PPTP gjennom et hotspot: TCP 1723 er bare halvparten

Gå gjennom kontrollene i rekkefølge: om kontrollforbindelsen åpnes, om GRE overlever veien, om serveren godtar samtalen, og om autentiseringen fullføres. En PPTP-klient trenger både en TCP-økt på 1723 og en GRE-vei som bærer dataene, og et hotspot kan slippe det ene gjennom og miste det andre. Å gjøre dem i rekkefølge forteller deg hvilken grense du skal undersøke i stedet for å gjette. Windows-feilnumrene gjør ikke det for deg.

GRE er IP-protokoll 47. Det er ikke TCP- eller UDP-port 47, og den forskjellen forklarer det meste av forvirringen rundt brannmurer.

To veier, én forbindelse

Kontrollforbindelsen er en vanlig TCP-økt til destinasjonsport 1723, som de fleste nettverk tillater uten klager. Dataveien er GRE, protokoll 47, og en brannmur som tillater det første, kan være helt uvitende om det andre. Den kombinasjonen gir en klient som ser ut til å starte og deretter ikke bærer noe, et langt mindre informativt symptom enn en avvist forbindelse. Test begge veiene hver for seg før du konkluderer noe om operatøren.

Oversettelse legger til sitt eget krav. Gatewayer som deler porter trenger ofte en PPTP-bevisst ALG for å skrive om samtaleidentifikatorer sammen med adresser, og en uten den kan ødelegge økten på måter som ligner pakketap. Den oppførselen er vanlig, men avhengig av implementasjonen, så betrakt enhver leverandørgrense som et eksempel og ikke som en egenskap ved hvert hotspot.

Hotspottet legger til to grenser til

Klienttrafikk krysser vanligvis telefonens egen delings-NAT og deretter en oversettelse på operatørnivå før den når serveren. En regel på kontorruteren kan ikke reparere en mellomting som tilhører noen andre, og derfor hjelper portvideresending på hjemmesiden sjelden. En utgående klient trenger heller ikke en inngående port åpnet; svar på en oversatt forbindelse kommer tilbake gjennom tilstanden gatewayen har opprettet. En server bak NAT har et helt annet sett med krav.

Et menyelement merket PPTP-passthrough, der det finnes, bestemmer hvordan den enheten håndterer denne protokollen. Det er ikke samme funksjon som å være vert for en VPN på telefonen eller videresende hver protokoll ubetinget, og å aktivere det er ikke en generell tillatelse til å slippe GRE gjennom.

Les 807 som en avbrytelse, ikke en dom

Windows rapporterer 807 som en avbrutt forbindelse, noe som beskriver resultatet snarere enn en årsak. Feiltabellen behandler 806 separat som den GRE-relaterte kategorien, og den forskjellen er verdt å kjenne før du bygger en teori. Ingen av tallene avslører om operatøren filtrerte protokoll 47, om serveren gikk tom for kapasitet, eller om påloggingsdetaljene var riktige. Feilen sier at økten ble avsluttet; veien sier hvor.

En nettlesertest som lykkes på hotspottet beviser bare at en vanlig applikasjonsvei virker. Den sier ingenting om GRE.

Isoler stadiet som feilet

Hold laptopen, serveren og profilen fast, og bytt deretter bare tilgangsnettverket til et annet godkjent. Hvis resultatet endres, fanger du TCP- og GRE-utvekslingene ved grensene du kontrollerer, og finner det tidligste stadiet som aldri skjer: kontrolloppsett, samtaleoppsett, datalevering eller PPP-autentisering. Hvert av dem etterlater en annen signatur i en opptak. Å sammenligne et fungerende nettverk med et feilende er langt mer informativt enn å lese feilteksten på nytt.

Alt dette diagnostiserer en utrulling som allerede finnes. Det er ikke noe argument for å reise en ny PPTP-tjeneste, og protokollen kan ikke forhandles bort: å installere en annen klient får ikke en uendret server til å snakke noe annet.

For vedvarende tilgang, avtal en støttet migrering med den som eier VPN-en. Sjekklisten ender med en beslutning i stedet for en midlertidig løsning.