PPTP attraverso un hotspot: TCP 1723 è solo metà

Segui i controlli in ordine: se la connessione di controllo si apre, se GRE sopravvive al percorso, se il server accetta la chiamata e se l’autenticazione si completa. Un client PPTP ha bisogno sia di una sessione TCP su 1723 sia di un percorso GRE che trasporti i dati, e un hotspot può lasciarne passare uno e scartare l’altro. Farli in ordine ti dice quale confine indagare invece di tirare a indovinare. I numeri di errore di Windows non lo fanno per te.

GRE è il protocollo IP 47. Non è la porta 47 di TCP o UDP, e questa distinzione spiega gran parte della confusione sui firewall.

Due percorsi, una connessione

La connessione di controllo è una normale sessione TCP verso la porta di destinazione 1723, che la maggior parte delle reti consente senza obiezioni. Il percorso dei dati è GRE, protocollo 47, e un firewall che consente il primo può ignorare del tutto il secondo. Questa combinazione produce un client che sembra avviarsi e poi non trasporta nulla, un sintomo molto meno informativo di una connessione rifiutata. Prova entrambi i percorsi separatamente prima di concludere qualsiasi cosa sull’operatore.

La traduzione aggiunge il proprio requisito. I gateway che condividono le porte hanno spesso bisogno di un ALG che comprenda PPTP per riscrivere gli identificatori di chiamata insieme agli indirizzi, e uno senza di esso può rovinare la sessione in modi che sembrano perdita di pacchetti. Questo comportamento è comune ma dipende dall’implementazione, quindi tratta qualsiasi limite di un fornitore come un esempio e non come una proprietà di ogni hotspot.

L’hotspot aggiunge due confini in più

Il traffico del client attraversa di solito il NAT di condivisione del telefono stesso e poi una traduzione a livello di operatore prima di raggiungere il server. Una regola sul router dell’ufficio non può riparare un dispositivo intermedio che appartiene a qualcun altro, ed è per questo che l’inoltro delle porte lato casa raramente aiuta. Un client in uscita non ha nemmeno bisogno di una porta in ingresso aperta; le risposte a una connessione tradotta tornano attraverso lo stato creato dal gateway. Un server ospitato dietro NAT ha un insieme di requisiti del tutto diverso.

Una voce di menu etichettata PPTP passthrough, dove esiste, regola il modo in cui quel dispositivo gestisce questo protocollo. Non è la stessa funzione di ospitare una VPN sul telefono o inoltrare ogni protocollo senza condizioni, e abilitarla non è un permesso generale a lasciar passare GRE.

Leggi 807 come un’interruzione, non come un verdetto

Windows segnala 807 come connessione interrotta, il che descrive l’esito invece di una causa. La sua tabella degli errori tratta 806 separatamente come categoria legata a GRE, e questa differenza vale la pena conoscerla prima di costruire una teoria. Nessuno dei due numeri rivela se l’operatore abbia filtrato il protocollo 47, se il server sia rimasto senza capacità o se le credenziali fossero corrette. L’errore dice che la sessione è finita; il percorso dice dove.

Un test del browser che riesce sull’hotspot dimostra solo che un normale percorso applicativo funziona. Non dice nulla su GRE.

Isola la fase che ha fallito

Mantieni fissi il portatile, il server e il profilo, poi cambia solo la rete di accesso con un’altra approvata. Se il risultato cambia, cattura gli scambi TCP e GRE ai confini che controlli e trova la fase più precoce che non avviene mai: instaurazione del controllo, preparazione della chiamata, consegna dei dati o autenticazione PPP. Ognuna lascia una firma diversa in una cattura. Confrontare una rete funzionante con una che fallisce è molto più informativo che rileggere il testo dell’errore.

Tutto questo diagnostica un’implementazione già esistente. Non è un argomento per allestire un nuovo servizio PPTP, e il protocollo non si aggira con la negoziazione: installare un client diverso non fa parlare altro a un server invariato.

Per l’accesso continuativo, concordare una migrazione supportata con chi possiede la VPN. La lista di controllo termina con una decisione invece che con un espediente.