LCP avsluttet av peer på PPTP: aktiver MPPE først

Forbindelsen autentiserer, klienten rapporterer tilkoblet, og ett sekund senere lukker loggen med LCP avsluttet av peer. Den linjen kommer fra PPP-forhandlingen inne i GRE-tunnelen, så transporten virket allerede, og de to endene var uenige om forbindelsens valg. Passord og serveradresser er vanligvis uskyldige her. Krypteringspolicyen er det første som må sammenlignes, og på Linux er pppd-peerfilen det første stedet å se.

Hva LCP-feilen sier om PPP-trinnet

PPTP pakker PPP inn i GRE: TCP 1723-kontrollforbindelsen setter opp anropet, GRE bærer nyttelasten, og deretter forhandler LCP om valg som autentiseringsprotokoll, komprimering og MPPE. Peeren avslutter LCP når et påkrevd valg ikke er akseptabelt på dens side. En logg der CHAP- eller MSCHAPv2-utvekslingen fullføres og LCP slutter rett etterpå, er en policyavvisning, ikke en feil i nåbarheten. Hvis tunnelen aldri når forhandlingen, undersøk pppd og plugin-en før du leser LCP-linjen.

To forutsetninger er lette å overse. pppd-binæren må finnes, og PPTP-plugin-en som er nevnt i peerfilen, må være installert; en manglende pakke avslutter anropet før noe valg blir diskutert.

Aktiver MPPE på siden som krever det

Den egentlige beslutningen er hvilken ende som eier krypteringspolicyen. En klient kan tilby MPPE, kreve det eller avslå det, og serveren gjør samme valg. Når begge krever det, kommer forbindelsen opp; når én krever og den andre avslår, slutter LCP.

pty "pptp vpn.example.net --nolaunchpppd"
name alice
remotename PPTP
require-mppe-128

Last modulen med modprobe ppp_mppe før du ringer, fordi require-mppe-128 feiler uten den. På Windows er den tilsvarende kontrollen sikkerhetsfanen i VPN-oppføringen, der klienten må få beskjed om å kreve kryptering i stedet for å godta det serveren tilbyr. Hvis serveren fortsatt avslutter LCP, spør operatøren om MPPE er obligatorisk, valgfritt eller deaktivert, siden en klient ikke kan forhandle om beskyttelse som serveren avviser. Å slå av kryptering for at meldingen skal forsvinne er feil vei: det fjerner den eneste beskyttelsen denne protokollen har.

Lagre den fungerende peerfilen før du redigerer den. En feilskrevet require-mppe-linje gjenskaper den samme generiske LCP-feilen og sender deg tilbake til start.

Les pppd sin egen logg i stedet for appletten

Skrivebordsappletter viser frakoblingen og skjuler årsaken, så les demonens redegjørelse for ett forsøk. På systemd-systemer ender meldingen i journalen; eldre oppsett skriver til de tradisjonelle loggfilene.

journalctl --since "10 min ago" | grep -i -E "pppd|lcp|mppe"
tail -n 50 /var/log/syslog

Søk i et vindu rundt ett enkelt anrop i stedet for en hel dag med gjenoppkoblinger, slik at det avviste valget er lett å se. pppd nevner vanligvis valget og peerens svar, noe som forteller deg om du skal endre ditt eget forslag eller be serversiden lempe på kravet. Hold forsøkene tidsstemplet, fordi sammenligning av to logger bare er nyttig når du vet hvilke linjer som hører til hvilket anrop. Når ingen LCP-utveksling vises i det hele tatt, ligger feilen tidligere i kjeden, og MPPE er ikke den mistenkte.

Behold rettelsen gjennom gjenoppkoblinger: hook-navn og MTU

Når forbindelsen først holder seg oppe, avgjør to detaljer om den overlever en gjenoppkobling. Hooker ligger i /etc/ppp/ip-up.d og /etc/network/if-up.d, og begge katalogene behandles av run-parts, hvis filnavnsfilter avviser alt som inneholder et punktum. Et skript kalt set-pptp.sh hoppes derfor over, mens set-pptp kjøres. Sjekk navnet før du feilsøker skriptets innhold, og sett deretter den mindre MTU-en fra innsiden av den hooken, slik at hvert nytt ppp-grensesnitt arver den uten en manuell kommando.

run-parts --test /etc/ppp/ip-up.d
ip link set dev ppp0 mtu 1200

For å avslutte en økt med vilje, målrett pid-en som pppd har registrert, i stedet for å mønstermatch prosessnavn, fordi drap på alt som inneholder ppp også river ned urelaterte lenker. PPTP er utdatert, og MS-CHAPv2 er svakt, så behandle disse sjekkene som vedlikehold av en lenke som må fortsette å virke, ikke som en grunn til å rulle ut PPTP noe nytt sted.