O PPTP diz que sua senha está errada: qual correção vem primeiro?

Os perfis PPTP que insistem que a senha está errada dizem algo mais estreito do que parece. O segredo é testado bem no fim de uma cadeia que começa com a negociação de capacidades, então qualquer divergência mais cedo nessa cadeia aparece como uma falha de autenticação. Por isso, redefinir a senha, digitá-la de novo ou recriar o perfil não muda nada. Leia primeiro a negociação, depois escolha a correção conforme quanto do caminho você controla.

Por que o segredo nunca é testado

A autenticação PPP é negociada: o servidor propõe métodos, o cliente responde com o que consegue fazer, e os dois fecham em um antes de qualquer credencial ser trocada. Quando o servidor oferece apenas EAP-PEAP e o pppd do cliente não o implementa, a conversa termina na fase de proposta. O servidor registra uma falha de autenticação porque foi essa a fase que falhou, não porque a senha foi comparada e considerada insuficiente.

Por isso o erro é idêntico para uma senha errada e para uma divergência de método. Só o registro distingue os dois, e apenas se o cliente puder ser detalhado.

Leia a negociação, não o último erro

Execute a conexão em primeiro plano com a depuração ativada e leia as linhas de autenticação de cima para baixo. O registro nomeia o método proposto, o método aceito e onde a troca parou. Um perfil que nunca sai de CHAP ou MSCHAPv2 enquanto o servidor espera PEAP é um problema de método, não de credencial. A última linha desse registro é onde o cliente desistiu, não onde está a causa.

sudo pppd call provider debug nodetach

Guarde essa saída. Ela também é a prova de que o dono da rede precisa antes de mudar a política do servidor, e resolve a questão de se a senha chegou a entrar em jogo.

A segunda causa esconde-se no arquivo de segredos

Se o registro mostrar que os métodos coincidem, olhe para o arquivo que guarda o segredo. Uma quebra de linha ou um espaço no fim gravados no campo da senha são enviados como parte da senha, então o servidor compara uma cadeia diferente da que você digitou. O arquivo parece correto num editor, e é exatamente por isso que sobrevive a tantas tentativas.

sudo cat -A /etc/ppp/chap-secrets

O sinal de dólar marca o fim de cada linha nessa saída. Um campo de senha com algo antes desse sinal, ou um espaço perdido entre os campos, precisa ser reescrito com as aspas que a ferramenta documenta.

Escolha a correção conforme quem é o dono do servidor

Se o servidor é seu, permitir MSCHAPv2 para essa conta é a menor mudança, e você deve registrar que aceitou um método mais fraco de propósito. Se for de outra pessoa, a correção honesta é um cliente que implemente EAP-PEAP; aplicar patch no pppd transforma a incompatibilidade no seu problema de manutenção. Se a escolha do protocolo ainda estiver aberta, o PPTP é a parte mais fraca do projeto e a migração costuma sair mais barata do que manter vivo um cliente com patch. Escreva essa decisão ao lado do perfil para que a próxima pessoa não a reabra.

Qualquer que seja o caminho, teste depois a partir de uma segunda máquina em outra rede. Um perfil guardado pode continuar oferecendo o método antigo e fazer um servidor corrigido parecer quebrado. Depois remova a configuração de depuração, já que registros PPP detalhados podem capturar mais do que você quer numa estação de trabalho compartilhada.