MikroTik PPTP fell? Fiks ruta til tenaren

Ein PPTP-klient på RouterOS koplar til, flyttar litt trafikk og blir deretter død, og loggen ser ut som eit problem med påloggingsinformasjon eller tenaren. Som regel er det ingen av delane. Tunnelen ber sine eigne transportpakkar fordi ruta til tenaren også passar med ruta tunnelen installerte. Motparten sluttar å høyre ruteren, og økta døyr medan grensesnittet framleis hevdar at det er oppe.

Løysinga er éi rute, eller éin innstilling, som held tenaren tilgjengeleg over det fysiske WAN-et. Kva for ei, kjem an på om ruteren skal vere gateway for ein full tunnel.

Symptomet: koplar til, flyttar trafikk, døyr

Mønsteret gientar seg ved kvar gjenkopling, og det er det første nyttige sporet. Eit avvist passord feilar før grensesnittet kjem opp, ein feilkonfigurert brannmur blokkerer vanlegvis éin retning, og ei rutingsløyfe lèt grensesnittet kome opp og kveler det deretter. Sjå på teljarane: tunnelen viser ei byge av første pakkar og deretter ingenting, medan WAN-grensesnittet held fram med å sende innkapsla kopiar. Det er ein ruter som fôrar sin eigen utgang tilbake i seg sjølv.

PPTP gjer dette lett å utløyse fordi transporten er rein IP til adressa til tenaren, ikkje ein tunnel der den fjerne enden ligg i eit anna subnett. Alt som omdirigerer den adressa, omdirigerer transporten med henne.

Kvifor tunnelen svelgjer sine eigne pakkar

Når klienten koplar til, installerar han ei rute der gatewayen er tunellgrensesnittet. Viss profilen også installerar ei standardrute, blir kvar destinasjon utan ein meir spesifikk treff, inkludert den offentlege adressa til tenaren, løyst til tunnelen. Ruteren kapslar inn pakken, adresserer den ytre pakken til tenaren og slår opp ruta igjen: same destinasjon, same standard, same tunnel. Avhengig av versjonen blir denne rekursjonen forkasta, sett i kø eller køyrd i løkke til motparten gir opp og riv ned økta.

Apparatprodusentar legg ofte automatisk til ei vertsrute for sin eigen tenar, nettopp for å unngå dette. RouterOS føreset det ikkje, så operatøren må uttrykke unntaket eller unngå standardruta frå starten.

Fest tenaradressa til WAN-et

Legg til den smalaste moglege ruta: ei /32 for den offentlege adressa til tenaren, med gatewayen til leverandøren som neste hopp, på grensesnittet som når internett. Ei /32 slår kvar standard på prefikslengd, og kortare avstand vinn viss det allereie finst ei anna rute for same prefiks. Kopla deretter til igjen og stadfest at ruta er aktiv og ikkje berre til stades i lista.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Viss gatewayen til leverandøren blir lærd via DHCP, bruk gatewayadressa DHCP installerte, eller bind ruta til grensesnittet viss versjonen støttar det. Ein hardkoda gateway som endrar seg ved neste leige er ein forseinka feil. Sjekk adressa etter ei WAN-gjenkopling, for det er då ein utdatert gateway dukkar opp og tunnelen byrjar å falle igjen.

Eller hindre tunnelen i å krevje standardruta

Ein filial som treng eitt eksternt LAN, bør halde PPTP-profilen heilt unna standardruta. Slå av det valet i klientprofilen og legg i staden til ei spesifikk rute for det eksterne prefikset gjennom tunellgrensesnittet. Vanleg trafikk blir på WAN-et, den eigne transporten til tunnelen held sin naturlege veg, og rutetabellen blir enklare å forklare. Det er den betre løysinga for ein filial som treng eitt subnett, ikkje for ein ruter som skal vere utgangen til staden.

Full tunnel har sine eigne krav: policy-ruting for utvalde kjelder, ein plan for returtrafikk og ei avgjerd om kva som skjer når tunnelen fell. Ingenting av dette blir løyst av vertsruta, som berre held transporten i live.

Stadfest i lag, og lukk deretter administrasjonsholet

Test i lag: ping den offentlege adressa til tenaren før du koplar til, ping den eksterne gatewayen etter tilkopling, og ping deretter ein vert på det eksterne LAN-et. Legg til masquerade på tunellgrensesnittet viss vertar bak ruteren treng at svara kjem tilbake gjennom det.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Start deretter ruteren på nytt eller tving ei WAN-gjenkopling, og gjer dei tre pinga om att, for ei rute som berre finst i den køyrande konfigurasjonen overlever ikkje. Ein konfigurasjon som blir eksportert til ein tryggleikskopi og gjenoppretta seinare, er den andre staden dette bryt, sidan ruta kan mangle i eksporten viss ho vart lagd til under køyring.

Til slutt, avgrens Winbox og webadministrasjon til kjende kjeldeadresser før du publiserer noka VPN- eller ruteendring. Ein ruter som terminerer tunnelar er eit administrasjonsmål, og port 80 open mot verda er eit større funn enn ruta du nettopp fiksa.