PPTP บอกว่ารหัสผ่านของคุณผิด: ควรแก้ไขอะไรก่อน

โปรไฟล์ PPTP ที่ยืนยันว่ารหัสผ่านของคุณผิดกำลังบอกสิ่งที่แคบกว่าที่ฟังดู ซีเคร็ตถูกทดสอบที่ปลายสุดของห่วงโซ่ที่เริ่มจากการเจรจาความสามารถ ดังนั้นความไม่ตรงกันใด ๆ ก่อนหน้านั้นจึงปรากฏเป็นความล้มเหลวในการยืนยันตัวตน การรีเซ็ตรหัสผ่าน พิมพ์ใหม่ หรือสร้างโปรไฟล์ใหม่จึงไม่เปลี่ยนอะไร อ่านการเจรจาก่อน แล้วเลือกการแก้ไขตามว่าคุณควบคุมเส้นทางได้มากน้อยเพียงใด

ทำไมซีเคร็ตจึงไม่เคยถูกทดสอบ

การยืนยันตัวตน PPP ถูกเจรจา: เซิร์ฟเวอร์เสนอวิธี ไคลเอนต์ตอบด้วยสิ่งที่ทำได้ และทั้งสองตกลงกันในวิธีหนึ่งก่อนจะมีการแลกข้อมูลรับรองใด ๆ เมื่อเซิร์ฟเวอร์เสนอเฉพาะ EAP-PEAP และ pppd ของไคลเอนต์ไม่รองรับ การสนทนาก็จบที่ขั้นตอนข้อเสนอ เซิร์ฟเวอร์บันทึกความล้มเหลวในการยืนยันตัวตนเพราะนั่นคือขั้นตอนที่ล้มเหลว ไม่ใช่เพราะรหัสผ่านถูกนำมาเปรียบเทียบแล้วเห็นว่าไม่เพียงพอ

นั่นคือเหตุผลที่ข้อผิดพลาดเหมือนกันทั้งรหัสผ่านผิดและวิธีไม่ตรงกัน มีเพียงบันทึกเท่านั้นที่แยกความต่างได้ และเฉพาะเมื่อไคลเอนต์ได้รับอนุญาตให้ละเอียด

อ่านการเจรจา ไม่ใช่ข้อผิดพลาดสุดท้าย

เรียกใช้การเชื่อมต่อในเบื้องหน้าพร้อมเปิดการดีบักและอ่านบรรทัดการยืนยันตัวตนจากด้านบน บันทึกระบุวิธีที่เสนอ วิธีที่ยอมรับ และจุดที่การแลกเปลี่ยนหยุด โปรไฟล์ที่ไม่เคยออกจาก CHAP หรือ MSCHAPv2 ขณะที่เซิร์ฟเวอร์คาดหวัง PEAP คือปัญหาเรื่องวิธี ไม่ใช่ปัญหาเรื่องข้อมูลรับรอง บรรทัดสุดท้ายของบันทึกนั้นคือจุดที่ไคลเอนต์ยอมแพ้ ไม่ใช่จุดที่สาเหตุอยู่

sudo pppd call provider debug nodetach

เก็บเอาต์พุตนั้นไว้ มันยังเป็นหลักฐานที่เจ้าของเครือข่ายต้องการก่อนเปลี่ยนนโยบายเซิร์ฟเวอร์ และตัดสินคำถามว่ารหัสผ่านเข้าไปเกี่ยวข้องตั้งแต่แรกหรือไม่

สาเหตุที่สองซ่อนอยู่ในไฟล์ซีเคร็ต

ถ้าบันทึกแสดงว่าวิธีตรงกัน ให้ดูไฟล์ที่เก็บซีเคร็ต ขึ้นบรรทัดใหม่หรือช่องว่างท้ายที่เขียนในช่องรหัสผ่านจะถูกส่งเป็นส่วนหนึ่งของรหัสผ่าน เซิร์ฟเวอร์จึงเปรียบเทียบสตริงที่ต่างจากที่คุณพิมพ์ ไฟล์ดูถูกต้องในโปรแกรมแก้ไข และนั่นคือเหตุผลที่มันรอดจากการลองซ้ำหลายครั้ง

sudo cat -A /etc/ppp/chap-secrets

เครื่องหมายดอลลาร์แสดงจุดสิ้นสุดของแต่ละบรรทัดในเอาต์พุตนั้น ช่องรหัสผ่านที่มีอะไรบางอย่างก่อนเครื่องหมายนั้น หรือช่องว่างที่หลงเหลือระหว่างช่อง ต้องเขียนใหม่ด้วยเครื่องหมายคำพูดที่เครื่องมือนั้นระบุไว้

เลือกการแก้ไขตามว่าใครเป็นเจ้าของเซิร์ฟเวอร์

ถ้าเซิร์ฟเวอร์เป็นของคุณการอนุญาต MSCHAPv2 สำหรับบัญชีนั้นเป็นการเปลี่ยนแปลงที่เล็กที่สุด และคุณควรบันทึกว่าคุณยอมรับวิธีที่อ่อนกว่าอย่างตั้งใจ ถ้าเป็นของคนอื่น การแก้ไขที่ซื่อตรงคือไคลเอนต์ที่รองรับ EAP-PEAP การแพตช์ pppd ทำให้ความไม่เข้ากันกลายเป็นปัญหาการดูแลของคุณ ถ้าการเลือกโปรโตคอลยังเปิดอยู่ PPTP เป็นส่วนที่อ่อนแอที่สุดของการออกแบบและการย้ายระบบมักถูกกว่าการรักษาไคลเอนต์ที่แพตช์แล้วให้มีชีวิต เขียนการตัดสินใจนั้นไว้ข้างโปรไฟล์เพื่อคนถัดไปจะได้ไม่เปิดมันอีก

ไม่ว่าจะเลือกเส้นทางใด ให้ทดสอบจากเครื่องที่สองบนเครือข่ายอื่นในภายหลัง โปรไฟล์ที่บันทึกไว้อาจยังเสนอวิธีเก่าต่อไปและทำให้เซิร์ฟเวอร์ที่แก้ไขแล้วดูเหมือนเสีย จากนั้นให้ลบการตั้งค่าดีบัก เพราะบันทึก PPP แบบละเอียดอาจเก็บสิ่งที่คุณไม่ต้องการบนเวิร์กสเตชันที่ใช้ร่วมกัน