عملاء PPTP في DD-WRT لا يصل بعضهم إلى بعض: خمسة فحوص

حاسوبان محمولان يتصلان بخادم PPTP على جهاز DD-WRT، ويحصل كل منهما على عنوان، ولا يستطيع أي منهما الوصول إلى الآخر. لا تظهر المجلدات المشتركة أبداً، وأول ما يخطر في البال أن القناع 255.255.255.255 الذي يمنحه الموجه لا بد أن يكون خطأ. لكنه ليس سبب المشكلة، وتغييره لن يخلق جاراً واحداً جديداً. نفّذ الفحوص الخمسة أدناه بالترتيب وتوقف بمجرد أن يفشل أحدها، لأن لكل منها علاجاً مختلفاً.

الفحص الأول: القناع /32 ليس العيب

ينقل PPTP بروتوكول PPP، ووصلة PPP تجمع طرفين بالضبط: العميل والخادم. يصف قناع الشبكة العناوين التي تتشارك مقطعاً محلياً، ولا يوجد مقطع هنا، بل فقط القرين في الطرف البعيد من سلك واحد. وقناع من الآحاد فقط يقول ذلك بالضبط، لذا يمنح DD-WRT القيمة الصحيحة لنوع الوصلة. والعنوان هو عنوان قرين، لا عنوان واجهة على شبكة محلية.

القناع 255.255.255.0 مكانه وسيط مشترك فيه مئات الأجهزة، ووضعه على واجهة PPP لن يجعل الطرف الآخر من النفق جاراً أيضاً.

الفحص الثاني: اقرأ القيم في صفحة خادم PPTP

كل الإعدادات المهمة موجودة في الخدمات ثم VPN ثم خادم PPTP. فعّل الخادم، واضبط عنوان الخادم على عنوان الشبكة المحلية للموجه، وأبقِ نطاق العملاء خارج مسبح DHCP حتى لا يحصل عميل متصل هاتفياً وجهاز سلكي على العنوان نفسه. أضف تحت CHAP-Secrets سطراً واحداً لكل حساب بالصيغة username * password *، دون مسافات داخل الاسم. طبّق ثم اتصل بملف تعريف يذكر الموجه وأحد تلك الحسابات.

المكان الذي يتوقف عنده العميل يخبرك أي طبقة تفحص. العميل الذي ينجح في المصادقة ولا يحصل على عنوان يعاني مشكلة في المسبح أو في الأسرار؛ والعميل الذي يحصل على عنوان ولا يصل إلى شيء يعاني مشكلة في التوجيه أو في الجدار الناري.

الفحص الثالث: ابحث عن مسار بين القرينين

كل نفق ينتهي عند الموجه هو واجهة خاصة به، وعادة ما تكون ppp0 وppp1 وهكذا. يجب توجيه حركة المرور من عميل إلى الآخر بين تلك الواجهات، ويجب أن يكون الموجه مستعداً لتمريرها. نفّذ ip route على الموجه وابحث عن مسار مضيف لكل قرين متصل يشير إلى واجهة PPP المطابقة. وإذا كان أحد القرينين يفتقد مساراً، فالنفق ليس قائماً بالكامل مهما ادّعت شاشة حالة العميل.

مساران للمضيف نحو واجهتي ppp منفصلتين هو الشكل الذي تريده قبل أن تمضي أبعد.

الفحص الرابع: افحص سلسلة FORWARD لا INPUT

حركة المرور بين عميل وعميل تُمرَّر ولا تُقبل محلياً، لذا فسلسلة INPUT ليست المكان الصحيح للنظر. نفّذ iptables -L FORWARD -v -n وابحث عن قاعدة إسقاط تلتقط واجهات PPP، وعن عدادات الحزم التي تُظهر هل يصل شيء إلى السلسلة أصلاً. سياسة إسقاط افتراضية بلا قاعدة قبول لحركة النفق تنتج تماماً العَرَض الذي بدأت به: كل عميل وحده بخير، ومعاً لا يرى أحدهما الآخر.

إذا نجحت رنّات ping الصغيرة وتوقفت النقلات الكبيرة، فالنفق يتجزأ لا يُحجب. يحتاج PPTP فوق PPP عادة إلى MTU وMRU حول 1450، وتركهما عند 1500 يمنحك وصلة تمرر المصافحات وتفشل في الحمولات الحقيقية.

الفحص الخامس: قرّر ما ينبغي أن يفعله الوصول إلى الإنترنت

العملاء المقصود منهم التصفح عبر المكتب يحتاجون ترجمة عنوان المصدر نحو واجهة WAN. والعملاء المقصود منهم الوصول إلى الشبكة المحلية فقط يحتاجون مساراً ولا شيء غير ذلك. هاتان نيتان مختلفتان بمجموعتَي قواعد مختلفتين، ومسألة القناع تميل إلى إخفاء هذا القرار الثاني تماماً. اكتب أي سلوك أردته قبل أن تضيف قاعدة واحدة، لأن عميلاً يخرج على غير المتوقع عبر خط المكتب مفاجأة تظهر في اجتماع لا في سجل.

ملاحظة أخيرة لا علاقة لها بالإصلاح: PPTP مهجور ومصادقته مكسورة منذ سنوات. قائمة الفحص أعلاه ما زالت تشرح ما تفعله وصلة PPP، والمنطق نفسه ينطبق إن نقلت العملاء لاحقاً إلى نفق حديث.