PPTP deur 'n hotspot: TCP 1723 is net die helfte

Werk die kontroles in volgorde deur: of die beheerverbinding oopgaan, of GRE die pad oorleef, of die bediener die oproep aanvaar, en of verifikasie voltooi. 'n PPTP-kliënt het beide 'n TCP-sessie op 1723 en 'n GRE-pad nodig wat die data dra, en 'n hotspot kan die een deurlaat terwyl dit die ander laat val. Om dit in volgorde te doen, sê vir jou watter grens om te ondersoek eerder as om te raai. Windows se foutnommers doen dit nie vir jou nie.

GRE is IP-protokol 47. Dit is nie TCP- of UDP-poort 47 nie, en daardie onderskeid verduidelik die meeste verwarring oor firewalls.

Twee paaie, een verbinding

Die beheerverbinding is 'n gewone TCP-sessie na bestemmingpoort 1723, wat die meeste netwerke sonder klag toelaat. Die datapad is GRE, protokol 47, en 'n firewall wat die eerste toelaat, kan heeltemal onbewus wees van die tweede. Daardie kombinasie lewer 'n kliënt wat lyk of dit begin en dan niks dra nie, 'n veel minder insiggewende simptoom as 'n geweierde verbinding. Toets albei paaie afsonderlik voordat jy enigiets oor die netwerkoperateur aflei.

Vertaling voeg sy eie vereiste by. Poortdelende gateways het dikwels 'n PPTP-bewuste ALG nodig om oproepidentifiseerders saam met adresse te herskryf, en een sonder dit kan die sessie so deurmekaar maak dat dit soos pakketverlies lyk. Daardie gedrag is algemeen maar implementering-spesifiek, so beskou enige verskafferbeperking as 'n voorbeeld eerder as as 'n eienskap van elke hotspot.

Die hotspot voeg nog twee grense by

Kliëntverkeer kruis gewoonlik die foon se eie deel-NAT en dan 'n operateurvlak-vertaling voordat dit die bediener bereik. 'n Reël op die kantoorrouter kan nie 'n middelkas wat aan iemand anders behoort, herstel nie, en daarom help tuiskant-poortaanstuur selde. 'n Uitgaande kliënt het ook nie 'n inkomende poort nodig wat vir hom oopgemaak word nie; antwoorde op 'n vertaalde verbinding keer terug deur die toestand wat die gateway geskep het. 'n Bediener wat agter NAT gehuisves word, het heeltemal ander vereistes.

'n Kieslysitem met die naam PPTP-passthrough, waar dit bestaan, bepaal hoe daardie toestel hierdie protokol hanteer. Dit is nie dieselfde funksie as om 'n VPN op die foon te huisves of om elke protokol onvoorwaardelik aan te stuur nie, en om dit te aktiveer is nie 'n algemene toestemming om GRE deur te laat nie.

Lees 807 as 'n onderbreking, nie 'n vonnis nie

Windows rapporteer 807 as 'n onderbroke verbinding, wat die uitkoms beskryf eerder as 'n oorsaak. Sy fouttabel behandel 806 afsonderlik as die GRE-verwante kategorie, en daardie verskil is die moeite werd om te ken voordat jy 'n teorie bou. Nie een van die nommers verklap of die operateur protokol 47 gefiltreer het nie, of die bediener se kapasiteit op was nie, of die geloofsbriewe reg was nie. Die fout sê die sessie het geëindig; die pad sê waar.

'n Blaaiertoets wat op die hotspot slaag, bewys net dat 'n gewone toepassingpad werk. Dit sê niks oor GRE nie.

Isoleer die stadium wat misluk het

Hou die skootrekenaar, die bediener en die profiel vas, en verander dan net die toegangsnetwerk na 'n ander goedgekeurde een. As die resultaat verander, vang die TCP- en GRE-uitruilings by die grense wat jy beheer en vind die vroegste stadium wat nooit gebeur nie: beheerstigting, oproepopstelling, data-aflewering of PPP-verifikasie. Elkeen laat 'n ander handtekening in 'n opname. Om 'n werkende netwerk met 'n falende een te vergelyk, is baie meer insiggewend as om die foutteks weer te lees.

Dit alles diagnoseer 'n ontplooiing wat reeds bestaan. Dit is geen argument om 'n nuwe PPTP-diens op te rig nie, en die protokol kan nie weggesous word nie: om 'n ander kliënt te installeer, maak nie dat 'n onveranderde bediener iets anders praat nie.

Vir voortdurende toegang, kom 'n ondersteunde migrasie ooreen met wie ook al die VPN besit. Die kontrolelys eindig met 'n besluit eerder as 'n tydelike oplossing.