Il-fallimenti tal-kitba GRE fuq pptpd mhumiex problema ta' password

Falliment tal-kitba GRE fil-log, u l-ewwel istint huwa li tirrisettja l-password tal-utent. Dak l-istint kważi dejjem żbaljat. Dawn il-messaġġi jiddeskrivu l-mogħdija tad-dejta, mhux il-verifika tal-kredenzjali: il-klijent jista' jkun awtentika b'suċċess u mbagħad waqaf fl-istadju fejn jirreġistra fuq in-netwerk. Żewġ messaġġi differenti jindikaw żewġ ħsarat differenti, u lanqas waħda ma tissolva b'password ġdida.

Żewġ messaġġi, żewġ ħsarat differenti

Falliment tal-qari jfisser li l-pakketti GRE qatt ma jaslu għand id-daemon, jew jiġu mwarrba meta jidħlu. Il-konnessjoni tal-kontroll tista' tidher perfettament sana waqt li xejn ma jaqsam il-mogħdija tad-dejta. L-awtentikazzjoni hija l-unika ħaġa li ċertament ħadmet.

Falliment tal-kitba normalment ifisser li s-sessjoni nnegozjat xi ħaġa li l-kernel jew il-klijent ma jistgħux jużaw. Il-kanal tal-kontroll tlestiet, u l-għażliet miftiehma f'dak l-iskambju ma jaqblux ma' dak li l-punti tat-tmiem jistgħu verament jagħmlu. Dan huwa nuqqas ta' qbil fil-konfigurazzjoni, mhux avveniment ta' awtentikazzjoni.

Aqra liema miż-żewġ tidher qabel ma tbiddel xejn. Huma jwassluk għal saffi differenti, u li tittrattahom bħala sintomu wieħed huwa r-raġuni għaliex l-istess server jiġi patched darbtejn għal raġunijiet mhux relatati. Il-linja tal-log hija l-unika dijanjosi b'xejn li tikseb.

Il-protokoll 47 mhux il-port 47

PPTP juża TCP 1723 biex jistabbilixxi l-konnessjoni u GRE biex iġorr il-payload. GRE huwa l-protokoll IP 47, mhux numru tal-port, għalhekk regola tal-firewall li tiftaħ il-port 47 ma tippermetti xejn utli.

Router fil-mogħdija jeħtieġ karatteristika passthrough PPTP jew permess GRE espliċitu. Mingħajrha, il-handshake TCP jitlef u t-tunnel qatt ma iġorr pakkett, li jipproduċi eżatt il-falliment tal-qari ta' fuq. Regoli tal-port 47 fi firewall huma l-iktar wara nofsinhar moħlija f'dan il-protokoll.

Osserva ż-żewġ direzzjonijiet fl-istess ħin fuq is-server minflok taqta' liema naħa tarmi t-traffiku: tcpdump -ni any port 1723 or proto gre.

Jekk 1723 juri l-istabbiliment tal-konnessjoni waqt li GRE jibqa' sieket, il-blokk huwa 'l fuq mill-host. Jekk GRE jasal u d-daemon xorta jonqos, il-problema hija lokali u l-għażliet huma l-post li jmiss.

Ippermetti GRE fejn l-host verament jgħaddi

Id-dħul ta' regola forward għal GRE huwa test raġonevoli fuq host li jgħaddi traffiku tat-tunnel, u mhix politika. Regola ta' test li taċċetta kollox ta' protokoll wieħed hija dijanjosi, mhux disinn. Ħalliha biżżejjed biex titgħallem xi ħaġa, imbagħad ibdelha b'regola limitata.

Żid regola input għall-pakketti indirizzati lis-server stess, għax il-katina forward ma tarahomx. Imbagħad ħares lejn il-kontaturi tar-regola qabel u wara tentattiv ta' konnessjoni, li jgħidlek jekk il-pakketti jaslux.

Agħmel ir-regola permanenti permezz tas-servizz tal-firewall tad-distribuzzjoni minflok terġa' tmexxiha wara kull reboot. Fuq host nftables, qabbel ip protocol gre kemm fil-katina input kif ukoll fil-katina forward.

Ikkonferma li l-modulu ppp_generic huwa wkoll mgħobbi, u ċċekkja jekk it-traċċar tal-konnessjonijiet huwiex jarmi d-direzzjoni tar-ritorn. It-tnejn jipproduċu fallimenti li jidhru bħala problema tal-firewall u mhumiex. Modulu tal-kernel nieqes jidher eżatt bħal protokoll imblukkat sakemm tiċċekkja.

Qabbel l-għażliet mal-klijent li verament għandek

It-tiswija tar-rapport l-ieħor hija fi /etc/ppp/pptpd-options, fejn ir-riċetta tirrifjuta PAP, CHAP u MSCHAP, tikkummenta l-linji require li jaqblu u żżomm MPPE bi stat. Dik ir-riċetta nkitbet għal taħlita waħda ta' klijenti, u l-kopja għamja tkisser il-każ komuni. Aqra l-linji tar-rifjut bħala dikjarazzjoni dwar liema klijenti kellu l-awtur, mhux bħala rakkomandazzjoni.

Klijent Windows normalment jeħtieġ MS-CHAPv2 ma' MPPE-128. Żomm dawk ir-rekwiżiti u neħħi biss l-għażliet li l-klijent verament ma jistax jinnegozja.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Li tiddiżattiva l-encryption biex konnessjoni tirnexxi hija degradazzjoni, mhux tiswija. Ipprova varjant bħal dan fuq rabta tal-laboratorju, imbagħad erġa' stabbilixxi l-encryption qabel is-servizz jiffaċċja klijenti reali. Il-konnessjoni li taħdem b'mod mhux sigur hija agħar minn dik li tonqos b'onestà.

Aqra n-numru tal-iżball tal-klijent

Il-kodiċi numeriku tal-klijent jidjieq l-istadju aktar malajr mill-log tas-server. Aqrah qabel taqra kull ħaġa oħra. 691 ifisser li l-kredenzjali ġew miċħuda, 721 ifisser li s-server qatt ma wieġeb, u 619 ifisser li l-konnessjoni nqatgħet. Żewġ minuti man-numru jiffrankaw siegħa mal-konfigurazzjoni.

Qabbel dak il-kodiċi mal-log tas-server qabel ma teditja xejn, u erġa' pprova bl-istess klijent wara kull bidla. Inkella t-tieni falliment jinħeba wara l-ewwel u t-tiswija tidher ineffettiva.

Meta d-dħul jirnexxi u ebda traffiku ma jiċċaqlaq, GRE jibqa' s-suspettat. Dak huwa l-mument li terġa' lura għall-qabda minflok għall-maħżen tal-kredenzjali.