Routa do PPTP tunelu

mpcz

Zdravím, několikrát se mi letos stalo, že routa vedoucí do PPTP tunelu přestala zničeho nic fungovat, řádek zčervenal. To proto, že tunel se z různých důvodů rozpojil. Na tom není nic divného, až na to, že po naskočení tunelu se routa sama neobnovila a je bez dalšího zásahu trvale navedena do úplně jiného adaptéru. Toto není náhodný jev, žřejmě je něco špatně, nejspíše na mé straně. Je také možné, že moje představa, že by se obnovit měla, je mylná.

Je nějaký postup, jak tomu zabránit a udělat routu samoobnovitelnou? Díky předem, mpcz, 29oct2019

zero

Zdravím, několikrát se mi letos stalo, že routa vedoucí do PPTP tunelu přestala zničeho nic fungovat, řádek zčervenal. To proto, že tunel se z různých důvodů rozpojil. Na tom není nic divného, až na to, že po naskočení tunelu se routa sama neobnovila a je bez dalšího zásahu trvale navedena do úplně jiného adaptéru. Toto není náhodný jev, žřejmě je něco špatně, nejspíše na mé straně. Je také možné, že moje představa, že by se obnovit měla, je mylná.

Je nějaký postup, jak tomu zabránit a udělat routu samoobnovitelnou? Díky předem, mpcz, 29oct2019

1) PPTP je dynamickej iface, je to celkem předvídatelné chování, použij "check-gateway" parametr

2) používej BH routy, tím eliminuješ směrování do jiného iface při rozpojení tunelu

mpcz

Dík, 1/ se mi líbí, zkusil jsem a po naskočení tunelu se řádek správně aktualizuje. Stejný problém je ovšem i u řádku s NATem do tunelu, tam je také takové jednoduché řešení? mpcz, 29oct2019

zero

Dík, 1/ se mi líbí, zkusil jsem a po naskočení tunelu se řádek správně aktualizuje. Stejný problém je ovšem i u řádku s NATem do tunelu, tam je také takové jednoduché řešení? mpcz, 29oct2019

jo, hod ten pptp iface do bridge a NATuj na ten bridge

mpcz

Dík, 1/ se mi líbí, zkusil jsem a po naskočení tunelu se řádek správně aktualizuje. Stejný problém je ovšem i u řádku s NATem do tunelu, tam je také takové jednoduché řešení? mpcz, 29oct2019

jo, hod ten pptp iface do bridge a NATuj na ten bridge

Bridge vytvořit jde, ale nejde tam přihodit ten interface PPTP. Dík, 25nov2019

ludvik

pod PPP profiles je možnost scriptů volaných při up i down.

mpcz

pod PPP profiles je možnost scriptů volaných při up i down.

Dík, a jak to prosím řeší ten problém s odpojovaným NATem? mpcz, 25nov2019

ludvik

Samo o sobě to neřeší nic. Ale můžeš si napsat COKOLIV, co to má udělat při odpojení a co při připojení tunelu.

mpcz

Dík, 1/ se mi líbí, zkusil jsem a po naskočení tunelu se řádek správně aktualizuje. Stejný problém je ovšem i u řádku s NATem do tunelu, tam je také takové jednoduché řešení? mpcz, 29oct2019

jo, hod ten pptp iface do bridge a NATuj na ten bridge

Jak? A co to je BH routa - vyřeší to? Dík, mpcz, 25nov2019

okoun

Dík, 1/ se mi líbí, zkusil jsem a po naskočení tunelu se řádek správně aktualizuje. Stejný problém je ovšem i u řádku s NATem do tunelu, tam je také takové jednoduché řešení? mpcz, 29oct2019

jo, hod ten pptp iface do bridge a NATuj na ten bridge

nemůžeš, pptp není l2 tunel budeš muset udělat eoip aby šel do bridge nebo vpls

ludvik

blackhole routa je přesně to, co naznačuje název ... černá díra.

A zajistí ti to, že pokud se tunel rozpadne, tak provoz co má jít jen do tunelu nepůjde nikdy jinam.

Stejnou routu bys měl mít i na hranicích své sítě.

rsaf

V PPP profilu můžeš nastavit interface list a firewall/nat pravidla pak dělat na tento list a ne na samotný PPP interface. rsaf, 1574710965

zero

V PPP profilu můžeš nastavit interface list a firewall/nat pravidla pak dělat na tento list a ne na samotný PPP interface. rsaf, 1574710965

ano, souhlasím, Jirka, 4815162342

mpcz

Dík, to bych mohl zkusit. Dalo by se to prosím více zpodrobnit? Nevím jak v command line, ale ve winboxu to není úplně na první pohled jasné, co a jak se kde nastavuje. Dík, mpcz, 28nov2019

rsaf

Blackhole routa:

pokud používáš v síti např. adresy 192.168.x.y kde x máš různé sítě, lokality... tak je prostě dobrý nápad udělat něco jako

/ip route add dst-address=192.168.0.0/16 type=blackhole

Pokud bude nějaká sít (typicky) 192.168.x.0/24 připojená (je naskočená VPN, existuje do ní platná routa) tak to pojede podle té more-specfic routy. Pokud ta routa není (vpn nejede...) tak se to bude zahazovat a nepoleze to do internetu (což nechceš, navíc to vytváří záznamy v conntrack které po naskočení vpn můžou dělat bordel)

profil:

/interface list add name=vpncliiface

/ppp profile add copy-from=default-encryption name=vpncli interface-list=vpncliiface

/interface pptp-client add _PARAMETRY_ profile=vpncli

Do NAT/firewall pravidel pak např. místo in-interface=pptpxxx dáš in-interface-list=vpncliiface

rsaf, 1574934810

mpcz

OK, dík, asi jsem to špatně pochopil, což je typické, ale záznam routy je již vyřešen, problém dělá řádek s NATem do tunelu. Ten popis je dost zamotaný (samozřejmě jen pro někoho), ale hlavně není pro winbox.

Proč by nemohlo fungovat NATování do bridge s jedním portem (dotyčná pptp), když funguje routování? Je v tom nějaký zásadní problém? mpcz, 28nov2019

rsaf

Protože, pokud se něco Sergej nemá jinak, PPTP je L3 interface a tudíž nemůže být v (L2) bridge, což už zde ovšem padlo.

Winbox nebo command - není to jedno? Když ten příkaz budeš číst zleva doprava a každé "slovo" v něm klikat ve winboxu, tak tam (v podstatě) dojdeš taky.

rsaf, 1574945997

mpcz

OK, padlo, ale v command řádku nenatuji na PPTP, ale na bridge s portem PPTP. Po Krátkodobém sledování se zdá, že to funguje, jak má. Pokud tomu tak je, už jen počkám, co se ještě objeví za problém nebo co jsem přehlédl, pak to popř. budu řešit dál.

Command a Winbox samozřejmě stejné ve výsledku je (když pominu případy, že něco v commandu provést lze a ve Winboxu (dočasně) ne), ale jen pro někoho, kdo se tím dennodenně více do hloubky baví. mpcz, 28nov2019

mpcz

Zdravím, ta zmínka o spuštění konkrétního skriptu při naskočení/pádu PPTP tunelu mě docela zaujala. Byl by prosím někdo s vysokou dávku empatie a popsal konkrétní návod pro situaci: naskočí "pptp-test", IP 192.168.9.235+236, při naskočení tunelu vypíše do logu "pptp-test-OK", tedy co kde a jak nastavit. Děkuji, mpcz, 6dec2019

puchnar

vždyť už máš možnost v logu vidět zda se pprtp spojila nebo ne? zabírá to sice čtyči (asi) řádky ale to stačí ne? jinak stačí vytvořit script xy.sh jehož obsahem bude:

# Overeni funkce UP linky PPTP-TEST

/put "pptp-test OK"

# Overeni funkce DOWN linky PPTP-TEST

/put "pptp-test OK"

Při vyvstanutí akce UP/DOWN zavoláš správný skript a v logu se ti objeví text v uvozovkách.

Jinak script vytvoříš v mikrotiku v terminálu:

1. sys scr add name="pptp-testUP(DOWN)" // vytvoří nový prázdný script

2. sys scr edit pptp-testUP(DOWN) source // otevře soubor k editaci

3. Ctrl+Y // pro vložení obsahu

4. Ctrl+O // pro ukončení změn a uložení

5. sys scr run pptp-testUP(DOWN) //pro vyzkoušení funkce, spustí script

Další stránka »