PPTP ötürməsi yoxdur: Windows VPN 807 xətasını düzəldin

TCP 1723-ün ötürülməsi çox vaxt PPTP-nin ilk hissəsini açır və qalanını sınıq qoyur, buna görə də Windows cəhddə yenə 807 xətası qaytarır. Növbəti instinkt 47-ci port üçün qayda əlavə etməkdir və elə bu addım günün yarısını itirir: GRE IP başlığındakı protokol nömrəsidir, ötürmə cədvəlinin uyğunlaşdıra biləcəyi port deyil. Marşrutlaşdırıcı protokol 47-ni keçirməyincə və onu həmin çağırışa bağlamayınca tunel başlaya bilməz. Aşağıdakı bölmələr iki kanalı ayırır, sonra onları bir-bir sınaqdan keçirir.

Port cədvəlində protokol nömrəsi üçün sətir yoxdur

PPTP fərqli şəkildə uğursuz olan iki söhbətdən istifadə edir. TCP 1723 üzərindəki söhbət çağırışı başladır, keçid məlumatını ötürür və istifadəçi ayrıldıqda onu dayandırır. Yük tərəfi GRE daxilində işləyir, IP başlığı onu protokol nömrəsi 47 ilə işarələyir və həmin tunelin içində PPP keçidi razılaşdırır, MS-CHAPv2 isə etimad məlumatlarını yoxlayır.

GRE nəqliyyat başlığı daşımadığı üçün heç bir port açmır, buna görə də portlar üçün yazılmış qaydanın uyğunlaşdıracaq heç nəyi olmur. 1723-ü ötürən marşrutlaşdırıcı həmin TCP sessiyası üçün xəritə yaradır və orada dayanır. İkinci yarı ilə məşğul olan proqram təminatı bu xüsusiyyəti PPTP ötürməsi və ya PPTP ALG adlandırır, bəzi proqram təminatı isə heç birini təklif etmir və boşluğu heç xatırlatmır. Onay qutusundakı etiket protokol 47-nin ümumiyyətlə tanınmasından daha az əhəmiyyət daşıyır.

Windows məlumat yolunun öldüyü zaman nə bildirir

807 xətası bağlantının tamamlana bilmədiyini söyləyir və praktikada bu, çağırışın serverə çatdığını, məlumat kanalının isə qalxmadığını bildirir. Bu, hesab haqqında deyil, nəqliyyat haqqında hökmdür. 691 xətası etimad məlumatlarına və ya autentifikasiya protokolunun uyğunsuzluğuna işarə edən xətadır, ona görə də sizi tamam başqa yerə yönəldir.

Parola toxunmazdan əvvəl nəqliyyat üzərində işləyin. 807-nin arxasınca etimad məlumatlarını dəyişmək əsl nasazlığı yerində saxlayır və növbəti cəhdi oxumağı çətinləşdirir.

Niyə ikinci müştəri işləyən tuneli pozur

Onları ayırd edəcək port olmadığından NAT cihazı iki PPTP müştərisini iki HTTPS sessiyasını ayırdığı kimi ayıra bilmir. Buna görə də bir çox istehlakçı cihazı bir PPTP çağırışına icazə verir və onu mənbə ünvanı ilə izləyir. Tək işləyən noutbuk ikinci maşın zəng edən kimi tamamlanmağı dayandırır və müştəri tərəfindən nasazlıq təsadüfi görünür. Bu nümunə proqram təminatına aiddir və heç bir profil dəyişikliyi onu dəyişməz.

Hər iki müştəri zəng edərkən bağlantı cədvəlinə baxın. Əgər həmişə yalnız birinci host xəritə saxlayırsa, marşrutlaşdırıcı dəstəklədiyinin hüduduna çatıb və heç bir müştəri parametri onu tərpətməyəcək.

Hansı yarının nasaz olduğunu sübut edin

Marşrutlaşdırıcıda heç nəyi dəyişməzdən əvvəl TCP 1723-ün gəldiyini təsdiqləyin, çünki bu cavab hansı yarını sınaqdan keçirdiyinizi müəyyən edir. Bunları Windows müştərisindən öz server adınıza qarşı işlədin. Birincisi portun cavab verib-vermədiyini çap edir, ikincisi isə dialoq olmadan zəng edir, bu da təkrar cəhdləri müqayisəli edir.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Port testində doğru nəticə idarə kanalının açıq olduğunu və GRE-nin qalan şübhəli olduğunu bildirir. Yanlış nəticə marşrutlaşdırmanın, filtrin və ya ötürmənin pozulduğunu bildirir və heç bir GRE dəyişikliyi bunu xilas etməz. Məlumat tərəfi göründüyü yerdə, serverdə və ya marşrutlaşdırıcıda izlənməlidir.

tcpdump -ni any proto 47

Wireshark-da ekvivalent ip proto 47 göstərmə filtrdir və bunu komanda sətrində rahat olmayan birinə vermək daha asandır. Cavab olaraq heç nə çıxmadan gələn GRE qayıdış yolunun düzəldilməsi lazım olduğunu bildirir.

Xətanı həqiqətən nə düzəldir

Marşrutlaşdırıcı parametri açırsa, PPTP ötürməsini aktivləşdirin və ya qaydaları qəbul edən proqram təminatında protokol 47-yə açıq icazə verin. RouterOS-da ötürmə qaydası protokolla birbaşa uyğunlaşır, port əsaslı ötürmənin heç vaxt edə bilmədiyi şey budur. İstehlakçı proqram təminatı adətən eyni qərarı onay qutusunun arxasında gizlədir, bəzən port ötürməsinin altında deyil, təhlükəsizlik parametrlərinin altında. Belə nəzarət yoxdursa, müştəridə heç nə bunu kompensasiya etməyəcək.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

PPTP-ni əvəz etmək digər seçimdir və çox vaxt daha ucuzdur. VPN-i özü sonlandıran marşrutlaşdırıcı daxil olan müştərilər üçün ikiqat NAT-dan qaçır və port əsaslı NAT-ın artıq idarə etdiyi protokol heç bir ötürməyə ehtiyac duymur: UDP üzərindən OpenVPN, TCP 443 üzərindən SSTP və ya ESP-ni UDP 4500 içində bükən NAT-T ilə L2TP/IPsec. PPTP həm də MS-CHAPv2-dən asılıdır və onun sənədləşdirilmiş zəiflikləri xəta aradan qalxdıqdan sonra belə onu yeni quraşdırma üçün pis seçim edir.

Hansı qaydanın fərq yaratdığını yazın, çünki ikinci istifadəçi giriş istəyəndə eyni sayt eyni hədlə qarşılaşacaq. Protokol səviyyəsində düzəliş şəbəkə qeydlərinə aiddir, növbəti mühəndis oraya baxacaq.