+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Точка доступа больше не работает — "Connection refused".

Точка доступа больше не работает — "Connection refused"., RouterOS

jnh

Guest

28.06.2006 14:10:00

Привет, у меня около месяца работает точка доступа с проблем, используя RB532 и RouterOS 2.9.20. С прошлой недели, после перезагрузки, перенаправление HTTP для captive-portal больше не работает. Клиенты получают действительный (приватный) IP-адрес от DHCP-сервера Routerboard, и DNS-запросы работают, но при попытке доступа к любому веб-сайту браузер выдает "Connection Refused" (Отказ в соединении) или "Page cannot be displayed" (Страница не может быть отображена) (tcpdump на ноутбуке с Linux показывает RST-пакет в ответ на любое подключение к порту 80). Даже предназначенные для "белого списка" сайты недоступны. Если ввести IP-адрес точки доступа вручную в браузере, страница входа отображается, но другие URL-адреса не перенаправляются так, как должны. Если я перейду в `/ip hotspot` и установлю `0 disabled=yes`, все работает нормально— нет проблем с просмотром или доступом к другим интернет-сервисам, но, конечно, тогда AP будет полностью открыт, без всплывающего окна captive-portal или процесса входа. Есть какие-нибудь идеи? Ничего не менялось под `/ip hotspot` с момента последнего успешного функционирования… Я внес некоторые изменения в маршрутизацию перед перезагрузкой, переместив канал связи с Ether1 на Ether2, добавив некоторые статические маршруты и IPIP-туннель и т.д., но ничто, что могло бы повлиять на точку доступа. Другой трафик, проходящий через тот же RB532, работает нормально. Повторное прохождение через диалог настройки `/ip hotspot` не помогает… проблема повторяется каждый раз. Есть ли какие-то известные проблемы с точкой доступа в 2.9.20, которые могли бы быть исправлены в более новой версии RouterOS? Вот (экспорт) дамп соответствующих областей конфигурации: # 28 июня 2006 г. 11:01:12 по RouterOS 2.9.20
# software id = 4I8R-3TT
#
/ ip hotspot
add name="hotspot1" interface=wlan1 address-pool=hs-pool-4 profile=hsprof2 \
idle-timeout=5m keepalive-timeout=none addresses-per-mac=2 disabled=no
/ ip hotspot service-port
set ftp ports=21 disabled=no
/ ip hotspot profile
set default name="default" hotspot-address=10.65.64.1 \
dns-name="hotspot1.____.com" html-directory=hotspot rate-limit="" \
http-proxy=0.0.0.0:0 smtp-server=__________ login-by=cookie,http-pap \
http-cookie-lifetime=3d split-user-domain=no use-radius=no
add name="hsprof2" hotspot-address=10.65.64.1 dns-name="hotspot1.____.com" \
html-directory=hotspot rate-limit="" http-proxy=0.0.0.0:0 \
smtp-server=__________ login-by=cookie,http-pap http-cookie-lifetime=3d \
split-user-domain=no use-radius=no
/ ip hotspot user
add name="hsadmin" password="_________" profile=hsuserprf1 comment="" \
disabled=no
add name="guest" password="" profile=hsuserprf1 comment="" disabled=no
/ ip hotspot user profile
set default name="default" idle-timeout=none keepalive-timeout=2m \
status-autorefresh=1m shared-users=50 transparent-proxy=no
add name="hsuserprf1" idle-timeout=none keepalive-timeout=2m \
status-autorefresh=1m shared-users=1 transparent-proxy=yes \
open-status-page=always advertise=no
/ ip hotspot walled-garden
add dst-host=________ path=* action=allow comment="" disabled=no
add dst-host=_________ path=* action=allow comment="" disabled=no
add dst-host=________ action=allow comment="" disabled=no
add dst-host=______ path=* action=allow comment="" disabled=no # 28 июня 2006 г. 11:06:46 по RouterOS 2.9.20
# software id = 4I8R-3TT
#
/ ip firewall nat
add chain=srcnat src-address=10.65.64.0/24 action=masquerade \
comment="masquerade hotspot network" disabled=no
/ ip firewall connection tracking
set enabled=yes tcp-syn-sent-timeout=5s tcp-syn-received-timeout=5s \
tcp-established-timeout=1d tcp-fin-wait-timeout=10s \
tcp-close-wait-timeout=10s tcp-last-ack-timeout=10s \
tcp-time-wait-timeout=10s tcp-close-timeout=10s udp-timeout=10s \
udp-stream-timeout=3m icmp-timeout=10s generic-timeout=10m \
tcp-syncookie=no
/ ip firewall filter
/ ip firewall service-port
set ftp ports=21 disabled=no
set tftp ports=69 disabled=no
set irc ports=6667 disabled=no
set h323 disabled=yes
set quake3 disabled=no
set mms disabled=no
set gre disabled=yes
set pptp disabled=yes

jnh

Guest

29.06.2006 00:41:00

Не установлено Winbox, но DNS-запросы из командной строки RouterOS (/ping someserver.com) работают как положено. Даже с клиента Hotspot, разрешение имени всегда успешно, возвращается корректный IP-адрес… сломана именно последующая HTTP-переадресация. Браузерная навигация напрямую по IP тоже не работает. Тот же RB532 пропускает через себя массу другого (не Hotspot) трафика без проблем с DNS или маршрутизацией. Единственное, что я обнаружил не так — отсутствует servlet, который должен отвечать на подключения на порту 64874.

jarosoup

Guest

29.06.2006 00:56:00

Похоже, какие-то твои изменения сломали точку доступа. Обычно точка доступа ломается, если ты переделал интерфейсы, поковырялся с IP-адресами, правилами фаервола или сломал DNS. Не думаю, что можно сломать только переадресацию прокси. Ты уверен, что точка доступа всё ещё назначена на правильный интерфейс? И уверен, что не менял директорию HTML для точки доступа или страницы login.html? Если бы я был на твоём месте, я бы запустил “/ip hotspot export file=hotspot-backup”, скачал этот файл, чтобы посмотреть настройки и любую свою кастомную HTML-директорию, отключил и удалил текущую точку доступа (и старые HTML-директории) и начал всё заново с помощью /ip hotspot setup. Не самый приятный способ, но восстановить её займёт меньше 10 минут…если она уже сломана, это не такая уж и большая проблема.

jnh

Guest

29.06.2006 20:56:00

Ну, я только что попробовал это: удалил всё под /ip hotspot (кроме ‘profile default’ и ‘user profile default’, которые не разрешало удалять), и прошелся по /ip hotspot setup ещё раз. Но это не помогло, всё та же проблема: DNS-запросы работают, но HTTP перенаправляется на этот 64874 порт на RB532, где нет слушающего сервлета (telnet на этот порт даёт тот же "connection refused", который видят веб-браузеры). Как и прежде, как только я отключаю hotspot ("disabled=yes"), маршрутизация и маскирование с клиентов за беспроводным интерфейсом работает отлично… если не считать, что он полностью открыт без страницы входа, конечно. Я пишу это прямо сейчас из-за RB532’s wlan1… О, ещё попробовал обновиться с 2.9.20 → 2.9.26, но и это не помогло. Ни лучше, ни хуже.

normis Guest	#5 0 30.06.2006 06:21:00 Похоже, проблема с веб-прокси. Пожалуйста, отправьте файл supout.rif в службу поддержки как можно скорее.

jmariuse

Guest

06.02.2008 08:25:00

Привет. Нашёл какое-нибудь решение этой проблемы? У меня та же самая ситуация: /system resource print uptime: 10h59m27s version: “2.9.38” free-memory: 11564kB total-memory: 30440kB cpu: “MIPS 4Kc V0.10” cpu-frequency: 399MHz cpu-load: 16 free-hdd-space: 91872kB total-hdd-space: 126976kB write-sect-since-reboot: 4762 write-sect-total: 383463 bad-blocks: 1

jnh

Guest

28.06.2006 16:15:00

Смотрю на правила динамического NAT, которые вставил сервис Hotspot MT, и похоже, что HTTP-запросы от неаутентифицированных пользователей должны перенаправляться на локальный TCP-порт 64874 на Routerboard… но с тех пор, как начались проблемы, я заметил, что на этом порту никто не слушает подключения. Отсюда и Connection Refused / Page Cannot be Displayed / RST пакет отправляется клиентам. Если telnet'ить на порты 64872 (цель перенаправления DNS), или 64873 (HTTP-прокси после аутентификации) извне, то подключение устанавливается, и я помню, что раньше мог достучаться до 64874 таким же образом, когда Hotspot работал. Значит, какой-то сервлет-процесс, который должен работать на RB532, видимо, не запущен. Есть ли способ проверить это (‘ps’ список эквивалент), или перезапустить неисправный процесс? Просто перезагрузка, или переключение Hotspot из disabled=yes в disabled=no, не помогает. Вот динамические правила брандмауэра, на которые я ссылаюсь: [admin@cp-mt3] ip firewall nat> print dynamic

Flags: X - disabled, I - invalid, D - dynamic
0 D chain=dstnat hotspot=from-client action=jump jump-target=hotspot

1 D chain=hotspot action=jump jump-target=pre-hotspot

2 D chain=hotspot protocol=udp dst-port=53 action=redirect to-ports=64872

3 D chain=hotspot protocol=tcp dst-port=53 action=redirect to-ports=64872

4 D chain=hotspot protocol=tcp dst-port=80 hotspot=local-dst action=redirect
to-ports=64873

5 D chain=hotspot protocol=tcp dst-port=443 hotspot=local-dst action=redirect
to-ports=64875

6 D chain=hotspot protocol=tcp hotspot=!auth action=jump jump-target=hs-unauth

7 D chain=hotspot protocol=tcp hotspot=auth action=jump jump-target=hs-auth

8 D chain=hs-unauth protocol=tcp dst-port=80 action=redirect to-ports=64874

9 D chain=hs-unauth protocol=tcp dst-port=3128 action=redirect to-ports=64874

10 D chain=hs-unauth protocol=tcp dst-port=8080 action=redirect to-ports=64874

11 D chain=hs-unauth protocol=tcp dst-port=443 action=redirect to-ports=64875

12 D chain=hs-unauth protocol=tcp dst-port=25 action=jump jump-target=hs-smtp

13 D chain=hs-auth protocol=tcp hotspot=http action=redirect to-ports=64874

14 D chain=hs-auth protocol=tcp dst-port=25 action=jump jump-target=hs-smtp

15 D chain=hs-smtp in-interface=wlan1 action=dst-nat to-addresses=xx.xx.xx.xx
to-ports=25

jarosoup Guest	#8 0 28.06.2006 16:35:00 Похоже, проблема с DNS. Убедись, что DNS работает нормально. Попробуй также установить dns-name="hotspot1.____.com" в пустое значение.

jnh

Guest

28.06.2006 16:49:00

Спасибо, но DNS вроде работает нормально. Тесты с помощью "nslookup", "host" и т.д. с Linux hotspot клиента всегда разрешают имена в корректный IP-адрес… проблемы возникают только тогда, когда клиент в дальнейшем пытается установить HTTP-соединение на порт 80 к удаленному IP. Вместо перенаправления на страницу входа, MT роутер просто отправляет обратно RST, отказываясь от соединения. Думаю, это может быть связано с отсутствием любого сервлета, слушающего на порту 64874 (цель перенаправления согласно динамическим NAT-правилам, указанным выше), но не знаю, как это исправить. Скрытие hotspot dns-name тоже не помогает.

BulleriNET Guest	#10 0 28.06.2006 21:38:00 Хотя в Winbox можно пинговать URL, вроде yahoo.com, да.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры