PPTP дээр LCP-г үе тэнгийн хүн таслав: эхлээд MPPE идэвхжүүлнэ үү

Холболт баталгаажуулалтад орж, клиент холбогдсон гэж мэдэгдээд, нэг секундын дараа лог LCP-г үе тэнгийн хүн таслав гэж хаагдана. Энэ мөр GRE туннелийн доторх PPP хэлэлцээрээс гардаг, өөрөөр хэлбэл тээвэр аль хэдийн ажиллаж байсан бөгөөд хоёр төгсгөл холболтын сонголтууд дээр санал нийлээгүй. Нууц үг, серверийн хаягууд энд ихэвчлэн гэмгүй байдаг. Шифрлэлтийн бодлого нь хамгийн түрүүнд харьцуулах зүйл бөгөөд Linux дээр pppd-ийн үе тэнгийн файл хамгийн түрүүнд харах газар юм.

LCP-ийн алдаа PPP үе шатын талаар юу гэж хэлдэг

PPTP нь PPP-г GRE дотор боож, TCP 1723 хяналтын холболт дуудлагыг бэлтгэж, GRE ачааг зөөж, дараа нь LCP баталгаажуулалтын протокол, шахалт, MPPE зэрэг сонголтуудыг хэлэлцдэг. Үе тэнгийн хүн шаардлагатай сонголт өөрийн талд хүлээн зөвшөөрөх боломжгүй үед LCP-г таслана. CHAP эсвэл MSCHAPv2 солилцоо дуусаад тэр даруй LCP дуусдаг лог нь бодлогын татгалзал, хүртээмжийн алдаа биш. Хэрэв туннель хэлэлцээрт огт хүрэхгүй бол LCP мөрийг уншихаас өмнө pppd болон түүний залгаасыг шалгаарай.

Хоёр урьдчилсан нөхцөлийг амархан алддаг. pppd-ийн хоёртын файл байх ёстой, үе тэнгийн файлд нэрлэсэн PPTP залгаас суулгагдсан байх ёстой; багц дутуу бол ямар ч сонголт хэлэлцэхээс өмнө дуудлага дуусна.

MPPE-г шаарддаг талд нь идэвхжүүлээрэй

Жинхэнэ шийдвэр нь шифрлэлтийн бодлогыг аль төгсгөл эзэмших вэ гэдэгт байна. Клиент MPPE-г санал болгож, шаардаж эсвэл татгалзаж болох бөгөөд сервер мөн адил сонголт хийдэг. Хоёулаа шаардвал холболт босч, нэг нь шаардаж нөгөө нь татгалзвал LCP дуусна.

pty "pptp vpn.example.net --nolaunchpppd"
name alice
remotename PPTP
require-mppe-128

Дуудлагаас өмнө модулийг modprobe ppp_mppe-ээр ачаална уу, учир нь үүнгүйгээр require-mppe-128 бүтэлгүйтнэ. Windows дээр ижил удирдлага нь VPN бичлэгийн аюулгүй байдлын таб бөгөөд серверийн санал болгосныг хүлээн авахын оронд шифрлэлтийг шаардахыг клиентэд зааварлах ёстой. Сервер LCP-г тасалсаар байвал MPPE заавал, сонголтоор эсвэл идэвхгүй эсэхийг оператороос асуугаарай, учир нь клиент серверийн татгалзсан хамгаалалтыг хэлэлцэж чадахгүй. Мессеж алга болохын тулд шифрлэлтийг унтраах нь буруу чиглэл: энэ протоколын цорын ганц хамгаалалтыг арилгадаг.

Засвараас өмнө ажиллаж буй үе тэнгийн файлыг хадгална уу. Буруу бичсэн require-mppe мөр ижил ерөнхий LCP алдааг дахин үүсгэж, таныг эхлэл рүү буцаана.

Апплет биш, pppd-ийн өөрийнх нь логыг уншина уу

Ширээний апплетууд холболт тасарсныг харуулаад шалтгааныг нуудаг тул демоны нэг оролдлогын тайлбарыг уншина уу. systemd системд мессеж journal руу ордог; хуучин тохиргоо уламжлалт лог файлууд руу бичдэг.

journalctl --since "10 min ago" | grep -i -E "pppd|lcp|mppe"
tail -n 50 /var/log/syslog

Бүтэн өдрийн дахин холболтын оронд нэг дуудлагын эргэн тойрны цонхыг хайвал татгалзсан сонголт амархан харагдана. pppd ихэвчлэн сонголтын нэр болон үе тэнгийн хариуг хэлдэг бөгөөд энэ нь өөрийн саналыг өөрчлөх эсвэл серверийн талаас шаардлагыг суллахыг хүсэх эсэхийг хэлж өгнө. Оролдлогуудыг цагийн тэмдэгтэй хадгалаарай, учир нь аль мөр аль дуудлагад хамаарахыг мэдэхгүй бол хоёр логыг харьцуулах нь ашиггүй. LCP солилцоо огт харагдахгүй бол алдаа гинжин хэлхээний өмнө байгаа бөгөөд MPPE сэжигтэн биш.

Дахин холболтын туршид засварыг хадгалаарай: hook-ийн нэр ба MTU

Холболт тогтвортой үлдсэний дараа дахин холболтыг давж чадах эсэхийг хоёр зүйл шийднэ. Hook-ууд /etc/ppp/ip-up.d ба /etc/network/if-up.d дотор амьдардаг бөгөөд хоёр хавтасыг run-parts боловсруулдаг, түүний файлын нэрийн шүүлтүүр цэг агуулсан бүгдийг татгалздаг. Тиймээс set-pptp.sh нэртэй скрипт алгасагдаж, set-pptp ажиллана. Скриптийн агуулгыг дибаг хийхээс өмнө нэрийг шалгаж, дараа нь тэр hook-ийн дотроос бага MTU-г тохируулж, шинэ ppp интерфэйс бүр гарын команкгүйгээр өвлөнө.

run-parts --test /etc/ppp/ip-up.d
ip link set dev ppp0 mtu 1200

Сессийг санаатайгаар дуусгахын тулд процессын нэрийг загвараар тааруулахын оронд pppd-ийн бүртгэсэн pid-г онилно уу, учир нь ppp агуулсан бүгдийг устгах нь хамааралгүй холболтыг ч таслана. PPTP хуучирсан бөгөөд MS-CHAPv2 сул тул эдгээр шалгалтыг ажилласаар байх ёстой холболтын засвар үйлчилгээ гэж үзэж, PPTP-г шинэ газар байрлуулах шалтгаан болгож болохгүй.