Napaka PPTP 800 proti 812 in prekinitve po minuti

Tri sporočila o napaki enega odjemalca PPTP običajno opisujejo tri različne okvare. Napaka 800 pomeni, da tunel ni nikoli nastal, napaka 812 pomeni, da je strežnik zavrnil metodo preverjanja pristnosti, prekinitev po minuti pa je keepalive časovnik, ki odloči, da je zdrav partner izginil. Vsaka stopnja odpove iz svojega razloga, zato vsaka potrebuje svoje preverjanje.

Napaka 800 pomeni, da tunel ni nikoli nastal

Windows sproži napako 800, ko tunela sploh ne more zgraditi, besedilo o nedosegljivem strežniku ali neustreznih varnostnih parametrih pa je povzetek in ne diagnoza. PPTP potrebuje dve ločeni stvari iz omrežja, preden se preveri kakršna koli poverilnica. TCP 1723 prenaša nadzorni kanal, protokol IP 47, GRE, pa prenaša zapakirano breme.

Preizkusite to zunanjo pot zunaj svojega LAN, ker povezava, ki deluje v pisarni, o robu ne dokazuje ničesar:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Če 1723 odgovori in zajem ostane prazen, medtem ko se odjemalec poskuša povezati, pot spusti protokol 47. Usmerjevalnik s preusmerjenim 1723, a izključenim prehodom PPTP ustvari natanko tak vzorec: rokovanje TCP se zaključi, nato paketi GRE izginejo, zato je napaka videti kot težava s poverilnicami, čeprav poskus prijave ni bil izveden.

Preusmeritev usmerite na trenutni naslov LAN strežnika, vklopite prehod PPTP tam, kjer ga usmerjevalnik ponuja, in poskusite znova z iste zunanje točke. Ko je GRE filtriran višje in tega ne morete spremeniti, ima SSTP prek TCP 443 ali L2TP/IPsec prek UDP 500 in 4500 boljše možnosti kot katera koli sprememba na strani Windows.

Napaka 812 je zavrnitev vaše metode preverjanja pristnosti s strani strežnika

Napaka 812 se vrne, ko je tunel vzpostavljen, zato se zdi težava z geslom. Strežnik zavrne metodo preverjanja pristnosti, dogovorjeno za povezavo, ne nujno gesla samega. Na odjemalcu odprite vnos VPN, pojdite na zavihek varnosti, nastavite vrsto na Point-to-Point Tunneling Protocol, izberite izrecni seznam protokolov in označite Microsoft CHAP različica 2.

Trenutno nastavitev lahko preberete brez klikanja po pogovornem oknu:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Strežnik, ki zahteva MS-CHAP v2, zavrne odjemalca, ki je ostal na PAP ali na samodejni vrsti, ki se pogaja za kaj šibkejšega, in napaka pride, preden se oceni katero koli uporabniško geslo. Oblika računa je druga polovica iste zavrnitve. V enem primeru je Windows poslal identiteto računa Microsoft v obliki MicrosoftAccount\[email protected], medtem ko je strežnik želel lokalni ali domenski račun. Vnos SERVERNAME\username je Windowsu povedal, katero shrambo računov uporabiti, in napako odstranil. Ime vnesite ročno, namesto da bi shranjene poverilnice ponovile prejšnjo obliko.

Prekinitve po minuti so odločitev keepalive

Ko se tunel poveže, spusti malo prometa in se nato odklopi, poglejte vedenje odmeva LCP na strežniku, preden se dotaknete odjemalca. Demon občasno prosi partnerja, naj potrdi, da je še tam. Če v nastavljenem proračunu prispe premalo odgovorov, se seja poruši, čeprav ima uporabnik še delujočo povezavo.

Na strežniku Linux pptpd te vrednosti živijo v /etc/ppp/options.pptpd, običajno popravilo pa je razširiti proračun, ne skrajšati interval:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Trideset zgrešenih odgovorov pri intervalu petih sekund odpusti kratko zataknitev, namesto da bi partnerja razglasilo za izginulega. Zmanjšanje števila na enega ali dva spremeni običajno tresenje na prevedeni poti v odklop približno vsako minuto. Če je vaš strežnik Windows RRAS in ne pptpd, poglejte namesto tega časovno omejitev seje PPP in pravilnik o odklopu pri mirovanju. Ta živita drugje, urejanje datoteke pppd, ki ne obstaja, pa ne bo spremenilo ničesar.

Prekrivajoča se podomrežja zlomijo podatkovno pot

Tunel PPTP se lahko čisto preveri in vseeno ne pride nikamor, ko obe lokaciji uporabljata isti zasebni razpon, na primer 192.168.1.0/24 v pisarni in doma. Odjemalec ne more povedati, na kateri gostitelj se nanaša določen naslov, nekatera skladišča pa nasploh odklonijo namestitev poti, namesto da bi izbrala eno.

To obravnavajte kot oblikovno napako in preštevilčite eno stran ali odjemalcu dajte namerno preveden razpon dostopa. Odpravljanje napak odjemalca PPTP ne more popraviti naslovnega prostora, ki obstaja dvakrat, in simptom bo še naprej videti kot naključna prekinitev.

Začnite s stopnjo, ki je odpovedala: GRE za 800, metoda in niz računa za 812, nastavitve odmeva za tunel, ki umre po urniku.