MikroTik PPTP отпада? Поправите руту до сервера

PPTP клијент у систему RouterOS се повеже, пренесе мало саобраћаја и затим утихне, а лог изгледа као проблем са акредитивима или сервером. Обично ниједно од тога није тачно. Тунел преноси сопствене транспортне пакете јер се рута до сервера поклапа и са рутом коју је тунел инсталирао. Друга страна престане да чује рутер и сесија умире, док интерфејс и даље тврди да је активан.

Решење је једна рута или једно подешавање које држи сервер доступним преко физичког WAN-а. Које од тога зависи од тога да ли рутер треба да буде гејтвеј са пуним тунелом.

Симптом: повеже се, пренесе саобраћај, умире

Образац се понавља при сваком поновном повезивању, а то је први користан траг. Одбијена лозинка пада пре него што интерфејс устане, погрешна конфигурација заштитног зида обично блокира један смер, а рутинг петља пусти интерфејс да се успостави и затим га угуши. Гледајте бројаче: тунел покаже налет почетних пакета и затим ништа, док WAN интерфејс наставља да шаље умотане копије. То рутер храни сопствени излаз назад у себе.

PPTP то чини лаким за покретање јер је транспорт обичан IP ка адреси сервера, а не тунел чији удаљени крај лежи у другој мрежи. Све што преусмери ту адресу преусмерава и транспорт са њом.

Зашто тунел гута сопствене пакете

Када се клијент повеже, инсталира руту чији је гејтвеј интерфејс тунела. Ако профил инсталира и подразумевану руту, онда се свако одредиште без специфичнијег поклапања, укључујући јавну адресу сервера, разрешава ка тунелу. Рутер умота пакет, адресира спољашњи пакет ка серверу и поново тражи руту: исто одредиште, иста подразумевана рута, исти тунел. У зависности од издања, та рекурзија се одбацује, ставља у ред или понавља док друга страна не одустане и не прекине сесију.

Произвођачи уређаја често аутоматски додају хост руту за сопствени сервер, управо да би то избегли. RouterOS то не претпоставља, па оператер мора да изрази изузетак или да се од почетка клони подразумеване руте.

Закуцајте адресу сервера на WAN

Додајте најужу могућу руту: /32 за јавну адресу сервера, са гејтвејом провајдера као следећим скоком, на интерфејсу који стиже до интернета. Рута /32 побеђује сваку подразумевану руту по дужини префикса, а мања дистанца побеђује ако већ постоји друга рута за исти префикс. Затим се поново повежите и потврдите да је рута активна, а не само да стоји на листи.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Ако се гејтвеј провајдера учи преко DHCP-а, користите адресу гејтвеја коју је DHCP инсталирао, или вежите руту за интерфејс ако то издање подржава. Тврдо уписан гејтвеј који се промени при следећем закупу је одложени квар. Проверите адресу после поновног WAN повезивања, јер тада се појави застарео гејтвеј и тунел поново почне да отпада.

Или спречите тунел да преузме подразумевану руту

Огранак коме треба једна удаљена LAN мрежа треба потпуно да држи PPTP профил далеко од подразумеване руте. Искључите ту опцију у профилу клијента и уместо тога додајте посебну руту за удаљени префикс кроз интерфејс тунела. Уобичајен саобраћај остаје на WAN-у, сопствени транспорт тунела задржава природан пут, а табела рутирања постаје лакша за објашњење. Ово је бољи дизајн за огранак коме треба једна подмрежа, не за рутер који треба да буде излаз локације.

Пун тунел има сопствене захтеве: рутирање по политици за изабране изворе, план за повратни саобраћај и одлуку о томе шта се дешава када тунел падне. Ништа од тога не решава хост рута, која одржава у животу само транспорт.

Проверавајте по слојевима, па затворите рупу у управљању

Тестирајте по слојевима: пре повезивања пингните јавну адресу сервера, после повезивања пингните удаљени гејтвеј, а затим пингните домаћина на удаљеној LAN мрежи. Додајте маскараду на интерфејс тунела ако домаћини иза рутера треба да добију одговоре кроз њега.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Затим поново покрените рутер или насилно поново повежите WAN и поновите три пинга, јер рута која постоји само у текућој конфигурацији неће преживети. Друго место где се то ломи је конфигурација извезена у резервни фајл и касније враћена, јер рута може да недостаје у извозу ако је додата током рада.

Најзад, ограничите Winbox и веб управљање на познате изворне адресе пре него што објавите било какву промену VPN-а или руте. Рутер који завршава тунеле је мета за управљање, а порт 80 отворен према свету је већи налаз од руте коју сте управо поправили.