PPTP pogreška 800 nasuprot 812 i prekidi nakon minute

Pogreška 800, pogreška 812 i PPTP tunel koji umre nakon minute tri su različita kvara. Uparite svaki simptom sa slojem koji je stvarno zakazao.

Tri poruke o pogrešci jednog PPTP klijenta obično opisuju tri različita kvara. Pogreška 800 znači da tunel nikad nije nastao, pogreška 812 znači da je poslužitelj odbio metodu provjere identiteta, a prekid nakon minute je keepalive timer koji zaključi da je zdrav partner otišao. Svaka faza pada zbog svog razloga, pa svaka treba vlastitu provjeru.

Pogreška 800 znači da tunel nikad nije nastao

Windows podiže pogrešku 800 kada uopće ne može izgraditi tunel, a tekst o nedostupnom poslužitelju ili neprikladnim sigurnosnim parametrima sažetak je, a ne dijagnoza. PPTP traži dvije odvojene stvari od mreže prije nego što se provjeri bilo kakav akreditiv. TCP 1723 nosi kontrolni kanal, a IP protokol 47, GRE, nosi enkapsulirani teret.

Testirajte taj vanjski put izvan vlastitog LAN-a, jer veza koja radi u uredu ne dokazuje ništa o rubu:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Ako 1723 odgovori, a snimka ostane prazna dok se klijent pokušava spojiti, put ispušta protokol 47. Usmjerivač s proslijeđenim 1723, ali isključenim PPTP passthroughom daje upravo takav uzorak: TCP rukovanje završi, zatim GRE paketi nestanu, pa kvar izgleda kao problem s akreditivima iako nije pokušana nikakva prijava.

Usmjerite prosljeđivanje na trenutačnu LAN adresu poslužitelja, uključite PPTP passthrough gdje ga usmjerivač nudi i pokušajte ponovno s iste vanjske točke. Kada se GRE filtrira uzvodno i to ne možete promijeniti, SSTP preko TCP 443 ili L2TP/IPsec preko UDP 500 i 4500 ima bolju šansu od bilo koje promjene koju možete napraviti na strani Windowsa.

Pogreška 812 je odbijanje vaše metode provjere identiteta na poslužitelju

Pogreška 812 vraća se nakon što je tunel podignut, zato se osjeća kao problem s lozinkom. Poslužitelj odbija metodu provjere identiteta dogovorenu za vezu, a ne nužno samu lozinku. Na klijentu otvorite VPN unos, prijeđite na karticu sigurnosti, postavite vrstu na Point-to-Point Tunneling Protocol, odaberite izričit popis protokola i označite Microsoft CHAP verziju 2.

Trenutačnu postavku možete pročitati bez klikanja kroz dijalog:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Poslužitelj koji zahtijeva MS-CHAP v2 odbija klijenta ostavljenog na PAP-u ili na automatskoj vrsti koja pregovara nešto slabije, a pogreška stiže prije nego što se ocijeni ikakva korisnička lozinka. Format računa druga je polovica istog odbijanja. U jednom slučaju Windows je poslao identitet Microsoft računa oblika MicrosoftAccount\[email protected], dok je poslužitelj želio lokalni ili domenski račun. Upisivanje SERVERNAME\username reklo je Windowsu koji repozitorij računa konzultirati i uklonilo pogrešku. Upišite ime ručno umjesto da spremljeni akreditiv ponovi prethodni format.

Prekidi nakon minute odluka su keepalive mehanizma

Kada se tunel spoji, propusti malo prometa i zatim se odspoji, pogledajte ponašanje LCP odjeka na poslužitelju prije nego što dirnete klijenta. Demon povremeno traži od partnera da potvrdi da je još tamo. Ako unutar postavljenog proračuna stigne premalo odgovora, sesija se ruši iako korisnik još ima radnu vezu.

Na Linux poslužitelju pptpd te vrijednosti žive u /etc/ppp/options.pptpd, a uobičajeni popravak je proširiti proračun umjesto skratiti interval:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Trideset promašaja u intervalu od pet sekundi oprašta kratko zastajanje umjesto da partnera proglasi otišlim. Smanjenje broja na jedan ili dva pretvara obično podrhtavanje na prevedenom putu u odspajanje otprilike svake minute. Ako je vaš poslužitelj Windows RRAS, a ne pptpd, gledajte umjesto toga PPP vrijeme čekanja sesije i pravilo odspajanja pri mirovanju. Oni žive na drugom mjestu, a uređivanje pppd datoteke koja ne postoji neće promijeniti ništa.

Preklapajuće podmreže lome podatkovni put

PPTP tunel može se čisto provjeriti i ipak ne stići nikamo kada oba mjesta koriste isti privatni raspon, primjerice 192.168.1.0/24 u uredu i kod kuće. Klijent ne može reći na koje se računalo odnosi određena adresa, a neki slojevi odbijaju uopće instalirati rutu umjesto da odaberu jednu.

Tretirajte to kao projektnu pogrešku i prenumerirajte jednu stranu ili dajte klijentu namjerno prevedeni raspon pristupa. Otklanjanje pogrešaka u PPTP klijentu ne može popraviti adresni prostor koji postoji dvaput, a simptom će i dalje izgledati kao slučajan prekid.

Počnite s fazom koja je zakazala: GRE za 800, metoda i niz računa za 812, postavke odjeka za tunel koji umire po rasporedu.

Povezani članci