MikroTik PPTP үзіліп жатыр ма? Серверге апарар маршрутты түзетіңіз

RouterOS-тағы PPTP клиенті қосылады, аздаған трафик өткізеді де, кейін тоқтайды, ал журнал тіркелгі деректерінің немесе сервердің мәселесіне ұқсайды. Әдетте ол екеуі де емес. Туннель өзінің транспорттық пакеттерін тасымалдайды, себебі серверге апарар маршрут туннель орнатқан маршрутпен де сәйкес келеді. Қарсы тарап роутерді естімейді, ал интерфейс әлі де қосылып тұрғанын айтқанымен сессия өледі.

Түзету — бір маршрут немесе бір параметр, ол серверді физикалық WAN арқылы қолжетімді ұстайды. Қайсысын таңдау роутер толық туннель шлюзі болуы керек пе, соған байланысты.

Симптом: қосылады, трафик өткізеді, өледі

Әр қайта қосылу сайын үлгі қайталанады, және бұл — бірінші пайдалы белгі. Қабылданбаған құпиясөз интерфейс көтерілмей тұрып сәтсіз аяқталады, брандмауэрдің қате конфигурациясы әдетте бір бағытты бөгейді, ал маршруттау ілмегі интерфейске орнығуға мүмкіндік беріп, кейін оны тұншықтырады. Есептегіштерді қараңыз: туннель бастапқы пакеттердің серпілісін көрсетеді, содан кейін ештеңе жоқ, ал WAN интерфейсі қапталған көшірмелерді жіберуді жалғастырады. Бұл өз шығысын өзіне қайта құятын роутер.

PPTP мұны оңай тудырады, өйткені транспорт сервер мекенжайына қарай қарапайым IP, ал қарсы ұшы басқа ішкі желіде жатқан туннель емес. Ол мекенжайды бұратын кез келген нәрсе транспортты да бірге бұрады.

Туннель неге өз пакеттерін жұтады

Клиент қосылғанда, шлюзі туннель интерфейсі болып табылатын маршрутты орнатады. Егер профиль әдепкі маршрутты да орнатса, онда нақтырақ сәйкестігі жоқ барлық межелі жер, соның ішінде сервердің жария мекенжайы, туннельге шешіледі. Роутер пакетті қаптайды, сыртқы пакетті серверге бағыттайды және маршрутты қайта іздейді: сол меже, сол әдепкі, сол туннель. Шығарылымға қарай бұл рекурсия лақтырылады, кезекке қойылады немесе қарсы тарап бас тартып, сессияны үзгенше ілмекте айналады.

Құрылғы өндірушілері көбіне өз серверлері үшін хост маршрутын автоматты түрде қосады, дәл осыдан құтылу үшін. RouterOS мұны болжамайды, сондықтан оператор ерекшелікті білдіруі керек немесе басынан әдепкі маршруттан жалтаруы керек.

Сервер мекенжайын WAN-ға бекітіңіз

Мүмкін болатын ең тар маршрутты қосыңыз: сервердің жария мекенжайы үшін /32, келесі секіріс ретінде провайдер шлюзімен, интернетке шығатын интерфейсте. /32 префикс ұзындығы бойынша кез келген әдепкіден басым, ал сол префикс үшін басқа маршрут бұрыннан болса, кішірек қашықтық жеңеді. Содан кейін қайта қосылып, маршруттың тек тізімде бар емес, белсенді екенін растаңыз.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Провайдер шлюзі DHCP арқылы үйренілсе, DHCP орнатқан шлюз мекенжайын пайдаланыңыз, немесе шығарылым қолдаса, маршрутты интерфейске байлаңыз. Келесі жалдауда өзгеретін қатты кодталған шлюз — кейінге қалдырылған ақау. WAN қайта қосылғаннан кейін мекенжайды тексеріңіз, өйткені дәл сонда ескірген шлюз шығып, туннель қайтадан үзіле бастайды.

Немесе туннельдің әдепкіні иемденуіне жол бермеңіз

Бір ғана қашықтағы LAN қажет филиал PPTP профилін әдепкі маршруттан мүлдем алыс ұстауы керек. Клиент профилінде бұл опцияны өшіріңіз және оның орнына қашықтағы префикс үшін туннель интерфейсі арқылы нақты маршрут қосыңыз. Қарапайым трафик WAN-да қалады, туннельдің өз транспорты өзінің табиғи жолын сақтайды, ал маршруттау кестесін түсіндіру жеңілдейді. Бұл бір ішкі желі қажет филиал үшін жақсырақ шешім, ал сайттың шығысы болуы тиіс роутер үшін емес.

Толық туннельдің өз талаптары бар: таңдалған көздер үшін саясат негізіндегі маршруттау, қайтарым трафигінің жоспары және туннель құлағанда не болатыны туралы шешім. Мұның ешқайсысын хост маршруты шешпейді, ол тек транспортты тірі ұстайды.

Қабат-қабат тексеріңіз, содан кейін басқару саңылауын жабыңыз

Қабат-қабат сынаңыз: қосылу алдында сервердің жария мекенжайына ping жасаңыз, қосылғаннан кейін қашықтағы шлюзге ping жасаңыз, содан кейін қашықтағы LAN-дағы хостқа ping жасаңыз. Роутердің артындағы хосттар жауаптарды осы арқылы қайтаруы қажет болса, туннель интерфейсіне masquerade қосыңыз.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Содан кейін роутерді қайта жүктеңіз немесе WAN қайта қосылуын мәжбүрлеп, үш ping-ді қайталаңыз, өйткені тек жұмыс істеп тұрған конфигурацияда ғана бар маршрут өмір сүрмейді. Сақтық көшірме файлына экспортталып, кейін қалпына келтірілген конфигурация — бұл тағы бір сынатын жер, өйткені жұмыс кезінде қосылған маршрут экспортта болмауы мүмкін.

Соңында, кез келген VPN немесе маршрут өзгерісін жарияламас бұрын Winbox пен веб-басқаруды белгілі көз мекенжайларымен шектеңіз. Туннельдерді аяқтайтын роутер — басқару нысаны, ал бүкіл әлемге ашық 80 порты жаңа ғана түзеткен маршруттан үлкенірек табылым.