Перейти к публикации

Mikrotik

  • записей
    11
  • комментариев
    225
  • просмотра
    21 973

Об этом блоге

Всё, что касается продукции Mikrotik

Записи в этом блоге

Базовая настройка фаервола в Микротик

Сегодня хочу поподробнее раскрыть тему защиты роутеров популярной латвийской марки. Речь пойдет о базовой настройке Firewall в Mikrotik для обеспечения безопасности и удобства. Статья на эту тему была написана уже давно, но я решил ее полностью переделать и актуализировать.     Введение   Долгое время у меня была опубликована статья про простую настройку файрвола на микротик. Там были перечислены базовые правила для ограничения доступа к роутеру, и тем не менее, статья собрала более 200 тыс. просмотров. Некоторое время назад я обновил и актуализировал статью про базовую настройку mikrotik. В комментариях многие люди пеняли мне на то, что я совсем не уделил внимание настройке фаервола. Мне не захотелось мешать все в кучу, поэтому я пишу отдельную подробную статью на эту тему, а в настройке роутера оставлю ссылку на нее. Итак, будем считать, что вы уже настроили роутер примерно так же, как я описал в своей статье. Есть локальная сеть, которая будет выходить в интернет через микротик. И есть сам микротик, который хочется защитить, ограничив доступ для всего лишнего, разрешив только то, что нам нужно. 192.168.88.1 локальный адрес микротика bridge название бриджа, в который объединены все интерфейсы для локальной сети ether1 интерфейс для внешнего подключения WAN 192.168.88.0/24 локальная сеть, которую обслуживает микротик   Default firewall в Mikrotik Если вы используете дефолтную конфигурацию роутера, то она по-умолчанию имеет стандартные правила firewall. Привожу список стандартных правил (rules) с комментариями. Напоминаю, что экспорт правил firewall в mikrotik можно выполнить следующей командой: >> ip firewall export file=rules Вот список стандартных правил: /ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN /ip firewall nat add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN В принципе, по приведенным комментариям примерно понятно, что тут происходит. Дропаются все входящие и транзитные соединения не из локальной сети, разрешен пинг — icmp, разрешен ipsec, разрешены установленные соединения. Все. Ну и настроен NAT через WAN интерфейс. Во многих случаях данных правил по-умолчанию может быть достаточно обычному пользователю, который просто настроил маршрутизатор дома для выхода в интернет. Берите на вооружение, если вам от маршрутизатора больше ничего не надо.   Firewall и базовая настройка безопасности   Давайте теперь немного порассуждаем, зачем нужен файрвол и какие вопросы он решает. Причем не только в контексте микротика, а вообще. Сейчас каждый доморощенный админ рассказывает, как важно всегда настраивать firewall, иногда даже не понимая, для чего он нужен. Лично я не сторонник создания лишних сущностей, поэтому там где межсетевой экран не нужен, я его не настраиваю. Сетевой экран позволяет настраивать доступ как к самому шлюзу, так и к ресурсам за ним. Допустим, у вас не запущено никаких сервисов на роутере, и нет никакого доступа извне в локальную сеть. У вас есть какая-то служба на шлюзе, с помощью которой к нему подключаются и управляют (ssh, winbox, http и т.д.), причем ограничение доступа к этой службе настраивать не планируется. Вопрос — зачем вам в таком случае настраивать фаервол? Что он будет ограничивать и какие правила туда писать? В таком случае вам будет достаточно отключить все сервисы на роутере, которые слушают подключения из вне и все. На самом деле такой кейс очень популярный дома или в мелких организациях, где нет постоянного админа. Просто настроен какой-то роутер, поднят NAT и все. Я понимаю, что не правильно не настраивать ограничения на доступ к управлению, но я рассказываю, как часто бывает. То есть firewall должен решать конкретную задачу по ограничению доступа к ресурсам, а не существовать просто так, чтобы был. Еще популярны случаи, когда настроена куча правил, а в конце все равно стоит accept для всех подключений. Такие ляпы я сам иногда делал, когда отлаживал где-то работу сервиса и забывал потом вернуть обратно ограничения. Фаервол вроде настроен, но реально его нет. Если отключить — ничего не изменится. К чему я все это написал? К тому, что прежде чем настраивать firewall, надо определиться с тем, для чего мы это делаем. Какие разрешения или ограничения и для кого мы будем вводить. После этого можно переходить к настройке. Я рекомендую первым правилом при любой настройке firewall ставить разрешение на подключение к управлению устройством. Этим вы подстрахуете себя, если где-то дальше ошибетесь и заблокируете доступ к устройству в одном из правил. В своем примере я буду настраивать межсетевой экран на микротике, находясь в локальной сети. Вам всегда советую поступать так же. Есть старая админская примета — удаленная настройка файрвола к дальнему пути. Идем в раздел IP -> Firewall. Первая вкладка Filter Rules то, что нам надо. Если делаете настройку firewall с нуля, то там должно быть пусто. Добавляем новое правило. По идее, надо еще заглянуть во вкладку action, но в данном случае не обязательно, так как там по-умолчанию и так выставляется нужное нам значение accept. Дальше разрешаем уже установленные и связанные входящие соединения. Для этого создаем следующее правило. Не забывайте писать комментарии для всех правил. Так вам проще самим будет. Через пол года уже позабудете сами, что настраивали и зачем. Не говоря уже о том, что кто-то другой будет разбираться в ваших правилах. Теперь сделаем запрещающее правило, которое будет блокировать все входящие соединения через WAN интерфейс. В моем случае ether1. Данными правилами мы заблокировали все входящие соединения из интернета и оставили доступ из локальной сети. Далее создадим минимальный набор правил для транзитных соединений из цепочки forward. Первым правилом в фаерволе микротик для транзитного трафика будет правило с использованием фирменной технологии Fasttrack. Подробно о том, что это такое читайте в официальной wiki по ссылке. Если кратко, то данная технология экономит ресурсы процессора, за счет упрощенной обработки пакетов, к которым не надо применять дополнительных правил фаервола, ставить его в очереди и т.д. Это подойдет для большинства пользователей, у которых микротик это просто шлюз в интернет с небольшим набором простых правил в firewall. При этом транзитный трафик никак дополнительно не обрабатывается и не фильтруется. Возьмем примеры этих правил из дефолтной конфигурации файрвола. Добавляем 2 новых правил для цепочки forward. В первом action выбираем fasttrack connection, во втором accept для established и related подключений. Дальше по примеру дефолтной конфигурации, запретим и все invalid подключения. В завершении запретим все подключения из WAN в LAN. Подведем краткий итог того, что получилось. Вот самый простой, минимальный набор правил firewall в mikrotik для базового случая: Запрещены все входящие подключения, в том числе ответы на пинги. Включена технология fasttrack для соединений из локальной сети. При этом из локальной сети разрешены абсолютно все подключения, без ограничений. То есть это пример типовой безопасной конфигурации для микротик в роли обычного шлюза в интернет для небольшого офиса или дома. Но если firewall оставить как есть в таком виде, то раздачи интернета для локальной сети не будет. Для этого надо настроить NAT. Это сделать не сложно, рассказываю как.   Настройка NAT в микротик Для того, чтобы пользователи локальной сети, которую обслуживает роутер на микротике, смогли получить доступ в интернет, настроим на mikrotik NAT. Для этого идем в раздел IP -> Firewall, вкладка NAT и добавляем простое правило. Действие указываем masquerade. Все, NAT настроен, пользователи могут выходить в интернет.   Проброс портов Покажу на простом примере, как при настроенном NAT и включенном фаерволе выполнить проброс порта в mikrotik для доступа к службе в локальной сети. Пробросить порт можно в той же вкладке NAT в настройках Firewall. Для примера выполним проброс порта rdp из интернета через микротик. Извне будет открыт порт 41221, а проброс будет идти на локальный адрес 192.168.88.10 и порт 3389. Я настоятельно не рекомендую открывать доступ к rdp порту для всего интернета. Лично имел печальный опыт в такой ситуации. Обязательно настройте ограничение доступа по ip к этому порту, если такое возможно. Если невозможно, то не пробрасывайте порт, а сделайте доступ по vpn. Ограничение по ip делается просто. Добавляем еще один параметр в правило проброса порта. Если используется список ip адресов, который будет меняться, проще сразу в правиле проброса указать на список, а потом править уже сам список. Для этого его надо создать. Создать список ip можно на вкладке Address List. Добавим список: Возвращаемся в правило проброса порта, переходим на вкладку Advanced и добавляем указанный список в Src. Adress List Теперь для изменения списка доступа к проброшенному порту не надо трогать само правило. Достаточно отредактировать список.   Защита подключения через winbox Расскажу отдельно о том, как защитить подключение по winbox с помощью firewall. В микротиках время от времени находят критические уязвимости. Единственным способом надежно от них защититься — ограничить доступ к winbox с помощью фаервола. В приведенном выше списке правил для фаервола заблокированы все внешние подключения полностью. Это самый безопасный вариант настроек. Иногда нужен доступ к удаленному управлению. Самое безопасное в этом случае настроить vpn сервер на микротике и подключаться через vpn. Не всегда это уместно. Ограничение доступа по ip, если такое подходит, будет не менее безопасно. Для начала создадим список IP, которым будет разрешено подключаться удаленно к winbox. Добавляем правило в Firewall. Оно должно быть выше правила, где блокируются все входящие соединения. В вкладке Advanced указываем список: В разделе action ставим accept. Итоговый список правил должен быть таким. Так мы обезопасили удаленный доступ через winbox. Считаю это самым простым и безопасным способом защиты микротика. Если есть возможность органичений по ip, всегда используйте. Это универсальный способ, годный для любого случая и системы, не только в отношении микротика. В современном мире ИТ постоянно находят уязвимости. Невозможно всегда оперативно ставить обновления. Зачастую, эти обновления могут либо нарушить работу системы, либо содержать другие уязвимости. Только ограничение доступа к службам и системам позволяет более ли менее надежно защититься и спать спокойно, не торопясь обновляться со всех ног при обнаружении очередной критической уязвмости.   Как на микротике отключить файрвол Для того, чтобы полностью отключить Firewall на микротике, достаточно просто отключить или удалить все правила в списке. По-умолчанию, в mikrotik используются разрешающие правила. Все, что не запрещено — разрешено. То есть если у вас нет ни одного активного правила, можно считать, что файрвол отключен, так как он пропускает все соединения без ограничений. Вот пример отключенного фаервола на микротике 🙂 Итоговый список правил, настроенный по этой статье, получился вот такой: /ip firewall address-list add address=77.88.0.81 list=rdp_access add address=77.88.8.8 list=rdp_access add address=8.8.8.8 list=rdp_access add address=1.1.1.1 list=winbox_remote add address=2.2.2.2 list=winbox_remote /ip firewall filter add action=accept chain=input comment="local accept" in-interface=bridge add action=accept chain=input comment="established and related accept" connection-state=established,related add action=accept chain=input comment=winbox_accept dst-port=8291 in-interface=ether1 protocol=tcp src-address-list=winbox_remote add action=drop chain=input comment="all input block" in-interface=ether1 add action=fasttrack-connection chain=forward comment=fasttrack connection-state=established,related add action=accept chain=forward comment="established and related accept" connection-state=established,related add action=drop chain=forward comment="drop invalid" connection-state=invalid add action=drop chain=forward comment="drop WAN -> LAN" in-interface=ether1 out-interface=bridge /ip firewall nat add action=masquerade chain=srcnat out-interface=ether1 add action=dst-nat chain=dstnat dst-port=41221 in-interface=ether1 protocol=tcp src-address-list=rdp_access to-addresses=192.168.88.10 to-ports=3389   Статья позаимствована с ресурса serveradmin.ru      

k010v

k010v

Как настроить микротик routerboard RB951G-2HnD

Продолжаю рассказ про замечательную серию устройств из Латвии, которые зарекомендовали себя как функциональные и надежные девайсы. В данной статье я подробно рассмотрю вопрос базовой настройки роутеров mikrotik на примере бюджетной и самой популярной модели RB951G-2HnD. Данная инструкция подойдет практически к любой модели, так как все они сделаны на базе одной и той же операционной системы. Если у вас есть желание научиться работать с роутерами микротик и стать специалистом в этой области, рекомендую пройти курсы по программе, основанной на информации из официального курса MikroTik Certified Network Associate. Все подробности читайте ниже. Роутеры Mikrotik routerboard достаточно давно появились на рынке, но так до сих пор и не завоевали большую популярность. Хотя свою нишу заняли. Лично я считаю, что это отличный роутер для дома, по надежности у него нет конкурентов. Это действительно маршрутизатор, который можно один раз настроить и забыть. Лично мне еще ни разу не попадалось устройство, которое бы приходилось принудительно перезагружать, чтобы вывести его из комы, как это часто бывает с другими бюджетными железками. Распространение среди домашних пользователей сдерживает в первую очередь сложность настройки. И хотя более ли менее продвинутому пользователю может показаться, что ничего тут сложного нет. Но на самом деле есть. И я часто сталкивался с просьбами настроить роутер дома для раздачи интернета по wifi, так как купившие по чьей-нибудь рекомендации пользователи сами не могли полностью настроить нужный функционал, хотя инструкций в интернете хватает. Этот пробел я хочу восполнить и написать подробную пошаговую инструкцию по настройке микротика с нуля для чайников на примере самой подходящей для дома модели RB951G-2HnD. У меня давно подготовлена личная шпаргалка в виде текстового файла. По ней я буквально за 10 минут настраиваю роутер и отдаю пользователю. То есть реально ничего сложного нет, если знаешь, что делаешь. На основе этой шпаргалки я и напишу материал. Возможно опытному пользователю нечего будет тут почерпнуть, а может быть я сам что-то делаю не совсем правильно или не оптимально. Прошу сделать подсказку или замечание в комментарии, если это действительно так. Я пишу статьи в том числе и для того, чтобы самому научиться чему-то новому. Как гласит одна восточная мудрость — чтобы получить новые знания, нужно поделиться теми, что есть у тебя с другими. Именно этим я и занимаюсь на страницах данного сайта. Описание Mikrotik RB951G-2HnD Вот он, герой сегодняшней статьи — Mikrotik RB951G-2HnD. Его описание, отзывы и стоимость можно быстро проверить на Яндекс.Маркете. По количеству отзывов уже можно сделать вывод об определенной популярности этого роутера. Внешний вид устройства. Важной особенностью этого роутера, которой лично я активно пользуюсь, является возможность запитать его с помощью специального poe адаптера. На изображении он справа. Берется стандартный блок питания от роутера и poe адаптер. Блок питания подключается к адаптеру, а от адаптера уже идет патч корд в первый порт routerboard. Маршрутизатор можно повесить на стену в любое место, нет необходимости привязываться к розетке. Сразу отмечу, что запитать роутер можно только poe адаптером микротика. У него другой стандарт и привычные poe свитчи 802.3af не подойдут. Существует похожая модель RB951Ui-2HnD. Она отличается от описываемой мной только тем, что у нее 100Mb порт, а у RB951G-2HnD 1Gb. Если для вас эти отличия не принципиальны, то можете покупать более дешевую модель. В остальном они идентичны. Будем потихонечку двигаться дальше. Как проще всего настроить микротик? Я для этого использую стандартную утилиту winbox. Можно пользоваться и web интерфейсом, но лично мне намного удобнее winbox. Так что для продолжения настройки скачивайте ее на компьютер. Сброс настроек роутера Подключаем роутер к сети, подаем питание и запускаем на компьютере winbox. Переходим на вкладку Neighbors и ждем, когда утилита найдет наш микротик. Это может занять какое-то время. На всякий случай можно нажать Refresh, если роутер долго не обнаруживается. Нажимаем на мак адрес устройства, он должен будет скопироваться в поле Connect To. Пароль по-умолчанию для входа в роутеры mikrotik — пустой, а пользователь — admin. Вводим имя пользователя, поле с паролем оставляем не заполненным. Нажимаем connect. Нас встречает информационное окно, в котором приведено описание стандартных настроек. Здесь их можно либо оставить, либо удалить. Я всегда удаляю, так как стандартные настройки чаще всего не подходят под конкретную ситуацию. Приведу несколько примеров, почему это так: Я запитал свой роутер по первому порту через poe адаптер и поэтому вынужден использовать этот порт как локальный. В настройках по-умолчанию этот порт используется как wan порт для получения интернета от провайдер. В настройках по-умолчанию установлено автоматическое получение настроек от провайдера по dhcp. Если у вас другой тип подключения, то вам стандартная настройка не подходит. По-умолчанию устанавливается адресное пространство 192.168.88.0/24. Мне лично не нравятся сетки по-умолчанию, так как если в них случайно воткнуть новое устройство, где будет так же забит умолчательный адрес, то в сети начнутся проблемы. Дома может это и не актуально, но в коммерческих организациях мне приходилось с этим сталкиваться. Поэтому я на всякий случай сетку всегда меняю. Так что мы нажимаем Remove Configuration, чтобы удалить настройки. После этого роутер перезагрузится. Ждем примерно минуту и подключаемся к нему снова. Если вы по какой-то причине не удалили сразу предустановки, то выполнить сброс настроек в mikrotik на заводские можно позже. Для этого надо в терминале набрать сначала system, а затем reset. У вас спросят подтверждение и после этого routerboard перезагрузится с заводскими настройками. Обновление прошивки После очистки настроек я рекомендую сразу выполнить обновление прошивки роутера Mikrotik. Для этого идем в раздел Download официального сайта и скачиваем нужный файл. В данном случае это платформа mipsbe, пакет для загрузки Main package. Загружаем его на компьютер и подключаемся к роутеру с помощью winbox. Выбираем слева раздел Files. Затем открываем рядом два окна — один с файлом прошивки, второй с winbox и перетаскиваем мышкой файл из папки в winbox в список файлов. Дожидаемся окончания загрузки прошивки и перезагружаем микротик через раздел меню System -> Reboot. Прошивка обновится во время загрузки роутера. Подождать придется минуты 3. Поле этого снова подключаемся к устройству. После обновления прошивки, нужно обновить загрузчик. Делается это в пункте меню System — RouterBoard. Заходите туда, проверяете строки Current Firmware и Upgrade Firmware. Если они отличаются, то жмете кнопку Upgrade. Если одинаковые, то можно ничего не делать. Изменения вступят в силу после перезагрузки. Проверить версию установленной прошивки можно в разделе System — Packages. В моем случае версия прошивки — 6.43.4. В будущем, когда на роутере будет настроен интернет, обновляться можно автоматически в этом разделе, нажимая на Check For Updates. Прошивку обновили, можно приступать к настройке. Объединение портов в бридж Одной из особенностей роутеров mikrotik routerboard является отсутствие предустановленных настроек портов. Объясняю на пальцах, что это такое. Покупая обычный бюджетный роутер, вы увидите подписи к портам. На одном из них обязательно будет написано WAN, на других либо ничего не будет написано, либо LAN. То есть у вас уже будет один порт настроен определенным образом для подключения интернета и остальные порты будут объединены в switch для удобства подключения оборудования. В Mikrotik не так. Там все порты равнозначны и WAN портом может стать абсолютно любой, какой пожелаете. Так как я 1-й порт использую для подключения питания, в качестве WAN у меня будет выступать 5-й порт. А все остальные я объединю в единую сеть с помощью bridge и добавлю к ним wifi интерфейс. Для этого идем в раздел Bridge и создаем новый bridge1. Настройки все оставляем дефолтные. У нас появился bridge1. Переходим на вкладку ports и жмем плюсик. Добавляем в brdige1 все порты, кроме WAN. В моем случае это 5-й порт. Мы объединили все необходимые интерфейсы в бридж для организации единого пространства для всех подключенных устройств. Настройка статического IP До этого мы подключались к роутеру по МАК адресу. Сейчас можно ему назначить статический локальный ip адрес, по которому он будет доступен в сети. Для этого идем в раздел IP -> Addresses и жмем плюсик. Указываете в разделе Address любую подсеть. Я выбрал 192.168.9.0. Соответственно микротику мы назначаем адрес  192.168.9.1/24. В качестве интерфейса выбираем bridge1. Поле Network можно не заполнять, оно заполнится автоматически. Теперь наш роутер доступен и по локальным интерфейсам, и по wifi (который еще предстоит настроить) по адресу 192.168.9.1. Настройка интернета в микротик Сейчас самое время подключиться к провайдеру и настроить интернет. Тут трудно охватить все возможные варианты подключения. Их может быть много. Я рассмотрю два самых популярных способа: Вы получаете настройки от провайдера автоматически по dhcp. Провайдер дал вам готовые настройки и вы их вводите вручную. Как я уже писал ранее, для подключения к провайдеру мы будем использовать 5-й порт. Подключайте провод провайдера. Для получения настроек по dhcp переходите в winbox в раздел IP -> DHCP Client и жмите плюсик. Выбираете интерфейс ether5 и жмете ОК. Если вы все сделали правильно, то увидите, какой IP адрес получили. В разделе IP -> Addresses будет информация о настройках. Рассмотрим вариант, когда провайдер выдал все настройки и вам нужно самим их задать. Будем считать, что наши настройки интернета следующие: IP адрес 192.168.1.104 Маска 255.255.255.0 Шлюз 192.168.1.1 DNS 192.168.1.1 Сначала укажем IP адрес. Делаем все то же самое, что и в предыдущем пункте при настройке статического IP. Только теперь вместо интерфейса bridge1 указываем ether5 и вводим соответствующий адрес — 192.168.1.104/24. Тут мы сразу указали и адрес и маску подсети. Дальше нам нужно установить шлюз по-умолчанию. Без этого обязательного шага интернет не заработает. Идем в раздел IP -> Routes и жмем плюсик для добавления шлюза по-умолчанию. В Dst. Address оставляем как есть 0.0.0.0/0, а в поле Gatewayвписываем шлюз провайдера и жмем ОК. Уже сейчас интернет должен заработать, но без указания DNS сервера обращаться можно только по прямым ip адресам. Например можно пропинговать ip адрес серверов гугла. Открываем New Terminal и проверяем. Теперь установим DNS сервер. Для этого идем в IP -> DNS, в поле Servers вводим адрес dns сервера провайдера. Если у вас их два, то нажав на треугольничек, направленной вершиной вниз, вы можете ввести еще одно значение. Обязательно ставите галочку напротив Allow Remote Requests. На этом все, мы полностью установили настройки интернета провайдера. Можно проверить и пропинговать привычный адрес сайта. На самом маршрутизаторе уже есть выход в интернет. На нам нужно его настроить для пользователей. Для этого продолжаем настройку mikrotik. Настройка dhcp сервера Для того, чтобы подключенные устройства могли получать сетевые настройки автоматически с роутера, на нем необходимо настроить DHCP сервер. Делается это не сложно, я сейчас по шагам все распишу. Идем в IP -> DHCP, переходим на вкладку DHCP и нажимаем DHCP Setup. Нам предлагают выбрать интерфейс, на котором будет работать сервер. Выбираем bridge1. Жмем next. Теперь нужно выбрать адресное пространство, из которого будут выдаваться ip адреса. По-умолчанию указана подсеть, в которую входит ip адрес роутера. На это подходит, оставляем значение по-умолчанию 192.168.9.0/24. Дальше нужно указать адрес шлюза, который будут получать клиенты. Так как для них шлюзом будет выступать сам микротик, оставляем его адрес, который уже предложен. Теперь нужно указать диапазон адресов, которые будут выдаваться клиентам. Если вам не принципиально и вы не знаете, зачем его нужно менять, то оставляйте как есть. Будут использованы все свободные адреса подсети. На последнем этапе вводим адрес dns сервера, который будет выдаваться клиентам. Это может быть как сам микротик, так и dns сервер провайдера. Это не принципиально, но лучше указать сам роутер. Так что пишем туда локальный адрес 192.168.9.1. Следующий параметр оставляем по-умолчанию и жмем Next. На этом настройка dhcp сервера для локальной сети закончена. Если мы сейчас проводом подключим любого клиента к mikrotik, то он получит сетевые настройки, но в интернет выйти не сможет. Не хватает еще одной важной настройки — NAT. Настройка NAT NAT это преобразование, или как еще говорят трансляция сетевых адресов. Я не буду рассказывать, что это такое, можно самим почитать в интернете. Все современные роутеры имеют функцию NAT для обеспечения доступа к интернету абонентов. Так что мы тоже настроим NAT в mikrotik. Идем в раздел IP -> Firewall, открываем вкладку NAT и жмем плюсик. На вкладке General указываем только один параметр Out. Interface — ether5 (интерфейс подключения к провайдеру), все остальное не трогаем. Переходим на вкладку Action, выбираем в выпадающем списке masquerade. Остальное не трогаем и жмем ОК. Все, NAT настроили. Теперь если подключить клиента проводом в один из портов, то он получит сетевые настройки по DHCP и будет иметь доступ к интернету. Нам осталось самая малость — настроить wifi для подключения беспроводных клиентов. Настройка wifi точки доступа в mikrotik Наш роутер почти готов к работе. Осталось только настроить wi fi точку доступа и можно про него забывать :). Настройка wifi в микротике заслуживает отдельной статьи. Там очень много нюансов и возможностей. Мы сейчас сделаем самую простую настройку, которая подойдет и полностью удовлетворит потребности домашнего wifi роутера. А для более глубоких познаний можно будет воспользоваться отдельным материалом на эту тему. Первым делом активируем беспроводной интерфейс. По-умолчанию он выключен. Идем в раздел Wireless, выбираем wlan1 и жмем синюю галочку. Интерфейс из серого станет светлым. Переходим на вкладку Security profiles, два раза жмем мышкой на строчку с профилем default. В поле Mode выбираем dynamic keys. Ставим галочки напротив WPA PSK и WPA2 PSK и aes ccm. В поля WPA Pre-Shared Key и WPA2 Pre-Shares Key вводим пароль от будущей беспроводной сети. Я рекомендую использовать длинный пароль (не меньше 12-ти символов) с цифрами и спецсимволами. Да, вводить не очень удобно, но после того, как я сам без проблем брутил хэши простых паролей, я убедился, что лучше поставить сложный пароль, если не хочешь, чтобы к твоему wifi кто-то подключался. Сохраняем настройки. Возвращаемся на вкладку Interfaces и два раза жмем на wlan1, открываются настройки wifi интерфейса микротика. Переходим на вкладку Wireless. Выставляем настройки как у меня на скриншоте. Обращаю внимание на следующие настройки: SSID — имя вашей беспроводной сети. Пишите то, что хочется. Frequency — частота, соответствующая одному из 12-ти каналов. Самое первое значение это первый канал и так далее. Тут рекомендуется выбрать тот канал, который в вашем конкретном случае менее всего занят другими точками доступа. Если вы не знаете что это за каналы и как их проверить, то не обращайте внимания, может выбрать любое значение из списка. Сохраняете настройки, нажимая ОК. Все, wifi  точка доступа на mikrotik настроена, можно проверять. Запускаете любое устройство, ищете вашу сеть, вводите пароль доступа и проверяете интернет. Все должно работать. На этом основная настройка микротика закончена, но я рекомендую выполнить еще несколько настроек для удобства и безопасности. Смена пароля администратора по-умолчанию Как я уже писал ранее, пароль администратора по-умолчанию в mikrotik не задан, он пустой. Имя пользователя — admin. Давайте установим свой пароль для ограничения доступа посторонних к настройкам. Для этого идем в раздел System -> Users. Выбираем единственного пользователя admin, жмем правой кнопкой мыши и выбираем самый последний пункт password. В открывшемся окошке 2 раза вводим свой пароль и сохраняем его. Теперь, чтобы подключиться через winbox нужно будет указать не только пользователя admin, но и установленный пароль. В свете последних взломов микротика, я настоятельно рекомендую не просто установить сложный пароль на административную учетную запись, а создать полностью новую, с именем пользователя отличным от admin. Для этого в списке пользователей, жмите плюсик и создавайте нового пользователя. После этого, пользователя admin можно отключить. Настройка времени Я рекомендую устанавливать правильное время и включать его автоматическую синхронизацию. Это может пригодиться, если вам понадобится посмотреть какие-нибудь логи и сопоставить время. Если оно не будет установлено, то это трудно сделать. Так что настроим его. Идем в System -> Clock, устанавливаем вручную время, дату и часовой пояс. Сделаем так, чтобы время автоматически обновлялось через интернет. Идем в раздел System -> SNTP Client. Ставим галочку Enabled, в поле с адресами серверов вводим 193.171.23.163 и 85.114.26.194. Жмем Apply и наблюдаем результат синхронизации. Теперь часы роутера всегда будут иметь актуальное время. На этом базовая настройка роутера mikrotik для домашнего пользования закончена. Можно устанавливать его на место и пользоваться.   Статья позаимствована с ресурса serveradmin.ru    

k010v

k010v

Настройка интернета в загородном доме — mikrotik + usb 4g lte модем + антенна MIMO для усиления сигнала + yota

Ранее я опубликовал статью о том, как маскировать траффик от yota с помощью openvpn и клиента на микротик. В комментариях несколько человек попросили рассказать о всей схеме подключения, которую я использую. Схема у меня получилась нестандартная, все придумал или нагуглил сам по ходу решения проблем со связью. Решил поделиться c остальными, тема интересная и актуальная для многих.   Введение В теплое время года, да и не только, летом просто чаще, я провожу много времени за городом в Подмосковье на даче. Там же и работаю. Для того, чтобы можно было нормально работать, нужен был стабильный интернет, которого долгое время у меня не было, и я откровенно страдал. Вынужден был для работы задерживаться в городе. Мой дом расположен в очень отдаленном и тихом участке, рядом с лесом, что является несомненным плюсом с точки зрения тишины и безлюдности, и в то же время минусом с точки зрения связи. Непосредственно сотовая связь более ли менее нормально работает, разговаривать можно. А вот с интернетом была откровенная беда. Операторы ловятся все, но интернет «никакой». Еле-еле ловит 3g. Да и цены никогда не радовали. Чтобы нормально работать, мне нужно много трафика, платить за него по имеющимся тарифам не очень хотелось, поэтому я вопрос особо не прорабатывал. Все изменилось, когда я попробовал оператора Yota с ее безлимитным интернетом. Как только увидел, что мой дом вроде как находится в зоне охвата, решил купить для начала симку и проверить связь. У меня в смартфоне можно установить 2 симки, так что я ее стал использовать как вторую. Тарифы у ёты мне понравились тем, что нет роуминга по всей России, что очень удобно. Пользовался в смартфоне интернетом, когда уезжал за пределы домашнего региона. С этим смартфоном я приехал на дачу и проверил связь. Чуда не произошло, так как ёта работает по тем же базовым станциям, что и мегафон, поэтому и связь была такая же как у мегафона, практически никакая. Интернетом пользоваться было очень не удобно, связь постоянно обрывалась, хотя временами что-то получалось загрузить. В общем, я находился в зоне неуверенного приема 3g. Я решил провернуть следующую штуку: залез на чердак и положил телефон у окна, которое выходит на сторону, где расположена ближайшая базовая станция. Стал проверять связь и очень обрадовался. Она стала значительно лучше, интернет на самом телефоне работал сносно, иногда ловился lte сигнал. Меня это очень воодушевило и я решил включить точку доступа на телефоне, оставить его на чердаке, а самому с другого этажа подключаться нотубком к точке и работать. Тут я впервые познакомился с ограничением Yota. Ограничение Yota Суть ограничения ёты в том, что у нее разные тарифные планы для разных устройств с разной стоимостью. У меня была симка с самым дешевым тарифом, который позволял безлимитно пользоваться интернетом на смартфоне. Если ты пытаешься со смартфона раздавать интернет другим устройствам, то yota это определяет и выводит страничку с предупреждением о том, что на вашем тарифе это делать запрещено, но если вы хотите использовать интернет, то заплатите за это отдельно. Я пошел в поиск смотреть, что есть на эту тему. Оказалась, что тема весьма популярна. Для обхода ограничения на тот момент достаточно было на компьютере установить TTL 65, если у вас смартфон на андроиде, и все. Суть в том, что на самом смартфоне TTL пакетов 64, если на компьютере будет 65, то из смартфона эти пакеты будут улетать с TTL 64 и ёта не будет знать о том, что вы кому-то раздаете интернет. Мне это помогло. Какое-то время я пользовался интернетом так. Но со врменем решил что-то изменить. Мне надоело постоянно лазить на чердак, чтобы установить смартфон, мне хотелось раздавать интернет и на другие устройства, смартфон разряжался от режима работы в качестве точки доступа. Аккумулятор у него достаточно мощный, на день работы мне хватало, но все равно не нравилась такая схема. Раздавать интернет на другие устройства, я кстати, научился. У меня был рутовый доступ на телефон. Я на него поставил софт, который уже на смарте изменял TTL всех пролетающих пакетов. Нужно было решать вопрос с качеством связи. Тут я уже серьезно углубился в тему и стал подбирать решение под свою ситуацию. Выбор антенны для усиления lte сигнала Yota Почитал форумы на тему усиления lte сигнала, начал разбираться в антеннах. Надежду на успех давала информация о том, что если у вас хоть как-то сигнал ловится телефоном, то антенна точно поможет и будет значительно лучше. То есть улучшить уже имеющийся сигнал не проблема. Ппроблемы возникают в основном там, где сигнала с обычного телефона нет совсем. В итоге я купил себе — антенна панельная направленная MIMO 3G / 4G LTE, 20 дБ (1900-2700 МГц) — http://450mhz.ru/antenna/?id=207. В комплекте у нее идут 5-ти метровые провода. Мне этого было достаточно, дополнительные провода не покупал. Но нужны были отдельные переходники, чтобы соединить эту антенну с usb модемом. Я купил вот эти — http://450mhz.ru/accessories/?id=91. Для креепления антенны к стене здания нужно купить отдельно кронштейн. Купил такой — http://450mhz.ru/accessories/?id=215. Устанавливать антенну для качественного приема необходимо в прямой видимости базовой станции. Она не должна быть закрыта складками местности или другими зданиями. Толку от нее в этом случае будет мало. Мне повезло, мой дом достаточно высокий и с чердака вид на базовую станцию ничем не перекрыт, как раз над сосдеской крышей проходит. К сожалению, я не смог закрепить антенну на кронштейн. У меня просто нет возможности это сделать. Высота дома большая, сборные лестницы очень ненадежны на такой высоте. Работать инструментом на них невозможно, а тем более крепить антенну, она тяжелая. К тому же потом нужно ее правильно отрегулировать, проверить связь, повернуть, возожно несколько раз это проделать. Вариантом было бы вызвать подъемник и установить с него, но я не пошел на это, так как после того, как подъемник уедет, у меня не будет доступа к антенне вообще, я не смогу ее ни спозиционировать в случае надобности по-другому, ни проверить. Нужно было либо леса собирать вдоль стены дома, либо на крыше как-то крепить. В общем, сложно. Я отделался малой кровью. Установил антенну на чердаке рядом с окном и направил на базовую станцию. Немного покрутил, повертел, понаклонял в разные стороны и выбрал оптимальное положение. Этого оказалось достаточно для того, чтобы появился уверенный прием на нижней границе. То есть из 5-ти палок, у меня стабильно ловилась одна, иногда 2. Сигнал был стабильный, скорость 1-5 мегабит. Мне для работы этого достаточно. Да и для всего остального. Но хочется конечно больше. Думаю, сигнал будет еще лучше, если антенну вынести на улицу и установить таки на кроншейне повыше. Но пока не придумал, как это сделать. Подбор usb модема для Yota Антенну нужно было подключить к модему. По отзывам в интернете я выбрал модель, которая гарантированно работала с сим картами Yota. Это оказался Huawei E3372 / 827F / M150-2 — 4G LTE / 3G USB http://450mhz.ru/USB_modem/?id=192. В магазине я купил уже прошитый под все московские операторы. Вставил сим карту ёты и сразу же все заработало при подключении модема к компьютеру. Или не сразу. Уже точно не помню, делал все больше года назад. Постараюсь воспроизвести всю последовательность своих действий. Скорее всего модем заработал с каким-то другим оператором, на котором я проверял. Симка от ёты у меня была для смартфона, вряд ли она просто так заработает в usb модеме. Я нашел в интернете более удобную прошивку для модема и перепрошил его, попутно заменив IMEI, взятый со старого сломанного телефона. Всю информацию по работе с модемом я нашел на форуме 4pda.ru. Попробовал поискать те инструкции, по которым делал, но не нашел. Информации очень много, но именно то, что использовал я, мне не попалось. Поэтому опишу только последовательность дейтвий, которые выполнил. Вы сами ищите свежие инструкции для этого, их много, я только что смотрел, надо брать модем и пробовать. Мне уже не на чем проверять, рабочий модем не хочу дергать. Я прошил модем Huawei E3372 свежей прошивкой HiLink. Вроде бы отдельно установил какой-то более удобный web интерфейс, точно уже не помню. Сменил IMEI модема, взяв у старого телефона. Установил TTL fix. Он был в виде небольшого патча. После этого я мог просто вставить симку yota, модем в компьютер или роутер и пользоваться интернетом. Первое время все было нормально, чем дальше, тем чаще я стал получать страницу от ёты с предупреждением об ограничении раздачи интернета. Стал читать информацию и понял, что только TTL фикса стало недостатчоно. Ёта начала опеределять, кто пользуется интернетом по ресурсам, на которые осуществлялся доступ. К примеру, если у вас симка для смартфона, а вы идете на сервер обновления Microsoft, или играете в онлайн игру для PC, очевидно, что вы интернет раздаете и вам нужно ограничить доступ. Первое время было достаточно вносить изменения в файл hosts на компьютерах, ограничивая доступ к ресурсам. Список ресурсов искал в интернете. Но со временем ограничения появлялись все чаще и чаще. К примеру, я заметил, что доступ в интернет сразу прекращался, как только я обновлял порты на freebsd в виртуальной машине. Ко всему прочему, интернетом стали пользоваться с других устройств — телефонов, планшетов. Настраивать списки ограничений на них всех было очень затруднительно или невозможно. Я стал решать вопрос кардинально. В итоге настроил openvpn клиент на роутере микротик и замаскировал весь трафик. Я забежал немного вперед, не рассказав еще о подключении usb модема к микротику. Настройка usb модема с Yota на mikrotik Антенна у нас есть, модем прошит под ёту и готов работать. Осталось его подключить к роутеру mikrotik и настроить раздачу интернета от yota. С помощью переходников подключаем антенну к модему и втыкаем его в mikrotik. У меня получилось вот так: Мой микротик RB951G-2HnD с версией ОС 6.33.3 без проблем определил модем. Мне не пришлось ничего настраивать. В списке интерфейсов появился новый с названием lte1: Так как в прошивке HiLink уже встроен dhcp сервер, в микротике необходимо запустить dhcp клиент на lte интерфейсе. Вы получите адрес из диапазона сети 192.168.8.0. Дальше можете настраивать микротик как вам захочется. Подробная информация по базовой настройке mikrotik есть в моей статье. Там все очень подробно и просто написано, есть видео. На этом у меня все по моему интернету через yota в загороднем доме. Заключение Подведу итог того, что было сделано. По пунктам выстрою всю последовательность действий. Купил сим карту yota и убедился, что хоть какой-то сигнал ловится на даче. Купил usb модем и перепрошил его для работы в сети yota, заменил imei и установил ttl fix. Купил антенну для усиления сигнала 4g/lte, переходники и подключил ее к модему. Подключил модем к микротик, настроил раздачу интернета по wifi. Настроил openvpn client на микротике для маскировки интернет трафика от ёты. На текущий момент такая конфигурация успешно работает. Не сомневаюсь, что через некоторое время в ёте придумают какую-то новую схему блокировки несанкционированной раздачи интернета с тарифов, не предназначенных для этого. Будем думать тогда, как поступать. У меня уже есть идея, как можно преодолеть будущие блокировки от yota. Я даже думал уже сейчас ее использовать. Например, через ёту подключаться по rdp к другому компьютеру и работать на нем. На локальном компьютере отключить все соединения, кроме rdp к указанному адресу. Конечно, это не так удобно, да и с остальных устройств не получится выходить в интернет. Но это не очень страшно. Мне интернет нужен в основной для работы, а через rdp мне даже удобнее в некоторых случаях. Я использую готвое и настроенное рабочее окружение, которое доступно из любого места. Если интернет стабильный, то работать практически так же удобно, как и за локальным рабочим столом. А все остальные пусть на природе отдыхают от своих гаджетов и интернета. Для здоровья полезно. Жду советов, комментариев, подсказок по написанному. Возможно кто-то предложит более простой и удобный вариант. Добавлю еще, что когда уезжаю, забираю модем с собой и использую по мере надобности в Москве или где-нибудь еще. Очень удобно. Считаю это существенным плюсом моего решения. Оплаченный безлимитный интернет всегда со мной. На всякий случай еще приведу ссылку на настройку бесшовного wifi роуминга на основе микротик. Тема актуальная как раз для загороднего дома, так как бесшовность решения на основе микротиковского capsman весьма условна и в энтерпрайзе не везде подойдет. А вот для домашнего использования в самый раз — бюджетно и просто.   Статья позаимствована с ресурса serveradmin.ru      

k010v

k010v

Настройка openvpn client на mikrotik с заменой шлюза

Мне понадобилось использовать роутер mikrotik в качестве клиента openvpn с заменой шлюза по-умолчанию на сервер openvpn. Проще говоря мне нужно было скрыть весь трафик и направить его только через vpn сервер. В openvpn это реализуется очень просто, достаточно на сервере указать для конкретного пользователя параметр redirect-gateway def1. На клиенте под windows это без проблем работает. В микротике пришлось разбираться.   Введение   Расскажу для чего мне это нужно. Есть оператор Yota с безлимитным интернетом за разумные деньги. У них есть разные тарифы в зависимости от устройства, в котором используется симка. Самый дешевый тариф для смартфона. Я купил обычный USB модем, разлочил его, чтобы он работал в сети Yota. Перепрошил специальной прошивкой, чтобы он стал похож на смартфон. Пишу очень просто, потому что не хочется на этом останавливаться. Это совсем другая тема. В интернете есть много информации на тему обхода блокировок yota. Подробнее об этом я рассказал отдельно в материале Настройка интернета в загородном доме — mikrotik + usb 4g lte модем + антенна MIMO для усиления сигнала + yota. Мне нужно было замаскировать весь трафик локальной сети, которая будет пользоваться интеренетом через usb модем. Yota различными способами пытается бороться с подобной работой. Делается это через определние TTL пакетов и анализ ресурсов, к которым обращаются пользователи. TTL легко изменяется на конечных устройствах, либо на самом роутере. С анализом ресурсов я долгое время боролся редактируя файл hosts, но после установки windows 10 это перестало помогать. Винда постоянно куда-то лезла и идентифицировала себя при этом как компьютер, а не смартфон. Я решил кардинально решить проблему и завернуть весь локальный трафик в шифрованный vpn туннель. Для этого настроил openvpn сервер и сделал конфигурацию для учетной записи с заменой шлюза по-умолчанию на openvpn сервер. Дальше нужно было настроить на miktotik openvpn клиент таким образом, чтобы он весь трафик заворачивал в vpn. Когда используешь windows клиент, ничего настраивать не надо. Указываешь на openvpn сервере настройку у клиента: push "redirect-gateway def1 bypass-dhcp" И все, при подключении все маршруты прописываются как надо и твой внешний ip при серфинге становится равен ip адресу openvpn сервера. Весь трафик идет в тоннель. На микротике это не работало, маршруты надо было писать вручную. Получилось у меня не сразу, расскажу обо всем по порядку. Настройка openvpn клиента на mikrotik Настраиваем стандартным образом подключение openvpn клиента к серверу с авторизацией по сертификату. Для этого берем сертификат и приватный ключ для openvpn клиента и копируем на микротик через стандартное средство просмотра файлов Files: Потом идем в System -> Сertificates и имортируем по очереди сначала сертификат, а потом приватный ключ: Обращаю внимание на символы KT слева от названий сертификатов. Они обязательно должны быть у вас. Если сертификат и приватный ключ не соответствуют друг другу, то одного символа не будет. В моем примере уже есть 2 сертификата только потому, что я экспериментировал с двумя. Вам достаточно будет одного. Дальше идем настраивать параметры сервера. Открываем разздел PPP, нажимаем на плюс и выбираем OVPN Client: На вкладке General можно ничего не указывать, использовать все по-умолчанию. На следующей вкладке Dial Out указываем адрес vpn сервера, порт, на котором он принимает входящие соединения и сертификат. Все остальное можно не трогать. В поле User можно писать все, что угодно. Сохраняете подключение. Теперь клиент на микротике должен автоматически подключиться к openvpn серверу. Если этого не происходит, смотрите в чем проблема в логах на роутере или на сервере. На данном этапе все стандартно, должно заработать без проблем. Инструкций по этому вопросу в интернете море. Замена шлюза по-умолчанию для маскировки всего трафика Настройка на сервере для клиента, которая указывает заменять шлюз по-умолчанию, на микротике не работает. Если указать в настройках openvpn сервера галочку на параметре Add Default Route, то тоже ничего работать не будет. Просто не будет пускать в интернет. Хотя для меня это было не понятно. По идее, это как раз то, что нужно. Не могу сейччас привести скриншот маршрутов, коотрые будут прописаны, если установить эту галку. Я пишу статью, подключившись к роутеру удаленно, скрин сделать не могу, потеряю доступ. Я могу привести только гарантированно работающий вариант. Сейчас расскажу смысл проделанного и приведу список маршрутов, которые добавил. Первым делом создаем маршрут до openvpn сервера с Distance 1. Маршуруту по-умолчанию, который обеспечивает доступ в интернет через usb модем, назначаем Distance 2. Создаем новый маршрут по-умолчанию с Distance 1, где в качестве шлюза указано openvpn подключение. После этого вы будете иметь доступ в интернет через usb модем напрямую, если openvpn client будет отключен. После подключения vpn клиента к серверу, стандартный маршрут становится неактивным, а по-умолчанию становится новый маршрут со шлюзом в качестве vpn соединения. Весь ваш трафик будет замаскирован vpn соединением и пойдет через openvpn сервер. Описание маршрутов 0.0.0.0/0 192.168.8.1 Стандартный маршрут по-умолчанию, когда не подключен openvpn 0.0.0.0/0 ovpn-out1 Маршрут по-умолчанию через vpn сервер 10.8.0.0/24 10.8.0.21 Автоматически создаваемый маршрут для подссети vpn тоннелей 10.8.0.21 ovpn-out1 То же самое, автоматически создаваемый маршрут 94.142.141.246 192.168.8.1 Маршрут к openvpn server через usb модем 192.168.7.0/24 bridge1 Маршурт для локальной сети, создается автоматически 192.168.8.0/24 lte1 Маршрут до usb модема, создается автоматически 192.168.8.1 — адрес usb модема, 192.168.8.100 — адрес микротика на lte интерфейсе, к которому подключен модем 192.168.7.1 — адрес микротика в локальной сети 10.8.0.21 — адрес vpn тоннеля для данного клиента, адрес самого клиента при этом 10.8.0.22 94.142.141.246 — openvpn server Когда будете настраивать, не забудте включить NAT на openvpn интерфейсе, так же как у вас он настроен на основном. Заключение С такими настройками мне удалось обеспечить интернетом весь загородный дом с помощью симки йоты для смартфона, usb модема, внешней антенны для усиления сигнала и роутера mikrotik. Ссылку на подробный рассказ о моей конфигурации я привел в начале статьи. Без антенны вообще без вариантов было, еле-еле ловил 3g. С антенной стал ловить 4g со скоростью до 5-ти мегабит, если вышка не забита. В час пик скорость все равно не очень, но хоть что-то. Дом далеко от вышек сотовых сетей, без антенны интернет не работает ни у одного оператора.   Статья позаимствована с ресурса serveradmin.ru    

k010v

k010v

Бесшовный wifi роуминг с помощью capsman v2 в Микротик

Уже не раз я касался темы интересных и многофункциональных роутеров, подходящих для дома, малого и среднего бизнеса. Сегодня рассмотрим настройку в mikrotik функционала capsman для создания единой бесшовной wifi сети, состоящей из множества точек доступа. Я уже писал об этом, но прошло более года и кое-что изменилось, полезно будет еще раз посмотреть и проверить на реальном примере.   Введение   Вышла новая версия технологии Controlled Access Point system Manager (CAPsMAN) v2. Я расскажу немного о ней. В своей работе буду опираться на опыт предыдущей статьи и на официальный Manual:CAPsMAN с сайта производителя микротиков. В моем распоряжении будут 2 роутера RB951G-2HnD, которые настроены в соответствии с моими рекомендациями на эту тему. Рекомендую на всякий случай ознакомиться с ними, чтобы было общее представление о базовых настройках роутеров. На одном из этих роутеров я настрою контроллер точек доступа, другую подключу к этому контроллеру. Обе точки образуют единую бесшовную wifi сеть с автоматическим переключением клиентов к ближайшей точке. Примера из двух точек доступа будет достаточно для общего представления о работе технологии. Дальше эта настройка линейно масштабируется на необходимое количество точек доступа. Что такое capsman v2 Для начала расскажу, что такое capsman v2 и чем он отличается от первой версии. Сразу стоит сказать, что совместимости между двумя версиями нет. Если у вас контроллер v2, то к нему могут подключаться только точки доступа с такой же версией. И наоборот — если у вас точки v2, подключиться к контроллеру первой версии не получится. CAPsMAN v2 имеет другое название пакета в системе — wireless-cm2. Он появился в системе начиная с версии RouterOS v6.22rc7. У предыдущей версии название — wireless-fp, он появился в версии v6.11. Если у вас нет нового пакета, обновите версию прошивки mikrotik до последней. Список нововведений capsman v2: Возможность автоматически обновлять управляемые точки доступа. Усовершенствован протокол обмена информацией между контроллером и точками доступа. Добавлены поля «Name Format» и «Name Prefix» в настройках Provision rules. Улучшено логирование процесса переключения клиента от точки к точке. Добавлен L2 Path MTU discovery. Если у вас в сети уже настроен capsman, то разработчики предлагают следующий путь обновления всей вашей сети до v2: Настраиваете в исходной сети временный контроллер capsman v2. Начинаете постепенно обновлять управляемые точки доступа для установки в них пакета wireless-cm2. Все обновленные точки доступа будут подключаться к временному контроллеру. После того, как все управляемые точки доступа будут обновлены до последней версии, обновляете основной контроллер capsman. После того, как это случится, выключаете временный контроллер. Есть более простой путь, если вам не критичен простой сети на некоторое время. Одновременно запускайте обновление на всех роутерах — и на контроллере и на точках. Как только они обновятся, все заработает на новой версии. Сразу предупреждаю, если возникнут вопросы на эту тему. Я лично не проверял обновление до версии v2, не было в этом необходимости. Настройка контроллера wifi сети Переходим от теории к практике. Первым делом настроим контроллер capsman перед подключением к нему точек доступа. Как я уже говорил, обновляем перед этим систему. У нас должен быть установлен и активирован пакет wireless-cm2. Чтобы активировать функцию контроллера беспроводной сети, идем в раздел CAPsMAN, нажимаем на Manager и ставим галочку Enabled. Прежде чем продолжить настройку, расскажу немного о принципе работы системы. В сети настраивается контроллер управления точками доступа. К нему подключаются отдельные wifi точки и получают с него настройки. Каждая подключенная точка доступа образует виртуальный wifi интерфейс на контроллере. Это позволяет стандартными средствами управлять траффиком на контроллере. Наборы настроек на контроллере могут быть объединены в именованные конфигурации. Это позволяет гибко управлять и назначать различные конфигурации разным точкам. К примеру, можно создать группу с глобальными настройками для всех точек доступа, но при этом отдельным точкам можно задать дополнительные настройки, которые будут перезаписывать глобальные. После подключения управляемой точки к мастеру сети, все локальные wireless настройки на клиенте перестают действовать. Они заменяются настройками capsman v2. Продолжим настройку контроллера. Создадим новый радиоканал и укажем его параметры. Идем на вкладку Channels, жмем на плюсик и указываем параметры. Описание настроек Channels Name имя канала Frequency частота в MHz, она же номер канала 1-12 Width полоса в MHz Band режим работы Extension Channel настройки extension channel, подробнее о них тут Tx. Power мощность сигнала в Dbm Выпадающего списка в настройках нет и это неудобно. Подсмотреть настройки можно в текущих параметрах Wifi, если он уже настроен. Продолжаем настройки на вкладке Datapaths. Жмем плюсик и задаем параметры.   Описание параметров Datapath Bridge в какой бридж будет добавлен интерфейс в качестве порта Bridge Cost значение bridge port cost, испольуется только если актвен параметр bridge Bridge Horizon значение bridge horizon, испольуется только если актвен параметр bridge Local Forwarding управляет параметром forwarding mode Client To Client Forwarding управляет параметром client-to-client forwarding между клиентами управляемой точки доступа, если активен параметр local-forwarding этим параметром управляет сама точка доступа, в противном случае контроллер Vlan Mode управляет назначением VLAN tag для интерфейса Vlan Id какой VLAN ID будет назначен интерфейсу, если vlan-mode установлен в use tag Немного задержусь на параметре local-forwarding. Если он активирован, то всем траффиком клиентов точки доступа управляет сама точка. И большинство настроек datapath не используются, так как контроллер не управляет траффиком. Если этот параметр не установлен, то весь трафик с клиентов поступает на контроллер сети и там управляется в зависимости от настроек. Если вам необходим траффик между клиентами, то укажите параметр Client To Client Forwarding. Переходим к настройкам безопасности. Открываем вкладку Security Cfg. и жмем плюсик. Описание настроек Securiry name имя конфигурации Authentication type выбор типа авторизации Encryption выбор алгоритма unicast encryption Group Encryption выбор алгоритма group encryption Passphrase WPA or WPA2 pre-shared key Eap Methods выбор типа авторизации Eap Radius Accounting использование авторизации Radius TLS Mode управление использования сертификата TLS Certificate выбор сертификата, если его использование активировано в предыдущем параметре Пришло время объединить созданные ранее настройки в единую конфигурацию. Таких конфигураций может быть несколько с разными настройками. Для примера достаточно и одной. Идем на вкладку Configurations и жмем плюсик. На первой вкладке Wireless указываем имя конфигурации, режим ap и имя SSID будущей бесшовной wifi сети. На остальных вкладках просто выбираем созданные ранее настройки. Основные настройки mikrotik контроллера capsman v2 закончены. Теперь нужно создать правила распространения этих настроек. Как я уже ранее писал, разным точкам можно предавать разные конфигурации. Контроллер может идентифицировать точки доступа по следующим параметрам: Если используются сертификаты, то по полю Common name сертификата. В остальных случаях используются MAC адреса точек в формате XX:XX:XX:XX:XX:XX Так как в своем случае я не использую сертификаты, создадим правило распространения настроек на основе MAC адреса. А так как у меня единая конфигурация для всех точек, то и правило распространения будет самое простое. Сделаем его. Переходим на вкладку Provisioning и жмем плюсик. Описание настроек Provisioning Radio Mac MAC адрес точки доступа Hw. Supported Modes не понял для чего это, в документации пусто Identity Regexp в документации тоже ничего нет Commom Name Regexp и про это нет IP Address Ranges и про это тоже Action выбор действия с радио интерфейсом после подключения Master Configuration выбор оснвной конфгиурации, которая будет применена к создаваемому радио интерфейсу Slave Configuration второстепенная конфигурация, можно подключить еще один конфиг клиентам Name Format определяет синтаксис названий для создаваемых CAP интерфейсов Name Prefix префикс для имен создаваемых CAP интерфейсов На этом настройка контроллера capsman v2 закончена, можно подключать wifi точки доступа к нему. Подключение точек доступа В моем повествовании участвуют две точки доступа с адресами 192.168.1.1 (Mikrotik) и 192.168.1.3 (CAP-1), соединенные между собой по ethernet кабелю. Первая из них контроллер, вторая простая точка. Обе точки видят друг друга в локальной сети. Wifi интерфейс контроллера так же как и обычной точки подключается к capsman и берет у него настройки. То есть контроллер является одновременно и контроллером и рядовой точкой доступа. Даже комбинация из двух точек организует полноценную бесшовную wifi сеть на всей площади, которую покрывают их радио модули. Подключение точек доступа CAP к контроллеру CAPsMAN возможно по двум разным протоколам — Layer 2 или Layer 3. В первом случае точки доступа должны быть расположены физически в одном сегменте сети (физической или виртуальной, если это L2 туннель). В них не обязательно настраивать ip адресацию, они найдут контроллер по MAC адресу. Во втором случае подключение будет по протоколу IP (UDP). Нужно настроить IP адресацию и организовать доступность точек доступа и контроллера по IP адресам. Для начала подключим отдельную wifi точку. Подключаемся к ней через winbox и переходим в раздел Wireless. Там нажимаем на CAP и указываем настройки. Описание настроек CAP Interfaces интерфейс, которым будет управлять контроллер Certificate сертификат для авторизации, если используется Discovery Interfaces интерфейс, по которому CAP будет искать контроллер Lock to CAPsMAN  привязать точку к конкретному мастеру CAPsMAN Addresses IP адрес по которому CAP будет искать контроллер CAPsMAN Names имя контроллера, который будет искать CAP, если не указано ничего, то поиск по имени не осуществляется CAPsMAN  Certificate Commo Names список CommonNames сертификатов на контроллере, которые будет проверять CAP при подключении Bridge bridge, к которому будет подключаться интерфейс, когда включена опция local forwarding В моем случае я указал конкретный IP контроллера, так как ip адресация настроена. Если вы хотите по l2 подключать точки к контроллеру, то поле с адресом капсман оставляем пустым, а в Discovery Interfaces выбираете интерфейс, который подключен к контроллеру. Если они в одном физическом сегменте сети, то точка автоматически найдет мастер. Сохраняем настройки и проверяем. Если точка доступа корректно подключится к контроллеру, то на самой точке будет такая картина: А на контроллере в списке Interfaces появится только что созданный радио интерфейс подключенной точки доступа:   Если у вас по точка доступа упорно не подключается к контроллеру и вы никак не можете понять, в чем проблема, то первым делом проверьте, что у вас активированы на всех устройствах пакеты wireless-cm2. У меня получилось так, что после обновления на одной из точек был включен пакет wireless-fp, вместо необходимого. Точка доступа ни в какую не хотела подключаться к контроллеру, что я только не пробовал. Я и ее контроллером делал, другая не хотела к ней подключаться. Я сбросил все настройки, но и это не помогло. Когда совсем отчаялся решить проблему, проверил версию пакета и обнаружил, что она не та. Проделаем теперь то же самое на самом mikrotik контроллере — подключим его wifi интерфейс к capsman v2. Делается это абсолютно так же, как только что проделали на отдельной точке wifi. После подключения смотрим картинку на контроллере. Должно быть примерно так: Все, основные настройки закончены. Теперь эту конфигурацию можно разворачивать дальше на новые точки доступа и покрывать большую площадь единой бесшовной wifi сетью. Все подключенные клиенты будут отображаться на вкладке Registration Table с указанием точки, к которой они подключены. Для удобного и наглядного анализа сети рекомендуется придумать осмысленную схему назначения имен точкам доступа и радио интерфейсам. Проверка работы бесшовного wifi роуминга Теперь можно взять телефон на андроиде, поставить на него программу Wifi Analyzer и походить по всей покрываемой wifi территории, протестировать мощность сигнала, переключение от точке к точке. Переключение происходит не сразу, как только сигнал новой точки будет сильнее предыдущей. Если разница не очень большая, то переключение к новой не произойдет. Но как только разница начинает быть существенной, клиент перескакивает. Эту информацию можно наблюдать на контроллере. После анализа зоны покрытия можно подкорректировать мощность точек доступа. Иногда может быть полезно настроить разную мощность на разных точках, в зависимости от схемы помещений. Но в общем и целом даже в базовой настройке все работает вполне стабильно и качественно. К данным моделям микротик (RB951G-2HnD) могут подключаться и комфортно работать по 10-15 человек. Дальше могут быть нюансы в зависимости от нагрузки. Эти цифры я привел из своих примеров реальной работы. 2 сети в capsman на примере гостевой wifi Рассмотрим для примера одну распространенную ситуацию, которую можно реализовать с помощью технологии capsman. У нас настроена бесшовная сеть wifi с авторизацией по паролю. Нам нужно на эти же точки доступа добавить еще одну гостевую сеть для открытого доступа. В одиночном mikrotik это делается с помощью Virtual AP. Сделаем то же самое в capsman. Для этого нужно добавить новую настройку безопасности. Идем в Security Cfg. и создаем настройку для доступа без пароля. Называем ее open. Создаем еще одну конфигурацию, в которой все остальные настройки оставляем те же самые, только меняем SSID и настройку безопасности. Идем на вкладку Provisioning, открываем ранее созданную конфигурацию и добавляем туда в параметре Slave Configuration нашу вторую конфигурацию, которую мы только что сделали. Сохраняем изменения. Тут я подождал несколько секунд, новая настройка не распространилась на точки. Я не стал ждать, зашел на каждую точку и переподключил ее к контроллеру. Возможно этого не нужно было делать, а надо было подождать. Не знаю, сделал как есть. Новая настройка распространилась и в каждой точке доступа появилась новая сеть типа Virtual AP с открытой wifi сетью. На контроллере при этом добавились еще 2 виртуальных интерфейса, по одному на каждую новую сеть. Проверил на всякий случай работу — все в порядке. Подключает клиентов одновременно к обоим сетям и позволяет работать. Я для примера работы Virtual AP в capsman рассмотрел текущую ситуацию. Здесь клиентов гостевой сети подключает в тот же бридж и адресное пространство, что и пользователей закрытой сети. По хорошему нужно сделать дополнительные настройки: Создать на контроллере для открытой сети отдельный bridge, назначить ему свою подсеть и адрес в ней, добавить в этот бридж второй wlan интерфейс, который появится после подключения к capsman с двумя конфигурациями. Настроить в этой подсети отдельный dhcp сервер с раздачей адресов только из этой подсети. В настройках capsman в datapath создать отдельную конфигурацию для открытой сети. В ней указать новый bridge и не выбирать параметр local forwarding. В конфигурации для открытой сети выбрать новый datapath. После этого всех подключенных к открытой wifi сети будет отправлять в отдельный бридж, где будет свой dhcp сервер и адресное пространство, отличное от основной сети. Не забудьте в dhcp проверить настройки шлюза и dns сервера, которые вы будете передавать клиентам. Заключение Подведем итог проделанной работы. На примере двух точек доступа Mikrotik RB951G-2HnD мы настроили бесшовный wifi роуминг на покрываемой этими точками площади. Площадь эта легко расширяется дополнительными wifi точками любой модели микротик. Они не обязательно должны быть одинаковыми, как это, к примеру, реализовано в некоторых конфигурациях Zyxell, которые мне доводилось настраивать. В этом примере я рассмотрел практически самую простую конфигурацию, но при этом расписал все настройки и принцип работы. На основе этих данных легко составить и более сложные конфигурации. Здесь нет какого-то принципиального усложнения. Если понять, как это работает, то дальше уже можно работать и делать свои конфигурации. Трафиком с точек доступа можно управлять так же, как и с обычных интерфейсов. Работает весь базовый функционал системы — firewall, маршрутизация, nat и т. д. Можно делать бриджы, делить адресное пространство и многое другое. Но стоит учитывать, что при этом трафик будет весь идти через контроллер. Нужно это понимать и правильно рассчитывать производительность и пропускную способность сети. Мне самому было бы очень любопытно сравнить технологию capsman v2 с аналогичными решениями от других производителей. Своими руками я настраивал только конфигурации от Zyxell для решения похожих задач, но там все гораздо хуже работает, неудобно использовать и управлять. В микротике выходит и дешевле, и быстрее, и удобнее. Больше бесшовного роуминга я не настраивал. Если у кого-то есть подобный опыт, прошу поделиться в комментариях. Тема эта актуальна на сегодняшний день.   Статья позаимствована с ресурса serveradmin.ru      

k010v

k010v

Как настроить микротик routerboard RB951G-2HnD

Продолжаю рассказ про замечательную серию устройств из Латвии, которые зарекомендовали себя как функциональные и надежные девайсы. В данной статье я подробно рассмотрю вопрос базовой настройки роутеров mikrotik на примере бюджетной и самой популярной модели RB951G-2HnD. Данная инструкция подойдет практически к любой модели, так как все они сделаны на базе одной и той же операционной системы. Введение   Роутеры Mikrotik routerboard достаточно давно появились на рынке, но так до сих пор и не завоевали большую популярность. Хотя свою нишу заняли. Лично я считаю, что это отличный роутер для дома, по надежности у него нет конкурентов. Это действительно маршрутизатор, который можно один раз настроить и забыть. Лично мне еще ни разу не попадалось устройство, которое бы приходилось принудительно перезагружать, чтобы вывести его из комы, как это часто бывает с другими бюджетными железками. Распространение среди домашних пользователей сдерживает в первую очередь сложность настройки. И хотя более ли менее продвинутому пользователю может показаться, что ничего тут сложного нет. Но на самом деле есть. И я часто сталкивался с просьбами настроить роутер дома для раздачи интернета по wifi, так как купившие по чьей-нибудь рекомендации пользователи сами не могли полностью настроить нужный функционал, хотя инструкций в интернете хватает. Этот пробел я хочу восполнить и написать подробную пошаговую инструкцию по настройке микротика с нуля для чайников на примере самой подходящей для дома модели RB951G-2HnD. У меня давно подготовлена личная шпаргалка в виде текстового файла. По ней я буквально за 10 минут настраиваю роутер и отдаю пользователю. То есть реально ничего сложного нет, если знаешь, что делаешь. На основе этой шпаргалки я и напишу материал. Возможно опытному пользователю нечего будет тут почерпнуть, а может быть я сам что-то делаю не совсем правильно или не оптимально. Прошу сделать подсказку или замечание в комментарии, если это действительно так. Я пишу статьи в том числе и для того, чтобы самому научиться чему-то новому. Как гласит одна восточная мудрость — чтобы получить новые знания, нужно поделиться теми, что есть у тебя с другими. Именно этим я и занимаюсь на страницах данного сайта. Описание Mikrotik RB951G-2HnD Вот он, герой сегодняшней статьи — Mikrotik RB951G-2HnD. Его описание, отзывы и стоимость можно быстро проверить на Яндекс.Маркете. По количеству отзывов уже можно сделать вывод об определенной популярности этого роутера. Внешний вид устройства. Важной особенностью этого роутера, которой лично я активно пользуюсь, является возможность запитать его с помощью специального poe адаптера. На изображении он справа. Берется стандартный блок питания от роутера и poe адаптер. Блок питания подключается к адаптеру, а от адаптера уже идет патч корд в первый порт routerboard. Маршрутизатор можно повесить на стену в любое место, нет необходимости привязываться к розетке. Сразу отмечу, что запитать роутер можно только poe адаптером микротика. У него другой стандарт и привычные poe свитчи 802.3af не подойдут. Существует похожая модель RB951Ui-2HnD. Она отличается от описываемой мной только тем, что у нее 100Mb порт, а у RB951G-2HnD 1Gb. Если для вас эти отличия не принципиальны, то можете покупать более дешевую модель. В остальном они идентичны. Будем потихонечку двигаться дальше. Как проще всего настроить микротик? Я для этого использую стандартную утилиту winbox. Можно пользоваться и web интерфейсом, но лично мне намного удобнее winbox. Так что для продолжения настройки скачивайте ее на компьютер. Сброс настроек роутера Подключаем роутер к сети, подаем питание и запускаем на компьютере winbox. Переходим на вкладку Neighbors и ждем, когда утилита найдет наш микротик. Это может занять какое-то время. На всякий случай можно нажать Refresh, если роутер долго не обнаруживается. Нажимаем на мак адрес устройства, он должен будет скопироваться в поле Connect To. Пароль по-умолчанию для входа в роутеры mikrotik — пустой, а пользователь — admin. Вводим имя пользователя, поле с паролем оставляем не заполненным. Нажимаем connect. Нас встречает информационное окно, в котором приведено описание стандартных настроек. Здесь их можно либо оставить, либо удалить. Я всегда удаляю, так как стандартные настройки чаще всего не подходят под конкретную ситуацию. Приведу несколько примеров, почему это так: Я запитал свой роутер по первому порту через poe адаптер и поэтому вынужден использовать этот порт как локальный. В настройках по-умолчанию этот порт используется как wan порт для получения интернета от провайдер. В настройках по-умолчанию установлено автоматическое получение настроек от провайдера по dhcp. Если у вас другой тип подключения, то вам стандартная настройка не подходит. По-умолчанию устанавливается адресное пространство 192.168.88.0/24. Мне лично не нравятся сетки по-умолчанию, так как если в них случайно воткнуть новое устройство, где будет так же забит умолчательный адрес, то в сети начнутся проблемы. Дома может это и не актуально, но в коммерческих организациях мне приходилось с этим сталкиваться. Поэтому я на всякий случай сетку всегда меняю. Так что мы нажимаем Remove Configuration, чтобы удалить настройки. После этого роутер перезагрузится. Ждем примерно минуту и подключаемся к нему снова. Если вы по какой-то причине не удалили сразу предустановки, то выполнить сброс настроек в mikrotik на заводские можно позже. Для этого надо в терминале набрать сначала system, а затем reset. У вас спросят подтверждение и после этого routerboard перезагрузится с заводскими настройками. Обновление прошивки После очистки настроек я рекомендую сразу выполнить обновление прошивки роутера Mikrotik. Для этого идем в раздел Download официального сайта и скачиваем нужный файл. В данном случае это платформа mipsbe, пакет для загрузки Main package. Загружаем его на компьютер и подключаемся к роутеру с помощью winbox. Выбираем слева раздел Files. Затем открываем рядом два окна — один с файлом прошивки, второй с winbox и перетаскиваем мышкой файл из папки в winbox в список файлов. Дожидаемся окончания загрузки прошивки и перезагружаем микротик. Прошивка обновится во время загрузки роутера. Подождать придется минуты 3. Поле этого снова подключаемся к устройству. После обновления прошивки, нужно обновить загрузчик. Делается это в пункте меню System — RouterBoard. Заходите туда, проверяете строки Current Firmware и Upgrade Firmware. Если они отличаются, то жмете кнопку Upgrade. Если одинаковые, то можно ничего не делать. Проверить версию установленной прошивки можно в разделе System — Packages. В моем случае версия прошивки — 6.33.3. В будущем, когда на роутере будет настроен интернет, обновляться можно автоматически в этом разделе, нажимая на Check For Updates. Прошивку обновили, можно приступать к настройке. Объединение портов в бридж Одной из особенностей роутеров mikrotik routerboard является отсутствие предустановленных настроек портов. Объясняю на пальцах, что это такое. Покупая обычный бюджетный роутер, вы увидите подписи к портам. На одном из них обязательно будет написано WAN, на других либо ничего не будет написано, либо LAN. То есть у вас уже будет один порт настроен определенным образом для подключения интернета и остальные порты будут объединены в switch для удобства подключения оборудования. В Mikrotik не так. Там все порты равнозначны и WAN портом может стать абсолютно любой, какой пожелаете. Так как я 1-й порт использую для подключения питания, в качестве WAN у меня будет выступать 5-й порт. А все остальные я объединю в единую сеть с помощью bridge и добавлю к ним wifi интерфейс. Будем считать, что 1-й порт у нас мастер-порт, хотя это не обязательно, мастер портом может стать любой свободный порт. Укажем всем остальным портам использовать его в качестве мастера. Для этого в winbox идем в раздел Interfaces, выбираем ether2, два раза нажимаем на него мышкой и попадаем в его настройки. Там ищем поле Master Port, в выпадающем списке выбираем ether1. Сохраняем настройку. То же самое проделываем для всех остальных портов, кроме 5-го. Напротив настроенного порта должна появиться буква S. Мы объединили порты с 1 по 4 в свитч, теперь объединим их с wifi интерфейсом в bridge. Для этого идем в раздел Bridge, нажимаем на плюсик и жмем ОК. Все настройки оставляем по-умолчанию. У нас появился bridge1. Переходим на вкладку ports и жмем плюсик. Выбираем ether1 и жмем ОК. Вас отключит от роутера. Так и должно быть, подключайтесь снова. Идем в тот же раздел и еще раз нажимаем плюс и добавляем интерфейс wlan1. Должно получиться вот так: Мы объединили все необходимые интерфейсы в бридж для организации единого пространства для всех подключенных устройств. Настройка статического IP До этого мы подключались к роутеру по МАК адресу. Сейчас можно ему назначить статический локальный ip адрес, по которому он будет доступен в сети. Для этого идем в раздел IP -> Addresses и жмем плюсик. Указываете в разделе Address любую подсеть. Я выбрал 192.168.9.0. Соответственно микротику мы назначаем адрес  192.168.9.1/24. В качестве интерфейса выбираем bridge1. Поле Network можно не заполнять, оно заполнится автоматически. Теперь наш роутер доступен и по локальным интерфейсам, и по wifi (который еще предстоит настроить) по адресу 192.168.9.1. Настройка интернета в микротик Сейчас самое время подключиться к провайдеру и настроить интернет. Тут трудно охватить все возможные варианты подключения. Их может быть много. Я рассмотрю два самых популярных способа: Вы получаете настройки от провайдера автоматически по dhcp. Провайдер дал вам готовые настройки и вы их вводите вручную. Как я уже писал ранее, для подключения к провайдеру мы будем использовать 5-й порт. Подключайте провод провайдера. Для получения настроек по dhcp переходите в winbox в раздел IP -> DHCP Client и жмите плюсик. Выбираете интерфейс ether5 и жмете ОК. Если вы все сделали правильно, то увидите, какой IP адрес получили. В разделе IP -> Addresses будет информация о настройках. Рассмотрим вариант, когда провайдер выдал все настройки и вам нужно самим их задать. Будем считать, что наши настройки интернета следующие: IP адрес 192.168.1.104 Маска 255.255.255.0 Шлюз 192.168.1.1 DNS 192.168.1.1 Сначала укажем IP адрес. Делаем все то же самое, что и в предыдущем пункте при настройке статического IP. Только теперь вместо интерфейса bridge1 указываем ether5 и вводим соответствующий адрес — 192.168.1.104/24. Тут мы сразу указали и адрес и маску подсети. Дальше нам нужно установить шлюз по-умолчанию. Без этого обязательного шага интернет не заработает. Идем в раздел IP -> Routes и жмем плюсик для добавления шлюза по-умолчанию. В Dst. Address оставляем как есть 0.0.0.0/0, а в поле Gateway вписываем шлюз провайдера и жмем ОК. Уже сейчас интернет должен заработать, но без указания DNS сервера обращаться можно только по прямым ip адресам. Например можно пропинговать ip адрес серверов гугла. Открываем New Terminal и проверяем. Теперь установим DNS сервер. Для этого идем в IP -> DNS, в поле Servers вводим адрес dns сервера провайдера. Если у вас их два, то нажав на треугольничек, направленной вершиной вниз, вы можете ввести еще одно значение. Обязательно ставите галочку напротив Allow Remote Requests. На этом все, мы полностью установили настройки интернета провайдера. Можно проверить и пропинговать привычный адрес сайта. На самом маршрутизаторе уже есть выход в интернет. На нам нужно его настроить для пользователей. Для этого продолжаем настройку mikrotik. Настройка dhcp сервера Для того, чтобы подключенные устройства могли получать сетевые настройки автоматически с роутера, на нем необходимо настроить DHCP сервер. Делается это не сложно, я сейчас по шагам все распишу. Идем в IP -> DHCP, переходим на вкладку DHCP и нажимаем DHCP Setup. Нам предлагают выбрать интерфейс, на котором будет работать сервер. Выбираем bridge1. Жмем next. Теперь нужно выбрать адресное пространство, из которого будут выдаваться ip адреса. По-умолчанию указана подсеть, в которую входит ip адрес роутера. На это подходит, оставляем значение по-умолчанию 192.168.9.0/24. Дальше нужно указать адрес шлюза, который будут получать клиенты. Так как для них шлюзом будет выступать сам микротик, оставляем его адрес, который уже предложен. Теперь нужно указать диапазон адресов, которые будут выдаваться клиентам. Если вам не принципиально и вы не знаете, зачем его нужно менять, то оставляйте как есть. Будут использованы все свободные адреса подсети. На последнем этапе вводим адрес dns сервера, который будет выдаваться клиентам. Это может быть как сам микротик, так и dns сервер провайдера. Это не принципиально, но лучше указать сам роутер. Так что пишем туда локальный адрес 192.168.9.1. Следующий параметр оставляем по-умолчанию и жмем Next. На этом настройка dhcp сервера для локальной сети закончена. Если мы сейчас проводом подключим любого клиента к mikrotik, то он получит сетевые настройки, но в интернет выйти не сможет. Не хватает еще одной важной настройки — NAT. Настройка NAT NAT это преобразование, или как еще говорят трансляция сетевых адресов. Я не буду рассказывать, что это такое, можно самим почитать в интернете. Все современные роутеры имеют функцию NAT для обеспечения доступа к интернету абонентов. Так что мы тоже настроим NAT в mikrotik. Идем в раздел IP -> Firewall, открываем вкладку NAT и жмем плюсик. На вкладке General указываем только один параметр Out. Interface — ether5 (интерфейс подключения к провайдеру), все остальное не трогаем. Переходим на вкладку Action, выбираем в выпадающем списке masquerade. Остальное не трогаем и жмем ОК. Все, NAT настроили. Теперь если подключить клиента проводом в один из портов, то он получит сетевые настройки по DHCP и будет иметь доступ к интернету. Нам осталось самая малость — настроить wifi для подключения беспроводных клиентов. Настройка wifi точки доступа в mikrotik Наш роутер почти готов к работе. Осталось только настроить wi fi точку доступа и можно про него забывать :). Настройка wifi в микротике заслуживает отдельной статьи. Там очень много нюансов и возможностей. Мы сейчас сделаем самую простую настройку, которая подойдет и полностью удовлетворит потребности домашнего wifi роутера. А для более глубоких познаний можно будет воспользоваться отдельным материалом на эту тему. Первым делом активируем беспроводной интерфейс. По-умолчанию он выключен. Идем в раздел Wireless, выбираем wlan1 и жмем синюю галочку. Интерфейс из серого станет светлым. Переходим на вкладку Security profiles, два раза жмем мышкой на строчку с профилем default. В поле Mode выбираем dynamic keys. Ставим галочки напротив WPA PSK и WPA2 PSK и aes ccm. В поля WPA Pre-Shared Key и WPA2 Pre-Shares Key вводим пароль от будущей беспроводной сети. Сохраняем настройки. Возвращаемся на вкладку Interfaces и два раза жмем на wlan1, открываются настройки wifi интерфейса микротика. Переходим на вкладку Wireless. Выставляем настройки как у меня на скриншоте. Обращаю внимание на следующие настройки: SSID — имя вашей беспроводной сети. Пишите то, что хочется. Frequency — частота, соответствующая одному из 12-ти каналов. Самое первое значение это первый канал и так далее. Тут рекомендуется выбрать тот канал, который в вашем конкретном случае менее всего занят другими точками доступа. Если вы не знаете что это за каналы и как их проверить, то не обращайте внимания, может выбрать любое значение из списка. Сохраняете настройки, нажимая ОК. Все, wifi  точка доступа на mikrotik настроена, можно проверять. Запускаете любое устройство, ищете вашу сеть, вводите пароль доступа и проверяете интернет. Все должно работать. На этом основная настройка микротика закончена, но я рекомендую выполнить еще несколько настроек для удобства и безопасности. Смена пароля администратора по-умолчанию Как я уже писал ранее, пароль администратора по-умолчанию в mikrotik не задан, он пустой. Имя пользователя — admin. Давайте установим свой пароль для ограничения доступа посторонних к настройкам. Для этого идем в раздел System -> Users. Выбираем единственного пользователя admin, жмем правой кнопкой мыши и выбираем самый последний пункт password. В открывшемся окошке 2 раза вводим свой пароль и сохраняем его. Теперь, чтобы подключиться через winbox нужно будет указать не только пользователя admin, но и установленный пароль. Настройка времени Я рекомендую устанавливать правильное время и включать его автоматическую синхронизацию. Это может пригодиться, если вам понадобится посмотреть какие-нибудь логи и сопоставить время. Если оно не будет установлено, то это трудно сделать. Так что настроим его. Идем в System -> Clock, устанавливаем вручную время, дату и часовой пояс. Сделаем так, чтобы время автоматически обновлялось через интернет. Идем в раздел System -> SNTP Client. Ставим галочку Enabled, в поле с адресами серверов вводим 193.171.23.163 и 85.114.26.194. Жмем Apply и наблюдаем результат синхронизации. Теперь часы роутера всегда будут иметь актуальное время. На этом базовая настройка роутера mikrotik для домашнего пользования закончена. Можно устанавливать его на место и пользоваться. Заключение Я привел пример настройки микротика для домашнего пользователя в качестве замены другим популярным бюджетным роутерам. Для более сложной и осмысленной настройки можно воспользоваться моими статьями на эту тему: Настройка firewall  — рекомендую для всех, кто чувствует в себе способность разобраться дальше и повысить безопасность своей сети. Это может быть полезно даже дома. Собственно, статья и написана на примере ситуации, которая ложилась у меня в квартире. С помощью фаервола я отсек паразитный траффик и избавил маршрутизатор от тормозов. Запрет на доступ к сайтам — может быть актуально для тех, кто хочет, к примеру, ограничить доступ с компьютера ребенка к каким-то ресурсам в интернете. Настройка двух каналов в интернет для резервирования — статья о том, как подключить двух провайдеров интернета и автоматически переключать доступ с одного на другого в случае проблем со связью у одного из них. Ситуация взята из реального примера загородного дома с двумя каналами в интернет. Настройка бесшовного wifi роуминга — популярный материал на тему организации единой сети wifi, состоящей из множества точек доступа для покрытия большой площади. Это может быть актуально как домашним пользователям (загородный дом) так и корпоративным пользователям. Настройка хранения логов на mikrotik — рассказ о том, как централизованно хранить логи с микротиков. Для дома это совершенно не актуально, а для корпоративного сектора, где важно хранить информацию о том, кто, куда и зачем. Я заканчиваю свой рассказ. Буду рад любым замечания и комментариям на данную тему.   Статья позаимствована с ресурса serveradmin.ru    

k010v

k010v

Как заблокировать сайт микротиком

Популярная серия бюджетных маршрутизаторов из Латвии на базе RouterOS предоставляет пользователям широкие возможности по настройке. Сегодня я подробно рассмотрю возможности mikrotik по блокировке сайтов, рекламы, социальных сетей, по созданию списка запретов на доступ. Все эти средства присутствуют в роутерах из коробки и не требуют специальных знаний для настройки, кроме стандартных средств управления.   Как быстро закрыть доступ к сайт Начнем с самого простого. У нас есть роутер Mikrotik, утилита winbox и желание конкретному пользователю установить запрет на посещение определенного сайта. Подключаемся к роутеру и идем в раздел IP -> Firewall, открываем закладку Filter Rules: Нажимаем на + и добавляем новое правило блокировки сайта: На первой вкладке General заполняем: Указываем цепочку Forward. Указываем адрес пользователя, которому будет закрыт доступ к сайту. Выбираем протокол TCP. Дальше переходим на вкладку Advanced: В поле Content указываем адрес сайта, который нужно заблокировать, например vk.com. Переходим на вкладку Action: Здесь выполняем следующие действия: В поле Action выбираем reject. В пункте Reject With указываем tcp reset. Нажимаем OK. На этом основная настройка закончена. В данный момент правило по фильтрации сайта уже работает. Мы с помощью стандартных средств mikrotik смогли заблокировать vk.com. Это нетрудно проверить на клиенте. При попытке открыть адрес сайта популярной соц. сети он получит следующее сообщение в браузере chrome: В данном случае мы в ручном режиме сделали блокировку сайта конкретному пользователю. Если у вас таких сайтов и пользователей много, процесс надо по-возможности автоматизировать. Черный список сайтов для фильтрации Давайте создадим отдельно список сайтов и укажем его в правиле, чтобы не создавать запрет для каждого имени отдельно. Сделать это не сложно. Для этого опять идем в раздел IP -> Firewall, открываем вкладку Layer7 Protocols и нажимаем «+» для добавления списка: В поле regexp необходимо ввести регулярное выражение для организации списка сайтов. Я сам лично не умею составлять правильно регулярные выражения, поэтому приходится их искать в интернете. Подавляющее большинство регулярок, которые я нашел, у меня не заработали. Привожу вам список видеохостинга для блокировки в виде регулярного выражения, которое заработало лично у меня: ^.+(youtube|rutube|smotri).*$ Список можно расширить, добавляя значения в скобках через знак вертикальной палки, что означает логическое «или». После составления списка, включаем его в правило. Как создать правило я уже рассказал в первой части статьи. В данном случае отличие будет только в одном пункте:   Вместо поля Content выбираем название нашего списка для блокировки video в поле Layer7 Protocol. Если у вас настроен firewall на микротике и в нем присутствуют какие-то правила, то текущее правило блокировки нужно правильно разместить в списке, чтобы оно работало. Например, у меня есть материал на тему настройки firewall. Там есть правила: Разрешаем установленные подключения add chain=input action=accept connection-state=established add chain=forward action=accept connection-state=established Текущее правило блокировки списка сайта на основе Layer7 Protocol должно стоять выше этого правила, иначе оно не будет работать. Я не до конца понял, почему, но я провел достаточно много тестов, чтобы убедиться, что его реально надо ставить выше. Ну и, разумеется, оно должно стоять выше правила, разрешающего соединения forward из локальной сети. В этом правиле блокировки в поле Src.Address вы можете указать конкретный ip пользователя, можете указать всю подсеть, либо вообще оставить поле пустым для запрета выхода на закрытые сайты всему транзитному трафику маршрутизатора, в независимости от его источника. Вот как у меня выглядит список моих правил на фаерволе с учетом добавленного правила блокировки: Тут я блокирую доступ c тестового ip адреса. Все остальные правила похожи на те, что я описывал в своей статье по настройке простого фаервола на микротике, ссылку на которую я приводил выше. Вы можете включить логирование заблокированных соединений с сайтами из списка на вкладке Action самого правила: Mikrotik будет генерировать подобные логи: Эти записи вы можете перенаправить на удаленный сервер для логов, чтобы потом анализировать статистику срабатывания правила. Для удобства, эти правила можно разделить по сайтам, по пользователям и т.д. В общем, поле для контроля работы правила обширное. Запретить социальные сети в mikrotik Так как мы научились составлять списки для блокировки сайтов, на основе этой информации легко закрыть доступ в социальные сети одним правилом. Для этого как и ранее добавляем регулярное выражение со списком соц сетей: Текст регулярки: ^.+(vk.com|vkontakte|odnoklassniki|odnoklasniki|facebook|ok.ru).*$ Дальше создаем правило, как мы это делали выше и выбираем список, который только что добавили: Выбираем как и ранее адреса источников для блокировки и добавляем правило. Все, этого достаточно для того, чтобы заблокировать социальные сети у пользователей. А включив логи, сможете еще и следить за тем, кто время от времени пытается в них зайти. Блокировка рекламы средствами mikrotik С помощью изученного средства по ограничению доступа к сайтам достаточно просто блокировать рекламу. Для примера рассмотрим вариант по блокировке рекламы в Skype. Так как я знаю адреса серверов, куда скайп лезет за рекламой, я могу его заблокировать в mikrotik. У меня есть список: rad.msn.com apps.skype.com vortex-win.data.microsoft.com settings-win.data.microsoft.com Это адреса, откуда загружается реклама. Списки эти могут меняться время от времени, нужно периодически проверять и обновлять. Самому подготовить список рекламных адресов для конкретного сервиса можно, к примеру, с помощью настройки собственного dns сервера и включения логирования запросов. Дальше как обычно создаем regexp выражение для списка адресов: ^.+(rad.msn.com|apps.skype.com|vortex-win.data.microsoft.com|settings-win.data.microsoft.com).*$ Добавляем новое правило, подключаем к нему список, созданный ранее и наслаждаемся работой скайпа без рекламы. Заключение Материала в интернете по Микротику много. Я сам пока разбирался в данном вопросе перечитал кучу статей. И все они какие-то недоделанные. Либо вопрос слабо раскрыт, либо что-то вообще не работает. Не знаю, в чем причина такой ситуации. Возможно что-то меняется в настройках и информация становится неактуальной. Сходу у меня не заработала фильтрация на основе Layer7 Protocols, пришлось повозиться, покопаться в regexp, в правилах, в их расположениях. Надеюсь мой материал немного исправит данную ситуацию. Буду рад любым замечаниям к статье, так как сам учусь в процессе написания. В своей работе лично я не использую какие либо ограничения доступа к сайтам, так как считаю это бесполезным занятием. Но многие пользуются, поэтому разбираться в этом вопросе считаю полезным делом.   Статья позаимствована с ресурса serveradmin.ru  

k010v

k010v

Mikrotik настройка простого Firewall

У меня дома давно стоит mikrotik в качестве роутера. Очень надежное решение. У меня не было внешнего IP адреса, поэтому настройкой firewall на mikrotik я не занимался. Мне просто было лень. Пришлось ее побороть. Некоторое время назад приобрел статический внешний IP. Спустя несколько дней начались проблемы с интернетом. Он стал временами откровенно тупить. Mikrotik прямо из коробки предлагает все инструменты для решения подобных проблем. Зашел через winbox на него, открыл список интерфейсов, увидел траффик на внешнем. Зашел в его настройки, нажал Torch и стал смотреть, что там за траффик. Трафика там было полно, но без подробностей, только ip адреса. Ничего страшного. Идем в IP -> Firewall, открываем закладку Connections и смотрим, кто там и что от нас хочет. Скорее всего тупо боты сканят наш адрес в поисках уязвимостей. Больше всего запросов на 53-й порт. Настройка Firewall в Mikrotik Тут мне стало очевидно, что на Mikrotik надо настроить таки Firewall, чтобы закрыться от подобных соединений, которые приводят к тормозам в работе роутера. В интернете много информации по настройке fiewall в mikrotik, я не буду подробно описывать этот процесс. Прочитать подробно о настройке можно тут или тут. Я просто приведу свой набор правил для обычного домашнего роутера. Это минимальный набор правил фаервола, ничего лишнего и в то же время полная защита от ненужных подключений.
Здесь ether2 — внешний интерфейс, 192.168.1.0/24 — моя локальна сеть, 45000 — порт торрента. Разрешаем пинги
add chain=input action=accept protocol=icmp
add chain=forward action=accept protocol=icmp Разрешаем установленные подключения add chain=input action=accept connection-state=established add chain=forward action=accept connection-state=established Разрешаем связанные подключения add chain=input action=accept connection-state=related add chain=forward action=accept connection-state=related Разрешаем все подключения из нашей локальной сети add chain=input action=accept src-address=192.168.1.0/24 in-interface=!ether2 Разрешаем входящие подключения для торрента add chain=forward action=accept protocol=tcp in-interface=ether2 dst-port=45000 Обрубаем инвалидные подключения add chain=input action=drop connection-state=invalid add chain=forward action=drop connection-state=invalid Обрубаем все остальные входящие подключения add chain=input action=drop in-interface=ether2 Разрешаем доступ из локальной сети в интернет add chain=forward action=accept in-interface=!ether2 out-interface=ether2 Обрубаем все остальные подключения add chain=forward action=drop Вот скриншот моих правил firewall. В принципе, по нему можно воссоздать все правила у себя на mikrotik:   Настройка NAT в Mikrotik Стоит до полноты картины добавить еще пару правил в закладке NAT. Первое непосредственно натит интернет из локалки, второе пробрасывает порт 45000 с внешнего интерфейса на торрент качалку с адресом 192.168.1.50 add chain=srcnat action=masquerade out-interface=ether2
add chain=dstnat action=dst-nat to-addresses=192.168.1.50 to-ports=45000 protocol=tcp in-interface=ether2 dst-port=45000 На этом все. Интернет лагать перестал. Стоит отметить, что я запретил все входящие подключения, кроме торрента. То есть удаленно моим mikrotik я управлять не смогу, все подключения закрыты firewall. Мне это просто не нужно. Если у вас есть такая потребность, то не забудьте разрешить входящие подключения в firewall для winbox. И еще важное замечание. Я не рекомендую настраивать fierwall в mikrotik, да и не только в микротик удаленно. Я во время настройки ошибся и отключил себе доступ к устройству. Пришлось его ресетить и настраивать заново. Благо это не долго, не заняло много времени. Но имейте это ввиду. Лучше перед настройкой сделать backup, если вдруг ресетить придется :)

k010v

k010v

Настройка Mikrotik контроллера CAPsMAN для бесшовного Wifi роуминга на примере RouterBOARD 2011UiAS-2HnD-IN

Начиная с версии 6.11 в Router OS появился функционал по управлению точками доступа. Теперь нет необходимости настраивать по отдельности каждую точку, достаточно настроить контроллер и подключать к нему управляемые точки доступа. В результате очень быстро и просто мы имеем бесшовный wifi роуминг на множество точек, позволяющих покрыть единой сетью wifi практически любой по площади объект.   Для примера возьмем трехэтажный коттедж с подвалом и расположим на каждом этаже по точке, решив таким образом проблему единой wifi сети в коттедже. В моем распоряжении оказались 4 новых точки доступа RouterBOARD 2011UiAS-2HnD-IN, с ними я и буду работать. Активируем функцию контроллера wifi на Mikrotik RouterBOARD 2011UiAS-2HnD-IN   Начнем настройку точек доступа. Первым делом после запуска роутера я удаляю конфигурацию по-умолчанию, сбрасываю настройки в дефолтные и объединяю все порты + wifi в bridge1. Подробнее о начальной настройке микротиков я рассказал отдельно, рекомендую ознакомиться. Для активации функции контроллера необходимо установить обновление системы до последней, либо до любой, от 6.11 и выше. Чтобы обновить систему идем в раздел System — Packages и жмем Check For Updates. Роутер должен иметь доступ в интернет для обновления. Видим доступные обновления и нажимаем Download & Upgrade. Роутер скачает прошивку, обновит ее и перезагрузится. Теперь надо активировать пакет, содержащий необходимый нам функционал. По-умолчанию он отключен. Для включения идем опять в System — Packages и выбираем пакет wireless-fp, нажимаем enable. Пакет помечается как активный, но включится только после перезагрузки роутера. Перезагружаем роутер. Пакет wireless-fp активируется, а wireless деактивируется. Теперь у нас появляется новый пункт настроек CAPsMAN: В этом разделе осуществляются все настройки управляемых точек доступа. Принцип действия следующий. Вы создаете необходимые конфигурации wifi для точек доступа, потом в настройках беспроводных интерфейсов точек указываете, что настройки хранятся на контроллере. После подключения к контроллеру, точки получают ту или иную конфигурацию, при этом управление настроек с самих устройств становится невозможным. Конфигурации для разных точек могут быть разные. Мы рассмотрим самый простой вариант: один контроллер и управляемые им точки доступа с единой конфигурацией. Настроив одну точку и сохранив ее конфигурацию, можно распространить настройку на сколь угодно много точек. Все они, по мере подключения, будут подключаться к контроллеру и применять необходимые настройки wifi. Я расположил Mikrotik, который будет выполнять роль контроллера на одном этаже здания, управляемые точки установил на остальных. Задача получить полное покрытие всех этажей единой сетью wifi. При этом, находясь на одном из этажей, есть прием сигнала с обоих точек, с той которая на этом же этаже уверенный мощный сигнал, с другого этажа очень слабый, на грани возможности использования. Подключенные к сети устройства должны автоматически переключаться на ту точку доступа, у которой увереннее сигнал. Забегая вперед скажу, что так и будет. Настроив все должным образом я получал переключение к разным точкам при перемещении с этажа на этаж. Итак, приступим к настройке. Настраиваем CAPsMAN на wifi контроллере Mikrotik RouterBOARD 2011UiAS-2HnD-IN Для удобства, я назвал контроллер ap-master, а управляемые точки ap-1, ap-2, ap-3. Первым делом включаем на контроллере непосредственно функционал контроллера. Для этого заходим в CAPsMAN, нажимаем на Manager и ставим галочку Enable. Остальные пункты не трогаем. Теперь здесь же открываем закладку Channels и создаем настройки канала: Потом в Datapaths и создаем настройки: Далее создаем настройки Security Cfg.: Мы задали основные настройки. Теперь объединим их все в единую конфигурацию. Делается это в закладке Configurations. Создаем там новую конфигурацию. Указываем SSID нашей wifi сети. Для активации обоих антенн роутера отмечаем галками пункты HT Tx Chains и HT Rx Chains. На остальных трех вкладках указываем созданные нами ранее конфигурации. Остальные поля не трогаем, они будут заполнены автоматически на основе настроек. После создания конфигурации, создаем правило ее распространения. У нас случай самый простой, единая конфигурация для всех точек. Идем во вкладку Provisioning и создаем правило. Поле Radio MAC оставляем по-умолчанию, в Action выбираем create dynamic enabled, в Master Configuration выбираем ранее созданную конфигурацию. Подключаем управляемые wifi точки доступа С настройками закончили. Теперь надо подключить точки доступа. ap-master выступает в качестве контроллера сети и одновременно с этим является управляемой точкой. Указываем его wifi интерфейсу брать настройки с контроллера. Для этого идем в раздел Wireless, нажимаем CAP, ставим галочку Enabled. В поле CAPsMAN Addresses вводим IP адрес контроллера, то есть адрес этой же точки. Обращаю внимание на то, что при подключении других точек, не являющихся одновременно контроллером, эти настройки будут немного другими. Указываем в поле Bridge Остальные поля не трогаем. Жмем ОК. Wifi адаптер подключился к контроллеру и взял необходимые настройки. Об этом свидетельствуют две красные строчки, появившиеся после подключения. Wifi сеть с контроллером создана, к ней можно подключиться и пользоваться. Подключим к ней теперь еще одну точку. Обновляем ее до последней версии, соединяем кабелем с контроллером, назначаем адрес, проверяем связь обоих роутеров друг с другом. Если все в порядке, то подключаем точку к контроллеру. Идем в раздел Wireless, жмем CAP. В поле Discovery Interface указываем bridge1. Как я уже писал раньше, у меня в бридж объединены все порты + wifi. В поле Bridge тоже указываем bridge1. Точка доступа подключится к контроллеру, возьмет настройки и начнет раздавать wifi. Таким же образом настраиваем и подключаем остальные 2 точки. В итоге получаем такую картину: У нас 4 виртуальных интерфейса, соответствующие каждому wifi адаптеру управляемых точек доступа. Здесь можно управлять настройками этих точек. К примеру, создать разные конфигурации и здесь их распределить между точками. Распределять можно и в автоматическом режиме, на основе MAC адресов. Делается это во вкладке Provisioning. На вкладке Registration Table отображается информация от подключенных к wifi устройствам, с указанием интерфейсов, к которым они подключены: На вкладке Radio можно увидеть соответствие точек созданным виртуальным интерфейсам: Собственно, на этом настройка закончена. После окончания я, вооружившись смартфоном с софтом по анализу wifi сетей, походил по зданию и убедился, что во всем здании функционирует единая wifi сеть и происходит автоматическое переключение от одной точки к другой при значительном ухудшении сигнала от предыдущей точки.

k010v

k010v

Mikrotik логирование на удаленный сервер rsyslog

Возникло желание собирать логи с роутера Mikrotik. Была нужна информация о подключенных по pptp абонентах и логи firewall для настройки. По-умолчанию, Mikrotik пишет все логи в лог журнал, который можно просмотреть через winbox. Стандартно, там хранятся последние 100 строк лога.   Настраиваем удаленный сервер rsyslog   У меня в хозяйстве имелся сервер Debian. Решил хранить логи с микротиков именно на нем. В составе Debian уже имеется сервис сбора логов с удаленных источников rsyslog. Необходимо только включить в нем необходимый функционал. Правим файл /etc/rsyslog.conf: Раскомментируем строки # provides UDP syslog reception $ModLoad imudp $UDPServerRun 514 чтобы получать логи по UDP, либо # provides TCP syslog reception $ModLoad imtcp $InputTCPServerRun 514 чтобы получать логи по TCP И в секцию RULES добавим несколько строк для удобного хранения файлов логов от разных удаленных источников: # Зададим шаблон создания имен файлов (на основании IP адреса клиента) $template FILENAME,"/var/log/!remote/%fromhost-ip%/syslog.log" # Укажем сохранять сообщения от любого источника (*) с любым приоритетом (*) в файл, заданный шаблоном # Например, клиенты (10.0.0.2,10.0.0.3...) будут раскладываться в соответствующие каталоги /var/log/10.0.0.2/syslog.log *.* ?FILENAME Перезапускаем rsyslog для применения настроек: /etc/init.d/rsyslog restart Теперь наш сервер готов принимать логи с удаленных источников. Хранить он их будет в папке /var/log/!remote Для каждого источника будет создана папка с именем IP адреса этого источника. Настраиваем пересылку логов в Mikrotik Теперь настраиваем в роутере хранение логов на удаленном сервере. Для этого заходим в раздел System -> Logging, выбираем закладку Actions, два раза щелкаем по строчке remote. Открывается окно настроек. В нем вводим адрес удаленного сервера сбора логов. Порт на свое усмотрение либо оставляем по-умолчанию, либо меняем на свой. Больше ничего добавлять не надо. Дальше в разделе Rules создаем необходимое правило хранения: Все готово. Теперь все наши логи будут храниться на удаленном сервере. Необходимо не забыть настроить ротацию логов, дабы в один прекрасный день они не заняли все свободное место.

k010v

k010v

Mikrotik 951Ui-2HnD 2 wan интерфейса для резервирования канала

У меня в руках оказался очень интересный роутер Mikrotik RouterBOARD 951Ui-2HnD http://mikrotik.ru/katalog/katalog/hardware/wireless_soho/routerboard-951ui-2hnd-318 Привлекателен он тем, что за небольшие деньги мы получаем аппарат с огромным функционалом. Я решил проверить, как с его помощью можно организовать резервирование канала в интернет. Мы имеем 2 провайдера, один основной, другой резервный. Задача автоматически переключаться на резервный канал, если основной недоступен. В качестве основного канала будет usb модем 3g или 4g от сотового оператора, а проводной ethernet со спутника в качестве резервного . Сразу скажу, что микротик поддерживает не все модемы и не со всеми работает на максимальной скорости. Тут нужно каждый конкретный модем проверять. У меня было несколько, нормально заработал LTE USB модем 830FT от МТС. Максимальная скорость была ниже, чем если бы модем был подключен к компьютеру. С чем это связано — не знаю. Но статья не об этом. Интернет может быть любым. Описанная мной ситуация актуальна в загородном доме, где есть стабильный, медленный и дорогой интернет от спутника и быстрый, дешевый, но нестабильный интернет от сотового оператора. Задача переключаться на спутник, если usb модем по какой-то причине теряет связь. Технология переключения канала Способы организации переключения канала могут быть разными. Я выбрал следующий: Создаем 2 статических маршрута до любых адресов в интернете. Я в качестве таких серверов выбрал публичные DNS серверы гугла 8.8.8.8 и 8.8.4.4. Маршрут до первого сервера будет идти через шлюз основного провайдера, до второго — через резервного. Дальше создаем два маршрута по-умолчанию для выхода в интернет с использованием основного и резервного канала. Потом с помощью скрипта мы периодически пингуем dns гугла через основного провайдера. До тех пор, пока пинги проходят, его маршрут будет активным. Как только пинги пропадают, скрипт переключает маршрут по-умолчанию на резервного провайдера, делая активным его. Когда пинги по первому маршруту появляются, скрипт снова делает основной маршрут активным, а резервный отключает. При такой схеме, даже если у вас не пропал линк на сетевой карте, а интернета нет, произойдет переключение.  Настройка резервирования интернета Что мы имеем: ether1-gateway — ethernet интерфейс резервного спутникового провайдера modem — LTE интерфейс модема основного провайдера На обоих интерфейсах настраиваем получение IP адреса по DHCP: В пункте Add default route ставим «no». Создаем необходимые статические маршруты для пинга: /ip route add disabled=no distance=1 dst-address=8.8.8.8/32 gateway=192.168.0.12 /ip route add disabled=no distance=1 dst-address=8.8.4.4/32 gateway=192.168.99.1 И добавляем 2 дефолтных роута для обоих провайдеров с обязательными комментариями для каждого gw1 и gw2 Должно получиться так: Теперь в System — > Scheduler создаем задание на выполнение скрипта: :local PingCount 3; :local CheckIp1 8.8.8.8; :local CheckIp2 8.8.4.4; :local rName [/system identity get name]; :local rDate [/system clock get date]; :local rTime [/system clock get time]; :local isp1 [/ping $CheckIp1 count=$PingCount]; :local isp2 [/ping $CheckIp2 count=$PingCount]; :local BackGw [/ip route get [find comment="gw2"] disable]; :if (($isp1=0) && ($isp2=$PingCount) && ($BackGw=true)) do={ :log warning "Set routes to gw2"; /ip route disable [find comment="gw1"]; /ip route enable [find comment="gw2"]; } :local MainGw [/ip route get [find comment="gw1"] disable]; :if (($isp1=$PingCount) && ($MainGw=true)) do={ :log warning "Set routes to gw1"; /ip route enable [find comment="gw1"]; /ip route disable [find comment="gw2"]; } Ставим интервал запуска скрипта каждые 30 секунд : 00:00:30 Теперь можно проверять. При отсутствии пинга адреса 8.8.8.8 маршрут gw1 становится disable а gw2 enable. Одновременно с этим в лог пишется «Set routes to gw2». Когда пинг возвращается, все переключается обратно и в логе появляется запись «Set routes to gw1». Вот так просто можно организовать резервирование канала с помощью двух провайдеров интернета и роутера микротик. Данный способ успешно опробован лично.

k010v

k010v



  • Блоги

    • CentOS

      • 13
        записей
      • 1257
        комментариев
      • 17369
        просмотров
    • web-администрирование

      • 3
        записи
      • 0
        комментариев
      • 257
        просмотров
    • Mikrotik

      • 11
        записей
      • 225
        комментариев
      • 21973
        просмотра
    • LAN

      • 5
        записей
      • 0
        комментариев
      • 1171
        просмотр
    • Windows

      • 17
        записей
      • 12
        комментариев
      • 962
        просмотра
    • Asterisk

      • 2
        записи
      • 0
        комментариев
      • 91
        просмотр
    • Разное

      • 1
        запись
      • 0
        комментариев
      • 332
        просмотра
    • 1C

      • 1
        запись
      • 0
        комментариев
      • 240
        просмотров
    • Linux

      • 2
        записи
      • 0
        комментариев
      • 264
        просмотра
    • iOS

      • 1
        запись
      • 0
        комментариев
      • 274
        просмотра
×