pptpd'de GRE yazma hataları şifre sorunu değildir

Günlükte GRE yazma hatası, ve ilk dürtü kullanıcının parolasını sıfırlamaktır. Bu dürtü neredeyse her zaman yanlıştır. Bu mesajlar veri yolunu tanımlar, kimlik bilgisi denetimini değil: istemci başarıyla kimlik doğrulamış ve ardından ağda kayıt olduğu aşamada takılmış olabilir. İki farklı mesaj iki farklı arızaya işaret eder ve hiçbiri yeni bir parolayla çözülmez.

İki mesaj, iki farklı arıza

Okuma hatası, GRE paketlerinin daemon'a hiç ulaşmadığı veya girişte düşürüldüğü anlamına gelir. Denetim bağlantısı tamamen sağlıklı görünebilirken veri yolundan hiçbir şey geçmez. Kimlik doğrulama, kanıtlanabilir biçimde çalışan tek şeydir.

Yazma hatası genellikle oturumun çekirdeğin veya istemcinin kullanamayacağı bir şey üzerinde anlaştığı anlamına gelir. Denetim kanalı tamamlandı ve bu değiş tokuşta kararlaştırılan seçenekler uç noktaların gerçekte yapabildikleriyle uyuşmuyor. Bu bir yapılandırma anlaşmazlığıdır, kimlik doğrulama olayı değildir.

Herhangi bir şeyi değiştirmeden önce ikisinden hangisinin göründüğünü okuyun. Sizi farklı katmanlara yönlendirirler ve onları tek bir belirti olarak ele almak, aynı sunucunun ilgisiz nedenlerle iki kez yamalanmasının sebebidir. Günlük satırı, aldığınız tek ücretsiz tanılamadır.

Protokol 47, 47 numaralı bağlantı noktası değildir

PPTP çağrıyı kurmak için TCP 1723'ü, yükü taşımak için GRE'yi kullanır. GRE bir bağlantı noktası numarası değil, IP protokolü 47'dir, bu yüzden 47 numaralı bağlantı noktasını açan bir güvenlik duvarı kuralı yararlı hiçbir şeye izin vermez.

Yoldaki yönlendirici bir PPTP passthrough özelliğine veya açık bir GRE iznine ihtiyaç duyar. Bu olmadan TCP el sıkışması tamamlanır ve tünel hiçbir zaman paket taşımaz, bu da yukarıdaki okuma hatasını tam olarak üretir. Güvenlik duvarındaki 47 numaralı bağlantı noktası kuralları bu protokolde en çok boşa harcanan öğleden sonradır.

Hangi tarafın trafiği düşürdüğünü tahmin etmek yerine sunucuda her iki yönü aynı anda izleyin: tcpdump -ni any port 1723 or proto gre.

1723 çağrı kurulumunu gösterirken GRE sessiz kalıyorsa engelleme ana bilgisayarın üstündedir. GRE gelip daemon hâlâ başarısız oluyorsa sorun yereldir ve seçenekler bakılacak sonraki yerdir.

GRE'ye ana bilgisayarın gerçekten ilettiği yerde izin verin

GRE için bir forward kuralı eklemek, tünel trafiğini ileten bir ana bilgisayarda makul bir testtir ve bu bir politika değildir. Tek bir protokolün her şeyini kabul eden test kuralı bir tanılamadır, tasarım değildir. Bir şey öğrenmek için yeterince uzun bırakın, sonra sınırlı bir kuralla değiştirin.

Sunucunun kendisine adreslenen paketler için bir input kuralı ekleyin, çünkü forward zinciri onları görmez. Ardından bağlantı denemesinden önce ve sonra kuralın sayaçlarına bakın, bu size paketlerin aslında ulaşıp ulaşmadığını söyler.

Her yeniden başlatmadan sonra yeniden çalıştırmak yerine kuralı dağıtımın güvenlik duvarı hizmeti aracılığıyla kalıcı yapın. Bir nftables ana bilgisayarında ip protocol gre öğesini hem input hem de forward zincirinde eşleştirin.

ppp_generic modülünün de yüklü olduğunu doğrulayın ve bağlantı izlemenin dönüş yönünü düşürüp düşürmediğini kontrol edin. İkisi de güvenlik duvarı sorunu gibi görünen ama olmayan arızalar üretir. Eksik bir çekirdek modülü, siz kontrol edene kadar tam olarak engellenmiş bir protokol gibi görünür.

Seçenekleri gerçekten sahip olduğunuz istemciye uydurun

Diğer rapordaki düzeltme /etc/ppp/pptpd-options içinde, burada tarif PAP, CHAP ve MSCHAP'i reddediyor, ilgili require satırlarını yorumluyor ve durumlu MPPE'yi koruyor. O tarif tek bir istemci karışımı için yazılmıştı ve körü körüne kopyalamak olağan durumu bozar. Reddetme satırlarını bir öneri olarak değil, yazarın hangi istemcilere sahip olduğuna dair bir ifade olarak okuyun.

Bir Windows istemcisi genellikle MS-CHAPv2 ile MPPE-128 gerektirir. Bu gereksinimleri koruyun ve yalnızca istemcinin gerçekten müzakere edemediği seçenekleri kaldırın.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Bağlantının başarılı olması için şifrelemeyi kapatmak bir düşürmedir, onarım değildir. Böyle bir varyantı laboratuvar bağlantısında test edin, ardından hizmet gerçek istemcilerle karşılaşmadan önce şifrelemeyi geri yükleyin. Güvenli olmayan şekilde çalışan bağlantı, dürüstçe başarısız olandan daha kötüdür.

İstemcinin hata numarasını okuyun

İstemcinin sayısal kodu aşamayı sunucu günlüğünden daha hızlı daraltır. Başka bir şey okumadan önce onu okuyun. 691 kimlik bilgilerinin reddedildiği, 721 sunucunun hiç yanıt vermediği ve 619 bağlantının düştüğü anlamına gelir. Numara ile iki dakika, yapılandırma ile bir saat kazandırır.

Herhangi bir şeyi düzenlemeden önce bu kodu sunucu günlüğüyle karşılaştırın ve her değişiklikten sonra aynı istemciyle yeniden test edin. Aksi takdirde ikinci arıza birincinin arkasına saklanır ve düzeltme etkisiz görünür.

Giriş başarılı olduğunda ve hiç trafik hareket etmediğinde GRE hâlâ şüphelidir. O an, kimlik bilgisi deposuna değil, yakalamaya geri dönme anıdır.