Napake pri pisanju GRE na pptpd niso težava z geslom

Napaka pri pisanju GRE v dnevniku, in prvi vzgib je ponastaviti uporabnikovo geslo. Ta vzgib je skoraj vedno napačen. Ta sporočila opisujejo pot podatkov, ne preverjanja poverilnic: odjemalec se je morda uspešno overil in nato obstal v fazi, ko se registrira v omrežju. Dve različni sporočili kažeta na dve različni okvari in nobene ne odpravi novo geslo.

Dve sporočili, dve različni okvari

Napaka pri branju pomeni, da paketi GRE nikoli ne dosežejo demona ali se zavržejo pri vstopu. Krmilna povezava je lahko videti povsem zdrava, medtem ko po poti podatkov nič ne prehaja. Overjanje je edina stvar, ki je dokazljivo delovala.

Napaka pri pisanju običajno pomeni, da se je seja dogovorila za nekaj, česar jedro ali odjemalec ne moreta uporabiti. Krmilni kanal se je zaključil in možnosti, dogovorjene med to izmenjavo, se ne ujemajo s tem, kar končne točke resnično zmorejo. To je neskladje v konfiguraciji, ne dogodek overjanja.

Preberite, katera od obeh se pojavi, preden karkoli spremenite. Vodita vas v različne plasti in obravnavanje kot en sam simptom je razlog, da se isti strežnik popravlja dvakrat iz nepovezanih razlogov. Vrstica v dnevniku je edina brezplačna diagnostika, ki jo dobite.

Protokol 47 ni vrata 47

PPTP uporablja TCP 1723 za vzpostavitev klica in GRE za prenos tovora. GRE je protokol IP 47, ne številka vrat, zato pravilo požarnega zidu, ki odpre vrata 47, ne dovoli nič koristnega.

Usmerjevalnik na poti potrebuje funkcijo passthrough PPTP ali izrecno dovoljenje za GRE. Brez tega se rokovanje TCP zaključi in tunel nikoli ne prenese paketa, kar ustvari natanko zgornjo napako pri branju. Pravila za vrata 47 v požarnem zidu so najpogosteje zapravljeno popoldne v tem protokolu.

Opazujte obe smeri hkrati na strežniku, namesto da ugibate, katera stran zavrže promet: tcpdump -ni any port 1723 or proto gre.

Če 1723 kaže vzpostavljanje klica, medtem ko GRE ostane tiho, je blokada nad gostiteljem. Če GRE prispe in demon še vedno ne uspe, je težava lokalna in možnosti so naslednje mesto za pogled.

Dovolite GRE tam, kjer gostitelj resnično posreduje

Vstavljanje pravila forward za GRE je razumen preizkus na gostitelju, ki posreduje tunelski promet, in ni politika. Preizkusno pravilo, ki sprejme vse enega protokola, je diagnostika, ne dizajn. Pustite ga dovolj dolgo, da se česa naučite, nato ga nadomestite z omejenim pravilom.

Dodajte pravilo input za pakete, naslovljene na strežnik samega, ker veriga forward jih ne vidi. Nato poglejte števce pravila pred poskusom povezave in po njem, kar vam pove, ali paketi sploh prispejo.

Naredite pravilo trajno prek storitve požarnega zidu distribucije, namesto da bi ga po vsakem ponovnem zagonu izvajali znova. Na gostitelju nftables uskladite ip protocol gre tako v verigi input kot forward.

Potrdite, da je naložen tudi modul ppp_generic, in preverite, ali sledenje povezavam zavrže povratno smer. Oboje ustvari okvare, ki izgledajo kot težava požarnega zidu in niso. Manjkajoč modul jedra izgleda natanko kot blokiran protokol, dokler ne preverite.

Prilagodite možnosti odjemalcu, ki ga resnično imate

Popravek iz drugega poročila je v /etc/ppp/pptpd-options, kjer recept zavrne PAP, CHAP in MSCHAP, zakomentira ustrezne vrstice require in obdrži stanjski MPPE. Ta recept je bil napisan za eno mešanico odjemalcev in slepo kopiranje pokvari običajen primer. Vrstice zavrnitve berite kot izjavo o tem, kakšne odjemalce je imel avtor, ne kot priporočilo.

Odjemalec Windows običajno potrebuje MS-CHAPv2 z MPPE-128. Ohranite te zahteve in odstranite le možnosti, o katerih se odjemalec resnično ne more dogovoriti.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Izklop šifriranja, da bi povezava uspela, je poslabšanje, ne popravilo. Preizkusite takšno različico na laboratorijski povezavi in nato obnovite šifriranje, preden se storitev sreča z resničnimi odjemalci. Povezava, ki deluje nevarno, je slabša od tiste, ki pošteno odpove.

Preberite številko napake odjemalca

Številčna koda odjemalca zoži fazo hitreje kot dnevnik strežnika. Preberite jo, preden preberete karkoli drugega. 691 pomeni, da so bile poverilnice zavrnjene, 721 pomeni, da strežnik ni nikoli odgovoril, in 619 pomeni, da je povezava padla. Dve minuti s številko prihranita uro s konfiguracijo.

Primerjajte to kodo z dnevnikom strežnika, preden karkoli uredite, in po vsaki spremembi znova preizkusite z istim odjemalcem. Sicer se druga okvara skrije za prvo in popravek se zdi neučinkovit.

Ko je prijava uspešna in se promet ne premika, GRE ostaja osumljenec. To je trenutek za vrnitev k zajemu, ne k shrambi poverilnic.