PPTP přes hotspot: TCP 1723 je jen polovina

Projděte kontroly popořadě: zda se otevře řídicí spojení, zda GRE cestu přežije, zda server hovor přijme a zda se dokončí autentizace. Klient PPTP potřebuje jak TCP relaci na 1723, tak cestu GRE, která nese data, a hotspot může jedno propustit a druhé zahodit. Provádění v tomto pořadí vám řekne, kterou hranici zkoumat, místo abyste hádali. Čísla chyb Windows to za vás neudělají.

GRE je IP protokol 47. Není to port 47 protokolu TCP ani UDP a tento rozdíl vysvětluje většinu zmatku kolem firewallů.

Dvě cesty, jedno spojení

Řídicí spojení je běžná TCP relace na cílový port 1723, kterou většina sítí povoluje bez potíží. Datová cesta je GRE, protokol 47, a firewall, který povoluje první, o druhém nemusí vůbec vědět. Tato kombinace vytváří klienta, který vypadá, že se spustí, a pak nic nepřenáší, což je mnohem méně vypovídající příznak než odmítnuté spojení. Otestujte obě cesty odděleně, než o operátorovi cokoli uzavřete.

Překlad přidává svůj vlastní požadavek. Brány, které sdílejí porty, často potřebují ALG rozumějící PPTP, aby přepsaly identifikátory hovoru spolu s adresami, a brána bez něj může relaci poškodit tak, že to vypadá jako ztráta paketů. Toto chování je běžné, ale závisí na implementaci, takže jakýkoli limit výrobce berte jako příklad, nikoli jako vlastnost každého hotspotu.

Hotspot přidává dvě další hranice

Klientský provoz obvykle prochází vlastním sdílecím NAT telefonu a poté překladem na úrovni operátora, než dorazí na server. Pravidlo na kancelářském routeru nemůže opravit mezilehlé zařízení, které patří někomu jinému, a proto přesměrování portů na domácí straně zřídka pomáhá. Odchozí klient také nepotřebuje otevřený vstupní port; odpovědi na přeložené spojení se vracejí stavem, který brána vytvořila. Server hostovaný za NAT má zcela jinou sadu požadavků.

Položka nabídky označená jako PPTP passthrough, pokud existuje, určuje, jak toto zařízení s protokolem zachází. Není to stejná funkce jako hostování VPN v telefonu nebo bezpodmínečné předávání každého protokolu a její zapnutí není obecným povolením propustit GRE.

Čtěte 807 jako přerušení, ne jako verdikt

Windows hlásí 807 jako přerušené spojení, což popisuje výsledek, nikoli příčinu. Jeho tabulka chyb zpracovává 806 odděleně jako kategorii související s GRE a tento rozdíl stojí za to znát, než začnete stavět teorii. Ani jedno číslo neprozradí, zda operátor filtroval protokol 47, zda serveru došla kapacita nebo zda byly údaje správné. Chyba říká, že relace skončila; cesta říká kde.

Test prohlížeče, který na hotspotu uspěje, dokazuje jen to, že běžná cesta aplikace funguje. O GRE neříká nic.

Izolujte fázi, která selhala

Nechte notebook, server i profil beze změny a poté vyměňte pouze přístupovou síť za jinou schválenou. Pokud se výsledek změní, zachyťte výměny TCP a GRE na hranicích, které ovládáte, a najděte nejranější fázi, která nikdy nenastane: navázání řízení, příprava hovoru, doručení dat nebo autentizace PPP. Každá zanechává v záznamu jiný podpis. Srovnání funkční sítě s nefunkční je mnohem poučnější než další čtení textu chyby.

To vše diagnostikuje nasazení, které už existuje. Není to argument pro postavení nové služby PPTP a protokol nelze obejít vyjednáváním: instalace jiného klienta nezpůsobí, že nezměněný server bude mluvit něco jiného.

Pro trvalý přístup se dohodněte na podporované migraci s vlastníkem VPN. Kontrolní seznam končí rozhodnutím, nikoli dočasným obchvatem.