Настройка микротик rb951g-2hnd

Обновления

Несмотря на страшные описания и действительно большую опасность, которую таят в себе уязвимости, стоит отдать должное разработчикам MikroTik: они в кратчайшие сроки выпускают патчи. Многие дыры закрываются еще до их утечки в паблик, оставшиеся — в течение дня-двух

Поэтому первое, на что нужно обратить внимание, — актуальность версии RouterOS на твоем девайсе. Автоматически система не обновляется, поэтому за появлением новых версий нужно следить вручную

В разделе Software на сайте MikroTik лежат актуальные версии операционной системы и отдельных пакетов. Простейший способ обновиться: System → Packages → Check For Updates → Download and Install.

Те же действия можно выполнить, набрав в консольной строке роутера следующую команду: .

Обновление системы роутера
Рекомендуем почитать:

Xakep #258. NPM Hijacking

  • Содержание выпуска
  • Подписка на «Хакер»

Доступны четыре ветки разработки: Long-term, Stable, Testing и Development. Для критичных систем рекомендуется ставить Long-term. Железка, которая может полежать пару минут в процессе обновления, достойна Stable, остальные ветки оставь для экспериментов на домашнем роутере. Перед обновлением внимательно читай Changelog. Иногда полностью перерабатываются некоторые части ОС, после чего они не способны работать со старой конфигурацией (так было, например, с bridge в 6.41).

Если ты счастливый владелец нескольких роутеров MikroTik, помни, что массовый апгрейд стандартными средствами невозможен, но можно воспользоваться The Dude или самописными скриптами.

Настройка сервера VPN

Я предпочел в качестве VPN сервера роутер в первом офисе, на основе L2TP без IPSEC. Приступим к настройке. Создадим профайл:

  • Укажем имя;
  • Адрес сервера в туннеле;
  • Адрес клиента в туннеле;
  • Изменим сервисные параметры.

MPLS не нужен, включим компрессию и шифрование.

Укажем, что лимит только для одного и сохранимся.

Создадим пользователя L2TP.

Применяем и включаем службу L2TP, указав созданный профайл и протокол проверки подлинности.

Обязательно создаем Binding интерфейс для клиента.

Указываем название и для какого пользователя. Применяем и жмем ОК.

В списке интерфейсов должна появиться запись. Статус подключения изменится после настройки клиентской части.

Настройка интернета в микротик

Сейчас самое время подключиться к провайдеру и настроить интернет. Тут трудно охватить все возможные варианты подключения. Их может быть много. Я рассмотрю два самых популярных способа:

  1. Вы получаете настройки от провайдера автоматически по dhcp.
  2. Провайдер дал вам готовые настройки и вы их вводите вручную.

Как я уже писал ранее, для подключения к провайдеру мы будем использовать 5-й порт. Подключайте провод провайдера.

Для получения настроек по dhcp переходите в winbox в раздел IP -> DHCP Client и жмите плюсик. Выбираете интерфейс ether5 и жмете ОК.

Если вы все сделали правильно, то увидите, какой IP адрес получили. В разделе IP -> Addresses будет информация о настройках.

Рассмотрим вариант, когда провайдер выдал все настройки и вам нужно самим их задать. Будем считать, что наши настройки интернета следующие:

IP адрес 192.168.1.104
Маска 255.255.255.0
Шлюз 192.168.1.1
DNS 192.168.1.1

Сначала укажем IP адрес. Делаем все то же самое, что и в предыдущем пункте при настройке статического IP. Только теперь вместо интерфейса bridge1 указываем ether5 и вводим соответствующий адрес — 192.168.1.104/24. Тут мы сразу указали и адрес и маску подсети.

Дальше нам нужно установить шлюз по-умолчанию. Без этого обязательного шага интернет не заработает. Идем в раздел IP -> Routes и жмем плюсик для добавления шлюза по-умолчанию. В Dst. Address оставляем как есть 0.0.0.0/0, а в поле Gateway вписываем шлюз провайдера и жмем ОК.

Уже сейчас интернет должен заработать, но без указания DNS сервера обращаться можно только по прямым ip адресам. Например можно пропинговать ip адрес серверов гугла. Открываем New Terminal и проверяем.

Теперь установим DNS сервер. Для этого идем в IP -> DNS, в поле Servers вводим адрес dns сервера провайдера. Если у вас их два, то нажав на треугольничек, направленной вершиной вниз, вы можете ввести еще одно значение. Обязательно ставите галочку напротив Allow Remote Requests.

Если у вас внешний IP адрес и вы разрешили удаленные DNS запросы, обязательно выполните настройку firewall и заблокируйте все входящие соединения. Если этого не сделать, то ваш роутер может стать жертвой поддельных dns запросов, которые используют для ddos атак.

На этом все, мы полностью установили настройки интернета провайдера. Можно проверить и пропинговать привычный адрес сайта.

На самом маршрутизаторе уже есть выход в интернет. На нам нужно его настроить для пользователей. Для этого продолжаем настройку mikrotik.

Основное окно

На скриншоте «Основное окно» вы видите 2 варианта основного окна — при подключении по MAC (цифры 1,3) или IP адресу (цифры 2,4). Так же кроме MAC или IP адреса заголовок окна содержит следующую информацию:

Под цифрой 5 обозначен статус элемента, для расшифровки обозначения, наведите курсор мыши на обозначение.
Под цифрой 6 показан пример выключенного элемента.
Под цифрой 7 показано обозначение измененного элемента(подсветка синим цветом).
Под цифрой 8 показан пример инверсии значения(логическое отрицание).
Под цифрой 9 обозначена кнопка Safe mode — она включает «Безопасный режим» — после его активации система следит за связью между WinBox и RouterOS и в случае, если ваши действия привели к потере связи откатит изменения назад.

Описание основных кнопок

  • Add — добавление элемента в выбранном разделе
  • Add (with options) — добавление элемента с возможностью выбора типа элемента(при нажатии на «стрелку показывающую вниз» появится контекстное меню с вариантами типов) в выбранном разделе
  • Remove — удалить выбранный элемент (аналогично команде remove в консоли)
  • Enable — включить выбранный элемент (аналогично команде enable в консоли)
  • Disable — отключить выбранный элемент (аналогично команде disable в консоли)
  • Comment — добавить или редактировать комментарий
  • Sort — позволяет сортировать элементы по различным критериям

Внутри отдельного раздела(можно еще назвать его — модулем)вы можете быстро менять вид элементов и осуществлять поиск или отображать элементы относящиеся только к определенной группе(на скриншоте показан выбор из выпадающего меню, всех маршрутов входящих в группу main).

Сортировка отображаемых элементов

Пример того как быстро отфильтровать маршруты которые будут соответствовать диапазону адресов 10.0.0.0/8 :

  1. Нажмите кнопку Sort
  2. Выберете пункт Dst.Address в выпадающем списке
  3. Выберете пункт in. in — означает что искомый критерий будет лежать внутри какого-либо диапазона
  4. Введите искомое значение сети(в нашем примере 10.0.0.0/8)
  5. Эти кнопки добавляют или удаляют дополнительные фильтры
  6. Нажмите Filter чтобы применить фильтр.

Как вы можете увидеть на скришоте — элементы остортировались по заданному нами фильтру.

Оператор сравнения(номер 3 на скришноте) может быть задан различными логическими значениями. Для примера окно «Ip Route» имеет только два — is и in. Другие окна могут содержать значения — is not, contains, contains not.

Вы можете добавлять (они будут суммироваться) и удалять фильтры — цифра 5 на скриншоте.

Настройка списка отображаемых столбцов

Winbox позволяет настроить отображение столбцов для каждого окна. Например для окна «Route List» добавим столбец «BGP AS path column»:

  1. Кликните на черную стрелку вниз (1) с правой стороны от строки с заголовками столбцов или щелкните правой кнопкой мыши на списке окна (в данном примере списке маршрутов)
  2. В выпадающем меню выберете Show Columns (2) и в выпадающем подменю выберете желаемый столбец для включения (или выключения) — в нашем примере это BGP AS Path (3)

Сделанные настройки будут сохранены для текущего и всех будущих запусков Winbox.

Подробный вид

Режим в котором все строки окна отображают детальную информацию о каждом элементе окна, называется — Detail mode.

Для включения этого режима кликните на списке элементов правой кнопкой и в выпадающем меню выберете Detail mode.

Вы можете включить режим отображения элементов по категориям.

Drag & Drop

Вы можете использовать механизм «Бери и брось» (способ копирования файлов жестом перетягивания файлов мышью), как в семействе операционных систем Windows. В Linux и Mac OS эта функция недоступна.

Мониторинг трафика

Winbox может быть использован как инструмент по мониторингу трафика на каждом интерфейсе, очереди или правиле фаервола в режиме реального времени.

Копирование элементов

Рассмотрим как просто копировать элементы в Winbox. В этом примере, мы будем использовать COPY чтобы преобразовать Динамический PPPoE server в Статический интерфейс.

Этот скриншот показывает начальное состояние, видим буквы DR, «D» означает Dynamic (Динамический):

Два раза кликнув на интерфейс и кликните на кнопку COPY:

Появится окно нового интерфейса, новое имя будет задано автоматически (в нашем случае pppoe-in1)

После этого при выключении/включении этот интерфейс будет Static (статическим):

Port Knocking

Чуть выше мы говорили об ограничении доступа к управляющим службам роутера только с определенных адресов

Это очень важно: протокол Winbox далек от идеала и есть вероятность, что в нем еще будут находить дыры. Но часто приходится подсоединяться к роутеру из гостиниц или кафе, и невозможно предусмотреть все адреса, с которых подключишься

Среди админов распространена техника Port Knocking. Изначально порт закрыт для всех. Но стоит снаружи выполнить какую-то последовательность действий, как для твоего IP открываются все порты для управления. Этот набор действий может быть очень сложным, и подобрать его нереально. Рассмотрим пример:

  • изначально все порты управления закрыты для всех, кроме списка разрешенных;
  • если на порт роутера 1234 попадает TCP-сегмент, затем два на порт 4321 и один на порт 5678, то адрес источника заносится в список разрешенных на сутки.

Реализовать эту последовательность действий поможет следующий скрипт.

Правила 3–6 () выполняют описанную выше логику. Первое правило разрешает доступ к управлению роутером только адресам из списка , который заполняется на этапах 3–6. Второе правило запрещает доступ всем. Первые два правила вынесены наверх для того, чтобы избежать ненужного прохождения менеджмента трафика по четырем правилам с логикой и тем самым снизить нагрузку на CPU.

Но провернуть подобную операцию с Windows не так просто: из стандартного набора программ выпилили Telnet, а качать сторонний софт не всегда возможно. Зато любая ОС позволяет менять размер ICMP-пакета при пинге. Этим мы и воспользуемся. Изменим условия:

  • изначально все порты управления закрыты для всех, кроме списка разрешенных;
  • если на роутер попадает ICMP Request размером 345 байт, затем два размером 543 и один 678 байт, то адрес источника заносится в список разрешенных на сутки.

Для этого всего лишь поменяем предыдущие правила:

  1. Установим прокол ICMP.
  2. На вкладке Advanced зададим размер Packet Size.

INFO

Не забывай, что размер пакета, указанный в пинге, и размер пакета, долетевшего до роутера, — это разные значения. В Linux к ICMP прибавляется 28 байт заголовков, то есть, чтобы отправить пакет размером 345 байт, нужно в пинге указать размер 317. У Windows цифры другие — она по-своему считает заголовки.

Wireless

RouterOS поддерживает белые и черные списки Wi-Fi. Для этого есть список Wireless Access List. Просто добавь туда устройства, которые не имеют права подключаться к сети, а потом сними флажки Authentication и Forwarding. Еще для этих целей можно использовать команду .

Настройка черного списка Wi-Fi

Описанный выше случай будет работать как Blacklist. Чтобы преобразовать его в Whitelist, нужно поставить указанные флажки и изменить тип работы интерфейса Wireless с помощью команды .

Настройка белого списка

Флажок Authentication отвечает за аутентификацию клиентов. Если он установлен для определенного интерфейса, аутентификация разрешена всем, кроме тех устройств, которые перечислены в списке доступа без флажка. Если на интерфейсе флажок не установлен, то подключиться к сети могут лишь те, кто присутствует в списке доступа с флажком.

Настройка Forwarding отвечает за передачу данных между клиентами одной подсети. Обычно ее не стоит трогать, но, если ты строишь, к примеру, hotspot-сеть, клиенты которой будут ходить только во внешние сети (то есть внутреннее взаимодействие им не нужно), отключи данную опцию — это улучшит качество связи.

С помощью Wireless Access List можно настроить сложную логику работы клиентов: по уровню сигнала, времени суток, ограничить скорость каждого клиента или загнать его в определенный VLAN без дополнительных телодвижений. Очень рекомендую познакомиться с этим инструментом поближе.

INFO

А еще MikroTik умеет делать SSID в виде эмодзи, например так: . Для этого нужно перевести символы в Unicode с помощью инструмента вроде такого и вставить полученную строку в SSID.

Настройка сервера PPPoE на Микротик

Нам необходимо создать адресное пространство (IP пул). Подключимся к NetworkCore и перейдем в IP – Pool.

Создадим новый. Задаем понятное название и диапазон адресов.

Сохраняем и переходим к следующему пункту.

Создание профиля

Переходим к созданию профиля. Открываем PPP – Profiles.

  • Задаем понятное имя профиля;
  • Local Address – 172.16.25.1;
  • Remote Address – ранее созданный пул;
  • DNS – в качестве примера 8.8.8.8;
  • Change TCP MSS – yes;
  • Use UPnP – no.

Переходим в Protocols.

  • Use MPLS – no;
  • Use Compression – no;
  • Use Encryption – yes.

Открываем Limits.

Only One – no.

Сохраняем и идем далее.

Создание пользователей

Т.к. PPPoE требует аутентификацию по логину и паролю, нам необходимо создать два пользователя, по одному для каждого офиса. Последовательно открываем PPP – Secrets.

  • Name – учетная запись, регистр имеет значение;
  • Password – пароль;
  • Service – можно выбрать any, но я предпочитаю указывать конкретные сервисы;
  • Profile – раннее созданный профиль.

По аналогии создаем пользователя для офиса SPB.

Включение сервера

Для ограничения широковещательного трафика я не стал создавать bridge и добавлять в него порты, связанные с офисами. Так же я создал одну сеть, что не рекомендуется для production сети. Сервер настраивается в PPP – PPPoE Servers. Создадим первый, подключенный к московскому офису.

Задаем параметры:

  • Service Name — указываем уникальное имя сервиса;
  • Interface – ether2 для офиса в Москве;
  • Default profile – раннее созданный профиль;
  • One Session Peer Host – ставим галочку;
  • Authentication – оставляем только MSCHAPv1 и MSCHAPv2.

Есть возможность указать задержку ответа в параметре PAD0 Delay. Данный параметр будет полезен для сценариев с несколькими серверами. Его мы не изменяем.

Сохраняем и создаем еще один, но только указываем другое имя сервиса и порт ether3 в параметре interface.

Настройка клиента PPoE на Микротик

Необходимо настроить таким образом, чтобы был доступ в интернет. На московском роутере я покажу как это сделать. Для начала проверим что на нем нет никаких IP адресов и маршрутов.

Далее переходим в PPP – Interface и добавляем новый.

В создании интерфейса на вкладке General зададим:

  • Name – понятное название интерфейса;
  • Interface – тот интерфейс, который подключен к провайдеру, в нашем случае ether1.

Предлагаю воспользоваться утилитой PPPoE Scan – она позволяет без подключения и аутентификации просканировать эфир на наличие каких-либо серверов. Особенно полезная штука для поиска неисправностей доступности крупнейшего провайдера нашей страны. После нажатия кнопки Start утилита начинает сканирование. На скриншоте ниже, виден наш сервер с заданным именем сервиса и AC Name – он берется из Identity в меню System. При желании можно сменить.

Закрываем утилиту и переходим во вкладку Dial Out.

  • Service – for-MSC (можно не указывать);
  • AC Name – NetworkCore (можно не указывать);
  • User – MSC – обязательный параметр;
  • Password – обязательный параметр;
  • Use Peer DNS – ставим галочку;
  • Allow – снимаем галочки с chap и pap.

Add Default Route нужен для автоматического добавления маршрута 0.0.0.0/0 в нашу таблицу маршрутизации. Данная запись обеспечит выход в интернет

Обращаю внимание, что она устанавливается на клиентской стороне. Сохраняем и проверяем на вкладке Status

Мы видим внизу статус – connected, что символизирует об успешном подключении. Исходя из скриншота выше можно сказать, что, последний раз соединение поднялось 05.02.2020 в 19:51, время жизни 44 секунды, получили адрес 172.16.25.20, Service Name — for-MSC, AC Name — NetworkCore. Попробуем проверить доступность интернета.

Отправив ping запрос по доменному имени, мы убедились, что имя преобразуется – это означает что DNS сервер добавился без проблем и получаем ответы на запросы — работает интернет-соединение. Не ленимся и перепроверим в соответствующих консолях.

Проделаем аналогичные действия на Mikrotik в Питере и посмотрим, что происходит на главном роутере NetworkCore.

Как мы видим, на интерфейсах ether2 и ether3 появились дополнительные соединения. Далее мы можем из этих интерфейсов сделать статические адрес листы и в зависимости от ситуации, разрешать или запрещать определенный трафик. В данном примере я продемонстрировал как с помощью PPPoE на роутере Mikrotik разрешить доступ в интернет, вы же можете предоставлять с его помощью доступ к иным службам или сетям

Спасибо за внимание

Настройка Wi-Fi 2Ghz в MikroTik

У нас на вооружении RouterBOARD 952Ui-5ac2nD, который имеет 2 антенны, одну на 2,4 другую 5. Схема сети самая простая – интернет приходит на ether1. Интерфейсы ether2-5, wlan1 и wlan2 находятся в bridge 192.168.0.1/24. Перед настройкой точки доступа рекомендуется прошить через Netinstall (при написании статьи использовалась RouterOS 6.46.6). Это делается, чтобы снять установленные ограничения с завода для импорта в Россию, а также появился список стран в выпадающем меню Country. Взглянем на наш bridge1.

Переходим в Wireless и видим, что интерфейсы находятся в выключенном состоянии. Пока не включаем их.

В конфигурации будут созданы 2 сети на разных частотах с одинаковым паролем аутентификации. Для того чтобы задать пароль аутентификации нужно создать Security Profile.

Укажем корректные значения:

  • Имя профиля;
  • Пароль для WPA – рекомендуется не использовать (достаточно снять галочку WPA PSK в Authentication Types);
  • Пароль для WPA2.

Сохраняем и открываем интерфейс wlan1. Включаем Advanced Mode.

После включения дополнительного режима появляются скрытые возможности. Нас интересует самая главная и важная вкладка Wireless.

Зададим основные параметры:

  • Mode – ap bridge;
  • Band – 2GHz-G/N;
  • Channel Width – 20MHz;
  • SSID — WiFi_2.4;
  • Wireless Protocol – 802.11;
  • Security Profile – General WiFi;
  • Country – russia3.

Отдельного внимания заслуживает параметр Frequency (частота). Задать параметр можно из выпадающего списка. Если выбрать значение auto, то роутер установит частоту более или менее свободную только при включении и будет сидеть на ней до следующего включения. Т.е. вы включаете роутер, при поднятии AP сканируется эфир, становится на наиболее не загруженную частоту до следующего ребута. Что если я хочу сам задать частоту на устройстве? Отличный вопрос, так давайте просканируем эфир!

К счастью, у Mikrotik таких утилит достаточно. Запустим утилиту Scan и нажмем Start.

Мы видим чистый эфир (благодаря тому что запуск утилиты происходил не в многоквартирном доме). Доступен mac соседних точек, имя сети, частота и канал. Так же уровень сигнала, шума. Очень полезная утилита.

Freq. Usage – показывает в процентном соотношении использование частот согласно указанной стране в настройках роутера Микротик..

Wireless Snooper – показывает не только какие точки, какую частоту и каналы используют, а еще и клиентские устройства, которые подключены к тем или иным точкам. Штука прям для хакеров.

И на какую же частоту мне встать? В моем конкретном случаю, на любую! Т.к. эфир чист и свободен, но я выберу 2412. Если вы находитесь в многоквартирке, то вот вам рекомендации:

  • Отталкивайтесь от 1, 6 и 11 каналов. Смотрите какие из них менее всего загружены на тот и вставайте;
  • Не выставляйте ширину канала 20/40 – вы тем самым создаете еще больше интерференций. Пусть будет медленно, но, верно, на 20;
  • Не поднимайте мощность на максимум, даже делайте ее меньше.

Задав значения включим интерфейс.

Обязательно проверьте включение антенн в HT. Галочки должны быть везде.

Интересный факт, но как только подключается новый клиент, интерфейс переходит в состояние run. Взглянем на подключившихся во вкладке Registration.

FEATURE PACKAGE

If the SOFTWARE PRODUCT is labeled as a «feature package» that required additional purchase, you must be properly licensed to use a product identified by MikroTikls as being eligible for the «feature package» in order to use the SOFTWARE PRODUCT («Eligible Product»). For the purpose of «feature package», products only, «HARDWARE» shall mean the computer system or computer system component with which you received the Eligible Product. A SOFTWARE PRODUCT labeled as «feature package» replaces and/or supplements the Eligible Product. You may use the resulting SOFTWARE PRODUCT only in accordance with the terms of this License Agreement. If the SOFTWARE PRODUCT is an «feature package» of a component of a package of SOFTWARE programs that you licensed as a single product, the SOFTWARE PRODUCT may be used and transferred only as part of that single product package and may not be separated for use on more than one computer.

If you receive your first copy of the SOFTWARE electronically, and a second copy on media, the second copy may be used for archival purposes only. Rights to the SOFTWARE PRODUCT will be indicated on your invoice.

LIMITED WARRANTY

MikroTikls warrants that for a period of ninety (90) days from the days of acquisition, the Software, if operated as directed, will substantially achieve the functionality described in the Documentation. MikroTikls does not warrant, however, that your use of the SOFTWARE will be uninterrupted or that the operation of the SOFTWARE will be error-free or secure and hereby disclaims any and all liability on account thereof. In addition, the security mechanisms implemented by the SOFTWARE have inherent limitations, and you must determine that the SOFTWARE sufficiently meets your requirements.

MikroTikls also warrants that the media containing the Software, if provided by MikroTikls, is free from defects in material and workmanship and will so remain for (90) days from the date you acquired the Software. MikroTikls’ sole liability for any breach of this warranty shall be, in MikroTikls’ sole discretion:

  • to replace your defective media; or
  • to advise you how to achieve substantially the same functionality with the SOFTWARE as described in the Documentation; or
  • if the above remidies are impracticable, to refund the license fee you paid for the Software. Repaired, corrected, or replaced SOFTWARE and Documentation shall be covered by this limited warranty for the period under the warranty that covered the original SOFTWARE or if longer, for thirty (30) days after the date (a) of shipment to you of the repaired or replaced Software, or (b) MikroTikls advised you how to operate the SOFTWARE so as to achieve the functionality described in the Documentation. Only if you inform MikroTikls of your problem with the SOFTWARE during the applicable warranty period and provide evidence of the date you acquired the SOFTWARE will MikroTikls be obligated to honor this warranty. MikroTikls will use reasonable commercial efforts to repair, replace, advise, or refund pursuant to foregoing warranty within 30 days of being so notified.

THIS IS A LIMITED WARRANTY AND IT IS THE ONLY WARRANTY MADE BY MIKROTIKLS. MIKROTIKLS MAKES NO OTHER EXPRESS WARRANTY AND NO WARRANTY OR CONDITION OF NONINFRIGEMENT OF THIRD PARTIES’ RIGHTS. THE DURATION OF IMPLIED WARRANTIES, INCLUDING WITHOUT LIMITATION, WARRANTIES OF MERCHANTABILITY AND OF FITNESS FOR A PARTICULAR PURPOSE, IS LIMITED TO THE ABOVE LIMITED WARRANTY PERIOD; SOME STATES DO NOT ALLOW LIMITATIONS ON HOW LONG AN IMPLIED WARRANTY LASTS, SO THESE LIMITATIONS MAY NOT APPLY TO YOU, NO MIKROTIKLS DEALER, AGENT, OR EMPLOYEE IS AUTHORIZED TO MAKE ANY MODIFICATIONS, EXTENSIONS, OR ADDITIONS TO THIS WARRANTY.

If any modifications are made to the SOFTWARE by you during the warranty period; if the media is subjected to accident, abuse, or improper use; or if you violate the terms of this Agreement, then this warranty shall immediately be terminated. This warranty shall not apply if the SOFTWARE is used on or in conjunction with hardware or SOFTWARE other than the unmodified version of hardware and SOFTWARE with which the SOFTWARE was designed to be used as described in the Documentation.

THIS WARRANTY GIVES YOU SPECIFIC LEGAL RIGHTS, AND YOU MAY HAVE OTHER LEGAL RIGHTS THAT VARY FROM STATE TO STATE OR BY JURISDICTION.

Настройка SSTP клиента на Микротик

Для дальнейшей конфигурации нам нужен сертификат центра сертификации добавить в доверенные компьютера. Иначе начнется песня со списком отзывов и в этом роде. Конечно, таких проблем не будет, используя коммерческий. Но его нужно сначала выгрузить. Открываем System – Certificates, выбираем CA и жмем Export.

В Files должен появится экспорт. Передаем его любым удобным способом на клиентскую машину.

Далее вы можете вручную его добавить в доверенные ПК, но я предпочитаю это делать скриптом. Сохраняем в формате .bat

Создаем на рабочем столе папу CA, копируем туда CA.crt и запускаем из-под администратора батник.

Проверяем что все хорошо.

Далее переходим в Центра управления сетями и общим доступом – Создание и настройка нового подключения или сети.

Подключение к рабочему месту.

Использовать мое подключение к Интернету.

Указываем адрес и имя будущего интерфейса.

Переходим в Изменение параметров адаптера» и открываем свойства VPN интерфейса. На вкладке «Тип VPN» переключить с автоматически на SSTP, Проверку подлинности переключить на Microsoft CHAP версии 2.

Сохраняем и пытаемся подключиться.

На момент написания статьи у меня вышла такая ошибка.

Это было связанно со временем. Т.к. в виртуальных машинах оно идет по-другому. Открыв свойства сертификата, заметил, что срок, с которого действителен еще не наступило. Исправив время на правильное, все заработало. Вывод, не используйте само подписанные. Проверим подключение на клиенте и сервере.

На этом пожалуй все, в этой статье мы показали как можно легко создать SSTP сервер на роутере Микротик и подключить к нему клиента Windows 10

Спасибо за внимание и до новых встреч

Уровни лицензии Cloud Hosted Router и процесс активации

В отличие от «железной» версии RouterOS, Cloud Hosted Router не имеет «привязки» лицензии к оборудованию, а также не имеет определенных ограничений, например, нет ограничений по количеству туннелей.

Единственное ограничение, которое накладывают разные уровни лицензий — это скорость каждого из интерфейсов. Ниже представлены разные уровни лицензий, их отличия и стоимость:

Лицензия Аналог RouterOS лицензии Ограничение скорости на портах Стоимость
Free 1 Мбит/с $0
P1 L4 1 Гбит/с $45
P10 L5 10 Гбит/с $95
P-unlimited L6 $250

Также возможно воспользоваться пробной версией CHR, функционал которой аналогичен полноценной лицензии, но имеет ограниченный срок действия — 60 дней. После этого лицензия не пропадет, но операционная система перестанет обновляться.

UPGRADE PACKAGE

If the SOFTWARE PRODUCT is labeled as an upgrade package, you must be properly licensed to use a product identified by MikroTikls as being eligible for the upgrade package in order to use the SOFTWARE PRODUCT («Eligible Product»). For the purpose of upgrade package products only, «HARDWARE» shall mean the computer system or computer system component with which you received the Eligible Product. A SOFTWARE PRODUCT labeled as an upgrade package replaces and/or supplements the Eligible Product. You may use the resulting upgraded product only in accordance with the terms of this License Agreement. If the SOFTWARE PRODUCT is an upgrade of a component of a package of SOFTWARE programs that you licensed as a single product, the SOFTWARE PRODUCT may be used and transferred only as part of that single product package and may not be separated for use on more than one computer.

If you receive your first copy of the SOFTWARE electronically, and a second copy on media, the second copy may be used for archival purposes only. This license does not grant you any right to any enhancement, update or upgrade. Rights to the SOFTWARE PRODUCT will be indicated on your invoice.

Что такое capsman v2

Capsman — технология для организации диспетчера (CAPsMAN) управляемых точек доступа. С его помощью можно централизованно управлять множеством беспроводных точек доступа (CAPs), объединяя их в единую беспроводную wifi сеть. Контроллер обеспечивает в том числе аутентификацию клиентов сети. Для точек требуется минимальная настройка. Достаточно указать адрес контроллера сети и они все необходимые настройки получат от него. Сами же точки выполняют только транспорт и шифрование пакетов от клиента к контроллеру.

Теперь расскажу, что такое capsman v2 и чем он отличается от первой версии. Сразу стоит сказать, что совместимости между двумя версиями нет. Если у вас контроллер v2, то к нему могут подключаться только точки доступа с такой же версией. И наоборот — если у вас точки v2, подключиться к контроллеру первой версии не получится. Сейчас это не очень актуальная информация, так как версия v2 вышла несколько лет назад и везде используется именно она. Такое предостережение было актуально на момент релиза v2 и переходного периода.

В момент появления в RouterOS функционала CAPsMAN v2, он был включен в отдельный пакет wireless-cm2, для того, чтобы не пересекаться с предыдущей версией. Это случилось в RouterOS v6.22rc7. У предыдущей версии capsman было название пакета — wireless-fp, он появился в версии v6.11. Далее в версии 6.37 capsman v1 был удален из системы и остался только один пакет wireless, в котором реализован функционал капсман второй версии. С тех пор путаницы с именами пакетов больше не возникает. Так что если у вас какая-то древняя версия прошивки, ее.

Список нововведений capsman v2:

  • Возможность автоматически обновлять управляемые точки доступа.
  • Усовершенствован протокол обмена информацией между контроллером и точками доступа.
  • Добавлены поля «Name Format» и «Name Prefix» в настройках Provision rules.
  • Улучшено логирование процесса переключения клиента от точки к точке.
  • Добавлен L2 Path MTU discovery.

Если у вас в сети уже настроен capsman прошлой версии, то разработчики предлагают следующий путь обновления всей вашей сети до v2:

  1. Настраиваете в исходной сети временный контроллер capsman v2.
  2. Начинаете постепенно обновлять управляемые точки доступа. Все обновленные точки доступа будут подключаться к временному контроллеру.
  3. После того, как все управляемые точки доступа будут обновлены до последней версии, обновляете основной контроллер capsman. После того, как это случится, выключаете временный контроллер.

Есть более простой путь, если вам не критичен простой сети на некоторое время. Одновременно запускайте обновление на всех роутерах — и на контроллере и на точках. Как только они обновятся, все заработает на новой версии.

Сразу предупреждаю, если возникнут вопросы на эту тему. Я лично не проверял обновление до версии v2, не было в этом необходимости.

Системные требования и ограничения

Для настройки контроллера Capsman не обязательно наличие wifi интерфейса на устройстве. Так что в его качестве может выступать и виртуальная машина с установленной RouterOS. Единственное условие — уровень лицензии не ниже Level4. Как я уже раннее сказал, версия системы не ниже v6.22rc7. Вряд ли у кого-то еще такая древность осталась, так что требование чисто формальное.

Ограничение технологии Capsman:

  1. Максимум 32 беспроводных интерфейса на управляемой точке доступа (CAP — Controlled Access Points).
  2. Не более 32-х виртуальных интерфейсов на основной беспроводной интерфейс.

Заключение

Подведем итог проделанной работы. На примере двух точек доступа wAP ac мы настроили бесшовный wifi роуминг на покрываемой этими точками площади. Площадь эта легко расширяется дополнительными wifi точками любой модели микротик. Они не обязательно должны быть одинаковыми, как это, к примеру, реализовано в некоторых конфигурациях Zyxell, которые мне доводилось настраивать. Примерно такая же производительность у точек Mikrotik RB951G-2HnD, которые я до сих пор использую. Единственный минус — у них нет 5 Ггц.

В этом примере я рассмотрел практически самую простую конфигурацию, но при этом расписал все настройки и принцип работы. На основе этих данных легко составить и более сложные конфигурации. Здесь нет какого-то принципиального усложнения. Если понять, как это работает, то дальше уже можно работать и делать свои конфигурации.

Трафиком с точек доступа можно управлять так же, как и с обычных интерфейсов. Работает весь базовый функционал системы — firewall, маршрутизация, nat и т. д. Можно делать бриджы, делить адресное пространство и многое другое. Но стоит учитывать, что при этом трафик будет весь идти через контроллер. Нужно это понимать и правильно рассчитывать производительность и пропускную способность сети.

Напоминаю, что данная статья является частью единого цикла статьей про Mikrotik.

Онлайн курсы по Mikrotik

Если у вас есть желание научиться работать с роутерами микротик и стать специалистом в этой области, рекомендую пройти курсы по программе, основанной на информации из официального курса MikroTik Certified Network Associate. Помимо официальной программы, в курсах будут лабораторные работы, в которых вы на практике сможете проверить и закрепить полученные знания. Все подробности на сайте .

Стоимость обучения весьма демократична, хорошая возможность получить новые знания в актуальной на сегодняшний день предметной области. Особенности курсов:

  • Знания, ориентированные на практику;
  • Реальные ситуации и задачи;
  • Лучшее из международных программ.

Watch this video on YouTube

Оцените статью
Рейтинг автора
5
Материал подготовил
Андрей Измаилов
Наш эксперт
Написано статей
116
Добавить комментарий