Diese Woche hatte habe ich mehr als eine Stunde damit verbracht eine PPTP-Verbindung wieder zum Laufen zu bekommen. Nach dem Update von Windows Vista von SP1 auf SP2 ließ sich keine Verbindung mehr mit dem Server herstellen. Mit etwas Glück hatte Windows ab und an den Fehler 741 ausge­geben.

Analyse

Eine genauere Analyse mit Wireshark hat gezeigt, dass der PPTP-Server die Verbindung auflegt, nachdem er gemeldet hat, dass er maximal 0 Sessions akzep­tieren würde. Dies deutet also darauf hin, dass sich der Client und der Server bei der Wahl des Verschlüs­se­lungs­pro­to­kolls nicht einig werden. Hmh, könnte es etwa sein, dass der Adminis­trator MPPE-128 nicht zum funktio­nieren gekriegt hat und noch immer 40Bit-Verschlüsselung einsetzt? Ein wenig Recher­chieren im Internet bestä­tigte meine Vermutung: Windows Vista kennt einen Registry-Schlüssel mit dem sich die Nutzung der schwachen Verschlüs­selung deakti­vieren lässt.

Lösung

Im KB-Artikel 929857 zeigt Microsoft mehrere Lösungs­mög­lich­keiten für dieses Problem auf. Prinzi­piell ist der Parameter AllowPPTPWeakCrypto im Pfad HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters der Auslöser des Problems. Wird dieser auf 0 gesetzt, so sind die — definitiv unsicheren und nicht empfeh­lens­werten — schwachen Verschlüs­se­lungen deakti­viert. D.h. beim Aushandeln der Verschlüs­se­lungs­pro­to­kolle bietet Vista die schwache 40Bit-Verschlüsselung nicht an und wird sich daher mit dem VPN-Server (der nur diese nutzen kann) nicht einig. Um das Problem zu lösen genügt es daher, den Parameter in der Registry auf 1 zu setzen.