Gwall PPTP 800 yn erbyn 812 a cholli cysylltiad ar ôl munud

Mae tri neges wall o un cleient PPTP fel arfer yn disgrifio tri diffyg gwahanol. Mae gwall 800 yn golygu na ffurfiwyd y twnel o gwbl, mae gwall 812 yn golygu bod y gweinydd wedi gwrthod y dull dilysu, ac mae colli cysylltiad ar ôl munud yn amserydd keepalive sy’n penderfynu bod partner iach wedi mynd. Mae pob cam yn methu am ei reswm ei hun, felly mae angen ei wiriad ei hun ar bob un.

Mae gwall 800 yn golygu na ffurfiwyd y twnel o gwbl

Mae Windows yn codi gwall 800 pan na all adeiladu’r twnel o gwbl, ac mae’r testun am weinydd na ellir ei gyrraedd neu baramedrau diogelwch anaddas yn grynodeb yn hytrach na diagnosiad. Mae PPTP angen dau beth ar wahân gan y rhwydwaith cyn archwilio unrhyw dystysgrif. Mae TCP 1723 yn cario’r sianel reoli, ac mae protocol IP 47, GRE, yn cario’r llwyth sydd wedi’i amgáu.

Profwch y llwybr allanol hwnnw o’r tu allan i’ch LAN eich hun, oherwydd nid yw cysylltiad sy’n gweithio yn y swyddfa yn profi dim am yr ymyl:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Os yw 1723 yn ateb ac mae’r cipio’n aros yn wag tra bo’r cleient yn ceisio cysylltu, mae’r llwybr yn gollwng protocol 47. Mae llwybrydd â 1723 wedi’i anfon ymlaen ond y pas PPTP wedi’i ddiffodd yn cynhyrchu’r union batrwm hwnnw: mae’r cwtsh TCP yn cwblhau, yna mae’r pecynnau GRE yn diflannu, felly mae’r methiant yn edrych fel problem dystysgrif er na chafwyd cynnig mewngofnodi.

Cyfeiriwch yr anfon ymlaen at gyfeiriad LAN presennol y gweinydd, galluogwch y pas PPTP lle mae’r llwybrydd yn ei gynnig, a cheisiwch eto o’r un safbwynt allanol. Pan fydd GRE yn cael ei hidlo i fyny’r afon ac na allwch newid hynny, mae gan SSTP dros TCP 443 neu L2TP/IPsec dros UDP 500 a 4500 well gobaith nag unrhyw newid y gallwch ei wneud ar ochr Windows.

Gwall 812 yw’r gweinydd yn gwrthod eich dull dilysu

Mae gwall 812 yn dod yn ôl ar ôl i’r twnel godi, a dyna pam mae’n teimlo fel problem cyfrinair. Mae’r gweinydd yn gwrthod y dull dilysu a drafodwyd ar gyfer y cysylltiad, nid o reidrwydd y cyfrinair ei hun. Ar y cleient, agorwch y cofnod VPN, ewch i’r tab diogelwch, gosodwch y math i Point-to-Point Tunneling Protocol, dewiswch y rhestr protocolau pendant, a thiciwch Microsoft CHAP fersiwn 2.

Gallwch ddarllen y gosodiad presennol heb glicio drwy’r deialog:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Mae gweinydd sy’n mynnu MS-CHAP v2 yn gwrthod cleient sydd ar ôl ar PAP neu ar fath awtomatig sy’n trafod rhywbeth gwannach, ac mae’r gwall yn cyrraedd cyn i unrhyw gyfrinair defnyddiwr gael ei werthuso. Fformat y cyfrif yw hanner arall yr un gwrthodiad. Mewn un achos anfonodd Windows hunaniaeth cyfrif Microsoft ar ffurf MicrosoftAccount\[email protected] tra oedd y gweinydd eisiau cyfrif lleol neu gyfrif parth. Fe wnaeth teipio SERVERNAME\username ddweud wrth Windows pa storfa gyfrif i’w holi a chlirio’r gwall. Nodwch yr enw â llaw yn lle gadael i dystysgrif sydd wedi’i chadw ailchwarae fformat blaenorol.

Mae colli cysylltiad ar ôl munud yn benderfyniad keepalive

Pan fydd y twnel yn cysylltu, yn pasio ychydig o draffig ac yna’n datgysylltu, edrychwch ar ymddygiad atsain LCP y gweinydd cyn cyffwrdd â’r cleient. Mae’r daemon yn gofyn yn rheolaidd i’r partner gadarnhau ei fod dal yno. Os daw gormod o ychydig o atebion o fewn y gyllideb a ffurfiwyd, mae’r sesiwn yn cael ei rhwygo er bod gan y defnyddiwr gysylltiad gweithio o hyd.

Ar weinydd Linux pptpd mae’r gwerthoedd hynny’n byw yn /etc/ppp/options.pptpd, a’r atgyweiriad arferol yw ehangu’r gyllideb yn hytrach na byrhau’r cyfwng:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Mae tri deg o golledion ar gyfwng o bum eiliad yn maddau stop byr yn hytrach na datgan bod y partner wedi mynd. Mae lleihau’r cyfrif i un neu ddau yn troi jitter arferol ar lwybr a gyfieithwyd yn ddatgysylltiad tua phob munud. Os mai Windows RRAS yw eich gweinydd yn hytrach na pptpd, edrychwch ar derfyn amser sesiwn PPP a’r polisi datgysylltu segur yn lle hynny. Maent yn byw yn rhywle arall, ac ni fydd golygu ffeil pppd nad yw’n bodoli yn newid dim.

Mae is-rwydweithiau sy’n gorgyffwrdd yn torri’r llwybr data

Gall twnel PPTP ddilysu’n lân ac eto gyrraedd dim pan fydd y ddau safle’n defnyddio’r un amrediad preifat, er enghraifft 192.168.1.0/24 yn y swyddfa ac yn y cartref. Ni all y cleient ddweud pa westeiwr y mae cyfeiriad penodol yn cyfeirio ato, ac mae rhai staciau’n gwrthod gosod y llwybr o gwbl yn hytrach na dewis un.

Triniwch hynny fel diffyg dylunio ac ailrifwch un ochr, neu rhowch amrediad mynediad a gyfieithwyd yn fwriadol i’r cleient. Ni all dadfygio’r cleient PPTP drwsio gofod cyfeiriad sy’n bodoli ddwywaith, a bydd y symptom yn parhau i edrych fel colli cysylltiad ar hap.

Dechreuwch gyda’r cam a fethodd: GRE ar gyfer 800, y dull a’r llinyn cyfrif ar gyfer 812, gosodiadau atsain ar gyfer twnel sy’n marw yn ôl yr amserlen.