PPTP через хот-спот: TCP 1723 — лише половина

Пройдіть перевірки по порядку: чи відкривається керівне з'єднання, чи виживає GRE на шляху, чи приймає сервер виклик і чи завершується автентифікація. Клієнту PPTP потрібні і сеанс TCP на 1723, і шлях GRE, що несе дані, а хот-спот може пропустити одне й відкинути інше. Виконання їх по порядку підкаже, який кордон досліджувати, замість здогадок. Номери помилок Windows цього за вас не роблять.

GRE — це IP-протокол 47. Це не порт 47 TCP або UDP, і ця різниця пояснює більшість плутанини навколо міжмережевих екранів.

Два шляхи, одне з'єднання

Керівне з'єднання — звичайний сеанс TCP до порту призначення 1723, який більшість мереж пропускає без заперечень. Шлях даних — GRE, протокол 47, а міжмережевий екран, що дозволяє перше, може зовсім не знати про друге. Таке поєднання дає клієнта, який ніби запускається, а потім нічого не несе, — значно менш інформативний симптом, ніж відмова у з'єднанні. Перевірте обидва шляхи окремо, перш ніж робити висновки про оператора.

Трансляція додає свою вимогу. Шлюзам, що ділять порти, часто потрібен ALG, який розуміє PPTP, щоб переписувати ідентифікатори виклику разом з адресами, а без нього можна так зіпсувати сеанс, що це виглядатиме як втрата пакетів. Така поведінка поширена, але залежить від реалізації, тому вважайте будь-яке обмеження виробника прикладом, а не властивістю кожного хот-спота.

Хот-спот додає ще два кордони

Клієнтський трафік зазвичай проходить через власний NAT телефона, а потім через трансляцію рівня оператора, перш ніж досягти сервера. Правило на офісному маршрутизаторі не може виправити проміжний пристрій, що належить комусь іншому, тому переспрямування портів з боку дому рідко допомагає. Вихідному клієнту також не потрібен відкритий вхідний порт; відповіді на трансльоване з'єднання повертаються через стан, створений шлюзом. У сервера, розміщеного за NAT, зовсім інший набір вимог.

Пункт меню з назвою PPTP passthrough, де він є, визначає, як цей пристрій обробляє цей протокол. Це не та сама функція, що розміщення VPN на телефоні або безумовне пересилання кожного протоколу, і його ввімкнення не є загальним дозволом пропускати GRE.

Читайте 807 як перерву, а не вирок

Windows повідомляє 807 як перерване з'єднання, що описує результат, а не причину. Його таблиця помилок розглядає 806 окремо як категорію, пов'язану з GRE, і цю різницю варто знати до побудови теорії. Жодне з чисел не розкриває, чи оператор фільтрував протокол 47, чи у сервера закінчилася ємність, чи були правильні облікові дані. Помилка каже, що сеанс завершився; шлях каже де.

Успішний тест браузера на хот-споті доводить лише те, що працює звичайний шлях застосунку. Про GRE він не каже нічого.

Ізолюйте етап, який не вдався

Тримайте ноутбук, сервер і профіль незмінними, а потім змініть лише мережу доступу на іншу дозволену. Якщо результат зміниться, зафіксуйте обміни TCP і GRE на межах, які ви контролюєте, і знайдіть найраніший етап, який ніколи не відбувається: встановлення керування, підготовка виклику, доставка даних або автентифікація PPP. Кожен залишає різний підпис у записі. Порівняння робочої мережі з несправною значно інформативніше, ніж повторне читання тексту помилки.

Усе це діагностує розгортання, яке вже існує. Це не аргумент за створення нової служби PPTP, і протокол не можна обійти переговорами: встановлення іншого клієнта не змусить незмінений сервер говорити щось інше.

Для постійного доступу узгодьте підтримувану міграцію з власником VPN. Контрольний список закінчується рішенням, а не обхідним шляхом.