MikroTik PPTP padá? Opravte trasu k serveru

PPTP klient v RouterOS se připojí, přenese trochu provozu a pak přestane, a log vypadá jako problém s přihlašovacími údaji nebo se serverem. Obvykle není ani jedno. Tunel nese vlastní transportní pakety, protože trasa k serveru odpovídá i trase, kterou tunel nainstaloval. Protistrana přestane router slyšet a relace umře, zatímco rozhraní stále tvrdí, že je aktivní.

Oprava je jedna trasa, nebo jedno nastavení, které udrží server dostupný přes fyzický WAN. Která z nich, závisí na tom, zda má být router bránou plného tunelu.

Příznak: připojí se, přenese provoz, umře

Vzor se opakuje při každém opětovném připojení, a to je první užitečná stopa. Odmítnuté heslo selže dřív, než rozhraní naskočí, chybná konfigurace firewallu obvykle zablokuje jeden směr a smyčka směrování nechá rozhraní navázat spojení a pak ho uškrtí. Sledujte čítače: tunel ukáže záchvěv počátečních paketů a pak nic, zatímco rozhraní WAN dál vysílá zapouzdřené kopie. To je router, který krmí vlastní výstup zpátky do sebe.

PPTP to snadno spustí, protože transport je prosté IP na adresu serveru, ne tunel, jehož vzdálený konec leží v jiné podsíti. Cokoli přesměruje tuto adresu, přesměruje s ní i transport.

Proč tunel polyká vlastní pakety

Když se klient připojí, nainstaluje trasu, jejíž brána je rozhraní tunelu. Pokud profil nainstaluje i výchozí trasu, pak se každé cílové místo bez konkrétnější shody, včetně veřejné adresy serveru, vyhodnotí směrem do tunelu. Router paket zapouzdří, vnější paket adresuje serveru a znovu hledá trasu: stejný cíl, stejná výchozí trasa, stejný tunel. Podle verze se tato rekurze zahodí, zařadí do fronty nebo se zacyklí, dokud protistrana nevzdá a relaci nepřeruší.

Výrobci zařízení často automaticky přidávají hostitelskou trasu pro svůj vlastní server, právě aby tomu předešli. RouterOS to nepředpokládá, takže operátor musí výjimku vyjádřit nebo se výchozí trase vyhnout hned na začátku.

Připněte adresu serveru na WAN

Přidejte co nejužší trasu: /32 pro veřejnou adresu serveru, s bránou poskytovatele jako dalším skokem, na rozhraní, které vede k internetu. /32 porazí každou výchozí trasu délkou prefixu a nižší vzdálenost vyhraje, pokud pro stejný prefix už existuje jiná trasa. Pak se znovu připojte a potvrďte, že trasa je aktivní, ne jen přítomná v seznamu.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Pokud se brána poskytovatele učí přes DHCP, použijte adresu brány, kterou nainstaloval DHCP, nebo připněte trasu k rozhraní, pokud to verze podporuje. Natvrdo zadaná brána, která se změní při dalším pronájmu, je odložená závada. Zkontrolujte adresu po opětovném připojení WAN, protože tehdy se objeví zastaralá brána a tunel začne znovu padat.

Nebo zabraňte tunelu nárokovat výchozí trasu

Pobočka, která potřebuje jednu vzdálenou LAN, má držet PPTP profil úplně stranou od výchozí trasy. Vypněte tuto volbu v profilu klienta a místo toho přidejte konkrétní trasu pro vzdálený prefix přes rozhraní tunelu. Běžný provoz zůstává na WAN, vlastní transport tunelu si drží přirozenou cestu a směrovací tabulka se snáz vysvětluje. To je lepší návrh pro pobočku, která potřebuje jednu podsíť, ne pro router, který má být výstupem lokality.

Plný tunel má své požadavky: směrování podle politik pro vybrané zdroje, plán pro zpětný provoz a rozhodnutí, co se stane, když tunel spadne. Nic z toho neřeší hostitelská trasa, která jen drží transport naživu.

Ověřte po vrstvách a pak zavřete díru ve správě

Testujte po vrstvách: pingněte veřejnou adresu serveru před připojením, pingněte vzdálenou bránu po připojení, pak pingněte hostitele ve vzdálené LAN. Přidejte masquerade na rozhraní tunelu, pokud hostitelé za routerem potřebují, aby se odpovědi vracely skrz něj.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Potom restartujte router nebo vynuťte opětovné připojení WAN a zopakujte tři pingy, protože trasa, která existuje jen v běžící konfiguraci, nepřežije. Konfigurace vyexportovaná do záložního souboru a později obnovená je druhé místo, kde se to láme, jelikož trasa může v exportu chybět, pokud byla přidána za běhu.

Nakonec omezujte Winbox a webovou správu na známé zdrojové adresy, než zveřejníte jakoukoli změnu VPN nebo trasy. Router, který ukončuje tunely, je cíl správy, a port 80 otevřený do světa je větší nález než trasa, kterou jste právě opravili.