Mikrotik Routerboard. Edson Lima 2015 Conhecimento só é válido quando compartilhado.

Transcrição

1 Mikrotik Routerboard Edson Lima 2015 Conhecimento só é válido quando compartilhado. O trabalho Mikrotik - Routerboad de Edson Aparecido de Lima está licenciado com uma Licença Creative Commons - AtribuiçãoNãoComercial-CompartilhaIgual 4.0 Internacional.

2 Agradecimento Agradeço a Deus e aos meus familiares por tudo o que sou e pelo que acredito. Agradeço aos meus mentores espirituais e a todos professores e mestres que passaram por minha vida e que compartilharam seus ensinamentos. Dedicatória Dedico este trabalho aos meus companheiros de trabalho da Desktop Sigmanet, ao meu amigo, Denio Alves, quem me abriu as portas pela segunda vez nesta empresa, ao meu irmão, Everaldo Lima, que novamente divide o ambiente de trabalho comigo e ao Lucas Pimentel, que aceitou esse desafio e foi o primeiro integrante da minha equipe. Objetivo deste trabalho Basicamente este trabalho foi realizado com o intuito de auxiliar minha equipe no suporte aos clientes Premium da Desktop Sigmanet, mas as informações aqui contida ficaram boas e fáceis de reproduzir que eu decidi liberar para fora da empresa. Espero que possa ser de valia para quem deseja estudar e aprender sobre algumas funções das Routerboards, assim como foi de grande valia para o meu pessoal. Hortolândia, junho de Página 2

3 Capitulo 1 O que é Mikrotik MikroTik é uma empresa da Letônia, fabricante de equipamentos para redes de computadores. Vende produtos wireless e roteadores. Foi fundada em 1995, com intenção de venda no mercado emergente de tecnologias wireless. Seus equipamentos são muito utilizados por provedores de banda larga e empresas dos mais variados segmentos (hotéis, pousadas, universidades, empresas, etc) em todo o mundo, em função de sua conhecida estabilidade e versatilidade. RouterOS O principal produto da empresa é o sistema operacional baseado em Linux chamado MikroTik RouterOS. Ele permite que qualquer plataforma x86 torne-se um poderoso roteador, com funções como VPN, Proxy, Hotspots, Controle de Banda, QoS, Firewall, dentre outras, que variam de acordo com o nível de licença do sistema adquirido. Com o RouterOS pode-se criar uma rede muito segura, com um firewall eficiente e concatenação de links. Além disso, o sistema conta com o suporte de protocolos de roteamento, entre eles BGP, RIP, OSPF, MPLS, etc. Para a administração deste ambiente, os seguintes métodos estão disponíveis: Console (CLI) todas as funções podem ser configuradas via linha de comando (teclado e monitor ou remoto) Winbox (GUI) software de configuração que roda em plataforma Windows, Linux ou Mac. Oferece uma sofisticada GUI para o sistema permitindo, também conexões FTP e Telnet, além de acesso por SSH. WEB (remoto) configuração em ambiente web, porém limitado (a partir da versão 5 o webfig ja tem acesso a configuração completa do RouterOS, sendo uma ferramenta muito boa para a su configuração). Dude software que permite a criação e manutenção de toda a rede. Permite o mapeamento da rede e também monitora em tempo real a banda dos links e funciona como ferramenta de monitoramento, indicando quando hosts estão ativos ou caídos. Outras funções/modos de operação são: Roteador dedicado Bridge com filtros em layer2 Firewall com layer7 e diversos filtros Página 3

4 Controle de velocidade, garantia de banda, burst, hierarquia e disciplinas de filas Ponto de Acesso Wireless modo e proprietário, cliente wireless WDS, NSTREME, NSTREME Dual Concentrador PPPoE, PPtP, IPSeC, L2TP, etc. Roteador de Borda Servidor Dial-in e Dial-out Hotspot e gerenciador de usuários WEB Proxy (cache de páginas e arquivos) Recursos de Bonding, VRRP, etc. Virtualização com Xen e MetaRouter Linguagem avançada de scripts Roteamento com OSPF, MPLS, BGP, etc. Ferramentas: watchdog, bandwidth test, torch Existem alguns outros softwares que complementam o RouterOS quando usado em provedores de internet por meio de servidores radius como o MK-AUTH que incluir no mesmo a função de emissão de boletos, corte automático de clientes, emissão de nota fiscal, central do assinante e etc. RouterBOARD RouterBoard é o nome dado a uma série de produtos MikroTik que combina o RouterOS com uma linha de hardware próprio. É projetado para provedores de pequeno e médios porte, oferecendo acesso banda larga via rede sem fios. São equipamentos de rádio ou roteadores compactos, que tem a capacidade de montar links wireless com alta capacidade de tráfego, inclusive utilizando duas antenas e uma configuração especial chamada Nstreme. Além disso, conta com inúmeras ferramentas de análise e monitoramento. Alguns modelos de Routerboards Página 4

5 Capitulo 2 Acessando a routerboard Winbox Equipamentos da Mikrotik possuem uma tecnologia de detecção de vizinhos, ou seja, qualquer dispositivo que estiver conectado diretamente à RouterBOARD, poderá ter acesso às suas configurações utilizando o endereço físico (MAC Address). Neste caso, se você utilizar um cabo RJ-45 (ou wireless) para ligar seu computador a um equipamento Mikrotik, poderá utilizar um software chamado Winbox para acessar suas configurações, mesmo que ele não tenha um endereço IP configurado. Na tela anterior, clique na aba Neighbors e verifique se o seu dispositivo está aparecendo para que você faça o primeiro acesso. Página 5

6 Na imagem acima você pode perceber que o Winbox já detectou uma RB433 da Mikrotik conectada ao computador. Também verá informações como o endereço IP, o endereço físico (MAC Address), a identidade e versão do RouterOS. Neste caso há duas maneiras de acessar o equipamento: por endereço MAC ou por endereço IP. No caso do endereço MAC, simplesmente clique sobre o endereço e o campo Connect to irá ser preenchido automaticamente. Digite o user admin, password em branco, e clique em Connect. Página 6

7 Para acesso via IP, é necessário que você adicione um endereço em sua placa de rede da mesma rede do equipamento Mikrotik. O Endereço IP padrão é , portanto, você pode adicionar o endereço no seu computador, clicar sobre o endereço IP do Mikrotik no Winbox, e fazer o acesso. Página 7

8 Capitulo 3 Configurações básicas Limpando as configurações Ao acessarmos a Routerboard pela primeira vez, uma mensagem aparecerá na tela informando que uma pré-configuração foi realizada. É necessário apagar essas configurações para que possamos criá-las a partir do zero. Clique no botão Remove configuration. Criando uma conexão PPPoE Ao utilizar uma Routerboard em um projeto, devemos tomar algumas decisões e, principalmente, padronizar essas decisões para que tornemos mais fácil a manutenção futura de nossos clientes. Como a Routerboard trabalha com cada porta LAN isoladamente, podemos utilizar essas portas para quaisquer fins, porém, ao criarmos um padrão, ficará menos dificultoso a detecção de problemas. Por padrão, aqui na Desktop, utilizamos a porta 1 para a conexão PPPoE e a porta 2 para distribuição do sinal de internet para a rede interna do cliente. Há casos em que deixamos a porta 5 como backup da porta 1 e as portas 2, 3 e 4 em bridge com a porta 1. Assim como temos outros casos mais específicos e que devem ser tratados em separados por conta de cada projeto desenvolvido. Acesse a Routerboard pelo winbox No menu PPP clique no sinal de + e escolha a opção PPPoE Client. Na janela em que se abre configure como a seguir: Página 8

9 Name: Nome amigável da conexão (Ex. Desktop_Turbo) Interfaces: ether1 Selecione a TAB Dial Out e configure como a seguir: User: login_do_cliente@desktop.com.br Password: senha_do_cliente Use Peer DNS: Marcar Add Default Rout: confirmar se está marcado Clique no botão Comment e na caixa que se abre insira o login do cliente. Clique em Apply e em seguida OK A partir deste momento a Routerboard tentará conectar-se com a rede Desktop solicitando a autenticação. Caso o MAC Address esteja liberado a conexão se estabelecerá, caso contrário será recusada. Como cada porta da Routerboard tem um endereço MAC único, devemos clicar na guia Interfaces, clicar duas vezes na ether1, nossa porta de entrada da internet, e informar no sistema o MAC Address para liberação. Para sabermos se a conexão foi estabelecida, na barra de status da janela da interface PPPoE aparecerá a mensagem Status: connected. Colocando a interface ether2 em modo bridge Ao colocarmos uma ou mais interfaces em modo bridge com a conexão de internet, permitiremos que essas portas selecionadas possam comunicar-se com a interface de internet. Clique no menu bridge, na janela que se abre clique no sinal de + e configure como a seguir: Name: bridge-lan (Ou outro nome amigável para que seja facilmente reconhecido) Página 9

10 Clique no botão Apply e em seguida em OK. Clique na TAB Ports, clique no sinal de + e configure como a seguir: Interface: ether2 Bridge: Escolha bridge-lan Clique em Apply e e seguida em OK. Definindo um IP para a interface ether2 Vamos atribuir um endereço IP para a nossa interface ether2. Clique no menu IP e selecione Addresses Clique no sinal de + na nova janela e configure como se segue: Address: Endereço IP da interface (Ex /24) Página 10

11 Network: Não há necessidade de preencher esse campo. Ao aplicar as configurações ele atribuirá corretamente a rede. Interface: Selecione a bridge Bridge-LAN. Clique no botão Apply e a opção Network preencherá automaticamente. Clique e OK e finalizamos mais uma parte da configuração. Criando Pool de IP's Um pool de IP's é o range de endereço que queremos distribuir para a rede do cliente. No exemplo anterior, em que definimos o endereço para a interface ether2, escolhemos o endereço /24. Sendo assim, criaremos nosso pool da mesma rede e identificaremos o intervalo que liberaremos para a rede de computadores. Clique no menu IP e selecione Pool Clique no sinal de + e na janela que se abre configure como a seguir: Página 11

12 Name: Nome amigável do pool (Ex. DHCP) Addresses: Intervalo do range excetuando o IP da interface ether2 (Ex ) Clique em Apply e em seguida OK. Criando um servidor DHCP Após criado o pool de endereços, temos que criar um servidor DHCP que será o responsável por liberar para os equipamentos conectando à rede os endereços IP's. Clique no menu IP e na opção DHCP Server Clique no sinal de + e na janela que se abre configure como se segue: Name: Nome amigável do servidor DHCP (Ex. dhcp1) Interface: Escolha bridge-lan. Address Pool: Selecione o pool que criamos anteriormente. (Ex. dhcp) Clique em Apply e em seguida em OK. Selecione a TAB Networks e clique no sinal de +. Na janela que se abre configure como a seguir: Página 12

13 Address: /24 Gateway: Netmask: 24 DNS Servers: Informe os DNS's da sua conexão. (Ex. da Desktop e ) Clique em Apply e em seguida em OK. Criando o NAT Clique no menu IP e selecione a opção Firewall. Clique na TAB NAT, clique no sinal de + e configure como a seguir: Out. Interface: Sua conexão com a Internet. (Ex. Desktop_Turbo) Clique na TAB Action e na opção Action selecione masquerade Clique em Apply e em seguida em OK. Com a Routerboard configurada, já é possível navegar na internet utilizando um computador conectado à porta ether2. Página 13

14 Capitulo 4 Roteamento usando OSPF OSPF - Open Shortest Path First O protocolo OSPF foi desenvolvido pelo grupo de trabalho IETF (Internet Engineering Task Force) e é baseado na tecnologia link state para manter as tabelas de rotas. O protocolo OSPF detecta rapidamente mudanças no sistema autônomo, como falhas na interface de roteamento, e calcula novas rotas, livres de loops, após o período de convergência. Este período de convergência é pequeno e envolve o mínimo de tráfego de roteamento. O OSPF calcula separadamente rotas para cada tipo de serviço (TOS - type of service). Quando várias rotas de custos iguais existem para um mesmo destino, o tráfego é distribuído igualmente sobre elas, ou seja, existe balanceamento de carga. O custo de uma rota é descrito por uma métrica. O OSPF permite que um conjunto de redes sejam agrupados. A este agrupamento damos o nome de Área. A topologia de uma Área não é vista pelo resto do Sistema Autônomo. Esta informação oculta permite uma redução significativa no tráfego de roteamento. Da mesma forma, o roteamento de uma Área é determinado apenas pela topologia da mesma, dando proteção a Área de dados de roteamentos errados. O protocolo OSPF permite uma configuração flexível de subredes IP. Cada rota distribuída pelo OSPF possui um destino e uma máscara. Duas subredes diferentes em um mesmo numero IP de rede podem ter diferentes tamanhos (máscaras). Isto é comumente referenciado como tamanho variável de subredes. Um pacote é roteado para melhor combinação. Esta característica é uma grande vantagem em relação ao RIP, que não trata bem o conceito de máscaras. Toda troca do protocolo OSPF é autenticada. Isto significa que apenas gateways confiáveis podem participar do roteamento de um sistema autônomo. Uma variedade de esquemas de autenticação pode ser usado. Um esquema simples de autenticação é configurado para cada Área. Isto permite que algumas Áreas usem autenticação mais restrita que outras. A autenticação é um característica importante pois garante que um pacote não vai ser desviado para um destino que não o correto. Em um protocolo de roteamento baseado no SPF (shortest path first), cada roteador mantém uma base de dados descrevendo a topologia do Sistema Autônomo. Cada roteador participante possui uma base idêntica. Cada parte individual desta base de dados é um estado particular do roteador local (a interface usável do roteador e vizinhos alcançáveis). Todos roteadores executam o mesmo algoritmo em paralelo. Sobre a base de dados topologica, cada roteador constrói uma árvore dos menores caminhos alcançáveis, com ele próprio de raiz. Esta árvore mostra a rota para cada destino de um sistema autônomo. Informações para roteamento externo aparecem como folhas na árvore. Este esquema reduz drasticamente a comunicação entre os gateways, além de permitir uma tomada de decisão muito mais rápida e eficiente a respeito do caminho a ser escolhido. Página 14

15 Exemplo de uma rede roteada usando OSPF. Cenário Temos duas redes, uma /24 que queremos conectá-la com a rede /24 e viceversa. Usaremos a rede /30 para conectar as duas redes. Como já sabemos, uma rede /30 disponibiliza dois endereços IP's para hosts. Configurando a Routerboard RB1 Acesse a Routerboard, clique no menu IP, selecione Address, clique no sinal de +, na janela que se abre e configure como a seguir: Address: /24 Network: Interface: ether2 Clique em Apply em em seguida em OK. Clique novamente no sinal de +, na janela que se abre configure como a seguir: Address: /30 Network: Interface: ether1 Clique em Apply e em seguida em OK. Página 15

16 Agora vamos criar um pool para a nossa rede interna e habilitar o servidor DHCP para distribuição. Clique no menu IP, selecione Pool, clique no sinal de + e configure como a seguir: Name: pool-rb1 Addresses: Clique no botão Apply e em seguida em OK. Clique no menu IP, selecione DHCP Server, clique no sinal de + e configure como a seguir: Name: dhcp-rb1 Interface: ether2 Address Pool: Selecione pool-rb1 Clique no botão Apply e em seguida em OK. Página 16

17 Clique na TAB Networks, clique no sinal de + e configure como a seguir: Address: /24 Gateway: Netmask: 24 Clique no botão Apply e em seguida em OK. Clique no menu Routing, na opção OSPF. Clique na TAB Instances, no sinal de + e na janela que se abre configure como a seguir: Router ID: (Cada Routerboard deverá identificar um ID exclusivo) Redistribute Connected Routes: as type 1 Clique no botão Apply e em seguida em OK. Página 17

18 Clique na TAB Networks, no sinal de + e na janela que se abre configure como a seguir: Network: /30 Clique no botão Apply e em seguida em OK. A configuração da primeira Routerboard está finalizada. A configuração da segunda será igual, mudando apenas alguns valores como a seguir. Menu IP e opção Address: Uma rede interna /24 na ether2 e outra rede para o enlace com endereçamento /30. Crie o pool e o servidor DHCP atribuindo à ether2. No menu Routing e opção OSPF, na TAB Instances mude o Router ID para E, finalmente, na TAB Networks defina a network para /30. Página 18

19 Clicando no menu IP e opção Routes, podemos ver que, automaticamente, a rota para rede /24 é agora alcançada pela ether2 O OSPF permite a divisão de uma rede em áreas e torna possível o roteamento dentro de cada área e entre as diferentes áreas, usando os chamados roteadores de borda. Com isso, usando o OSPF, é possível criar redes hierárquicas de grande porte, sem que seja necessário que cada roteador tenha uma tabela de roteamento gigantesca, com rotas para todas as redes, como seria necessário no caso do RIP. O OSPF é projetado para intercambiar informações de roteamento em uma interconexão de rede de tamanho grande ou muito grande. Página 19

20 Capitulo 5 Tunelamento usando GRE + OSPF Como funciona? O GRE (Generic Routing Encapsulation) é um protocolo de tunelamento que pode encapsular diversos protocolos dentro de túneis IP, criando links ponto a ponto virtuais entre roteadores remotos. O protocolo é extremamente funcional em diversos cenários, pois foi desenvolvido para permitir que redes remotas pareçam estar diretamente conectadas. Como GRE não criptografa as informações que são transmitidas através do túnel, podemos utilizar o GRE em conjunto com outras ferramentas para garantir a integridade das informações. Cenário Assim como no modelo que utilizamos no capítulo acima iremos usar basicamente as mesmas configurações, mas adicionaremos um túnel que ligara as duas redes. A diferença em usarmos o método do capitulo anterior e o que aprenderemos agora, é que podemos conectar duas redes LAN usando a internet. Configurando a Routerboard Acesse a Routerboard, clique no menu IP, selecione Address, clique no sinal de +, na janela que se abre e configure como a seguir: Address: /24 Network: Interface: ether2 Clique em Apply em em seguida em OK. Clique novamente no sinal de +, na janela que se abre configure como a seguir: Address: /30 Network: Interface: ether1 Clique em Apply e em seguida em OK. Página 20

21 Agora vamos criar um pool para a nossa rede interna e habilitar o servidor DHCP para distribuição. Clique no menu IP, selecione Pool, clique no sinal de + e configure como a seguir: Name: pool-rb1 Addresses: Clique no botão Apply e em seguida em OK. Clique no menu IP, selecione DHCP Server, clique no sinal de + e configure como a seguir: Name: dhcp-rb1 Interface: ether2 Address Pool: Selecione pool-rb1 Clique no botão Apply e em seguida em OK. Clique na TAB Networks, clique no sinal de + e configure como a seguir: Página 21

22 Address: /24 Gateway: Netmask: 24 Clique no botão Apply e em seguida em OK. Criando o túnel Clique no menu Interfaces, clique na TAB GRE Tunnel, clique no sinal de + e configure como a seguir: Name: Um nome amigável para o túnel (Ex. gre-tunnel1) Local Address: Remote Address: Keepalive Interval: 00:00:10 Clique no botão Apply e em seguida em OK. Página 22

23 Na segunda Routerboard as configurações são parecidas, devemos criar um pool diferente para a rede LAN e o endereço IP para nosso túnel deverá ser o /30. Após a configuração de ambas as Routerboards com essas informações, já teremos um túnel funcionando. Devemos agora configurar o OSFP para que as redes conectadas nas Routerboards sejam compartilhadas. Configurando o OSFP Clique no menu Routing, escolha OSPF, na janela que se abre clique no sinal de + e configure como a seguir: Interface: Escolha gre-tunnel1 Authentication: Escolha MD5 Authentication Key: Coloque uma senha para o túnel Network Type: Escolha point to point Use BFD: Clique para selecionar Clique no botão Apply em seguida em OK. Página 23

24 Clique na TAB Instances, clique no sinal de + e configure como a seguir: Router ID: (Esse ID deve ser único em cada Routerboard.) Redistribute Connected Route: as type 1 Clique no botão Apply em seguida em OK. Clique na TAB Networks, clique no sinal de + e configure como a seguir: Network: /30 Area: backbone Clique no botão Apply e em seguida em OK. Página 24

25 Na outra Routerboard devemos utilizar os mesmos procedimentos, alterando apenas o Router ID para Feitas as configurações corretamente, uma rede irá se comunicar com a outra usando o túnel. Caso desejemos conectar outras redes, os procedimentos serão os mesmo, devendo um ponto central ser definido para que todas as rotas de túneis passe por ele. Página 25

26 Capitulo 6 Tunelamento Usando EoIP Como funciona? O tunelamento EoIP trabalha na camada 2, ou seja, na camada de enlace. O OeIP assegura que todas as redes conectadas trabalhem como se fossem uma única rede local. Iremos usar o exemplo de um cliente real em que uma unidade central irá fornecer todo o acesso de internet, distribuição de IP's, firewall, etc, para a rede toda. Esta central possui uma Routerboard configurada para acessar a internet e um servidor DHCP que será responsável pela distribuição de IP's para todos os computadores de todas as unidades. Nas demais unidades as Routerboards estarão em bridge com a central e apenas recebem o que esta liberar. Configuração da Routerboard central Primeiro é criada uma conexão PPPoE com a Desktop. No menu Interfaces iremos criar um túnel para cada unidade. Clique no menu interfaces, na TAB EoIP Tunnel e no sinal de + e configure como a seguir: Name: Nome amigável do túnel (Ex. nome da filial) Local Address: IP da unidade central Remote Address: IP da filial Tunnel ID: Um número de identificação único para cada túnel. Clique em Apply e em seguida em OK Página 26

27 Importante Anote todas as informações pois serão utilizadas posteriormente para configurar as Routerboards das filiais. Anote cada Tunnel ID com seus respectivos IP's das filiais pois cada um deve conectar-se corretamente com cada ID. Repita o processo criando um túnel para cada filial. Vamos agora criar uma bridge e adicionar uma porta para cada unidade. Clique no menu bridge, no sinal de + e em seguida no botão OK. Clique na TAB Ports e no sinal de + e configure como a seguir: Interface: ether2 (Interface que irá para a rede interna) Bridge:bridge1 (A bridge que criamos anteriormente) Página 27

28 Clique em Apply e em seguida em OK Repita o processo mudando apenas a Interface para cada túnel das filias criadas anteriormente. Após feito isto estaremos com a Routerboard da central configurada corretamente. Iremos agora configurar as Routerboards de cada filial. Configuração da Routerboard filial Criamos uma conexão PPPoE para a Desktop. Agora vamos criar o túnel da filial para a central. Clique em Interfaces, na TAB EoIP Tunnel e no sinal de + e configure como a seguir: Name: Nome amigável do túnel (Ex. Nome da central) Local Address: IP da filial Remote Address: IP da unidade central Tunnel ID: Um número de identificação único para cada túnel Importante O Tunnel ID deve ser o mesmo Tunnel ID criado na unidade central. Página 28

29 Criando a bridge Para finalizar nosso túnel precisamos criar a bridge e duas portas, sendo uma para interface ether2 e a outra para o túnel conectado à central. Clique no menu Bridge, clique no sinal de + e em seguida no botão Apply e o botão OK. Clique na TAB Ports e no botão + e configure como a seguir: Interface: ether2 Bridge: bridge1 Clique em Apply e em seguida OK Repita o processo novamente e em Interface selecione Tunel_Central. Página 29

30 Repita a operação de configuração da filial em todas as outras localidades. Ao final, um servidor ou roteador com um serviço de DHCP configurado em uma faixa de IP, irá distribuir automaticamente os endereços IP's para cada computador que se conectar em qualquer local, seja na central ou filiais. Considerações acerca do túnel EoIP A configuração de um tunelamento usando EoIP é muito fácil de ser feita, porém, estudos revelam que o consumo de processamento é excessivo e a concentração de todos os serviços em um único ponto, a central, é um tanto quanto delicada. Uma vez que se houver a indisponibilidade da central, todas as filiais ficarão sem serviço, incluindo o acesso à internet. Considerações finais Com uma Routerboard podemos criar estruturas mais complexas bem como receber vários links de internet e balanceá-la em uma única porta. A criação de VPNs para clientes da Desktop é bastante comum, sendo assim, o constante aprendizado e aperfeiçoamento de técnicas para o desenvolvimento de soluções utilizando as Routerboards se faz necessário para todos os colaboradores do Suporte Premium Desktop. Página 30