MikroTik PPTP falt út? Meitsje de rûte nei de tsjinner klear

In PPTP-klient fan RouterOS ferbynt, ferpleatst wat ferkear en giet dan dea, en it loch sjocht derút as in probleem mei oanmeldgegevens of de tsjinner. Meastentiids is it gjin fan beide. De tunnel draacht syn eigen ferfierspakketten, om't de rûte nei de tsjinner ek oerienkomt mei de rûte dy't de tunnel ynstallearre hat. De oare kant heart de router net mear, en de sesje stjert wylst de ynterface noch altyd seit dat er oan is.

De oplossing is ien rûte, of ien ynstelling, dy't de tsjinner berikber hâldt oer de fysike WAN. Hokker fan beide hinget derfan ôf oft de router in gateway foar in folsleine tunnel wêze moat.

It symptoom: ferbynt, ferpleatst ferkear, giet dea

It patroan werhellet him by elke werferbining, en dat is it earste nuttige oanwizing. In ôfwiisde wachtwurd mislearret foardat de ynterface omheech giet, in ferkearde firewall-ynstelling blokkearret meastentiids ien rjochting, en in routinglus lit de ynterface ta stân komme en wreidet him dan de hals om. Sjoch nei de tellers: de tunnel lit in útbarsting fan begjinputen sjen en dêrnei neat, wylst de WAN-ynterface trochgiet mei it stjoeren fan ferkapele kopyen. Dat is in router dy't syn eigen útfier werom yn himsels fret.

PPTP makket dit maklik op te roppen, om't it ferfier gewoane IP nei it adres fan de tsjinner is, net in tunnel wêrfan it fiere ein yn in oar subnet sit. Alles wat dat adres omliedt, liedt it ferfier mei om.

Wêrom't de tunnel syn eigen pakketten trochslokt

As de klient ferbynt, ynstallearret er in rûte wêrfan de gateway de tunnel-ynterface is. As it profyl ek in standertrûte ynstallearret, dan komt elke bestimming sûnder in spesifiker oerienkomst, ynklusyf it iepenbiere adres fan de tsjinner, by de tunnel út. De router kapsellet it pakket yn, adressearret it bûtenste pakket oan de tsjinner en siket de rûte wer op: deselde bestimming, deselde standert, deselde tunnel. Ofhinklik fan de ferzje wurdt dy rekursje fuortgoaid, yn 'e wachtrige set of yn in lus draaid, oant de oare kant it opjout en de sesje ôfbrekt.

Fabrikanten fan apparaten foegje faak automatysk in hostrûte foar har eigen tsjinner ta, krekt om dit te foarkommen. RouterOS giet dêr net fan út, dus de operator moat de útsûndering útdrukke of de standertrûte fan it begjin ôf foarkomme.

Pin it adres fan de tsjinner oan de WAN fêst

Foegje de smelste mooglike rûte ta: in /32 foar it iepenbiere adres fan de tsjinner, mei de gateway fan de provider as folgjende hop, op de ynterface dy't it ynternet berikt. In /32 ferslacht elke standert op foartekenslingte, en in legere ôfstân wint as der al in oare rûte foar itselde foarteken bestiet. Ferbynje dan op 'e nij en befêstigje dat de rûte aktyf is en net allinnich yn 'e list stiet.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

As de gateway fan de provider fia DHCP leard wurdt, brûk dan it gateway-adres dat DHCP ynstallearre hat, of byn de rûte oan 'e ynterface as de ferzje dat stipet. In hurd kodearre gateway dy't by de folgjende lease feroaret, is in fertrage flater. Kontrolearje it adres nei in WAN-werferbining, want dan komt in ferâldere gateway foar 't ljocht en begjint de tunnel wer te fallen.

Of stop dat de tunnel de standert opeasket

In filiaal dat ien apart LAN nedich hat, moat it PPTP-profyl hielendal fan 'e standertrûte ôf hâlde. Set dy opsje út yn it klantprofyl en foegje ynstee in spesifike rûte foar it fiere foarteken ta oer de tunnel-ynterface. Gewoan ferkear bliuwt op 'e WAN, it eigen ferfier fan de tunnel hâldt syn natuerlike paad, en de routingtabel wurdt makliker út te lizzen. Dat is it bettere ûntwerp foar in filiaal dat ien subnet nedich hat, net foar in router dy't de útgong fan it plak wêze moat.

In folsleine tunnel hat syn eigen easken: beliedsrouting foar selektearre boarnen, in plan foar weromferkear en in beslissing oer wat der bart as de tunnel falt. Net ien fan dy wurdt oplost troch de hostrûte, dy't allinnich it ferfier libben hâldt.

Ferifiearje yn lagen en slút dan it beheardersgat

Test yn lagen: ping it iepenbiere adres fan de tsjinner foardat jo ferbine, ping de fiere gateway nei it ferbinen, ping dan in host op it fiere LAN. Foegje masquerade ta op de tunnel-ynterface as hosts efter de router antwurden troch him werom krije moatte.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Start de router dan op 'e nij of twing in WAN-werferbining ôf en werhelje de trije pings, want in rûte dy't allinnich yn 'e rinnende konfiguraasje bestiet, oerlibbet net. In konfiguraasje dy't nei in reservekopybestân eksportearre en letter weromset wurdt, is it oare plak dêr't dit brekt, om't de rûte yn 'e eksport misse kin as er by it rinnen tafoege is.

Behein úteinlik Winbox en webbehear ta bekende boarne-adressen foardat jo hokker VPN- as rûteferoaring dan ek publisearje. In router dy't tunnels beëiniget, is in behearderdoel, en poarte 80 dy't iepenstiet foar de wrâld is in gruttere fynst as de rûte dy't jo krekt reparearre hawwe.