Clientes PPTP no DD-WRT não se alcançam: cinco verificações

Dois portáteis ligam-se ao servidor PPTP de um equipamento DD-WRT, cada um recebe um endereço, e nenhum consegue fazer ping ao outro. As pastas partilhadas nunca aparecem e a primeira ideia é que a máscara 255.255.255.255 distribuída pelo router tem de estar errada. Não é a causa, e alterá-la não criará um único novo vizinho. Faça as cinco verificações abaixo por ordem e pare assim que uma falhar, porque cada uma tem a sua cura.

Verificação um: a /32 não é o defeito

O PPTP transporta PPP, e um link PPP une exatamente dois extremos: o seu cliente e o servidor. Uma máscara de rede descreve que endereços partilham um segmento local, e aqui não há segmento, apenas o par na outra ponta de um cabo. Uma máscara só de uns diz precisamente isso, por isso o DD-WRT está a distribuir o valor correto para este tipo de link. O endereço é um endereço de par, não um endereço de interface numa LAN.

Uma máscara 255.255.255.0 pertence a um meio partilhado com centenas de dispositivos, e colocá-la numa interface PPP também não tornaria o outro lado do túnel um vizinho.

Verificação dois: leia os valores da página do servidor PPTP

Todas as definições que importam estão em Serviços, VPN, Servidor PPTP. Ative o servidor, defina o endereço do servidor como o endereço LAN do router e mantenha o intervalo de clientes fora do pool DHCP, para que um cliente que marca e uma máquina com cabo não recebam o mesmo endereço. Em CHAP-Secrets acrescente uma linha por conta na forma username * password *, sem espaços dentro do nome. Aplique e depois ligue-se com um perfil que nomeie o router e uma dessas contas.

Onde o cliente para diz-lhe que camada inspecionar. Um cliente que se autentica mas não recebe endereço é um problema de pool ou de segredos; um cliente que recebe um endereço e não alcança nada é um problema de encaminhamento ou de firewall.

Verificação três: procure uma rota entre os dois pares

Cada túnel que termina no router é a sua própria interface, normalmente ppp0, ppp1 e por aí adiante. O tráfego de um cliente para o outro tem de ser encaminhado entre essas interfaces, e o router tem de estar disposto a reencaminhá-lo. Execute ip route no router e procure uma rota de host para cada par ligado, apontando para a interface PPP correspondente. Se faltar uma rota a um par, o túnel não está totalmente levantado, diga o que disser o ecrã de estado do cliente.

Duas rotas de host para duas interfaces ppp separadas é a forma que quer antes de ir mais longe.

Verificação quatro: veja a cadeia FORWARD, não a INPUT

O tráfego entre clientes é reencaminhado, não aceite localmente, por isso a cadeia INPUT é o lugar errado. Execute iptables -L FORWARD -v -n e procure uma regra de descarte que apanhe as interfaces PPP, mais os contadores de pacotes que mostram se alguma coisa chega à cadeia. Uma política de descarte predefinida sem regra de aceitação para tráfego de túnel produz exatamente o sintoma com que começou: cada cliente sozinho está bem, juntos são invisíveis um para o outro.

Se os pings pequenos funcionam e as transferências grandes encravam, o túnel está a ser fragmentado em vez de bloqueado. O PPTP sobre PPP quer normalmente MTU e MRU à volta de 1450, e deixá-los em 1500 dá um link que passa os apertos de mão e falha em cargas reais.

Verificação cinco: decida o que o acesso à internet deve fazer

Os clientes que devem navegar pelo escritório precisam de tradução de endereço de origem para a interface WAN. Os clientes que só devem chegar à LAN precisam de uma rota e de mais nada. São intenções diferentes com conjuntos de regras diferentes, e a pergunta da máscara esconde por completo esta segunda decisão. Anote o comportamento que queria antes de acrescentar uma única regra, porque um cliente que sai inesperadamente pela linha do escritório é uma surpresa que aparece numa reunião e não num registo.

Uma última nota, alheia à correção: o PPTP está obsoleto e a sua autenticação está quebrada há anos. A lista acima continua a explicar o que faz um link PPP, e o mesmo raciocínio aplica-se se mais tarde mudar os clientes para um túnel moderno.