PPTP میکروتیک قطع می‌شود؟ مسیر تا سرور را درست کنید

کلاینت PPTP در RouterOS وصل می‌شود، کمی ترافیک جابه‌جا می‌کند و سپس خاموش می‌شود، و لاگ شبیه مشکل اعتبارنامه یا سرور به نظر می‌رسد. معمولاً هیچ‌کدام نیست. تونل بسته‌های ترابری خودش را حمل می‌کند، چون مسیر تا سرور با مسیری که تونل نصب کرده هم مطابقت دارد. طرف مقابل دیگر روتر را نمی‌شنود، و نشست می‌میرد در حالی که رابط هنوز ادعا می‌کند بالاست.

راه‌حل یک مسیر، یا یک تنظیم، است که سرور را از طریق WAN فیزیکی در دسترس نگه می‌دارد. اینکه کدام‌یک، بستگی دارد به اینکه روتر باید دروازه تونل کامل باشد یا نه.

نشانه: وصل می‌شود، ترافیک جابه‌جا می‌کند، می‌میرد

الگو در هر اتصال دوباره تکرار می‌شود، و این نخستین سرنخ مفید است. رمز عبور رد‌شده پیش از بالا آمدن رابط شکست می‌خورد، پیکربندی نادرست فایروال معمولاً یک جهت را مسدود می‌کند، و حلقه مسیریابی اجازه می‌دهد رابط برقرار شود و سپس خفه‌اش می‌کند. شمارنده‌ها را ببینید: تونل انفجاری از بسته‌های اولیه و سپس هیچ نشان می‌دهد، در حالی که رابط WAN همچنان نسخه‌های کپسوله‌شده را می‌فرستد. این روتری است که خروجی خودش را دوباره به خودش می‌خوراند.

PPTP این را آسان می‌کند چون ترابری IP ساده به آدرس سرور است، نه تونلی که انتهای دورش در زیرشبکه دیگری باشد. هر چیزی که آن آدرس را تغییر مسیر دهد، ترابری را هم با آن تغییر می‌دهد.

چرا تونل بسته‌های خودش را می‌بلعد

وقتی کلاینت وصل می‌شود، مسیری نصب می‌کند که دروازه‌اش رابط تونل است. اگر پروفایل مسیر پیش‌فرض هم نصب کند، آنگاه هر مقصدی که تطابق دقیق‌تری ندارد، از جمله آدرس عمومی سرور، به تونل می‌رسد. روتر بسته را کپسوله می‌کند، بسته بیرونی را به سرور نشانه می‌گیرد و دوباره مسیر را جست‌وجو می‌کند: همان مقصد، همان پیش‌فرض، همان تونل. بسته به نسخه، این بازگشت دور ریخته می‌شود، در صف می‌ماند یا در حلقه می‌افتد تا طرف مقابل تسلیم شود و نشست را قطع کند.

سازندگان تجهیزات اغلب به‌طور خودکار یک مسیر میزبان برای سرور خودشان اضافه می‌کنند، دقیقاً برای پرهیز از همین. RouterOS این را فرض نمی‌کند، پس اپراتور باید استثنا را بیان کند یا از ابتدا از مسیر پیش‌فرض پرهیز کند.

آدرس سرور را به WAN سنجاق کنید

باریک‌ترین مسیر ممکن را اضافه کنید: یک /32 برای آدرس عمومی سرور، با دروازه ارائه‌دهنده به‌عنوان پرش بعدی، روی رابطی که به اینترنت می‌رسد. یک /32 با طول پیشوند هر پیش‌فرضی را می‌برد، و اگر مسیر دیگری برای همان پیشوند از قبل باشد، فاصله کمتر برنده است. سپس دوباره وصل شوید و تأیید کنید که مسیر فعال است، نه فقط در فهرست موجود.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

اگر دروازه ارائه‌دهنده از طریق DHCP یاد گرفته می‌شود، از آدرس دروازه‌ای که DHCP نصب کرده استفاده کنید، یا اگر نسخه پشتیبانی می‌کند مسیر را به رابط ببندید. دروازه سخت‌کدشده‌ای که در اجاره بعدی تغییر می‌کند یک خرابی تأخیری است. آدرس را پس از اتصال دوباره WAN بررسی کنید، چون آن‌وقت است که دروازه کهنه ظاهر می‌شود و تونل دوباره شروع به قطع شدن می‌کند.

یا جلوی تصاحب پیش‌فرض توسط تونل را بگیرید

شعبه‌ای که به یک LAN دور نیاز دارد باید پروفایل PPTP را کاملاً از مسیر پیش‌فرض دور نگه دارد. آن گزینه را در پروفایل کلاینت خاموش کنید و در عوض مسیری مشخص برای پیشوند دور از طریق رابط تونل اضافه کنید. ترافیک عادی روی WAN می‌ماند، ترابری خود تونل مسیر طبیعی‌اش را حفظ می‌کند، و جدول مسیریابی آسان‌تر توضیح داده می‌شود. این طراحی بهتر برای شعبه‌ای است که یک زیرشبکه می‌خواهد، نه برای روتری که باید خروجی سایت باشد.

تونل کامل نیازهای خودش را دارد: مسیریابی سیاستی برای منابع انتخابی، برنامه‌ای برای ترافیک برگشتی، و تصمیمی درباره اینکه وقتی تونل می‌افتد چه می‌شود. هیچ‌کدام از این‌ها با مسیر میزبان حل نمی‌شود، که فقط ترابری را زنده نگه می‌دارد.

لایه‌به‌لایه بررسی کنید و سپس سوراخ مدیریت را ببندید

لایه‌به‌لایه آزمایش کنید: پیش از اتصال به آدرس عمومی سرور پینگ کنید، پس از اتصال به دروازه دور پینگ کنید، سپس به میزبانی در LAN دور پینگ کنید. اگر میزبان‌های پشت روتر به پاسخ‌هایی نیاز دارند که از آن برگردد، masquerade را روی رابط تونل اضافه کنید.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

سپس روتر را راه‌اندازی مجدد کنید یا اتصال دوباره WAN را تحمیل کنید و سه پینگ را تکرار کنید، چون مسیری که فقط در پیکربندی در حال اجرا وجود دارد باقی نمی‌ماند. پیکربندی‌ای که به فایل پشتیبان صادر و بعداً بازیابی می‌شود محل دیگری است که این می‌شکند، چون مسیر ممکن است در خروجی نباشد اگر در زمان اجرا اضافه شده باشد.

در پایان، پیش از انتشار هر تغییر VPN یا مسیر، Winbox و مدیریت وب را به آدرس‌های منبع شناخته‌شده محدود کنید. روتری که تونل‌ها را پایان می‌دهد یک هدف مدیریتی است، و پورت 80 باز به جهان یافته‌ای بزرگ‌تر از مسیری است که همین حالا درست کردید.