Twnelu hollt PPTP ddim yn gweithio: trwsiwch y llwybr GRE yn gyntaf

Gwyliwch gysylltiad PPTP yn codi ac mae’n hawdd credu bod y rhan anodd drosodd: mae’r cleient yn dilysu, mae addasydd ppp0 neu WAN Miniport yn ymddangos, ac mae’r ffenestr statws yn troi’n wyrdd. Yna mae’r cais cyntaf i westeiwr mewnol yn goramseru, a’r proffil sy’n cael y bai. Yn ymarferol mae dau haen annibynnol i’w clirio, y cludiant allanol sy’n cario TCP 1723 a GRE, a’r polisi mewnol sy’n penderfynu pa gyrchfannau sy’n defnyddio’r rhyngwyneb PPP. Dim ond bod yr haen gyntaf wedi cytuno mae statws gwyrdd yn ei brofi; nid yw’n dweud dim am yr ail.

Dilynwch y cleient o’r proffil i’r soced rheoli

Agorwch log y cleient a dewch o hyd i’r pwynt lle mae’n cysylltu â’r gweinydd. Mae PPTP yn agor cysylltiad TCP i borth 1723 yn gyntaf ac yn trafod paramedrau’r twnnel dros y sianel honno. Os yw’r cam hwn yn methu, nid oes dim ar ôl yn bwysig, ac mae’r gwall fel arfer yn enwi cyfeiriad y gweinydd neu oramser.

Cadarnhewch y cysylltiad rheoli ar y wifren cyn i chi gyffwrdd ag unrhyw lwybr. Ar y cleient neu borth drych, cofnodwch TCP 1723 ar gyfer un ymgais i gysylltu:

sudo tcpdump -ni any 'tcp port 1723' -c 20

Mae ysgwyd llaw wedi’i gwblhau a sesiwn wedi’i sefydlu yn golygu bod y sianel reoli allanol yn gweithio. SYN na chewch SYN-ACK byth yn cyfeirio at wal dân, cyfeiriad gweinydd anghywir, neu ddarparwr sy’n hidlo’r porth. Ysgwyd llaw ac yna ailosodiad ar unwaith yn aml yn golygu bod y gweinydd wedi gwrthod y manylion mewngofnodi neu’r math o dwnnel.

Mae GRE yn ail brotocol, nid porth

Mae PPTP yn cario llwyth PPP y tu mewn i GRE estynedig, protocol IP 47, nad oes ganddo rif porth i lwybrydd ei olrhain. Dyna pam y gall rheol sy’n caniatáu TCP 1723 adael y twnnel heb lwybr data o hyd. Mae angen i ddyfeisiau NAT cyflwr ddeall ID y galwad y tu mewn i GRE i fapio atebion yn ôl, ac nid yw llawer yn gwneud hynny. Mae manyleb PPTP yn cadw’r sianel reoli a llwyth GRE fel darnau ar wahân, ac felly hefyd eich cynllun prawf.

Gwyliwch am brotocol 47 yn yr un cofnod, yna cymharwch yr hyn sy’n gadael â’r hyn sy’n dychwelyd:

sudo tcpdump -ni any 'proto gre' -c 20

Pecynnau’n gadael heb atebion, tra bo TCP 1723 yn parhau’n iach, yw llofnod clasurol GRE wedi’i rwystro. Mae pasio PPTP ar lwybrydd cartref yn nodwedd o’r cadarnwedd penodol honno, felly nid yw rhwydwaith gwesty sy’n gweithio yn profi dim am yr un nesaf. Os nad yw’r llwybrydd yn cynnig pasio ac na allwch ei newid, dewis y protocol yw’r broblem, nid y tabl llwybrau.

Profwch fod y twnnel yn symud un pecyn

Unwaith y bydd GRE yn llifo, mae trafodaeth PPP yn aseinio cyfeiriad i ryngwyneb y cleient. Darllenwch yr aseiniad yn hytrach na’i dybio:

ip -4 addr show ppp0

Pingiwch gyfeiriad y cymar a ddangosir fel cyrchfan y cyswllt pwynt-i-bwynt. Mae ateb ar y cam hwn yn profi bod y llwybr wedi’i amgáu yn gweithio o ben i ben a bod y gweinydd yn ateb y tu mewn i’r twnnel. Os yw’r cymar yn ateb ond nad yw’r gwesteiwyr mewnol yn ateb, mae’r cludiant allanol yn iawn ac mae’r methiant wedi symud tuag i mewn.

Gwnewch hyn cyn ychwanegu unrhyw lwybr hollt. Mae newid llwybr a wneir tra bo’r cludiant yn doredig yn creu ail newidyn ac yn cuddio’r cyntaf.

Ysgrifennwch y polisi hollt, gan gynnwys DNS

Mae llwybro hollt yn rhestr o benderfyniadau, nid blwch ticio. Mae angen llwybr trwy ryngwyneb PPP ar bob rhagddodiad preifat sy’n gorfod croesi’r twnnel, a rhaid i bob rhagddodiad sy’n gorfod aros yn lleol fod yn absennol ohono. Mae llwybr ar gyfer is-rwydwaith cymhwysiad heb lwybr cyfatebol i’w ddatryswr preifat yn ffordd gyffredin o greu toriad sy’n edrych fel ap wedi torri.

Gwiriwch y penderfyniad y mae’r cnewyllyn yn ei wneud ar gyfer un cyfeiriad ym mhob categori:

ip route get 10.20.5.10
ip route get 203.0.113.25

Dylai’r cyntaf enwi ppp0, a’r ail y giât arferol. Os yw’r ddau yn enwi’r un rhyngwyneb, nid yw’r polisi wedi hollti o gwbl. Ychwanegwch gyfeiriad y gweinydd DNS ei hun at y rhestr dwnnel, fel arall mae datrys enwau ar gyfer gwesteiwyr mewnol yn gadael trwy’r datryswr lleol ac yn dychwelyd dim byd defnyddiol.

Gwiriad y gellir ei ailadrodd mewn pum cam

Rhedwch yr haenau mewn trefn a stopiwch ar y cyntaf sy’n methu: sianel reoli, gwelededd GRE, ateb cymar PPP, llwybr hollt ar gyfer un cyfeiriad mewnol, a chais cymhwysiad dros y twnnel. Mae gan bob cam ei orchymyn ei hun, felly mae methiant yn briodoladwy yn lle’n ddirgel.

Mae fersiwn gryno ar gyfer cleient Linux yn edrych fel hyn:

sudo tcpdump -ni any 'tcp port 1723 or proto gre' -c 40
ip -4 addr show ppp0
ping -c 3 192.0.2.1
ip route get 10.20.5.10

Ar Windows mae’r un drefn yn berthnasol gyda route print a statws yr addasydd a ddangosir yn y cleient. Mae PPTP yn brotocol etifeddol, ac os yw’r gweinydd yn cynnig SSTP neu IKEv2, mae symud fel arfer yn ffordd well o ddefnyddio amser na thiwnio llwybr sy’n dibynnu ar brotocol 47 yn pasio pob naid. Gwiriwch dystysgrif a chontract dilysu’r olynydd yn lle copïo hen broffil i ryddhad newydd.