PPTP-Passthrough fehlt: Windows-VPN-Fehler 807 beheben

Die Weiterleitung von TCP 1723 öffnet oft den ersten Teil von PPTP und lässt den Rest kaputt, sodass Windows beim Versuch weiterhin Fehler 807 meldet. Der nächste Reflex ist eine Regel für Port 47, und genau dieser Schritt kostet einen Nachmittag: GRE ist eine Protokollnummer im IP-Header, kein Port, den eine Weiterleitungstabelle abgleichen kann. Bis der Router Protokoll 47 durchlässt und es an denselben Ruf bindet, kann der Tunnel nicht starten. Die folgenden Abschnitte trennen die beiden Kanäle und prüfen sie dann einzeln.

Eine Porttabelle hat keine Zeile für eine Protokollnummer

PPTP nutzt zwei Gespräche, die auf unterschiedliche Weise scheitern. Das auf TCP 1723 startet den Ruf, übergibt Linkinformationen und baut ihn ab, wenn der Benutzer die Verbindung trennt. Die Nutzlastseite läuft in GRE, das der IP-Header mit der Protokollnummer 47 kennzeichnet, und in diesem Tunnel handelt PPP den Link aus, während MS-CHAPv2 die Anmeldedaten prüft.

Da GRE keinen Transport-Header trägt, zeigt es keine Ports, sodass eine für Ports geschriebene Regel nichts zum Abgleichen hat. Ein Router, der 1723 weiterleitet, erstellt eine Zuordnung für diese TCP-Sitzung und hört dort auf. Firmware, die die zweite Hälfte behandelt, nennt die Funktion PPTP-Passthrough oder PPTP-ALG, und manche Firmware bietet keins von beidem und erwähnt die Lücke nie. Das Etikett am Kontrollkästchen ist weniger wichtig als die Frage, ob Protokoll 47 überhaupt erkannt wird.

Was Windows meldet, wenn der Datenpfad stirbt

Fehler 807 besagt, dass die Verbindung nicht hergestellt werden konnte, was praktisch bedeutet, dass der Ruf den Server erreichte und der Datenkanal nicht hochkam. Es ist ein Urteil über den Transport, kein Urteil über das Konto. Fehler 691 ist derjenige, der auf Anmeldedaten oder auf eine Unstimmigkeit im Authentifizierungsprotokoll deutet, also schickt er Sie ganz woandershin.

Arbeiten Sie am Transport, bevor Sie das Kennwort anfassen. Anmeldedaten zu ändern, um 807 zu jagen, lässt den eigentlichen Fehler an Ort und Stelle und macht den nächsten Versuch schwerer lesbar.

Warum ein zweiter Client einen funktionierenden Tunnel zerstört

Ohne Ports, die sie unterscheiden, kann ein NAT-Gerät zwei PPTP-Clients nicht so trennen, wie es zwei HTTPS-Sitzungen trennt. Deshalb erlauben viele Verbrauchergeräte einen einzigen PPTP-Ruf und verfolgen ihn über die Quelladresse. Ein Laptop, der allein funktionierte, schließt nicht mehr ab, sobald ein zweiter Rechner wählt, und aus Client-Sicht wirkt der Fehler zufällig. Dieses Muster gehört zur Firmware, und keine Profiländerung wird es ändern.

Beobachten Sie die Verbindungstabelle, während beide Clients wählen. Wenn nur der erste Host jemals eine Zuordnung hält, hat der Router die Grenze des Unterstützten erreicht, und keine Client-Einstellung bewegt das.

Beweisen Sie, welche Hälfte ausfällt

Bestätigen Sie, dass TCP 1723 ankommt, bevor Sie am Router etwas ändern, denn diese Antwort entscheidet, welche Hälfte Sie testen. Führen Sie diese Befehle vom Windows-Client gegen Ihren eigenen Servernamen aus. Der erste gibt aus, ob der Port geantwortet hat, und der zweite wählt ohne Dialog, was wiederholte Versuche vergleichbar macht.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Ein wahrer Befund im Porttest bedeutet, dass der Steuerkanal offen ist und GRE der verbleibende Verdächtige. Ein falscher Befund bedeutet, dass Routing, ein Filter oder die Weiterleitung defekt ist, und keine GRE-Änderung rettet das. Die Datenseite muss dort beobachtet werden, wo sie sichtbar ist, am Server oder am Router.

tcpdump -ni any proto 47

Das Wireshark-Äquivalent ist der Anzeigefilter ip proto 47, den man leichter an jemanden weitergibt, der sich auf einer Shell nicht wohlfühlt. GRE, das ankommt, ohne dass etwas als Antwort hinausgeht, bedeutet, dass der Rückweg repariert werden muss.

Was den Fehler tatsächlich behebt

Wo der Router die Einstellung zeigt, aktivieren Sie PPTP-Passthrough oder erlauben Sie Protokoll 47 ausdrücklich auf Firmware, die Regeln akzeptiert. Auf RouterOS gleicht die Weiterleitungsregel das Protokoll direkt ab, was eine portbasierte Weiterleitung nie könnte. Verbraucher-Firmware verbirgt dieselbe Entscheidung meist hinter einem Kontrollkästchen, manchmal unter Sicherheitseinstellungen statt unter Portweiterleitung. Existiert keine solche Kontrolle, gleicht nichts am Client das aus.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

PPTP zu ersetzen ist die andere Option und oft die billigere. Ein Router, der das VPN selbst beendet, vermeidet doppeltes NAT für eingehende Clients, und ein Protokoll, das ein portbasiertes NAT ohnehin schon verarbeitet, braucht gar kein Passthrough: OpenVPN über UDP, SSTP über TCP 443 oder L2TP/IPsec mit NAT-T, das ESP in UDP 4500 einpackt. PPTP hängt außerdem von MS-CHAPv2 ab, dessen dokumentierte Schwächen es selbst nach dem Verschwinden des Fehlers zu einer schlechten Wahl für eine neue Einführung machen.

Notieren Sie, welche Regel den Unterschied gemacht hat, denn derselbe Standort trifft dieselbe Grenze, wenn der zweite Nutzer Zugang verlangt. Eine Korrektur auf Protokollebene gehört in die Netzwerknotizen, wo der nächste Techniker nachsehen wird.