Żball PPTP 800 kontra 812 u qtigħ ta’ konnessjoni wara minuta

Tliet messaġġi ta’ żball minn klijent PPTP wieħed normalment jiddeskrivu tliet ħsarat differenti. Żball 800 ifisser li t-tunnel qatt ma fforma, żball 812 ifisser li s-server ċaħad il-metodu ta’ awtentikazzjoni, u qtigħ wara minuta huwa timer keepalive li jiddeċiedi li peer b’saħħtu telaq. Kull stadju jfalli għar-raġuni tiegħu, għalhekk kull wieħed irid il-verifika tiegħu.

Żball 800 ifisser li t-tunnel qatt ma fforma

Windows iqajjem żball 800 meta ma jistax jibni t-tunnel xejn, u t-test dwar server li ma jintlaħaqx jew parametri tas-sigurtà mhux xierqa huwa sommarju mhux dijanjosi. PPTP jeħtieġ żewġ affarijiet separati min-netwerk qabel ma tiġi eżaminata xi kredenzjali. TCP 1723 iġorr il-kanal tal-kontroll, u l-protokoll IP 47, GRE, iġorr it-tagħbija inkapsulata.

Ittestja dak il-mogħdija ta’ barra minn barra l-LAN tiegħek stess, għax konnessjoni li taħdem fl-uffiċċju ma tipprova xejn dwar it-tarf:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Jekk 1723 iwieġeb u l-qbid jibqa’ vojt waqt li l-klijent jipprova jgħaqqad, il-mogħdija tkun qed twaqqa’ l-protokoll 47. Router b’1723 imqassam ’il quddiem imma passthrough PPTP mitfi jipproduċi eżatt dak il-mudell: il-handshake TCP jitlesta, imbagħad il-pakketti GRE jisparixxu, għalhekk il-falliment jidher bħala problema ta’ kredenzjali għalkemm ma sar l-ebda attentat ta’ login.

Idderieġi l-qsim lejn l-indirizz LAN attwali tas-server, ixgħel il-passthrough PPTP fejn ir-router joffrih, u erġa’ pprova mill-istess punt ta’ barra. Meta GRE jiġi ffiltrat ’il fuq u ma tistax tbiddlu, SSTP fuq TCP 443 jew L2TP/IPsec fuq UDP 500 u 4500 għandu ċans aħjar minn kwalunkwe bidla li tista’ tagħmel fuq in-naħa ta’ Windows.

Żball 812 huwa s-server li jiċħad il-metodu ta’ awtentikazzjoni tiegħek

Żball 812 jerġa’ lura wara li t-tunnel jitla’, għalhekk iħossu bħal problema tal-password. Is-server jiċħad il-metodu ta’ awtentikazzjoni nnegozjat għall-konnessjoni, mhux bilfors il-password innifisha. Fuq il-klijent, iftaħ l-entrata VPN, mur fit-tab tas-sigurtà, issettja t-tip għal Point-to-Point Tunneling Protocol, agħżel il-lista espliċita tal-protokolli u mmarka Microsoft CHAP verżjoni 2.

Tista’ taqra s-setting attwali mingħajr ma tikklikkja fid-djalogu:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Server li jitlob MS-CHAP v2 jiċħad klijent li jitħalla fuq PAP jew fuq tip awtomatiku li jinnegozja xi ħaġa eħfef, u l-iżball jasal qabel ma tiġi evalwata xi password tal-utent. Il-format tal-kont huwa n-nofs l-ieħor tal-istess ċaħda. F’każ wieħed Windows bagħat identità ta’ kont Microsoft tal-forma MicrosoftAccount\[email protected] filwaqt li s-server ried kont lokali jew tad-dominju. It-tipjar ta’ SERVERNAME\username qal lil Windows liema maħżen tal-kontijiet għandu jikkonsulta u neħħa l-iżball. Daħħal l-isem bl-idejn minflok tħalli kredenzjali maħżuna terġa’ tindaqq format preċedenti.

Il-qtigħ wara minuta huwa deċiżjoni ta’ keepalive

Meta t-tunnel jgħaqqad, jgħaddi ftit traffiku u mbagħad jaqta’, ħares lejn l-imġiba tal-eku LCP tas-server qabel ma tmiss il-klijent. Id-daemon jitlob lill-peer perjodikament jikkonferma li għadu hemm. Jekk jaslu wisq ftit tweġibiet fil-baġit ikkonfigurat, is-sessjoni titwaqqa’ għalkemm l-utent għadu għandu rabta li taħdem.

Fuq server Linux pptpd dawk il-valuri jgħixu f’/etc/ppp/options.pptpd, u t-tiswija tas-soltu hija li twessa’ l-baġit mhux li tqassar l-intervall:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Tletin miss f’intervall ta’ ħames sekondi jaħfru waqfa qasira minflok jiddikjaraw li l-peer telaq. It-tnaqqis tan-numru għal wieħed jew tnejn iddawwar jitter ordinarju fuq mogħdija tradotta fi qtigħ madwar kull minuta. Jekk is-server tiegħek huwa Windows RRAS u mhux pptpd, ħares minflok lejn it-timeout tas-sessjoni PPP u l-politika tal-qtigħ waqt l-inattività. Dawk jgħixu f’post ieħor, u l-editjar ta’ fajl pppd li ma jeżistix mhu se jbiddel xejn.

Is-subnets li jaqsmu bejniethom ikissru l-mogħdija tad-data

Tunnel PPTP jista’ jawtentika b’mod nadif u xorta ma jasal imkien meta ż-żewġ siti jużaw l-istess firxa privata, pereżempju 192.168.1.0/24 fl-uffiċċju u d-dar. Il-klijent ma jistax jgħid liema host jirreferi għalih indirizz partikolari, u xi stacks jirrifjutaw li jinstallaw ir-rotta xejn minflok jagħżlu waħda.

Ittratta dak bħala difett fid-disinn u erġa’ nnumerja naħa waħda, jew agħti lill-klijent firxa ta’ aċċess tradotta apposta. Id-debug tal-klijent PPTP ma jistax isewwi spazju tal-indirizzi li jeżisti darbtejn, u s-sintomu jibqa’ jidher bħal qtigħ każwali.

Ibda mill-istadju li falla: GRE għall-800, il-metodu u l-string tal-kont għall-812, is-settings tal-eku għal tunnel li jmut skont l-iskeda.