Odisiel router - nahrada - ist do MikroTiku?

[felipe25]

Zdravim.

Asi si pamatate na moje dlhe clanky, kde boli problemy so stahovanim neleg. sw. Vase rady poznam, mam predstavu co to obnasa, ale opat a definitivne sa pytam.

Dnes odisiel hlavny router, co spravuje cca 10 routrov pod sebou a nejakych +-30stol pc. Islo o wifi router airlive 3000r, zrazu neprideluje IPcky, aj ked svieti. Wifi na nom bolo vypnute.

Otazka: kedze to potrebujem "neuveritelne" rychlost opravit a nahodit opat aby to slo - mam ist do MikroTiku? Nebudem mat problem co sa tyka uplne zakladneho nastavenia: nastavenie wan IPcky cez web rozhranie, a dhcp pridelovanie IPciek pre klientov?

kludne by to mohol byt aj router bez wifi, pozeral som: Mikrotik RB260GS nastav. 5x Gbit + 1xSFP switch. Stoji cca 35€ a ma 5Gbit porty? Wifi nema ale ako pisem, na tom hlavnom routri som to vypol /mal toho co spravovat aj tak dost/.

Ja sa len obavam, ze ked nieco nepojde, nebudem to vediet tak lahko opravit ako teraz, alebo sa nemam bat? Zadam IP, nahodim web rozhranie a lahko urobim co treba?
Chcem sa uz niekde posunut, a teraz je dobry cas, kedze povodne zariadenie odislo a aj tak tam dam poziadavku kupit nove. A casom by som sa s tym pohral a nastavil autorizaciu /prihlasovanie/ cez ten mikrotik.
Takze, mam vziat MiktoTik, alebo radsej obycajny lepsi router dajme tomu TP-Link 1043ND?

Optimisticke rady ako dat tam server PC Linux su sice skvele, ale financne neralne. Mozem sa max. rozhodnut, ci tam dam router mikrotik alebo tp-link.
Pravdu povediac - aj ten povodny odideny airlive, ale aj tp-link - skusenosti su take, ze raz za 1-2tyzdne ich aj tak musim manualne resetnut, alebo tam niekoho poslat aby vypol istic /zariadenia niesu dostupne/. Bude treba takto resetovat aj Mikrotik? Predsa len, pod sebou bude mat 10routrov a max 50 PC pripojenych kablom cez switch.

Len sa obavam, ci bude konfig - zatial zakladny taky lahky, ze ma to nedonuti olutovat to /siet musi fungovat na 100% ako s airlive, inac budem pocuvat.../. Ano, za 50€ sa vela neda, ale je sanca ist do mikrotiku tak o nej uvazujem, aby som sa s tym aj sam naucil robit. Nebude mikrotik - nikdy sa to nenaucim...
KJa som vystraseny lebo som niekde vedla v threade cital ze aj nastavenie a zapnutie dhcp pre klientov nieje lahke a pod... (co ma iny router zapnute automaticky..)

[mp3turbo]

>> Dnes odisiel hlavny router, co spravuje cca 10 routrov pod sebou

nerozumiem ako "spravuje" - zrejme len tak ze prideluje DHCPckom IP adresy, a to zase nie je az taka hrozna funkcionalita. Ze mal toho spravovat "ajtak dost" si nejaky valny komentar nezasluzi

Ci ist do mikrotiku ? Neviem.

/ip address add address=1.2.3.2/30 interface=ether1 [pridaj verejnu adresu 1.2.3.3 na interface ether1 ktory je pripojeny do internetu]
/ip route add gateway=1.2.3.1 [nastav default gateway. Samozrejme tieto cisla nahradis tak ako to mas od tvojho providera]
/ip address add address=192.168.54.1/24 interface=ether2 [nakonfiguruj druhy interface na vnutornu siet]
/ip firewall nat action=masquerade out=interface=ether1 [pridaj NATkovanie celej vnutornej siete co ide von cez interface ether1]
/ip dns set primary=8.8.8.8
/ip dns set secondary=8.8.9.9 [nastavenie dvoch DNS serverov aby mikrotik vedel rozlisovat mena DNSkom]


a uz mas verejnu IPcku a ides do internetu s celou sietou 192.168.54.* schovanou za Mikrotikom. Podobne funguje aj nahodenie DHCP servera, tam dokonca mozes vyuzit cuvacieho asistenta rozbehu do kopca teda pardon konfiguracneho asistenta :

/ip dhcp-server config
a len popravde odpovedas na polozene otazky. Fakt zlozite jak howado a hlavne ta to NIKDY NESKLAME. Vytvori to /ip pool (rozsah adries pre vnutornych klientov) a /ip dhcp-server (zapne ho). Rucne si ich mozes pozriet.


doporucujem /ip services disable [vsetko okrem ssh]
/ip firewall dst-address=[adresa mikrotiku] src-address=!192.168.54.0/24 action=drop [vsetko co NEprichadza zo zdrojovych adries 192.168.54.* teda z vnutornej siete ma zakazany pristup na ssh - samozrejme tym si odstrihnes moznost spravovat to zvonku, cize pred toto pravidlo treba vlozit podobne ktore to povoli z konkretnej adresy/adries napriklad od teba z domu a podobne]
/password [nastavit heslo]


Pisem z hlavy, ten masquerade mozno ma byt action=src-nat ale myslim ze obidve veci by chodili. Cez webovy interface je to samozrejme este jednoduchsie, pripojis sa na standartnu adresu 192.168.88.1 a ides.


Dokumentacia : http://wiki.mikrotik.com/wiki/Manual:TOC
vyzera to desne na prvy pohlad ale to je dan za obrovsku funkcionalitu.

[643]

nechcem tu nejako moc do tohto skakat, ale nieje nahodou Mikrotik RB260GS len switch ... a ty hladas router ... napr. Mikrotik RB750GL? cena sa samozrejme meni z 35e na 50e ... ale aj tak, myslim, ze by si bol spokojny, a ako turbo pise, je to ine kakao... a sam sa chces posunut dalej... aj ked, hm... rozmyslam ked to uz rozbehas, nejako extra sa v tom sparat asi nebudes, lebo ako pises, chces tam mat 100% funkcnost... cize by to chcelo nejaky sandbox tj. 2kus na hranie

[mp3turbo]

vidis to, konkretny model som nepozeral - to ma nenapadlo.

Skusanie a hranie : mas predsa virtualne masiny s ktorymi porobis zazraky. Co sa tyka licencii respektive zlamanych verzii pre x86 (aby si to mohol spustat na hociakom beznom pocitaci, notebooku atd), to snad tiez nie je az take zlozite. Ruske fora su napomocne ako vzdy. A mozes mat kludne aj 10 virtualok na hranie navzajom, kazdej nastavis 32MB RAM a ides.



Zabudol som reagovat na toto:
==================================================
Pravdu povediac - aj ten povodny odideny airlive, ale aj tp-link - skusenosti su take, ze raz za 1-2tyzdne ich aj tak musim manualne resetnut, alebo tam niekoho poslat aby vypol istic /zariadenia niesu dostupne/. Bude treba takto resetovat aj Mikrotik? Predsa len, pod sebou bude mat 10routrov a max 50 PC pripojenych kablom cez switch.
==================================================

poznam mikrotiky co tahaju STOVKY LUDI s par MESIACMI uptime as trafficom presahujucim gigabit za sekundu. Nespominam si na pripad ze by sa Mikrotik resetoval z ineho dovodu ako upgrade na novsiu verziu. Neviem ci treba nieco viac vysvetlovat.

PS: dokonca este aj ked sa pokazi harddisk na i386 platforme, este aj vtedy ten mikrotik bude bezat do aleluja az pokial ho neresetnes. Potom sa samozrejme nema odkial nacitat

[Hrochy]

MikroTik, uspori ti to kopec problemov. Ten den hrania sa s tym (ak neriesis command line CISCO, Alcatel, HP) za to stoji.

[felipe25]

to uz rovno toto:

Mikrotik RB951G-2HnD, 600MHz,128MB RAM,RouterOS L4

ma to gbit, a aj wifi pre istotu...

sice cena je 65€, ale to obhajim vyssou spolahlivostou

[mp3turbo]

ako rychle mas pripojenie do internetu, kolko paketov za sekundu robis ? Zneuzivaju ludia bittorrenty [=obrovsky pocet spojeni] ?

A vlastne co sa blbo pytam, ked doteraz stacila mydlova krabicka do ju trebalo raz za tyzden prekotit zo schodov, tak s tymto mikrotikom budes na tom tak ako presadnut z Lada-y 2101 do uplne novuckeho LaFerarrry.

Ked budes potrebovat poradit s konfiguraciou mikrotiku, vies kde nas najdes.

[felipe25]

tak dal som poziadavku na Mikrotik RB951G-2HnD, 600MHz,128MB RAM,RouterOS L4 a je schvalena takze

pripojenie je cisty 1Gbit. Je to cez nejaky projekt, kedze v danom ubyt. zariadeni byva aj cast VS, a dokazali tu dat sanet /aj ked su tu aj pracujuci a pod./.
prve zariadenie je vsak uuz iba 100Mbit switch (ked som chcel po vyhoreni stareho dat 1Gbit, cenovo mi to nepreslo),takzue tak

ci ludia zneuuzivaju torrenty? chcel by som ich nejako jednoducho zablokovat, hromadne cez tento mikrotik - ide to - tie torrenty. aspon pre zaciatocnikov - zablokujem port a bodka.

pod tymto routrom su ale aj dalsie routre /tp link/, takze neviem, ci ked osoba pod tplinkom bude tahat torrent, ci to mikrotik uvidi, kedze pod nim nebude PCuzivatela, ale este router tplink pridelujuci IP a spravujuci cele poschodie.

mam to urobene tak, ze tam kde je hlavny privod - WAN, bde mikrotik, cez switch ide kabel napr na 5 poschodie kde je router pridelujuci IP v rozsahu 192.168.5.xyz, na 6tom je router pridelujuci 192.168.6.xyz. Osvedcilo s ami to vtedy, ked jeden zamestnanec dal WAN kabel do LAN1 portu, (nesiel net a hral sa s tym jak s rozdvojkou - bol vypadokposkytovatela, ked net nabehol nesielnamnet lebo router prideloval svoje IPcky nahodne ahlavny router svoje), a kedze vsetky routre pridelovali 192.168.1.xyz nevedel som co zhadzuje siet a robi bordel s IP.
je mi jasne ze lepsie riesenie je pod Mikrotik dat iba APcka na poschodia, aby on videl vsetkych klientov. k tomu ale az "neskor"!.

[mp3turbo]

vrchny Mikrotik ti uvidi VSETKYCH klientov aj teraz.

Mikrotiky maju v sebe tzv. L7, layer7 filtering, avsak nemam ani trosku odvahu odhadnut ci to dokaze na tom 600MHz čipíku odfiltrovat - viem ze to ide. Dokonca to velmi slusne chyta aj SIFROVANE torrenty !! Blokovanie portu ti nepomoze, riesi sa to na aplikacnej vrstve teda analyzou trafficu co je spominane L7.

Ludia si stale mozu urobit nejaku sifrovanu VPNku niekam von, a neuvidis co je vnutri - teda ani torrenty - a si proti tomu bezmocny. Aj v takychto pripadoch existuje riesenie : uvidis ze vsetko traffic daneho cloveka smeruje na jednu jedinu vonkajsiu adresu, uvidis mnozstvo dat ktore prenasa, mozes zakrocit napriklad znizenim rychlosti tomu cloveku (/ip graph teda grafy nech ti pomahaju). Kazdeho jedneho uzivatela mozes mat na grafe... a vidis kto je najhorsi hajzlik

Gigabit : tento router sice uroutuje gigabit, avsak nepredpokladam ze to dokaze s 30timi zavesenymi ludmi. Odskusas, uvidis, rozhodne sa bavime o uplne inych cislach ako 100Mbit. Prve zariadenie 100Mbit... vraz PRED NEHO novy mikrotik, budes mat gigabit, switch ak sa muzi pouzit tak nech sa pouziva ako doteraz ale ZA mikrotikom. Ty budes mat gigabit cez ine porty a budes spokojny.

Nechapem preco IPcky poskytuje klientom na kazdom poschodi nejaky router samostatne - mali peniaze na to aby kupili MUDRE ZARIADENIA, namiesto toho aby kupili HLUPE LACNE SWITCHE ktorymi by tie poschodia proste prepojili a vsetky adresy by sa rozdavali centralne z nejakeho jedneho bodu. Ach jo.


S grafmi aj torrentami ti poradim - ked to budes mat nahodene, daj vediet. Ako vravim, tipujem ze filtrovanie torrentov zabije ten maly mikrotik, na to zrejme bude treba normalny pocitac lebo ten ma uplne inu silu. Ved ale skusit moze, lahko sa vypne, lahko sa zapne. Uvidis.

[felipe25]

takze... mikrotik kupeny, zatial som ho este nenahodil, hladal som navody, co a ako.

kedze chcem rozbehat aj "nutene" loginovane a hesla pre vsetkych userov /aby si nemysleli, ze si mozu na nete robit cokolvek/, pozeram navody co sa da a ako.

nasiel som toto:
https://www.youtube.com/watch?v=Mka4HpJQfZM

otazka1:
podla tohto to ale funguje iba v sieti wifi1 na danom mikrotiku.
predpokladam, ze toto mi urobi hotspot iba pre ludi, co sa budu napajat na dany mikrotik wifi, nie na wifi pre zariadenia pod tymto mikrotikom, nie?

ako urobit nieco podobne, ale tak, ze mame siet
1. mikrotik hlavny router
z neho idu 4 kable:
z portu1 na 8 poschodie do routra2, v ktorom su napojene dalsie 2APcka AP1 a AP2
z portu 2 na 6 poschodie do routra3, v ktorom je napojene jedno APcko AP3
z portu 3 na 4 poschodie do routra4, v ktorom je napojene jedno APcko AP4.
preco mam routre na poschodiach? neviem why, ale myslel som si, ze ak na "koniec" poschodia dam router ktory vsetky poziadavky userov na danom poschodi "spracuje", odbremenim router hlavny, ktory nebude vidiet 50PC na 8poschodi, ale len 1PC - ten router.- a poziadavky takisto len "jednej" namiesto 50tich..
predsa len, 8rokov tam bezal router za 1000sk... teraz to vidim ako chybu, kedze vsade trebalo davat APcka.. a switche.

Vsetky zariadenia maju wifi, cize router2 3 4 vysielaju wifi siet, bez hesla. APcka maju kazde svoje SSid zvlast.
Neexistuje jedina siet, ktora by mala rovnake SSID s inou.

Teda, ako dovolit mikrotiku spravovat userov?
Na routroch vypnut DHCP pridelovanie IPciek, nechat nech prideluje mikrotik? tym padom by mikrotik videl aj podsiet pod AP2 nie?
Alebo je to cele zle, a mam sa skor orientovat na napojenie:

mikrotik, z portu1 do AP1 a AP2 ? routre vyhodit a nahradit ich switchmi?
ale aj tak vytvorenie toho hotspotu podla videa na youtube mi asi nebude fungovat na APckach, kedze tie maju vlastne wifi pravidla.

SKor by asi trebalo "hotpot ale pre kablove spojenie"? ak chapete co tym myslim.. kedze AP1 je kablom spojene s mikrotikom, uz asi hotspot nastavenie pre wifi nehra ulohu. alebo nastavim hotspot pre eth1?

momentalne to vyzera asi tak ako v subore...

[mp3turbo]

preco si nepozries /ip hotspot setup ?

z wikipedie vyberam, kedze vlastny hotspot neprevadzkujem :

[admin@MikroTik] /ip hotspot> setup
Select interface to run HotSpot on

hotspot interface: ether3 [ chcel si ethernet, ze ? bacha, tvoj port nemusi byt ethernet3]
Set HotSpot address for interface

local address of network: 10.5.50.1/24
masquerade network: yes
Set pool for HotSpot addresses

address pool of network: 10.5.50.2-10.5.50.254
Select hotspot SSL certificate

select certificate: none
Select SMTP server

ip address of smtp server: 0.0.0.0
Setup DNS configuration

dns servers: 10.1.101.1
DNS name of local hotspot server

dns name: myhotspot
Create local hotspot user

name of local hotspot user: admin
password for the user:
[admin@MikroTik] /ip hotspot>




>> kedze chcem rozbehat aj "nutene" loginovane a hesla pre vsetkych userov /aby si nemysleli, ze si mozu na nete robit cokolvek/ ...

tak potrebujes napriklad L2TP tunelling, kazdy uzivatel bude mat vlastne sifrovane spojenie, meno, heslo, cely tunel sifrovany, nikto od neho nic neuvidi. Viacere vyhody, nejake nevyhody samozrejme. Meno a heslo do web interfejsu hotspotu s tymto neznesie porovnanie, avsak ani nutnost prestavit existujuce routre na obycajne switche/koncentratory.

To co chlapec nastavoval v linkovanom videu je naozaj funkcne iba pre wifi - ale len preto lebo si vybral wifi interface. Ano, tyka sa to len ludi pripojenych na wifi mikrotiku, co ale nebude tvoj pripad - ty to proste pustis cez kabel.



>> Teda, ako dovolit mikrotiku spravovat userov?

jednoducho, zapnes DHCP s prislusnym poctom vnutornych adries - ked mas 1000 klientov, asi ti nebude stacit 256 adries, samozrejme.



>> Na routroch vypnut DHCP pridelovanie IPciek, nechat nech prideluje mikrotik? tym padom by mikrotik videl aj podsiet pod AP2 nie?

myslim si ze to tak mozes urobit - moznosti je viacero, ale router by som degradoval do pozicie hlupeho stroja a prehadzovaca paketov. Ani routing by som mu nedal robit, i ked na 80 chlapovej sieti sa to uz moze hodit (su dovody aj preco to mat na jednom jedinom tcp/ip subnete a su aj dovody preco to nemat).