PPTP του MikroTik πέφτει; Διορθώστε τη διαδρομή προς τον διακομιστή

Ένας πελάτης PPTP του RouterOS συνδέεται, μεταφέρει λίγη κίνηση και μετά πεθαίνει, και το αρχείο καταγραφής μοιάζει με πρόβλημα διαπιστευτηρίων ή διακομιστή. Συνήθως δεν είναι ούτε το ένα ούτε το άλλο. Η σήραγγα μεταφέρει τα δικά της πακέτα μεταφοράς, επειδή η διαδρομή προς τον διακομιστή ταιριάζει και με τη διαδρομή που εγκατέστησε η σήραγγα. Η άλλη πλευρά παύει να ακούει τον δρομολογητή, και η συνεδρία πεθαίνει ενώ η διεπαφή εξακολουθεί να δηλώνει ότι είναι ενεργή.

Η διόρθωση είναι μία διαδρομή, ή μία ρύθμιση, που κρατά τον διακομιστή προσβάσιμο μέσω του φυσικού WAN. Ποια από τις δύο εξαρτάται από το αν ο δρομολογητής προορίζεται να είναι πύλη πλήρους σήραγγας.

Το σύμπτωμα: συνδέεται, μεταφέρει κίνηση, πεθαίνει

Το μοτίβο επαναλαμβάνεται σε κάθε επανασύνδεση, και αυτό είναι το πρώτο χρήσιμο στοιχείο. Ένας κωδικός που απορρίπτεται αποτυγχάνει πριν ανέβει η διεπαφή, μια λανθασμένη ρύθμιση του τείχους προστασίας μπλοκάρει συνήθως μία κατεύθυνση, και ένας βρόχος δρομολόγησης αφήνει τη διεπαφή να εγκατασταθεί και μετά την πνίγει. Παρατηρήστε τους μετρητές: η σήραγγα δείχνει μια ριπή αρχικών πακέτων και μετά τίποτα, ενώ η διεπαφή WAN συνεχίζει να στέλνει ενθυλακωμένα αντίγραφα. Αυτός είναι ένας δρομολογητής που ταΐζει την έξοδό του πίσω στον εαυτό του.

Το PPTP το κάνει εύκολο να προκληθεί επειδή η μεταφορά είναι απλό IP προς τη διεύθυνση του διακομιστή, όχι σήραγγα της οποίας το άλλο άκρο βρίσκεται σε άλλο υποδίκτυο. Οτιδήποτε ανακατευθύνει αυτή τη διεύθυνση ανακατευθύνει και τη μεταφορά μαζί της.

Γιατί η σήραγγα καταπίνει τα δικά της πακέτα

Όταν ο πελάτης συνδεθεί, εγκαθιστά μια διαδρομή της οποίας η πύλη είναι η διεπαφή της σήραγγας. Αν το προφίλ εγκαταστήσει και προεπιλεγμένη διαδρομή, τότε κάθε προορισμός χωρίς ειδικότερη αντιστοίχιση, μαζί με τη δημόσια διεύθυνση του διακομιστή, καταλήγει στη σήραγγα. Ο δρομολογητής ενθυλακώνει το πακέτο, διευθυνσιοδοτεί το εξωτερικό πακέτο προς τον διακομιστή και αναζητά ξανά τη διαδρομή: ίδιος προορισμός, ίδια προεπιλογή, ίδια σήραγγα. Ανάλογα με την έκδοση, αυτή η αναδρομή απορρίπτεται, μπαίνει σε ουρά ή οδηγείται σε βρόχο έως ότου η άλλη πλευρά τα παρατήσει και κόψει τη συνεδρία.

Οι κατασκευαστές συσκευών προσθέτουν συχνά αυτόματα διαδρομή κεντρικού υπολογιστή για τον δικό τους διακομιστή, ακριβώς για να το αποφύγουν. Το RouterOS δεν το υποθέτει, οπότε ο διαχειριστής πρέπει να εκφράσει την εξαίρεση ή να αποφύγει την προεπιλεγμένη διαδρομή εξαρχής.

Καρφώστε τη διεύθυνση του διακομιστή στο WAN

Προσθέστε τη στενότερη δυνατή διαδρομή: ένα /32 για τη δημόσια διεύθυνση του διακομιστή, με την πύλη του παρόχου ως επόμενο άλμα, στη διεπαφή που φτάνει στο διαδίκτυο. Ένα /32 κερδίζει κάθε προεπιλογή ως προς το μήκος προθέματος, και μικρότερη απόσταση επικρατεί αν υπάρχει ήδη άλλη διαδρομή για το ίδιο πρόθεμα. Στη συνέχεια συνδεθείτε ξανά και επιβεβαιώστε ότι η διαδρομή είναι ενεργή και όχι απλώς παρούσα στη λίστα.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Αν η πύλη του παρόχου μαθαίνεται μέσω DHCP, χρησιμοποιήστε τη διεύθυνση πύλης που εγκατέστησε το DHCP, ή δέστε τη διαδρομή στη διεπαφή αν η έκδοση το υποστηρίζει. Μια σκληροκωδικοποιημένη πύλη που αλλάζει στην επόμενη μίσθωση είναι καθυστερημένη αποτυχία. Ελέγξτε τη διεύθυνση μετά από επανασύνδεση WAN, γιατί τότε εμφανίζεται μια παλιά πύλη και η σήραγγα αρχίζει πάλι να πέφτει.

Ή σταματήστε τη σήραγγα να διεκδικεί την προεπιλογή

Ένα υποκατάστημα που χρειάζεται ένα μόνο απομακρυσμένο LAN πρέπει να κρατά το προφίλ PPTP εντελώς μακριά από την προεπιλεγμένη διαδρομή. Απενεργοποιήστε αυτή την επιλογή στο προφίλ του πελάτη και προσθέστε αντ' αυτού μια συγκεκριμένη διαδρομή για το απομακρυσμένο πρόθεμα μέσω της διεπαφής της σήραγγας. Η συνηθισμένη κίνηση μένει στο WAN, η μεταφορά της σήραγγας κρατά τη φυσική της πορεία, και ο πίνακας δρομολόγησης γίνεται πιο εύκολος στην εξήγηση. Αυτός είναι ο καλύτερος σχεδιασμός για υποκατάστημα που χρειάζεται ένα υποδίκτυο, όχι για δρομολογητή που πρέπει να είναι η έξοδος της τοποθεσίας.

Η πλήρης σήραγγα έχει τις δικές της απαιτήσεις: δρομολόγηση κατά πολιτική για επιλεγμένες πηγές, σχέδιο για την κίνηση επιστροφής και απόφαση για το τι συμβαίνει όταν πέσει η σήραγγα. Τίποτα από αυτά δεν λύνεται από τη διαδρομή κεντρικού υπολογιστή, που κρατά ζωντανή μόνο τη μεταφορά.

Επαληθεύστε σε επίπεδα και μετά κλείστε την τρύπα διαχείρισης

Δοκιμάστε σε επίπεδα: κάντε ping στη δημόσια διεύθυνση του διακομιστή πριν συνδεθείτε, κάντε ping στην απομακρυσμένη πύλη μετά τη σύνδεση, μετά κάντε ping σε έναν κεντρικό υπολογιστή στο απομακρυσμένο LAN. Προσθέστε masquerade στη διεπαφή της σήραγγας αν οι υπολογιστές πίσω από τον δρομολογητή χρειάζονται τις απαντήσεις να επιστρέφουν μέσω αυτής.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Στη συνέχεια επανεκκινήστε τον δρομολογητή ή εξαναγκάστε επανασύνδεση WAN και επαναλάβετε τα τρία ping, γιατί μια διαδρομή που υπάρχει μόνο στην τρέχουσα διαμόρφωση δεν θα επιβιώσει. Μια διαμόρφωση που εξάγεται σε αρχείο αντιγράφου ασφαλείας και επαναφέρεται αργότερα είναι το άλλο σημείο όπου αυτό σπάει, αφού η διαδρομή μπορεί να λείπει από την εξαγωγή αν προστέθηκε κατά την εκτέλεση.

Τέλος, περιορίστε το Winbox και τη διαχείριση μέσω ιστού σε γνωστές διευθύνσεις προέλευσης πριν δημοσιεύσετε οποιαδήποτε αλλαγή VPN ή διαδρομής. Ένας δρομολογητής που τερματίζει σήραγγες είναι στόχος διαχείρισης, και η θύρα 80 ανοιχτή στον κόσμο είναι μεγαλύτερο εύρημα από τη διαδρομή που μόλις διορθώσατε.