MikroTik PPTP pada? Popravite rutu do poslužitelja

PPTP klijent na RouterOS-u spoji se, prenese malo prometa i zatim stane, a zapis izgleda kao problem s vjerodajnicama ili poslužiteljem. Obično nije ni jedno. Tunel nosi vlastite transportne pakete jer se ruta do poslužitelja poklapa i s rutom koju je tunel instalirao. Druga strana prestane čuti usmjerivač, a sesija umre dok sučelje još tvrdi da je aktivno.

Popravak je jedna ruta ili jedna postavka koja drži poslužitelj dostupnim preko fizičkog WAN-a. Koja od njih, zavisi od toga treba li usmjerivač biti pristupnik punog tunela.

Simptom: spoji se, prenese promet, umre

Uzorak se ponavlja pri svakom ponovnom spajanju i to je prvi koristan trag. Odbijena lozinka pada prije nego se sučelje digne, pogrešna konfiguracija vatrozida obično blokira jedan smjer, a petlja usmjeravanja pusti sučelje da se uspostavi i zatim ga uguši. Gledajte brojače: tunel pokaže prasak početnih paketa i zatim ništa, dok WAN sučelje nastavlja slati kapsulirane kopije. To je usmjerivač koji vlastiti izlaz vraća sam u sebe.

PPTP to lako izaziva jer je transport obični IP do adrese poslužitelja, a ne tunel čiji drugi kraj leži u drugoj podmreži. Sve što preusmjeri tu adresu preusmjeri i transport s njom.

Zašto tunel guta vlastite pakete

Kad se klijent spoji, instalira rutu čiji je pristupnik sučelje tunela. Ako profil instalira i zadanu rutu, onda se svako odredište bez specifičnijeg podudaranja, uključujući javnu adresu poslužitelja, razrješava prema tunelu. Usmjerivač kapsulira paket, adresira vanjski paket prema poslužitelju i ponovno traži rutu: isto odredište, isti zadani, isti tunel. Ovisno o verziji, ta se rekurzija odbacuje, stavlja u red ili vrti u petlji dok druga strana ne odustane i ne prekine sesiju.

Proizvođači uređaja često automatski dodaju host rutu za vlastiti poslužitelj, upravo da bi to izbjegli. RouterOS to ne pretpostavlja, pa operater mora izraziti iznimku ili od početka izbjegavati zadanu rutu.

Prikvačite adresu poslužitelja na WAN

Dodajte najužu moguću rutu: /32 za javnu adresu poslužitelja, s pristupnikom pružatelja kao sljedećim skokom, na sučelju koje izlazi na internet. /32 pobjeđuje svaki zadani po duljini prefiksa, a manja udaljenost pobjeđuje ako već postoji druga ruta za isti prefiks. Zatim se ponovno spojite i potvrdite da je ruta aktivna, a ne samo prisutna na popisu.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Ako se pristupnik pružatelja uči preko DHCP-a, koristite adresu pristupnika koju je DHCP instalirao, ili zavežite rutu za sučelje ako verzija to podržava. Tvrdo kodiran pristupnik koji se promijeni pri sljedećem najmu odgođeni je kvar. Provjerite adresu nakon ponovnog spajanja WAN-a, jer tada se pojavi zastario pristupnik i tunel ponovno počne padati.

Ili spriječite da tunel prisvoji zadanu rutu

Ogranak kojem treba jedna udaljena lokalna mreža treba držati PPTP profil posve dalje od zadane rute. Isključite tu opciju u profilu klijenta i umjesto toga dodajte određenu rutu za udaljeni prefiks kroz sučelje tunela. Obični promet ostaje na WAN-u, vlastiti transport tunela zadržava prirodan put, a tablica usmjeravanja postaje lakša za objasniti. To je bolji dizajn za ogranak kojem treba jedna podmreža, ne za usmjerivač koji treba biti izlaz lokacije.

Puni tunel ima svoje zahtjeve: usmjeravanje po politici za odabrane izvore, plan za povratni promet i odluku o tome što se događa kad tunel padne. Ništa od toga ne rješava host ruta, koja samo drži transport na životu.

Provjerite po slojevima, pa zatvorite rupu u upravljanju

Testirajte po slojevima: pingajte javnu adresu poslužitelja prije spajanja, pingajte udaljeni pristupnik nakon spajanja, pa pingajte host na udaljenoj lokalnoj mreži. Dodajte masquerade na sučelje tunela ako hostovi iza usmjerivača trebaju da im odgovori stižu kroz njega.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Zatim restartajte usmjerivač ili prisilite ponovno spajanje WAN-a i ponovite tri pinga, jer ruta koja postoji samo u pokrenutoj konfiguraciji neće preživjeti. Konfiguracija izvezena u datoteku sigurnosne kopije i kasnije vraćena drugo je mjesto gdje se ovo lomi, jer ruta može nedostajati u izvozu ako je dodana tijekom rada.

Na kraju, ograničite Winbox i web upravljanje na poznate izvorne adrese prije objave bilo kakve promjene VPN-a ili rute. Usmjerivač koji terminira tunele je meta upravljanja, a port 80 otvoren prema svijetu veći je nalaz od rute koju ste upravo popravili.