PPTP-feil 800 mot 812 og samband som fell etter eit minutt

Tre feilmeldingar frå éin PPTP-klient skildrar vanlegvis tre ulike feil. Feil 800 tyder at tunnelen aldri vart danna, feil 812 tyder at tenaren avviste autentiseringsmetoden, og eit brot etter eit minutt er ein keepalive-timer som avgjer at ein sunn partnar er borte. Kvart trinn sviktar av si eiga årsak, så kvart trinn treng si eiga kontroll.

Feil 800 tyder at tunnelen aldri vart danna

Windows reiser feil 800 når det ikkje kan byggje tunnelen i det heile, og teksten om ein utilgjengeleg tenar eller ueigna tryggleiksparameterar er eit samandrag og ikkje ein diagnose. PPTP treng to separate ting frå nettet før noka legitimasjon vert undersøkt. TCP 1723 ber kontrollkanalen, og IP-protokoll 47, GRE, ber den innkapsla lasta.

Test den ytre vegen utanfrå ditt eige LAN, fordi ei tilkopling som verkar på kontoret ikkje provar noko om kanten:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Viss 1723 svarar og opptaket vert tomt medan klienten prøver å kople til, slepp vegen protokoll 47. Ein ruter med 1723 vidasendt, men PPTP-passthrough slått av gjev nøyaktig det mønsteret: TCP-handtrykket vert fullført, deretter forsvinn GRE-pakkane, så feilen ser ut som eit legitimasjonsproblem sjølv om ingen innlogging vart prøvd.

Ret vidasendinga mot den noverande LAN-adressa til tenaren, slå på PPTP-passthrough der ruteren byd det, og prøv igjen frå same ytre punkt. Når GRE vert filtrert lenger oppe og du ikkje kan endre det, har SSTP over TCP 443 eller L2TP/IPsec over UDP 500 og 4500 betre sjanse enn noka endring du kan gjere på Windows-sida.

Feil 812 er tenaren som avviser autentiseringsmetoden din

Feil 812 kjem tilbake etter at tunnelen er oppe, difor kjennest han som eit passordproblem. Tenaren avviser autentiseringsmetoden som vart forhandla for sambandet, ikkje nødvendigvis sjølve passordet. På klienten, opne VPN-oppføringa, gå til tryggleiksfliken, set typen til Point-to-Point Tunneling Protocol, vel den eksplisitte protokolllista og kryss av for Microsoft CHAP versjon 2.

Du kan lese gjeldande innstilling utan å klikke deg gjennom dialogen:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Ein tenar som krev MS-CHAP v2, avviser ein klient som er lat stå på PAP eller på ein automatisk type som forhandlar om noko svakare, og feilen kjem før noko brukarpassord vert vurdert. Kontoformatet er den andre halvdelen av den same avvisinga. I eitt tilfelle sende Windows ein Microsoft-kontoidentitet av forma MicrosoftAccount\[email protected] medan tenaren ville ha ein lokal eller domenekonto. Å skrive SERVERNAME\username fortalde Windows kva kontolager som skulle slåast opp, og fjerna feilen. Skriv inn namnet for hand i staden for å late ein lagra legitimasjon gjenta eit tidlegare format.

Brot etter eit minutt er ei keepalive-avgjerd

Når tunnelen koplar til, slepp gjennom litt trafikk og koplar deretter frå, sjå på LCP-ekkoåferda til tenaren før du rører klienten. Daemonen ber partnaren jamleg stadfeste at han framleis er der. Viss det kjem for få svar innanfor det konfigurerte budsjettet, vert økta riven ned sjølv om brukaren framleis har ei fungerande lenke.

På ein Linux pptpd-tenar bur desse verdiane i /etc/ppp/options.pptpd, og den vanlege reparasjonen er å utvide budsjettet i staden for å forkorte intervallet:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Tretti bom på eit intervall på fem sekund tilgjev ei kort stogg i staden for å erklære partnaren borte. Å skru ned talet til éin eller to gjer vanleg jitter på ein omsett veg til ein fråkopling omtrent kvart minutt. Viss tenaren din er Windows RRAS og ikkje pptpd, sjå i staden på tidsavbrotet for PPP-økta og retningslinja for fråkopling ved inaktivitet. Dei bur ein annan stad, og å redigere ei pppd-fil som ikkje finst endrar ingenting.

Overlappande subnett øydelegg datastien

Ein PPTP-tunnel kan autentisere reint og likevel ikkje nå noko når begge stadene brukar same private område, til dømes 192.168.1.0/24 på kontoret og heime. Klienten kan ikkje seie kva vert ei gjeven adresse viser til, og nokre stakkar nektar å installere ruta i det heile i staden for å velje éi.

Handsam det som ein designfeil og omnummerer den eine sida, eller gje klienten eit medvite omsett tilgangsområde. Feilsøking av PPTP-klienten kan ikkje reparere eit adresserom som finst to gonger, og symptomet vil framleis sjå ut som eit tilfeldig brot.

Start med trinnet som svikta: GRE for 800, metoden og kontostrengen for 812, ekkoinnstillingar for ein tunnel som døyr etter planen.