Перейти до

Mikrotik как удаленный NAS


Рекомендованные сообщения

Добрый день, форумчане!

Хотелось бы услышать мнения как лучше реализовать связь биллинга и удаленного шлюза Mikrotik.

Зная, что ubilling поддерживает этот тип NAS, выбрали его.
Не разбираюсь в Mikrotik :( Но интересно связать это все до кучи.

Думаю архитектура системы будет такая как на рисунке. Я так понимаю, без тунеля не обойтись.

Потому как

  1. нужно чтобы работал кабинет пользователя и UHW (маршрутизировать в тунель обращение к 10.1.0.0/16 и 172.16.0.0)
  2. нужно передавать данные Mikrotik API. Ведь без тунеля они будут идти в открытом виде через Интернет.
    Или можно использовать шифрованный вариант API ?
  3. нужно все запросы DHCP релеить в тунель к серверу биллинга.
    Или можно настроить релеить только обращение с неизвестных MAC, а остальные обслужит локальный DHCP сервер ?

Но эта схема имеет большущий минус: при нарушении связности сети между Mikrotik и Ubilling, абоненты перестанут получать IP адреса через релей.

Или все таки Ubilling может задать пары MAC-IP локальному DHCP серверу через "модуль «Расширенная настройка MikroTik» - галочку напротив«Управлять DHCP»" и они сохраняются в конфиге???

Как можно предусмотреть автономность системы на Mikrotik, чтобы он, при потери связи с биллингом, автоматически продолжал предоставлять доступ в интернет и при этом получить нормальный функционал биллинга, когда со связью все в порядке?

Прошу поделится мыслями.
 

post-15601-0-61974200-1386773117_thumb.png

Відредаговано mac
Ссылка на сообщение
Поделиться на других сайтах

Да легко барин . Я вообще не представляю накой вам тот айписек ?  У вас удаленный роутер  на котором вы предоставляете доступ пользователям . Включайте радиус клиента на удаленном роутере и в бой .  у меня такие цяцьки работают годами , на удаленном роутере используется РРРоЕ туннели для клиентов , даже если биллинг отвалится авторизованные клиенты продолжают работать , вот только новые не авторизуются ибо радиус сервер не ответит .

Ссылка на сообщение
Поделиться на других сайтах

Я вообще не представляю накой вам тот айписек ?

Речь идет просто о необходимости шифрованного тунеля между сетями, чтобы был доступ к кабинету пользователя по его серому IP, использовать безопасно Mikrotik API, релеить запросы с, например, неизвестных мак адресов

Ссылка на сообщение
Поделиться на других сайтах

А как вы смотрите на вариант создания IPSec + EoIP (прозрачный L2-тоннель)?  ;)

Поправьте меня, но в этом случае весь трафик пойдет к биллингу, не только служебный к внутренним ресурсам?

Или можно настроить правила mikrotik firewall, чтобы трафик идущий на IP локального интерфейса сервера биллинга направить мимо NAT mikrotikа в IPSec тунель и аналогично обратно?

 

На всякий случай уточню по схеме, тунель - это или IPsec , или PPTP (но не один внутри другого).

Ссылка на сообщение
Поделиться на других сайтах

А вообще, попробовал стенд без использования туннеля, при пропадании связи между роутерами, Микротик автономно выдает IP абонентам и выпускает в Интернет, которым было разрешено ходить в Интернет до пропадания связи. Вполне автономно получается.

Ссылка на сообщение
Поделиться на других сайтах

EoIP просто позволяет пользоваться всеми дополнительными сервисами, такими как UHW, редирект должников.. EoIP-тоннель - это как эмуляция воткнутого кабеля прямо в сервер FreeBSD.. Но, при пропадании связи по одному из аплинковых подключений - связь разрывается.. 

Ссылка на сообщение
Поделиться на других сайтах
  • 2 weeks later...

добрый день, посмотрел схему подключения связки Mikrotik и Ubilling на Вашем wiki. Не очень понятно зачем сделан линк между igb0 и интернет? достаточно ли будет на сервер Ubilling одного сетевого интерфейса. На сколько я помню, раньше была именно такая схема подключения, с одной сетевой картой в сервере Ubilling.

Ссылка на сообщение
Поделиться на других сайтах

Не очень понятно зачем сделан линк между igb0 и интернет?

Ну, мне так захотелось.. Может я хочу использовать его, как основной сервер ДНС или в случае краха какого либо из "серверов" MikroTik иметь возможность временно зароутить весь трафик через биллинг? 

 

достаточно ли будет на сервер Ubilling одного сетевого интерфейса. На сколько я помню, раньше была именно такая схема подключения, с одной сетевой картой в сервере Ubilling.

Да, достаточно... Как включить сервер в сеть - думать только вам.. Вот мне захотелось так...  ;)

Відредаговано jcomm
Ссылка на сообщение
Поделиться на других сайтах

Не очень понятно зачем сделан линк между igb0 и интернет? достаточно ли будет на сервер Ubilling одного сетевого интерфейса.

Самое интересное, что до появления картинки таких вопросов не возникало, несмотря на следующие строки в wiki:

  1. Сервер Ubilling:
    1. Установлен при помощи UBinstaller
    2. Параметры:
      1. Внешний интерфейс, igb0 - 63.163.105.6/29
      2. Локальный интерфейс, igb1 - 10.0.0.254/24
:) :) :)
 
Вывод: документацию читать никто не хочет и надо писать документацию в стиле "Установка NAS в картинках".. Может тогда начнем ее внимательно смотреть...
 
P.S. Просто мысли вслух..
Відредаговано jcomm
Ссылка на сообщение
Поделиться на других сайтах
  • 1 month later...

EoIP просто позволяет пользоваться всеми дополнительными сервисами, такими как UHW, редирект должников.. EoIP-тоннель - это как эмуляция воткнутого кабеля прямо в сервер FreeBSD.. Но, при пропадании связи по одному из аплинковых подключений - связь разрывается.. 

Да, это все хорошо, это плюсы.

 

Как минусы этого решения:

  1. бродкаст от абонентов микротика тоже пойдет в туннель,
  2. неавтономность - если пропадет связь у только сервера биллинга, тогда не будут обновлятся лизы и не будет выхода в интернет,
  3. сильная дополнительная нагрузка на внешний канал сервера биллинга

Тема не закрыта. Сейчас бросил заниматься этим вопросом. Планирую вернутся позже...

 

П.С.

 

Вывод: документацию читать никто не хочет и надо писать документацию в стиле "Установка NAS в картинках".. Может тогда начнем ее внимательно смотреть...

ага, и еще видео желательно :D

Ссылка на сообщение
Поделиться на других сайтах

бродкаст от абонентов микротика тоже пойдет в туннель

Хмм, и что в этом плохого? собственно с этой целью и используется EoIP...

 

неавтономность - если пропадет связь у только сервера биллинга, тогда не будут обновлятся лизы и не будет выхода в интернет

Конечно, если поставить биллинг дома, за 80 грн. за 100 Мбит и выключать на ночь, чтобы за свет платить меньше пришлось...

 

Сильная дополнительная нагрузка на внешний канал сервера биллинга

А здесь можно поподробнее, чем же грузится внешний канал биллинга, при использовании EoIP? Лично у меня EoIP занимает ~100 Кбит/сек. трафика..

Відредаговано jcomm
Ссылка на сообщение
Поделиться на других сайтах

А здесь можно поподробнее, чем же грузится внешний канал биллинга, при использовании EoIP? Лично у меня EoIP занимает ~100 Кбит/сек. трафика..

 

Ваш вопрос наводить меня на мысль, что я протупил :)

 

EoIP-тоннель - это как эмуляция воткнутого кабеля прямо в сервер FreeBSD..

 

т.е. не весь трафик завернется в туннель (в смысле так можно сделать):

пользователи за Микротиком в инет будут ходить через его внешний канал, а бродкаст пользовательского бродкаст-домена и трафик в кабинет пользователя - через EoIP туннель?

Ссылка на сообщение
Поделиться на других сайтах
  • 1 year later...

Годы спустя  :) все было настроено и заработало как надо.

Спасибо всем тем форумчанам, кто отвечал на мои вопросы.

Как это выглядет в итоге можно почитать на этой страничке.

Написано для себя, чтобы не забыть, но может быть окажется полезным кому-то еще.

Ссылка на сообщение
Поделиться на других сайтах

 

 

Как это выглядет в итоге можно почитать на этой страничке. Написано для себя, чтобы не забыть, но может быть окажется полезным кому-то еще.

С вашего разрешения ;)добавил линк в вику.

Ссылка на сообщение
Поделиться на других сайтах
  • 5 months later...

Доброго времени суток!
Почитал вики, почитал блог mac-a.
У меня практически такаяже схема подключения, только вместо опенвпна я тренируюсь с пптп(пока не взлетит на тестовом стенде).

При добавлении наса в убиллинг - видно в логе микротика, что по апи пользователь билинга конектится.
Настроил МТК по вики убиллинга, но на него нет выгрузки статик лиз и правил файрвола, неподскажите куда посмотреть?
Галочкина управление этими подсистемами в убилинге поставил.

В какой момент убиллинг делает выгрузку настроек в МТК? можно ли ее принудительно форсировать?

И еще подскажите, что нужно прописывать в разделе "Сервера доступа (NAS)" в поле "Ссылка на Bandwidthd" если насом является микротик(в вики не нашел)?

Заранее благодарен за пинок в нужную сторону.

Ссылка на сообщение
Поделиться на других сайтах

Доброго времени суток!

Почитал вики, почитал блог mac-a.

У меня практически такаяже схема подключения, только вместо опенвпна я тренируюсь с пптп(пока не взлетит на тестовом стенде).

 

При добавлении наса в убиллинг - видно в логе микротика, что по апи пользователь билинга конектится.

Настроил МТК по вики убиллинга, но на него нет выгрузки статик лиз и правил файрвола, неподскажите куда посмотреть?

Галочкина управление этими подсистемами в убилинге поставил.

В какой момент убиллинг делает выгрузку настроек в МТК? можно ли ее принудительно форсировать?

И еще подскажите, что нужно прописывать в разделе "Сервера доступа (NAS)" в поле "Ссылка на Bandwidthd" если насом является микротик(в вики не нашел)?

Заранее благодарен за пинок в нужную сторону.

Модуль «Сервера доступа»: появилась возможность для NAS типа Mikrotik Direct указывать URL Bandwidthd в виде http://nas/graphs/queue/

 

У меня заработали лизы после маленького исправления.

файл /etc/stargazer/system/executer/tpls/dhcp.ini

допишите к параметру address-list букву s (address-lists)

Ссылка на сообщение
Поделиться на других сайтах
Опубліковано: (відредаговано)

Настроил МТК по вики убиллинга, но на него нет выгрузки статик лиз и правил файрвола, неподскажите куда посмотреть?

Версию RouterOS уточните. Проверьте, что user имеет права read, write, api и что биллингу разрешено управлять с ip адреса биллинга

 

В какой момент убиллинг делает выгрузку настроек в МТК? можно ли ее принудительно форсировать?

Биллинг передает настройки сразу после добавления НАС, но только пользователей с неотрицательным балансом на счету. Форсировать - ну можно рестарт stg сделать.

Відредаговано mac
Ссылка на сообщение
Поделиться на других сайтах

 

Настроил МТК по вики убиллинга, но на него нет выгрузки статик лиз и правил файрвола, неподскажите куда посмотреть?

Версию RouterOS уточните. Проверьте, что user имеет права read, write, api и что биллингу разрешено управлять с ip адреса биллинга

 

В какой момент убиллинг делает выгрузку настроек в МТК? можно ли ее принудительно форсировать?

Биллинг передает настройки сразу после добавления НАС, но только пользователей с неотрицательным балансом на счету. Форсировать - ну можно рестарт stg сделать.

 

ROS ver 6.32.4, также пробовал 6.34.2, 6.34.3.

Юзер имеет права write, согласно доке юбиллинга, в логе микротика вижу, что по апи пользователь биллинга логинится. В биллинге в настройках наса отображаются интерфейсы и инфо о роутере. Но АЦЛи не добавляются/правятся.

Полный ресет/ресет юзера тоже не помогает выгрузить АЦЛи.

Відредаговано FreeManGH
Ссылка на сообщение
Поделиться на других сайтах

Тогда проверьте напрямую, без туннеля.

Добавьте wan адрес вашего биллинга в микротик

/ip service set api address=IP.OF.BI.LL/32

а в настройках НАС - wan адрес микротик. Проверьте чтобы "API порт" микротика был открыт

Ссылка на сообщение
Поделиться на других сайтах
Опубліковано: (відредаговано)

B догонку. У вас когда pptp туннель установлен пинг проходит между микротиком и убиллингом?

Відредаговано mac
Ссылка на сообщение
Поделиться на других сайтах

не сильно вникал во все что было написано.....но похожая ситуевина может быть если не указал интерфейс смотрящий в сторону людей в расширенных настройках микрота на убилле....

Ссылка на сообщение
Поделиться на других сайтах

B догонку. У вас когда pptp туннель установлен пинг проходит между микротиком и убиллингом?

если по API логинется значит они видят друг друга....только микрот не понимает что от него хотят

Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

    • Від mac
      Глюк в тому, що один (так - тільки один) mac адрес onu існує в білінгу у вигляді строки. Це трохи заважає.
      olt - bdcom gepon.
      Наскільки зрозумів, це виключно проблема реалізації snmpwalk у freebsd, де snmpwalk може на свій розсуд віддати mac адресу не як hex-string, а як звичайний string.
      Можливо snmpwalk тригериться на якомусь символі, мені невідомо.
       
      # tcpdump -vv -i em0 udp port 161 and host olt and host ub | grep "3320.101.10.4.1.1.241 ... olt.snmp > ub.47940: [udp sum ok] { SNMPv2c C="*****" { GetResponse(44) R=93278354 E:3320.101.10.4.1.1.241="8LO"W*" } } ub.47940 > olt.snmp: [udp sum ok] { SNMPv2c C="*****" { GetNextRequest(34) R=93278355 E:3320.101.10.4.1.1.241 } } snmpwalk -c***** -v2c -t5 olt .1.3.6.1.4.1.3320.101.10.4.1.1 SNMPv2-SMI::enterprises.3320.101.10.4.1.1.241 = STRING: "8LO\"W*" snmpwalk -Ox -c***** -v2c -t5 olt .1.3.6.1.4.1.3320.101.10.4.1.1 SNMPv2-SMI::enterprises.3320.101.10.4.1.1.241 = Hex-STRING: 38 4C 4F 22 57 2A  
      Це стосується таких параметрів у snmp конфізі bdcom
       
      [signal] MACINDEX=".1.3.6.1.4.1.3320.101.10.4.1.1" [misc] ONUINDEX=".1.3.6.1.4.1.3320.101.11.1.1.3"  
      За для усунення глюку спробував трошки змінити код і завдати тип snmp параметру явно у ./api/libs/api.ponbdcom.php у function collect()
      Це працює. Мабуть станеться у нагоді:
       
      # diff api.ponbdcom.php{.new,.bak} 37c37 < $onuIndex = $this->snmp->walk('-Ox ' . $oltIp . ':' . self::SNMPPORT, $oltCommunity, $onuIndexOid, self::SNMPCACHE); --- > $onuIndex = $this->snmp->walk($oltIp . ':' . self::SNMPPORT, $oltCommunity, $onuIndexOid, self::SNMPCACHE); 91c91 < $macIndex = $this->snmp->walk('-Ox ' . $oltIp . ':' . self::SNMPPORT, $oltCommunity, $macIndexOID, self::SNMPCACHE); --- > $macIndex = $this->snmp->walk($oltIp . ':' . self::SNMPPORT, $oltCommunity, $macIndexOID, self::SNMPCACHE);  
      P.S. Створив тему, а зараз міркую: а може це глюк у ПЗ olt. Оновлю фірмваре olt та перевірю...
       

    • Від Туйон
      Отличие от обычной SXT5 - гигабитный порт и лицензия 4 уровня (может быть не только бриджом а и точкой доступа).
      Старенькая, АС-стандарт не поддерживает.
      В своё время мегабит 160+ вроде качала.
      Где-то возможно в том же гараже есть вторая такая же, если надо - могу поискать.
      Внешнее состояние нормальное. Чуть пожелтела но трещин и т д нету.
      В комплекте сама точка и хвостик крепления (вставлятся в саму антенну).
      РОЕ где-то в работе до сих пор, но подойдут любые.
      Цена.. пусть для начала будет 1000 грн.
      Проверена в комнате "на коленке", дам время на полноценную поверку, а то мало ли (года два лежала отдыхала).
      Желающие пишите в ЛС.
       
      https://www.technotrade.com.ua/Products/MikroTik_SXT_G_5HnD.php
    • Від independent
      Mikrotik rb4011igs+5hacq-2hnd-in
      Б/в.
      Ціна 5075 грн
       
      https://www.olx.ua/d/uk/obyavlenie/mikrotik-rb4011igs-5hacq2hnd-in-IDWH6Lo.html
    • Від independent
      Mikrotik rb4011igs+5hacq-2hnd-in б/в.
      Продається в результаті великого енергоспоживання від дбж.
       
      Ціна 6100 грн
       
      https://www.olx.ua/d/uk/obyavlenie/mikrotik-rb4011igs-5hacq2hnd-in-IDWH6Lo.html
    • Від Plastilin
      Вітаю. Маю наступний комплект. Ubilling на Debian + Mikrotik CHR як маршрутизатор. Наче все запустилось, але виникло питання яке не вдається розрулити. Читав Wiki, ковиряв, читав знову Wiki, знову ковиряв - не допомогло.
      Чи можливо якось визначити конкретну IP адресу з пулу який видає Mikrotik клієнту через Radius? Мені пропонує обрати наступну вільну адресу з пулу при спробі зміни адреси?
      З цього з'являється додаткове питання, чи можливо контролювати доступ користувачам у яких IP назначений статично, тобто прописаний вручну? Наприклад при зміні статусу не активний - пхати до Firewall Mikrotik правила заборони доступу з IP адреси визначеної вручну, навіть якщо вона не отримана по DHCP.
       
      UPD: з першою частиною знайшов: IP_CUSTOM=1 в alter.ini 
×
×
  • Створити нове...