optiounen, déi de Client wierklech net ka verhandelen.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

D'Verschlësselung ausschalten, fir datt eng Verbindung geléngt, ass eng Ofwäertung, keng Reparatur. Test esou eng Variant op enger Laborlinn, a stell d'Verschlësselung erëm hier, ier den Déngscht richtegen Cliente begéint. D'Verbindung, déi onsécher funktionéiert, ass méi schlëmm wéi déi, déi éierlech feelt.

Liest d'Feelfnummer vum Client

Den numeresche Code vum Client enkelt d'Etapp méi séier an wéi d'Serverlog. Liest en, ier s du eppes anescht liest. 691 heescht, datt d'Umeldungsdaten refuséiert goufen, 721 heescht, datt de Server ni geäntwert huet, an 619 heescht, datt d'Verbindung ofgebrach ass. Zwou Minutten mat der Nummer spuere eng Stonn mat der Konfiguratioun.

Vergläich dee Code mat der Serverlog, ier s du eppes ännert, a test nach eng Kéier mam selwechte Client no all Ännerung. Soss verstoppt sech en zweeten Feeler hannert dem éischten an d'Korrektur gesäit ineffektiv aus.

Wann d'Login geléngt an keen Traffic sech beweegt, bleift GRE de Verdächtegen. Dat ass de Moment fir op d'Opzeechnung zréckzekommen amplaz an den Umeldungsdatespeicher.