PPTP-villa 800 á móti 812 og samband sem dettur út eftir mínútu

Þrjár villuskilaboð frá einum PPTP-biðlara lýsa venjulega þremur mismunandi bilunum. Villa 800 þýðir að göngin mynduðust aldrei, villa 812 þýðir að þjónninn hafnaði auðkenningaraðferðinni, og samband sem dettur út eftir mínútu er keepalive-tímamælir sem ákveður að heilbrigður jafningi sé farinn. Hvert stig bregst af sinni eigin ástæðu, svo hvert þeirra þarf sína eigin prófun.

Villa 800 þýðir að göngin mynduðust aldrei

Windows kastar villu 800 þegar það getur alls ekki byggt göngin, og textinn um óaðgengilegan þjón eða óviðeigandi öryggisbreytur er samantekt en ekki greining. PPTP þarf tvö aðskilin atriði frá netinu áður en nokkur skírteini eru skoðuð. TCP 1723 ber stjórnrásina, og IP-samskiptareglan 47, GRE, ber umbúðaða hleðsluna.

Prófaðu þessa ytri leið utan þíns eigin LAN, því samband sem virkar á skrifstofunni sannar ekkert um brúnina:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Ef 1723 svarar og upptakan helst tóm á meðan biðlarinn reynir að tengjast, sleppir leiðin samskiptareglu 47. Beinir sem hefur 1723 framsendar en PPTP-gegngöngu slökkt gefur nákvæmlega þetta mynstur: TCP handtakið klárast, síðan hverfa GRE-pakkar, svo bilunin lítur út eins og vandamál með skírteini þótt engin innskráning hafi verið reynd.

Beindu framsendingunni að núverandi LAN-heimilisfangi þjónsins, virkjaðu PPTP-gegngöngu þar sem beinirinn býður hana og reyndu aftur frá sama ytri punkti. Þegar GRE er síað ofar og þú getur ekki breytt því, á SSTP yfir TCP 443 eða L2TP/IPsec yfir UDP 500 og 4500 betri möguleika en nokkur breyting sem þú getur gert á Windows-hliðinni.

Villa 812 er þjónninn að hafna auðkenningaraðferðinni þinni

Villa 812 kemur aftur eftir að göngin eru uppi, þess vegna líður hún eins og lykilorðsvandamál. Þjónninn hafnar auðkenningaraðferðinni sem samið var um fyrir sambandið, ekki endilega lykilorðinu sjálfu. Á biðlaranum skaltu opna VPN-færsluna, fara á öryggisflipann, stilla tegundina á Point-to-Point Tunneling Protocol, velja skýran samskiptareglulista og haka við Microsoft CHAP útgáfu 2.

Þú getur lesið núverandi stillingu án þess að smella í gegnum gluggann:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Þjónn sem krefst MS-CHAP v2 hafnar biðlara sem látinn er vera á PAP eða á sjálfvirkri tegund sem semur um eitthvað veikara, og villan kemur áður en nokkurt lykilorð notanda er metið. Reikningssniðið er hinn helmingurinn af sömu höfnun. Í einu tilviki sendi Windows Microsoft-reikningsauðkenni á forminu MicrosoftAccount\[email protected] á meðan þjónninn vildi staðbundið eða lénsreikning. Að slá inn SERVERNAME\username sagði Windows hvaða reikningsgeymslu ætti að ráðfæra sig við og hreinsaði villuna. Sláðu nafnið inn handvirkt í stað þess að láta vistað skírteini endurtaka fyrra snið.

Útdráttur eftir mínútu er keepalive-ákvörðun

Þegar göngin tengjast, hleypa smá umferð í gegn og aftengjast svo, skoðaðu LCP-endurómunarhegðun þjónsins áður en þú snertir biðlarann. Púkinn biður jafningjann reglulega að staðfesta að hann sé enn þar. Ef of fá svör berast innan stilltra fjárhagsáætlunar er lotunni rift þótt notandinn hafi enn virka tengingu.

Á Linux pptpd-þjóni búa þessi gildi í /etc/ppp/options.pptpd, og venjuleg viðgerð er að víkka fjárhagsáætlunina í stað þess að stytta bilið:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Þrjátíu misstök með fimm sekúndna bili fyrirgefa stutta stöðvun í stað þess að úrskurða jafningjann farinn. Að lækka fjöldann í einn eða tvo gerir venjulegt titring á þýddri leið að aftengingu um það bil á hverri mínútu. Ef þjónninn þinn er Windows RRAS en ekki pptpd, skoðaðu þess í stað tímatakmörk PPP-lotunnar og stefnuna um aftengingu í hvíld. Þau búa annars staðar, og að breyta pppd-skjal sem er ekki til mun ekki breyta neinu.

Skarast sett undirnet brjóta gagnaleiðina

PPTP-göng geta auðkennt hreint og samt náð engu þegar báðir staðir nota sama einkasvið, til dæmis 192.168.1.0/24 á skrifstofunni og heima. Biðlarinn getur ekki sagt hvaða hýsil tiltekið heimilisfang á við, og sumir staflar neita alfarið að setja upp leiðina í stað þess að velja eina.

Líttu á þetta sem hönnunargalla og endurnúmeraðu aðra hliðina, eða gefðu biðlaranum viljandi þýtt aðgangssvið. Kemba villur í PPTP-biðlaranum getur ekki lagað heimilisfangarými sem er til tvisvar, og einkennin munu halda áfram að líta út eins og tilviljunarkenndur útdráttur.

Byrjaðu á stiginu sem brást: GRE fyrir 800, aðferðin og reikningsstrengurinn fyrir 812, endurómunarstillingar fyrir göng sem deyja samkvæmt áætlun.