PPTP 800 va 812 xatolari hamda bir daqiqadan keyin uzilish

Bitta PPTP mijozi bergan uchta xato xabari odatda uch xil nosozlikni tasvirlaydi. 800 xatosi tunnel hech qachon shakllanmaganini, 812 xatosi server autentifikatsiya usulini rad etganini bildiradi, bir daqiqadan keyin uzilish esa sog‘lom hamkor ketdi deb qaror qiladigan keepalive taymeridir. Har bir bosqich o‘z sababiga ko‘ra muvaffaqiyatsiz bo‘ladi, shuning uchun har biriga o‘z tekshiruvi kerak.

800 xatosi tunnel hech qachon shakllanmaganini bildiradi

Windows 800 xatosini tunnelni umuman qura olmaganida ko‘rsatadi, yetib bo‘lmaydigan server yoki noto‘g‘ri xavfsizlik parametrlari haqidagi matn esa tashxis emas, xulosadir. PPTP har qanday hisob ma’lumotini tekshirishdan oldin tarmoqdan ikkita alohida narsani talab qiladi. TCP 1723 boshqaruv kanalini, IP 47 protokoli, ya’ni GRE esa inkapsulyatsiya qilingan yukni tashiydi.

Bu tashqi yo‘lni o‘z LAN’ingizdan tashqaridan sinab ko‘ring, chunki ofis ichida ishlaydigan ulanish chegara haqida hech narsani isbotlamaydi:

$ nc -vz vpn.example.net 1723
Connection to vpn.example.net 1723 port [tcp/*] succeeded!
$ sudo tcpdump -ni eth0 proto gre
tcpdump: listening on eth0, link-type EN10MB

Agar 1723 javob bersa va mijoz ulanishga urinayotganda yozib olish bo‘sh qolsa, yo‘l 47 protokolini tashlab yuboryapti. 1723 yo‘naltirilgan, lekin PPTP o‘tkazmasi o‘chirilgan router xuddi shu manzarani beradi: TCP qo‘l berish tugaydi, so‘ngra GRE paketlari yo‘qoladi, shuning uchun nosozlik hisob ma’lumotlari muammosiga o‘xshaydi, garchi kirish urinishi bo‘lmagan bo‘lsa ham.

Yo‘naltirishni serverning joriy LAN manziliga qarating, router taklif qiladigan joyda PPTP o‘tkazmasini yoqing va o‘sha tashqi nuqtadan qayta urinib ko‘ring. GRE yuqorida filtrlanib, buni o‘zgartira olmasangiz, TCP 443 ustidagi SSTP yoki UDP 500 va 4500 ustidagi L2TP/IPsec Windows tomonida qila oladigan har qanday o‘zgarishdan ko‘ra yaxshiroq imkoniyatga ega.

812 xatosi server sizning autentifikatsiya usulingizni rad etishidir

812 xatosi tunnel ko‘tarilgandan keyin qaytadi, shuning uchun parol muammosidek tuyuladi. Server ulanish uchun kelishilgan autentifikatsiya usulini rad etadi, albatta parolning o‘zini emas. Mijozda VPN yozuvini oching, xavfsizlik yorlig‘iga o‘ting, turni Point-to-Point Tunneling Protocol ga o‘rnating, aniq protokollar ro‘yxatini tanlang va Microsoft CHAP 2-versiyasini belgilang.

Joriy sozlamani muloqot oynasini bosmasdan o‘qishingiz mumkin:

$ Get-VpnConnection -Name "Office" | Select-Object -ExpandProperty AuthenticationMethod
MsChapv2

MS-CHAP v2 talab qiladigan server PAP da yoki zaifroq narsa haqida kelishadigan avtomatik turda qoldirilgan mijozni rad etadi va xato har qanday foydalanuvchi paroli baholanishidan oldin keladi. Hisob formati o‘sha rad etishning ikkinchi yarmidir. Bir holatda Windows MicrosoftAccount\[email protected] ko‘rinishidagi Microsoft hisob identifikatorini yubordi, server esa mahalliy yoki domen hisobini xohladi. SERVERNAME\username yozish Windows ga qaysi hisob omboriga murojaat qilishni aytdi va xatoni olib tashladi. Ismni qo‘lda kiriting, saqlangan hisob ma’lumotlari oldingi formatni takrorlashiga yo‘l qo‘ymang.

Bir daqiqadan keyin uzilishlar keepalive qaroridir

Tunnel ulanib, ozgina trafik o‘tkazib, so‘ng uzilganda, mijozga tegishdan oldin serverning LCP aks-sado xatti-harakatiga qarang. Demon vaqti-vaqti bilan hamkordan hali ham joyidami, deb tasdiqlashni so‘raydi. Belgilangan byudjet ichida juda kam javob kelsa, foydalanuvchida hali ishlaydigan aloqa bo‘lsa ham sessiya yechib tashlanadi.

Linux pptpd serverida bu qiymatlar /etc/ppp/options.pptpd ichida yashaydi va odatiy ta’mirlash intervalni qisqartirish emas, byudjetni kengaytirishdir:

# /etc/ppp/options.pptpd
lcp-echo-failure 30
lcp-echo-interval 5
# then
sudo systemctl restart pptpd

Besh soniyalik intervalda o‘ttiz o‘tkazib yuborish qisqa to‘xtashni kechiradi, hamkorni ketdi deb e’lon qilish o‘rniga. Sonni bir yoki ikkiga tushirish tarjima qilingan yo‘lda oddiy jitterni taxminan har daqiqada uzilishga aylantiradi. Serveringiz pptpd o‘rniga Windows RRAS bo‘lsa, uning o‘rniga PPP sessiyasining taym-auti va bo‘sh turganda uzish siyosatiga qarang. Ular boshqa joyda yashaydi va mavjud bo‘lmagan pppd faylini tahrirlash hech narsani o‘zgartirmaydi.

Qoplangan quyi tarmoqlar ma’lumot yo‘lini buzadi

PPTP tunnel toza autentifikatsiyadan o‘tib, baribir hech qayerga yetmasligi mumkin, agar ikkala sayt bir xil xususiy diapazondan foydalansa, masalan ofisda va uyda 192.168.1.0/24. Mijoz berilgan manzil qaysi hostga tegishli ekanini ayta olmaydi va ba’zi steklar bittasini tanlash o‘rniga marshrutni umuman o‘rnatishdan bosh tortadi.

Buni loyihalash nuqsoni deb qarang va bir tomonni qayta raqamlang yoki mijozga ataylab tarjima qilingan kirish diapazonini bering. PPTP mijozini disk raskadrovka qilish ikki marta mavjud manzil maydonini tuzata olmaydi va alomat tasodifiy uzilishdek ko‘rinaveradi.

Muvaffaqiyatsiz bo‘lgan bosqichdan boshlang: 800 uchun GRE, 812 uchun usul va hisob satri, jadval bo‘yicha o‘ladigan tunnel uchun aks-sado sozlamalari.