VPN oparty na PPTP nie działa

VPN oparty na PPTP niedziałający wskazuje na zablokowany port TCP 1723 lub protokół GRE przez zaporę sieciową routera.

Jak działa połączenie VPN oparte na PPTP

PPTP, czyli Point-to-Point Tunneling Protocol, zestawia połączenie VPN z wykorzystaniem dwóch odrębnych elementów komunikacji. Kanał kontrolny korzysta z protokołu TCP na porcie 1723. Przez ten kanał urządzenia uzgadniają parametry sesji i sterują jej zestawieniem. Właściwe pakiety tunelowanego połączenia nie są jednak przenoszone przez TCP 1723, lecz przez GRE, czyli Generic Routing Encapsulation. GRE jest protokołem IP o numerze 47, a nie portem TCP ani UDP. Z tego powodu samo otwarcie portu 1723 nie wystarcza, jeśli zapora lub router odrzuca pakiety GRE.

W środowisku Windows PPTP może dodatkowo używać MPPE, czyli Microsoft Point-to-Point Encryption, do szyfrowania danych przenoszonych w tunelu. Uwierzytelnianie po stronie PPP może korzystać między innymi z MS-CHAP v2, ale jego poprawne przejście nie naprawi problemu z filtrowaniem GRE. Połączenie może więc zatrzymać się na etapie negocjacji, rozłączyć po chwili albo zgłaszać błąd mimo prawidłowego adresu serwera i poprawnych danych logowania. Objawy zależą od tego, czy blokowany jest kanał kontrolny TCP, ruch GRE, negocjacja PPP czy samo uwierzytelnianie.

Dlaczego otwarty port TCP 1723 nie zawsze wystarcza

Najczęstszą przyczyną niedziałającego PPTP jest częściowe przepuszczanie ruchu. Router albo zapora sieciowa może zezwalać na wychodzące połączenie TCP do portu 1723, ale odrzucać protokół GRE. W takim przypadku klient odnajduje serwer i może rozpocząć zestawianie sesji, lecz nie otrzymuje pakietów potrzebnych do utworzenia tunelu. W logach urządzenia sieciowego warto szukać osobnych wpisów dotyczących TCP/1723 oraz GRE protocol 47, ponieważ te dwa rodzaje ruchu są filtrowane niezależnie.

Problem może wystąpić także przy translacji adresów NAT. PPTP przenosi informacje o identyfikatorach połączeń w komunikatach kontrolnych, a router musi prawidłowo skojarzyć ruch GRE z odpowiednią sesją TCP. Funkcja określana w interfejsach urządzeń jako PPTP passthrough, PPTP helper albo ALG może w tym pomagać, ale jej działanie zależy od konkretnego oprogramowania routera. Wadliwa implementacja tej funkcji, podwójny NAT lub kilka routerów pracujących kaskadowo może powodować rozłączanie tunelu. Jeżeli połączenie przechodzi przez firmową zaporę, filtr operatora albo publiczny hotspot, ograniczenie może znajdować się poza lokalnym routerem i nie da się go usunąć zmianą ustawień samego komputera.

Rozróżnienie blokady sieciowej od błędu konfiguracji

Diagnostykę należy rozpocząć od ustalenia, na którym etapie kończy się połączenie. Brak odpowiedzi serwera na TCP 1723 wskazuje na niedostępność hosta, błędny adres, wyłączoną usługę albo filtr portu. Nawiązanie TCP przy jednoczesnym braku przepływu GRE wskazuje na zaporę, NAT lub funkcję PPTP passthrough. Jeżeli GRE przechodzi, ale serwer odrzuca sesję po rozpoczęciu negocjacji PPP, przyczyną mogą być niezgodne metody uwierzytelniania, błędne dane konta, wyłączone MPPE albo niezgodna konfiguracja serwera.

W systemie Windows można sprawdzić podstawową dostępność hosta poleceniem Test-NetConnection -ComputerName adres_serwera -Port 1723. Wynik pozytywny potwierdza możliwość zestawienia połączenia TCP z podanym portem, ale nie potwierdza poprawnego przejścia GRE. Do pełnej oceny potrzebny jest przechwycony ruch sieciowy lub log zapory pokazujący protokół IP 47. Warto również porównać zachowanie połączenia z dwóch różnych sieci, na przykład z sieci domowej i przez udostępnianie internetu z telefonu. Jeżeli PPTP działa tylko w jednej z nich, podejrzenie blokady po stronie routera, operatora albo zapory staje się silniejsze. Taki test nie dowodzi jednak samodzielnie, że serwer VPN jest prawidłowo skonfigurowany, dlatego należy zestawić go z logami klienta i serwera.

Postępowanie przy niesprawnym tunelu PPTP

Jeżeli urządzenie sieciowe ma osobną opcję obsługi PPTP, należy sprawdzić jej stan oraz aktualną wersję oprogramowania routera. Przy kilku warstwach NAT trzeba ustalić, które urządzenie wykonuje translację i gdzie kończy się publiczny adres IPv4. Przekierowanie samego TCP 1723 może być niewystarczające, ponieważ GRE nie jest usługą portową i wymaga obsługi protokołu IP 47. Zmiany w zaporze powinny być ograniczone do właściwego kierunku ruchu i konkretnego serwera, a po ich wykonaniu należy ponownie sprawdzić logi oraz stabilność połączenia.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i podzespołów, w tym diagnostykę problemów z konfiguracją systemu, kartą sieciową oraz połączeniem z urządzeniami sieciowymi. Przy zgłoszeniu dotyczącym PPTP potrzebne są informacje o komunikacie błędu, rodzaju używanego routera, sposobie dostępu do internetu, adresie serwera VPN oraz tym, czy inne urządzenia mogą zestawić ten sam tunel. Takie dane pozwalają oddzielić usterkę laptopa lub komputera od blokady w zaporze, błędu translacji NAT albo nieprawidłowej konfiguracji usługi po stronie serwera.