Mikrotik nepustí ven PPTP VPN

sentello

Dobrý den,

vlastním mikrotika RB433 - mám ho jen na přípojení k ISP a za mikrotikem mám na LANu přípojen AP pro wifi zařízení.

Problém je v tom že spojení na PPTP VPN servery vždy hodí chybu, většinou 619. Vylučovací metodou jsem dospěl k názoru že chyba musí být v Mikrotiku.

Zajímalo by mě jak se dá povolit PPTP na mikrotiku. Návodů je na internetu docela dost, ale vše jen poukazuje na možnost nastavit v terminálu. Rád bych to nějak nastavil ve WinBoxu.

Děkuji předem za reakce

zero

Stejný problém máme u nás a my zase vylučovací metodou dospěli k závěru, že to je problém u našeho poskytovatele na jeho boxu. Když jsme tam měli původně 7201ku, tak vše fungovalo. Potom proběhl upgrade na ASR1001 a najednou se nám to z LAN chová přesně jak píšeš. Jen bych podotknul, že my neděláme na tom Mikrotiku vůbec žádnej NAT, jen routuje. NAT celé naší LAN se provádí až an tom ASR1001. Potom máme celé C veřejných IP naroutováno až do naší LAN a pokud si na NB zadám nějakou takovou IP, PPTP tunel se spojí bez problémů. Jakmile ale použiji nějakou IP, která je na tom ASRku dynamicky NATovaná, skončí mi to taky chybou 619. Teď si mě ale popravdě trošku vyděsil a nahlodal k hledání problému i na to Mikrotiku u nás.

chrysler

Jen úplně pro jistotu - máš tam zaplý v PPP, tlačítko PPTP server a v něm zaškrtávátko enabled?

Pak je k tomu ještě potřeba nastavit PPP / secrets a v něm jméno, heslo, ip adresy

zero

To chapes špatně. Nám nejde o připojení na Mikrotik pomocí PPTP, ale o průchod PPTP a následné sestavení GRE tunelu pres Mikrotik.

sentello

Stejný problém máme u nás a my zase vylučovací metodou dospěli k závěru, že to je problém u našeho poskytovatele na jeho boxu. Když jsme tam měli původně 7201ku, tak vše fungovalo. Potom proběhl upgrade na ASR1001 a najednou se nám to z LAN chová přesně jak píšeš. Jen bych podotknul, že my neděláme na tom Mikrotiku vůbec žádnej NAT, jen routuje. NAT celé naší LAN se provádí až an tom ASR1001. Potom máme celé C veřejných IP naroutováno až do naší LAN a pokud si na NB zadám nějakou takovou IP, PPTP tunel se spojí bez problémů. Jakmile ale použiji nějakou IP, která je na tom ASRku dynamicky NATovaná, skončí mi to taky chybou 619. Teď si mě ale popravdě trošku vyděsil a nahlodal k hledání problému i na to Mikrotiku u nás.

sice nevím jak to tam máte postavené, ale otestovat by se to dalo jednoduše. Zkus v mikrotiku vytvořit PPTP Clienta - pokud se Mikrotik připojí tak je něco někde špatně

zero

Stejný problém máme u nás a my zase vylučovací metodou dospěli k závěru, že to je problém u našeho poskytovatele na jeho boxu. Když jsme tam měli původně 7201ku, tak vše fungovalo. Potom proběhl upgrade na ASR1001 a najednou se nám to z LAN chová přesně jak píšeš. Jen bych podotknul, že my neděláme na tom Mikrotiku vůbec žádnej NAT, jen routuje. NAT celé naší LAN se provádí až an tom ASR1001. Potom máme celé C veřejných IP naroutováno až do naší LAN a pokud si na NB zadám nějakou takovou IP, PPTP tunel se spojí bez problémů. Jakmile ale použiji nějakou IP, která je na tom ASRku dynamicky NATovaná, skončí mi to taky chybou 619. Teď si mě ale popravdě trošku vyděsil a nahlodal k hledání problému i na to Mikrotiku u nás.

sice nevím jak to tam máte postavené, ale otestovat by se to dalo jednoduše. Zkus v mikrotiku vytvořit PPTP Clienta - pokud se Mikrotik připojí tak je něco někde špatně

To nic neřeší, protože ten Mikrotik má public IP, na který to neblbne

sentello

aha

budu doufat že nám s tím někdo poradí, já už nevím a vzdávám to. Možná za to může NAT, možná nastaveni FW ... :

majklik

PPTP potřebuje uečitou magii na straně NAT krámu, aby fungoval. V Mikrotiku je na to helper. Mrkni, zda je povolen. Ve windoxu koukni do /ip/firewall/service port a tam by měl být k dispozici PPTP a nebýt zakázán.

Co se týče té ASR bedny od Cisca. Tak je to podobné. V konfiguraci (záleží na verzi softu) by měla být nějaká magie typu "fixup protocol pptp 1723" a "inspect pptp" v nověšjších. A možná ještě pár blbostí k PATu.

sentello

to Majklik Děkuji za tip, tohle jsem také zkoušel. Nic s PPTP v Service není - neboť jsem začátečník tak nevím jak se to dá doplnit :?

zero

PPTP potřebuje uečitou magii na straně NAT krámu, aby fungoval. V Mikrotiku je na to helper. Mrkni, zda je povolen. Ve windoxu koukni do /ip/firewall/service port a tam by měl být k dispozici PPTP a nebýt zakázán.

Co se týče té ASR bedny od Cisca. Tak je to podobné. V konfiguraci (záleží na verzi softu) by měla být nějaká magie typu "fixup protocol pptp 1723" a "inspect pptp" v nověšjších. A možná ještě pár blbostí k PATu.

Teď jsem vypozoroval, že pokud to zkouším z IP adres, který jsou přes POOL dyn. NATOvaný, tak to neprojde.

Např:

ip nat pool POOL50 xx.xxx.xxx.xxx xxx.xxx.xxx.xxx netmask 255.255.255.192

ip nat inside source list 50 pool POOL50 overload

access-list 50 permit 172.22.64.0 0.0.0.255

Ale pokud to vyzkouším ze statiky, např:

tak to projde okamžitě... magie vyšší moci.. :?

sentello

Můžeš to prosím rozepsat i pro mě :) moc tomu nerozumím.

Mám to doma takto:

Wlan1 slouží pro připojení k ISP - rozsah 10.XXX.XXX.XXX

Na Bridge1 mám propojovaný všecky interface, jako Wlan2, eth1, eth2 a eth3 - na tomti bridge mě běží dhcp pool - rozsah 192.168.1.XXX

Jinak je to RouterBoard RB433 - ta levnější varianta se slabším CPU

zero

Můžeš to prosím rozepsat i pro mě :) moc tomu nerozumím.

Mám to doma takto:

Wlan1 slouží pro připojení k ISP - rozsah 10.XXX.XXX.XXX

Na Bridge1 mám propojovaný všecky interface, jako Wlan2, eth1, eth2 a eth3 - na tomti bridge mě běží dhcp pool - rozsah 192.168.1.XXX

Jinak je to RouterBoard RB433 - ta ůevnejsi varianta se slabsim CPU

Co jsem psal výše patří k tomu Ciscu. Ty se jen podívej, zda máš v ip/firewall/service-ports povolený PPTP. Port tam nemá být žádnej (alespoň my jsme nikdy žádnej nezadávali).

Pokud máš vše správně, nemáš žádný firewall atd, tak třeba budeš mít problém taky jako my u svýho ISP. Dle toho, co píšeš, tak máš taky na WLAN1 /WAN/ vnitřní adresu, tzn. že ji Tvůj ISP musí někde na něčem NATovat :)

sentello

Aha, no v ip/firewall/service-ports nemám nikde nic s PPTP.

Zkoušel jsem k anténě kterou mám nasměrovanou k ISP připojit notebook, PPTP VPN se připojilo bez remcání ihned. U ISP by tedy problém neměl být, NATování tam má.

zero

Jak nemáš...? Tohle tam nemáš?

<--- ia0 -->service-port.jpg<--- ia0 -->

sentello

jo tohle, mám a k němu žádný port.

majklik

Port tam nemá co dělat, PPTP je kombinace víc věcí (UDP 1723 protokol č. 53 GRE). Takže toto musíš mít povoeno a zároveň ti firewall, popkud nějaký je, musí propouštět UDP/1723 a GRE.

Pak není důvo, aby to nešlo. Ono to funguje i bez toho helperu, ale funguje jen jendo spojení skrz ROS, když někdo další zkusí navázat, tak to první spadne, ten helper zařídí, že jich může být víc vedle sebe.

Jinka v některých verzích ROSu tam ta volba nebyla a pka se zase objevila.

sentello

Já dneska updatoval Mikrotika a v tom FW se to nakonec zobrazilo. Buď jsem to někdy smazal a nevím o tom nebo to tam prostě nikdy nebylo. Každopádně teď s nejdivějším ROS to taky nefunguje.

FW žádné pravidla nemá, nepoužívám ho

majklik

Teď jsem vypozoroval, že pokud to zkouším z IP adres, který jsou přes POOL dyn. NATOvaný, tak to neprojde.

Např:

ip nat pool POOL50 xx.xxx.xxx.xxx xxx.xxx.xxx.xxx netmask 255.255.255.192

ip nat inside source list 50 pool POOL50 overload

access-list 50 permit 172.22.64.0 0.0.0.255

Ale pokud to vyzkouším ze statiky, např:

tak to projde okamžitě... magie vyšší moci.. :?

Možná si zkusit otevřít a prolistovat některý z grymoárů okultního spolku Cisco a dočteš se magickou formulaci, že pro statický překlad jsou NAT helepry aktivovány automaticky, ale pro dynamický překlad (PAT) se musí vyvolat příslušný démon vhodným zaříkáním...

Takže upálíme 100 metrů patchkabelu (LSZH provedení smaozřejmě), znásilníme kozla, podřízneme pannu a její krví na křemíkovou destičku napíšeme něco jako:

! zapnutí PAT na wan portu

nat (inside) 1 0.0.0.0 0.0.0.0 0 0

global (outside) 1 interface

! povolání inspekčního démona na PATované spojení

policy-map global_policy

class inspection_default

inspect pptp

Křemíkovou cedulku následně slinami kozla přilepíme na svoji magickou Cisco krabičku a děj se vůle Satanova...

zero

Dal sem si práci a odchytal pokusy o spojení Wiresharkem a výsledek není překvapivej. Takže při pokusu o spojení IP adresy, která je na ASR natovaná dynamicky je výsledek z wiresharku při vyfiltování GRE takovej:

172.22.64.10 147.229.93.3 PPP LCP Configuration Request

A při použití čistě routované IP adresy tento:

xxx.xxx.xxx.xxx 147.229.93.3 PPP LCP Configuration Request

147.229.93.3 xxx.xxx.xxx.xxx PPP LCP Identification

xxx.xxx.xxx.xxx 147.229.93.3 PPP LCP Configuration Ack

xxx.xxx.xxx.xxx 147.229.93.3 PPP LCP Configuration Request

147.229.93.3 xxx.xxx.xxx.xxx PPP LCP Configuration Ack

147.229.93.3 xxx.xxx.xxx.xxx PPP LCP Identification

147.229.93.3 xxx.xxx.xxx.xxx PPP CHAP Challenge (NAME='', VALUE=0x9837C99C7A3EDBCDEE710A2B92C966BE)

xxx.xxx.xxx.xxx 147.229.93.3 PPP LCP Identification

xxx.xxx.xxx.xxx 147.229.93.3 PPP CHAP Response (NAME='xxxxxx', VALUE=0x8B9D1A8710950BF026B9DAA0742B16C60000000000000000...)

147.229.93.3 xxx.xxx.xxx.xxx PPP CHAP Success (MESSAGE='S=8D37CCF2B2E9434EE22DEB6CC33E3C9AF5759FB3')

147.229.93.3 xxx.xxx.xxx.xxx PPP CCP Configuration Request

147.229.93.3 xxx.xxx.xxx.xxx PPP IPCP Configuration Request

Z čehoz teda usuzuju, že problém je v té drahé, stříbrné krabici. Zkoušel sem zaklínat pomocí PPTP Inspect (což i support Cicsa poradil) ale pohořel sem, jelikož IOS je pouze "Based IP"... což mě vrací z5 na začátek kouzlení :?

majklik

Z čehoz teda usuzuju, že problém je v té drahé, stříbrné krabici. Zkoušel sem zaklínat pomocí PPTP Inspect (což i support Cicsa poradil) ale pohořel sem, jelikož IOS je pouze "Based IP"... což mě vrací z5 na začátek kouzlení :?

Cisco byla vždy předražená krabice s poddimenzovaným CPU, ale na to se dá zvyknout. :-)

Co mě napadá, metoda zápisu se liší podle verze softu, co máš v té bedně nalitou. Někde se dává přes classy, někde přes acl, někde s etam mlátí fixup atd. Tohle ti snad ta scientologická sebranka by měla říci správně, pokd jsi jim reportoval verzi.

Jestli na to potřebuješ něco víc, než basic si nevybavuji, ale myslím, že netřeba.

Já dneska updatoval Mikrotika a v tom FW se to nakonec zobrazilo. Buď jsem to někdy smazal a nevím o tom nebo to tam prostě nikdy nebylo. Každopádně teď s nejdivějším ROS to taky nefunguje.

FW žádné pravidla nemá, nepoužívám ho

A jendoduchý pokus, že vyhodíš to RBčko, přímo do linky píchneš kompl s woknama a zkusíš PPTP jsi dělal? Pokud to nefunguje ani potom, tak RB je v tom bez viny.

Znám desítky ISPíků, kteří mají své skvělé NATy nastavney tak, že přes to ruzumně nefungujou VPNka.

Jo, s tím portem 1723 jsem se vlastně sekl, PPTP používá TCP a ne UDP (to je u L2TP).

Další stránka »