PPTP spune că parola este greșită: care corecție vine prima?

Profilurile PPTP care insistă că parola este greșită spun ceva mai îngust decât sună. Secretul este testat chiar la capătul unui lanț care începe cu negocierea capabilităților, așa că orice nepotrivire mai devreme în acel lanț apare ca o eroare de autentificare. De aceea, resetarea parolei, rescrierea ei sau recrearea profilului nu schimbă nimic. Citește întâi negocierea, apoi alege corecția în funcție de cât din traseu controlezi.

De ce secretul nu este niciodată testat

Autentificarea PPP se negociază: serverul propune metode, clientul răspunde cu ce poate face, iar ambele cad de acord asupra uneia înainte de a se schimba vreo acreditare. Când serverul oferă doar EAP-PEAP, iar pppd-ul clientului nu îl implementează, conversația se termină în etapa propunerii. Serverul înregistrează o eroare de autentificare pentru că aceea este etapa care a eșuat, nu pentru că parola a fost comparată și găsită insuficientă.

De aceea eroarea este identică pentru o parolă greșită și pentru o nepotrivire de metodă. Doar jurnalul le distinge, și numai dacă clientului i se permite să fie detaliat.

Citește negocierea, nu ultima eroare

Rulează conexiunea în prim-plan cu depanarea activată și citește liniile de autentificare de sus. Jurnalul numește metoda propusă, metoda acceptată și locul unde s-a oprit schimbul. Un profil care nu părăsește niciodată CHAP sau MSCHAPv2 în timp ce serverul așteaptă PEAP este o problemă de metodă, nu de acreditare. Ultima linie a acelui jurnal este locul unde clientul a renunțat, nu locul unde se află cauza.

sudo pppd call provider debug nodetach

Păstrează acea ieșire. Este și dovada de care proprietarul rețelei are nevoie înainte de a schimba politica serverului, și lămurește întrebarea dacă parola a fost măcar în joc.

A doua cauză se ascunde în fișierul de secrete

Dacă jurnalul arată că metodele coincid, uită-te la fișierul care păstrează secretul. O linie nouă sau un spațiu final scris în câmpul parolei sunt trimise ca parte a parolei, așa că serverul compară un șir diferit de cel pe care l-ai tastat. Fișierul arată corect într-un editor și exact de aceea supraviețuiește atâtor încercări.

sudo cat -A /etc/ppp/chap-secrets

Semnul dolar marchează sfârșitul fiecărei linii în acea ieșire. Un câmp de parolă cu ceva înainte de acel semn, sau un spațiu rătăcit între câmpuri, trebuie rescris cu ghilimelele pe care instrumentul le documentează.

Alege corecția în funcție de cine deține serverul

Dacă serverul este al tău, permiterea MSCHAPv2 pentru acel cont este cea mai mică schimbare, și ar trebui să notezi că ai acceptat intenționat o metodă mai slabă. Dacă aparține altcuiva, corecția onestă este un client care implementează EAP-PEAP; aplicarea unui patch la pppd face incompatibilitatea problema ta de mentenanță. Dacă alegerea protocolului este încă deschisă, PPTP este partea cea mai slabă a proiectării, iar migrarea costă de obicei mai puțin decât menținerea în viață a unui client patch-uit. Scrie acea decizie lângă profil, ca următoarea persoană să nu o redeschidă.

Orice rută ai alege, testează apoi de pe o a doua mașină într-o altă rețea. Un profil salvat poate continua să ofere metoda veche și poate face un server corectat să pară stricat. Apoi elimină setarea de depanare, fiindcă jurnalele PPP detaliate pot captura mai mult decât vrei pe o stație de lucru partajată.