Mikrotik nepustí ven PPTP VPN

sentello

A jendoduchý pokus, že vyhodíš to RBčko, přímo do linky píchneš kompl s woknama a zkusíš PPTP jsi dělal? Pokud to nefunguje ani potom, tak RB je v tom bez viny.

Znám desítky ISPíků, kteří mají své skvělé NATy nastavney tak, že přes to ruzumně nefungujou VPNka.

Jo, s tím portem 1723 jsem se vlastně sekl, PPTP používá TCP a ne UDP (to je u L2TP).

Pokud k anténě připojím notebook s Windows tak se bez problému na PPTP VPN dostanu. chyba nebude u poskytovatele ale někde u mě.

EDIT: dneska jsem opět zkoušel. Kupodivu jsem se nedostal na VPN s notebookem připojeným přímo k anténě. Nedalo mě to a zkusil jsem se připojit mobilním internetem, to fungovalo. Tak do háje už, kde je zakopanej pes

sentello

takže jsem to vyřešil, požádal jsem poskytovatele o veřejnou IP adresu. No a najednou to funguje bez problémů... nechápu

zero

Tak vítej v klubu... Já to teď řeším stejně.

sentello

taky jste neměli veřejnou IP?

majklik

Pokud je víc různých NATů za sebou, tak občas PPTP přes to nefunguje, přestože když je jen jeden NAT kadého toho typu v cestě, tak PPTP projde. Inu, každý tne helper si to dělá po svém a občas proti sobě. :-(

To byl důvod, proč MS zavedl do Win Vista a novějších SSTP, což s NATem už jede OK (případně L2TP bez IPsec obálky). Akorát první tím, že to je fakticky SSL TCP tunel v kterém se nese PPP a uvnitř je případně opět už uživatelovo TCP, tak je občas výkonostní problém pro TCPinTCP window problém, to druhé je bezpečnostní polo-katastrofa. Bezpečnostní problém to je tedy, pokud server je ROS dělající samostatně ověřování klientů (nicméně PPTP nebo SSTP s vypnutou kontorlou certifikátů nebo úplně vypnutými certifikáty je na tom stejně, tohle ale platí i pro řadu beden dalších výrobců, včetně slovutných Cisco).

maxik

Nevim jestli tomu vadi vic natu rekl bych ze spis ne, zkousel jsem to pres 2 a dobry. Ale problem je pokud to ma jint nekde po trase pres pptp tunel, tj treba v panelaku od ISP roteru ke klientske krabici byva casto pptp, pres to mi to neslo. Reseni je jiny typ tunel, treba ovpn.

majklik

Víc NATů vadí, dost záleží na tom, jaká pekelná kombinace se jich za sebou sejde...

Co píšeš s tím, že ti nefunguje to PPTP když jde jiným PPTP (pokud občas ISPík používá PPTP nebo i L2TP na tvoji linku), tak to je jiný problém, jde o MTU. PPTP (L2TP, L2TP/IPsec) tunel se neumí přizpůsobit MTU fyzického připojení. Pokud máš nastavena na PPP vrstvě MTU takové, že očekává průchodnost paketů dlouhých 1500 bajtů celou sítí, tak se sice tunel sestaví, ale pak s ním skoro nic nefunguje. MS Windows je na tom stejně, respektive MTU má na PPP nastaveno tak, že očekává max PPPoE tunel v cestě (takže fyzické MTU 1492), pokud je míň, tak také blbne.

V tomto případě na ROS straně je třeba MTU ubrat v nastavneí PPTP (L2TP) serveru o dalších cca 40 bajtů. Na straně MS Windows to řeší zásah do registrů cca takto (mění velikost MTU na 1200 pro všechna tunelovaná PPP spojení - PPTP, L2TP, SSTP, toto mám když jde PPP/L2TP/IPsec Microsoft klient skrz tunel dělaný přes GRE/IPsec):

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NdisWan\Parameters\Protocols\0]

"TunnelMTU"=dword:000004b0

"ProtocolType"=dword:00000800

"PPPProtocolType"=dword:00000021

Ten registr platí pro Win XP a Visty. Pro Win 7 je třeba posutpovat asi dle KB314053 a větev registru HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\<ID PPTP interface> a parametr MTU.

lukas-svk

tak neviem ci sstp nejak specialne riesi prechod cez nat, imho je to riesenie dane len tym ze je to riesenie fungujuce na jednom porte podobne ako ovpn..

zero

Takže u nás je problém "vyřešen"... dle vyjádření Cisca neumí v této chvíli XE IOS pro ASR podporu PPTP v dyn.NATu. Dle roadshow je předpokládané vydání 06/2013.

Nyní se jedná o nahrazení ASR 1001 za C7600, popř. přes polici-routing odroutovat 1723 TCP a GRE přes ASU 5510. Dám info :)

warcz

Ahoj,

Řeším takovy divny problém. z ničeho nic přestali v siti fungovat VPN. ( Z PC v siti se nepřipojite na žádnou VPN v internetu ). Vše v pohodě fungovalo a dneska jako když utne v logu to piše nějake divne věci viz přiloha. Setkal se s tim někdo ?

net_work

vzdyt je to uplne jasne podle logu... Nekdo Ti to ocaroval (magic - a za tim je zaklinadlo)

Jinac zkousel si to rebootnout?

ludvik

Někde po cestě se změnila/přibyla/podělala NATka. Bez helperu v conntracku to totiž v podstatě nefunguje.

zero

Někde po cestě se změnila/přibyla/podělala NATka. Bez helperu v conntracku to totiž v podstatě nefunguje.

aneb Tvůj ISP přes noc změnil nějakou krabici :)

warcz

Rebootoval jsem to 3x je to 3G modem O2, který je píchnuty do RB711UA. Nikdy jsem s tím neměl problém a najednou jak když utne. VPN do Brna, Ostravy, Prahy. Nikam se to nespojí. Firewall je odpojeny, v NATu je jenom maškaráda.

warcz

a teď se to spojilo. cely den to nefunguje a večer bez jedineho rebootu to jede...

sentello

« Předchozí stránka