PPTP säger att ditt lösenord är fel: vilken rättelse kommer först?

PPTP-profiler som hävdar att lösenordet är fel säger något snävare än det låter. Hemligheten testas allra sist i en kedja som börjar med kapacitetsförhandling, så varje avvikelse tidigare i kedjan dyker upp som ett autentiseringsfel. Därför ändrar återställning av lösenordet, ny inmatning eller nytt profilskapande ingenting. Läs förhandlingen först och välj sedan rättelsen efter hur mycket av vägen du kontrollerar.

Varför hemligheten aldrig testas

PPP-autentisering förhandlas: servern föreslår metoder, klienten svarar med vad den klarar, och båda enas om en innan några inloggningsuppgifter utbyts. När servern bara erbjuder EAP-PEAP och klientens pppd inte implementerar det, slutar samtalet i förslagsfasen. Servern registrerar ett autentiseringsfel eftersom det är fasen som misslyckades, inte för att lösenordet jämfördes och bedömdes otillräckligt.

Därför är felet identiskt för ett fel lösenord och för en metodavvikelse. Bara loggen skiljer dem, och bara om klienten får vara utförlig.

Läs förhandlingen, inte det sista felet

Kör anslutningen i förgrunden med felsökning på och läs autentiseringsraderna uppifrån. Loggen anger den föreslagna metoden, den accepterade metoden och var utbytet stannade. En profil som aldrig lämnar CHAP eller MSCHAPv2 medan servern väntar sig PEAP är ett metodproblem, inte ett inloggningsproblem. Den sista raden i den loggen är där klienten gav upp, inte där orsaken finns.

sudo pppd call provider debug nodetach

Spara den utskriften. Den är också beviset en nätverksägare behöver innan serverpolicyn ändras, och den avgör frågan om lösenordet ens var inblandat.

Den andra orsaken gömmer sig i hemlighetsfilen

Om loggen visar att metoderna stämmer, titta på filen som lagrar hemligheten. En ny rad eller ett avslutande mellanslag i lösenordsfältet skickas som en del av lösenordet, så servern jämför en annan sträng än den du skrev. Filen ser korrekt ut i en editor, och det är just därför den överlever så många försök.

sudo cat -A /etc/ppp/chap-secrets

Dollartecknet markerar slutet på varje rad i den utskriften. Ett lösenordsfält med något före tecknet, eller ett löst mellanslag mellan fälten, måste skrivas om med de citattecken som verktyget dokumenterar.

Välj rättelsen efter vem som äger servern

Om servern är din, att tillåta MSCHAPv2 för det kontot är den minsta ändringen, och du bör anteckna att du medvetet accepterade en svagare metod. Om den tillhör någon annan är en klient som implementerar EAP-PEAP den ärliga rättelsen; att lappa pppd gör inkompatibiliteten till ditt underhållsproblem. Om protokollvalet fortfarande är öppet är PPTP den svagaste delen av designen och migreringen är oftast billigare än att hålla en lappad klient vid liv. Skriv det beslutet bredvid profilen så att nästa person inte öppnar det igen.

Vilken väg du än väljer, testa sedan från en andra maskin på ett annat nätverk. En sparad profil kan fortsätta erbjuda den gamla metoden och få en rättad server att se trasig ut. Ta sedan bort felsökningsinställningen, eftersom utförliga PPP-loggar kan fånga mer än du vill på en delad arbetsstation.