MikroTik PPTP rớt kết nối? Sửa tuyến đến máy chủ

Một máy khách PPTP trên RouterOS kết nối, chuyển được một ít lưu lượng rồi im lặng, và nhật ký trông như lỗi thông tin đăng nhập hoặc lỗi máy chủ. Thường thì không phải cả hai. Đường hầm đang mang chính các gói vận chuyển của nó, vì tuyến đến máy chủ cũng khớp với tuyến mà đường hầm đã cài. Đầu bên kia không còn nghe thấy bộ định tuyến nữa và phiên chết, trong khi giao diện vẫn khẳng định là đang hoạt động.

Cách khắc phục là một tuyến, hoặc một thiết lập, giữ cho máy chủ vẫn truy cập được qua WAN vật lý. Chọn cách nào tùy vào việc bộ định tuyến có phải là cổng toàn hầm hay không.

Triệu chứng: kết nối, chuyển lưu lượng, rồi chết

Mô hình này lặp lại ở mỗi lần kết nối lại, và đó là manh mối hữu ích đầu tiên. Mật khẩu bị từ chối sẽ thất bại trước khi giao diện lên, cấu hình tường lửa sai thường chặn một chiều, còn vòng lặp định tuyến cho giao diện thiết lập rồi sau đó bóp nghẹt nó. Hãy xem các bộ đếm: đường hầm hiện một đợt gói ban đầu rồi không gì nữa, trong khi giao diện WAN vẫn tiếp tục truyền các bản sao đã đóng gói. Đó là bộ định tuyến đang đưa đầu ra của chính nó trở lại vào bên trong nó.

PPTP khiến việc này dễ kích hoạt vì phần vận chuyển là IP thuần đến địa chỉ máy chủ, không phải một đường hầm có đầu xa nằm ở subnet khác. Bất cứ thứ gì chuyển hướng địa chỉ đó cũng chuyển hướng luôn phần vận chuyển.

Vì sao đường hầm nuốt chính các gói của nó

Khi máy khách kết nối, nó cài một tuyến có cổng là giao diện đường hầm. Nếu hồ sơ cũng cài một tuyến mặc định, thì mọi đích không có khớp cụ thể hơn, kể cả địa chỉ công khai của máy chủ, đều phân giải vào đường hầm. Bộ định tuyến đóng gói gói tin, gán địa chỉ máy chủ cho gói bên ngoài, rồi tra tuyến lần nữa: cùng đích, cùng mặc định, cùng đường hầm. Tùy phiên bản, đệ quy đó bị bỏ, bị xếp hàng, hoặc lặp cho đến khi đầu bên kia bỏ cuộc và xé phiên.

Các nhà sản xuất thiết bị thường tự động thêm một tuyến máy chủ cho máy chủ của họ, chính là để tránh chuyện này. RouterOS không giả định điều đó, nên người vận hành phải diễn đạt ngoại lệ hoặc tránh tuyến mặc định ngay từ đầu.

Ghim địa chỉ máy chủ vào WAN

Thêm tuyến hẹp nhất có thể: một /32 cho địa chỉ công khai của máy chủ, với cổng của nhà cung cấp làm chặng kế tiếp, trên giao diện thông ra internet. /32 thắng mọi tuyến mặc định nhờ độ dài tiền tố, và khoảng cách nhỏ hơn sẽ thắng nếu đã có tuyến khác cho cùng tiền tố. Sau đó kết nối lại và xác nhận tuyến đang hoạt động chứ không chỉ có mặt trong danh sách.

/ip route add dst-address=198.51.100.10/32 gateway=192.0.2.1 distance=10

Nếu cổng của nhà cung cấp được học qua DHCP, hãy dùng địa chỉ cổng mà DHCP đã cài, hoặc gắn tuyến vào giao diện nếu phiên bản hỗ trợ. Một cổng gán cứng rồi thay đổi ở lần thuê kế tiếp là hỏng hóc đến chậm. Hãy kiểm tra địa chỉ sau khi WAN kết nối lại, vì đó là lúc một cổng cũ xuất hiện và đường hầm bắt đầu rớt trở lại.

Hoặc ngăn đường hầm chiếm tuyến mặc định

Một chi nhánh chỉ cần một LAN từ xa nên giữ hồ sơ PPTP hoàn toàn tránh xa tuyến mặc định. Tắt tùy chọn đó trong hồ sơ máy khách và thay vào đó thêm một tuyến cụ thể cho tiền tố từ xa qua giao diện đường hầm. Lưu lượng thông thường ở lại trên WAN, phần vận chuyển của chính đường hầm giữ đường đi tự nhiên, và bảng định tuyến trở nên dễ giải thích hơn. Đây là thiết kế tốt hơn cho chi nhánh cần một subnet, không phải cho bộ định tuyến được cho là đầu ra của cả site.

Toàn hầm có những yêu cầu riêng: định tuyến theo chính sách cho các nguồn được chọn, một kế hoạch cho lưu lượng quay về, và quyết định về điều gì xảy ra khi đường hầm sụp. Không điều nào trong số đó được tuyến máy chủ giải quyết, nó chỉ giữ phần vận chuyển sống.

Kiểm tra theo lớp, rồi bịt lỗ hổng quản trị

Hãy kiểm tra theo lớp: ping địa chỉ công khai của máy chủ trước khi kết nối, ping cổng từ xa sau khi kết nối, rồi ping một máy chủ trong LAN từ xa. Thêm masquerade trên giao diện đường hầm nếu các máy chủ sau bộ định tuyến cần nhận phản hồi quay về qua nó.

/ip firewall nat add chain=srcnat out-interface=pptp-out1 action=masquerade

Sau đó khởi động lại bộ định tuyến hoặc buộc WAN kết nối lại và lặp lại ba lần ping, vì một tuyến chỉ tồn tại trong cấu hình đang chạy sẽ không sống sót. Nơi khác cũng hỏng theo cách này là cấu hình được xuất ra tệp sao lưu rồi khôi phục sau đó, vì tuyến có thể thiếu trong bản xuất nếu nó được thêm lúc đang chạy.

Cuối cùng, hãy giới hạn Winbox và quản trị web cho các địa chỉ nguồn đã biết trước khi công bố bất kỳ thay đổi VPN hay tuyến nào. Một bộ định tuyến kết thúc đường hầm là mục tiêu quản trị, và cổng 80 mở ra thế giới là phát hiện lớn hơn tuyến bạn vừa sửa.