Potreban savet vezano za topologiju mreže

U tom slucaju je EoIP rjesenje, jer propusta layer2 saobracaj preko layer3 saobracaja, naravno jos podesiti na MT-u da propusta samo broadcast pppoe zahtjeve i problem je rijesen.

U tom slucaju je EoIP rjesenje, jer propusta layer2 saobracaj preko layer3 saobracaja, naravno jos podesiti na MT-u da propusta samo broadcast pppoe zahtjeve i problem je rijesen.

i kad kroz EiOP treba da prodje 10 mb (a na RB) - onda imas problem jer se CPU zakucava do 100%...

Kako ces podesiti da samo propusta broadcast pppoe zahteve ??? :D
Imal ko kakvu ideju ? u ostalom kako na mikrotiku uopste bilo sta raditi sa broadcast saobracajem a da se ne koristi bridge :D

PPPoE server i EoIP tunel stavi u bridge. U bridge filterima definiraj da ti propusta samo pppoe-session i pppoe-discovery.

Nisam stigao ranije da se zahvalim, zaista puno korisnih informacija sam saznao. Dakle evo, ovom prilikom se zahvaljujem svima koji ste potrošili svoje vreme i ostavili post.

Ne bih da pokrećem novu temu pošto ovo što bih želeo da pitam nekako potpada pod isto :)

Situacija: Podignut je jedan freeradius koji se nalazi na određenoj IP adresi i vidi se sa svakog mikrotika (naglašavam pošto se momentalno nalazi spolja). Ideja je da se na svakom MikroTiku podigne po jedan PPPoE server koji se obraća tom radiusu. Radius bi vozio sve vezano za accounting i pri pokretanju pppoe sesije setovao bi bandwith limit na mikrotiku. Ovo sve iz razloga da se bandwith limiting poveri upravo većem broju MT-ova kako bi se rasteretio ruter (linux mašina, nije toliko bitno za priču). Uglavnom, sve pomenuto radi, izuzev toga što ne postoji ruta od klijenta do glavnog rutera.
Pitanje: Kada PPPoE server spusti adresu klijentu, kako treba da izgleda ruta kako bi klijent mogao da vidi ruter (neka se na ruteru nalazi NAT ili nešto peto, samo me zanima kako uopšte sa klijenta da stignem do rutera u ovoj režiji, ukoliko je to uopšte moguće).


Hvala,
Ljubomir

Potpis

LjubeX

Neznam jesam li te najbolje razumjeo, ali trebas definirati adrese u poolu. Na PPPoE serveru, ili radius serveru postaviti da koriste taj pool. Mikrotik ce klijentu dodjeliti IP adresu iz tog poola i napraviti dinamicku rutu. Ukoliko koristis lokalne adrese umjesto javnih, potrebno je da postavis masquerade za te adrese.
dalje sa tog APa ti treba ruta kojoj je destinacija 0.0.0.0/0 a gateway ip adresa tvog glavnog routera.

Vidi, PPPoE se obrati radiusu za pool (u konkretnom slučaju je to samo jedna testna adresa, ali radi i sa pool-om). MikroTik uspe tu adresu koju dobije od radiusa da prosledi i da je dodeli klijentu. Podigne se pppoe interface na MikroTiku i win klijentu se dodeli adresa. Napravi se i dinamička ruta. Masquerade stoji na glavnom ruteru. I stoji i ruta kojoj je destinacija 0.0.0.0/0 i za gateway ima adresu glavnog rutera. Znači to je sve ispunjeno.

Konkretan primer:
Glavni ruter: 10.0.0.1
Radius: 212.200.x.x (van lokalne mreže)
MikroTik AP: 10.0.0.2
Windows klijent koji se kači na MT AP: 10.0.0.15
Među adresama se nakon povezivanja windows klijenta pojavi adresa pppoe interface-a: 10.0.0.2, network: 10.0.0.15 (pretpostavljam zato što PPPoE pravi netmasku 255.255.255.255)

Sa AP-a do momenta povezivanja win klijenta je moguce videti i glavni ruter i internet. Kada se okaci win klijent, pojavi se dinamička ruta (neispravna pretpostavljam) i od tada se ne vidi internet ni gateway sa AP-a. Sa Win klijenta se vidi adresa 10.0.0.2 (remote strana PPP-a u njegovom slučaju).

Nadam se da sam detaljno opisao situaciju.

Hvala,
Ljubomir

Potpis

LjubeX

Ovaj problem je rešen, problem je bio u povratnoj ruti (od rutera ka klijentu).


Sada se nameće jedno novo pitanje:
Ko brine o tome da se IP adrese klijentima dodeljuju jednoznačno? Na radiusu postoji recimo neki address pool. Ali kada se konkretan PPPoE server obrati radiusu za adresu, zar neće on od radiusa dobiti kompletan pool i slobodu da sam izabere IP adresu iz poola koju želi da dodeli klijentu pod sobom? U jednom od pređašnjih scenarija ovde je postojao jedan PPPoE i on sam je imao svoj pool i brinuo je o tome. Kako se to rešava u ovakvom slučaju kada postoji više PPPoE servera?

I jedno možda trivijalno pitanje:
Kako klijentu spustiti adresu DNS servera (bez da se ona setuje na svakom PPPoE serveru)? U listi reply argumenata koje Radius vraća drugar i ja nismo uspeli da nađemo parametar za DNS. Može li da se napravi neka sinteza PPPoE-a i DHCP-a gde bi svi pitali JEDAN DHCP i za adresu (rešen problem jednoznačne dodele adresa) i za DNS?


I ponovo hvala :)
Ljubomir

Potpis

LjubeX

Dns podesavas na svakom APu. nevidim potreba za DHCP server i IP adrese na strani klijenta ako koristis PPPoE. Mislim da nemas nikakve koristi od DNS servera koji postavi DHCP server na ethernet/wireless interfejsu ako koristis PPPoE.

Ne, nije poenta bila u korišćenu DHCP-a uz PPPoE (jer to zaista nema smisla), nego je to samo bio predlog za centralizovano izdavanje adresa. Kako god, trenutno stoje fiksirani pool-ovi na svakom AP-u i unapred se brine o tome da se ne preklope, i na svakom AP stoji isti DNS. U svakom slučaju ako neko ima ideju kako se centralizovano mogu izdavati adrese bilo bi lepo da podeli sa nama :) Na primer, pouzdano znam da SBB na svakom svom koncentratoru drži po jedan PPPoE, ali njima to centralizovano izdavanje adresa ipak nekako radi. A da, i oni koriste MikroTik (doduše ne wireless :) ). Pozdrav i hvala.

Ljubomir

Potpis

LjubeX

Pozdrav još jednom :)

U slučaju kada je neophodno dodeliti PPPoE serveru IP adresu, kako je najefikasnije starati se o sigurnosti takve mreže? Dakle, bridge na kom PPPoE sluša ujedno nosi i IP adresu samog AP-a. Pretpostavimo da je čovek nekako došao do WEP ili WPA ključa i da je uspeo da se nakači na wireless. Kako se odbraniti od toga da on "divlje" setuje sebi statičku adresu. Tj, ako je setuje da ne može nikoga sem sebe da vidi. Pretpostavljam da bi nekim firewallom koji stoji na svakom AP-u to moglo da se reši, ali kako se onda odbraniti od IP address konflikta?


Pozdrav,
Ljubomir

Potpis

LjubeX

Pogledaj pod Static ARP, mada to nece raditi bas u svim situacijama.

Potpis

http://pedja.supurovic.net - http://wireless.uzice.net - Besplatni .RS domeni - Mikrotik uputstva - YT9TP - OpenStreetMap Srbija

Probao bih da se klonim ARP-a, deluje mi da nije toliko teško isklonirati MAC adresu itd itd ... Momentalno se kolega i ja mučimo ovde sa tim da se PPPoE server koji sluša na interface-u koji nema IP adresu, nekako predstavi radius-u (koji je naravno negde spolja i ima adresu). Dakle, je li ovo uopšte moguće: znači, PPPoE sluša na interface-u koji nema adresu a pri "predstavljanju" radiusu se "oslanja" na neki interface koji ima adresu (grubo opisno govoreći).

Pozdrav

Potpis

LjubeX

Kao sto rekoh pogledaj pos Static ARP. Kada to namestis onda MT nece komunicirati ni sa jednim uredjajem u mrezi ciji IP i MAC par nema unapred podesen. Tako, ako neko pocne da divlja, nece nigde stici jer ce mu konekcija raditi samo ako pogodi IP i MAC par.

A moras da koristis IP na fizickim interfejsima preko kojih ide i PPPoE, recimo za komunikaciju izmedju rutera ili servera (mada ti to nikako nije dobr da radis), onda mozes da ogranicis IP opseg tako da onaj ko divlja ne moze da se uglavi u te IP adrese. Poslednja opcija je da dignes hotspor, posto on izoluje korisnike te tako taj sto divlja nema nista od divljana (hotspot cak moze da forsira korisniku IP adresu bez obzira sta on da podesi kod sebe).

Medjutim, mislim da si ti tu nesto pogresno zamislio, posto je to sto hoces da postignes nesto sto ne bi trebalo raditi.

Potpis

http://pedja.supurovic.net - http://wireless.uzice.net - Besplatni .RS domeni - Mikrotik uputstva - YT9TP - OpenStreetMap Srbija