PPTP zegt dat uw wachtwoord onjuist is: welke oplossing komt eerst?

PPTP-profielen die volhouden dat uw wachtwoord onjuist is, vertellen iets engers dan het klinkt. Het geheim wordt helemaal aan het einde van een keten getest die begint met capaciteitsonderhandeling, dus elke afwijking eerder in die keten komt naar voren als een authenticatiefout. Het wachtwoord opnieuw instellen, opnieuw typen of het profiel opnieuw aanmaken verandert daarom niets. Lees eerst de onderhandeling en kies daarna de correctie op basis van hoeveel van het pad u beheert.

Waarom het geheim nooit wordt getest

PPP-authenticatie wordt onderhandeld: de server stelt methoden voor, de client antwoordt met wat hij kan, en beide komen tot één voordat er ooit een inloggegeven wordt uitgewisseld. Als de server alleen EAP-PEAP aanbiedt en de pppd van de client dat niet implementeert, eindigt het gesprek in de voorstelfase. De server registreert een authenticatiefout omdat dat de fase is die faalde, niet omdat het wachtwoord is vergeleken en te kort bevonden.

Daarom is de fout identiek voor een verkeerd wachtwoord en voor een afwijking in de methode. Alleen de log onderscheidt ze, en alleen als de client uitgebreid mag zijn.

Lees de onderhandeling, niet de laatste fout

Start de verbinding op de voorgrond met foutopsporing aan en lees de authenticatieregels van bovenaf. De log noemt de voorgestelde methode, de geaccepteerde methode en waar de uitwisseling stopte. Een profiel dat CHAP of MSCHAPv2 nooit verlaat terwijl de server PEAP verwacht, is een methodeprobleem, geen inloggegevenprobleem. De laatste regel van die log is waar de client opgaf, niet waar de oorzaak zit.

sudo pppd call provider debug nodetach

Bewaar die uitvoer. Het is ook het bewijs dat een netwerkeigenaar nodig heeft voordat het serverbeleid verandert, en het beslecht de vraag of het wachtwoord ooit in het spel was.

De tweede oorzaak schuilt in het geheimenbestand

Als de log laat zien dat de methoden overeenkomen, kijk dan naar het bestand dat het geheim opslaat. Een nieuwe regel of een spatie aan het einde in het wachtwoordveld wordt als deel van het wachtwoord verstuurd, dus de server vergelijkt een andere tekenreeks dan die u typte. Het bestand ziet er in een editor correct uit, en precies daarom overleeft het zoveel pogingen.

sudo cat -A /etc/ppp/chap-secrets

Het dollarteken markeert het einde van elke regel in die uitvoer. Een wachtwoordveld met iets voor dat teken, of een verdwaalde spatie tussen velden, moet opnieuw worden geschreven met de aanhalingstekens die het gereedschap documenteert.

Kies de correctie op basis van wie de server bezit

Als de server van u is, MSCHAPv2 voor dat account toestaan is de kleinste wijziging, en u moet vastleggen dat u bewust een zwakkere methode hebt geaccepteerd. Als hij van iemand anders is, is een client die EAP-PEAP implementeert de eerlijke correctie; pppd patchen maakt de incompatibiliteit uw onderhoudsprobleem. Als de protocolkeuze nog open is, is PPTP het zwakste deel van het ontwerp en is migreren meestal goedkoper dan een gepatchte client in leven houden. Schrijf die beslissing naast het profiel, zodat de volgende persoon hem niet opnieuw opent.

Welke route u ook kiest, test daarna vanaf een tweede machine op een ander netwerk. Een opgeslagen profiel kan de oude methode blijven aanbieden en een gecorrigeerde server kapot laten lijken. Verwijder daarna de foutopsporingsinstelling, omdat uitgebreide PPP-logs op een gedeelde werkplek meer kunnen vastleggen dan u wilt.