MikroTik PPTP nutrūksta? Sutvarkykite maršrutą iki serverio

RouterOS PPTP klientas prisijungia, perduoda šiek tiek srauto ir tada nutyla, o žurnalas atrodo kaip prisijungimo duomenų arba serverio problema. Paprastai tai nė viena iš jų. Tunelis neša savo paties transporto paketus, nes maršrutas iki serverio sutampa ir su maršrutu, kurį įdiegė tunelis. Kita pusė nustoja girdėti maršruto parinktuvą, ir sesija miršta, kol sąsaja vis dar teigia esanti aktyvi.

Pataisa yra vienas maršrutas arba vienas nustatymas, palaikantis serverį pasiekiamą per fizinį WAN. Kuris, priklauso nuo to, ar maršruto parinktuvas turi būti viso tunelio tinklų sietuva.

Simptomas: prisijungia, perduoda srautą, miršta

Šablonas kartojasi kiekvieną kartą prisijungus iš naujo, ir tai pirmoji naudinga užuomina. Atmestas slaptažodis nepavyksta prieš sąsajai pakylant, neteisinga ugniasienės konfigūracija paprastai blokuoja vieną kryptį, o maršrutizavimo kilpa leidžia sąsajai susieti ir tada ją pasmaugia. Stebėkite skaitiklius: tunelis parodo pradinių paketų pliūpsnį ir tada nieko, o WAN sąsaja toliau siunčia įkapsuliuotas kopijas. Tai maršruto parinktuvas, kuris savo išvestį vėl paduoda sau pačiam.

PPTP tai lengvai iššaukia, nes transportas yra paprastas IP iki serverio adreso, o ne tunelis, kurio tolimasis galas yra kitame potinklyje. Viskas, kas peradresuoja tą adresą, peradresuoja ir transportą.

Kodėl tunelis praryja savo paketus

Kai klientas prisijungia, jis įdiegia maršrutą, kurio tinklų sietuva yra tunelio sąsaja. Jei profilis įdiegia ir numatytąjį maršrutą, tada kiekvienas tikslas be tikslesnio atitikmens, įskaitant viešąjį serverio adresą, sprendžiamas į tunelį. Maršruto parinktuvas įkapsuliuoja paketą, adresuoja išorinį paketą serveriui ir vėl ieško maršruto: tas pats tikslas, tas pats numatytasis, tas pats tunelis. Priklausomai nuo versijos, ta rekursija atmetama, įrašoma į eilę arba sukama kilpoje, kol kita pusė pasiduoda ir nutraukia sesiją.

Įrenginių gamintojai dažnai automatiškai prideda prieglobos maršrutą savo serveriui, būtent kad to išvengtų. RouterOS to nenumato, todėl operatorius turi išreikšti išimtį arba nuo pat pradžių vengti numatytojo maršruto.

Prisekite serverio adresą prie WAN

Pridėkite kuo siauriausią maršrutą: /32 serverio viešajam adresui, su tiekėjo tinklų sietuva kaip kitu šuoliu, sąsajoje, kuri pasiekia internetą. /32 įveikia bet kurį numatytąjį pagal priešdėlio ilgį, o mažesnis atstumas laimi, jei tam pačiam priešdėliui jau yra kitas maršrutas. Tada prisijunkite iš naujo ir patvirtinkite, kad maršrutas aktyvus, o ne tik įrašytas sąraše.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Jei tiekėjo tinklų sietuva sužinoma per DHCP, naudokite tą tinklų sietuvos adresą, kurį įdiegė DHCP, arba pririškite maršrutą prie sąsajos, jei versija tai palaiko. Kietai įrašyta tinklų sietuva, kuri pasikeičia per kitą nuomą, yra atidėtas gedimas. Patikrinkite adresą po WAN prisijungimo iš naujo, nes tada ir pasirodo pasenusi tinklų sietuva, ir tunelis vėl pradeda trūkinėti.

Arba neleiskite tuneliui pasisavinti numatytojo maršruto

Filialas, kuriam reikia vieno nuotolinio LAN, turėtų laikyti PPTP profilį visiškai atokiau nuo numatytojo maršruto. Išjunkite tą parinktį kliento profilyje ir vietoj to pridėkite konkretų maršrutą nuotoliniam priešdėliui per tunelio sąsają. Įprastas srautas lieka WAN, paties tunelio transportas išlaiko natūralų kelią, o maršrutizavimo lentelę tampa lengviau paaiškinti. Tai geresnis sprendimas filialui, kuriam reikia vieno potinklio, o ne maršruto parinktuvui, kuris turėtų būti vietos išėjimas.

Visas tunelis turi savo reikalavimus: politikos pagrindu maršrutizuoti pasirinktiems šaltiniams, grįžtamojo srauto planas ir sprendimas, kas nutinka, kai tunelis nukrenta. Nė vieno iš jų neišsprendžia prieglobos maršrutas, kuris tik palaiko transportą gyvą.

Tikrinkite sluoksniais, tada uždarykite valdymo skylę

Bandykite sluoksniais: pinginkite viešąjį serverio adresą prieš prisijungdami, ping nuotolinę tinklų sietuvą po prisijungimo, tada ping prieglobą nuotoliniame LAN. Pridėkite masquerade tunelio sąsajoje, jei prieglobos už maršruto parinktuvo turi gauti atsakymus per ją.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Tada paleiskite maršruto parinktuvą iš naujo arba priverstinai prisijunkite prie WAN iš naujo ir pakartokite tris ping, nes maršrutas, egzistuojantis tik veikiančioje konfigūracijoje, neišliks. Konfigūracija, eksportuota į atsarginę kopiją ir vėliau atkurta, yra kita vieta, kur tai lūžta, nes maršrutas gali trūkti eksporte, jei buvo pridėtas vykdymo metu.

Galiausiai apribokite Winbox ir žiniatinklio valdymą žinomais šaltinio adresais prieš skelbdami bet kokį VPN ar maršruto pakeitimą. Maršruto parinktuvas, užbaigiantis tunelius, yra valdymo taikinys, o pasauliui atviras 80 prievadas yra didesnis radinys nei ką tik sutaisytas maršrutas.