MikroTik PPTP val weg? Maak die roete na die bediener reg

'n RouterOS PPTP-kliënt verbind, stuur 'n bietjie verkeer deur en val dan dood, en die log lyk soos 'n probleem met geloofsbriewe of met die bediener. Dit is gewoonlik nie een van die twee nie. Die tonnel dra sy eie vervoerpakette omdat die roete na die bediener ook pas by die roete wat die tonnel geïnstalleer het. Die eweknie hoor niks meer van die router nie, en die sessie sterf terwyl die koppelvlak nog steeds sê dat dit op is.

Die regstelling is een roete, of een instelling, wat die bediener oor die fisiese WAN bereikbaar hou. Watter een dit is, hang daarvan af of die router 'n voltonnel-gweier moet wees.

Die simptoom: dit verbind, stuur verkeer, val dood

Die patroon herhaal hom by elke herverbinding, en dit is die eerste nuttige leidraad. 'n Verkeerde wagwoord misluk voordat die koppelvlak opkom, 'n fout in die firewall blokkeer gewoonlik een rigting, en 'n roetelus laat die koppelvlak opkom en wurg dit dan. Kyk na die tellers: die tonnel wys 'n uitbarsting van aanvanklike pakette en dan niks, terwyl die WAN-koppelvlak aanhou om ingekapselde kopieë te stuur. Dit is 'n router wat sy eie uitset terug in homself instuur.

PPTP maak dit maklik om te veroorsaak omdat die vervoer gewone IP na die bediener se adres is, nie 'n tonnel waarvan die ander punt op 'n ander subnet sit nie. Enigiets wat daardie adres herlei, herlei die vervoer saam daarmee.

Hoekom die tonnel sy eie pakette insluk

Wanneer die kliënt verbind, installeer dit 'n roete met die tonnelkoppelvlak as poort. As die profiel ook 'n verstekroete installeer, dan los elke bestemming sonder 'n meer spesifieke passing, insluitend die bediener se openbare adres, in die tonnel op. Die router kapsel die pakket in, adresseer die buitenste pakket na die bediener en soek die roete weer op: dieselfde bestemming, dieselfde verstek, dieselfde tonnel. Afhangend van die weergawe word daardie rekursie laat val, in die tou gesit of in 'n lus gedryf totdat die eweknie tou opgooi en die sessie afbreek.

Toestelverkopers voeg dikwels outomaties 'n gasheerrroete vir hulle eie bediener by, juis om dit te vermy. RouterOS aanvaar dit nie, so die operateur moet die uitsondering uitdruk of die verstekroete van meet af aan vermy.

Pen die bedieneradres aan die WAN vas

Voeg die smalste moontlike roete by: 'n /32 vir die bediener se openbare adres, met die ISP-gweier as volgende sprong, op die koppelvlak wat die internet bereik. 'n /32 klop enige verstek op voorvoegsellengte, en 'n laer afstand wen as daar reeds 'n ander roete vir dieselfde voorvoegsel bestaan. Herverbind dan en bevestig dat die roete aktief is en nie net in die lys voorkom nie.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

As die ISP-gweier deur DHCP geleer word, gebruik die gweieradres wat DHCP geïnstalleer het, of bind die roete aan die koppelvlak as die weergawe dit ondersteun. 'n Hardgekodeerde gweier wat by die volgende huur verander, is 'n uitgestelde fout. Kontroleer die adres na 'n WAN-herverbinding, want dit is wanneer 'n verouderde gweier opduik en die tonnel weer begin val.

Of keer dat die tonnel die verstek opeis

'n Tak wat 'n enkele afgeleë LAN nodig het, moet die PPTP-profiel heeltemal weg van die verstekroete hou. Skakel daardie opsie in die kliëntprofiel af en voeg eerder 'n spesifieke roete vir die afgeleë voorvoegsel deur die tonnelkoppelvlak by. Gewone verkeer bly op die WAN, die tonnel se eie vervoer behou sy natuurlike pad, en die roetebeheer word makliker om te verduidelik. Dit is die beter ontwerp vir 'n tak wat een subnet nodig het, nie vir 'n router wat die werf se uitgang moet wees nie.

'n Voltonnel het sy eie vereistes: beleidsroetering vir gekose bronne, 'n plan vir terugkeerverkeer en 'n besluit oor wat gebeur wanneer die tonnel val. Niks daarvan word deur die gasheerrroete opgelos nie, wat net die vervoer aan die lewe hou.

Verifieer in lae en sluit dan die bestuursgat

Toets in lae: ping die bediener se openbare adres voor jy verbind, ping die afgeleë gweier nadat jy verbind het, ping dan 'n gasheer op die afgeleë LAN. Voeg masquerade op die tonnelkoppelvlak by as gashere agter die router antwoorde deur dit moet terugkry.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Herbegin dan die router of dwing 'n WAN-herverbinding en herhaal die drie pings, want 'n roete wat net in die lopende konfigurasie bestaan, sal nie oorleef nie. 'n Konfigurasie wat na 'n rugsteunlêer uitgevoer en later herstel word, is die ander plek waar dit breek, want die roete kan in die uitvoer ontbreek as dit tydens looptyd bygevoeg is.

Beperk laastens Winbox en webbeheer tot bekende bronadresse voordat jy enige VPN- of roeteverandering publiseer. 'n Router wat tonnels termineer, is 'n bestuursteiken, en poort 80 wat vir die wêreld oop is, is 'n groter bevinding as die roete wat jy pas reggemaak het.