MikroTik PPTP bricht ab? Reparieren Sie die Route zum Server

Ein PPTP-Client unter RouterOS verbindet, überträgt ein wenig Verkehr und verstummt dann, und das Protokoll sieht nach einem Problem mit den Zugangsdaten oder dem Server aus. Meist ist es keines von beiden. Der Tunnel trägt seine eigenen Transportpakete, weil die Route zum Server auch auf die Route passt, die der Tunnel installiert hat. Die Gegenseite hört nichts mehr vom Router, und die Sitzung stirbt, während die Schnittstelle weiterhin behauptet, aktiv zu sein.

Die Lösung ist eine Route oder eine Einstellung, die den Server über das physische WAN erreichbar hält. Welche, hängt davon ab, ob der Router ein Gateway für einen vollständigen Tunnel sein soll.

Das Symptom: verbindet, überträgt Verkehr, stirbt

Das Muster wiederholt sich bei jeder Neuverbindung, und das ist der erste brauchbare Hinweis. Ein abgelehntes Passwort scheitert, bevor die Schnittstelle hochkommt, eine falsche Firewall-Konfiguration blockiert meist eine Richtung, und eine Routingschleife lässt die Schnittstelle zustande kommen und erwürgt sie dann. Beobachten Sie die Zähler: Der Tunnel zeigt einen Schub erster Pakete und danach nichts, während die WAN-Schnittstelle weiter gekapselte Kopien sendet. Das ist ein Router, der seine eigene Ausgabe in sich selbst zurückfüttert.

PPTP macht das leicht auslösbar, weil der Transport schlichtes IP zur Adresse des Servers ist, kein Tunnel, dessen Gegenstelle in einem anderen Subnetz liegt. Alles, was diese Adresse umleitet, leitet den Transport mit um.

Warum der Tunnel seine eigenen Pakete verschluckt

Beim Verbinden installiert der Client eine Route, deren Gateway die Tunnelschnittstelle ist. Installiert das Profil zusätzlich eine Standardroute, dann landet jedes Ziel ohne spezifischere Übereinstimmung, einschließlich der öffentlichen Adresse des Servers, im Tunnel. Der Router kapselt das Paket, adressiert das äußere Paket an den Server und schlägt die Route erneut nach: gleiches Ziel, gleiche Standardroute, gleicher Tunnel. Je nach Version wird diese Rekursion verworfen, eingereiht oder in eine Schleife geschickt, bis die Gegenseite aufgibt und die Sitzung abbaut.

Gerätehersteller fügen oft automatisch eine Hostroute für ihren eigenen Server hinzu, genau um das zu vermeiden. RouterOS setzt das nicht voraus, also muss der Betreiber die Ausnahme ausdrücken oder die Standardroute von vornherein vermeiden.

Nageln Sie die Serveradresse an das WAN

Fügen Sie die engste mögliche Route hinzu: ein /32 für die öffentliche Adresse des Servers, mit dem Gateway des Providers als nächstem Hop, auf der Schnittstelle, die ins Internet reicht. Ein /32 schlägt jede Standardroute über die Präfixlänge, und eine geringere Distanz gewinnt, wenn bereits eine andere Route für dasselbe Präfix existiert. Verbinden Sie dann neu und bestätigen Sie, dass die Route aktiv ist und nicht nur in der Liste steht.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Wird das Provider-Gateway per DHCP gelernt, nehmen Sie die Gateway-Adresse, die DHCP installiert hat, oder binden Sie die Route an die Schnittstelle, wenn die Version das unterstützt. Ein fest verdrahtetes Gateway, das sich beim nächsten Lease ändert, ist ein verzögerter Ausfall. Prüfen Sie die Adresse nach einer WAN-Neuverbindung, denn dann taucht ein veraltetes Gateway auf und der Tunnel beginnt erneut zu fallen.

Oder hindern Sie den Tunnel daran, die Standardroute zu beanspruchen

Eine Filiale, die ein einziges entferntes LAN braucht, sollte das PPTP-Profil ganz von der Standardroute fernhalten. Schalten Sie diese Option im Clientprofil ab und fügen Sie stattdessen eine gezielte Route für das entfernte Präfix über die Tunnelschnittstelle hinzu. Normaler Verkehr bleibt im WAN, der eigene Transport des Tunnels behält seinen natürlichen Weg, und die Routing-Tabelle wird leichter zu erklären. Das ist das bessere Design für eine Filiale mit einem Subnetz, nicht für einen Router, der der Ausgang des Standorts sein soll.

Ein vollständiger Tunnel hat eigene Anforderungen: Policy-Routing für ausgewählte Quellen, einen Plan für Rückverkehr und eine Entscheidung darüber, was passiert, wenn der Tunnel wegfällt. Nichts davon löst die Hostroute, die nur den Transport am Leben hält.

Prüfen Sie schichtweise und schließen Sie dann das Verwaltungsloch

Testen Sie schichtweise: Pingen Sie die öffentliche Adresse des Servers vor dem Verbinden, pingen Sie das entfernte Gateway nach dem Verbinden, dann pingen Sie einen Host im entfernten LAN. Fügen Sie masquerade auf der Tunnelschnittstelle hinzu, wenn Hosts hinter dem Router Antworten durch sie zurückbrauchen.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Starten Sie dann den Router neu oder erzwingen Sie eine WAN-Neuverbindung, und wiederholen Sie die drei Pings, denn eine Route, die nur in der laufenden Konfiguration existiert, überlebt nicht. Eine Konfiguration, die in eine Sicherungsdatei exportiert und später zurückgespielt wird, ist die andere Stelle, an der das bricht, da die Route im Export fehlen kann, wenn sie zur Laufzeit hinzugefügt wurde.

Beschränken Sie schließlich Winbox und die Weboberfläche auf bekannte Quelladressen, bevor Sie irgendeine VPN- oder Routenänderung veröffentlichen. Ein Router, der Tunnel terminiert, ist ein Verwaltungsziel, und Port 80, der zur Welt offensteht, ist ein größerer Befund als die Route, die Sie gerade repariert haben.