Clients PPTP sur DD-WRT qui ne se joignent pas : cinq vérifications

Deux portables se connectent au serveur PPTP d'un boîtier DD-WRT, chacun reçoit une adresse, et aucun ne peut pinguer l'autre. Les dossiers partagés n'apparaissent jamais et la première idée est que le masque 255.255.255.255 distribué par le routeur doit être faux. Ce n'est pas la cause, et le changer ne créera pas un seul nouveau voisin. Faites les cinq vérifications ci-dessous dans l'ordre et arrêtez-vous dès que l'une échoue, car chacune a son propre remède.

Vérification une : le /32 n'est pas le défaut

PPTP transporte PPP, et une liaison PPP relie exactement deux extrémités : votre client et le serveur. Un masque réseau décrit quelles adresses partagent un segment local, et il n'y a pas de segment ici, seulement le pair à l'autre bout d'un câble. Un masque entièrement à un dit précisément cela, donc DD-WRT distribue la valeur correcte pour ce type de liaison. L'adresse est une adresse de pair, pas une adresse d'interface sur un LAN.

Un masque 255.255.255.0 appartient à un support partagé avec des centaines d'appareils, et le poser sur une interface PPP ne ferait pas non plus de l'autre côté du tunnel un voisin.

Vérification deux : lisez les valeurs de la page du serveur PPTP

Tous les réglages qui comptent sont dans Services, VPN, Serveur PPTP. Activez le serveur, réglez l'adresse du serveur sur l'adresse LAN du routeur, et gardez la plage de clients hors du pool DHCP pour qu'un client qui compose et une machine câblée ne reçoivent pas la même adresse. Sous CHAP-Secrets, ajoutez une ligne par compte de la forme username * password *, sans espace dans le nom. Appliquez, puis connectez-vous avec un profil qui nomme le routeur et l'un de ces comptes.

L'endroit où le client s'arrête vous dit quelle couche inspecter. Un client qui s'authentifie mais ne reçoit aucune adresse est un problème de pool ou de secrets ; un client qui reçoit une adresse et n'atteint rien est un problème de routage ou de pare-feu.

Vérification trois : cherchez une route entre les deux pairs

Chaque tunnel qui se termine sur le routeur est sa propre interface, généralement ppp0, ppp1 et ainsi de suite. Le trafic d'un client vers l'autre doit être routé entre ces interfaces, et le routeur doit accepter de le transmettre. Lancez ip route sur le routeur et cherchez une route d'hôte pour chaque pair connecté, pointant vers l'interface PPP correspondante. Si une route manque pour un pair, le tunnel n'est pas complètement monté, quoi qu'en dise l'écran d'état du client.

Deux routes d'hôte vers deux interfaces ppp distinctes, voilà la forme que vous voulez avant d'aller plus loin.

Vérification quatre : regardez la chaîne FORWARD, pas INPUT

Le trafic entre clients est transmis, pas accepté localement, donc la chaîne INPUT est le mauvais endroit. Lancez iptables -L FORWARD -v -n et cherchez une règle de rejet qui attrape les interfaces PPP, plus les compteurs de paquets qui montrent si quelque chose arrive à la chaîne. Une politique de rejet par défaut sans règle d'acceptation pour le trafic du tunnel produit exactement le symptôme de départ : chaque client seul va bien, ensemble ils sont invisibles l'un pour l'autre.

Si les petits pings passent et que les gros transferts calent, le tunnel est fragmenté plutôt que bloqué. PPTP sur PPP veut normalement une MTU et une MRU autour de 1450, et les laisser à 1500 donne une liaison qui passe les poignées de main et échoue sur les charges réelles.

Vérification cinq : décidez ce que doit faire l'accès internet

Les clients censés naviguer par le bureau ont besoin d'une traduction d'adresse source vers l'interface WAN. Les clients censés n'atteindre que le LAN ont besoin d'une route et de rien d'autre. Ce sont des intentions différentes avec des jeux de règles différents, et la question du masque masque complètement cette seconde décision. Notez le comportement voulu avant d'ajouter une seule règle, car un client qui sort par la ligne du bureau sans qu'on s'y attende est une surprise qui surgit en réunion plutôt que dans un journal.

Une dernière remarque, sans rapport avec le correctif : PPTP est obsolète et son authentification est cassée depuis des années. La liste ci-dessus explique encore ce que fait une liaison PPP, et le même raisonnement vaut si vous migrez plus tard les clients vers un tunnel moderne.