NAT 后面的多个 VPN 连接

Question

我有以下问题：

我有一个 Windows 2003 RAS VPN 服务器，在防火墙后面配置了一个 Nic（我们称之为 LAN1）（我们称之为公共地址 WAN1）。 PPTP & L2TP 端口被转发到服务器。

当防火墙 (LAN2) 后面的远程网络中的客户端（Windows 或 LINUX）尝试连接到 WAN1 上的 PPTP VPN 时，一切正常。

当同一 LAN2 中的第二个客户端尝试连接到同一 WAN1 上的同一 VPN 时，我收到错误 629。

这与哪台机器获得第一个连接无关。

显然问题也与 LAN2 的路由器/防火墙硬件无关（我们已经从至少五种不同类型的远程小型路由器/防火墙-linksys、huawey、d-link 等进行了测试）

防火墙 WAN1 监听两个互联网连接。问题与客户端指向的外部地址无关（即使两个不同的工作站指向不同的 IP 地址以尝试建立 vpn）。

在 LAN1 内部，没有这样的限制，多个工作站可以正常连接。

也没有来自不同远程局域网的限制。

这是 PPTP 协议的限制吗？

提前感谢。

Answer 1

从您的描述看来，问题出在远程端。您提到当 LAN2 的第二个用户尝试访问 WAN1 上的同一 VPN 服务器时，您会收到错误消息。

根据所使用的防火墙机制，可能存在关于 PPTP 连接跟踪和多个 VPN 连接到同一服务器地址的“限制”。

Google: pptp multiple connections to same ip

由于 NAT 跟踪 PPTP 连接的方式，需要加载特定模块才能处理到单个服务器的多个连接。

如果它基于 netfilter，请确保已加载“nf_conntrack_pptp”和“nf_nat_pptp”。