MikroTik PPTP padá? Opravte trasu k serveru

Klient PPTP v RouterOS sa pripojí, prenesie trochu prevádzky a potom prestane komunikovať, pričom záznam vyzerá ako problém s prihlasovacími údajmi alebo so serverom. Zvyčajne nie je ani jedno. Tunel prenáša vlastné transportné pakety, pretože trasa k serveru zodpovedá aj trase, ktorú tunel nainštaloval. Protiľahlý koniec prestane dostávať odpovede od routera a relácia zanikne, hoci rozhranie stále tvrdí, že je aktívne.

Riešením je jedna trasa alebo jedno nastavenie, ktoré udrží server dostupný cez fyzické WAN. Ktoré z nich to je, závisí od toho, či má router slúžiť ako brána s plným tunelom.

Príznak: pripojí sa, prenesie prevádzku, zanikne

Vzorec sa opakuje pri každom opätovnom pripojení, a to je prvý užitočný náznak. Odmietnuté heslo zlyhá skôr, než rozhranie nabehne, chybná konfigurácia firewallu zvyčajne zablokuje jeden smer a smerovacia slučka umožní rozhraniu nadviazať spojenie a potom ho zadusí. Sledujte počítadlá: tunel ukáže náraz úvodných paketov a potom nič, kým rozhranie WAN neustále vysiela zapuzdrené kópie. To router posiela vlastný výstup späť do seba.

Pri PPTP sa to ľahko spustí, pretože transport je obyčajné IP na adresu servera, nie tunel, ktorého vzdialený koniec leží v inej podsieti. Čokoľvek presmeruje túto adresu, presmeruje spolu s ňou aj transport.

Prečo tunel prehltne vlastné pakety

Keď sa klient pripojí, nainštaluje trasu, ktorej bránou je rozhranie tunela. Ak profil nainštaluje aj predvolenú trasu, každý cieľ bez konkrétnejšej zhody, vrátane verejnej adresy servera, sa vyhodnotí smerom do tunela. Router zapuzdrie paket, adresuje vonkajší paket serveru a znova vyhľadá trasu: rovnaký cieľ, rovnaká predvolená trasa, rovnaký tunel. Podľa verzie sa táto rekurzia zahodí, zaradí do fronty alebo sa opakuje, kým protiľahlý koniec nevzdá spojenie a nezruší reláciu.

Výrobcovia zariadení často automaticky pridávajú hostiteľskú trasu pre svoj vlastný server práve preto, aby sa tomu vyhli. RouterOS to nepredpokladá, takže správca musí výnimku vyjadriť, alebo sa predvolenej trase hneď od začiatku vyhnúť.

Pripevnite adresu servera na WAN

Pridajte čo najužšiu trasu: /32 pre verejnú adresu servera s bránou poskytovateľa ako ďalším skokom na rozhraní, ktoré vedie do internetu. Trasa /32 prekoná každú predvolenú trasu dĺžkou prefixu a pri už existujúcej trase s rovnakým prefixom vyhrá nižšia vzdialenosť. Potom sa znova pripojte a overte, že trasa je aktívna, nielen že je uvedená v zozname.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Ak sa brána poskytovateľa získava cez DHCP, použite adresu brány, ktorú DHCP nainštaloval, alebo pripnite trasu k rozhraniu, ak to daná verzia podporuje. Natvrdo zadaná brána, ktorá sa pri ďalšom prenájme zmení, je oneskorená porucha. Skontrolujte adresu po opätovnom pripojení WAN, pretože práve vtedy sa objaví zastaraná brána a tunel začne znova padať.

Alebo zabráňte tunelu prevziať predvolenú trasu

Pobočka, ktorá potrebuje jednu vzdialenú LAN, by mala profil PPTP úplne držať mimo predvolenej trasy. Vypnite túto možnosť v profile klienta a namiesto toho pridajte konkrétnu trasu pre vzdialený prefix cez rozhranie tunela. Bežná prevádzka zostane na WAN, vlastný transport tunela si zachová prirodzenú cestu a smerovacia tabuľka sa dá ľahšie vysvetliť. To je lepší návrh pre pobočku, ktorá potrebuje jednu podsiet, nie pre router, ktorý má byť odchodom celej lokality.

Plný tunel má vlastné požiadavky: smerovanie podľa zásad pre vybrané zdroje, plán pre návratovú prevádzku a rozhodnutie o tom, čo sa stane, keď tunel vypadne. Nič z toho hostiteľská trasa nerieši, tá udrží nažive iba transport.

Overujte po vrstvách a potom zatvorte dieru v správe

Testujte po vrstvách: pred pripojením pingnite verejnú adresu servera, po pripojení pingnite vzdialenú bránu a potom pingnite hostiteľa vo vzdialenej LAN. Pridajte maskovanie na rozhraní tunela, ak hostitelia za routerom potrebujú, aby sa odpovede vracali cez neho.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Potom reštartujte router alebo vynúťte opätovné pripojenie WAN a tri pingy zopakujte, pretože trasa, ktorá existuje len v bežiacej konfigurácii, neprežije. Druhým miestom, kde sa to pokazí, je konfigurácia exportovaná do záložného súboru a neskôr obnovená, pretože trasa môže v exporte chýbať, ak bola pridaná za behu.

Nakoniec obmedzte Winbox a webovú správu na známe zdrojové adresy skôr, než zverejníte akúkoľvek zmenu VPN alebo trasy. Router, ktorý ukončuje tunely, je cieľom správy a port 80 otvorený do sveta je väčší nález než trasa, ktorú ste práve opravili.