Представлена настройка сегментации локальной сети в организации с использованием VLAN. Организатором VLAN выступает роутер MikroTik. В сети использованы коммутаторы ZyXEL и D-Link. Далее схема повторяется на большое число однотипных сегментов.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

VLAN использован для следующих целей:

-разделить большую сеть на сегменты, отделить разные отделы, уменьшить широковещательный трафик;

-создать изоляцию между сетями;

-подключить коммутатор в который приходит 2 и более сетей одним проводом к роутеру (не тянуть лишние провода, не покупать доп. коммутаторы);

-объединить некоторые компьютеры расположенные в разных корпусах в общую логическую сеть;

Если все сети разделены проводами каждая к своему коммутатору, то можно обойтись простой сегментацией без VLAN как у нас было первоначально (ссылка).

Согласно поставленной задаче необходимо создать 3 VLAN:

1-Видеонаблюдение +сеть управления – VLAN-10;

2-Рабочая сеть – VLAN-11;

3-Гостевая сеть – VLAN-12;

Сети разделены на такие группы для упрощения описания. В реальной ситуации у нас в ЛВС 6 сетей с количеством хостов от 50 до 150 в каждой.

Настройка организована через VLAN Bridging. Мосты используются в том случае если одна и та же сеть нужна на разных портах, так же на мост ложится задача обрабатывать модифицированные кадры VLAN. Непосредственную обработку выполняет процессор.

Настройка подходит для всех типов роутеров с RouterOS v6.49. Первоначально настройка протестировалась на RB750Gr3 и RB3011. В рабочем варианте в локальной сети использован CRS326.

Существует так же возможность настройки VLAN через Switch-чип, но в данном описании она не рассматривается.

Для примера представлено описание настройки VLAN самых распространенных в нашей сети коммутаторов GS1900 и DGS-1100.

Кратко о VLAN.

VLAN – виртуальная локальная сеть, которая логически формируется на инфраструктуре физический локальной сети. Используется для сегментации сети и изоляции различных ее сегментов друг от друга.

VLAN работает на 2 уровне модели OSI (канальный). На этом уровне информация передается в виде кадров. В кадр добавляется дополнительное поле, в которое в том числе входит номером – VLAN ID.

В микротике есть два типа портов VLAN:

1-Тегированные (Tagged) – это порты для связи с другим сетевым оборудование, например с коммутаторами (trunk-порты, uplink или магистральные).

2-Не тегированные (Untagged) – это порты для подключения оконечного оборудования, например компьютеров (access-порты).

Все коммутаторы подключены к роутеру через trunk-порты. Коммутатор считывает номер тэга и отправляют его в нужный порт к оконечному оборудованию удаляя тэг на выходе. В обратную сторону (от оконечного оборудования к роутеру) передача идет так же, но в обратном порядке.

VLAN1 – трафик считается не тегированным.

Сброс конфигурации роутера.

Настройки MikroTik выполняются через WinBox.

Чтоб самого себя не отключить от роутера будем выполнять настройки через неиспользуемый порт, например ether5.

Подключаемся к роутеру, сбрасываем конфигурацию на пустую (blank).

Через командную строку терминала:

*если роутер выполняет работу в ЛВС, сбрасывать конфигурацию не нужно

Подключаемся к роутеру по MAC-адресу.

Логин (первоначальный): admin

Пароля нет.

После подключения меняем логин и пароль. (см. базовые настройки).

Настройки VLAN в роутере.

Мост для VLAN.

Создаем мост.

Name: bridge-VLAN – любое понятное имя латиницей.

Переходим на вкладку VLAN.

Активируем VLAN Filtering.

После активации этой настройки мост сможет обрабатывать кадры VLAN.

Ether Type: 0x8100 – тэг по умолчанию считающийся VLAN (метка о том что кадр принадлежит VLAN 802.1Q).

PVID 1 – для всего моста.

Frame Types: admit all – уточнение какие типы кадров разрешены для прохождения. (все типы)

После того как все будет настроено и заработает эту настройку можно поменять на admit only VLAN tagged — пропускать только тэгированный трафик.

Через командную строку терминала:

Интерфейсы.

Добавляем в созданный bridge-VLAN порты, которые планируются для VLAN. Согласно схемы это ether2 и ether3.

Нажимаем + и добавляем ether2.

Аналогично добавляем ether3.

Через командную строку терминала:

Bridge-VLAN.

На вкладке VLANs добавляем все VLAN IDs для bridge-VLAN. Указываем тегированные интерфейсы, по которым будет выполняться связь с коммутаторами (trunk-порты).

Bridge: bridge-VLAN – созданный ранее мост.

VLAN IDs: 10 идентификатор для VLAN-10.

Tagged: ether2, ether3, bridge-VLAN – тегированные порты.

ОК для сохранения.

Особенность настройки в том, что пока не добавить bridge-VLAN в bridge-VLAN ничего не начнет работать. Т.е. мы добавляем метку VLANа для самого моста.

Можно добавить все три метки в одной настройке, нажав стрелочку вниз (возле VLAN IDs), но лучше так не делать и создать отдельные VLANs для удобства управления.

Добавляем VLAN IDs 11 и 12 аналогично.

Через командную строку терминала:

VLAN интерфейсы.

Создаем интерфейсы VLAN-10, VLAN-11, VLAN-12.

Интерфейсы нужны, чтоб назначить на них IP-адреса и затем DHCP сервера.

Interfaces >> + >> VLAN

Name: VLAN-10 – любое понятное название латиницей.

VLAN ID: 10 – идентификатор VLAN.

Interface: bridge-VLAN – интерфейс для VLAN-10.

Создаем таким же способом еще 2 интерфейса для VLAN-11 и VLAN-12.

Через командную строку терминала:

IP-адреса для VLAN.

Назначаем IP-адрес для VLAN интерфейсов.

IP >> Addresses >> +

Таким же способом назначаем IP-адреса другим интерфейсам.

Через командную строку терминала:

DHCP-сервер для VLAN.

Назначим раздачу IP-адресов VLAN с помощью DHCP-сервера.

Можно воспользоваться мастером настройки нажав кнопку «DHCP Setup».

Или выполнить настройку вручную. Применим второй вариант.

Пул IP-адресов для DHCP-сервера.

Создаем новый пул нажав +.

Name: VLAN-10-POOL – любое понятное имя.

Addresses: 172.16.10.2-172.16.10.14 – диапазон IP-адресов для раздачи.

ОК

Создаем аналогично три пула адресов для всех VLAN.

Через командную строку терминала:

Настройка сети для DHCP-сервера.

Создаем сеть для VLAN-10.

Adress: 172.16.10.0/28 – адрес сети

Gateway: 172.16.10.1 – шлюз.

DNS Server: 172.16.10.1 – DNS сервер который будет раздаваться в сеть.

Аналогично создаем три сети для всех VLAN.

Через командную строку терминала:

Создание DHCP-сервера.

Name: DHCP-VLAN-10 – любое понятное имя.

Interface: VLAN-10 – интерфейс на котором будет работать DHCP.

Adress Pool: VLAN-10-POOL – созданный ранее пул адресов.

Так же в настройке можно изменить время привязки (Lease Time), но лучше это делать когда все пользователи получат запланированные адреса. В нашей рабочей сети время привязки от 8 до 12 часов по продолжительности рабочего дня. Для гостевой сети время привязки 1-2 часа.

Создаем три DHCP-сервера для всех VLAN.

Через командную строку терминала:

Настройка VLAN завершена.

Далее следует выполнить еще некоторые настройки локальной сети, Интернета и безопасности.

Можно воспользоваться базовой настройкой на этой странице.

Изоляция между сетями VLAN.

Изолировать сети друг от друга можно двумя способами:

— с использованием правил в маршрутизации;

— с использованием правил фаервола.

Оба решения не очень удачные, но другие варианты пока не известны.

Изоляция через маршрутизацию.

IP >> Routes >>Rules >> + (создаем новое правило).

Src.Address: 172.16.10.0/28 – сеть источника.

Dst.Address: 172.16.11.0/28 – сеть назначения.

Action: unreachable – недоступность.

Создаем аналогичным способом правила для каждой сети. Меняем источник и назначение местами.

В итоге для 3х сетей получается шесть правил.

Через командную строку терминала:

*в RouterOS v7 раздел /ip route rule перенесен в /routing/rule/

Проверяем пинг между сетями.

При выключенных правилах компьютеры пингуются. При включении правил пинг прекращается. Сети изолированы.

Неудачность метода в том, что если понадобится связать два каких-то конкретных хоста в разных сетях, то это сделать не получится. С увеличением количества сетей увеличивается количество правил.

Изоляция сетей с использованием фаервола.

IP >> Firewall >> Filter Rules >> + (создаем новое правило).

Chain: forward – проходной трафик

Src.Address: 172.16.10.0/28 – сеть источника.

Dst.Address: 172.16.11.0/28 – сеть назначения.

Переходим на вкладку Action.

Action: drop – действие запрета (отбросить).

Нажимаем ОК для сохранения.

Создаем аналогичным способом правила для каждой сети. Меняем источник и назначение местами.

В итоге для 3х сетей получается шесть правил. Располагаем правила вверху списка.

Через командную строку терминала:

Проверяем ping между сетями.

При включении правил пинг не проходит. Сети изолированы.

Связь между хостами в разных VLAN.

Допустим, понадобилось организовать соединение между хостами с IP-адресами 172.16.11.14 и 172.16.10.3. Они находятся в разных VLAN.

IP >> Firewall >> Filter Rules >> + (создаем новое правило).

Chain: forward – проходной трафик

Src.Address: 172.16.10.3 – IP-адрес источника.

Dst.Address: 172.16.11.14 – IP-адрес назначения.

Action: accept (разрешение).

Создаем аналогично второе правило в котором меняем местами источник и назначение.

Размещаем правила вверху списка.

Через командную строку терминала:

Проверяем связь. Пинг проходит для указанных хостов и не проходит для всего остального оборудования т.к. правила фаервола работают по принципу до первого совпадения.

Для соединения большого количества устройств в разных VLAN, чтоб не плодить много правил, добавляем IP-адреса хостов в списки и затем указываем в правилах эти списки.

Недостаток метода – затраты ресурсов процессора на обработку правил.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Для проверки работы VLAN на MikroTik в условиях рабочего места собрана простейшая схема. Затем схема в более сложном виде перенесена в работу на ЛВС.

Использован роутер MikroTik RB750Gr3 с прошивкой v6.49 (проверено также v7.4). В роли коммутатора использован ZyXEL GS1200-5.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Коммутатор соединяется с маршрутизатором одним патч-кордом, по которому будет передаваться две разных сети VLAN. Такая схема подключения использует Trunk-порт. Оконечное оборудование подключается в коммутаторе в Access-порты.

Настройки MikroTik выполняются через WinBox.

Сброс конфигурации.

Подключаемся к роутеру, сбрасываем конфигурацию на пустую (blank).

Через командную строку терминала:

*если роутер выполняет работу в ЛВС, сбрасывать конфигурацию не нужно

Подключаемся к роутеру по MAC-адресу.

Настройки VLAN.

Интерфейсы.

Создаем интерфейс VLAN11. Interfaces >> + >> VLAN

Name: VLAN11 – любое понятное название латиницей.

VLAN ID: 11 – идентификатор VLAN.

Interface: ether5 – интерфейс на котором будет работать VLAN11.

Через командную строку терминала:

Далее создаем второй интерфейс VLAN12 на том же порту ether5.

Через командную строку терминала:

IP-адреса для интерфейсов.

Переходим в боковом меню IP >> Addresses >> +

Address: 172.16.11.1/28 – назначаемый интерфейсу IP-адрес.

Network: 172.16.11.0 – сеть (можно не вводить).

Interface: VLAN11 – интерфейс сети VLAN.

Через командную строку терминала:

Точно так же назначаем IP‑адрес VLAN12.

Через командную строку терминала:

DHCP-сервер для VLAN.

Воспользуемся Мастером настройки, нажав кнопку «DHCP Setup».

DHCP Server Interface: VLAN11 – выбираем из выпадающего списка. Нажимаем кнопку «Next» для продолжения.

Указываем сеть (ничего не изменяем). Next.

Указываем шлюз (ничего не изменяем). Next.

Указываем пул адресов для раздачи (ничего не изменяем). Next.

Указываем DNS-сервер (ничего не изменяем или указываем свой DNS). Next.

Отобразился автоматический DNS вышестоящего роутера. Если при дальнейших настройках будет использоваться DNS этого роутера, то указывать нужно его, а в настройках DNS отметить галочкой Allow Remote Requests.

Время привязки DHCP (ничего не изменяем или по своему усмотрению). Next.DHCP-сервер создан.

Можно отредактировать его имя и другие параметры, если войти в его настройку. Address Pool редактируется при необходимости в меню IP >> Pool

Через командную строку терминала:

Аналогично создаем DHCP-сервер для VLAN12

Через командную строку терминала:

Настройка VLAN завершена.

Далее следует выполнить базовые настройки локальной сети, Интернета, безопасности и тп.

Как это сделать можно посмотреть на этой странице.

Настройки VLAN в коммутаторе ZyXEL.

Подключаемся в коммутатор по IP-адресу напрямую от компьютера, с которого выполняются настройки. Оборудование должно быть в одной сети.

IP-адрес коммутатора (первоначальный): 192.168.1.3, по этому назначаем сетевому адаптеру ПК IP-адрес в том же диапазоне.

Подключаемся с использованием любого браузера.

Логина нет.

Пароль (первоначальный): 1234.

Сразу предлагается сменить стандартный пароль. Меняем на сложный пароль не менее 8 знаков из букв разного регистра и цифр.

Получение IP-адреса коммутатора по DHCP.

Чтоб коммутатор не терялся в различных сетях, подсетях нужно назначить ему получение IP-адреса по DHCP.

После выполнения этой настройки коммутатор можно подключить в роутер с работающим DHCP (не VLAN DHCP) и войти в меню уже по новому IP-адресу. Так было и сделано. Новый IP-адрес можно посмотреть в настройка роутера IP >> DHCP-server >> Lease.

Если коммутатор потерялся в сети, то находим его с помощью утилиты ZON.

Настройка VLAN.

Подключаемся еще раз в коммутатор по IP-адресу.

Переходим на вкладку VLAN.

Создаем два дополнительных VLAN ID с номерами 11 и 12, нажав кнопку «Create New VLAN».

Отмечаем порты оранжевым и зеленым цветом.

Tag Egress Member (оранжевый) – порт с маркированным исходящим трафиком к роутеру (тэгированный порт, trunk).

Untag Egress Member (зеленый) – порт с немаркированным трафиком для оконечного оборудования (не тэгированный).

Non-Member (серые) – не участвуют в VLAN.

VLAN ID 1 обычно сервисный, его не трогаем. Отмечаем серым цветом все порты VLAN1 кроме первого. Через первый порт при необходимости можно подключить LAN для выполнения настроек.

PVID – это Port VLAN Identifier – идентификатор VLAN порта

PVID 1 (по умолчанию) означает, что любой немаркированный входящий трафик, считается как VLAN1.

Отмечаем PVID 11 на портах 2 и 3 – на них будет VLAN11.

Отмечаем PVID 12 на портах 4 и 5 – на них будет VLAN12.

Пояснения как работает VLAN в ZyXEL можно почитать на его официальном сайте.

Настройка завершена.

Соединяем патч-кордом ether5 роутера с портом №1 коммутатора.

Подключаем компьютеры в порты и смотрим, какие IP-адреса им раздались.

Компьютерам во 2 и 3 портах присваиваются IP-адреса из VLAN11.

Компьютерам в 4 и 5 портах присваиваются IP-адреса из VLAN12.

Коммутатору присваивается один IP-адрес от DHCP-сервера, который первым пошлет предложение. Коммутатору можно раздавать VLAN сети управления. Для этого его надо создавать в роутере. Об этом в другой раз. Далее IP-адрес не влияет, потому что VLAN работает на канальном уровне, где передаются кадры. Каждый кадр приходящий и уходящий по первому порту маркируется тэгом от нужного VLAN (или тэг убирается). Так это и работает.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

В серверной нашей организации постоянно работает кондиционер. Но бывают редкие случаи, когда он отключается. Чтоб мониторить с оповещением ситуацию по температуре решено было использовать микротик, так как в нем есть встроенный датчик температуры процессора. Мониторинг и оповещение осуществляются на основе скрипта. Встроенная в прошивку возможность оповещения о повышении температуры отсутствует.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Использован MikroTik RB3011 с прошивкой 6.49. Выполнена базовая настройка . Работает доступ в Интернет. Настройки выполняются через WinBox.

Для работы мониторинга с оповещением необходимо настроить:

-скрипт;

-расписание выполнения скрипта;

-электронную почту.

Рассмотрим все три необходимые настройки.

Скрипт.

Сначала определим эталонную температуру нормально работающего оборудования.

В боковом меню переходим System >> Health.

Это температура процессора. По ней можно сориентироваться. В случае ее повышения, например, на 5 градусов становится понятно, что кондиционер перестал работать, нужно принимать меры.

Датчик температуры есть не во всех моделях MikroTik.

Создание скрипта.

В боковом меню переходим System >> Scripts. Добавляем новый скрипт, нажав +

Name: T-WARNING – любое понятное название латиницей.

Policy: read, write, policy, test –отмечаем галочкой.

Нажимаем кнопку «Apply» для сохранения настроек.

Через командную строку терминала:

Добавляем сам скрипт в нижнее поле «Source:» Через графический интерфейс работать со скриптом удобнее.

Нажимаем кнопку «ОК» для сохранения настроек.

Принцип действия такой:

Назначаем переменную T1 со значением, которое берется от датчика температуры.

Назначаем переменную T2 с ориентировочным значением на 5 градусов выше, чем T1.

Сравниваем значения. Если T1 больше T2, то выполняется отправка почты.

В качестве почты указан Вайбер-бот wwpager. Сообщение сразу приходит в Вайбер.

На всякий случай этот же скрипт для RouterOS v7.

Настройка расписания.

Расписание будет выполнять скрипт с заданным интервалом времени.

Создаем новое задание в расписании.

System >> Scheduler >> +

Name: T-CHECK – любое понятное имя на латинице.

Start Date – дата начала работы задания.

Start Time – время начала работы задания.

Interval – периодичность работы расписания.

Policy – необходимые политики для работы задания.

On Event — /system script run T-WARNING – текстовая команда для запуска скрипта с названием T-WARNING.

Нажимаем ОК для сохранения настроек.

Через командную строку терминала:

Ожидаем час или ставим время поменьше, чтоб убедиться, что расписание работает.

Настройка электронной почты.

Настройка представлена на этой странице или кратко ниже.

Tools >> Email

Для примера используется электронная почта Яндекс.

Server: smtp.yandex.ru – сервер исходящей почты.

Port: 587 – порт почтового сервера.

Start TLS: yes – шифрование.

From: pc360@yandex.ru – почта отправителя.

User: pc360@yandex.ru – имя пользователя почты.

Password: 12345Password – пароль от почты.

ОК для сохранения настроек.

Через командную строку терминала:

Для проверки отправки сообщения можно нажать на кнопку «Send Email».

Проверка работы всей схемы.

Отключаем кондиционер в серверной на час и ждем.

Или способ по быстрее.

Устанавливаем порог срабатывания в скрипте на 20 градусов: T2=20

Устанавливаем расписание запуска скрипта через каждые 2-3 минуты или подгоняем время его начала. Ждем.

Еще как вариант можно нажать кнопку «Run Script» в списке скриптов, но в этом случае не проверится отработка расписания.

Так как в качестве получателя настроен wwpager, на Вайбер сразу же прилетает сообщение.

В теме сообщения указано имя устройства. В содержании предупреждение и реальная температура, можно написать что угодно.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Беспроводной мост организован между зданием главного офиса и филиалом на расстоянии 1км. Точка доступа (сервер) – TP-Link CPE510. На приемной стороне станция (клиент) – MikroTik SXTsq Lite5 и своя отдельная локальная сеть от этого же роутера.

Чтоб устройства от разных производителей установили связь между собой, нужно отключить их проприетарные (собственные) режимы работы. Для TP-Link это MAXtream, у MikroTik — Station Bridge и др. режимы и протоколы. Работа станции в данном случае возможна только в режиме «Station». Беспроводная связь получается по протоколу 800.11.

Настройки выполняются на рабочем месте, затем беспроводные точки развешиваются на их места в зоне прямой видимости друг друга.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Настройка TP—Link.

Подключаем точку в POE адаптер, из него патч-корд в ПК или в локальную сеть, провод электропитания в розетку.

У моделей TP-Link CPE510 V3 на корпусе 1 порт. У моделей v1 — 2 порта. Подключать нужно в тот, возле которого написано POE IN.

В исходной конфигурации IP-адрес точки 192.168.0.254.  В ноут-буке или ПК с которого выполняется настройка в сетевом адапторе указываем IP-адрес в одной сети с точкой, например 192.168.0.10.

В нашей рабочей сети IP-адреса раздает DHCP сервер в диапазоне, совпавшем сточкой доступа — 192.168.0.0/24.  Поэтому при подключении точки в роутер ЛВС ничего менять не пришлось.

Если нужно изменить IP-адрес ноутбука вручную, то это можно сделать в свойствах сетевого адаптера.

Панель управления >> Сеть и Интернет >> Сетевые подключения. Выбираем нужный сетевой адаптер и в свойствах IPv4 указываем IP-адрес.

В любом браузере набираем IP-адрес 192.168.0.254. Попадаем в меню tp-link.

При первом включении указываем имя пользователя и пароль – admin, регион, язык, соглашаемся с условиями и нажимаем кнопку Login.

Далее указываем новое имя пользователя и пароль. Имя admin оставлять не рекомендуется по причинам безопасности.

Выполним настройку через мастер.

Выбираем режим – Точка доступ (Access Point).

Указываем IP адрес и маску.

Выполняем настройки беспроводной сети.

SSID: — любое понятное имя.

Защита: WPA2-PSK

Пароль PSK: — указываем сложный пароль.

Настройка расстояния: 1км в нашей ситуации.

MAXtream – собственная разработка TP-Link для беспроводных сетей на основе TDMA для увеличения пропускной способности и стабильной передачи данных. В данном случае этот режим отключен чтоб обеспечить совместимость оборудования разных производителей.

Когда беспроводной мост настраивается между двумя одинаковыми TP-Link, MAXtream желательно активировать

На последнем шаге проверяем настройки и подтверждаем.

Перейдем на вкладку wi-fi и уменьшим мощность передатчика на время выполнения настроек.

Так же нужно убедиться, что установлен режим WPA2, а не авто, иначе могут возникнуть проблемы при подключении станции.

В дополнительных настройках отмечен галочкой Wi-Fi Multimedia (WMM) – режим дающий приоритет мультимедиа трафику.

На этой же вкладке меню можно выполнить привязку станций (S) по MAC-адресу. Это делается для повышения информационной безопасности, т.к. wi-fi очень легко взламывается.

Фильтрация MAC-адресов — Включить

Правила фильтрации — Разрешить доступ станциям, указанным во включенных правилах из списка.

Добавляем новое правило и указываем в нем MAC-адрес клиентской станции.

Сохраняем настройку.

После этих действие к точке доступа сможет подключится только указанный MAC-адрес (клиентское устройство).

Привязку по MAC-адресу нужно делать после того, как вся система заработает, чтоб избежать дополнительной вероятной проблемы при подключении станции.

DHCP—Client.

Так как все устройства в нашей сети получают IP-адреса по DHCP с привязкой MAC-адреса, сделаем то же самое для точки доступа. В данном случаем привязывается сама точка доступа (AP), подключенная витой парой к главному роутеру локальной сети.

В случае, если DHCP перестанет работать у точки будет резервный IP-адрес, по которому ее можно будет найти.

После нажатия кнопки применить или сохранить точка доступа получит IP адрес по DHCP, который можно посмотреть в настройках роутера ЛВС и привязать к MAC-адресу. В роутере MikroTik, например это делается так:

IP >> DHCP Server >> Leases

Находим новое устройство со статусом D (dynamic) и в меню жмем на строчку «Make Static».

Теперь точке будет раздаваться всегда один и тот же IP-адрес. Можно указать любое его значение в диапазоне сети.

Переходим в браузере по новому адресу для продолжения настроек.

Системные настройки.

На вкладке «Управление» выполняются расширенные настройки: Watch Dog Ping, отправка e-mail по событию, настройка через SSH, доступ извне через веб-сервер, SNMP для мониторинга и некоторые другие. Нет необходимости изменять эти настройки для нашего случая, это тема для отдельной страницы.

На вкладке «Система» указываем сетевое имя устройства.

Настраиваем время через NTP.

Сохраняем резервную конфигурацию.

Точка доступа настроена. В таком виде устройство может работать как обычная точка доступа. Для проверки к ней подключились 3 смартфона с беспроводными адаптерами 5ГГц. IP-адреса для всех пользователей раздает сетевой роутер.

По этому параметру TP-Link превосходит MikroTik. У уличных точек доступа MikroTik при покупке установлена лицензия LEVEL3. Она позволяет создавать только одно подключение.

Крепление на стене здания после настройки клиента и проверки совместной работы. Перед монтажом нужно выставить мощность передатчика на среднее значение. При смене мощности, пароля или еще каких-либо изменениях в настройках, точке нужно дать 1-2 мин времени, чтоб она начала работать с учетом изменений. Иногда требуется перезагрузка.

Настройка MikroTik.

Подключаем к точке доступа патч-корд. Подаем электропитание от адаптера через переходник. Включаем переходник в ПК или сетевой роутер.

Выполним настройки через WinBox. Конфигурация сброшена на пустую (blank). Подключаемся по MAC-адресу.

Настройка безопасности беспроводного соединения.

Создадим профиль безопасности, для указания в нем метода аутентификации и пароля подключения к точке доступа.

Wireless >> Security Profiles >> нажимаем синий плюс.

В открывшемся окне вводим настройки.

Name: TP-LINK-AP-14 – любое понятное имя латинскими буквами;

Mode: dynamic keys – режим ключей;

Authentication Type: WPA2 PSK – аутентификация с общим для всех паролем (Wi-Fi Protected Access with Pre-Shared Key)

WPA2 Pre-Shared Key: Password12345 – пароль такой же, как указывали в точке доступа.

Нажимаем кнопку «ОК» для сохранения.

Через командную строку терминала:

Настройка беспроводного интерфейса.

Интерфейс первоначально выключен. Включим его после завершения настроек, чтоб не облучал.

Wireless >> WiFi Interfaces >> wlan1.

В окне настроек интерфейса переходим на вкладку Wireless и нажимаем кнопку «Scan».

Выбираем интерфейс wlan1 и нажимаем кнопку «Start». Начнется сканирование.

Через некоторое время в списке появится нужная точка доступа. Выбираем ее и нажимаем кнопку «Connect». Таким способом не понадобится вписывать имя точки доступа вручную и выбирать частоту.

Далее выполним настройки интерфейса или проверим, чтоб они соответствовали.

Включаем расширенный режим меню интерфейса – «Advanced Mode» (кнопка в правой колонке).

Mode: Station – простой режим станции, не поддерживающий L2 и работающий со всеми беспроводными протоколами. При подключении к TP-Link нужно выбирать только этот режим.

Band: 5GHz-A/N – стандарт беспроводной передачи влияющий на скорость. Если беспроводной мост заработает в режиме A/N можно попробовать оставить только N на передатчике и приемнике.

Channel Width: 20/40MHz Ce – ширина канала. Ce означает расширение частоты в верхний диапазон на частоту следующего канала (eC – в нижний диапазон).

Frequency: 5560 – рабочая частота. Так как использовалось предварительное сканирование, частота уже определена. Возможны ручной или автоматический выборы частоты.

SSID: AP14-INF-IPVID – широковещательное имя точки доступа. Определено в результате предварительного сканирования.

Radio Name: S17-MikroTik – имя устройства в беспроводной сети.

Wireless Protocol: 802.11 – беспроводной протокол (стандарт связи). При подключении к TP-Link работает только 802.11.

Security Profile: TP-LINK-AP-14 – профиль безопасности, созданный ранее.

Frequency Mode: regulatory-domain – мощность излучения регулируется местным законодательством, для выбранного региона. Можно выбрать ручную регулировку или безлимитный вариант.

Country: Belarus – страна.

Instalation: outdoor – режим уличной точки.

WMM Support: Enabled – приоритет мультимедиа трафика над остальным (в данном случае трафик видеонаблюдения).

Если подключение будет к нескольким разным точкам доступа, то можно активировать Station Roaming. Этот режим специально предназначен для клиентских станций и работает по протоколу 800.11. Смысл его в том, что станция периодически выполняет фоновое сканирование беспроводного пространства на наличие точки доступа с более качественным сигналом и переключается на нее в случае нахождения.

Не названные настройки не изменялись и выглядят как на картинке выше.

На вкладке «Advanced» изменяем расстояние до точки доступа или вообще можно ничего не менять.

Указанное расстояние добавляется в формулу, по которой рассчитывается время подтверждения доставки кадра после прошествии которого передача считается неудачной и нужно повторять отправку.

Настройка мощности.

Мощность передатчика настраивается на вкладке «Tx Power».

Tx Power Mode: all rates fixed – все значения фиксированные

Устанавливаем значение 2 dBm для всех каналов. О том, что значение изменилось, узнается на соседней вкладке.

После того как мост заработает в реальных условиях необходимо увеличивать мощность до достижения оптимальной передачи.

Настройка интерфейса через командную строку терминала:

Проверка подключения.

Активируем интерфейс, нажав синюю галочку на вкладке WiFi Interfaces.

Станция подключится к точке доступа или будет находиться в статусе «Searching for network». Статус расположен в нижней части окна настроек интерфейса.

Так получилось, что в таком статусе устройство висело бесконечно долго. В результате выяснения причин оказалось, что в точке доступа был установлен режим шифрования «авто» и в первую очередь станция пыталась подключиться с шифрованием WPA. А в настройках безопасности станции WPA не активирован.

При установке в точке доступа WPA-PSK и WPA2 станция начала подключатся сразу.

После этого статус сменился.

Беспроводной мост работает.

Дополнительные настройки.

Connect List.

CL – обеспечивает подключение станции только к указанной точке доступа. Если точек доступа несколько и в случае отключения одной из них CL помогает осуществить переход к следующей доступной точке.

Для добавления правила в «Connect List» переходим на вкладку «Registration». Нажимаем правой кнопкой мыши на точку доступа из списка и выбираем строчку «Copy to Connect List».

Точка доступа появится в списке «Connect List».

Настройки локальной сети.

На клиентской стороне станция будет создавать отдельную проводную локальную сеть. Для этого нужно настроить локальный интерфейс, DHCP для пользователей, DNS, NAT и некоторые другие настройки. Все это представлено в виде текстовых команд в прикрепленном файле. Так же можно воспользоваться базовой настройкой роутера для локальной сети.

На стороне точки доступа в локальной сети в роутере настроен firewall, который контролирует трафик в Интернет. Если схема подключения другая и выход в Интернет не контролируется вышестоящим оборудованием, то нужно настроить хотя бы базовый набор правил фаервола в роутере-станции.

Так же по причинам безопасности рекомендуется сменить учетную запись админа и определить сервисы и IP-адреса, с которых разрешен вход в микротик.

Размещение в рабочее положение.

Точка доступа прикреплена к стене здания на уровне четвертого этажа.

Направление выбрано примерное. Ответную сторону не видно, она где-то в дали, в частном секторе.

Выбрано среднее значение усиления мощности передатчика – 8дБм. По результатам тестов соединения это значение можно изменять для достижения оптимального качества.

Клиентская станция смонтирована на уровне третьего этажа. Так же примерно направлена в сторону точки доступа.

На фото немного левее центра видна многоэтажная постройка. На ней висит точка доступа. Расстояние между устройствами около 1км.

В настройках интерфейса на вкладке Status отображается статус соединения.

Усиление мощности передатчика станции установлено на 8dBm.

Tx/Rx CCQ (Client Connection Quality):95% — качество клиентского соединения.

При уменьшении мощности до 5dBm CCQ снизилось на 10%.

Статус соединения так же можно смотреть в меню «Registration»

Скорость соединения.

Bandwidth Test между станцией и роутером MikroTik на стороне локальной сети точки доступа показывает скорость передачи и приема в районе 100Мбит/с. Иногда скорость снижается до 70-80Мбит/с.

Тест скорости через сервис в Интернете.

По тарифному плану 100Мбит/с.

Настройки завершены, соединение с Интернетом работает, пользователи довольны.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

В процессе обслуживания ЛВС возникла необходимость обеспечить синхронизацию времени в большом количестве камер видеонаблюдения. От серверов в Интернете синхронизация почему-то проходила плохо и не всегда. На помощь пришел микротик. В роутере был запущен NTP-сервер для локальной сети, который сам синхронизировался из внешней сети (Интернета) без проблем. Как это все настроить описано далее.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Использован роутер RB750Gr3 c прошивкой v6.49. Пакет NTP-сервера не входит в базовый состав прошивки, его нужно скачивать отдельно. В прошивках версии v7.0 и выше пакет NTP встроен в главный файл прошивки.

Настройки выполняются через WinBox.

Настройка SNTP-клиента.

Этот вариант предназначен только для синхронизации самого микротика из сервисов NTP в интернете. Он немного отходит от темы инструкции, рассмотрим его кратко. Дополнительно скачивать ничего не нужно.

Переходим через боковое меню в System >> SNTP Client.

Активируем клиента галочкой напротив Enabled.

Primary NTP Server: 88.147.254.230  – IP-адрес первичного NTP сервера.

Secondary NTP Server: 88.147.254.232 – IP-адрес резервного NTP сервера.

Адреса ближайших серверов можно найти в интернете.

Сохраняем настройки на кнопку «ОК».

Через командную строку терминала:

Вместо IP-адресов можно указывать доменные имена серверов.

Клиент настроен, время в роутере актуальное. Проверить его можно на вкладке System >> Clock или вынести на переднюю панель в верхней правой часть окна WinBox.

Через командную строку, например при работе через SSH, можно проверить время с помощью команды:

Firewall

NTP работает через порт 123 UDP. Если по каким-то причинам Firewall не пропускает трафик по этому порту, то его нужно открыть правилом в IP >> Firewall >> Filter Rules.

При необходимости можно указать в правиле конкретный интерфейс. Правило размещается вверху списка.

Через командную строку терминала:

В данном случае это правило не понадобилось и NTP работает без него.

NTP Client и NTP Server.

Настройка NTP клиента.

Тут все почти так же, как с SNTP клиентом.

Переходим в меню System >> NTP Client.

Enabled – отмечаем галочкой, для активации клиента;

Mode: unicast – режим передачи пакетов от сервера клиенту;

Далее указываются IP-адреса ближайших NTP-серверов в Интернете.

Primary NTP Server: 185.65.137.155 – основной сервер;

Secondary NTP Server: 194.158.196.171 – резервный сервер.

Через командную строку терминала:

Можно указывать адрес сервера в виде доменного имени. При нажатии кнопки «Apply» доменное имя преобразуется в IP-адрес.

Выбрать ближайший сервер можно с помощью Интернет-сервиса pool.ntp.org

В прошивке v7.1 появились дополнительные настройки NTP-клиента.

Можно добавлять более двух серверов времени. Появилась кнопка сброса частотных погрешностей (Reset Drift). Так же можно подробно работать с серверами и посмотреть пиры. Похоже что все эти новые настройки разработчики подсмотрели у циски.

Активация NTP-клиента через командную строку терминала для прошивки v7 и выше:

О том, что время синхронизировалось сообщает статус — synchronized

Клиент настроен.

Настройка NTP сервера.

Активируем сервер. System >> NTP Server

Enabled – отмечаем галочкой;

«ОК» – для сохранения настройки.

Manycast – режим обмена пакетами между сервером и клиентами — оставляем без изменений.

В прошивке v7.1 так же как и в клиенте добавлено пару дополнительных кнопок – взаимодействие сервера и клиента через ключ и просмотр пиров.

Отмечаем галочками Enabled и Manycast.

Через командную строку терминала:

Сервер настроен.

NTP можно динамически раздавать вместе с сетевыми настройками. Для этого в DHCP сервере для локальной сети на вкладке Networks нужно добавить адрес NTP-сервера.

Настройка NTP-клиента на сетевых устройствах.

MikroTik.

Если в сети есть другие устройства MikroTik, которые получают IP-адреса по DHCP, то в них есть возможность так же получать NTP. Проверить это можно в клиенте DHCP.

За динамическое получение NTP отвечает настройка Use Peer NTP. Когда настройка активирована, в NTP Client (так же активированном) появляются динамические IP-адреса серверов синхронизации.

Других устройств с динамическим получением NTP в нашей сети обнаружено не было.

 NTP в камерах видеонаблюдения.

В камерах видеонаблюдения, для которых это все делалось, нет автоматического получения NTP с сетевыми настройками. NTP сервер указывается вручную. Входим в меню настроек камеры. На вкладке «Время» активируем галочкой NTP и указываем IP-адрес настроенного ранее локального сервера.

Проверяем, нажав на кнопку тест – устанавливается актуальное время. NTP работает.

Настроенный локальный NTP-сервер можно указать во всех сетевых устройства, чтоб синхронизировать время из одного источника.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Поставлена простая задача: ограничить скорость доступа в Интернет определенному пользователю в небольшой локальной сети. На этом все. Пользователь часто смотрит видео в высоком разрешении, периодически включается торрент, который портит настроение всем остальным.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Настройки выполнялись на роутер RB750GR3 с прошивкой v6.49. Выполнена базовая настройка по этой инструкции.

Выбран тестовый ПК с произвольным IP-адресом, чтоб наблюдать результаты настроек. Затем IP-адрес заменен на требуемый.

1.Проверка скорости доступа в Интернет.

Перед началом настроек проверим реальную существующую скорость с помощью сервиса в Интернете, например speedtest.

Скорость соответствует тарифному плану 20/20 Мбит/сек.

2.Определение IP-адреса пользователя.

IP-адреса в сети раздает DHCP сервер.

Переходим по меню в: IP >> DHCP Server >> Leases

Находим в списке нужного пользователя. У него статус D – dynamic.

Нажимаем на него правой кнопкой мыши и выбираем из меню строчку «Make Static».

После этих действий указанному пользователю всегда будет раздаваться один и тот же IP-адрес. Он привязан к MAC-адресу. Статус D пропадет.

3.Ограничение скорости.

Создадим правило, ограничивающее скорость заданному пользователю на уровне 3Мбит/сек.

Queues >> Simple Queues >> +

В открывшемся окне на вкладке General вводим настройки:

Name: USER-320-1-LIMIT-3M – имя пользователя, которому ограничивается скорость. Если пользователей будет несколько, то лучше сразу задать толковое имя, чтоб понимать, где кто. В данном случае  указан пользователь (USER, BUH, MARKETOLOG, ECONOM и тп.), номер кабинета, номер подключения в кабинете и лимит скорости.

Target: 192.168.15.99 – IP-адрес пользователя.

Dst: ether1-WAN – внешний интерфейс для конкретизации, если их несколько.

Target Upload Max.Limit: 3M – максимальная скорость для выгрузки в Интернет.

Target Download Max.Limit: 3M – максимальная скорость скачивания из Интернета.

M –означает мегабиты. Скорость можно выбрать из списка или написать любую.

Нажимаем кнопку «ОК» для сохранения настроек.

Через командную строку терминала:

Проверяем скорость

Скорость соответствует.

О том, что правило работает, так же сообщает значок напротив пользователя. В зависимости от загрузки он становится желтым – 50% (и выше) или красным – 75% (и выше).

Цель достигнута. Осталось только заменить в правиле IP-адрес тестового компьютера, на IP нужного пользователя.

Если скорость не ограничивается и правило не работает, то нужно проверить в IP >> Firewall >> Filter Rules наличие правила fasttrack connection (пересылка трафика без обработки). Если это правило присутствует его нужно удалить и перезагрузить роутер.

После того, как правило поработало пару дней, пользователь-качатель пришел на переговоры. Объяснил, что дома совсем плохой Интернет, сделать лучше не позволяет техническая возможность, 3G нет и тп и он хочет иногда что-то скачивать на работе. Было найдено компромиссное решение – разрешено качать с 18:00 до 7:00 в период, когда никто не работает.

Настройка время находится в нижней части окна правила.

Time: 07:00:00 – 18:00:00 – период времени в течение которого будет работать это правило.

Days: mon, tue, wed, thu, fri, — дни недели с понедельника по пятницу в течение которых будет работать правило.

Во все остальное неуказанное время (с 18 вечера до 7 утра по будням и все выходные) правило не работает, скорость не ограничена и пользователь может занимать канал в Интернет, не нарушая чью-то работу.

Через консоль с добавлением время работы:

Когда правило не работает, оно написано в списке красными буквами.

4.Разделение скорости пользователям и админам.

Рассмотрим еще один вариант, в котором нужно ограничить скорость всем пользователям сети кроме админов. Порядок расположения правил в Simple Queues имеет значение. Воспользуемся этой возможностью. Создадим правило, ограничивающее скорость на интерфейсе Bridge-LAN (локальная сеть). Затем создадим правило для скорости админу и поместим его выше правила для интерфейса. Проверим, как это работает.

Правило для пользователей.

Переходим в Simple Queues, создаем новое правило, нажав синий плюс.

Name: LAN-15-LIMIT-10M – имя для правила на локальную сеть с указанием лимита (любое понятное название латиницей);

Target: bridge-LAN – мост на котором локальная сеть;

Dst.: ether1-WAN (можно не указывать);

Target Upload Max Limit: 10M – максимальная скорость выгрузки;

Target Download Max Limit: 10M – максимальная скорость загрузки (скачивания);

Нажимаем кнопку «ОК».

Через командную строку терминала:

Правило для администратора.

В Simple Queues, создаем новое правило, нажав синий плюс.

Name: ADMIN-101-LIMIT-20M – имя для правила скорости админа;

Target: 192.168.15.101 – IP-адрес админа;

Dst.: ether1-WAN

Target Upload Max Limit: 20M – максимальная скорость выгрузки;

Target Download Max Limit: 20M – максимальная скорость загрузки (скачивания);

Нельзя оставлять значение «unlimited», нужно указать цифровое значение, иначе правило не заработает.

«ОК» для сохранения.

Чтоб правила пользователей и админа работали, их нужно расположить в определенном порядке: админ верхнее, пользователи – ниже.

Если правила не перетаскиваются нужно нажать на значок #.

По результатам проверки у пользователей в этой сети скорость 10Мбит/с, а у админа 20Мбит/с. У пользователя, который качает – 3Мбит/сек по расписанию.

Если нужно добавить еще одного админа или сервер без ограничений скорости, следует добавить требуемые IP-адреса в первое правило в поле «Target» (или создать еще одно правило).

К сожалению, в данном варианте прикрепить список пользователей в одно правило не получится и добавлять нужно по одному IP-адресу, привязанному к MAC-адресу.

Текущие скорости и график можно посмотреть на вкладке «Traffic», но для каждого правила отдельно.

Общую картину внешнего трафика в Simple Queues можно увидеть, если создавать одно родительское правило и все правила добавлять в него, но это отдельная тема. Или использовать Torch или IP Firewall Connection, но эти способы не очень удобны, потому что показан трафик на каждый IP-адрес назначения.

Burst.

В правиле «Simple Queues» на вкладке «General» кроме всего вышеперечисленного есть еще одна выпадающая вкладка с названием «Burst». Рассмотрим ее назначение.

Burst (вспышка) – функция, которая позволяет кратковременно увеличить скорость свыше установленного лимита. Например, при открытии Интернет-страниц в браузере не будет возникать задержек и тормозов, а если пользователь начнет смотреть видео или скачивать, то его скорость вернется к установленным лимитам.

Устанавливаем значения параметров «Burst». Значения в разных ситуациях будут разные и зависят от тарифного плана и настроенного ранее максимального ограничения скорости.

Burst Limit – максимальная скорость на время включения режима «Burst»;

Burst-time – время в течение которого рассчитывается средняя скорость;

Burst Threshold – значение средней скорости определяющее включение или выключение режима «Burst».

Через командную строку терминала:

Итак, мы открыли страницу и она начала загружаться с максимальной скоростью 15М. В течение 20сек  (Burst Time) рассчитывается средняя скорость. Когда средняя скорость достигает 8М (Burst Threshold), режим «Burst» отключается и скорость снижается до лимита в 10М. Вот примерно так это работает. Подробности с графиком в официальной wiki.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.