MikroTik PPTP dettur? Lagaðu leiðina að netþjóninum

PPTP-biðlari í RouterOS tengist, flytur smá umferð og deyr svo, og annállinn lítur út eins og vandamál með auðkenni eða netþjón. Venjulega er það hvorugt. Göngin bera eigin flutningspakka því leiðin að netþjóninum passar líka við leiðina sem göngin settu upp. Mótstöðuaðilinn hættir að heyra beini og setan deyr á meðan viðmótið heldur því fram að það sé uppi.

Lögunin er ein leið, eða ein stilling, sem heldur netþjóninum aðgengilegum um líkamlega WAN. Hvort tveggja fer eftir því hvort beinirinn eigi að vera gátt fyrir full göng.

Einkennið: tengist, flytur umferð, deyr

Mynstrið endurtekur sig við hverja endurtengingu og það er fyrsta gagnlega vísbendingin. Hafnað lykilorð bregst áður en viðmótið kemur upp, rangar eldveggsstillingar loka yfirleitt einni átt, og leiðarlykkja leyfir viðmótinu að koma sér fyrir og kyrkir það svo. Fylgstu með teljunum: göngin sýna sprettu af upphafspökkum og svo ekkert, á meðan WAN-viðmótið heldur áfram að senda innpökkuð eintök. Þetta er beinir sem gefur eigin úttak aftur inn í sjálfan sig.

PPTP gerir þetta auðvelta kveikjanlegt því flutningurinn er einfalt IP að vistfangi netþjónsins, ekki göng þar sem fjarlægi endinn er í öðru undirneti. Allt sem vísar því vistfangi annað vísar flutningnum líka.

Hvers vegna göngin gleypa eigin pakka

Þegar biðlarinn tengist setur hann upp leið þar sem gáttin er viðmót ganganna. Ef sniðið setur líka upp sjálfgefna leið, þá leysist hver áfangastaður án nákvæmara samræmis, þar á meðal opinbert vistfang netþjónsins, inn í göngin. Beinirinn pakkar inn pakkanum, setur ytri pakkann á netþjóninn og flettir upp leiðinni aftur: sami áfangastaður, sama sjálfgefið, sömu göng. Eftir útgáfu er þessari endurkvæmni hent, sett í biðröð eða lykkjað þar til mótstöðuaðilinn gefst upp og rýfur setuna.

Framleiðendur tækja bæta oft sjálfkrafa við hýsingarleið fyrir sinn eigin netþjón, einmitt til að komast hjá þessu. RouterOS gerir ekki ráð fyrir því, svo stjórnandinn verður að orða undantekninguna eða forðast sjálfgefnu leiðina frá byrjun.

Festu vistfang netþjónsins við WAN

Bættu við þrengstu leið sem möguleg er: /32 fyrir opinbert vistfang netþjónsins, með gátt þjónustuveitandans sem næsta hopp, á viðmótinu sem nær til internetsins. /32 vinnur á hverju sjálfgefnu með forskeytislengd, og minni fjarlægð vinnur ef önnur leið fyrir sama forskeyti er þegar til. Tengstu svo aftur og staðfestu að leiðin sé virk en ekki bara til staðar á listanum.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Ef gátt þjónustuveitandans er lærð með DHCP, notaðu gáttarvistfangið sem DHCP setti upp, eða bundu leiðina við viðmótið ef útgáfan styður það. Harðkóðuð gátt sem breytist við næstu leigu er seinkuð bilun. Athugaðu vistfangið eftir endurtengingu WAN, því þá kemur úrelt gátt í ljós og göngin byrja að detta aftur.

Eða stöðvaðu að göngin eigni sér sjálfgefnu leiðina

Útibú sem þarf eitt fjarlægt LAN ætti að halda PPTP-sniðinu alveg frá sjálfgefnu leiðinni. Slökktu á þeim valkosti í biðlarasniðinu og bættu í staðinn við sérstakri leið fyrir fjarlæga forskeytið um viðmót ganganna. Venjuleg umferð verður á WAN, eigin flutningur ganganna heldur náttúrulegri leið sinni og leiðatöfluna er auðveldara að útskýra. Þetta er betri hönnun fyrir útibú sem þarf eitt undirnet, ekki fyrir beini sem á að vera útgangur staðarins.

Full göng hafa sínar eigin kröfur: stefnumiðaða leiðun fyrir valdar uppsprettur, áætlun fyrir umferð til baka og ákvörðun um hvað gerist þegar göngin falla. Ekkert af þessu er leyst af hýsingarleiðinni, sem heldur aðeins flutningnum á lífi.

Sannprófaðu í lögum og lokaðu svo stjórnunaropinu

Prófaðu í lögum: pingaðu opinbert vistfang netþjónsins áður en þú tengist, pingaðu fjarlægu gáttina eftir tengingu og pingaðu svo hýsingu í fjarlæga LANinu. Bættu masquerade á viðmót ganganna ef hýsingar bak við beininn þurfa að fá svör til baka í gegnum það.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Endurræstu svo beininn eða þvingaðu endurtengingu WAN og endurtaktu þrjú pingin, því leið sem er aðeins til í keyrandi stillingunni lifir ekki af. Stilling sem er flutt út í öryggisafritaskrá og endurheimt síðar er hinn staðurinn þar sem þetta brotnar, þar sem leiðin getur vantað í útflutninginn ef henni var bætt við á keyrslutíma.

Að lokum, takmarkaðu Winbox og vefstjórnun við þekkt uppsprettuvistföng áður en þú birtir einhverja VPN- eða leiðarbreytingu. Beinir sem lýkur göngum er stjórnunarskotmark, og port 80 opið öllum heiminum er stærri fundur en leiðin sem þú varst að laga.