GRE rakstīšanas kļūdas pptpd nav paroles problēma

GRE rakstīšanas kļūda žurnālā, un pirmā tieksme ir atiestatīt lietotāja paroli. Šī tieksme gandrīz vienmēr ir nepareiza. Šie ziņojumi apraksta datu ceļu, nevis akreditācijas datu pārbaudi: klients var būt veiksmīgi autentificējies un pēc tam iestrēdzis posmā, kurā tas reģistrējas tīklā. Divi dažādi ziņojumi norāda uz divām dažādām kļūmēm, un nevienu no tām nevar atrisināt ar jaunu paroli.

Divi ziņojumi, divas dažādas kļūmes

Lasīšanas kļūme nozīmē, ka GRE paketes nekad nesasniedz dēmonu vai tiek izmestas, ieejot iekšā. Vadības savienojums var izskatīties pilnīgi vesels, kamēr nekas nešķērso datu ceļu. Autentifikācija ir vienīgais, kas pierādāmi darbojās.

Rakstīšanas kļūme parasti nozīmē, ka sesija vienojās par kaut ko, ko kodols vai klients nevar izmantot. Vadības kanāls tika pabeigts, un šajā apmaiņā saskaņotās opcijas neatbilst tam, ko galapunkti faktiski var darīt. Tā ir konfigurācijas nesaskaņa, nevis autentifikācijas notikums.

Pirms kaut ko mainīt, izlasiet, kura no divām parādās. Tās ved uz dažādiem slāņiem, un to uztveršana kā viena simptoma ir iemesls, kāpēc viens un tas pats serveris tiek labots divreiz nesaistītu iemeslu dēļ. Žurnāla rinda ir vienīgā bezmaksas diagnostika, ko iegūstat.

47. protokols nav 47. ports

PPTP izmanto TCP 1723, lai izveidotu zvanu, un GRE, lai pārnēsātu lietderīgo slodzi. GRE ir IP protokols 47, nevis porta numurs, tāpēc ugunsmūra noteikums, kas atver 47. portu, neļauj neko lietderīgu.

Maršrutētājam ceļā nepieciešama PPTP passthrough funkcija vai skaidra GRE atļauja. Bez tās TCP roku saspiešana beidzas un tunelis nekad nepārnēsā pakešu, kas rada tieši iepriekš aprakstīto lasīšanas kļūmi. 47. porta noteikumi ugunsmūrī ir visbiežāk izšķērdētā pēcpusdiena šajā protokolā.

Vērojiet abus virzienus vienlaikus serverī, nevis miniet, kura puse izmet satiksmi: tcpdump -ni any port 1723 or proto gre.

Ja 1723 rāda zvana izveidi, kamēr GRE klusē, bloķēšana ir virs resursdatora. Ja GRE ierodas un dēmons joprojām neizdodas, problēma ir lokāla, un opcijas ir nākamā vieta, kur skatīties.

Atļaujiet GRE tur, kur resursdators faktiski pārsūta

Forward noteikuma ievietošana GRE ir saprātīgs tests resursdatorā, kas pārsūta tuneļa satiksmi, un tas nav politikas noteikums. Testa noteikums, kas pieņem visu viena protokola, ir diagnostika, nevis dizains. Atstājiet to pietiekami ilgi, lai kaut ko uzzinātu, pēc tam aizstājiet ar ierobežotu noteikumu.

Pievienojiet input noteikumu paketēm, kas adresētas pašam serverim, jo forward ķēde tās neredz. Pēc tam apskatiet noteikuma skaitītājus pirms savienojuma mēģinājuma un pēc tā, kas parāda, vai paketes vispār ierodas.

Padariet noteikumu pastāvīgu, izmantojot distribūcijas ugunsmūra pakalpojumu, nevis izpildiet to atkārtoti pēc katras pārstartēšanas. nftables resursdatorā saskaņojiet ip protocol gre gan input, gan forward ķēdē.

Pārliecinieties, ka arī modulis ppp_generic ir ielādēts, un pārbaudiet, vai savienojumu izsekošana izmet atgriešanās virzienu. Abi rada kļūmes, kas izskatās kā ugunsmūra problēma, bet nav. Trūkstošs kodola modulis izskatās tieši kā bloķēts protokols, līdz pārbaudāt.

Pielāgojiet opcijas klientam, kas jums faktiski ir

Otrā ziņojuma labojums ir /etc/ppp/pptpd-options, kur recepte noraida PAP, CHAP un MSCHAP, komentē attiecīgās require rindas un saglabā stāvokļa MPPE. Šī recepte tika rakstīta vienam klientu maisījumam, un akla kopēšana salauž parasto gadījumu. Lasiet noraidīšanas rindas kā apgalvojumu par to, kādi klienti autoram bija, nevis kā ieteikumu.

Windows klientam parasti nepieciešams MS-CHAPv2 ar MPPE-128. Saglabājiet šīs prasības un noņemiet tikai tās opcijas, par kurām klients patiešām nevar vienoties.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Šifrēšanas izslēgšana, lai savienojums izdotos, ir pazemināšana, nevis labošana. Pārbaudiet šādu variantu laboratorijas līnijā, pēc tam atjaunojiet šifrēšanu, pirms pakalpojums saskaras ar īstiem klientiem. Savienojums, kas darbojas nedroši, ir sliktāks par to, kas godīgi neizdodas.

Izlasiet klienta kļūdas numuru

Klienta skaitliskais kods sašaurina posmu ātrāk nekā servera žurnāls. Izlasiet to pirms jebkas cits. 691 nozīmē, ka akreditācijas dati tika noraidīti, 721 nozīmē, ka serveris nekad neatbildēja, un 619 nozīmē, ka savienojums pārtrūka. Divas minūtes ar numuru ietaupa stundu ar konfigurāciju.

Salīdziniet šo kodu ar servera žurnālu pirms kaut ko rediģējat, un pēc katras izmaiņas testējiet vēlreiz ar to pašu klientu. Citādi otra kļūme slēpjas aiz pirmās, un labojums izskatās neefektīvs.

Kad pieteikšanās izdodas un satiksme nekustas, GRE joprojām ir aizdomās turamais. Tas ir mirklis, kad jāatgriežas pie ieraksta, nevis pie akreditācijas datu krātuves.