GRE rašymo klaidos pptpd — ne slaptažodžio problema

GRE rašymo klaida žurnale, ir pirmas impulsas yra iš naujo nustatyti vartotojo slaptažodį. Tas impulsas beveik visada klaidingas. Šie pranešimai aprašo duomenų kelią, o ne kredencialų patikrą: klientas galėjo sėkmingai autentifikuotis ir tada sustoti etape, kuriame registruojasi tinkle. Du skirtingi pranešimai rodo du skirtingus gedimus, ir nė vienas neišsprendžiamas nauju slaptažodžiu.

Du pranešimai, du skirtingi gedimai

Skaitymo klaida reiškia, kad GRE paketai niekada nepasiekia demono arba yra išmetami įeinant. Valdymo ryšys gali atrodyti visiškai sveikas, kol duomenų keliu niekas nejuda. Autentifikavimas yra vienintelis dalykas, kuris įrodomai veikė.

Rašymo klaida paprastai reiškia, kad sesija suderėjo tai, ko branduolys arba klientas negali naudoti. Valdymo kanalas baigėsi, o to mainų metu sutartos parinktys neatitinka to, ką galiniai taškai iš tikrųjų gali daryti. Tai konfigūracijos nesutarimas, ne autentifikavimo įvykis.

Prieš ką nors keisdami perskaitykite, kuris iš dviejų pasirodo. Jie veda į skirtingus sluoksnius, o traktavimas kaip vieno simptomo yra priežastis, kodėl tas pats serveris lopomas du kartus dėl nesusijusių priežasčių. Žurnalo eilutė yra vienintelė nemokama diagnostika, kurią gaunate.

47 protokolas nėra 47 prievadas

PPTP naudoja TCP 1723 skambučiui nustatyti ir GRE naudingajai apkrovai perduoti. GRE yra IP protokolas 47, ne prievado numeris, todėl ugniasienės taisyklė, atverianti 47 prievadą, nieko naudingo neleidžia.

Maršrutizatoriui kelyje reikia PPTP passthrough funkcijos arba aiškaus GRE leidimo. Be jo TCP rankos paspaudimas baigiasi, o tunelis niekada neperduoda paketo, o tai sukuria būtent aukščiau aprašytą skaitymo klaidą. 47 prievado taisyklės ugniasienėje yra dažniausiai iššvaistytas popietė šiame protokole.

Stebėkite abi kryptis vienu metu serveryje, o ne spėliokite, kuri pusė išmeta srautą: tcpdump -ni any port 1723 or proto gre.

Jei 1723 rodo skambučio nustatymą, o GRE tyli, blokavimas yra aukščiau hosto. Jei GRE ateina, o demonas vis dar nepavyksta, problema yra vietinė, o parinktys yra kita vieta.

Leiskite GRE ten, kur hostas iš tikrųjų persiunčia

Forward taisyklės GRE įterpimas yra pagrįstas bandymas hoste, kuris persiunčia tunelio srautą, ir tai nėra politika. Bandymo taisyklė, priimanti viską vieno protokolo, yra diagnostika, ne dizainas. Palikite ją pakankamai ilgai, kad ko nors išmoktumėte, tada pakeiskite ribota taisykle.

Pridėkite input taisyklę paketams, adresuotiems pačiam serveriui, nes forward grandinė jų nemato. Tada stebėkite taisyklės skaitiklius prieš prisijungimo bandymą ir po jo, kas pasakys, ar paketai apskritai ateina.

Padarykite taisyklę nuolatinę per distribucijos ugniasienės tarnybą, o ne vykdykite ją iš naujo po kiekvieno paleidimo. nftables hoste suderinkite ip protocol gre tiek input, tiek forward grandinėje.

Patvirtinkite, kad modulis ppp_generic taip pat įkeltas, ir patikrinkite, ar ryšių sekimas išmeta grįžimo kryptį. Abu sukuria gedimus, kurie atrodo kaip ugniasienės problema, bet ja nėra. Trūkstamas branduolio modulis atrodo lygiai kaip užblokuotas protokolas, kol nepatikrinsite.

Pritaikykite parinktis klientui, kurį iš tikrųjų turite

Kito pranešimo pataisa yra /etc/ppp/pptpd-options, kur receptas atmeta PAP, CHAP ir MSCHAP, komentuoja atitinkamas require eilutes ir palieka būsenos MPPE. Tas receptas buvo parašytas vienam klientų mišiniui, o aklas kopijavimas sugadina įprastą atvejį. Skaitykite atmetimo eilutes kaip teiginį apie tai, kokių klientų autorius turėjo, o ne kaip rekomendaciją.

Windows klientui paprastai reikia MS-CHAPv2 su MPPE-128. Išlaikykite šiuos reikalavimus ir pašalinkite tik tas parinktis, kurių klientas tikrai negali derėtis.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Šifravimo išjungimas, kad ryšys pavyktų, yra sumažinimas, ne taisymas. Išbandykite tokį variantą laboratorinėje linijoje, tada atkurkite šifravimą, kol paslauga nesusidurs su tikrais klientais. Ryšys, kuris veikia nesaugiai, yra blogesnis už tą, kuris sąžiningai nepavyksta.

Perskaitykite kliento klaidos numerį

Skaitmeninis kliento kodas susiaurina etapą greičiau nei serverio žurnalas. Perskaitykite jį prieš ką nors kitą. 691 reiškia, kad kredencialai atmesti, 721 reiškia, kad serveris niekada neatsakė, o 619 reiškia, kad ryšys nutrūko. Dvi minutės su numeriu sutaupo valandą su konfigūracija.

Palyginkite tą kodą su serverio žurnalu prieš ką nors redaguodami, ir po kiekvieno pakeitimo bandykite dar kartą su tuo pačiu klientu. Priešingu atveju antras gedimas pasislepia už pirmojo ir pataisa atrodo neveiksminga.

Kai prisijungimas pavyksta ir srautas nejuda, GRE vis dar įtariamasis. Tai momentas grįžti prie įrašo, o ne prie kredencialų saugyklos.