PPTP greška 800 nasuprot 812 i prekidi nakon minut

Tri poruke o grešci jednog PPTP klijenta obično opisuju tri različita kvara. Greška 800 znači da tunel nikad nije nastao, greška 812 znači da je server odbio metodu provere identiteta, a prekid nakon minut je keepalive tajmer koji zaključi da je zdrav partner otišao. Svaka faza pada zbog svog razloga, pa svaka treba sopstvenu proveru.

Greška 800 znači da tunel nikad nije nastao

Windows podiže grešku 800 kada uopšte ne može da izgradi tunel, a tekst o nedostupnom serveru ili neprikladnim bezbednosnim parametrima je sažetak, a ne dijagnoza. PPTP traži dve odvojene stvari od mreže pre nego što se proveri bilo kakav akreditiv. TCP 1723 nosi kontrolni kanal, a IP protokol 47, GRE, nosi enkapsulirani teret.

Testirajte taj spoljašnji put izvan sopstvenog LAN-a, jer veza koja radi u kancelariji ne dokazuje ništa o ivici:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Ako 1723 odgovori, a snimak ostane prazan dok klijent pokušava da se poveže, put ispušta protokol 47. Ruter sa prosleđenim 1723, ali isključenim PPTP passthrough-om daje upravo takav uzorak: TCP rukovanje se završi, zatim GRE paketi nestanu, pa kvar izgleda kao problem sa akreditivima iako nije pokušana nikakva prijava.

Usmerite prosleđivanje na trenutnu LAN adresu servera, uključite PPTP passthrough gde ga ruter nudi i pokušajte ponovo sa iste spoljašnje tačke. Kada se GRE filtrira uzvodno i to ne možete da promenite, SSTP preko TCP 443 ili L2TP/IPsec preko UDP 500 i 4500 ima bolju šansu od bilo koje promene koju možete da napravite na strani Windowsa.

Greška 812 je odbijanje vaše metode provere identiteta na serveru

Greška 812 se vraća nakon što je tunel podignut, zato se oseća kao problem sa lozinkom. Server odbija metodu provere identiteta dogovorenu za vezu, a ne nužno samu lozinku. Na klijentu otvorite VPN unos, pređite na karticu bezbednosti, postavite vrstu na Point-to-Point Tunneling Protocol, izaberite izričit spisak protokola i označite Microsoft CHAP verziju 2.

Trenutno podešavanje možete da pročitate bez klikanja kroz dijalog:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Server koji zahteva MS-CHAP v2 odbija klijenta ostavljenog na PAP-u ili na automatskoj vrsti koja pregovara nešto slabije, a greška stiže pre nego što se oceni ikakva korisnička lozinka. Format naloga je druga polovina istog odbijanja. U jednom slučaju Windows je poslao identitet Microsoft naloga oblika MicrosoftAccount\[email protected], dok je server želeo lokalni ili domenski nalog. Upisivanje SERVERNAME\username reklo je Windowsu koji repozitorijum naloga da konsultuje i uklonilo grešku. Upišite ime ručno umesto da spremljeni akreditiv ponovi prethodni format.

Prekidi nakon minut su odluka keepalive mehanizma

Kada se tunel spoji, propusti malo saobraćaja i zatim se odspoji, pogledajte ponašanje LCP odjeka na serveru pre nego što dirnete klijenta. Demon povremeno traži od partnera da potvrdi da je još tamo. Ako u okviru postavljenog budžeta stigne premalo odgovora, sesija se ruši iako korisnik još ima radnu vezu.

Na Linux serveru pptpd te vrednosti žive u /etc/ppp/options.pptpd, a uobičajeni popravak je proširiti budžet umesto skratiti interval:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Trideset promašaja u intervalu od pet sekundi oprašta kratko zastajanje umesto da partnera proglasi otišlim. Smanjenje broja na jedan ili dva pretvara obično podrhtavanje na prevedenom putu u odspajanje otprilike svakog minuta. Ako je vaš server Windows RRAS, a ne pptpd, gledajte umesto toga PPP vreme čekanja sesije i pravilo odspajanja pri mirovanju. Ona žive na drugom mestu, a uređivanje pppd datoteke koja ne postoji neće promeniti ništa.

Preklapajuće podmreže lome podatkovni put

PPTP tunel može čisto da se proveri i ipak ne stigne nikamo kada oba mesta koriste isti privatni raspon, na primer 192.168.1.0/24 u kancelariji i kod kuće. Klijent ne može da kaže na koje se računar odnosi određena adresa, a neki slojevi odbijaju uopšte da instaliraju rutu umesto da odaberu jednu.

Tretirajte to kao projektnu grešku i prenumerišite jednu stranu ili dajte klijentu namerno prevedeni raspon pristupa. Otklanjanje grešaka u PPTP klijentu ne može popraviti adresni prostor koji postoji dvaput, a simptom će i dalje izgledati kao slučajan prekid.

Počnite sa fazom koja je zakazala: GRE za 800, metoda i niz naloga za 812, postavke odjeka za tunel koji umire po rasporedu.