Hitilafu ya PPTP 800 dhidi ya 812 na kukatika baada ya dakika moja

Ujumbe tatu za hitilafu kutoka kwa mteja mmoja wa PPTP kwa kawaida huelezea kasoro tatu tofauti. Hitilafu 800 inamaanisha handaki halikuundwa kamwe, hitilafu 812 inamaanisha seva ilikataa mbinu ya uthibitishaji, na kukatika baada ya dakika moja ni kipima muda cha keepalive kinachoamua kwamba mwenza mzima ameondoka. Kila hatua inashindwa kwa sababu yake, kwa hivyo kila moja inahitaji ukaguzi wake.

Hitilafu 800 inamaanisha handaki halikuundwa kamwe

Windows hutoa hitilafu 800 wakati haiwezi kuunda handaki kabisa, na maandishi kuhusu seva isiyofikika au vigezo visivyofaa vya usalama ni muhtasari na si utambuzi. PPTP inahitaji vitu viwili tofauti kutoka kwa mtandao kabla ya kuchunguza hati yoyote ya utambulisho. TCP 1723 hubeba kituo cha udhibiti, na itifaki ya IP 47, GRE, hubeba mzigo uliofungwa.

Jaribu njia hiyo ya nje kutoka nje ya LAN yako mwenyewe, kwa sababu muunganisho unaofanya kazi ofisini hauthibitishi chochote kuhusu ukingo:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Ikiwa 1723 inajibu na nakala iliyonaswa inabaki tupu wakati mteja anajaribu kuunganisha, njia inatupa itifaki 47. Kipanga njia kilicho na 1723 iliyoelekezwa lakini passthrough ya PPTP imezimwa hutoa mwonekano huo hasa: makubaliano ya TCP yanakamilika, kisha pakiti za GRE zinapotea, kwa hivyo kushindwa kunaonekana kama tatizo la hati za utambulisho ingawa hakuna jaribio la kuingia lililofanywa.

Elekeza uelekezaji kwenye anwani ya sasa ya LAN ya seva, washa passthrough ya PPTP mahali kipanga njia kinapotoa, na ujaribu tena kutoka sehemu hiyo hiyo ya nje. Wakati GRE inachujwa juu na huwezi kuibadilisha, SSTP juu ya TCP 443 au L2TP/IPsec juu ya UDP 500 na 4500 ina nafasi bora kuliko mabadiliko yoyote unayoweza kufanya upande wa Windows.

Hitilafu 812 ni seva kukataa mbinu yako ya uthibitishaji

Hitilafu 812 inarudi baada ya handaki kuwa juu, ndiyo sababu inahisi kama tatizo la nenosiri. Seva inakataa mbinu ya uthibitishaji iliyojadiliwa kwa muunganisho, si lazima nenosiri lenyewe. Kwenye mteja, fungua kiingilio cha VPN, nenda kwenye kichupo cha usalama, weka aina kuwa Point-to-Point Tunneling Protocol, chagua orodha ya itifaki iliyo wazi na tia alama kwenye Microsoft CHAP toleo la 2.

Unaweza kusoma mpangilio wa sasa bila kubofya kwenye kidirisha:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Seva inayohitaji MS-CHAP v2 inakataa mteja aliyebaki kwenye PAP au kwenye aina ya kiotomatiki inayojadili kitu dhaifu zaidi, na hitilafu hufika kabla ya nenosiri lolote la mtumiaji kutathminiwa. Muundo wa akaunti ni nusu nyingine ya kukataa huko huko. Katika kisa kimoja Windows ilituma utambulisho wa akaunti ya Microsoft kwa umbo MicrosoftAccount\[email protected] wakati seva ilitaka akaunti ya ndani au ya kikoa. Kuandika SERVERNAME\username kuliiambia Windows hifadhi ya akaunti ipi ya kushauriana na kukaondoa hitilafu. Ingiza jina kwa mkono badala ya kuacha hati iliyohifadhiwa irudie muundo wa awali.

Kukatika baada ya dakika moja ni uamuzi wa keepalive

Wakati handaki linaunganisha, linapita trafiki kidogo kisha linakatika, angalia tabia ya mwangwi wa LCP ya seva kabla ya kugusa mteja. Daemon huuliza mwenza mara kwa mara kuthibitisha kuwa bado yuko. Ikiwa majibu machache sana yanafika ndani ya bajeti iliyowekwa, kikao kinabomolewa ingawa mtumiaji bado ana kiungo kinachofanya kazi.

Kwenye seva ya Linux pptpd maadili hayo yanaishi katika /etc/ppp/options.pptpd, na ukarabati wa kawaida ni kupanua bajeti badala ya kufupisha muda:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Mikosa thelathini katika muda wa sekunde tano husamehe kusimama kwa muda mfupi badala ya kutangaza mwenza ameondoka. Kupunguza idadi hadi moja au mbili hubadilisha mtetemo wa kawaida kwenye njia iliyotafsiriwa kuwa kukatika takriban kila dakika. Ikiwa seva yako ni Windows RRAS na si pptpd, angalia badala yake muda wa kikao cha PPP na sera ya kukatika wakati haifanyi kazi. Hivyo vinaishi mahali pengine, na kuhariri faili ya pppd ambayo haipo hakutabadilisha chochote.

Subneti zinazogongana huvunja njia ya data

Handaki la PPTP linaweza kuthibitisha kwa usafi na bado lisifikie chochote wakati maeneo yote mawili yanatumia safu moja ya kibinafsi, kwa mfano 192.168.1.0/24 ofisini na nyumbani. Mteja hawezi kusema anwani fulani inaelekea mwenyeji gani, na baadhi ya rafu zinakataa kufunga njia kabisa badala ya kuchagua moja.

Chukulia hilo kama kasoro ya muundo na upe nambari upya upande mmoja, au mpe mteja safu ya ufikiaji iliyotafsiriwa kwa makusudi. Kutafuta hitilafu kwenye mteja wa PPTP hakuwezi kurekebisha nafasi ya anwani inayokuwepo mara mbili, na dalili itaendelea kuonekana kama kukatika kwa bahati nasibu.

Anza na hatua iliyoshindwa: GRE kwa 800, mbinu na mfuatano wa akaunti kwa 812, mipangilio ya mwangwi kwa handaki linalokufa kwa ratiba.