PPTP passthrough-a falta da: konpondu Windows VPN 807 errorea

TCP 1723 birbidaltzeak PPTPren lehen zatia ireki ohi du eta gainerakoa hautsita uzten du, beraz Windows-ek 807 errorea itzultzen du oraindik saiakera egitean. Hurrengo bulkada 47 porturako arau bat gehitzea da, eta urrats horrek xahutzen du arratsalde bat: GRE IP goiburuko protokolo zenbaki bat da, birbidalketa taula batek pareka dezakeen portu bat ez. Routerrak 47 protokoloa pasatzen eta dei berari lotzen dion arte, tuneletik ezin da hasi. Ondorengo atalek bi kanalak bereizten dituzte, eta gero banan-banan probatzen dituzte.

Portu taula batek ez du errenkadarik protokolo zenbaki batentzat

PPTPk modu desberdinetan huts egiten duten bi elkarrizketa erabiltzen ditu. TCP 1723-koa deia hasten du, estekaren informazioa pasatzen du eta erabiltzailea deskonektatzen denean amaitzen du. Karga-aldea GREren barruan exekutatzen da, IP goiburukoak 47 protokolo zenbakiz markatzen duena, eta tunel horren barruan PPPk esteka negoziatzen du MS-CHAPv2-k kredentzialak egiaztatzen dituen bitartean.

GREk ez duelako garraio goiburukorik eramaten, ez du porturik erakusten, beraz portuetarako idatzitako arau batek ez du parekatzeko ezer. 1723 birbidaltzen duen router batek TCP saio horretarako mapaketa sortzen du eta bertan gelditzen da. Bigarren erdia kudeatzen duen firmwareak passthrough edo PPTP ALG deitzen dio funtzioari, eta firmware batzuek ez dute bat ere eskaintzen eta ez dute hutsunea inoiz aipatzen. Laukitxoaren etiketak garrantzi txikiagoa du 47 protokoloa ezagutzen den ala ez baino.

Zer jakinarazten duen Windowsek datu-bidea hiltzen denean

807 erroreak konexioa ezin izan zela osatu dio, eta praktikan deia zerbitzarira iritsi zela eta datu-kanala altxatu ez zela esan nahi du. Garraioari buruzko epaia da, ez kontuari buruzkoa. 691 errorea da kredentzialetara edo autentifikazio protokoloaren desegokitasunera seinalatzen duena, beraz erabat beste leku batera bidaltzen zaitu.

Lanean aritu garraioan pasahitza ukitu aurretik. Kredentzialak aldatzea 807ren atzetik ibiltzeko benetako hutsegitea tokian uzten du eta hurrengo saiakera irakurtzeko zailagoa egiten du.

Zergatik hausten duen bigarren bezero batek funtzionatzen duen tunel bat

Haiek bereizteko porturik ez dagoenez, NAT gailu batek ezin ditu bi PPTP bezero bereizi bi HTTPS saio bereizten dituen bezala. Horregatik kontsumo gailu askok PPTP dei bat baino ez dute uzten eta iturburu helbidearen arabera jarraitzen dute. Bakarrik funtzionatzen zuen eramangarri bat osatzeari uzten dio bigarren makinak deitzen duen unetik, eta bezeroaren aldetik huts egitea ausazkoa dirudi. Eredu hori firmwarearena da, eta profil aldaketak ez du aldatuko.

Begiratu konexioen taula bi bezeroek deitzen duten bitartean. Lehen ostalariak soilik badu inoiz mapaketa bat, routerra onartzen duenaren mugara iritsi da eta bezeroaren ezarpenek ez dute hura mugituko.

Frogatu zein erdi ari den huts egiten

Egiaztatu TCP 1723 iristen dela routerrean ezer aldatu aurretik, erantzun horrek erabakitzen baitu zein erdi ari zaren probatzen. Exekutatu hauek Windows bezerotik zure zerbitzari izenaren aurka. Lehenak portuak erantzun ote zuen inprimatzen du, eta bigarrenak elkarrizketa-koadrorik gabe deitzen du, eta horrek saiakera errepikakorrak alderagarri egiten ditu.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Portu proban emaitza egiazkoak kontrol-kanala irekita dagoela eta GRE dela gainerako susmagarria esan nahi du. Emaitza faltsuak bideratzea, iragazki bat edo birbidaltzea hautsi dela esan nahi du, eta GRE aldaketak ez du hori salbatuko. Datuen aldea ikus daitekeen lekuan zaindu behar da, zerbitzarian edo routerrean.

tcpdump -ni any proto 47

Wireshark-en baliokidea ip proto 47 bistaratzeko iragazkia da, eta errazagoa da komando lerroarekin eroso ez dagoen norbaiti ematea. Erantzunean ezer atera gabe iristen den GREk itzulera-bideak konponketa behar duela esan nahi du.

Zerk konpontzen duen errorea benetan

Routerrak ezarpena erakusten duen tokian, gaitu PPTP passthrough, edo baimendu 47 protokoloa modu esplizituan arauak onartzen dituen firmwarean. RouterOS-en birbidalketa arauak protokoloa zuzenean parekatzen du, portuetan oinarritutako birbidalketa batek inoiz egin ezingo lukeena. Kontsumo firmwareak erabaki bera laukitxo baten atzean ezkutatzen du normalean, batzuetan segurtasun ezarpenetan eta ez portuen birbidaltzean. Halako kontrolik ez badago, bezeroan ezerk ez du konpentsatuko.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

PPTP ordezkatzea da beste aukera eta sarritan merkeena. VPN-a bera amaitzen duen router batek NAT bikoitza saihesten du sarrerako bezeroentzat, eta portuetan oinarritutako NATak jada kudeatzen duen protokolo bat ez du passthrough behar: OpenVPN UDP gainean, SSTP TCP 443 gainean edo L2TP/IPsec NAT-T-rekin, ESP UDP 4500 barruan bilduz. PPTPk MS-CHAPv2ren mende ere badago, eta haren ahultasun dokumentatuek hedapen berri baterako hautaketa txarra egiten dute, errorea desagertu ondoren ere.

Idatzi zein arauk egin zuen aldea, gune berak muga bera aurkituko baitu bigarren erabiltzaileak sarbidea eskatzean. Protokolo mailako konponketa sareko oharretan dagokio, hurrengo ingeniariak han begiratuko baitu.