pptpd'da GRE yozish xatolari parol muammosi emas

Jurnalda GRE yozish xatosi, va birinchi instinkt foydalanuvchining parolini tiklash. Bu instinkt deyarli har doim noto'g'ri. Bu xabarlar ishonch ma'lumotlarini tekshirishni emas, ma'lumot yo'lini tasvirlaydi: mijoz muvaffaqiyatli autentifikatsiyadan o'tib, keyin tarmoqda ro'yxatdan o'tadigan bosqichda to'xtab qolgan bo'lishi mumkin. Ikki xil xabar ikki xil nosozlikka ishora qiladi va hech biri yangi parol bilan hal qilinmaydi.

Ikki xabar, ikki xil nosozlik

O'qish xatosi GRE paketlari demona hech qachon yetib bormasligini yoki kirishda tashlab yuborilishini bildiradi. Boshqaruv ulanishi butunlay sog'lom ko'rinishi mumkin, lekin ma'lumot yo'lidan hech narsa o'tmaydi. Autentifikatsiya isbotlangan tarzda ishlagan yagona narsa.

Yozish xatosi odatda seans yadro yoki mijoz foydalana olmaydigan narsani kelishib olganini bildiradi. Boshqaruv kanali tugadi, va o'sha almashinuvda kelishilgan parametrlar oxirgi nuqtalar haqiqatan qila oladigan narsaga to'g'ri kelmaydi. Bu konfiguratsiya kelishmovchiligi, autentifikatsiya hodisasi emas.

Biror narsani o'zgartirishdan oldin ikkisidan qaysi biri paydo bo'lishini o'qing. Ular sizni turli qatlamlarga yuboradi, va ularni bitta simptom deb qarash ayni serverning bog'liq bo'lmagan sabablarga ko'ra ikki marta patchlanishining sababidir. Jurnal satri siz oladigan yagona bepul diagnostika.

47 protokoli 47 port emas

PPTP qo'ng'iroqni o'rnatish uchun TCP 1723 va yukni tashish uchun GRE ishlatadi. GRE port raqami emas, IP protokoli 47, shuning uchun 47 portini ochadigan firewall qoidasi hech qanday foydali narsaga ruxsat bermaydi.

Yo'ldagi marshrutizatorga PPTP passthrough funksiyasi yoki GRE uchun aniq ruxsat kerak. Usiz TCP qo'l siqishi tugaydi va tunnel hech qachon paket tashimaydi, bu esa yuqoridagi o'qish xatosini aynan keltirib chiqaradi. Firewalldagi 47 port qoidalari bu protokolda eng ko'p behuda o'tgan tushdan keyin.

Qaysi tomon trafikni tashlab yuborayotganini taxmin qilish o'rniga serverda ikkala yo'nalishni bir vaqtda kuzating: tcpdump -ni any port 1723 or proto gre.

Agar 1723 qo'ng'iroq o'rnatilishini ko'rsatsa va GRE jim tursa, blok yuqorida, xostdan tashqarida. Agar GRE kelib, demon hali ham muvaffaqiyatsiz bo'lsa, muammo mahalliy va parametrlar keyingi qaraladigan joy.

GRE ga xost haqiqatan uzatadigan joyda ruxsat bering

GRE uchun forward qoidasini kiritish tunnel trafigini uzatadigan xostda o'rinli sinov, va bu siyosat emas. Bitta protokolning hammasini qabul qiladigan sinov qoidasi diagnostika, dizayn emas. Nimadir o'rganish uchun yetarlicha qoldiring, keyin uni cheklangan qoida bilan almashtiring.

Serverning o'ziga yuborilgan paketlar uchun input qoidasini qo'shing, chunki forward zanjiri ularni ko'rmaydi. Keyin ulanish urinishidan oldin va keyin qoida hisoblagichlarini ko'ring, bu paketlar umuman kelayotganini aytadi.

Har qayta yuklashdan keyin qayta ishga tushirish o'rniga tarqatmaning firewall xizmati orqali qoidani doimiy qiling. nftables xostida ip protocol gre ni ham input, ham forward zanjirida moslashtiring.

ppp_generic moduli ham yuklanganiga ishonch hosil qiling, va ulanish kuzatuvi qaytish yo'nalishini tashlab yuboryaptimi tekshiring. Ikkalasi ham firewall muammosiga o'xshaydigan, lekin bo'lmagan nosozliklarni keltirib chiqaradi. Yo'q yadro moduli tekshirmaguningizcha aynan bloklangan protokolga o'xshaydi.

Parametrlarni haqiqatan mavjud mijozga moslashtiring

Boshqa hisobotning tuzatishi /etc/ppp/pptpd-options ichida, u yerda retsept PAP, CHAP va MSCHAP ni rad etadi, tegishli require satrlarini izohga oladi va holatli MPPE ni saqlaydi. O'sha retsept bitta mijoz aralashmasi uchun yozilgan, va ko'r-ko'rona nusxalash odatiy holatni buzadi. Rad etish satrlarini tavsiya sifatida emas, muallifda qanday mijozlar bo'lgani haqidagi bayonot sifatida o'qing.

Windows mijozi odatda MS-CHAPv2 bilan MPPE-128 ni talab qiladi. O'sha talablarni saqlang va faqat mijoz haqiqatan kelisha olmaydigan parametrlarni olib tashlang.

# keep encryption; drop only what this client cannot negotiate
refuse-pap
refuse-chap
refuse-mschap
mppe-stateful
require-mschap-v2
require-mppe-128

Ulanish muvaffaqiyatli bo'lishi uchun shifrlashni o'chirish - pasaytirish, ta'mirlash emas. Bunday variantni laboratoriya liniyasida sinab ko'ring, keyin xizmat haqiqiy mijozlarga duch kelishidan oldin shifrlashni tiklang. Xavfsiz ishlamaydigan ulanish halol tarzda muvaffaqiyatsiz bo'lganidan yomonroq.

Mijozning xato raqamini o'qing

Mijozning raqamli kodi bosqichni server jurnaliga qaraganda tezroq toraytiradi. Boshqa narsani o'qishdan oldin uni o'qing. 691 ishonch ma'lumotlari rad etilganini, 721 server hech qachon javob bermaganini, 619 esa ulanish uzilganini bildiradi. Raqam bilan ikki daqiqa konfiguratsiya bilan bir soatni tejaydi.

Biror narsani tahrirlashdan oldin o'sha kodni server jurnali bilan solishtiring, va har o'zgarishdan keyin o'sha mijoz bilan qayta sinang. Aks holda ikkinchi nosozlik birinchisining orqasida yashirinadi va tuzatish samarasiz ko'rinadi.

Kirish muvaffaqiyatli bo'lib, trafik qimirlamasa, GRE hali ham gumondor. Bu ishonch ma'lumotlari omboriga emas, ushlashga qaytish vaqti.