PPTP MikroTik terputus? Betulkan laluan ke pelayan

Klien PPTP pada RouterOS bersambung, memindahkan sedikit trafik dan kemudian mati, dan log kelihatan seperti masalah kelayakan atau pelayan. Biasanya bukan kedua-duanya. Terowong membawa paket pengangkutannya sendiri kerana laluan ke pelayan juga sepadan dengan laluan yang dipasang oleh terowong. Pihak lawan berhenti mendengar penghala, dan sesi mati sementara antara muka masih mendakwa ia aktif.

Pembetulannya ialah satu laluan, atau satu tetapan, yang memastikan pelayan boleh dicapai melalui WAN fizikal. Yang mana satu bergantung pada sama ada penghala itu sepatutnya menjadi get laluan terowong penuh.

Gejalanya: bersambung, memindahkan trafik, mati

Corak itu berulang pada setiap sambungan semula, dan itulah petunjuk pertama yang berguna. Kata laluan yang ditolak gagal sebelum antara muka naik, salah konfigurasi tembok api biasanya menyekat satu arah, dan gelung penghalaan membiarkan antara muka terbentuk lalu mencekiknya. Perhatikan pembilang: terowong menunjukkan letusan paket awal dan kemudian tiada apa-apa, sementara antara muka WAN terus menghantar salinan terbungkus. Itu penghala yang menyuap outputnya sendiri kembali ke dalam dirinya.

PPTP memudahkan ini dicetuskan kerana pengangkutannya ialah IP biasa ke alamat pelayan, bukan terowong yang hujung jauhnya terletak dalam subrangkaian lain. Apa-apa yang mengalihkan alamat itu turut mengalihkan pengangkutannya.

Mengapa terowong menelan paketnya sendiri

Apabila klien bersambung, ia memasang laluan yang getnya ialah antara muka terowong. Jika profil juga memasang laluan lalai, maka setiap destinasi tanpa padanan lebih khusus, termasuk alamat awam pelayan, diselesaikan ke terowong. Penghala membungkus paket itu, mengalamatkan paket luar ke pelayan dan mencari laluan sekali lagi: destinasi sama, lalai sama, terowong sama. Bergantung pada versi, rekursi itu digugurkan, dibariskan atau digelung sehingga pihak lawan berputus asa dan memutuskan sesi.

Pengeluar perkakas sering menambah laluan hos untuk pelayan mereka sendiri secara automatik, semata-mata untuk mengelakkan ini. RouterOS tidak menganggapnya, jadi pengendali mesti menyatakan pengecualian atau mengelakkan laluan lalai sejak awal.

Pin alamat pelayan pada WAN

Tambah laluan tersempit yang mungkin: /32 untuk alamat awam pelayan, dengan get pembekal sebagai hop seterusnya, pada antara muka yang sampai ke internet. /32 menewaskan mana-mana lalai mengikut panjang awalan, dan jarak lebih rendah menang jika sudah ada laluan lain untuk awalan yang sama. Kemudian sambung semula dan sahkan laluan itu aktif, bukan sekadar ada dalam senarai.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Jika get pembekal dipelajari melalui DHCP, gunakan alamat get yang dipasang oleh DHCP, atau ikat laluan pada antara muka jika versi menyokongnya. Get berkod keras yang berubah pada pajakan seterusnya ialah kegagalan tertunda. Semak alamat itu selepas sambungan semula WAN, kerana ketika itulah get lapuk muncul dan terowong mula terputus lagi.

Atau halang terowong daripada menuntut laluan lalai

Cawangan yang hanya memerlukan satu LAN jauh harus menjauhkan profil PPTP sepenuhnya daripada laluan lalai. Matikan pilihan itu dalam profil klien dan sebaliknya tambah laluan khusus untuk awalan jauh melalui antara muka terowong. Trafik biasa kekal di WAN, pengangkutan terowong mengekalkan laluan semula jadinya, dan jadual penghalaan menjadi lebih mudah dijelaskan. Ini reka bentuk yang lebih baik untuk cawangan yang memerlukan satu subrangkaian, bukan untuk penghala yang sepatutnya menjadi jalan keluar tapak.

Terowong penuh mempunyai keperluannya sendiri: penghalaan berasaskan dasar untuk sumber terpilih, pelan untuk trafik balasan, dan keputusan tentang apa yang berlaku apabila terowong jatuh. Tiada satu pun diselesaikan oleh laluan hos, yang hanya memastikan pengangkutan hidup.

Sahkan mengikut lapisan, kemudian tutup lubang pengurusan

Uji mengikut lapisan: ping alamat awam pelayan sebelum bersambung, ping get jauh selepas bersambung, kemudian ping hos dalam LAN jauh. Tambah masquerade pada antara muka terowong jika hos di belakang penghala memerlukan balasan kembali melaluinya.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Kemudian but semula penghala atau paksa sambungan semula WAN dan ulangi tiga ping itu, kerana laluan yang hanya wujud dalam konfigurasi yang berjalan tidak akan bertahan. Konfigurasi yang dieksport ke fail sandaran dan dipulihkan kemudian ialah tempat lain perkara ini rosak, kerana laluan mungkin tiada dalam eksport jika ia ditambah semasa masa jalan.

Akhir sekali, hadkan Winbox dan pengurusan web kepada alamat sumber yang diketahui sebelum menerbitkan sebarang perubahan VPN atau laluan. Penghala yang menamatkan terowong ialah sasaran pengurusan, dan port 80 terbuka kepada dunia ialah penemuan yang lebih besar daripada laluan yang baru anda betulkan.