Архив метки: Mikrotik

The Dude – мониторинг оборудования ЛВС. Часть 1 – установка.

В данном описании представлена установка The Dude v6 на примере ЛВС нашей организации.

The Dude – это программа мониторинга оборудования в локальной сети от производителя MikroTik. Страница на официальном сайте.

Программа распространяется бесплатно. В основном она нацелена на мониторинг сетевого оборудования MikroTik, но так же удовлетворительно справляется с мониторингом других сетевых устройств. Работает в основном на L3 OSi, может сканировать L2. Умеет мониторить соединения (Links) и поддерживает работу с SNMP.

Программа (система) состоит из серверной и клиентской частей. Информация от сетевого оборудования поступает на сервер. Администратор просматривает поступившую информацию и выполняет настройки через клиентское ПО со своего компьютера. Читать →

🌐 Что такое прозрачный прокси-сервер

Прозрачный прокси-сервер, часто называемый просто “прозрачным прокси”, – это прокси-сервер, который перехватывает сетевой трафик, не требуя никаких настроек или действий со стороны клиента.

Он “прозрачен” в том смысле, что клиент зачастую даже не подозревает о его присутствии.

Далее мы более подробно рассмотрим, что такое прозрачный прокси-сервер и как он функционирует: Читать →

Why ISPs Should Embrace TR-069 ACS to Stay Ahead of Competitors

As the telecommunications industry becomes more competitive, local ISPs need to find ways to stay ahead of larger telcos and offer services that meet the changing demands of their customers. One of the solutions to this challenge is to implement TR-069 ACS server to help streamline network management, reduce costs, and increase efficiency. Читать →

MikroTik Hotspot Configuration in RouterOS 7

MikroTik Hotspot is an awesome service to run a captive portal network. You can run a public Wi-Fi network, Hotel Network, Airport network, CAMP Wi-Fi network, Shopping Mall Network and so on using MikroTik Hotspot and even can monetize your network for earning if you use Hotspot Billing Software like GalaxyRAD which is specially designed for MikroTik Hotspot network.




GalaxyRAD helps to monetize your any network providing online payment gateway as well as integrating voucher-based system. It also helps to automate your Hotspot/Captive Portal System. GalaxyRAD is a cloud-based RADIUS application and there is no need to have public IP address in your MikroTik Router if you want to integrate your Hotspot Server with GalaxyRAD. So, it is possible to integrate any network with GalaxyRAD Billing Software.  




MikroTik Hotspot configuration in RouterOS 7 is so easy. Following some easy steps, we can build a captive portal network with MikroTik Hotspot Server. In my previous article, I discussed how to configure MikroTik RouterOS 7 from the very beginning. In this article, I am going to show how to configure MikroTik Hotspot in RouterOS 7.




Network Diagram for MikroTik Hotspot Network




We will configure MikroTik Hotspot Server according to the following network diagram where the MikroTik Router is acting as a Hotspot Server and an AP is being used to connect wireless devices to this Hotspot Server.



MikroTik Hotspot with GalaxyRAD
MikroTik Hotspot with GalaxyRAD



When a wireless device will be connected to this Hotspot network using network SSID, it will be redirected to the hotspot login page for authentication. Using username and password, a device can be authenticated and can get internet. 




In this network, I have also shown the position of a GalaxyRAD cloud-based application. If we use GalaxyRAD Billing Software, the connected device will be redirected to the portal login page where a user can put his voucher/card number for authentication or even he/she can buy a package using online payment gateway and can use internet service automatically. 




Configuring MikroTik Hotspot in RouterOS 7




Before start to configure Hotspot Server, we must have WAN configured so that MikroTik Router has internet accessibility. If you are new to MikroTik Router configuration, feel free to study MikroTik Router first time configuration guide line and then follow this article.






I hope, you have also configured your LAN gateway and LAN block. For simplicity, I am assuming the LAN gateway – 192.168.0.1/24 and the LAN interface – ether2. Hence, the LAN block will be 192.168.0.0/24.




To configure Hotspot in MikroTik RouterOS, follow the following steps.




  • From Winbox, go to IP > Hotspot and then click Hotspot Setup button.




  • Follow the instructions shown in the window by clicking Next button.



Hotspot Setup
Hotspot Setup



Choose the interface on which you want to setup Hotspot Server. We can install Hotspot Server on each interface of MikroTik Router. For our demo configuration, we are using ether2 port. So, choose your desired ether port and then click Next button.



Choosing Hotspot Network Gateway
Choosing the Hotspot Network Gateway



It will now ask to provide the Gateway of the Hotspot network. By default, the provided LAN gateway will be assigned and we want to keep it. So, there is no need to change. It will also keep checked the Masquerade Network. If you have not yet masqueraded this network, keep checked it otherwise uncheck it and click Next button.



Choosing Address Pool of the Network
Choosing Address Pool of the Network



It will now ask to provide Address Pool from where users of the network will get IP address. By default, it will assign all the addresses in your LAN block without the LAN gateway. If require, can change the IP range according to your demand. Click the Next button. 



Choosing SSL Certificate
Choosing SSL Certificate



It will now ask to provide SSL certificate for your DNS Name that will be assigned in the upcoming step. For the production network, we should have an SSL certificate for our DNS Name otherwise there will arise a lot of issues. But for demo network, we can skip this step. So, click the Next button.



SMTP Server for Hotspot Server
SMTP Server for Hotspot Server



We will use no SMTP server for our Hotspot Network even we can skip this step in the production network. So, click the Next button.



Providing DNS Servers for Hotspot User
Providing DNS Servers for Hotspot User



We can now provide one or more DNS Servers for our Hotspot Network. Here, we are using Google’s DNS Server for simplicity. If you have own DNS Server, can use that here. Click the Next Button.



Providing DNS Name for the Hotspot Network
Providing DNS Name for the Hotspot Network



Now it is time to provide DNS Name. For a professional Hotspot network, we should provide a valid DNS Name and should have an SSL Certificate for this DNS Name. For this demo network, I am using wifi.systemzone.net. It is my valid domain name. So, I can generate an SSL certificate for this DNS Name if a I require. Providing your DNS Name, click the Next button.



Creating First Hotspot User
Creating First Hotspot User



It will now ask to create the first Hotspot User that can be used to authenticate any device. For simplicity, I am providing admin and a simple password. Click the Next button.



Hotspot Setup has been Completed
Hotspot Setup has been Completed



Hotspot Setup will now be completed and you will find a successful message like the above image.






After completing Hotspot Setup, connect any device to the LAN network with RJ45 cable or connect any AP and setup SSID and then connect a Wi-Fi device. If everything is OK, you will now get the hotspot login page like the below image. If the login page does not appear automatically, browse any website without Google, Facebook and YouTube or type wifi.systemzone.net from the Browser’s URL bar.   



Hotspot Default Login Page
Hotspot Default Login Page



Now if we provide the admin user credentials that we created while setting up Hotspot Server, the admin user will be authenticated and can get internet access. As soon as the user will be connected, a status page will be shown showing user details like the below image.



Hotspot Status Page
Hotspot Status Page



If we see the Hotspot Hosts list, we can see that the Host has been connected and an active flag will be shown at the beginning of the Host list.



Hotspot Host Window
Hotspot Host Window



So, our Hotspot configuration is done. Now create any user from Users tab and let it connect. Your desired user will now be connected and can access internet through your Hotspot Server.




This is the beginning of MikroTik Hotspot Journey. Now you can change the login template according to your business, you can apply voucher-based authentication system or even you can apply online gateway payment system to automate your Hotspot system and revenue using a powerful RADIUS based application like GalaxyRAD – WISP Automation and Billing Software.




How to configure MikroTik Hotspot Server in RouterOS 7 has been discussed in this article. I hope, you will now be able to configure MikroTik Hotspot Server for your network and can run a smooth Captive Portal System. However, if you face any confusion, feel free to discuss in comment or contact me from Contact page. I will try my best to stay with you.



2023-04-25T12:12:06
MikroTik Hotspot Tutorials & Guides

Опто-волокно для ЛВС.

В процессе модернизации ЛВС в нашей организации возникла необходимость подключить к серверу компьютеры, находящиеся в корпусах на расстоянии 200м и 300м от серверной. Кабель UTP витая пара на таких расстояниях не работает без усиления сигнала. Поэтому решено было использовать опто-волоконные линии передачи данных, о чем и будет описано на этой странице.

Бюджет проекта был не большой, поэтому использован самый простой вариант монтажа оптики – без кроссировочной панели. Опто-волокно подключается через оптические модули напрямую в главный коммутатор и таким же способом подключается в коммутаторы в корпусах. Линии являются опто-волоконными патч-кордами большой длины. Предполагалось, что передача данных будет проходить на скорости не менее 1Гбит/с.

По результатам работ были выявлены некоторые недостатки получившейся системы. Если кто-нибудь будет использовать данное описание для своего проекта сети, учтите отмеченные ошибки.

 

Опто-волокно.

Выбран кабель LC/UPC-LC/UPC-657A1-DX 3.0mm LSZH. Две бухты 200м и 300м.

LC – тип коннекторов.

UPC – тип полировки волокна в коннекторе.

G657 – тип волокна (одномодовое).

A1 – класс волокна (не чувствительно к изгибам радиусом более 10мм).

DX – дуплекс.

3.0mm –диаметр оболочки.

LSZH – материал оболочки (мало дымящий).

Маркировка на кабеле.

Коннекторы.

Кабель состоит из симплексного опто-волоконного проводника, т.е. по нему ведется передача в одну сторону. Так как кабель сдвоен, то по одному проводу сигнал идет в одну сторону, а по другому – в другую. Получается что конструкция одного проводника симплексная, но кабель в целом – дуплексный, потому что он может одновременно вести прием и передачу.

Одномодовый кабель – значит он может распространять только  один луч (волну, моду) света. Многомодовый – соответственно много лучей по одному кабелю.

Одномодовый кабель может передавать сигнал на расстояния большие (от 500м), чем многомодовый с меньшим количеством ошибок. В роли передатчиков сфокусированные лазеры. Многомодовые кабели используют на небольшие расстояния (до 500м) и часто внутри зданий. У них больше диаметр световых волокон, а для передачи используются светодиоды и не требуется узкая лазерная фокусировка. Однако, в нашем случае был закуплен одномодовый кабель, потому что у поставщика другого не было на момент выполнения проекта. В альтернативных условиях для подобных целей нужно рассматривать вариант многомодового кабеля. Так же следует исходить из расчета стоимости и других местных обстоятельств. Многомодовый кабель стоит дороже, чем одномодовый.

 

Оптические-модули.

SFP (Small Form-factor Pluggable) — промышленный стандарт модульных компактных приёмопередатчиков (трансиверов), используемых для передачи и приема данных в телекоммуникациях по технологии Ethernet через опто-волоконные линии (в данном случае).

Были закуплены два вида SFP-модулей на скорость 1Гбит/с и 10Гбит/с. Сперва купили два гигабитных модуля, убедились, что система работает, потом купили 10-ти гигабитные модули.

Модули на 1Гбит/с — OPL-SFP-LH-10 – максимальная скорость передачи 1,25Гбит/с. LH – Long Haul  (разновидность модулей на дальние дистанции).

Стандарт, по которому работает модуль – 1000BASE-LX. Максимальная скорость передачи данных у этого стандарта 1Гбит/с.

Модули на 10Гбит/с — OPL-SFP+LR-10– максимальная скорость передачи 10Гбит/с. LR — Long Range (дальняя дистанция).

Оба типа модулей предназначены для работы с одномодовыми оптическими линиями с рабочей длинной волны 1310нм. Максимальная длинна линии до 10км.

Интерфейс LC DUPLEX т.е. в одном модуле два разъема для подключения двух проводов.

Торговая марка OPL была выбрана потому что, в наличии были только эти модули на момент проведения закупки.

Стандарт – 10GBASE-LR/LW – 10Гбит/с.

 

Коммутаторы.

Главный коммутатор в нашей ЛВС — CRS326-24G-2S+RM. В нем есть два разъема для подключения модулей SFP и SFP+. Этот коммутатор работает в сети уже давно и специально под оптику не подбирался.

В роли ответного коммутатора на другой стороне одной из линий был закуплен еще один такой же CRS326-24G-2S+RM.

В заявленных характеристиках указана поддержка модулей и скорость 10Гбит/с. На более глубоком уровне анализ не проводился, но в этом и оказалась ошибка. При рассмотрении блок-диаграммы этого коммутатора (с сайта MikroTik) можно заметить, что подключение процессора происходит с максимальной скоростью всего 1,3Гбит/с.

В нашей сети коммутатор работает с RouterOS, обработка трафика проходит через мосты и процессор и скорость 10Гбит/с не достижима в этих условиях.  По этой причине модули на 10Гбит/с не могут полностью раскрыть свои возможности.

На второй линии использовали существующий ZYXEL GS1900-48, в котором так же есть разъемы для SFP-модулей.

Максимальная возможная скорость в этом коммутаторе 1Гбит/с. (www.zyxel.com)

Для всех коммутаторов модули подошли и заработали.

 

Монтажные работы.

Это наиболее трудоемкая часть. На монтаж одной линии 200м потребовался полный рабочий день. На линию 300м – два дня. Работы выполнялись внутри здания. Кабель размещен за подвесным потолком «Армстронг» в металлических лотках для ЛВС. Для работы требуется минимум два человека, стремянка, перфоратор.

Для защиты от механических повреждений кабель был помещен в ПВХ гофрированную трубку диаметром 20мм.

Концевики закручены изолентой на время монтажа. Так как кабель сдвоен, два концевика вместе не влезают в гофру. Пришлось разделять кабеля и связывать концевики со смещением. Альтернативный вариант – выбрать гофру диаметром 22мм или более, но в этом случае нужно бурить большие отверстия в стенах и перекрытиях между этажами сверлом D22мм, что так же не очень приемлемо.

Кабель и гофру пришлось размотать по всей длине и потом засунуть одно в другое.

 

Кабель длинной 300м в помещении размотать не получилось. Поэтому его разложили на улице. Потом засунули в гофру.

 

Кот пришел помогать и поправлял гофру лапой.

 

В итоге гофру с оптикой намотали на картоновую коробку.

Далее эту бухту разложили в здании за потолками.

 

В процессе укладки гофра имеет свойство запутываться, особенно при больших объемах.

В одном месте пробили электрические провода в стене. Подобные факторы нужно учитывать при выполнении работ.

Не желательно делать острые углы изгибов кабеля.

Возле распределительных шкафов остался запас опто-волокна 20-30м. Так как отрезать запас невозможно в виду заводской обжимки коннекторов, он был оставлен и уложен за потолком. Опто-волоконные линии не боятся запасов, а характеристики сигнала при таких длинах ухудшаются незначительно.

 

Подключение оборудования.

Оптические модули можно вставлять «на горячую», не выключая оборудования.

Порядок подключения проводов имеет значение. В серверной провода подключены в коммутатор по порядку 1-2.

 

В ответном РШ провода подключаются наоборот 2-1. Это связано с изменения направления прием-передача.

 

После включения линк сразу показал 10Гбит/с между двумя MikroTik CRS326.

 

Между MikroTik и ZYXEL для модуля 1Гбит/с передача данных тоже заработала.

 

В меню ZYXEL можно проверить отображение оптического линка.

 

Отображение интерфейса с модулем 1Гбит/с (коммутатор в серверной).

 

Отображение интерфейса с модулем 10Гбит/с (коммутатор в серверной).

Когда в серверной поломался кондиционер, температура модулей доходила до 53С.

Отображаемое значение статуса соединения 10Gbps. Реальную ситуацию может показать только тест скорости передачи данных.

 

Тесты скорости.

Bandwidth Test.

Первый тест проводился средствами RouterOS в микротиках (Tools >> Bandwidth Test).

Прием и передача, протокол UDP, оптика с 10-ти гигабитными модулями.

Передача (send): ~600Мбит/с

Прием (receive): ~800Мбит/с

Очевидно, что до гигабита не дотягивает. Большая потеря пакетов.

 

Прием и передача, протокол TCP.

В этом случае скорость совсем низкая и в разных направлениях держится на уровне 100Мбит/с.

При подсоединении этого роутера с другим через прямой медный патч-корд длинной 1м тест скорости показывал примерно такие же значения. Возможно что-то с роутером.

В последствии выяснилось, что в роутере были включены 30-40 правил firewall, которые могут снижать скорость. С отключенными правилами тест не проводился.

 

Копирование файла.

Еще один тест был проведен в виде копирования большого файла из сервера в сетевое хранилище через опто-волоконную линию.

Копирование происходит со средней скоростью 35-40 МБ/с.

40Мбайт/с = 320Мбит/с. Протокол TCP. Правила firewall включены.

При этом процессор роутера загружается на 100%.

 

Btest для Windows.

Тест скорости можно провести с помощью программы btest.exe, которая скачивается с сайта MikroTik.

В тесте участвовали два произвольно выбранными ПК между опто-волоконной линией. На одном ПК программа запущена в качестве сервера, на втором ПК – в качестве клиента.

На ПК-1 активируем сервер, указываем логин и пароль.

 

В ПК-2 на клиенте указываем адрес сервера, логин, пароль.

Чтоб btest показывал корректные значения нужно указывать лимиты Local Tx Speed и Remote Tx Speed. При нулевых значениях тест не работает.

Получены значения в районе 100Мбит/с на 10-ти гигабитной трассе, протокол TCP.

С протоколом UDP в каждую сторону по очереди примерная средняя скорость 400-500Мбит/с.

При проведении этого теста компьютеры подключены к сети не напрямую в роутеры с модулями SFP, а через дополнительные коммутаторы и витые пары utp. Порты находятся в разных мостах. Эти факторы могут вносить дополнительные потери.

 

iPerf тест.

Скачать ПО можно по ссылке.

Работа происходит через командную строку.

ПК-1 192.168.6.80 сервер — ожидает трафик.

Запускаем сервер.



 

ПК-2 192.168.5.4 клиент — передает трафик.

Запускаем.



Программа проводит ряд измерений и выводит результат. Протокол TCP. Тестирование проводилось на трассе с SFP-модулями 10Гбит/с.

 

Для измерения скорости в обратном направлении нужно добавить в команду на клиенте ключ –R (Reverse mode).



Скорость на трассе с 1-гигабитными модулями почему-то оказалась примерно такой же, как в тестах выше – около 300Мбит/с.

 

Итог:

Вопрос по созданию локальной сети на 200м и 300м решен с приемлемыми затратами.

Опто-волоконный кабель и SFP-модули можно было выбрать и получше. Но фактор централизованной закупки в очень ограниченный срок все решил.

Выводы по скорости сводятся к тому, что у оборудования есть 1-гигабитные или 10-ти гигабитные интерфейсы, но реальная скорость, с которой они могут передавать трафик, гораздо меньше. Скорость определяется не только оптикой, но и другими дополнительными факторами: порты в разных бриджах роутера, мощность процессора роутера, правила в firewall и QoS, сетевой уровень, протокол, доп. оборудование на трассе, прочий трафик и нагрузка в рабочей сети. Скорее всего при работе в режиме коммутатора с SwitchOS только на канальном уровне скорости были бы близки к заявленным производителем.

CRS326-24G-2S+RM с RouterOS не очень подходит для роли роутера с большой нагрузкой. По его стоимости он вполне нормально работает, хотя не дотягивает до желаемых результатов. Для достижения более высоких скоростей передачи данных нужно выбирать оборудование за гораздо большую стоимость.


Дополнение — новый роутер.

В организацию закупили новый роутер CCR2004-16G-2S ROSv7 only. Подключение интерфейса для SFP+10Gbit/s по автосогласованию.

Тест скорости средствами ROS показывает 1Гбит/с в любом направлении для UDP (немного меньше для TCP) и далее упирается в загрузку процессора роутера на ответной стороне.

На ответной стороне CRS326. Для него тестовый трафик проходит по цепочке INPUT и соответственно в этом участвует процессор, который работает на пределе возможностей. Для проверки скорости линии 10Гбит/с нужно за роутером CRS326 подключить устройство с портом 10Гбит, трафик для CRS326 станет FORWARD и тест покажет реальную скорость по опто-волокну. Пока такой возможности для проведения теста нет.

Файлы в сети между компьютерами пользователей с одной стороны и сервером с другой стороны опто-волоконной линии начали копироваться с максимальной скоростью портов оконечного оборудования 1Гбит/с. Работать стало комфортнее, гигабайты данных загружаются за несколько минут.


​

2023-04-10T20:33:15
ЛВС

MikroTik – SSTP VPN (site to site) – объединение двух офисов.

Постановка задачи: к ЛВС и серверу в главном здании учреждения необходимо подключить ЛВС филиала, расположенного в другом городе.

Схема подключения на рисунке ниже.

В результате настроек между двумя роутерами MikroTik создается туннель, через который передается информация.

В схеме использованы MikroTik с RouterOS v6.49.7: в главном офисе RB3011, в филиале RB750Gr3.

Все настройки выполняются из локальных сетей 1 и 2 через WinBox или командную строку.

Описана реальная ситуация из практики объединения офисов по VPN. Внешние IP-адреса изменены.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Краткое описание SSTP.

Secure Socket Tunneling Protocol (SSTP) разработан компанией MicroSoft.  SSTP передает трафик по каналу SSL/TLS, что обеспечивает безопасность на транспортном уровне с согласованием ключей, шифрованием и проверкой целостности трафика. Использование SSL/TLS через TCP-порт 443 позволяет SSTP проходить практически через все брандмауэры и прокси-серверы, кроме аутентифицированных веб-прокси. В большинстве случаев SSTP применяется для подключения удаленных клиентов ОС Windows по схеме «клиент-сайт».

Среди основных достоинств SSTP можно отметить надежность, скорость, безопасность, отсутствие проблем с NAT. Возможность проходить там, где другие VPN заблокированы. Из недостатков следует отметить снижение скорости работы при загруженности канала передачи. Небольшое количество поддерживаемых сервисов.

Порядок действий.

 Настройка сервера VPN.

Настройка клиента VPN.

Подключение с использованием сертификатов.

 

Настройка сервера VPN.

Роутер-сервер расположен в РШ серверной главного здания. В первый порт подключен патч-корд к оптическому конвертору. Во второй порт подключен  патч-корд к ЛВС1.

 

Подключаемся к роутеру-серверу из локальной сети через WinBox по MAC-адресу т.к. IP-адрес 0.0.0.0.

1.Обозначим название роутера.

System >> Identity >> GW1-SERVER (название латиницей, любое понятное) Через командную строку терминала:



 

2.Активация сервера SSTP.

Переходим по меню в: PPP >> Interface >> SSTP Server

В открывшемся окне ставим галочку напротив Enable.

Authentication: mschap2, остальные варианты отключаем.Через командную строку терминала:



 

3.Создание пользователя.

PPP >> Secrets >> +

Name: Wunderbare-sstp1 – имя пользователя VPN (любое понятное).

Password: Password12345 – сложный пароль из букв разного регистра, цифр и спец.символов.

Service: sstp – тип туннеля (сервиса).

Local Address: 172.16.10.1 – локальный адрес роутера в сети VPN.

Remote Address: 172.16.10.2 – IP-адрес роутера филиала в сети VPN.

Нажимаем кнопку «ОК».Через командную строку терминала:



 

4.Создание интерфейса.

PPP >> Interface.

Из выпадающего меню возле синего крестика выбираем: SSTP Server Binding.

На вкладке General указываем:

Name: SSTP-TO-FILIAL1 — любое понятное имя латиницей;

User: Wunderbare-sstp1 — имя пользователя созданное в Secrets.

Через командную строку терминала:



Практика показывает, что в названии удобно использовать направление данного интерфейса.

Если интерфейс не создавать, то он появится динамически при активации туннеля. Но в таком случае неудобно будет указывать его в других настройках при необходимости.

 

5.Статический маршрут в направлении LAN2.

Создадим статический маршрут, разрешающий трафик от пользователей LAN1 к пользователям в LAN2.

IP-адреса в LAN1: 192.168.18.0/24

IP-адреса в LAN2: 192.168.19.0/24

В боковом меню переходим в IP >> Routes.

Нажимаем синий плюс, на вкладке General указываем:

Dst. Address: 192.168.19.0/24 – адрес сети назначения.

Gateway: 172.16.10.2 – шлюз в нужную сеть – указываем IP-адрес противоположного роутера в сети VPN или созданный ранее интерфейс (IP надежнее).

Нажимаем ОК для сохранения настроек.Через командную строку терминала:



 

6.Правило firewall.

Создадим правило открывающее порт 443 для входящего в роутер трафика. Это порт на котором работает SSTP.

Переходим по меню: IP >> Firewall >> Filter Rules >> +

На вкладке General вводим настройки:

Chain: input – входящий трафик.

Protocol: tcp  – протокол.

Dst. Port: 443Переходим на вкладку Action.

Action: accept – разрешающее действие.

Нажимаем ОК для сохранения.Через командную строку терминала:



 

Расположение.При настроенном firewall без этого правила запуск VPN не происходил.

 

7.Далее следует выполнить настройку подключения к Интернету.

В разных случаях может быть разный способ. Под спойлером настройка через PPPoE.


Настройка WAN

Назначим роутеру внешний (WAN) статический IP адрес.

Наш провайдер предоставляет услугу PPPoE с логином и паролем согласно приложению к договору. В разных ситуациях провайдер может предоставлять доступ в Интернет разными способами и сервисами.

Создаем интерфейс PPPoE клиента: PPP >> PPPoE Client.В открывшемся окне:

Переходим на вкладку General.

Name: pppoe-out1 – имя нового интерфейса (можно указать любое латиницей)

Interfaces: ether1 – интерфейс к которому подключен провод от оптического терминала провайдера.

Переходим на вкладку Dial Out.

Service: byfly – понятное название латинскими буквами.

User: 123456789101212@beltel.by – имя пользователя из приложения к договору об оказании услуг от провайдера.

Password: 1234567890 – пароль из приложения к договору об оказании услуг.

Use Peer DNS и Add Default Route отмечены галочками.

Протоколы аутентификации отмечены галочками все 4 (не трогаем их при byfly).

ОК для сохранения настроек.

Через командную строку терминала:



Через некоторое время 0,5-1 мин роутер автоматически получит заказанный у провайдера внешний IP-адрес, который будет для него постоянным.

Так же автоматически появятся несколько адресов внешних DNS серверов.

На созданном интерфейсе pppoe-out1 появится статус R (running).


 

8.Далее следует выполнить настройки локальной сети LAN1: IP, DHCP, DNS, NAT, FIREWALL и прочее.

Для работы VPN действие не обязательное.

Можно воспользоваться базовой настройкой MikroTik.

 

Настройка клиента VPN.

Филиал подключается в Интернет через ADSL-модем на скорости 10/5 Мбит/с. Статический WAN IP-адрес не требуется. Достаточно чтоб был «белый» внешний статический IP-адрес у сервера.

В локальной сети LAN-19 4 компьютера. Им необходимо иметь прямой доступ к серверу в LAN-18 и общим сетевым папкам.

Сетевое оборудование смонтировано в металлическом ящике ШРН-8.255-10.Подключаемся в роутер через порты 2-5. Входим в меню через WinBox по MAC-адресу т.к. роутер сброшен на пустую (blank) конфигурацию.

 

1.Обозначение названия роутера.

System >> Identity >> GW2-CLIENT

Через командную строку терминала:



 

2.Настройка интерфейса SSTP

Переходим в меню PPP, выбираем SSTP Client.

Выполним настройки интерфейса клиента.

На вкладке General, указываем название интерфейса.

Переходим на вкладку Dial Out.

Connect To: 10.10.10.10 – внешний IP-адрес роутера-сервера.

Отключаем верификацию по сертификатам. Добавим ее, когда VPN заработает.

User: Wunderbare-sstp1– имя пользователя, созданное для клиента на сервере.

Password: Password12345 – пароль, созданный в профиле клиента на сервере.

Allow: mschap2 – оставляем только этот тип.

Нажимаем ОК для сохранения настроек.

Через командную строку терминала:



 

3.Настройка ADSL модема.

Для продолжения настроек VPN туннеля, необходимо перевести модем в режим работы Bridge.

Все модемы разные, но принцип общий. Подключаемся патч-кордом в 1 порт модема. Заходим в интерфейс через браузер по IP-адресу (обычно это 192.168.1.1). Вводим логин-пароль.

Выставляем настройку Bridge Connection.Соединяем патч-кордом первый порт модема с первым портом роутера.

 

4.Далее следует выполнить настройку подключения к Интернету в роутере-клиенте.


Настройка WAN

Соединение VPN не произойдет пока роутеру-клиенту не назначен WAN IP-адрес. Сделаем это.

Ситуация аналогична настройке внешнего IP в роутере-сервере. Провайдер предоставляет Интернет через PPPoE.

Создаем интерфейс PPPoE-клиент: PPP >> PPPoE Client.

В открывшемся окне:

Переходим на вкладку General.

Name: pppoe-out1 – имя нового интерфейса.

Interfaces: ether1 – интерфейс к которому подключен провод от ADSL-модема.Переходим на вкладку Dial Out.

Service: byfly – понятное название латинскими буквами.

User: 0987654321111@beltel.by – имя пользователя из приложения к договору об оказании услуг от провайдера.

Password: 1234567890 – пароль из приложения к договору об оказании услуг.

Use Peer DNS и Add Default Route отмечены галочками.

ОК для сохранения настроек.Через командную строку терминала:



Через некоторое время роутер автоматически получит заказанный у провайдера внешний IP-адрес, который будет для него постоянным.


После настройки внешнего интерфейса должно установиться VPN соединение. При успешном подключении клиента статус его интерфейса станет R (running).

Дополнительно можно проверить вид шифрования (Encoding).

В интерфейсе на сервере можно убедиться в соответствии назначенных ранее Local и  Remote Address.

 

5.Статический маршрут.

Маршрут направляет трафик из LAN2 в LAN1.

IP-адреса в LAN1: 192.168.18.0/24

IP-адреса в LAN2: 192.168.19.0/24

Переходим в меню маршрутов: IP >> Routes >> +

На вкладке General указываем:

Dst. Address: 192.168.18.0/24 – адрес сети назначения.

Gateway: 172.16.10.1 – VPN IP-адрес роутера-сервера.

Нажимаем ОК для сохранения настроек.Через командную строку терминала:



 

Вводить правила Firewall для разрешения VPN на роутере-клиенте не нужно.

 

6.Настройка локальной сети LAN2 (Bridge, IP, DHCP, NAT, FIREWALL и др.).

Для VPN действие не обязательное.

Можно воспользоваться базовой настройкой MikroTik.

 

На этом настройка по объединению двух сетей завершена.

Необходимо проверить прохождение пинга и трассировку между компьютерами главного офиса и филиала (из LAN1 в LAN2). Если трассировка идет через VPN IP-адрес, то настройка выполнена верно. Если трафик пойдет через WAN IP-адрес, то настройка сделана не правильно. Нужно смотреть, где IP-адреса расставлены не на своих местах. То же самое нужно сделать из LAN2 в LAN1. Можно выполнить трассировку из роутера (Tools >> Traceroute).

 

Подключение с использованием сертификатов.

Certificate Authority (CA) — центр сертификации. Это сторона (организация, отдел), которая хранит, подписывает и выдает цифровые сертификаты. (wiki)

Честность CA неоспорима, а открытый ключ широко известен. Задача центра сертификации — подтверждать подлинность ключей шифрования.

Подлинность подтверждается корневым удостоверяющим сертификатом. С его помощью подписываются SSL сертификаты.

 

1.Создание CA.

Создадим собственный корневой удостоверяющий сертификат CA. Затем создадим SSL сертификат. Подпишем его и установим в роутере-клиенте.

Name: CA-PC360 – любое понятное имя.

Country: BY – страна.

State: MINSK – область (штат).

Locality: MINSK – расположение.

Organization: PC360 – наименование организации.

Unit: 2B – подразделение (отдел).

Common Name: общеизвестное имя.

Дополнительно можно изменить:

Key Size: 2048 – размер ключа шифрования. Чем он длиннее тем надежнее.

Days Valid: 365 – срок действие сертификата в днях.

 

На вкладке Key Usage оставляем две галочки. Остальные настройки отключаем.

ctr sign —  возможность подписывать другие сертификаты.

key cert. sign – возможность подписывать ключи

Нажимаем Apply.

Подписываем, нажав кнопку Sign.

 

Выбираем сертификат CA, нажимаем кнопку «Start».

Progress: done (сделано).

 

2.Создание SSL сертификата для сервера и клиента SSTP.

Действия такие же, как и в предыдущем пункте.

Дополнительно нужно указать реальный внешний IP-адрес в строке  Subject Alt. Name.

 

Отмечаем tls client и tls server для использования сертификата на сервере и клиенте.

 

Подписываем ранее созданным сертификатом CA.

 

3.Установка сертификата в сервере.

Переходим в настройку сервера PPP >> SSTP.

Выбираем сертификат и отмечаем галочкой «Verify Client Certificate». ОК.

 

4.Экспорт сертификата для установки в клиента.

System >> Cerrtificates.

Выбираем сертификат для SSTP и нажимаем «Export».

Необходимо указать тип PKCS12 и пароль.

Type: PKCS12 – набор сертификат и ключ.

Export Passphrase: пароль.

File Name: SSL-VPN – любое понятное название для файла.

Если не указать пароль (Passphrase), то при подключении к серверу может возникнуть ошибка  terminating… — no key for certificate found (6)

Это не совсем связанная причина-следствие, но практика показывает обратное.

 

Сертификат появится среди файлов в роутере.

Переносим сертификат на компьютер (перетягиваем мышью), на флэшку и загружаем в клиентский роутер.

 

5.Импорт сертификата в клиента.

Переносим сертификат в роутер клиента.

 

Импортируем.

Можно задать понятное имя, поясняющее для чего этот сертификат. Выбираем загруженный файл и вводим пароль.

 

6.Настройка сертификата в клиенте.

Выбираем сертификат из списка.

Отмечаем галочками

Verify Server Certificate — проверять сертификат сервера.

Verify Server Address From Certificate – проверять адрес сервера в сертификате.

ОК.

 

Проверка соединения. Соединение установилось – R.Если соединение не установилось, нужно открыть лог и посмотреть в чем ошибка. Устранить ее.

 

Статус соединения.

Шифрование RC4.

wiki.mikrotik.com сообщает что данный вид шифрования предназначен для работы с клиентами Windows, иначе они не смогут подключится. Так как в нашем случае соединение через роутеры «сайт-сайт», можно применить другой вид шифрования. Настройка выполняется на сервере. Нужно отметить галкой параметр «Force AES».

Так же можно активировать настройку PFS  на сервере и клиенте для повышения безопасности. Perfect Forward Secrecy (идеальная прямая секретность) — приватный ключ генерируется для каждой сессии.

Активируем соединение еще раз и проверяем статус. Шифрование AES256-CBC.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.



2023-03-05T18:14:55
MikroTik