Ralat PPTP 800 berbanding 812 dan sambungan terputus selepas satu minit

Tiga mesej ralat daripada satu klien PPTP biasanya menerangkan tiga kerosakan berbeza. Ralat 800 bermaksud terowong tidak pernah terbentuk, ralat 812 bermaksud pelayan menolak kaedah pengesahan, dan putus selepas satu minit ialah pemasa keepalive yang memutuskan rakan sebaya yang sihat telah pergi. Setiap peringkat gagal atas sebabnya sendiri, jadi setiap satu perlukan pemeriksaan sendiri.

Ralat 800 bermaksud terowong tidak pernah terbentuk

Windows memunculkan ralat 800 apabila ia langsung tidak dapat membina terowong, dan teks tentang pelayan yang tidak dapat dicapai atau parameter keselamatan yang tidak sesuai ialah ringkasan, bukan diagnosis. PPTP memerlukan dua perkara berasingan daripada rangkaian sebelum sebarang kelayakan diperiksa. TCP 1723 membawa saluran kawalan, dan protokol IP 47, GRE, membawa muatan yang dikapsulkan.

Uji laluan luar itu dari luar LAN anda sendiri, kerana sambungan yang berfungsi di pejabat tidak membuktikan apa-apa tentang tepian:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Jika 1723 menjawab dan tangkapan kekal kosong semasa klien cuba menyambung, laluan itu menggugurkan protokol 47. Penghala dengan 1723 dimajukan tetapi passthrough PPTP dimatikan menghasilkan corak yang tepat: jabat tangan TCP selesai, kemudian paket GRE hilang, jadi kegagalan kelihatan seperti masalah kelayakan walaupun tiada percubaan log masuk dibuat.

Halakan pemajuan ke alamat LAN semasa pelayan, hidupkan passthrough PPTP di tempat penghala menawarkannya, dan cuba semula dari titik luar yang sama. Apabila GRE ditapis di hulu dan anda tidak boleh mengubahnya, SSTP melalui TCP 443 atau L2TP/IPsec melalui UDP 500 dan 4500 mempunyai peluang lebih baik daripada apa-apa perubahan di sebelah Windows.

Ralat 812 ialah pelayan menolak kaedah pengesahan anda

Ralat 812 kembali selepas terowong naik, sebab itu ia terasa seperti masalah kata laluan. Pelayan menolak kaedah pengesahan yang dirundingkan untuk sambungan, bukan semestinya kata laluan itu sendiri. Pada klien, buka entri VPN, pergi ke tab keselamatan, tetapkan jenis kepada Point-to-Point Tunneling Protocol, pilih senarai protokol eksplisit dan tandakan Microsoft CHAP versi 2.

Anda boleh membaca tetapan semasa tanpa mengklik melalui dialog:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Pelayan yang memerlukan MS-CHAP v2 menolak klien yang dibiarkan pada PAP atau pada jenis automatik yang merundingkan sesuatu yang lebih lemah, dan ralat itu tiba sebelum mana-mana kata laluan pengguna dinilai. Format akaun ialah separuh lagi penolakan yang sama. Dalam satu kes Windows menghantar identiti akaun Microsoft berbentuk MicrosoftAccount\[email protected] sedangkan pelayan mahukan akaun setempat atau domain. Menaip SERVERNAME\username memberitahu Windows kedai akaun mana yang perlu dirujuk dan menghapuskan ralat itu. Masukkan nama secara manual daripada membiarkan kelayakan tersimpan memutar semula format terdahulu.

Putus selepas satu minit ialah keputusan keepalive

Apabila terowong bersambung, melalukan sedikit trafik dan kemudian terputus, lihat tingkah laku gema LCP pelayan sebelum menyentuh klien. Daemon meminta rakan sebaya secara berkala mengesahkan ia masih di sana. Jika terlalu sedikit balasan tiba dalam belanjawan yang dikonfigurasikan, sesi dirobohkan walaupun pengguna masih mempunyai pautan yang berfungsi.

Pada pelayan Linux pptpd nilai-nilai itu tinggal dalam /etc/ppp/options.pptpd, dan pembaikan biasa ialah meluaskan belanjawan bukan memendekkan selang:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Tiga puluh terlepas pada selang lima saat memaafkan tersekat sebentar daripada mengisytiharkan rakan sebaya telah pergi. Menurunkan bilangan kepada satu atau dua menjadikan jitter biasa pada laluan terjemahan sebagai pemutusan kira-kira setiap minit. Jika pelayan anda Windows RRAS dan bukan pptpd, lihat masa tamat sesi PPP dan dasar putus semasa melahu. Itu tinggal di tempat lain, dan menyunting fail pppd yang tidak wujud tidak akan mengubah apa-apa.

Subnet bertindih memecahkan laluan data

Terowong PPTP boleh mengesahkan dengan bersih dan masih tidak sampai ke mana-mana apabila kedua-dua tapak menggunakan julat peribadi yang sama, contohnya 192.168.1.0/24 di pejabat dan di rumah. Klien tidak dapat menentukan hos mana yang dirujuk oleh alamat tertentu, dan sesetengah tindanan menolak memasang laluan sama sekali daripada memilih satu.

Anggap itu sebagai kecacatan reka bentuk dan nombor semula satu pihak, atau berikan klien julat akses yang sengaja diterjemahkan. Nyahpepijat klien PPTP tidak dapat membaiki ruang alamat yang wujud dua kali, dan simptom akan terus kelihatan seperti putus rawak.

Mulakan dengan peringkat yang gagal: GRE untuk 800, kaedah dan rentetan akaun untuk 812, tetapan gema untuk terowong yang mati mengikut jadual.