PPTP өткөрүү жок: Windows VPN 807 катасын оңдоо

TCP 1723-тү өткөрүү көбүнчө PPTPнин биринчи бөлүгүн ачат да, калганын сынган бойдон калтырат, ошондуктан Windows аракетте 807 катасын кайтара берет. Кийинки инстинкт — 47 порту үчүн эреже кошуу, жана дал ушул кадам жарым күндү жоготот: GRE — IP аталышындагы протокол номери, өткөрүү таблицасы салыштыра алган порт эмес. Маршрутизатор 47 протоколун өткөрүп, аны ошол эле чакырууга байламайынча, туннель баштала албайт. Төмөнкү бөлүмдөр эки каналды бөлүп, анан аларды бир-бирден текшерет.

Порт таблицасында протокол номери үчүн сап жок

PPTP ар кандай жолдор менен ишке ашпай калган эки сүйлөшүүнү колдонот. TCP 1723-төгүсү чакырууну баштайт, байланыш маалыматын берет жана колдонуучу ажыраганда аны токтотот. Жүктөм тарабы GRE ичинде иштейт, аны IP аталышы 47 протокол номери менен белгилейт, ал эми ошол туннелдин ичинде PPP байланыш боюнча сүйлөшөт, MS-CHAPv2 эсептик маалыматтарды текшерет.

GRE эч кандай ташуу аталышын алып жүрбөгөндүктөн, ал эч кандай портту көрсөтпөйт, ошондуктан порттор үчүн жазылган эреженин салыштырар эч нерсеси жок. 1723-тү өткөргөн маршрутизатор ошол TCP сессиясы үчүн карта түзүп, ошол жерде токтойт. Экинчи жарымын иштеп чыккан прошивка бул функцияны PPTP өткөрүүсү же PPTP ALG деп атайт, ал эми кээ бир прошивкалар экөөнү тең сунуштабайт жана бул кемчиликти эч качан эске салбайт. Белги кутучасындагы жазуу 47 протоколунун таптакыр таанылышынан азыраак мааниге ээ.

Маалымат жолу өлгөндө Windows эмнени билдирет

807 катасы байланышты аяктоо мүмкүн болбогонун айтат, бул иш жүзүндө чакыруу серверге жеткенин, ал эми маалымат каналы көтөрүлбөгөнүн билдирет. Бул транспорт жөнүндө өкүм, эсеп жөнүндө эмес. 691 катасы эсептик маалыматтарга же аутентификация протоколунун дал келбестигине көрсөтөт, ошондуктан ал сизди таптакыр башка жакка жиберет.

Сырсөзгө тийүүдөн мурун транспорт менен иштеңиз. 807нин артынан эсептик маалыматтарды өзгөртүү чыныгы кемчиликти ордунда калтырат жана кийинки аракетти окууну кыйындатат.

Эмне үчүн экинчи клиент иштеп турган туннелди бузат

Аларды ажырата турган порттор жок болгондуктан, NAT түзмөгү эки HTTPS сессиясын ажыраткандай эки PPTP клиентин ажырата албайт. Ошондуктан көптөгөн керектөө түзмөктөрү бир гана PPTP чакыруусуна жол берип, аны баштапкы дарек боюнча көзөмөлдөйт. Жалгыз иштеген ноутбук экинчи машина чалгандан кийин аяктоону токтотот, ал эми клиент тарабынан ишке ашпоо кокустан көрүнөт. Бул үлгү прошивкага таандык, жана эч бир профиль өзгөрүүсү аны өзгөртпөйт.

Эки клиент тең чалып жатканда туташуулар таблицасын көзөмөлдөңүз. Эгер дайыма биринчи хост гана картаны кармап турса, маршрутизатор колдой алган чегине жеткен жана клиент тарабындагы эч бир параметр аны жылдырбайт.

Кайсы жарымы ишке ашпай жатканын далилдеңиз

Маршрутизатордо бир нерсени өзгөртүүдөн мурун TCP 1723 келип жатканын ырастаңыз, анткени ошол жооп кайсы жарымын текшерип жатканыңызды аныктайт. Буларды Windows клиентинен өзүңүздүн сервер аталышыңызга каршы аткарыңыз. Биринчиси порт жооп бердиби, аны басып чыгарат, экинчиси диалогсуз чалат, бул кайталанган аракеттерди салыштырууга мүмкүндүк берет.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

Порт текшерүүсүндөгү чыныгы жыйынтык башкаруу каналы ачык экенин жана GRE калган шектүү экенин билдирет. Жалган жыйынтык маршруттоо, чыпка же өткөрүү бузулганын билдирет, жана GREдеги эч бир өзгөрүү аны куткарбайт. Маалымат тарабын ал көрүнгөн жерде, серверде же маршрутизатордо көзөмөлдөө керек.

tcpdump -ni any proto 47

Wiresharkтагы барабардыгы — ip proto 47 көрсөтүү чыпкасы, аны буйрук сабында өзүн ыңгайлуу сезбеген адамга берүү оңоюраак. Жоопто эч нерсе чыкпай GRE келсе, кайтуу жолун оңдоо керек дегенди билдирет.

Катаны чындыгында эмне оңдойт

Маршрутизатор параметрди көрсөткөн жерде PPTP өткөрүүсүн күйгүзүңүз же эрежелерди кабыл алган прошивкада 47 протоколуна ачык жол бериңиз. RouterOSто өткөрүү эрежеси протокол менен түздөн-түз дал келет, портко негизделген өткөрүү муну эч качан жасай алмак эмес. Керектөө прошивкасы адатта ошол эле чечимди белги кутучасынын артына жашырат, кээде порт өткөрүүсүнүн астында эмес, коопсуздук параметрлеринин астында. Эгер мындай башкаруу жок болсо, клиентте эч нерсе анын ордун толтурбайт.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

PPTPни алмаштыруу — башка вариант жана көбүнчө арзаныраак. VPNди өзү аяктаган маршрутизатор кирүүчү клиенттер үчүн кош NATтан качат, ал эми портко негизделген NAT иштеп жаткан протоколго өткөрүү такыр керек эмес: UDP үстүндө OpenVPN, TCP 443 үстүндө SSTP же ESPни UDP 4500 ичине ороп турган NAT-T менен L2TP/IPsec. PPTP ошондой эле MS-CHAPv2ге көз каранды, анын документтелген алсыздыктары ката жоюлгандан кийин да аны жаңы орнотуу үчүн начар тандоо кылат.

Кайсы эреже айырмачылык жаратканын жазып коюңуз, анткени экинчи колдонуучу кирүүнү сураганда ошол сайт ошол эле чектөөгө туш болот. Протокол деңгээлиндеги оңдоо тармак жазууларына таандык, кийинки инженер ошол жерди карайт.