MikroTik PPTP паѓа? Поправете ја рутата до серверот

PPTP клиент на RouterOS се поврзува, пренесува малку сообраќај и потоа замолчува, а дневникот изгледа како проблем со акредитиви или со серверот. Обично не е ниту едното. Тунелот ги носи сопствените транспортни пакети, бидејќи рутата до серверот се совпаѓа и со рутата што ја инсталирал тунелот. Спротивната страна престанува да го слуша рутерот, и сесијата умира додека интерфејсот се уште тврди дека е активен.

Поправката е една рута или едно поставување што го држи серверот достапен преку физичкиот WAN. Кое од двете зависи од тоа дали рутерот треба да биде порта за целосен тунел.

Симптомот: се поврзува, пренесува сообраќај, умира

Моделот се повторува при секое повторно поврзување, и тоа е првиот корисен знак. Одбиена лозинка не успева пред интерфејсот да се подигне, погрешна конфигурација на огнениот ѕид обично блокира еден правец, а маршрутната јамка му дозволува на интерфејсот да се воспостави и потоа го задушува. Гледајте ги бројачите: тунелот покажува излив на почетни пакети и потоа ништо, додека WAN интерфејсот продолжува да праќа инкапсулирани копии. Тоа е рутер што го враќа сопствениот излез назад во себе.

PPTP го олеснува ова бидејќи транспортот е обичен IP до адресата на серверот, а не тунел чиј далечен крај лежи во друга подмрежа. Се што ја преусмерува таа адреса го преусмерува и транспортот со неа.

Зошто тунелот ги голта сопствените пакети

Кога клиентот се поврзува, тој инсталира рута чија порта е интерфејсот на тунелот. Ако профилот инсталира и стандардна рута, тогаш секоја дестинација без поспецифично совпаѓање, вклучително јавната адреса на серверот, се решава кон тунелот. Рутерот го инкапсулира пакетот, ја адресира надворешниот пакет кон серверот и повторно ја бара рутата: иста дестинација, иста стандардна, ист тунел. Во зависност од верзијата, таа рекурзија се отфрла, се става во ред или се врти во јамка додека спротивната страна не се откаже и не ја прекине сесијата.

Производителите на уреди често автоматски додаваат рута до домаќин за сопствениот сервер, токму за да го избегнат ова. RouterOS не го претпоставува тоа, па операторот мора да го изрази исклучокот или однапред да ја избегне стандардната рута.

Прикачете ја адресата на серверот на WAN

Додајте најтесната можна рута: /32 за јавната адреса на серверот, со портата на провајдерот како следен скок, на интерфејсот што стигнува до интернет. /32 победува секоја стандардна по должина на префиксот, а помало растојание победува ако веќе постои друга рута за истиот префикс. Потоа поврзете се повторно и потврдете дека рутата е активна, а не само присутна во списокот.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Ако портата на провајдерот се учи преку DHCP, користете ја адресата на портата што ја инсталирал DHCP, или врзете ја рутата за интерфејсот ако верзијата го поддржува тоа. Тврдо кодирана порта што се менува при следниот закуп е одложен дефект. Проверете ја адресата по повторното поврзување на WAN, бидејќи тогаш се појавува застарена порта и тунелот повторно почнува да паѓа.

Или спречете тунелот да ја присвои стандардната рута

Огранок што бара една оддалечена LAN треба целосно да го држи PPTP профилот подалеку од стандардната рута. Исклучете ја таа опција во профилот на клиентот и наместо тоа додајте конкретна рута за оддалечениот префикс преку интерфејсот на тунелот. Обичниот сообраќај останува на WAN, сопствениот транспорт на тунелот го задржува природниот пат, и табелата за маршрутирање станува полесна за објаснување. Тоа е подобриот дизајн за огранок што бара една подмрежа, не за рутер што треба да биде излезот на локацијата.

Целосниот тунел има свои барања: маршрутирање по политика за избрани извори, план за повратниот сообраќај и одлука за тоа што се случува кога тунелот паѓа. Ништо од тоа не го решава рутата до домаќин, која само го држи транспортот жив.

Проверете по слоеви, потоа затворете ја административната дупка

Тестирајте по слоеви: пинг до јавната адреса на серверот пред поврзување, пинг до оддалечената порта по поврзувањето, потоа пинг до домаќин во оддалечената LAN. Додајте masquerade на интерфејсот на тунелот ако домаќините зад рутерот треба да добиваат одговори преку него.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Потоа рестартирајте го рутерот или присилно повторете го поврзувањето на WAN и повторете ги трите пинг, бидејќи рута што постои само во тековната конфигурација нема да преживее. Конфигурацијата извезена во резервна копија и подоцна вратена е другото место каде што ова се крши, бидејќи рутата може да недостасува во извозот ако е додадена за време на работа.

На крајот, ограничете ги Winbox и веб-администрацијата на познати изворни адреси пред да објавите каква било промена на VPN или рута. Рутер што завршува тунели е административна цел, а портата 80 отворена за светот е поголемо откритие од рутата што штотуку ја поправивте.