PPTP nie działa – porty zablokowane

PPTP niedziałające (porty zablokowane) wskazuje na zablokowany port TCP 1723 lub protokół GRE przez zaporę sieciową routera.

Jak rozpoznać blokowanie PPTP przez sieć

Komunikat „PPTP nie działa – porty zablokowane” oznacza zwykle, że połączenie nie może przejść przez jeden z elementów infrastruktury sieciowej. PPTP korzysta z połączenia kontrolnego TCP na porcie 1723, ale samo zestawienie tunelu wymaga również protokołu GRE. GRE jest protokołem IP o numerze 47, dlatego nie działa jak usługa oczekująca na konkretnym porcie TCP lub UDP. Zablokowanie TCP 1723 uniemożliwia rozpoczęcie negocjacji, natomiast filtrowanie GRE może pozwolić na nawiązanie części połączenia, lecz uniemożliwić przesyłanie danych w tunelu.

Blokada może znajdować się na komputerze, routerze domowym, punkcie dostępowym, zaporze sieciowej operatora albo po stronie serwera VPN. W przypadku korzystania z translacji adresów NAT istotna jest także obsługa PPTP Passthrough. Router musi prawidłowo przekazywać zarówno połączenie TCP 1723, jak i powiązany ruch GRE. Samo przekierowanie portu TCP 1723 nie zawsze wystarcza, ponieważ GRE nie jest ruchem TCP i wymaga osobnej obsługi przez urządzenie sieciowe.

Różnica między portem TCP 1723 a protokołem GRE

Podczas zestawiania sesji klient PPTP najpierw łączy się z adresem serwera za pomocą TCP 1723. Kanał ten służy do wymiany komunikatów kontrolnych, między innymi do negocjowania parametrów tunelu. Jeżeli zapora odrzuca pakiety kierowane na port 1723, klient zazwyczaj zgłasza brak możliwości połączenia z serwerem lub przekroczenie czasu oczekiwania. Taki objaw można sprawdzić niezależnie od działania samego tunelu, ponieważ dotyczy wyłącznie warstwy TCP.

W systemie Windows dostępność kanału TCP można zweryfikować poleceniem Test-NetConnection -ComputerName adres_serwera -Port 1723. Wynik z TcpTestSucceeded : True potwierdza, że z danego komputera udało się nawiązać połączenie TCP z tym portem, ale nie potwierdza przepuszczania protokołu GRE. Wynik negatywny wskazuje na problem z trasą, serwerem nasłuchującym na porcie 1723 albo filtrowaniem TCP. Do sprawdzenia GRE potrzebne są logi zapory, przechwycenie pakietów lub test wykonany na routerze obsługującym ten protokół.

Wpływ routera, NAT i zapór sieciowych

W sieci domowej komputer zwykle korzysta z prywatnego adresu IPv4, a router tłumaczy połączenia na publiczny adres za pomocą NAT. PPTP jest problematyczne dla części mechanizmów NAT, ponieważ dane tunelu GRE nie zawierają numerów portów, które można łatwo przypisać do konkretnej sesji. Router wykorzystujący PPTP Passthrough rozpoznaje relację między kanałem TCP 1723 a pakietami GRE i na tej podstawie przekazuje ruch do właściwego urządzenia. Nieprawidłowa implementacja tej funkcji, jej wyłączenie albo konflikt z dodatkowymi regułami zapory może powodować rozłączanie tunelu po poprawnym uwierzytelnieniu.

Diagnostyka powinna obejmować porównanie połączenia z kilku sieci, na przykład z sieci lokalnej oraz z innego dostępu do Internetu. Jeżeli PPTP działa poza siecią domową, a nie działa przez konkretny router, podejrzenie pada na reguły zapory, filtrowanie GRE, NAT lub ustawienia przekazywania VPN. W routerze należy sprawdzić, czy dostępna jest funkcja PPTP Passthrough, czy nie ma reguły blokującej TCP 1723 oraz czy zapora nie odrzuca protokołu GRE. Nie należy utożsamiać otwartego portu TCP z pełną drożnością tunelu, ponieważ są to dwa różne rodzaje ruchu.

Na komputerze warto sprawdzić także lokalną zaporę systemową, aktywne programy ochronne oraz konfigurację samego połączenia VPN. Błąd może wynikać z wymuszonego profilu sieciowego, nieprawidłowego interfejsu, uszkodzonej konfiguracji klienta albo konfliktu z innym oprogramowaniem filtrującym pakiety. Jeżeli TCP 1723 jest dostępny, ale połączenie zatrzymuje się po rozpoczęciu negocjacji, szczególnie istotne staje się sprawdzenie GRE i obsługi NAT. W środowisku, w którym występuje kilka routerów, punktów dostępowych lub zapór, każdy z nich może wpływać na przepływ tego protokołu.

Znaczenie diagnostyki PPTP w laptopie lub komputerze PC

PPTP jest starszym protokołem VPN i nie powinien być automatycznie traktowany jako bezpieczny wybór dla nowych wdrożeń. Jego działanie zależy nie tylko od dostępności serwera, lecz także od zgodności klienta, mechanizmu uwierzytelniania, reguł zapory i obsługi GRE na całej trasie. W praktyce prawidłowa diagnoza wymaga rozdzielenia problemu na etapy: najpierw sprawdza się rozwiązywanie nazwy i trasę do serwera, następnie TCP 1723, później przepływ GRE, a na końcu uwierzytelnianie oraz konfigurację adresów przydzielanych po zestawieniu tunelu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z konfiguracją systemu, kartą sieciową, lokalną zaporą oraz połączeniami VPN w urządzeniach domowych i biurowych. Podczas sprawdzania usterki można ustalić, czy przyczyną jest komputer, router, reguła filtrowania, brak obsługi GRE, czy niedostępność samego serwera PPTP. Wyniki testów TCP nie powinny być interpretowane w oderwaniu od logów routera i informacji o etapie, na którym klient przerywa zestawianie połączenia.