PPTP-gegngöngu vantar: laga Windows VPN villu 807

Að framsenda TCP 1723 opnar oft fyrri hluta PPTP og skilur afganginn brotinn, svo Windows skilar enn villu 807 við tilraunina. Næsta eðlishvöt er að bæta við reglu fyrir gátt 47, og einmitt það skref eyðir síðdegi: GRE er samskiptareglunúmer í IP-hausnum, ekki gátt sem framsendingartafla getur passað við. Þangað til beinirinn hleypir samskiptareglu 47 í gegn og tengir hana við sama símtalið getur göngin ekki byrjað. Kaflarnir hér að neðan aðskilja rásirnar tvær og prófa þær svo eina í einu.

Gáttartafla hefur enga línu fyrir samskiptareglunúmer

PPTP notar tvö samtöl sem mistakast á mismunandi vegu. Það á TCP 1723 byrjar símtalið, sendir tengingarupplýsingar og rýfur það þegar notandinn aftengir sig. Farmhliðin gengur inni í GRE, sem IP-hausinn merkir með samskiptareglunúmeri 47, og inni í þeim göngum semur PPP um tenginguna á meðan MS-CHAPv2 athugar skírteinin.

Þar sem GRE ber engan flutningshaus hefur það engar gáttir, svo regla sem er skrifuð fyrir gáttir hefur ekkert til að passa við. Beinir sem framsendir 1723 býr til vörpun fyrir þá TCP-setu og stöðvast þar. Fastbúnaður sem sér um seinni hlutann kallar eiginleikann PPTP-gegngöngu eða PPTP ALG, og sumur fastbúnaður býður hvorki upp á annað og nefnir bilið aldrei. Merkingin á gátreitnum skiptir minna máli en hvort samskiptareglan 47 er yfir höfuð viðurkennd.

Hvað Windows tilkynnir þegar gagnaleiðin deyr

Villa 807 segir að ekki hafi tekist að koma tengingunni á, sem í reynd þýðir að símtalið náði til þjónsins og gagnarásin kom ekki upp. Það er úrskurður um flutninginn, ekki um reikninginn. Villa 691 er sú sem bendir á skírteini eða á ósamræmi í auðkenningarsamskiptareglunni, svo hún sendir þig allt annað.

Vinnuðu með flutninginn áður en þú snertir lykilorðið. Að breyta skírteinum til að eltast við 807 lætur raunverulegu bilunina vera á sínum stað og gerir næstu tilraun erfiðari að lesa.

Hvers vegna annar biðlari brýtur virkar göng

Án gátta til að greina þá að getur NAT-tæki ekki aðskilið tvo PPTP-biðlara eins og það aðskilur tvær HTTPS-setur. Þess vegna leyfa mörg neytendatæki eitt PPTP-símtal og fylgjast með því eftir upprunatölu. Fartölva sem virkaði ein hættir að ljúka þegar önnur vél hringir, og frá hlið biðlarans virðist bilunin tilviljanakennd. Þetta mynstur tilheyrir fastbúnaðinum og engin snepubreyting mun breyta því.

Fylgstu með tengitöflunni á meðan báðir biðlarar hringja. Ef aðeins fyrsti hýsillinn heldur einhvern tíma vörpun hefur beinirinn náð mörkum þess sem hann styður og engin stilling á biðlarahlið færir það.

Sannaðu hvor helmingurinn bregst

Staðfestu að TCP 1723 berist áður en þú breytir nokkru á beininum, því það svar ræður hvorum helmingnum þú ert að prófa. Keyrðu þessar skipanir frá Windows-biðlaranum gegn þínu eigin þjónsnafni. Fyrri prentar hvort gáttin svaraði og seinni hringir án glugga, sem gerir endurteknar tilraunir samanburðarhæfar.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Satt niðurstaða í gáttarprófinu þýðir að stjórnrásin er opin og GRE er sá sem eftir er grunaður. Fölsk niðurstaða þýðir að leiðsla, sía eða framsendingin er brotin og engin GRE-breyting bjargar því. Fylgjast verður með gagnahliðinni þar sem hana má sjá, hjá þjóninum eða hjá beininum.

tcpdump -ni any proto 47

Jafngildið í Wireshark er birtingarsían ip proto 47, sem er auðveldara að rétta einhverjum sem líður ekki vel í skipanalínu. GRE sem berst án þess að nokkuð fari út í svar þýðir að laga þarf endurgönguleiðina.

Hvað lagar villuna í raun

Þar sem beinirinn sýnir stillinguna skaltu virkja PPTP-gegngöngu eða leyfa samskiptareglu 47 sérstaklega á fastbúnaði sem tekur við reglum. Á RouterOS passar framsendingarreglan samskiptaregluna beint, sem framsending byggð á gáttum gæti aldrei gert. Neytendafastbúnaður felur yfirleitt sömu ákvörðun bak við gátreit, stundum undir öryggisstillingum frekar en undir gáttarframsendingu. Ef engin slík stjórn er til mun ekkert á biðlaranum bæta það upp.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

Að skipta PPTP út er hinn kosturinn og oft sá ódýrari. Beinir sem lýkur VPN-inu sjálfur forðast tvöfalt NAT fyrir innkomandi biðlara, og samskiptaregla sem NAT byggt á gáttum sér þegar um þarf alls ekki gegngöngu: OpenVPN yfir UDP, SSTP yfir TCP 443 eða L2TP/IPsec með NAT-T sem vefur ESP inn í UDP 4500. PPTP er einnig háð MS-CHAPv2, en skjalfestir veikleikar þess gera það að slæmu vali fyrir nýja uppsetningu jafnvel eftir að villan hverfur.

Skrifaðu niður hvaða regla gerði muninn, því sama svæði mun mæta sömu takmörkun þegar annar notandinn biður um aðgang. Lagfæring á samskiptareglustigi á heima í netminnispunktunum, þar sem næsti verkfræðingur mun líta.