PPTP via un hotspot : TCP 1723 n’est que la moitié

Suivez les vérifications dans l’ordre : si la connexion de contrôle s’ouvre, si GRE survit au chemin, si le serveur accepte l’appel et si l’authentification aboutit. Un client PPTP a besoin à la fois d’une session TCP sur 1723 et d’un chemin GRE qui transporte les données, et un hotspot peut laisser passer l’une en abandonnant l’autre. Les faire dans l’ordre vous indique quelle frontière examiner au lieu de deviner. Les numéros d’erreur de Windows ne le font pas pour vous.

GRE est le protocole IP 47. Ce n’est pas le port 47 de TCP ou d’UDP, et cette distinction explique l’essentiel de la confusion autour des pare-feu.

Deux chemins, une connexion

La connexion de contrôle est une session TCP ordinaire vers le port de destination 1723, que la plupart des réseaux autorisent sans broncher. Le chemin de données est GRE, protocole 47, et un pare-feu qui autorise le premier peut tout ignorer du second. Cette combinaison produit un client qui semble démarrer puis ne transporte rien, un symptôme bien moins informatif qu’une connexion refusée. Testez les deux chemins séparément avant de conclure quoi que ce soit sur l’opérateur.

La traduction ajoute sa propre exigence. Les passerelles qui partagent des ports ont souvent besoin d’une ALG compatible PPTP pour réécrire les identifiants d’appel en même temps que les adresses, et celle qui en est dépourvue peut abîmer la session d’une manière qui ressemble à une perte de paquets. Ce comportement est courant mais dépend de l’implémentation, alors traitez toute limite d’un fournisseur comme un exemple et non comme une propriété de chaque hotspot.

Le hotspot ajoute deux frontières de plus

Le trafic du client traverse généralement le NAT de partage du téléphone lui-même, puis une traduction au niveau de l’opérateur avant d’atteindre le serveur. Une règle sur le routeur du bureau ne peut pas réparer un intermédiaire qui appartient à quelqu’un d’autre, et c’est pourquoi la redirection de ports côté maison aide rarement. Un client sortant n’a pas non plus besoin d’un port entrant ouvert ; les réponses à une connexion traduite reviennent par l’état que la passerelle a créé. Un serveur hébergé derrière NAT a un tout autre ensemble d’exigences.

Un élément de menu intitulé PPTP passthrough, là où il existe, régit la façon dont cet appareil traite ce protocole. Ce n’est pas la même fonction que d’héberger un VPN sur le téléphone ou de transmettre inconditionnellement chaque protocole, et l’activer n’est pas une autorisation générale de laisser passer GRE.

Lisez 807 comme une interruption, pas comme un verdict

Windows signale 807 comme une connexion interrompue, ce qui décrit le résultat plutôt qu’une cause. Sa table d’erreurs traite 806 séparément comme la catégorie liée à GRE, et cette différence mérite d’être connue avant de bâtir une théorie. Aucun des deux numéros ne révèle si l’opérateur a filtré le protocole 47, si le serveur a manqué de capacité ou si les identifiants étaient bons. L’erreur dit que la session s’est terminée ; le chemin dit où.

Un test de navigateur qui réussit sur le hotspot prouve seulement qu’un chemin applicatif ordinaire fonctionne. Il ne dit rien de GRE.

Isolez l’étape qui a échoué

Gardez l’ordinateur portable, le serveur et le profil fixes, puis changez uniquement le réseau d’accès pour un autre réseau approuvé. Si le résultat change, capturez les échanges TCP et GRE aux frontières que vous contrôlez et trouvez l’étape la plus précoce qui ne se produit jamais : établissement du contrôle, préparation de l’appel, livraison des données ou authentification PPP. Chacune laisse une signature différente dans une capture. Comparer un réseau qui fonctionne à un réseau qui échoue est bien plus instructif que relire le texte de l’erreur.

Tout cela diagnostique un déploiement qui existe déjà. Ce n’est pas un argument pour monter un nouveau service PPTP, et le protocole ne se contourne pas par négociation : installer un client différent ne fait pas parler autre chose à un serveur inchangé.

Pour un accès durable, convenez d’une migration prise en charge avec le propriétaire du VPN. La liste de vérification se termine par une décision plutôt que par un contournement.