PPTP genom en hotspot: TCP 1723 är bara halva

Gå igenom kontrollerna i ordning: om styranslutningen öppnas, om GRE överlever vägen, om servern accepterar anropet och om autentiseringen slutförs. En PPTP-klient behöver både en TCP-session på 1723 och en GRE-väg som bär data, och en hotspot kan släppa igenom det ena och tappa det andra. Att göra dem i ordning säger vilken gräns du ska undersöka i stället för att gissa. Windows felnummer gör inte det åt dig.

GRE är IP-protokoll 47. Det är inte TCP- eller UDP-port 47, och den skillnaden förklarar det mesta av förvirringen kring brandväggar.

Två vägar, en anslutning

Styranslutningen är en vanlig TCP-session till målporten 1723, som de flesta nätverk tillåter utan klagomål. Datavägen är GRE, protokoll 47, och en brandvägg som tillåter det första kan vara helt ovetande om det andra. Den kombinationen ger en klient som verkar starta och sedan inte bär något, ett långt mindre informativt symptom än en nekad anslutning. Testa båda vägarna separat innan du drar någon slutsats om operatören.

Översättning lägger till sitt eget krav. Gateways som delar portar behöver ofta en PPTP-medveten ALG för att skriva om anropsidentifierare tillsammans med adresser, och en utan den kan skada sessionen på sätt som ser ut som paketförlust. Det beteendet är vanligt men implementeringsberoende, så betrakta varje leverantörsgräns som ett exempel och inte som en egenskap hos varje hotspot.

Hotspoten lägger till två gränser till

Klienttrafik passerar vanligtvis telefonens egen delnings-NAT och därefter en översättning på operatörsnivå innan den når servern. En regel på kontorsroutern kan inte reparera en mellanbox som tillhör någon annan, och därför hjälper portvidarebefordran på hemsidan sällan. En utgående klient behöver inte heller en öppen inkommande port; svar på en översatt anslutning kommer tillbaka genom det tillstånd som gatewayen skapade. En server bakom NAT har en helt annan uppsättning krav.

Ett menyalternativ märkt PPTP-passthrough, där det finns, styr hur den enheten hanterar protokollet. Det är inte samma funktion som att vara värd för ett VPN på telefonen eller vidarebefordra varje protokoll utan villkor, och att aktivera det är inte ett allmänt tillstånd att släppa igenom GRE.

Läs 807 som ett avbrott, inte en dom

Windows rapporterar 807 som en avbruten anslutning, vilket beskriver resultatet snarare än en orsak. Dess feltabell behandlar 806 separat som den GRE-relaterade kategorin, och den skillnaden är värd att känna till innan du bygger en teori. Ingen av siffrorna avslöjar om operatören filtrerade protokoll 47, om servern tog slut på kapacitet eller om uppgifterna var korrekta. Felet säger att sessionen avslutades; vägen säger var.

Ett webbläsartest som lyckas på hotspoten bevisar bara att en vanlig programväg fungerar. Det säger ingenting om GRE.

Isolera steget som misslyckades

Håll laptop, server och profil oförändrade och byt sedan bara åtkomstnätverket till ett annat godkänt. Om resultatet ändras, fånga TCP- och GRE-utbytena vid gränserna du kontrollerar och hitta det tidigaste steget som aldrig inträffar: styrningsuppbyggnad, anropsuppbyggnad, dataleverans eller PPP-autentisering. Varje steg lämnar en annan signatur i en inspelning. Att jämföra ett fungerande nätverk med ett som misslyckas är mycket mer informativt än att läsa feltexten igen.

Allt detta diagnostiserar en distribution som redan finns. Det är inget argument för att resa en ny PPTP-tjänst, och protokollet går inte att förhandla bort: att installera en annan klient får inte en oförändrad server att tala något annat.

För varaktig åtkomst, kom överens om en stödd migrering med den som äger VPN:en. Checklistan slutar med ett beslut i stället för en tillfällig lösning.