PPTP անցումը բացակայում է։ Շտկել Windows VPN 807 սխալը

TCP 1723-ի փոխանցումը հաճախ բացում է PPTP-ի առաջին մասը և թողնում մնացածը կոտրված, ուստի Windows-ը փորձի ժամանակ դեռ վերադարձնում է 807 սխալը։ Հաջորդ բնազդը 47 պորտի համար կանոն ավելացնելն է, և հենց այդ քայլն է կորցնում կես օրը՝ GRE-ն արձանագրության համար է IP վերնագրում, ոչ թե պորտ, որը փոխանցման աղյուսակը կարող է համապատասխանեցնել։ Քանի դեռ երթուղիչը չի անցկացնում 47 արձանագրությունը և չի կապում այն նույն կանչին, թունելը չի կարող սկսվել։ Ստորև բերված բաժինները բաժանում են երկու ուղիները, ապա փորձարկում դրանք մեկ առ մեկ։

Պորտերի աղյուսակում արձանագրության համարի համար տող չկա

PPTP-ն օգտագործում է երկու զրույց, որոնք տարբեր կերպ են ձախողվում։ TCP 1723-ի վրա եղածը սկսում է կանչը, փոխանցում է կապի տեղեկությունը և փակում այն, երբ օգտվողը անջատվում է։ Օգտակար բեռնվածքի կողմն աշխատում է GRE-ի ներսում, որը IP վերնագիրը նշում է 47 արձանագրության համարով, և այդ թունելի ներսում PPP-ն բանակցում է կապը, մինչ MS-CHAPv2-ը ստուգում է հավատարմագրերը։

Քանի որ GRE-ն տրանսպորտային վերնագիր չի կրում, այն ոչ մի պորտ չի բացահայտում, ուստի պորտերի համար գրված կանոնը համապատասխանեցնելու բան չունի։ Երթուղիչը, որը փոխանցում է 1723-ը, ստեղծում է քարտեզագրում այդ TCP նստաշրջանի համար և կանգ է առնում այնտեղ։ Այն որոնվածը, որը զբաղվում է երկրորդ կեսով, այս հատկությունը կոչում է PPTP անցում կամ PPTP ALG, և որոշ որոնվածներ չեն առաջարկում ոչ մեկը և երբեք չեն նշում այդ բացը։ Վանդակի պիտակը ավելի քիչ նշանակություն ունի, քան այն՝ արդյոք 47 արձանագրությունը ընդհանրապես ճանաչվում է։

Ինչ է հաղորդում Windows-ը, երբ տվյալների ուղին մահանում է

807 սխալը ասում է, որ կապը հնարավոր չէր ավարտել, ինչը գործնականում նշանակում է, որ կանչը հասել է սերվերին, իսկ տվյալների ուղին չի բարձրացել։ Սա դատավճիռ է տրանսպորտի մասին, ոչ թե հաշվի։ 691 սխալն այն է, որը մատնանշում է հավատարմագրերին կամ նույնականացման արձանագրության անհամապատասխանությանը, ուստի այն ձեզ ուղարկում է բոլորովին այլ տեղ։

Աշխատեք տրանսպորտի վրա, նախքան գաղտնաբառին դիպչելը։ 807-ի հետևից հավատարմագրերը փոխելը թողնում է իրական խափանումը տեղում և հաջորդ փորձը դարձնում ավելի դժվար ընթեռնելի։

Ինչու երկրորդ հաճախորդը կոտրում է աշխատող թունելը

Քանի որ պորտեր չկան դրանք տարբերելու համար, NAT սարքը չի կարող առանձնացնել երկու PPTP հաճախորդ այնպես, ինչպես առանձնացնում է երկու HTTPS նստաշրջան։ Այդ պատճառով շատ սպառողական սարքեր թույլ են տալիս մեկ PPTP կանչ և հետևում են դրան ըստ աղբյուրի հասցեի։ Միայնակ աշխատող նոթբուքը դադարում է ավարտել, հենց որ երկրորդ մեքենան զանգահարում է, և հաճախորդի կողմից ձախողումը պատահական է թվում։ Այդ օրինաչափությունը պատկանում է որոնվածին, և ոչ մի պրոֆիլի փոփոխություն այն չի փոխի։

Դիտեք կապերի աղյուսակը, մինչ երկու հաճախորդներն էլ զանգահարում են։ Եթե միշտ միայն առաջին հոսթն է քարտեզագրում պահում, ապա երթուղիչը հասել է իր աջակցության սահմանին, և ոչ մի հաճախորդային կարգավորում այն չի շարժի։

Ապացուցեք, թե որ կեսն է ձախողվում

Հաստատեք, որ TCP 1723-ը հասնում է, նախքան երթուղիչում որևէ բան փոխելը, քանի որ այդ պատասխանը որոշում է, թե որ կեսն եք փորձարկում։ Գործարկեք դրանք Windows հաճախորդից ձեր սեփական սերվերի անվան դեմ։ Առաջինը տպում է՝ արդյոք պորտը պատասխանել է, իսկ երկրորդը զանգահարում է առանց երկխոսության, ինչը կրկնվող փորձերը դարձնում է համեմատելի։

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Պորտի թեստում ճշմարիտ արդյունքը նշանակում է, որ կառավարման ուղին բաց է, և GRE-ն մնացած կասկածյալն է։ Կեղծ արդյունքը նշանակում է, որ երթուղավորումը, զտիչը կամ փոխանցումը կոտրված են, և GRE-ի ոչ մի փոփոխություն դա չի փրկի։ Տվյալների կողմը պետք է դիտարկել այնտեղ, որտեղ այն երևում է՝ սերվերում կամ երթուղիչում։

tcpdump -ni any proto 47

Wireshark-ում համարժեքը ip proto 47 ցուցադրման զտիչն է, որը ավելի հեշտ է տալ մեկին, ով հարմարավետ չէ հրամանի տողում։ GRE-ն, որը ժամանում է առանց պատասխանում որևէ բանի դուրս գալու, նշանակում է, որ վերադարձի ուղին պետք է շտկվի։

Ինչն է իրականում շտկում սխալը

Այնտեղ, որտեղ երթուղիչը ցույց է տալիս կարգավորումը, միացրեք PPTP անցումը կամ բացահայտ թույլատրեք 47 արձանագրությունը կանոններ ընդունող որոնվածում։ RouterOS-ում փոխանցման կանոնը ուղղակիորեն համապատասխանեցնում է արձանագրությանը, ինչը պորտային փոխանցումը երբեք չէր կարող անել։ Սպառողական որոնվածը սովորաբար թաքցնում է նույն որոշումը վանդակի հետևում, երբեմն անվտանգության կարգավորումների տակ, ոչ թե պորտերի փոխանցման տակ։ Եթե այդպիսի կառավարում չկա, հաճախորդում ոչինչ չի փոխհատուցի այն։

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

PPTP-ն փոխարինելը մյուս տարբերակն է և հաճախ ավելի էժանը։ Երթուղիչը, որն ինքն է ավարտում VPN-ը, խուսափում է կրկնակի NAT-ից ներգնա հաճախորդների համար, և արձանագրությունը, որը պորտային NAT-ն արդեն մշակում է, բոլորովին անցման կարիք չունի՝ OpenVPN՝ UDP-ի վրա, SSTP՝ TCP 443-ի վրա, կամ L2TP/IPsec՝ NAT-T-ով, որը ESP-ն փաթաթում է UDP 4500-ի մեջ։ PPTP-ն նաև կախված է MS-CHAPv2-ից, որի փաստաթղթավորված թույլ կողմերը նրան դարձնում են վատ ընտրություն նոր տեղադրման համար նույնիսկ սխալի վերանալուց հետո։

Գրեք, թե որ կանոնն է տարբերությունը ստեղծել, քանի որ նույն կայքը կհանդիպի նույն սահմանին, երբ երկրորդ օգտվողը հասանելիություն խնդրի։ Արձանագրության մակարդակի շտկումը տեղ ունի ցանցի նշումներում, որտեղ կնայի հաջորդ ինժեները։