Babu passthrough na PPTP: gyara kuskuren 807 na Windows VPN

Aika TCP 1723 gaba sau da yawa yana buɗe ɓangaren farko na PPTP ya bar sauran a karye, don haka Windows na ci gaba da mayar da kuskure 807 a yunƙurin. Tunanin da ke zuwa na gaba shine a ƙara ƙa'ida don tashar 47, kuma wannan matakin ne yake ɓata rana gaba ɗaya: GRE lambar ka'ida ce a cikin kan IP, ba tasha ba ce da teburin aikawa zai iya daidaitawa. Har sai na'urar sadarwa ta bar ka'idar 47 ta wuce kuma ta ɗaure ta da wannan kiran, rami ba zai iya farawa ba. Sassan da ke ƙasa sun raba tashoshi biyu, sannan suna gwada su ɗaya bayan ɗaya.

Teburin tashoshi ba shi da layi don lambar ka'ida

PPTP yana amfani da tattaunawa biyu waɗanda suke gazawa ta hanyoyi daban-daban. Wadda ke kan TCP 1723 tana fara kiran, tana ba da bayanin haɗi kuma tana rufe shi sa'ad da mai amfani ya cire haɗi. Bangaren kaya yana gudana cikin GRE, wadda kan IP ke yi wa alama da lambar ka'ida 47, kuma cikin wannan ramin PPP na yin shawarar haɗin yayin da MS-CHAPv2 ke duba bayanan shiga.

Domin GRE ba ta ɗauke da kan jigilar kaya, ba ta bayyana kowace tasha, don haka ƙa'idar da aka rubuta don tashoshi ba ta da abin da za ta daidaita. Na'urar sadarwa da ke aika 1723 gaba tana ƙirƙirar taswira don wannan zaman TCP kuma tana tsayawa a nan. Firmware da ke kula da rabi na biyu tana kiran wannan fasalin passthrough na PPTP ko PPTP ALG, wasu firmware kuma ba su bayar da ɗaya daga cikinsu kuma ba su taɓa ambaton wannan gibin ba. Alamar da ke kan akwatin zaɓi ba ta da muhimmanci kamar ko an gane ka'idar 47 kwata-kwata.

Abin da Windows ke bayar da rahoto sa'ad da hanyar bayanai ta mutu

Kuskure 807 yana cewa ba a iya kammala haɗin ba, wanda a aikace yana nufin kiran ya isa uwar garke kuma tashar bayanai ba ta tashi ba. Hukunci ne kan jigilar kaya, ba hukunci kan asusu ba. Kuskure 691 shine wanda ke nuni ga bayanan shiga ko rashin daidaituwa a ka'idar tabbatarwa, don haka yana tura ka wani wuri daban.

Yi aiki kan jigilar kaya kafin ka taɓa kalmar sirri. Canza bayanan shiga don bin kuskure 807 yana barin ainihin laifin a wurinsa kuma yana sa yunƙuri na gaba ya fi wahalar karantawa.

Me ya sa abokin ciniki na biyu ke karya ramin da ke aiki

Ba tare da tashoshi da za su bambanta su ba, na'urar NAT ba za ta iya raba abokan ciniki biyu na PPTP kamar yadda take raba zaman HTTPS biyu ba. Don haka yawancin na'urorin masu amfani suna ba da izinin kiran PPTP ɗaya kuma suna bin sa ta adireshin tushe. Kwamfutar tafi-da-gidanka da ke aiki ita kaɗai tana daina kammalawa da zarar wata na'ura ta biyu ta buga waya, kuma daga ɓangaren abokin ciniki gazawar tana kama da ta kwatsam. Wannan salon na firmware ne, kuma babu wani canjin bayanin da zai canza shi.

Duba teburin haɗin yayin da abokan ciniki biyu suke buga waya. Idan gidan farko ne kawai ke riƙe taswira koyaushe, na'urar sadarwa ta kai iyakar abin da take tallafawa kuma babu wani saitin ɓangaren abokin ciniki da zai motsa shi.

Tabbatar da wane rabi ke gazawa

Tabbatar cewa TCP 1723 yana isowa kafin ka canza wani abu a na'urar sadarwa, domin wannan amsar ita ce ke ƙayyade wane rabi kake gwadawa. Gudanar da waɗannan daga abokin ciniki na Windows a kan sunan uwar garkenka. Na farko yana buga ko tashar ta amsa, na biyu kuma yana buga waya ba tare da taga tattaunawa ba, wanda ke sa maimaita yunƙuri su zama masu kwatantawa.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Sakamakon gaskiya a gwajin tasha yana nufin tashar sarrafawa a buɗe take kuma GRE ita ce sauran wanda ake zargi. Sakamakon ƙarya yana nufin sarrafa hanya, matattara ko aikawa gaba sun karye, kuma babu wani canji na GRE da zai cece shi. Dole a sa ido kan ɓangaren bayanai a inda ake iya ganinsa, a uwar garke ko a na'urar sadarwa.

tcpdump -ni any proto 47

Misalin sa a Wireshark shine matattarar nunawa ip proto 47, wadda ta fi sauƙin ba wanda bai ji daɗin layin umarni ba. GRE da ke isowa ba tare da wani abu ya fita a amsa ba yana nufin hanyar dawowa tana bukatar gyara.

Abin da ke gyara kuskuren da gaske

Inda na'urar sadarwa ta nuna saitin, kunna passthrough na PPTP, ko ba da izinin ka'ida 47 a fili a kan firmware da ke karɓar ƙa'idoji. A RouterOS ƙa'idar aikawa gaba tana daidaita ka'idar kai tsaye, abin da aikawa gaba bisa tashoshi ba zai taɓa iyawa ba. Firmware na masu amfani yawanci yana ɓoye wannan shawarar a bayan akwatin zaɓi, wani lokacin a ƙarƙashin saitin tsaro maimakon a ƙarƙashin aikawa tashoshi gaba. Idan babu irin wannan iko, babu abin da zai biya diyya a ɓangaren abokin ciniki.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

Maye gurbin PPTP shine wani zaɓi kuma sau da yawa mafi arha. Na'urar sadarwa da ke ƙare VPN da kanta tana guje wa NAT biyu ga abokan ciniki masu shigowa, kuma ka'idar da NAT bisa tashoshi ke riga ta kula da ita ba ta bukatar passthrough kwata-kwata: OpenVPN bisa UDP, SSTP bisa TCP 443 ko L2TP/IPsec tare da NAT-T da ke naɗe ESP cikin UDP 4500. PPTP kuma ya dogara da MS-CHAPv2, wanda rubutattun rauninsa suka sa ya zama zaɓi mara kyau ga sabon turawa koda bayan kuskuren ya tafi.

Rubuta wace ƙa'ida ce ta kawo bambanci, domin wannan rukunin zai fuskanci wannan iyaka idan mai amfani na biyu ya nemi shiga. Gyaran matakin ka'ida ya kamata ya kasance cikin bayanan cibiyar sadarwa, inda injiniya na gaba zai duba.