PPTP sier at passordet ditt er feil: hvilken rettelse kommer først?

PPTP-profiler som insisterer på at passordet ditt er feil, forteller noe snevrere enn det høres ut. Hemmeligheten testes helt på slutten av en kjede som begynner med kapabilitetsforhandling, så enhver mismatch tidligere i kjeden dukker opp som en godkjenningsfeil. Derfor endrer det ingenting å tilbakestille passordet, skrive det på nytt eller lage profilen på nytt. Les forhandlingen først, og velg deretter rettelsen etter hvor mye av veien du kontrollerer.

Hvorfor hemmeligheten aldri blir testet

PPP-godkjenning forhandles: serveren foreslår metoder, klienten svarer med det den kan, og begge blir enige om én før noen legitimasjon utveksles. Når serveren bare tilbyr EAP-PEAP og klientens pppd ikke implementerer det, avsluttes samtalen i forslagsfasen. Serveren registrerer en godkjenningsfeil fordi det er fasen som feilet, ikke fordi passordet ble sammenlignet og funnet utilstrekkelig.

Derfor er feilen identisk for et feil passord og for en metodeuoverensstemmelse. Bare loggen skiller dem, og bare hvis klienten får være detaljert.

Les forhandlingen, ikke den siste feilen

Kjør tilkoblingen i forgrunnen med feilsøking på og les godkjenningslinjene fra toppen. Loggen navngir metoden som ble foreslått, metoden som ble godtatt og hvor utvekslingen stoppet. En profil som aldri forlater CHAP eller MSCHAPv2 mens serveren forventer PEAP, er et metodeproblem, ikke et legitimasjonsproblem. Den siste linjen i den loggen er der klienten ga opp, ikke der årsaken sitter.

sudo pppd call provider debug nodetach

Ta vare på den utskriften. Den er også beviset en nettverkseier trenger før serverpolicyen endres, og den avgjør spørsmålet om passordet i det hele tatt var i spill.

Den andre årsaken gjemmer seg i hemmelighetsfilen

Hvis loggen viser at metodene stemmer, se på filen som lagrer hemmeligheten. En ny linje eller et etterfølgende mellomrom skrevet i passordfeltet sendes som en del av passordet, så serveren sammenligner en annen streng enn den du skrev. Filen ser riktig ut i en editor, og det er nettopp derfor den overlever så mange forsøk.

sudo cat -A /etc/ppp/chap-secrets

Dollartegnet markerer slutten på hver linje i den utskriften. Et passordfelt med noe før det tegnet, eller et løst mellomrom mellom feltene, må skrives om med sitatene verktøyet dokumenterer.

Velg rettelsen etter hvem som eier serveren

Hvis serveren er din, å tillate MSCHAPv2 for den kontoen er den minste endringen, og du bør notere at du med vilje godtok en svakere metode. Hvis den tilhører noen andre, er en klient som implementerer EAP-PEAP den ærlige rettelsen; å lappe pppd gjør uoverensstemmelsen til ditt vedlikeholdsproblem. Hvis protokollvalget fortsatt er åpent, er PPTP den svakeste delen av designet, og migreringen er vanligvis billigere enn å holde en lappet klient i live. Skriv den beslutningen ved siden av profilen, så den neste personen ikke åpner den igjen.

Uansett hvilken vei du velger, test etterpå fra en annen maskin på et annet nettverk. En lagret profil kan fortsette å tilby den gamle metoden og få en rettet server til å se ødelagt ut. Fjern deretter feilsøkingsinnstillingen, siden detaljerte PPP-logger kan fange mer enn du ønsker på en delt arbeidsstasjon.