PPTP qua hotspot: TCP 1723 chỉ là một nửa

Làm lần lượt các bước kiểm tra: kết nối điều khiển có mở không, GRE có sống sót qua đường đi không, máy chủ có nhận cuộc gọi không và quá trình xác thực có hoàn tất không. Một máy khách PPTP cần cả phiên TCP trên 1723 lẫn đường GRE chở dữ liệu, và hotspot có thể cho một đường qua rồi đánh rơi đường kia. Làm theo thứ tự sẽ cho biết nên điều tra ranh giới nào thay vì đoán. Các mã lỗi của Windows không làm việc đó giúp bạn.

GRE là giao thức IP 47. Đây không phải cổng 47 của TCP hay UDP, và sự khác biệt đó giải thích phần lớn nhầm lẫn về tường lửa.

Hai đường, một kết nối

Kết nối điều khiển là một phiên TCP thông thường tới cổng đích 1723, mà hầu hết các mạng cho phép mà không phàn nàn. Đường dữ liệu là GRE, giao thức 47, và một tường lửa cho phép cái đầu có thể hoàn toàn không biết gì về cái sau. Sự kết hợp đó tạo ra một máy khách trông như đang khởi động rồi không chở gì cả, một triệu chứng ít thông tin hơn nhiều so với kết nối bị từ chối. Hãy kiểm tra riêng từng đường trước khi kết luận bất cứ điều gì về nhà mạng.

Việc dịch địa chỉ thêm yêu cầu riêng. Các cổng chia sẻ cổng thường cần một ALG hiểu PPTP để viết lại các định danh cuộc gọi cùng với địa chỉ, và một cổng không có nó có thể làm hỏng phiên theo cách trông như mất gói. Hành vi đó phổ biến nhưng phụ thuộc vào cách triển khai, nên hãy coi bất kỳ giới hạn nào của nhà cung cấp là ví dụ chứ không phải thuộc tính của mọi hotspot.

Hotspot thêm hai ranh giới nữa

Lưu lượng của máy khách thường đi qua NAT chia sẻ của chính điện thoại rồi qua bản dịch ở cấp nhà mạng trước khi tới máy chủ. Một quy tắc trên router văn phòng không thể sửa một hộp trung gian thuộc về người khác, đó là lý do chuyển tiếp cổng phía nhà hiếm khi giúp ích. Máy khách đi ra cũng không cần mở cổng vào; các phản hồi cho một kết nối đã dịch quay về qua trạng thái mà cổng đã tạo. Một máy chủ đặt sau NAT có bộ yêu cầu hoàn toàn khác.

Một mục menu có nhãn PPTP passthrough, nếu có, quyết định cách thiết bị đó xử lý giao thức này. Đây không phải cùng một tính năng với việc lưu trữ VPN trên điện thoại hay chuyển tiếp mọi giao thức vô điều kiện, và việc bật nó không phải là sự cho phép chung để cho GRE đi qua.

Đọc 807 như một gián đoạn, không phải phán quyết

Windows báo 807 là kết nối bị gián đoạn, điều này mô tả kết quả chứ không phải nguyên nhân. Bảng lỗi của nó xử lý 806 riêng như nhóm liên quan đến GRE, và sự khác biệt đó đáng để biết trước khi dựng một giả thuyết. Không con số nào cho thấy nhà mạng có lọc giao thức 47 hay không, máy chủ có hết dung lượng hay không, hoặc thông tin đăng nhập có đúng hay không. Lỗi nói phiên đã kết thúc; đường đi nói ở đâu.

Một thử nghiệm trình duyệt thành công trên hotspot chỉ chứng minh rằng một đường ứng dụng thông thường hoạt động. Nó không nói gì về GRE.

Cô lập giai đoạn đã thất bại

Giữ cố định laptop, máy chủ và hồ sơ, sau đó chỉ đổi mạng truy cập sang một mạng đã được phê duyệt khác. Nếu kết quả thay đổi, hãy bắt các trao đổi TCP và GRE tại các ranh giới bạn kiểm soát và tìm giai đoạn sớm nhất không bao giờ xảy ra: thiết lập điều khiển, chuẩn bị cuộc gọi, phân phối dữ liệu hoặc xác thực PPP. Mỗi giai đoạn để lại một chữ ký khác trong bản ghi. So sánh một mạng đang hoạt động với một mạng thất bại mang lại nhiều thông tin hơn là đọc lại văn bản lỗi.

Tất cả những điều này chẩn đoán một triển khai đã tồn tại. Đây không phải là lập luận để dựng một dịch vụ PPTP mới, và giao thức không thể bị lách qua thương lượng: cài một máy khách khác không khiến một máy chủ không thay đổi nói điều gì khác.

Để truy cập lâu dài, hãy thống nhất một cuộc di chuyển được hỗ trợ với người sở hữu VPN. Danh sách kiểm tra kết thúc bằng một quyết định chứ không phải một giải pháp tạm thời.