PPTP праз пункт доступу: TCP 1723 — толькі палова

Праходзьце праверкі па парадку: ці адкрываецца злучэнне кіравання, ці выжывае GRE на шляху, ці прымае сервер выклік і ці завяршаецца аўтэнтыфікацыя. Кліенту PPTP патрэбны і сеанс TCP на 1723, і шлях GRE, які нясе даныя, а пункт доступу можа прапусціць адно і скінуць другое. Выкананне іх па парадку паказвае, якую мяжу даследаваць, замест здагадак. Нумары памылак Windows гэтага за вас не робяць.

GRE — гэта IP-пратакол 47. Гэта не порт 47 TCP або UDP, і гэтае адрозненне тлумачыць большасць блытаніны вакол міжсеткавых экранаў.

Два шляхі, адно злучэнне

Злучэнне кіравання — звычайны сеанс TCP да порта прызначэння 1723, які большасць сетак прапускае без скаргаў. Шлях даных — GRE, пратакол 47, і міжсеткавы экран, які дазваляе першае, можа быць цалкам не дасведчаны аб другім. Такая камбінацыя стварае кліента, які нібы пачынае, а затым нічога не нясе; гэта значна менш інфарматыўны сімптом, чым адмоўленае злучэнне. Праверце абодва шляхі асобна, перш чым рабіць высновы пра аператара.

Пераўтварэнне дадае сваё патрабаванне. Шлюзы, якія дзеляць порт, часта маюць патрэбу ў ALG, які разумее PPTP, каб перапісваць ідэнтыфікатары выкліку разам з адрасамі, а без яго можна так сапсаваць сеанс, што гэта будзе выглядаць як страта пакетаў. Такія паводзіны распаўсюджаныя, але залежаць ад рэалізацыі, таму ўспрымайце любое абмежаванне пастаўшчыка як прыклад, а не як уласцівасць кожнага пункта доступу.

Пункт доступу дадае яшчэ дзве мяжы

Кліенцкі трафік звычайна праходзіць праз уласны NAT сумеснага доступу тэлефона, а затым праз пераўтварэнне ўзроўню аператара, перш чым дасягнуць сервера. Правіла на офісным маршрутызатары не можа выправіць прамежкавы вузел, які належыць камусьці іншаму, і таму перанакіраванне портаў з боку дома рэдка дапамагае. Выходнаму кліенту таксама не патрэбны адкрыты ўваходны порт; адказы на пераўтворанае злучэнне вяртаюцца праз стан, створаны шлюзам. Сервер за NAT мае цалкам іншы набор патрабаванняў.

Пункт меню з назвай PPTP passthrough, калі ён ёсць, вызначае, як гэта прылада апрацоўвае гэты пратакол. Гэта не тая ж функцыя, што размяшчэнне VPN на тэлефоне або безумоўнае перанакіраванне кожнага пратаколу, і ўключэнне яго не дае агульнага дазволу прапускаць GRE.

Чытайце 807 як перапынак, а не прысуд

Windows паведамляе 807 як перарванае злучэнне, што апісвае вынік, а не прычыну. Яго табліца памылак разглядае 806 асобна як катэгорыю, звязаную з GRE, і гэта розніца вартая ведання перад пабудовай тэорыі. Ні адзін з нумароў не раскрывае, ці аператар фільтраваў пратакол 47, ці ў сервера скончылася ёмістасць, ці былі правільныя ўліковыя дадзеныя. Памылка кажа, што сеанс скончыўся; шлях кажа дзе.

Тэст браўзера, які паспяхова праходзіць у пункце доступу, даказвае толькі тое, што звычайны шлях праграмы працуе. Ён нічога не кажа пра GRE.

Ізалюйце стадыю, якая не ўдалася

Трымайце ноўтбук, сервер і профіль нязменнымі, затым змяніце толькі сетку доступу на іншую дазволеную. Калі вынік зменіцца, захапіце абмены TCP і GRE на межах, якія вы кантралюеце, і знайдзіце самую раннюю стадыю, якая ніколі не адбываецца: усталяванне кіравання, наладжванне выкліку, дастаўка даных або аўтэнтыфікацыя PPP. Кожная пакідае розны подпіс у запісе. Параўнанне працоўнай сеткі з няўдалай значна больш інфарматыўнае, чым чарговае чытанне тэксту памылкі.

Усё гэта дыягнастуе разгортванне, якое ўжо існуе. Гэта не аргумент за стварэнне новай службы PPTP, і пратакол нельга абыйсці дамовай: усталяванне іншага кліента не прымушае нязменены сервер гаварыць нешта іншае.

Для пастаяннага доступу дамовіцеся пра падтрыманую міграцыю з уладальнікам VPN. Спіс праверкі заканчваецца рашэннем, а не часовым абыходам.