PPTP über einen Hotspot: TCP 1723 ist nur die Hälfte

Arbeiten Sie die Prüfungen der Reihe nach ab: ob die Steuerverbindung aufgeht, ob GRE den Weg übersteht, ob der Server den Ruf annimmt und ob die Authentifizierung abschließt. Ein PPTP-Client braucht sowohl eine TCP-Sitzung auf 1723 als auch einen GRE-Pfad, der die Daten trägt, und ein Hotspot kann das eine durchlassen und das andere verwerfen. Die Reihenfolge sagt Ihnen, welche Grenze Sie untersuchen müssen, statt zu raten. Windows-Fehlernummern leisten das nicht für Sie.

GRE ist das IP-Protokoll 47. Es ist nicht TCP- oder UDP-Port 47, und dieser Unterschied erklärt den größten Teil der Verwirrung um Firewalls.

Zwei Wege, eine Verbindung

Die Steuerverbindung ist eine gewöhnliche TCP-Sitzung zum Zielport 1723, die die meisten Netze ohne Beschwerden zulassen. Der Datenpfad ist GRE, Protokoll 47, und eine Firewall, die ersteres erlaubt, kann von letzterem völlig nichts wissen. Diese Kombination erzeugt einen Client, der zu starten scheint und dann nichts überträgt, ein weit weniger aussagekräftiges Symptom als eine abgelehnte Verbindung. Prüfen Sie beide Wege getrennt, bevor Sie etwas über den Anbieter schließen.

Die Übersetzung bringt ihre eigene Anforderung mit. Ports gemeinsam nutzende Gateways brauchen oft ein PPTP-fähiges ALG, um Rufkennungen zusammen mit Adressen umzuschreiben, und eines ohne kann die Sitzung so verunstalten, dass es wie Paketverlust aussieht. Dieses Verhalten ist verbreitet, aber implementierungsabhängig, betrachten Sie also jede Herstellergrenze als Beispiel und nicht als Eigenschaft jedes Hotspots.

Der Hotspot fügt zwei weitere Grenzen hinzu

Client-Verkehr durchquert normalerweise das eigene Sharing-NAT des Telefons und danach eine Übersetzung auf Anbieterebene, bevor er den Server erreicht. Eine Regel auf dem Büro-Router kann eine Middlebox, die jemand anderem gehört, nicht reparieren, weshalb Portweiterleitung auf der Heimseite selten hilft. Ein ausgehender Client braucht auch keinen eingehenden Port, der für ihn geöffnet wird; Antworten auf eine übersetzte Verbindung kehren über den Zustand zurück, den das Gateway angelegt hat. Ein hinter NAT gehosteter Server hat einen völlig anderen Anforderungssatz.

Ein Menüpunkt namens PPTP-Passthrough, wo es ihn gibt, regelt, wie dieses Gerät mit diesem Protokoll umgeht. Er ist nicht dieselbe Funktion wie das Hosten eines VPN auf dem Telefon oder das bedingungslose Weiterleiten jedes Protokolls, und ihn zu aktivieren ist keine allgemeine Erlaubnis, GRE durchzulassen.

Lesen Sie 807 als Unterbrechung, nicht als Urteil

Windows meldet 807 als unterbrochene Verbindung, was das Ergebnis statt einer Ursache beschreibt. Seine Fehlertabelle behandelt 806 getrennt als die GRE-bezogene Kategorie, und dieser Unterschied lohnt sich zu kennen, bevor Sie eine Theorie bauen. Keine der beiden Nummern verrät, ob der Anbieter Protokoll 47 gefiltert hat, ob dem Server die Kapazität ausging oder ob die Anmeldedaten richtig waren. Der Fehler sagt, dass die Sitzung endete; der Pfad sagt, wo.

Ein Browsertest, der auf dem Hotspot gelingt, beweist nur, dass ein gewöhnlicher Anwendungspfad funktioniert. Über GRE sagt er nichts.

Isolieren Sie die Stufe, die versagt hat

Halten Sie Laptop, Server und Profil fest und wechseln Sie dann nur das Zugangsnetz zu einem anderen genehmigten. Ändert sich das Ergebnis, zeichnen Sie die TCP- und GRE-Austausche an den Grenzen auf, die Sie kontrollieren, und finden Sie die früheste Stufe, die nie stattfindet: Steuerungsaufbau, Rufaufbau, Datenlieferung oder PPP-Authentifizierung. Jede hinterlässt eine andere Signatur in einer Aufzeichnung. Ein funktionierendes Netz mit einem fehlenden zu vergleichen ist weit aussagekräftiger, als den Fehlertext erneut zu lesen.

All dies diagnostiziert eine Bereitstellung, die bereits existiert. Es ist kein Argument dafür, einen neuen PPTP-Dienst aufzubauen, und das Protokoll lässt sich nicht wegverhandeln: Einen anderen Client zu installieren bringt einen unveränderten Server nicht dazu, etwas anderes zu sprechen.

Für dauerhaften Zugang vereinbaren Sie eine unterstützte Migration mit dem Eigentümer des VPN. Die Checkliste endet mit einer Entscheidung statt mit einem Behelf.