PPTP gennem et hotspot: TCP 1723 er kun halvdelen

Gå gennem kontrollerne i rækkefølge: om styreforbindelsen åbner, om GRE overlever vejen, om serveren accepterer kaldet, og om godkendelsen fuldføres. En PPTP-klient har brug for både en TCP-session på 1723 og en GRE-vej, der bærer dataene, og et hotspot kan slippe det ene igennem og tabe det andet. At gøre dem i rækkefølge fortæller dig, hvilken grænse du skal undersøge i stedet for at gætte. Windows-fejlnumre gør det ikke for dig.

GRE er IP-protokol 47. Det er ikke TCP- eller UDP-port 47, og den forskel forklarer det meste af forvirringen om firewalls.

To veje, én forbindelse

Styreforbindelsen er en almindelig TCP-session til destinationsport 1723, som de fleste netværk tillader uden klager. Datastien er GRE, protokol 47, og en firewall, der tillader det første, kan være helt uvidende om det andet. Den kombination giver en klient, der ser ud til at starte og derefter ikke bærer noget, et langt mindre informativt symptom end en afvist forbindelse. Test begge veje hver for sig, før du konkluderer noget om operatøren.

Oversættelse tilføjer sit eget krav. Gateways, der deler porte, har ofte brug for en PPTP-bevidst ALG til at omskrive kaldidentifikatorer sammen med adresser, og en uden den kan ødelægge sessionen på måder, der ligner pakketab. Den adfærd er almindelig, men implementeringsafhængig, så betragt enhver leverandørgrænse som et eksempel og ikke som en egenskab ved hvert hotspot.

Hotspottet tilføjer to grænser mere

Klienttrafik krydser normalt telefonens egen delings-NAT og derefter en operatørniveau-oversættelse, før den når serveren. En regel på kontorrouteren kan ikke reparere en mellemting, der tilhører en anden, og derfor hjælper portvideresending på hjemmesiden sjældent. En udgående klient har heller ikke brug for en indgående port åbnet; svar på en oversat forbindelse vender tilbage gennem den tilstand, gatewayen har oprettet. En server bag NAT har helt andre krav.

Et menupunkt med navnet PPTP-passthrough, hvor det findes, bestemmer, hvordan den enhed håndterer denne protokol. Det er ikke den samme funktion som at hoste en VPN på telefonen eller videresende hver protokol ubetinget, og at aktivere det er ikke en generel tilladelse til at slippe GRE igennem.

Læs 807 som en afbrydelse, ikke en dom

Windows rapporterer 807 som en afbrudt forbindelse, hvilket beskriver resultatet snarere end en årsag. Dets fejltabel behandler 806 separat som den GRE-relaterede kategori, og den forskel er værd at kende, før du bygger en teori. Ingen af tallene afslører, om operatøren filtrerede protokol 47, om serveren løb tør for kapacitet, eller om legitimationsoplysningerne var rigtige. Fejlen siger, at sessionen sluttede; vejen siger hvor.

En browsertest, der lykkes på hotspottet, beviser kun, at en almindelig applikationsvej virker. Den siger intet om GRE.

Isolér det trin, der fejlede

Hold laptop, server og profil fast, og skift derefter kun adgangsnetværket til et andet godkendt. Hvis resultatet ændrer sig, skal du optage TCP- og GRE-udvekslingerne ved de grænser, du kontrollerer, og finde det tidligste trin, der aldrig sker: styreoprettelse, kaldopsætning, dataaflevering eller PPP-godkendelse. Hver efterlader en forskellig signatur i en optagelse. At sammenligne et fungerende netværk med et fejlende er langt mere informativt end at læse fejlteksten igen.

Alt dette diagnosticerer en installation, der allerede findes. Det er ikke et argument for at rejse en ny PPTP-tjeneste, og protokollen kan ikke forhandles udenom: at installere en anden klient får ikke en uændret server til at tale noget andet.

For vedvarende adgang skal du aftale en understøttet migrering med den, der ejer VPN'en. Tjeklisten ender med en beslutning i stedet for en midlertidig løsning.