Ubuntu 16.04 VPS搭建PPTP服务器后无法连接，求配置验证及故障排查步骤

你好，从你给出的服务状态和日志来看，PPTP服务本身已经正常运行，1723端口也在监听，但频繁出现的MGR: dropped slow initial connection日志是核心线索——这说明客户端和服务器的初始握手过程要么延迟过高，要么被阻断了。结合你提到多端都连不上的情况，我给你梳理一套逐步排查的实操步骤：

一、先排查防火墙与网络准入（最常见的坑） #

• 检查VPS本地防火墙：PPTP不仅需要开放TCP 1723端口，还需要放行GRE协议（IP协议号47），很多人只开了端口却漏掉了协议：
  • 如果用ufw，执行这两条命令：

    sudo ufw allow 1723/tcp
    sudo ufw allow proto gre from any to any
    sudo ufw reload
    

  • 如果用iptables，执行iptables -L -n查看现有规则，确认有针对tcp dpt:1723和proto gre的ACCEPT规则，没有的话手动添加。
• 检查VPS服务商的安全组/防火墙：这一步很容易被忽略！像阿里云、AWS、DigitalOcean这类服务商都有自己的云安全组，需要在服务商的控制台里，同时开放TCP 1723端口和GRE协议，否则本地防火墙开了也没用。

二、验证PPTP核心配置文件 #

• 打开/etc/pptpd.conf，确认以下参数：
  • localip：服务器端的VPN内网IP，比如192.168.0.1（要保证这个网段和VPS的公网/内网网段不冲突）
  • remoteip：分配给客户端的IP范围，比如192.168.0.10-100
  • 确保option /etc/ppp/pptpd-options这一行没有被注释，这个文件是PPP协议的核心配置。
• 打开/etc/ppp/pptpd-options，检查关键项：
  • ms-dns：设置可用的DNS服务器，比如ms-dns 8.8.8.8和ms-dns 8.8.4.4，避免客户端连上网后无法解析域名。
  • require-mschap-v2：这个选项必须开启，Windows客户端默认用MSCHAPv2认证，没开的话会直接认证失败。
  • proxyarp：确保开启，这个能让客户端通过服务器的网络访问外部。

三、检查内核IP转发与NAT配置 #

• PPTP需要内核开启IP转发，执行cat /proc/sys/net/ipv4/ip_forward，如果输出是0，说明没开启：
  • 编辑/etc/sysctl.conf，把net.ipv4.ip_forward=1的注释去掉，然后执行sudo sysctl -p生效。
• 配置NAT（IP伪装），让客户端能通过服务器的公网IP访问互联网：

  # 先替换eth0为你的VPS公网网卡名（用ip addr查看）
  sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
  # 保存规则，避免重启后丢失
  sudo iptables-save > /etc/iptables.rules
  

四、通过日志定位具体错误 #

• 开启PPTP调试日志：编辑/etc/pptpd.conf，添加debug选项，然后重启服务sudo systemctl restart pptpd。
• 实时查看系统日志：执行tail -f /var/log/syslog，然后用客户端尝试连接，观察日志里的具体错误（比如认证失败、PPP协商超时、GRE包丢失等）。
• 客户端侧排查：Windows客户端连接失败时会给出错误代码，比如：
  • 错误619：大概率是1723端口或GRE协议被阻断
  • 错误800：无法建立VPN连接，可能是网络不通或服务器配置错误

五、测试基础网络连通性 #

• 用客户端测试端口连通性：执行telnet 你的VPS公网IP 1723，如果连接失败，说明端口确实被阻断，回到第一步排查防火墙。
• 测试网络链路质量：用mtr或traceroute工具，从客户端到VPS的公网IP，查看中间节点的丢包率，如果丢包严重，可能是运营商链路问题导致握手超时（对应日志里的dropped slow initial connection）

先从防火墙和安全组这个最容易踩坑的地方入手，再逐步验证配置和内核参数，结合日志应该能很快定位到问题。

备注：内容来源于stack exchange，提问作者Mike IT Expert