MikroTik PPTP puca? Popravite rutu do servera

PPTP klijent na RouterOS-u se poveže, prenese malo saobraćaja i onda stane, a log izgleda kao problem s vjerodajnicama ili sa serverom. Obično nije ni jedno ni drugo. Tunel nosi vlastite transportne pakete jer se ruta do servera poklapa i s rutom koju je tunel instalirao. Druga strana prestane čuti ruter, a sesija umre dok interfejs još tvrdi da je aktivan.

Popravka je jedna ruta, ili jedna postavka, koja drži server dostupnim preko fizičkog WAN-a. Koja od njih zavisi od toga da li ruter treba da bude gateway za puni tunel.

Simptom: poveže se, prenese saobraćaj, umre

Obrazac se ponavlja pri svakom ponovnom povezivanju i to je prvi koristan trag. Odbijena lozinka pada prije nego što se interfejs digne, pogrešna konfiguracija firewalla obično blokira jedan smjer, a petlja rutiranja pusti interfejs da se uspostavi i onda ga uguši. Gledajte brojače: tunel pokaže prasak početnih paketa i onda ništa, dok WAN interfejs nastavlja slati enkapsulirane kopije. To je ruter koji vlastiti izlaz vraća sam u sebe.

PPTP to lako izaziva jer je transport obični IP do adrese servera, a ne tunel čiji drugi kraj leži u drugoj podmreži. Sve što preusmjeri tu adresu preusmjeri i transport s njom.

Zašto tunel guta vlastite pakete

Kad se klijent poveže, instalira rutu čiji je gateway interfejs tunela. Ako profil instalira i zadanu rutu, onda se svako odredište bez specifičnijeg poklapanja, uključujući javnu adresu servera, razrješava prema tunelu. Ruter enkapsulira paket, adresira vanjski paket prema serveru i ponovo traži rutu: isto odredište, isti default, isti tunel. Zavisno od verzije, ta rekurzija se odbacuje, stavlja u red ili vrti u petlji dok druga strana ne odustane i ne prekine sesiju.

Proizvođači uređaja često automatski dodaju host rutu za vlastiti server, upravo da bi ovo izbjegli. RouterOS to ne pretpostavlja, pa operater mora izraziti izuzetak ili od početka izbjegavati zadanu rutu.

Prikvačite adresu servera na WAN

Dodajte najužu moguću rutu: /32 za javnu adresu servera, sa gatewayom provajdera kao sljedećim skokom, na interfejsu koji izlazi na internet. /32 pobjeđuje svaki default po dužini prefiksa, a manja distanca pobjeđuje ako već postoji druga ruta za isti prefiks. Zatim se ponovo povežite i potvrdite da je ruta aktivna, a ne samo prisutna na listi.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Ako se gateway provajdera uči preko DHCP-a, koristite adresu gatewaya koju je DHCP instalirao, ili zavežite rutu za interfejs ako verzija to podržava. Hardkodiran gateway koji se promijeni pri sljedećem najmu je odgođeni kvar. Provjerite adresu poslije ponovnog povezivanja WAN-a, jer tada se pojavi zastario gateway i tunel ponovo počne padati.

Ili spriječite da tunel prisvoji default

Ogranak kojem treba jedna udaljena lokalna mreža treba držati PPTP profil potpuno dalje od zadane rute. Isključite tu opciju u profilu klijenta i umjesto toga dodajte specifičnu rutu za udaljeni prefiks kroz interfejs tunela. Obični saobraćaj ostaje na WAN-u, vlastiti transport tunela zadržava prirodan put, a tablica rutiranja postaje lakša za objasniti. To je bolji dizajn za ogranak kojem treba jedna podmreža, ne za ruter koji treba biti izlaz lokacije.

Puni tunel ima svoje zahtjeve: političko rutiranje za odabrane izvore, plan za povratni saobraćaj i odluku o tome šta se dešava kad tunel padne. Ništa od toga ne rješava host ruta, koja samo drži transport živim.

Provjerite po slojevima, pa zatvorite rupu u upravljanju

Testirajte po slojevima: pingajte javnu adresu servera prije povezivanja, pingajte udaljeni gateway poslije povezivanja, pa pingajte host na udaljenoj lokalnoj mreži. Dodajte masquerade na interfejs tunela ako hostovi iza rutera trebaju da im odgovori stižu kroz njega.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Zatim restartujte ruter ili prisilite ponovno povezivanje WAN-a i ponovite tri pinga, jer ruta koja postoji samo u pokrenutoj konfiguraciji neće preživjeti. Konfiguracija izvezena u datoteku sigurnosne kopije i kasnije vraćena je drugo mjesto gdje se ovo lomi, jer ruta može nedostajati u izvozu ako je dodana u toku rada.

Na kraju, ograničite Winbox i web upravljanje na poznate izvorne adrese prije objavljivanja bilo kakve promjene VPN-a ili rute. Ruter koji terminira tunele je meta za upravljanje, a port 80 otvoren prema svijetu veći je nalaz od rute koju ste upravo popravili.