PPTP gjennom ein hotspot: TCP 1723 er berre halvparten

Gå gjennom kontrollane i rekkefølgje: om kontrollsambandet opnar, om GRE overlever vegen, om tenaren godtek samtalen, og om autentiseringa fullførast. Ein PPTP-klient treng både ein TCP-økt på 1723 og ein GRE-veg som ber dataa, og ein hotspot kan sleppe det eine gjennom og miste det andre. Å gjere dei i rekkefølgje fortel deg kva grense du skal undersøkje i staden for å gjette. Windows-feilnummera gjer ikkje det for deg.

GRE er IP-protokoll 47. Det er ikkje TCP- eller UDP-port 47, og den skilnaden forklarar det meste av forvirringa rundt brannmurar.

To vegar, eitt samband

Kontrollsambandet er ein vanleg TCP-økt til destinasjonsport 1723, som dei fleste nettverk tillèt utan klager. Datavegen er GRE, protokoll 47, og ein brannmur som tillèt det første, kan vere heilt uvitande om det andre. Den kombinasjonen gir ein klient som ser ut til å starte og deretter ikkje ber noko, eit langt mindre informativt symptom enn eit avvist samband. Test begge vegane kvar for seg før du konkluderer noko om operatøren.

Omsetjing legg til sitt eige krav. Gatewayar som deler portar treng ofte ein PPTP-medviten ALG for å skrive om samtaleidentifikatorar saman med adresser, og ein utan den kan øydeleggje økta på måtar som liknar pakketap. Den åtferda er vanleg, men avhengig av implementasjonen, så sjå på kvar leverandørgrense som eit døme og ikkje som ein eigenskap ved kvar hotspot.

Hotspottet legg til to grenser til

Klienttrafikk kryssar vanlegvis telefonens eigen delings-NAT og deretter ei omsetjing på operatørnivå før han når tenaren. Ein regel på kontorrutaren kan ikkje reparere ein mellomting som høyrer til nokon andre, og difor hjelper portvideresending på heimesida sjeldan. Ein utgåande klient treng heller ikkje ein inngåande port opna; svar på eit omsett samband kjem tilbake gjennom tilstanden gatewayen har oppretta. Ein tenar bak NAT har eit heilt anna sett krav.

Eit menyelement merkt PPTP-passthrough, der det finst, avgjer korleis den eininga handterer denne protokollen. Det er ikkje same funksjon som å vere vert for ein VPN på telefonen eller vidaresende kvar protokoll utan vilkår, og å slå det på er ikkje ei generell løyve til å sleppe GRE gjennom.

Les 807 som ei avbryting, ikkje ein dom

Windows rapporterer 807 som eit avbrote samband, noko som skildrar resultatet snarare enn ei årsak. Feiltabellen handsamar 806 separat som den GRE-relaterte kategorien, og den skilnaden er verd å kjenne før du byggjer ein teori. Ingen av tala avslører om operatøren filtrerte protokoll 47, om tenaren gjekk tom for kapasitet, eller om påloggingsdetaljane var rette. Feilen seier at økta vart avslutta; vegen seier kvar.

Ein nettlesartest som lukkast på hotspottet beviser berre at ein vanleg applikasjonsveg verkar. Han seier ingenting om GRE.

Isoler stadiet som feila

Hald laptoppen, tenaren og profilen fast, og byt deretter berre tilgangsnettverket til eit anna godkjent. Viss resultatet endrar seg, fangar du TCP- og GRE-utvekslingane ved grensene du kontrollerer, og finn det tidlegaste stadiet som aldri skjer: kontrolloppsett, samtaleoppsett, datalevering eller PPP-autentisering. Kvart av dei etterlèt ein annan signatur i eit opptak. Å samanlikne eit fungerande nettverk med eit feilande er langt meir informativt enn å lese feilteksten på nytt.

Alt dette diagnostiserer ein utrulling som allereie finst. Det er ikkje noko argument for å reise ein ny PPTP-teneste, og protokollen kan ikkje forhandlast bort: å installere ein annan klient får ikkje ein uendra tenar til å snakke noko anna.

For varig tilgang, avtal ein støtta migrering med den som eig VPN-en. Sjekklista endar med ei avgjerd i staden for ei mellombels løysing.