PPTP tvrdí, že heslo je nesprávne: ktorá oprava prichádza prvá?

Profily PPTP, ktoré tvrdia, že heslo je nesprávne, hovoria niečo užšie, než to znie. Tajomstvo sa overuje na samom konci reťazca, ktorý sa začína vyjednávaním schopností, takže akákoľvek nezhoda skôr v tomto reťazci sa prejaví ako zlyhanie overovania. Preto resetovanie hesla, jeho opätovné zadanie ani nové vytvorenie profilu nič nezmení. Najprv si prečítajte vyjednávanie a potom vyberte opravu podľa toho, akú časť cesty ovládate.

Prečo sa tajomstvo nikdy neoverí

Overovanie PPP sa vyjednáva: server navrhuje metódy, klient odpovedá tým, čo vie, a obe strany sa dohodnú na jednej skôr, než sa vymenia akékoľvek prihlasovacie údaje. Keď server ponúka iba EAP-PEAP a klientsky pppd ho neimplementuje, rozhovor sa skončí vo fáze návrhu. Server zaznamená zlyhanie overovania, pretože to je fáza, ktorá zlyhala, nie preto, že by sa heslo porovnalo a vyhodnotilo ako nedostatočné.

Preto je chyba rovnaká pri nesprávnom hesle aj pri nezhode metódy. Rozlíši ich iba protokol, a to len vtedy, keď klient smie byť podrobný.

Čítajte vyjednávanie, nie poslednú chybu

Spustite spojenie na popredí so zapnutým ladením a čítajte riadky overovania zhora. Protokol uvádza navrhnutú metódu, prijatú metódu a miesto, kde sa výmena zastavila. Profil, ktorý nikdy neopustí CHAP alebo MSCHAPv2, kým server očakáva PEAP, je problém metódy, nie prihlasovacích údajov. Posledný riadok toho protokolu je miesto, kde to klient vzdal, nie kde je príčina.

sudo pppd call provider debug nodetach

Ten výstup si ponechajte. Je to aj dôkaz, ktorý správca siete potrebuje pred zmenou pravidiel servera, a rozhoduje otázku, či heslo vôbec hralo rolu.

Druhá príčina sa skrýva v súbore tajomstiev

Ak protokol ukazuje, že sa metódy zhodujú, pozrite sa na súbor, ktorý tajomstvo ukladá. Nový riadok alebo medzera na konci zapísaná do poľa hesla sa odosiela ako súčasť hesla, takže server porovnáva iný reťazec, než ste zadali. V editore súbor vyzerá správne, a práve preto prežíva toľko pokusov.

sudo cat -A /etc/ppp/chap-secrets

Znak dolára označuje koniec každého riadku v tomto výstupe. Pole hesla s čímkoľvek pred týmto znakom alebo náhodná medzera medzi poľami sa musí prepísať s úvodzovkami, ktoré nástroj dokumentuje.

Vyberte opravu podľa toho, komu server patrí

Ak je server váš, povolenie MSCHAPv2 pre tento účet je najmenšia zmena a mali by ste si poznamenať, že ste vedome prijali slabšiu metódu. Ak patrí niekomu inému, poctivou opravou je klient, ktorý implementuje EAP-PEAP; záplatovanie pppd robí z nekompatibility váš problém s údržbou. Ak je voľba protokolu stále otvorená, PPTP je najslabšia časť návrhu a migrácia je zvyčajne lacnejšia než udržiavať záplatovaného klienta pri živote. Zapíšte to rozhodnutie vedľa profilu, aby ho ďalší človek znova neotváral.

Nech si vyberiete akúkoľvek cestu, potom to vyskúšajte z druhého počítača v inej sieti. Uložený profil môže naďalej ponúkať starú metódu a opravený server bude vyzerať pokazený. Potom odstráňte nastavenie ladenia, pretože podrobné protokoly PPP môžu na zdieľanej stanici zachytiť viac, než chcete.