MikroTik PPTP pada? Popravite pot do strežnika

Odjemalec PPTP v sistemu RouterOS se poveže, prenese nekaj prometa in nato preneha delovati, dnevnik pa je videti kot težava s poverilnicami ali s strežnikom. Običajno ni ne eno ne drugo. Tunel prenaša lastne transportne pakete, ker se pot do strežnika ujema tudi s potjo, ki jo je namestil tunel. Nasprotni konec neha slišati usmerjevalnik in seja umre, medtem ko vmesnik še vedno trdi, da je aktiven.

Rešitev je ena pot ali ena nastavitev, ki ohrani strežnik dosegljiv prek fizičnega WAN. Katera od možnosti je prava, je odvisno od tega, ali naj bo usmerjevalnik prehod s polnim tunelom.

Simptom: poveže se, prenese promet, umre

Vzorec se ponovi ob vsaki ponovni povezavi, kar je prvi koristen namig. Zavrnjeno geslo odpove, preden se vmesnik dvigne, napačna konfiguracija požarnega zidu običajno blokira eno smer, usmerjevalna zanka pa vmesniku dovoli vzpostavitev in ga nato zadavi. Opazujte števce: tunel pokaže izbruh začetnih paketov in nato nič, medtem ko vmesnik WAN nenehno pošilja ovite kopije. To je usmerjevalnik, ki svoj lastni izhod pošilja nazaj vase.

Pri PPTP je to lahko sprožiti, ker je transport navaden IP na naslov strežnika, ne tunel, katerega oddaljeni konec leži v drugem podomrežju. Kar preusmeri ta naslov, preusmeri tudi transport.

Zakaj tunel pogoltne svoje pakete

Ko se odjemalec poveže, namesti pot, katere prehod je vmesnik tunela. Če profil namesti tudi privzeto pot, se vsak cilj brez natančnejšega ujemanja, vključno z javnim naslovom strežnika, razreši v tunel. Usmerjevalnik ovije paket, zunanji paket naslovi na strežnik in znova poišče pot: isti cilj, ista privzeta pot, isti tunel. Odvisno od različice se ta rekurzija zavrže, postavi v čakalno vrsto ali ponavlja, dokler nasprotni konec ne obupa in seje ne prekine.

Proizvajalci naprav pogosto samodejno dodajo gostiteljsko pot za svoj strežnik prav zato, da bi se temu izognili. RouterOS tega ne predpostavi, zato mora skrbnik izjemo izraziti ali pa se privzeti poti že v začetku izogniti.

Pripnite naslov strežnika na WAN

Dodajte čim ožjo pot: /32 za javni naslov strežnika s prehodom ponudnika kot naslednjim skokom na vmesniku, ki doseže internet. Pot /32 premaga vsako privzeto pot po dolžini predpone, pri že obstoječi poti z isto predpono pa zmaga manjša razdalja. Nato se znova povežite in potrdite, da je pot dejavna, ne le prisotna na seznamu.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Če prehod ponudnika pridobivate prek DHCP, uporabite naslov prehoda, ki ga je namestil DHCP, ali pa pot privežite na vmesnik, če to različica podpira. Trdo zapisan prehod, ki se ob naslednjem najemu spremeni, je odložena okvara. Preverite naslov po ponovni povezavi WAN, ker se takrat pokaže zastarel prehod in tunel znova začne padati.

Ali preprečite tunelu, da prevzame privzeto pot

Podružnica, ki potrebuje eno oddaljeno omrežje LAN, naj profil PPTP v celoti drži stran od privzete poti. To možnost izklopite v profilu odjemalca in namesto tega dodajte posebno pot za oddaljeno predpono prek vmesnika tunela. Navaden promet ostane na WAN, lastni transport tunela ohrani naravno pot in usmerjevalna tabela postane lažje razložljiva. To je boljša zasnova za podružnico, ki potrebuje eno podomrežje, ne za usmerjevalnik, ki naj bi bil izhod lokacije.

Polni tunel ima svoje zahteve: usmerjanje po pravilniku za izbrane vire, načrt za povratni promet in odločitev, kaj se zgodi, ko tunel pade. Nič od tega ne reši gostiteljska pot, ki ohranja pri življenju le transport.

Preverjajte po plasteh, nato zaprite vrzel v upravljanju

Preizkušajte po plasteh: pred povezavo pingajte javni naslov strežnika, po povezavi pingajte oddaljeni prehod in nato gostitelja v oddaljenem omrežju LAN. Dodajte maskiranje na vmesniku tunela, če gostitelji za usmerjevalnikom potrebujejo, da se odgovori vrnejo skozi njega.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Nato znova zaženite usmerjevalnik ali vsilite ponovno povezavo WAN in tri pine ponovite, ker pot, ki obstaja le v tekoči konfiguraciji, ne bo preživela. Drugo mesto, kjer se to zlomi, je konfiguracija, izvožena v varnostno kopijo in pozneje obnovljena, saj pot v izvozu lahko manjka, če je bila dodana med delovanjem.

Nazadnje omejite Winbox in spletno upravljanje na znane izvorne naslove, preden objavite kakršno koli spremembo VPN ali poti. Usmerjevalnik, ki zaključuje tunele, je upravljalski cilj, in vrata 80, odprta v svet, so večja ugotovitev kot pot, ki ste jo pravkar popravili.