Firwat PPP CHAP eleng eng MPPE-Fuerderung net erfëlle kann

E PPTP-Profil, dat op Verschlësselung besteet, versot meeschtens un der selwechter Plaz: PPP eenegt sech op en Authentifizéierungstausch, deen ni dat Schlësselmaterial produzéiert, dat MPPE brauch. Den Tunnel gesäit hallef lieweg aus, d’Passwuert gëtt akzeptéiert, an d’Verbindung fält, ier iergendeen Trafik sech duerch et beweegt. Op d’CHAP-Auswielklëppchen ze gräifen, bis eppes sech verbënnt, verstoppt den eigentlechen Defekt, an dat ass e Kontrakt tëschent der Authentifizéierungsmethod an der Schutzpolitik. Déi ënnenst Kontrollen si sou uerdentlech, datt jiddwereen eng méi bëlleg Ursaach ausschléisst wéi déi nächst.

Zwou Verhandlungen lafen an enger PPTP-Verbindung

PPTP dréit eng normal PPP-Sessioun an engem GRE-Tunnel, an déi zwee verhandelen getrennt. Déi baussenzeg Schicht entscheet, wéi Pakete kapselt ginn a wéi ee Kontrollkanal existéiert; déi bannenzeg PPP-Sessioun entscheet, wien de Peer ass a wéi eng Schutz uewendrop läit. En Passwuert-Prompt beweist dofir nëmmen eppes iwwer déi bannenzeg Schicht, an en ofgeschlossene baussenzege Handshake beweist näischt iwwer eng vun deenen zwee. D’Profile versoe hei, well d’Leit den Tunnel debuggen, wärend den Dissens an der PPP sëtzt.

Einfachen CHAP ass den Erausfuerderungs-Antwert-Tausch an RFC 1994, gebaut op engem gedeelte Geheimnis an näischt anescht. MS-CHAPv2 ass en aneren Tausch mat aneren Noriichten an engem aneren Ausgang, standardiséiert an RFC 2759. D’gedeelt Wuert an den zwou Nimm ass dat eenzegt, wat se um Kabel gemeinsam hunn. Keng vun den Nimm seet, wat den Tausch produzéiert, an dat ass den eenzegen Deel, deen zielt.

Dofir ass eng Optioun, déi just CHAP heescht, an engem ale Profil zweedeiteg. Wann de Server MS-CHAPv2 wëllt an de Client einfachen CHAP ubitt, kann d’Verbindungskontroll nach ëmmer fäerdeg ginn an e Passwuert nach ëmmer akzeptéiert ginn. De Feeler kënnt méi spéit, wann de Server probéiert, Schutzschlësselen aus engem Tausch ofzeleeden, deen näischt produzéiert huet.

Passt déi gefuerdert Method un déi Schlësselen, déi se produzéiere kann

MPPE-Schlëssele sinn net eng Eegeschaft vu PPP am Allgemengen. Fir d’Microsoft-CHAP-Famill ass d’Ofleedung an RFC 3079 spezifizéiert, an se hëlt als Input den Ausgang vun engem MS-CHAP-Tausch anstatt e gedeelt Geheimnis. EAP-Methoden erreechen déiselwecht Plaz iwwer en anere Wee, woubäi den Authentifizéierungsserver d’Schlësselen als Attributer MS-MPPE-Recv-Key a MS-MPPE-Send-Key zréckgëtt. Einfachen CHAP erschéngt op keinem vun den zwee Weeër, an dat ass de ganzen Grond, firwat d’Onstëmmegkeet existéiert.

Eng Konfiguratioun, déi MPPE fuerdert an gläichzäiteg all Method ofleent, déi Schlësselen liwwere kann, ass bannen an sech widerspréchlech. pppd léist dee Widdersproch, andeems en d’Verbindung ofleent, net andeems en Schlësselen erfinnt, sou datt dat siichtbart Resultat eng Sessioun ass, déi sech authentifizéiert an dann an der Netzwierkphas ofgeschloss gëtt. De Client nach eng Kéier ze probéieren ännert dat net, soulaang de Server déi eenzeg Methoden ofleent, déi eppes ofleeden.

D’Reegel, déi duerno kënnt, ass kuerz: wann de Profil MPPE fuerdert, muss d’Method eng MS-CHAP-Variant oder eng EAP-Method sinn, deenen hir Schlësselen de Server zréckgëtt. Nëmmen MS-CHAPv2 ofzeleenen erzwéngt dat net, well MS-CHAPv1 och Schlësselen ofleet an verfügbar bleift, ausser et gëtt getrennt ofgeleent; béid ofzeleenen hannerléisst einfachen CHAP a PAP, déi näischt ofleeden an d’Fuerderung onerfëllbar maachen. Nennt déi akzeptéiert Method ausdrécklech, amplaz déi opzelëschten, déi dir net gär hutt. D’Verschlësselungsfuerderung fale loossen, fir e Client ze verbannen, ass eng Ofwäertung, keng Reparatur.

Liest d’Optioune vum Server, ier dir e Client ännert

Déi meescht vun dësen Onstëmmegkeeten si um Server an zwou Dateien ze gesinn, an se ze liese kascht manner wéi e Client nei opzebauen. Op engem Linux-PPTP-Endpunkt liewen déi relevant Astellungen an der pppd-Optiounsdatei, déi pptpd duerchgëtt. Féiert se um Server aus, net vun engem Client-Statusbildschierm. Fänkt mat de Linnen un, déi e Schutzmodus fuerderen, ofleenen oder nennen:

sudo grep -nE 'require-|refuse-|mppe|mschap' /etc/ppp/options.pptpd

Liest den Ausgang als Kontrakt an net als eng Lëscht vu Fändelen. Eng Linn, déi MPPE fuerdert an gläichzäiteg béid MS-CHAP-Varianten ofleent, kann kee Client erfëllen, an eng feelend Fuerderung fir eng MS-CHAP-Method léisst d’Dier op fir Tausch, déi keng Schlësselen ginn. Préift dann, wien iwwerhaapt sech authentifizéiere kann, wat d’Geheimnisdatei entscheet:

sudo sed -n '1,20p' /etc/ppp/chap-secrets
sudo pppd --version

Schreift dräi Wäerter op, ier dir eppes ännert: de baussenzege Protokoll, d’Authentifizéierungsmethod, déi de Server fuerdert, an ob de Schutz obligatoresch oder fakultativ ass. Déi dräi entscheeden all spéider Entscheedung, an se aus engem Client-Dialog ze roden ass de Wee, wéi e Profil hallef konfiguréiert ophalen. Haalt d’Datei op, wärend dir schafft, well deen nächsten Abschnitt déiselwecht dräi Wäerter brauch.

Fannt de Feeler no der PPP-Phas

PPP mellt Feeler a Phasen, an d’Phas seet, wéi eng Klausel vum Kontrakt gebrach ass. Eng Verbindung, déi ni d’Verbindungskontroll verléisst, huet e Kapselungs- oder Verhandlungsproblem, wärend eng, déi sech authentifizéiert an dann stierft, meeschtens e Politik- oder Schlësselproblem huet. Eng Verbindung, déi uewen bleift an näischt dréit, ass op d’Routing iwwergaangen, wat eng aner Enquête ass.

D’Journal hält d’Phaselinnen, an se si méi nëtzlech wéi en héijen Debug-Niveau. Frot d’PPP-Prozesser an d’Schutznoriichten, a liest dann d’Resultat vun der Authentifizéierung virun allem aneren. Déi lescht Linne nennen meeschtens d’Klausel, déi ofgeleent huet:

sudo journalctl -b --no-pager | grep -iE 'pppd|pptpd|mppe|chap' | tail -40

An deem Ausgang sicht dir als éischt d’Resultat vun der Authentifizéierung an dann eng Plainte, datt de Schutz gefuerdert awer net verhandelt gouf. Déi zweet Noriicht ass d’Ënnerschrëft vum uewe genannten Widdersproch, a keng Quantitéit vun erneierten Versich hëlt se ewech, soulaang de Server déi eenzeg Method ofleent, déi Schlësselen produzéiere kann. Zwou Falen verdéngen ernimmt ze ginn: den Debug-Niveau erhéijen, ouni d’Phaselinnen ze liesen, produzéiert Kaméidi, an Erausfuerderungsmaterial oder Passwierder ze fänken verwandelt eng Konfiguratiounsaufgab an e Lek vu Umeldungsinformatiounen. Schreift déi Phas op, ier dir eng Optioun ännert.

Plangt den Ausgang, ier den ale Endpunkt ausgeschalt gëtt

MPPE ass en historesche Mechanismus fir Verbindungsschutz, an seng Presenz mécht PPTP keng sënnvoll Wiel fir eng nei Deployement. D’aktuell Microsoft-Richtlinn rät schonn vu PPTP of a vun L2TP/IPsec mat engem virgedeelte Schlëssel fir nei Fernzougriffs-Deployementer. En ale Endpunkt lieweg ze halen ass eng Entscheedung iwwer eng existent Leeschtung, keen Template fir déi nächst.

Wann den Endpunkt muss bleiwen, schreift de Kontrakt op: baussenzege Protokoll, gefuerdert Authentifizéierungsmethod, obligatoresche Schutz an d’Client-Versioun, déi en verhandelt. Wann en ka goen, wielt d’Gateway-Identitéit vum Ersatz, seng Client-Authentifizéierung a wou d’Umeldungsinformatiounen wäerte liewen, ier dir den ale Profil beréiert. Plangt dann Route, DNS an d’Ressourcen, op déi all Benotzer autoriséiert ass. Validéiert den ugedaachte Client géint d’Fuerderunge vum Propriétaire an net géint eng funktionéierend Verbindung.

Eng bewosst Oflehnung soll eng Oflehnung bleiwen, well an en ongeschützte Modus zeréckzefalen, fir en Test duerchzekréien, e Politikfeeler an eng Expositioun verwandelt. Den ofgeschlossenen Zoustand ass e ënnerstëtzten, dokumentéierte Kontrakt, net de klengsten Set vun Ännerungen, deen eng al Verbindung geléngt. Loosst den ale Profil op senger Plaz, onbenotzt an dokumentéiert, bis den Ersatz déiselwecht Kontrollen duerchgeet.