PPTP Split-Tunneling funktionéiert net: reparéiert d’éischt de GRE-Pad

PPTP Split-Tunneling schléit aus zwee verschiddene Grënn fehl: GRE ass gespaart oder d’bannescht Route feelt. Testéiert d’éischt den Transport, duerno d’Politik.

Kuckt wéi eng PPTP-Verbindung eropkënnt an et ass liicht ze gleewen, datt de schwéieren Deel fäerdeg ass: de Client authentifizéiert sech, en ppp0-Adapter oder WAN Miniport erschéngt, an d’Statusfënster gëtt gréng. Duerno leeft déi éischt Ufro un en internen Host an den Timeout, an de Profil kritt d’Schold. An der Praxis sinn et zwee onofhängeg Schichten ze botzen: den äusseren Transport, deen TCP 1723 an GRE dréit, an déi bannescht Politik, déi décidéiert, wéi eng Destinatiounen d’PPP-Schnittstell benotzen. E gréngen Status beweist just, datt déi éischt Schicht verhandelt huet; iwwer déi zweet seet en näischt.

Verfollegt de Client vum Profil bis zum Kontroll-Socket

Maacht de Client-Log op a fënnt de Punkt, wou en de Server kontaktéiert. PPTP mécht fir d’éischt eng TCP-Verbindung op de Port 1723 op a verhandelt d’Tunnelparameter iwwer dëse Kanal. Wann dëse Schrëtt feelt, mécht alles duerno keen Ënnerscheed, an de Feeler nennt meeschtens d’Serveradress oder en Timeout.

Bestätegt d’Kontrollverbindung um Kabel, ier Dir eng Route beréiert. Um Client oder op engem Spigelport fänkt Dir TCP 1723 fir een Verbindungsversuch:

sudo tcpdump -ni any 'tcp port 1723' -c 20

En ofgeschlossenen Handshake an eng etabléiert Sëtzung bedeiten, datt den äusseren Kontrollkanal funktionéiert. En SYN, deen ni en SYN-ACK kritt, weist op eng Firewall, eng falsch Serveradress oder en Ubber, deen de Port filtert. En Handshake mat direktem Reset heescht dacks, datt de Server d’Umeldungsdaten oder den Tunnneltyp refuséiert huet.

GRE ass en zweete Protokoll, keen Port

PPTP dréit d’PPP-Belaaschtung bannen an erweidertem GRE, IP-Protokoll 47, deen keng Portnummer huet, déi en Router kéint verfollegen. Dofir kann eng Regel, déi TCP 1723 erlaabt, den Tunnel nach ëmmer ouni Datenpad loossen. Stateful-NAT-Geräter mussen d’Call-ID bannen an GRE verstoen, fir Äntwerten zeréckzemaachen, a vill maachen dat net. D’PPTP-Spezifikatioun hält de Kontrollkanal an d’GRE-Belaaschtung als getrennte Stécker, an dat muss Ären Testplang och maachen.

Kuckt op Protokoll 47 an der selwechter Opnam a vergläicht duerno, wat erausgeet, mat wat zréckkënnt:

sudo tcpdump -ni any 'proto gre' -c 20

Pakete mat kengen Äntwerten, während TCP 1723 gesond bleift, sinn déi klassesch gespaarte-GRE-Signatur. PPTP-Passthrough op engem Konsumentenrouter ass eng Funktioun vun där spezifescher Firmware, also beweise funktionéierend Hotellnetzwierker näischt iwwer dat nächst. Wann de Router kee Passthrough ubitt an Dir en net ka changéieren, ass d’Protokollwal d’Problem, net d’Routentabell.

Beweist, datt den Tunnel ee Paket beweegt

Soubal GRE fléisst, gëtt d’PPP-Verhandlung der Client-Schnittstell eng Adress zou. Liest d’Zoudeelung, amplaz se unzehuelen:

ip -4 addr show ppp0

Pingt d’Peeradress un, déi als Destinatioun vum Punkt-zu-Punkt-Link ugewise gëtt. Eng Äntwert op dësem Stand beweist, datt de gekapselte Pad vun engem Enn zum aneren funktionéiert an datt de Server bannen am Tunnel äntwert. Wann de Peer äntwert, déi intern Hosts awer net, ass den äusseren Transport an der Rei an de Feeler ass no bannen geplënnert.

Maacht dëst, ier Dir eng opgedeelte Route bäisetzt. Eng Routeännerung, déi gemaach gëtt, während den Transport futti ass, schaaft eng zweet Verännerlech a verstoppt déi éischt.

Schreift déi opgedeelte Politik, DNS abegraff

Opgedeelt Routing ass eng Lëscht vun Entscheedungen, keng Këscht zum Ofhaken. All privat Prefix, deen den Tunnel musse passéieren, brauch eng Route iwwer d’PPP-Schnittstell, an all Prefix, deen lokal bleiwe muss, muss doran feelen. Eng Route fir en Applikatiouns-Subnet ouni eng passend Route zu sengem private Resolver ass eng üblech Manéier, en Ausfall ze schafen, deen wéi eng futti App ausgesäit.

Kuckt d’Entscheedung, déi de Kernel fir eng Adress an all Kategorie hëlt:

ip route get 10.20.5.10
ip route get 203.0.113.25

Déi éischt soll ppp0 nennen, déi zweet de gewéinlechen Gateway. Wann béid déi selwecht Schnittstell nennen, ass d’Politik guer net opgedeelt. Setzt dem DNS-Server seng eegen Adress op d’Tunnellëscht, soss geet d’Nimmopléisung fir intern Hosts iwwer de lokale Resolver eraus a bréngt näischt Brauchbares zréck.

Eng widderhuelbar Kontroll a fënnef Schrëtt

Fëmmt d’Schichte mat der Rei aus a stoppt bei der éischter, déi feelt: Kontrollkanal, GRE-Siichtbarkeet, PPP-Peer-Äntwert, opgedeelte Route fir eng intern Adress, an eng Applikatiounsupro iwwer den Tunnel. All Schrëtt huet säin eegene Kommando, also ass e Feeler zouzerechnen an net mysteriéis.

Eng kompakt Versioun fir e Linux-Client gesäit esou aus:

sudo tcpdump -ni any 'tcp port 1723 or proto gre' -c 40
ip -4 addr show ppp0
ping -c 3 192.0.2.1
ip route get 10.20.5.10

Op Windows gëllt déiselwecht Rei mat route print an dem Adapterstatus, deen am Client ugewise gëtt. PPTP ass en ale Protokoll, an wann de Server SSTP oder IKEv2 ubitt, ass ophuelen normalerweis eng besser Notzung vun der Zäit wéi e Pad ze tunen, dee dovun ofhängt, datt Protokoll 47 op all Hop duerchkënnt. Kontrolléiert d’Zertifikat an de Authentifizéierungsvertrag vum Ersatz, amplaz en ale Profil an eng nei Versioun ze kopéieren.

Ähnlech Artikelen