Los clientes PPTP del DD-WRT no se ven entre sí: cinco comprobaciones

Dos portátiles marcan al servidor PPTP de un equipo DD-WRT, cada uno recibe una dirección y ninguno puede hacer ping al otro. Las carpetas compartidas nunca aparecen y el primer impulso es pensar que la máscara 255.255.255.255 que reparte el router debe estar mal. No es la culpa, y cambiarla no creará ni un solo vecino nuevo. Haga las cinco comprobaciones siguientes en orden y deténgase en cuanto una falle, porque cada una tiene una cura distinta.

Comprobación uno: la /32 no es el fallo

PPTP transporta PPP, y un enlace PPP une exactamente dos extremos: su cliente y el servidor. Una máscara de red describe qué direcciones comparten un segmento local, y aquí no hay segmento, solo el par en el otro extremo de un cable. Una máscara de todo unos dice precisamente eso, así que DD-WRT reparte el valor correcto para ese tipo de enlace. La dirección es una dirección de par, no una dirección de interfaz en una LAN.

Una máscara 255.255.255.0 pertenece a un medio compartido con cientos de dispositivos, y ponerla en una interfaz PPP tampoco convertiría el otro lado del túnel en un vecino.

Comprobación dos: lea los valores de la página del servidor PPTP

Todos los ajustes que importan están en Servicios, VPN, Servidor PPTP. Active el servidor, ponga la dirección del servidor en la dirección LAN del router y mantenga el rango de clientes fuera del pool DHCP, para que un cliente que marca y una máquina por cable no reciban la misma dirección. En CHAP-Secrets añada una línea por cuenta con la forma username * password *, sin espacios dentro del nombre. Aplique y luego conéctese con un perfil que nombre el router y una de esas cuentas.

Dónde se detiene el cliente le dice qué capa inspeccionar. Un cliente que se autentica pero no recibe dirección es un problema de pool o de secretos; un cliente que recibe una dirección y no llega a nada es un problema de enrutamiento o de cortafuegos.

Comprobación tres: busque una ruta entre los dos pares

Cada túnel que termina en el router es su propia interfaz, normalmente ppp0, ppp1 y así sucesivamente. El tráfico de un cliente al otro tiene que enrutarse entre esas interfaces, y el router tiene que estar dispuesto a reenviarlo. Ejecute ip route en el router y busque una ruta de host para cada par conectado que apunte a la interfaz PPP correspondiente. Si a un par le falta la ruta, el túnel no está del todo levantado, diga lo que diga la pantalla de estado del cliente.

Dos rutas de host hacia dos interfaces ppp separadas es la forma que quiere antes de seguir adelante.

Comprobación cuatro: mire la cadena FORWARD, no la INPUT

El tráfico entre clientes se reenvía, no se acepta localmente, así que la cadena INPUT es el lugar equivocado. Ejecute iptables -L FORWARD -v -n y busque una regla de descarte que atrape las interfaces PPP, además de los contadores de paquetes que muestran si llega algo a la cadena. Una política de descarte por defecto sin regla de aceptación para el tráfico del túnel produce exactamente el síntoma con el que empezó: cada cliente solo está bien, juntos son invisibles el uno para el otro.

Si los pings pequeños funcionan y las transferencias grandes se atascan, el túnel se está fragmentando en lugar de bloquearse. PPTP sobre PPP normalmente quiere una MTU y una MRU cercanas a 1450, y dejarlas en 1500 da un enlace que supera los apretones de manos y falla con cargas reales.

Comprobación cinco: decida qué debe hacer el acceso a internet

Los clientes que deben navegar por la oficina necesitan traducción de origen hacia la interfaz WAN. Los clientes que solo deben llegar a la LAN necesitan una ruta y nada más. Son intenciones distintas con conjuntos de reglas distintos, y la pregunta de la máscara esconde por completo esta segunda decisión. Anote qué comportamiento quería antes de añadir una sola regla, porque un cliente que sale inesperadamente por la línea de la oficina es una sorpresa que aparece en una reunión y no en un registro.

Una última nota, ajena a la solución: PPTP está obsoleto y su autenticación lleva años rota. La lista de arriba sigue explicando qué hace un enlace PPP, y el mismo razonamiento vale si más adelante traslada los clientes a un túnel moderno.