PPTP MikroTik putus? Perbaiki rute ke server

Klien PPTP di RouterOS tersambung, memindahkan sedikit lalu lintas, lalu mati, dan log tampak seperti masalah kredensial atau server. Biasanya bukan keduanya. Terowongan membawa paket transportnya sendiri karena rute ke server juga cocok dengan rute yang dipasang terowongan. Pihak lawan berhenti mendengar router, dan sesi mati sementara antarmuka masih mengaku aktif.

Perbaikannya adalah satu rute, atau satu pengaturan, yang menjaga server tetap terjangkau lewat WAN fisik. Mana yang dipakai bergantung pada apakah router dimaksudkan sebagai gateway terowongan penuh.

Gejalanya: tersambung, memindahkan lalu lintas, mati

Polanya berulang pada setiap sambung ulang, dan itu petunjuk pertama yang berguna. Kata sandi yang ditolak gagal sebelum antarmuka naik, salah konfigurasi firewall biasanya memblokir satu arah, dan loop perutean membiarkan antarmuka terbentuk lalu mencekiknya. Perhatikan penghitung: terowongan menunjukkan semburan paket awal lalu tidak ada apa-apa, sementara antarmuka WAN terus mengirim salinan terbungkus. Itu router yang memberi makan keluarannya sendiri kembali ke dirinya sendiri.

PPTP membuat ini mudah dipicu karena transportnya adalah IP biasa ke alamat server, bukan terowongan yang ujung jauhnya berada di subnet lain. Apa pun yang mengalihkan alamat itu ikut mengalihkan transportnya.

Mengapa terowongan menelan paketnya sendiri

Saat klien tersambung, ia memasang rute yang gateway-nya adalah antarmuka terowongan. Jika profil juga memasang rute default, maka setiap tujuan tanpa kecocokan yang lebih spesifik, termasuk alamat publik server, terselesaikan ke terowongan. Router membungkus paket, memberi alamat pada paket luar menuju server, dan mencari rute lagi: tujuan sama, default sama, terowongan sama. Tergantung versinya, rekursi itu dibuang, diantrekan, atau diputar dalam loop sampai pihak lawan menyerah dan memutus sesi.

Vendor perangkat sering menambahkan rute host untuk server mereka sendiri secara otomatis, justru untuk menghindari ini. RouterOS tidak mengasumsikannya, jadi operator harus menyatakan pengecualian atau menghindari rute default sejak awal.

Patok alamat server ke WAN

Tambahkan rute tersempit yang mungkin: /32 untuk alamat publik server, dengan gateway penyedia sebagai hop berikutnya, pada antarmuka yang mencapai internet. /32 mengalahkan default mana pun berdasarkan panjang prefiks, dan jarak lebih rendah menang jika sudah ada rute lain untuk prefiks yang sama. Lalu sambung ulang dan pastikan rutenya aktif, bukan sekadar ada di daftar.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Jika gateway penyedia dipelajari lewat DHCP, gunakan alamat gateway yang dipasang DHCP, atau ikat rute ke antarmuka jika versinya mendukung. Gateway yang ditulis tetap dan berubah pada sewa berikutnya adalah kegagalan yang tertunda. Periksa alamatnya setelah sambung ulang WAN, karena saat itulah gateway basi muncul dan terowongan mulai putus lagi.

Atau cegah terowongan mengklaim rute default

Cabang yang hanya butuh satu LAN jarak jauh sebaiknya menjauhkan profil PPTP sepenuhnya dari rute default. Matikan opsi itu di profil klien dan tambahkan rute khusus untuk prefiks jarak jauh lewat antarmuka terowongan. Lalu lintas biasa tetap di WAN, transport terowongan tetap pada jalur alaminya, dan tabel perutean menjadi lebih mudah dijelaskan. Ini desain yang lebih baik untuk cabang yang butuh satu subnet, bukan untuk router yang seharusnya menjadi pintu keluar situs.

Terowongan penuh punya persyaratannya sendiri: perutean berbasis kebijakan untuk sumber terpilih, rencana untuk lalu lintas balasan, dan keputusan tentang apa yang terjadi saat terowongan putus. Tidak satu pun diselesaikan oleh rute host, yang hanya menjaga transport tetap hidup.

Verifikasi berlapis, lalu tutup lubang manajemen

Uji berlapis: ping alamat publik server sebelum tersambung, ping gateway jarak jauh setelah tersambung, lalu ping host di LAN jarak jauh. Tambahkan masquerade pada antarmuka terowongan jika host di belakang router perlu balasan kembali melaluinya.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Lalu reboot router atau paksa sambung ulang WAN dan ulangi ketiga ping, karena rute yang hanya ada di konfigurasi berjalan tidak akan bertahan. Konfigurasi yang diekspor ke berkas cadangan dan dipulihkan kemudian adalah tempat lain masalah ini muncul, sebab rute bisa hilang dari ekspor jika ditambahkan saat runtime.

Akhirnya, batasi Winbox dan manajemen web ke alamat sumber yang dikenal sebelum menerbitkan perubahan VPN atau rute apa pun. Router yang menterminasi terowongan adalah target manajemen, dan port 80 terbuka ke dunia adalah temuan yang lebih besar daripada rute yang baru saja Anda perbaiki.