MikroTik PPTP uzilyaptimi? Serverga marshrutni tuzating

RouterOS'dagi PPTP mijozi ulanadi, biroz trafik o'tkazadi va keyin jim qoladi, jurnal esa hisob ma'lumotlari yoki server muammosiga o'xshaydi. Odatda ikkalasi ham emas. Tunnel o'z transport paketlarini tashiyapti, chunki serverga boradigan marshrut tunnel o'rnatgan marshrutga ham mos keladi. Qarshi tomon routerdan eshitishni to'xtatadi va interfeys hali ham ishlayotganini da'vo qilsa-da, sessiya o'ladi.

Yechim — serverni jismoniy WAN orqali yetib boradigan holatda ushlab turadigan bitta marshrut yoki bitta sozlama. Qaysi biri ekani router to'liq tunnelli shlyuz bo'lishi kerakligiga bog'liq.

Alomat: ulanadi, trafik o'tkazadi, o'ladi

Naqsh har qayta ulanishda takrorlanadi va bu birinchi foydali ishora. Rad etilgan parol interfeys ko'tarilishidan oldin muvaffaqiyatsiz bo'ladi, noto'g'ri firewall sozlamasi odatda bitta yo'nalishni to'sadi, marshrut halqasi esa interfeys o'rnatilishiga yo'l qo'yib, keyin uni bo'g'adi. Hisoblagichlarga qarang: tunnel boshlang'ich paketlar portlashini ko'rsatadi, keyin hech narsa yo'q, WAN interfeysi esa o'ralgan nusxalarni yuborishda davom etadi. Bu o'z chiqishini yana o'ziga qaytarayotgan router.

PPTP buni qo'zg'atishni osonlashtiradi, chunki transport server manziliga ketayotgan oddiy IP, boshqa subnetda joylashgan uzoq uchi bor tunnel emas. Bu manzilni boshqa yoqqa burgan har qanday narsa transportni ham birga buradi.

Tunnel nima uchun o'z paketlarini yutadi

Mijoz ulanganda shlyuzi tunnel interfeysi bo'lgan marshrutni o'rnatadi. Agar profil standart marshrutni ham o'rnatsa, aniqroq mos kelishi bo'lmagan har bir manzil, jumladan serverning ommaviy manzili ham, tunnelga yo'naltiriladi. Router paketni o'raydi, tashqi paketni serverga manzillaydi va marshrutni yana qidiradi: bir xil manzil, bir xil standart, bir xil tunnel. Versiyaga qarab bu rekursiya tashlanadi, navbatga qo'yiladi yoki qarshi tomon taslim bo'lib sessiyani uzguncha aylanadi.

Qurilma ishlab chiqaruvchilari ko'pincha o'z serverlari uchun xost marshrutini avtomatik qo'shadi, aynan shundan qochish uchun. RouterOS buni nazarda tutmaydi, shuning uchun operator istisnoni ifodalashi yoki boshidan standart marshrutdan qochishi kerak.

Server manzilini WAN'ga bog'lab qo'ying

Iloji boricha tor marshrut qo'shing: serverning ommaviy manzili uchun /32, keyingi sakrash sifatida provayder shlyuzi, internetga chiqadigan interfeysda. /32 prefiks uzunligi bo'yicha har qanday standartdan ustun keladi, agar bir xil prefiks uchun boshqa marshrut allaqachon bo'lsa, kichikroq masofa g'olib bo'ladi. Keyin qayta ulanib, marshrut faqat ro'yxatda emas, balki faol ekanini tasdiqlang.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Agar provayder shlyuzi DHCP orqali o'rganilsa, DHCP o'rnatgan shlyuz manzilidan foydalaning yoki versiya qo'llab-quvvatlasa, marshrutni interfeysga bog'lang. Keyingi ijarada o'zgaradigan qattiq kodlangan shlyuz — kechiktirilgan nosozlik. Manzilni WAN qayta ulangandan keyin tekshiring, chunki aynan o'shanda eskirgan shlyuz paydo bo'lib, tunnel yana uza boshlaydi.

Yoki tunnel standart marshrutni olishiga yo'l qo'ymang

Bitta uzoq LAN kerak bo'lgan filial PPTP profilini standart marshrutdan butunlay uzoq tutishi kerak. Mijoz profilida o'sha variantni o'chirib, uning o'rniga tunnel interfeysi orqali uzoq prefiks uchun alohida marshrut qo'shing. Oddiy trafik WAN'da qoladi, tunnelning o'z transporti tabiiy yo'lini saqlaydi va marshrutlash jadvalini tushuntirish osonlashadi. Bu bitta subnet kerak bo'lgan filial uchun yaxshiroq dizayn, saytning chiqishi bo'lishi kerak bo'lgan router uchun emas.

To'liq tunnelling o'z talablari bor: tanlangan manbalar uchun siyosat marshrutlash, qaytish trafigi uchun reja va tunnel yiqilganda nima bo'lishi haqida qaror. Bularning hech birini xost marshruti hal qilmaydi, u faqat transportni tirik ushlab turadi.

Qatlamlab tekshiring, so'ng boshqaruv teshigini yoping

Qatlamlab sinang: ulanishdan oldin serverning ommaviy manziliga ping yuboring, ulangandan keyin uzoq shlyuzga ping yuboring, so'ng uzoq LAN'dagi xostga ping yuboring. Router orqasidagi xostlar javoblarni u orqali qaytarishi kerak bo'lsa, tunnel interfeysiga masquerade qo'shing.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Keyin routerni qayta ishga tushiring yoki WAN qayta ulanishini majburan amalga oshiring va uchta pingni takrorlang, chunki faqat ishlab turgan konfiguratsiyada mavjud marshrut omon qolmaydi. Bu buziladigan yana bir joy — zaxira faylga eksport qilinib keyin tiklangan konfiguratsiya, chunki marshrut ish vaqtida qo'shilgan bo'lsa, eksportda yo'q bo'lishi mumkin.

Oxirida, har qanday VPN yoki marshrut o'zgarishini e'lon qilishdan oldin Winbox va veb boshqaruvni ma'lum manba manzillari bilan cheklang. Tunnellarni tugatadigan router boshqaruv nishonidir va dunyoga ochiq port 80 siz hozir tuzatgan marshrutdan kattaroq topilma.