PPTP a través d'un punt d'accés: TCP 1723 només és la meitat

Seguiu les comprovacions en ordre: si s'obre la connexió de control, si GRE sobreviu al camí, si el servidor accepta la trucada i si l'autenticació es completa. Un client PPTP necessita tant una sessió TCP al 1723 com un camí GRE que transporti les dades, i un punt d'accés pot deixar passar un i descartar l'altre. Fer-ho en ordre us diu quina frontera cal investigar en lloc d'endevinar. Els números d'error de Windows no ho fan per vosaltres.

GRE és el protocol IP 47. No és el port 47 de TCP ni d'UDP, i aquesta distinció explica la major part de la confusió sobre els tallafocs.

Dos camins, una connexió

La connexió de control és una sessió TCP ordinària al port de destinació 1723, que la majoria de xarxes permeten sense queixes. El camí de dades és GRE, protocol 47, i un tallafocs que permet el primer pot ignorar completament el segon. Aquesta combinació produeix un client que sembla arrencar i després no transporta res, un símptoma molt menys informatiu que una connexió rebutjada. Proveu tots dos camins per separat abans de concloure res sobre l'operador.

La traducció afegeix el seu propi requisit. Les passarel·les que comparteixen ports sovint necessiten un ALG que entengui PPTP per reescriure els identificadors de trucada juntament amb les adreces, i una sense això pot malmetre la sessió de maneres que semblen pèrdua de paquets. Aquest comportament és habitual però depèn de la implementació, així que tracteu qualsevol límit de proveïdor com un exemple i no com una propietat de tots els punts d'accés.

El punt d'accés afegeix dues fronteres més

El trànsit del client sol travessar el NAT de compartició del mateix telèfon i després una traducció d'operador abans d'arribar al servidor. Una regla al router de l'oficina no pot reparar un dispositiu intermedi que pertany a algú altre, i per això el reenviament de ports a la banda de casa poques vegades ajuda. Un client sortint tampoc no necessita un port d'entrada obert; les respostes a una connexió traduïda tornen per l'estat que ha creat la passarel·la. Un servidor allotjat darrere de NAT té un conjunt de requisits completament diferent.

Un element de menú etiquetat com a PPTP passthrough, quan existeix, regeix com aquest dispositiu tracta aquest protocol. No és la mateixa funció que allotjar una VPN al telèfon o reenviar cada protocol incondicionalment, i activar-lo no és un permís general per deixar passar GRE.

Llegiu 807 com una interrupció, no com un veredicte

Windows informa del 807 com una connexió interrompuda, cosa que descriu el resultat i no una causa. La seva taula d'errors tracta el 806 per separat com a categoria relacionada amb GRE, i val la pena conèixer aquesta diferència abans de construir una teoria. Cap dels dos números revela si l'operador filtrava el protocol 47, si el servidor es va quedar sense capacitat o si les credencials eren correctes. L'error diu que la sessió va acabar; el camí diu on.

Una prova de navegador que funciona al punt d'accés només demostra que un camí d'aplicació ordinari funciona. No diu res sobre GRE.

Aïlleu la fase que ha fallat

Manteniu l'ordinador portàtil, el servidor i el perfil fixes, i canvieu només la xarxa d'accés per una altra d'aprovada. Si el resultat canvia, captureu els intercanvis TCP i GRE a les fronteres que controleu i trobeu la fase més primerenca que no arriba a passar mai: establiment del control, preparació de la trucada, lliurament de dades o autenticació PPP. Cadascuna deixa una signatura diferent en una captura. Comparar una xarxa que funciona amb una que falla és molt més informatiu que rellegir el text de l'error.

Tot això diagnostica un desplegament que ja existeix. No és cap argument per aixecar un servei PPTP nou, i el protocol no es pot esquivar negociant: instal·lar un client diferent no fa que un servidor sense canvis parli una altra cosa.

Per a l'accés continuat, acordeu una migració suportada amb qui posseeix la VPN. La llista de comprovació acaba amb una decisió i no amb una solució temporal.