Passthrough PPTP ar iarraidh: sásaigh earráid 807 Windows VPN

Is minic a osclaíonn seoladh TCP 1723 ar aghaidh an chéad chuid de PPTP agus fágtar an chuid eile briste, mar sin filleann Windows earráid 807 fós ar an iarracht. Is é an chéad rud eile ná riail a chur leis don phort 47, agus sin é an chéim a chaitheann tráthnóna: is uimhir phrótacail sa cheanntásc IP é GRE, ní port ar féidir le tábla seolta teacht air. Go dtí go ligfidh an ródaire prótacal 47 tríd agus go gceanglóidh sé é leis an nglao céanna, ní féidir leis an tollán tosú. Scarann na hailt thíos an dá chainéal, agus ansin tástálann siad iad ceann ar cheann.

Níl aon ró i dtábla port d'uimhir phrótacail

Úsáideann PPTP dhá chomhrá a chloíonn ar bhealaí éagsúla. Tosaíonn an ceann ar TCP 1723 an glao, cuireann sé faisnéis naisc ar aghaidh agus bristear é nuair a dhícheanglaíonn an t-úsáideoir. Ritheann an taobh ualaigh taobh istigh de GRE, a chuireann an ceanntásc IP in iúl le huimhir phrótacail 47, agus laistigh den tollán sin déanann PPP an nasc a chaibidil agus seiceálann MS-CHAPv2 na dintiúirí.

Toisc nach n-iompraíonn GRE aon cheanntásc iompair, ní nochtann sé aon phoirt, mar sin níl aon rud le haireachtáil ag riail atá scríofa do phoirt. Cruthaíonn ródaire a sheolann 1723 ar aghaidh mapáil don seisiún TCP sin agus stopann sé ansin. Glaonn firmware a láimhseálann an dara leath an ghné passthrough PPTP nó PPTP ALG, agus ní thairgeann roinnt firmware ceachtar acu agus ní luann siad an bhearna choíche. Is lú tábhacht lipéad an bhosca seiceála ná an aithnítear prótacal 47 ar chor ar bith.

Cad a thuairiscíonn Windows nuair a fhaigheann an cosán sonraí bás

Deir earráid 807 nach bhféadfaí an nasc a chríochnú, rud a chiallaíonn go praiticiúil gur shroich an glao an freastalaí agus nár éirigh leis an gcainéal sonraí teacht aníos. Is breithiúnas ar an iompar é, ní breithiúnas ar an gcuntas. Is é earráid 691 an ceann a dhíríonn ar dhintiúirí nó ar mhíréir i bprótacal an fhíordheimhnithe, mar sin seolann sé áit iomlán eile thú.

Oibrigh ar an iompar sula mbaineann tú leis an bhfocal faire. Má athraíonn tú na dintiúirí chun 807 a sheilg, fágfar an locht fíor ina áit agus beidh an chéad iarracht eile níos deacra a léamh.

Cén fáth a mbriseann an dara cliant tollán atá ag obair

Gan na poirt chun iad a aithint, ní féidir le gléas NAT dhá chliant PPTP a scaradh mar a scarann sé dhá sheisiún HTTPS. Sin é an fáth a gceadaíonn go leor gléasanna tomhaltóra glao PPTP amháin agus a rianaíonn siad é de réir seoladh foinse. Stopann ríomhaire glúine a d'oibrigh leis féin de bheith ag críochnú nuair a dhéanann an dara meaisín diailiú, agus ó thaobh an chliaint de breathnaíonn an teip go randamach. Baineann an patrún sin leis an bhfirmware, agus ní athróidh aon athrú próifíle é.

Féach ar an tábla nasc agus an dá chliant ag diailiú. Mura bhfuil mapáil riamh ach ag an gcéad óstach, tá an ródaire sroichte teorainn an mhéid a thacaíonn sé leis agus ní bhogfaidh aon socrú ar thaobh an chliaint é.

Cruthaigh cén leath atá ag teip

Deimhnigh go sroicheann TCP 1723 sula n-athraíonn tú aon rud ar an ródaire, mar is é an freagra sin a shocraíonn cén leath atá á thástáil agat. Rith iad seo ó chliant Windows i gcoinne d'ainm freastalaí féin. Priontálann an chéad cheann ar fhreagair an port, agus diailíonn an dara ceann gan dialóg, rud a fhágann iarrachtaí arís agus arís eile inchomparáide.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Ciallaíonn toradh fíor sa tástáil phoirt go bhfuil an cainéal rialaithe oscailte agus gurb é GRE an t-amhras atá fágtha. Ciallaíonn toradh bréagach go bhfuil an ródú, scagaire nó an seoladh ar aghaidh briste, agus ní shábhálfaidh aon athrú GRE é sin. Caithfear féachaint ar an taobh sonraí san áit a bhfeictear é, ag deireadh an fhreastalaí nó ag an ródaire.

tcpdump -ni any proto 47

Is é an coibhéis i Wireshark an scagaire taispeána ip proto 47, atá níos éasca a thabhairt do dhuine nach bhfuil compordach ar líne ordaithe. Ciallaíonn GRE a thagann gan tada ag imeacht mar fhreagra go gcaithfear an cosán fillte a shocrú.

Cad a shocraíonn an earráid i ndáiríre

San áit a nochtann an ródaire an socrú, cumasaigh passthrough PPTP, nó ceadaigh prótacal 47 go soiléir ar firmware a ghlacann le rialacha. Ar RouterOS déanann an riail seolta an prótacal a mheaitseáil go díreach, rud nach bhféadfadh seoladh bunaithe ar phoirt a dhéanamh riamh. Folaíonn firmware tomhaltóra an cinneadh céanna taobh thiar de bhosca seiceála de ghnáth, uaireanta faoi shocruithe slándála seachas faoi sheoladh port. Mura bhfuil aon rialú den sórt sin ann, ní chúiteoidh aon rud ar an gcliant é.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

Is é PPTP a mhalartú an rogha eile agus go minic an ceann is saoire. Seachnaíonn ródaire a chríochnaíonn an VPN é féin NAT dúbailte do chliaint isteach, agus ní gá passthrough ar chor ar bith do phrótacal a láimhseálann NAT bunaithe ar phoirt cheana: OpenVPN thar UDP, SSTP thar TCP 443 nó L2TP/IPsec le NAT-T a fhilleann ESP i UDP 4500. Braitheann PPTP ar MS-CHAPv2 freisin, a bhfuil a laigí doiciméadaithe ina chúis le drochrogha d'fhonnscaipeadh nua fiú tar éis don earráid glanadh.

Scríobh síos cén riail a rinne an difríocht, mar tiocfaidh an suíomh céanna ar an teorainn chéanna nuair a iarrfaidh an dara húsáideoir rochtain. Baineann ceartú ar leibhéal prótacail leis na nótaí líonra, áit a bhféachfaidh an chéad innealtóir eile.