PPTP-fout 800 teenoor 812 en verbindings wat ná 'n minuut val

Drie foutboodskappe van een PPTP-kliënt beskryf gewoonlik drie verskillende foute. Fout 800 beteken die tonnel het nooit gevorm nie, fout 812 beteken die bediener het die verifikasiemetode verwerp, en 'n verbinding wat ná 'n minuut val, is 'n keepalive-timer wat besluit dat 'n gesonde eweknie weg is. Elke stadium misluk om sy eie rede, so elkeen het sy eie kontrole nodig.

Fout 800 beteken die tonnel het nooit gevorm nie

Windows gee fout 800 wanneer dit die tonnel hoegenaamd nie kan bou nie, en die teks oor 'n onbereikbare bediener of ongeskikte sekuriteitsparameters is 'n opsomming eerder as 'n diagnose. PPTP benodig twee afsonderlike dinge van die netwerk voordat enige geloofsbrief ondersoek word. TCP 1723 dra die beheerkanaal, en IP-protokol 47, GRE, dra die ingekapselde vrag.

Toets daardie buitenste pad van buite jou eie LAN, want 'n verbinding wat in die kantoor werk, bewys niks oor die rand nie:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

As 1723 antwoord en die opname bly leeg terwyl die kliënt probeer verbind, laat die pad protokol 47 val. 'n Roeter met 1723 deurgestuur maar PPTP-deurvoer afgeskakel lewer presies daardie patroon: die TCP-handdruk voltooi, dan verdwyn die GRE-pakkette, so die mislukking lyk soos 'n geloofsbriefprobleem selfs al is geen aanmelding probeer nie.

Wys die deurstuur na die bediener se huidige LAN-adres, skakel PPTP-deurvoer aan waar die roeter dit bied, en probeer weer van dieselfde buitenste punt af. Wanneer GRE stroomop gefiltreer word en jy dit nie kan verander nie, het SSTP oor TCP 443 of L2TP/IPsec oor UDP 500 en 4500 'n beter kans as enige verandering wat jy aan die Windows-kant kan maak.

Fout 812 is die bediener wat jou verifikasiemetode verwerp

Fout 812 kom terug nadat die tonnel op is, daarom voel dit soos 'n wagwoordprobleem. Die bediener weier die verifikasiemetode wat vir die verbinding onderhandel is, nie noodwendig die wagwoord self nie. Maak op die kliënt die VPN-inskrywing oop, gaan na die sekuriteit-oortjie, stel die tipe op Point-to-Point Tunneling Protocol, kies die eksplisiete protokol-lys en merk Microsoft CHAP Weergawe 2.

Jy kan die huidige instelling lees sonder om deur die dialoog te klik:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

'n Bediener wat MS-CHAP v2 vereis, verwerp 'n kliënt wat op PAP of op 'n outomatiese tipe gelaat is wat iets swakker onderhandel, en die fout kom voordat enige gebruikerswagwoord geëvalueer word. Die rekeningformaat is die ander helfte van dieselfde verwerping. In een geval het Windows 'n Microsoft-rekening-identiteit gestuur van die vorm MicrosoftAccount\[email protected] terwyl die bediener 'n plaaslike of domeinrekening wou hê. Om SERVERNAME\username te tik het vir Windows gesê watter rekeningstoor om te raadpleeg en die fout skoonmaak. Voer die naam met die hand in eerder as om 'n gestoorde geloofsbrief 'n vorige formaat te laat herspeel.

Valle ná 'n minuut is 'n keepalive-beslissing

Wanneer die tonnel verbind, 'n bietjie verkeer deurlaat en dan ontkoppel, kyk na die bediener se LCP-eggogedrag voordat jy die kliënt aanraak. Die daemon vra die eweknie periodiek om te bevestig dat dit nog daar is. As te min antwoorde binne die gekonfigureerde begroting aankom, word die sessie afgebreek selfs al het die gebruiker nog 'n werkende skakel.

Op 'n Linux-pptpd-bediener woon daardie waardes in /etc/ppp/options.pptpd, en die gewone herstel is om die begroting te verbreed eerder as om die interval te verkort:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Dertig gemiste antwoorde teen 'n interval van vyf sekondes vergewe 'n kort stuwing eerder as om die eweknie as weg te verklaar. Om die telling tot een of twee te verklein, maak gewone jitter op 'n vertaalde pad 'n ontkoppeling omtrent elke minuut. As jou bediener Windows RRAS is eerder as pptpd, kyk eerder na die PPP-sessie-tydsperk en die beleid vir ontkoppeling by ledigheid. Dié woon op 'n ander plek, en om 'n pppd-lêer te wysig wat nie bestaan nie, sal niks verander nie.

Oorvleuelende subnetwerke breek die datapad

'n PPTP-tonnel kan skoon verifieer en steeds niks bereik wanneer albei terreine dieselfde private reeks gebruik, byvoorbeeld 192.168.1.0/24 by die kantoor en by die huis. Die kliënt kan nie sê watter gasheer 'n gegewe adres bedoel nie, en sommige stapels weier om die roete hoegenaamd te installeer eerder as om een te kies.

Behandel dit as 'n ontwerpfout en hernommer een kant, of gee die kliënt 'n doelbewus vertaalde toegangsreeks. Om die PPTP-kliënt te ontfout kan nie 'n adresruimte regmaak wat twee keer bestaan nie, en die simptoom sal aanhou soos 'n toevallige val lyk.

Begin by die stadium wat misluk het: GRE vir 800, die metode en rekeningstring vir 812, eggo-instellings vir 'n tonnel wat op skedule sterf.