Skip to content

Рубрика: Mikrotik

Mikrotik для небольшого офиса

Вводная: небольшой офис. В наличии имеется один канал от провайдера (впрочем, их может быть два), проводная сеть, служебный и гостевой WiFi.
При этом к проводной сети подключены сервера (ну и админ, конечно ;)), а сотрудники сидят через служебный WiFi. Для гостей (и личных устройств сотрудников) есть гостевой WiFi (может быть, даже с hotspot) c обычной PSK-аутентификацией или без неё.
Чтобы было ещё веселее — добавим DMZ с почтовым сервером (как его настроить, можно почтитать, например, тут). По организации DMZ есть много толковых мануалов, так что заострять на этом внимания не буду — для простоты, почтовый сервер будет жить в одной сети со всеми остальными.

В этой статье я намеренно не буду пытаться охватить все аспекты существования офисного роутера (например, обеспечение резервирования или удалённого доступа сотрудников) — вы без труда найдёте на этом сайте нужную информацию воспользовавшись поиском или облаком тэгов.
netdiag2
Мы же остановимся именно на разграничении трафика между тремя сетями — для каждой будет отдельное адресное пространство, интерфейсы и правила фаервола.
Хорошей идеей было бы ограничить гостевую сеть с помощью очередей (queues), но это оставим для следующей статьи.
Приступим?
Читать далее Mikrotik для небольшого офиса

Leave a Comment

Виртуальная лаба в домашних условиях. Часть 1: Сеть

На новогодних каникулах появилось, наконец, свободное время, чтобы заняться домашним сервером. Вместо Ubuntu 12.04 LTS был установлен VMWare ESXi 6.5, а сама система была разделена на несколько виртуалок, каждая под свою задачу.
С контейнерами пока решил не связываться — я пока не могу придумать реальную задачу, чтобы ради неё засесть за изучение Docker или LXC. Так что у нас будет классика — Debian 8 с последними апдейтами, свежая VMWare и Mikrotik («железный») в качестве роутера для всего этого счастья.
Читать далее Виртуальная лаба в домашних условиях. Часть 1: Сеть

Leave a Comment

Hotspot для самых маленьких, часть 4: подключаем RADIUS

Доброго времени суток!

Предыдущие серии:
Hotspot для самых маленьких, часть 1
Hotspot для самых маленьких, часть 2: своя страница входа + социальные сети
Hotspot для самых маленьких, часть 3: https и shaping

Соскучились уже, наверное?

Сегодня часть будет короткой, а посвящена она будет хранению учетных записей пользователей. Не всегда удобно заводить пользователей хотспота на каждом устройстве. А если устройств много? А если пользователей? А если хочется еще и каждому пользователю набор атрибутов — скорость там, приоритет, баланс (если доступ платный) ну и так далее.
Для управления аутентификацией и авторизацией люди и придумали RADIUS — Remote Authentication in Dial-In User Service. Изначально он обслуживал dial-up подключения (отсюда и dial-in в названии), а сейчас же его возможности гораздо шире.

В Linux одна из самых популярных реализаций это FreeRADIUS. Её то мы и будем использовать.
Читать далее Hotspot для самых маленьких, часть 4: подключаем RADIUS

7 комментариев

Mikrotik, IPSec, libreswan: как обойти блокировку RuTracker

Дело было вечером, делать было нечего (с)

Как-то раз, в очередной раз увидев заглушку провайдера о том, что доступ к рутрекеру запрещен отныне и навеки, я решил это дело исправить, как минимум в рамках одной отдельно взятой квартиры. Делать что-то с браузером или операционкой не хотелось совершенно, пользоваться сторонними VPN-сервисами не хотелось тем более. Ну а т.к. у меня уже есть VDS, то почему бы не воспользоваться ей? Так и родилась идея гонять трафик до рутрекера через VPN. Из всех вариантов самым годным, по ряду причин, был признан ipsec (или l2tp/ipsec) с авторизацией по PSK. Он не является самым простым с точки зрения реализации (по сравнению с OpenVPN), зато его поддержка есть во всех популярных устройствах (включая Windows, iOS, MacOS и Android) «из коробки».

Читать далее Mikrotik, IPSec, libreswan: как обойти блокировку RuTracker

8 комментариев

IPSec: Mikrotik и Juniper

Я уже писал как настроить IPSec между Cisco и Mikrotik. С тех пор утекло много воды, но, периодически, возникает необходимость задружить Микротик с чем-нибудь. Иногда даже по IPSec. Сегодня будем дружить с Juniper SRX.
mkt2srx
Кратенько, буквально в режиме how-to хочу рассказать как их подружить через ipsec site-to-site. На стороне Juniper настраиваем route-based VPN. На обеих сторонах будем использовать DST/SRC-NAT чтобы жизнь медом не казалась.
Читать далее IPSec: Mikrotik и Juniper

12 комментариев

Hotspot для самых маленьких, часть 3: https и shaping

Мы продложаем настраивать свой модный hotspot, на котором сможем заработать много-много денег. Мы уже знаем, как открыть доступ для авторизации через соцсети и переправлять пользователей на нашу красивую welcome page.

Но появилась одна проблема: соцсети доступны клиентам без авторизации! Практически полностью! Что сильно снижает полезность хотспота, даже если приглашение стартует автоматически. Как с этим бороться?
Например, включить режим обнаружения https: тогда мы сможем фильтровать в т.ч. https-урлы (с определенными ограничениями, разумеется).
До кучи, разберемся как ограничивать скорость пользователям (чтобы не было соблазна качать торренты).
Читать далее Hotspot для самых маленьких, часть 3: https и shaping

13 комментариев

Hotspot для самых маленьких, часть 2: своя страница входа + социальные сети

Итак, Hotspot мы настроили. Но просто hotspot — это неинтересно. Например, мы хотим, чтобы наша стартовая страничка была красивой. А заодно лежала где-нибудь на отдельном сервере — тогда мы сможем поставить несколько микротиков в разные кафе и всем посетителям этих кафе показывать одну страницу. И редактировать ее в одном месте. Удобно? не то слово.

А еще мы немного затронем подключение social login — чтобы наши посетители могли подключаться к нашему хотспоту, используя популярные соцсети.
Поехали!
Читать далее Hotspot для самых маленьких, часть 2: своя страница входа + социальные сети

49 комментариев

Hotspot для самых маленьких, часть 1

Тема hotspot-решений на базе Mikrotik набирает популярность, особенно перед летним сезоном. На почте и в скайпе часто задают одни и те же вопросы, так что решил написать и описать все здесь, чтобы не отвечать одно и то же по двадцать раз.

Итак, имеем: mikrotik с уровнем лицензии не ниже 4 (например, RB750) и настройкой по-умолчанию. Хотим настроить хотспот. Я предполагаю, что с микротиком вы хотя бы на «вы», умеете подключиться к нему с помощью winbox, telnet или ssh. В первом случае вам нужно будет запустить консоль (кнопка New Terminal).
Читать далее Hotspot для самых маленьких, часть 1

Leave a Comment

Поднимаем L2TP-сервер с ipsec на Mikrotik

Mikrotik довольно часто можно увидеть в маленьких и средних офисах в качестве роутера. Собственно, это одна из самых удачных ниш для него. Небольшая производительность (при богатых возможностях) и надежность (по сравнению с чисто аппаратными решениями от той же Cisco) не позволяет закрепиться ни в ISP (разве что в качестве CPE), ни в энтерпрайзе. Остается еще радиодоступ (где с микротиком довольно успешно конкурирует Ubiquiti), но мы сейчас не о нем.

Итак, ситуация: небольшой офис на десяток машин. Внутри есть сервер с 1С и прочие радости жизни в виде общей шары и принтеров. Снаружи — некоторое количество сотрудников, которым нужно дать возможность работать из дома или из других мест (например, через публичные wifi-сети и 3g-свистки). Разумеется, трафик, проходящий через публичные сети нужно шифровать, потому что ни сотовые сети, ни, тем более, wifi-сети (как и сети других операторов связи) защищенность канала связи не гарантируют, а утечка паролей и прочей конфиденциальной информации, передающейся в открытом виде (нешифрованный http, ftp, telnet и другие) может стать очень неприятным сюрпризом.

Читать далее Поднимаем L2TP-сервер с ipsec на Mikrotik

118 комментариев

Управление свитчом в Mikrotik

В основе роутера Mikrotik (RB/750, RB/751, RB/2011) обычно лежит свичевая микросхема на 4/5 портов (в случае RB/2011 — две свичевых схемы). Соответственно, есть возможность использовать Mikrotik как управляемый свич (со всеми прелестями типа свичевания на wire-speed).
Сегодня мы с этим самым свичом и поиграем. Прошу под кат!
Читать далее Управление свитчом в Mikrotik

25 комментариев