PPTP cez hotspot: TCP 1723 je len polovica

Prejdite kontroly po poradí: či sa otvorí riadiace spojenie, či GRE cestu prežije, či server hovor prijme a či sa autentifikácia dokončí. Klient PPTP potrebuje ako TCP reláciu na 1723, tak cestu GRE, ktorá nesie dáta, a hotspot môže jedno prepustiť a druhé zahodiť. Vykonanie v tomto poradí vám povie, ktorú hranicu skúmať, namiesto hádania. Čísla chýb Windows to za vás neurobia.

GRE je IP protokol 47. Nie je to port 47 TCP ani UDP a tento rozdiel vysvetľuje väčšinu zmätku okolo firewallov.

Dve cesty, jedno spojenie

Riadiace spojenie je bežná TCP relácia na cieľový port 1723, ktorú väčšina sietí povoľuje bez sťažností. Dátová cesta je GRE, protokol 47, a firewall, ktorý povoľuje prvé, o druhom nemusí vôbec vedieť. Táto kombinácia vytvára klienta, ktorý vyzerá, že sa spustí, a potom nič neprenáša, čo je omnoho menej výpovedný príznak než odmietnuté spojenie. Otestujte obe cesty oddelene, než o operátorovi čokoľvek uzavriete.

Preklad pridáva svoju vlastnú požiadavku. Brány, ktoré zdieľajú porty, často potrebujú ALG rozumejúci PPTP, aby prepísali identifikátory hovoru spolu s adresami, a brána bez neho môže reláciu poškodiť tak, že to vyzerá ako strata paketov. Toto správanie je bežné, ale závisí od implementácie, takže akýkoľvek limit výrobcu berte ako príklad, nie ako vlastnosť každého hotspotu.

Hotspot pridáva dve ďalšie hranice

Klientska prevádzka zvyčajne prechádza vlastným zdieľacím NAT telefónu a potom prekladom na úrovni operátora, než dorazí na server. Pravidlo na kancelárskom routeri nemôže opraviť medziľahlé zariadenie, ktoré patrí niekomu inému, a preto presmerovanie portov na domácej strane zriedka pomáha. Odchádzajúci klient tiež nepotrebuje otvorený vstupný port; odpovede na preložené spojenie sa vracajú cez stav, ktorý brána vytvorila. Server hostovaný za NAT má úplne inú sadu požiadaviek.

Položka ponuky označená ako PPTP passthrough, ak existuje, určuje, ako toto zariadenie s protokolom zaobchádza. Nie je to tá istá funkcia ako hostovanie VPN v telefóne alebo bezpodmienečné preposielanie každého protokolu a jej zapnutie nie je všeobecným povolením prepustiť GRE.

Čítajte 807 ako prerušenie, nie ako verdikt

Windows hlási 807 ako prerušené spojenie, čo opisuje výsledok, nie príčinu. Jeho tabuľka chýb spracúva 806 oddelene ako kategóriu súvisiacu s GRE a tento rozdiel stojí za to poznať, než začnete stavať teóriu. Ani jedno číslo neprezradí, či operátor filtroval protokol 47, či serveru došla kapacita alebo či boli údaje správne. Chyba hovorí, že relácia skončila; cesta hovorí kde.

Test prehliadača, ktorý na hotspote uspeje, dokazuje len to, že bežná aplikačná cesta funguje. O GRE nehovorí nič.

Izolujte fázu, ktorá zlyhala

Nechajte notebook, server aj profil bez zmeny a potom vymeňte iba prístupovú sieť za inú schválenú. Ak sa výsledok zmení, zachyťte výmeny TCP a GRE na hraniciach, ktoré ovládate, a nájdite najskoršiu fázu, ktorá nikdy nenastane: nadviazanie riadenia, príprava hovoru, doručenie dát alebo autentifikácia PPP. Každá zanecháva v zázname iný podpis. Porovnanie funkčnej siete s nefunkčnou je omnoho poučnejšie než ďalšie čítanie textu chyby.

To všetko diagnostikuje nasadenie, ktoré už existuje. Nie je to argument za postavenie novej služby PPTP a protokol nemožno obísť rokovaním: inštalácia iného klienta nespôsobí, že nezmenený server bude hovoriť niečo iné.

Pre trvalý prístup sa dohodnite na podporovanej migrácii s vlastníkom VPN. Kontrolný zoznam končí rozhodnutím, nie dočasným obchvatom.