Грешка PPTP 800 наспрам 812 и прекиди након минута

Грешка 800, грешка 812 и PPTP тунел који умре након минута су три различита квара. Упарите сваки симптом са слојем који је заиста заказао.

Три поруке о грешци једног PPTP клијента обично описују три различита квара. Грешка 800 значи да тунел никада није настао, грешка 812 значи да је сервер одбио методу провере идентитета, а прекид након минута је keepalive тајмер који закључи да је здрав партнер отишао. Свака фаза пада због свог разлога, па свака треба сопствену проверу.

Грешка 800 значи да тунел никада није настао

Windows подиже грешку 800 када уопште не може да изгради тунел, а текст о недоступном серверу или неприкладним безбедносним параметрима је сажетак, а не дијагноза. PPTP тражи две одвојене ствари од мреже пре него што се провери било какав акредитив. TCP 1723 носи контролни канал, а IP протокол 47, GRE, носи инкапсулирани терет.

Тестирајте тај спољашњи пут изван сопственог LAN-а, јер веза која ради у канцеларији не доказује ништа о ивици:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Ако 1723 одговори, а снимак остане празан док клијент покушава да се повеже, пут испушта протокол 47. Рутер са прослеђеним 1723, али искљученим PPTP пролазом даје управо такав узорак: TCP руковање се заврши, затим GRE пакети нестану, па квар изгледа као проблем са акредитивима иако није покушана никаква пријава.

Усмерите прослеђивање на тренутну LAN адресу сервера, укључите PPTP пролаз где га рутер нуди и покушајте поново са исте спољашње тачке. Када се GRE филтрира узводно и то не можете да промените, SSTP преко TCP 443 или L2TP/IPsec преко UDP 500 и 4500 има бољу шансу од било које промене коју можете да направите на страни Windows-а.

Грешка 812 је одбијање ваше методе провере идентитета на серверу

Грешка 812 се враћа након што је тунел подигнут, зато се осећа као проблем са лозинком. Сервер одбија методу провере идентитета договорену за везу, а не нужно саму лозинку. На клијенту отворите VPN унос, пређите на картицу безбедности, поставите врсту на Point-to-Point Tunneling Protocol, изаберите изричит списак протокола и означите Microsoft CHAP верзију 2.

Тренутно подешавање можете да прочитате без кликања кроз дијалог:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

Сервер који захтева MS-CHAP v2 одбија клијента остављеног на PAP-у или на аутоматској врсти која преговара нешто слабије, а грешка стиже пре него што се оцени икаква корисничка лозинка. Формат налога је друга половина истог одбијања. У једном случају Windows је послао идентитет Microsoft налога облика MicrosoftAccount\[email protected], док је сервер желео локални или доменски налог. Уписивање SERVERNAME\username рекло је Windows-у који репозиторијум налога да консултује и уклонило грешку. Упишите име ручно уместо да сачувани акредитив понови претходни формат.

Прекиди након минута су одлука keepalive механизма

Када се тунел споји, пропусти мало саобраћаја и затим се одспоји, погледајте понашање LCP одјека на серверу пре него што дирнете клијента. Демон повремено тражи од партнера да потврди да је још тамо. Ако у оквиру постављеног буџета стигне премало одговора, сесија се руши иако корисник још има радну везу.

На Linux серверу pptpd те вредности живе у /etc/ppp/options.pptpd, а уобичајени поправак је проширити буџет уместо скратити интервал:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Тридесет промашаја у интервалу од пет секунди опрашта кратко застајање уместо да партнера прогласи отишлим. Смањење броја на један или два претвара уобичајено подрхтавање на преведеном путу у одспајање отприлике сваког минута. Ако је ваш сервер Windows RRAS, а не pptpd, гледајте уместо тога PPP време чекања сесије и правило одспајања при мировању. Она живе на другом месту, а уређивање pppd датотеке која не постоји неће променити ништа.

Преклапајуће подмреже ломе путању података

PPTP тунел може чисто да се провери и ипак не стигне никуда када оба места користе исти приватни распон, на пример 192.168.1.0/24 у канцеларији и код куће. Клијент не може да каже на које се рачунар односи одређена адреса, а неки слојеви одбијају уопште да инсталирају руту уместо да одаберу једну.

Третирајте то као грешку пројектовања и пренумеришите једну страну или дајте клијенту намерно преведени распон приступа. Отклањање грешака у PPTP клијенту не може поправити адресни простор који постоји двапут, а симптом ће и даље изгледати као случајан прекид.

Почните са фазом која је заказала: GRE за 800, метода и низ налога за 812, подешавања одјека за тунел који умире по распореду.

Повезани чланци