PPTP-Passthrough feelt: Windows VPN-Fehler 807 behiewen

D'Weiderleede vun TCP 1723 mécht dacks den éischten Deel vum PPTP op a léisst de Rescht futti, dofir gëtt Windows beim Versuch nach de Fehler 807 zréck. Den nächsten Impuls ass eng Regel fir de Port 47 derbäizesetzen, an genau dee Schrëtt kascht en Nomëtteg: GRE ass eng Protokollnummer am IP-Kapp, keen Port dee weiderleet. Bis den Router d'Protokoll 47 duerchléisst an et un déiselwecht Opruff bënnt, kann den Tunnel net ufänken. D'Deeler hei drënner trennen déi zwou Kanäl an da testen se een nom aneren.

Eng Porttabelle huet keng Zeil fir eng Protokollnummer

PPTP benotzt zwee Gespréich déi op verschidde Manéieren ausféieren. Dat op TCP 1723 fänkt den Opruff un, gëtt d'Verbindungsinformatioun weider an hëlt en of wann de Benotzer sech ofleet. D'Notzlaascht-Säit leeft bannent GRE, dat den IP-Kapp mat der Protokollnummer 47 markéiert, an an deem Tunnel handelt PPP d'Verbindung aus während MS-CHAPv2 d'Identitéitsdonnéeë préift.

Well GRE keen Transportkapp dréit, weist et keng Porten, also huet eng Regel déi fir Porte geschriwwen ass näischt ze vergläichen. E Router deen 1723 weiderleet erstellt eng Kartéierung fir déi TCP-Sitzung an hält do op. D'Firmware déi déi zweet Halschent verschafft nennt d'Funktioun PPTP-Passthrough oder PPTP-ALG, an eng Firmware bitt weder dat nach dat a schwätzt ni vun der Lück. D'Etikett um Këschtchen ass manner wichteg wéi d'Fro ob d'Protokoll 47 iwwerhaapt erkannt gëtt.

Wat Windows mëttelt wann den Dateschwee stierft

De Fehler 807 seet datt d'Verbindung net konnt fäerdeg gemaach ginn, wat praktesch heescht datt den Opruff de Server erreecht huet an den Datekanal net eropkomm ass. Et ass en Uerteel iwwer den Transport, keen Uerteel iwwer de Kont. De Fehler 691 ass deen deen op Identitéitsdonnéeën oder op eng Onstëmmegkeet am Authentifizéierungsprotokoll weist, dofir schéckt en Iech ganz sosseng.

Schafft um Transport éier Dir d'Passwuert beréiert. Identitéitsdonnéeën änneren fir 807 ze verfollegen léisst de richtegen Defekt op der Plaz an mécht den nächsten Versuch méi schwéier ze liesen.

Firwat en zweeten Client en Tunnel dee funktionéiert futti mécht

Ouni Porten déi se ënnerscheeden, kann en NAT-Apparat zwee PPTP-Cliente net trennen wéi en zwou HTTPS-Sitzungen trennt. Dofir erlaben vill Konsumentenapparater ee PPTP-Opruff a verfollegen den iwwer d'Quelladress. E Laptop deen eleng funktionéiert huet hält op mat fäerdeg ze ginn esoubal eng zweet Maschinn uskëmmt, an aus Clientsiicht gesäit de Feeler zoufälleg aus. Dëst Muster gehéiert zur Firmware, a keng Profilännerung wäert et änneren.

Beobacht d'Verbindungstabelle wärend béid Cliente uskëmmen. Wann ëmmer nëmmen den éischten Host eng Kartéierung hält, huet den Router d'Grenz vu senger Ënnerstëtzung erreecht a keng Clientsetup wäert et réckelen.

Beweist wéi eng Halschent ausféiert

Bestätegt datt TCP 1723 ukomm éier Dir eppes um Router ännert, well déi Äntwert decidéiert wéi eng Halschent Dir testt. Féiert dës vum Windows-Client géint Ären eegene Servernumm aus. Déi éischt dréckt of ob de Port geäntwert huet, an déi zweet këmmt ouni Dialog, wat widderholl Versich vergläichbar mécht.

Test-NetConnection vpn.example.com -Port 1723
rasdial "Work VPN"

En richtegen Resultat am Porttest heescht datt de Kontrollkanal op ass an GRE de verbleiwege Verdächtegen. En falsche Resultat heescht datt Routing, e Filter oder d'Weiderleede futti sinn, a keng GRE-Ännerung rett dat. D'Datesäit muss do observéiert ginn wou se ze gesinn ass, um Server oder um Router.

tcpdump -ni any proto 47

D'Äquivalent am Wireshark ass den Uweisefilter ip proto 47, deen et méi einfach ass un een ze ginn deen net wuel op enger Kommandozeil ass. GRE deen ukomm ouni datt eppes an der Äntwert erausgeet heescht datt de Réckwee misst reparéiert ginn.

Wat de Fehler wierklech behiewt

Do wou den Router d'Astellung weist, aktivéiert PPTP-Passthrough oder erlaabt d'Protokoll 47 ausdrécklech op Firmware déi Regelen unhëlt. Op RouterOS vergläicht d'Weiderleedungsregel d'Protokoll direkt, wat eng portbaséiert Weiderleedung ni hätt kënne maachen. Konsumentefirmware verstoppt meeschtens déiselwecht Entscheedung hannert engem Këschtchen, heiansdo ënner Sécherheetsastellungen an net ënner Portweiderleedung. Wann et sou eng Kontroll net gëtt, gläicht näischt um Client dat aus.

/ip firewall filter add chain=forward protocol=gre action=accept
/ip firewall filter print where protocol=gre

PPTP ersetzen ass déi aner Optioun an dacks déi bëllegst. En Router deen de VPN selwer terminéiert vermeit duebel NAT fir agaang Cliente, an e Protokoll dat en portbaséierten NAT schonn handhabt brauch guer kee Passthrough: OpenVPN iwwer UDP, SSTP iwwer TCP 443 oder L2TP/IPsec mam NAT-T dat ESP an UDP 4500 aflappt. PPTP hänkt och vum MS-CHAPv2 of, deem seng dokumentéiert Schwächen et zu enger schlechter Wiel fir eng nei Asaz maachen och nodeems de Fehler fort ass.

Schreift op wéi eng Regel den Ënnerscheed gemaach huet, well déi selwecht Plaz wäert déiselwecht Grenz erreechen wann den zweete Benotzer Zougang freet. Eng Korrektur op Protokollniveau gehéiert an d'Netzwierknotizen, wou den nächsten Ingenieur wäert nogesinn.