ホットスポット経由のPPTP：TCP 1723だけでは半分

チェックは次の順番で進めます：制御接続が開くか、GREが経路を生き延びるか、サーバーが呼び出しを受け入れるか、認証が完了するかです。PPTPクライアントには1723のTCPセッションと、データを運ぶGRE経路の両方が必要で、ホットスポットは片方を通して他方を落とすことがあります。順番に確認すれば、当て推量ではなく、どの境界を調べるべきかが分かります。Windowsのエラー番号はそれを代わりに教えてはくれません。

GREはIPプロトコル47です。TCPやUDPのポート47ではなく、この違いがファイアウォールに関する混乱のほとんどを説明します。

二つの経路、一つの接続

制御接続は宛先ポート1723への通常のTCPセッションで、ほとんどのネットワークは文句も言わずに許可します。データ経路はGRE、プロトコル47であり、前者を許可するファイアウォールが後者をまったく知らないこともあります。この組み合わせでは、起動したように見えて何も運ばないクライアントが生まれ、拒否された接続よりはるかに情報の少ない症状になります。キャリアについて結論を出す前に、両方の経路を別々に試してください。

変換には独自の要件があります。ポートを共有するゲートウェイは、呼び出し識別子をアドレスと一緒に書き換えるためにPPTP対応のALGを必要とすることが多く、それが無いとパケット損失のように見える形でセッションを壊すことがあります。この挙動はよくありますが実装依存なので、ベンダーの制限はあくまで一例として扱い、すべてのホットスポットの性質と考えないでください。

ホットスポットはさらに二つの境界を加える

クライアントの通信は通常、スマートフォン自身の共有NATを通り、その後キャリア側の変換を経てサーバーに届きます。オフィスのルーターのルールは他人の管理する中間装置を修理できないので、家庭側のポート転送が役立つことはほとんどありません。外向きのクライアントに入向きポートを開ける必要もなく、変換された接続への応答はゲートウェイが作った状態を通って戻ります。NATの背後に置かれたサーバーは、まったく別の要件を抱えます。

PPTPパススルーというメニュー項目がある場合、それはその機器がこのプロトコルをどう扱うかを決めます。スマートフォンでVPNをホストすることや、すべてのプロトコルを無条件に転送することとは同じ機能ではなく、有効にしてもGREを通す一般的な許可になるわけではありません。

807は判決ではなく中断として読む

Windowsは807を中断された接続として報告しますが、これは原因ではなく結果を表します。エラー表では806をGRE関連のカテゴリとして別に扱っており、理論を組み立てる前にこの違いを知っておく価値があります。どちらの番号も、キャリアがプロトコル47をフィルタしたのか、サーバーの容量が尽きたのか、資格情報が正しかったのかを明かしません。エラーはセッションが終わったと言い、経路はどこで終わったかを言います。

ホットスポットで成功するブラウザーテストは、通常のアプリケーション経路が動くことしか証明しません。GREについては何も語りません。

失敗した段階を切り分ける

ノートPC、サーバー、プロファイルを固定し、アクセスネットワークだけを別の承認済みのものに変えます。結果が変わったら、自分が制御できる境界でTCPとGREのやり取りを取得し、決して起きない最も早い段階を特定します：制御の確立、呼び出しの設定、データの配送、PPP認証のどれかです。それぞれが取得記録に異なる署名を残します。動作するネットワークと失敗するネットワークを比べるほうが、エラーの文章を読み返すよりはるかに有益です。

これはすべて、すでに存在する配備を診断するものです。新しいPPTPサービスを立てる根拠にはならず、プロトコルを交渉で回避することもできません：別のクライアントを入れても、変わらないサーバーが別の何かを話すようにはなりません。

継続的なアクセスには、VPNを所有する相手とサポートされた移行を合意してください。チェックリストは回避策ではなく判断で終わります。