Межсетевой экран, брендмауэр или Firewall выполняет фильтрацию пакетов являясь таким образом инструментом обеспечивающим безопасность и управление потоками данных, проходящими через маршрутизатор. Вместе с трансляцией сетевых адресов NAT файервол служит инструментом предотвращения несанкционированного проникновения в сеть компании. Возможно и наоборот применением фильтрации пакетов совместно с транспарентными Proxy серверами и NAT добиться запрета на использование определённых ресурсов и внешних сетей. Полезно Firewall использовать для ограничения доступа к заведомо незащищенным службам. Он может служить препятствием для внедрения ложных данных с помощью уязвимых служб злоумышленником. Также через него возможен контроль доступа к узлам сети, регистрирование попыток доступа как извне, так и из внутренней сети. Можно регламентировать порядок доступа к сети, осуществлять уведомление о подозрительной деятельности, попытках зондирования или атаки на узлы сети или сам экран. 

Научимся создавать сеть между удалёнными друг от друга офисами, находящимися например в разных городах или даже странах на примере MikroTik. Такие сети можно строить между любыми маршрутизаторами имеющими PPtP сервера и клиенты. Будь то Windows Server или DD-WRT вы тоже их сможете соединить с вашим MikroTik по стандартному тунелирующему протоколу PPtP. Будем рассматривать простой случай - два маршрутизатора марки MikroTik и необходима сеть на третьем уровне OSI.

Настройка начинается с активации PPtP сервера на первом MikroTik. Кроме всего прочего он должен иметь статический адрес в интернете. Более подробно про настройку pptp сервера читайте здесь.

В этой статье я опишу как можно настроить QoS на MikroTik для работы, скажем в небольшой корпоративной сети до 42 компьютеров. Предлагаемая ниже схема маркировки пакетов и шейпинга трафика позволяет получать хорошие задержки при практически полной загрузке канала интернета. Так же можно добиться довольно быстрого открытия страниц при скачке торрентов другими пользователями. Канал делится поровну между качающими в любой конкретный момент пользователями. В общем, это хорошо реализованая идея динамического шейпинга на микротик. Кроме того предлагается пиринговый трафик отделить от основного и шейпить по другому.

Маршрутизаторы MikroTik хороши всем: невысокая цена, богатый функционал, который можно настроить через GUI утилиту. Но есть одна вещь которая не даёт жить спокойно многим. Оказывается нельзя изменить MAC адресс на ethernet интерфейсе через меню WINBOX. Приходится использовать скрипт.

Вы ещё не знаете как обжимать витую пару в коннекторе RJ45 для 100Mb/1Gb ethernet? Тогда вам сюда! Сейчас для кримперовки коннекторов используется стандарт EIT/TIA-568B  и он применяется очень часто. Раньше были коммутаторы которые не могли определять тип обжимаего кабеля и требовали обжатие кабеля по стандарту EIT/TIA-568B для соединения клиентов со свитчем с обоих концов.  Для соединения свитчей надо было использовать на одном из концов обжим по стандарту EIT/TIA-568A на втором EIT/TIA-568B. Сейчас все коммутаторы и сетевые карты на рынке понимают как кабели обжатые по  EIT/TIA-568B / EIT/TIA-568A так и EIT/TIA-568B / EIT/TIA-568B.

В этой статье я опишу как можно настроить маршрутизатор MikroTik RB 750 для совместной работы с модемом промсвязь и его аналогов для использования интернета скажем небольшой корпоративной сетью на 30 машин.Предлагаемая ниже схема маркировки пакетов и шейпинга трафика не позволяет получать хорошие задержки при практически полной загрузке канала интернета в отличии от схемы с Simple Queue. Но тут так же можно добиться довольно быстрого открытия страниц при скачке торрентов другими пользователями. Канал делится поровну между качающими в любой конкретный момент пользователями. В общем это идея динамического шейпинга на микротик. Преимущества данного метода управления полосой в его простой реализации и низком требовании к апаратной части маршрутизатора. На том же самом маршрутизаторе Queue Tree может занимать в два раза меньше ресурсов процессора чем шейпинг той же полосы с помощью Simple Queue.

Поверх шифрованных PPtP, L2TP соединений на Mikrotik через интернет можно наводить EoIP тунели. Преимуществом данного тунеля является корректная работа сетевого окружения Windows, ведь все компьютеры теперь находятся в одном широковещательном домене. Недостатком является увеличение на 40% количества передаваемых данных и невозможность использовать политики 3-его уровня для фильтрации трафика пользователей. Кроме того помните основное правило создания таких сетей - в одном широковещательном домене не должно быть более 50 компьютеров. Хотя если такой тунель наведён через медленное соединение с интернетом компьютеров должно быть ещё меньше, так как постоянно генерируемый компьютерами Windows трафик обеспечивающий работу сетевого окружения попросту полностью его заполнит. В этом случае для полезного трафика не останется свободной полосы.

Доброго времени суток читатели моего блога. Очень популярна среди сисадминов стала тема настройки бесшовного роуминга на MikroTik. В частности предлагается для этого использовать CAPsMAN v2. Ну что же по итогу многократных тестирований можно с уверенностью сказать, что CAPsMAN действительно уменьшает время переключения клиента с одной точки доступа на другую в 2.5 раза. Кроме того этот программный пакет к MikroTik уже достиг зрелости и имеет смысл его разворачивать. Как просили ребята на дне сисадмина пишу статью по настройке этого чуда.

Зачастую не все USB 3G/4G модемы работают с маршрутизаторами стабильно. Выясняется, что даже программная перезагрузка MikroTik не позволяет их вывести из ступора. К счастью в некоторых Routerboard предусмотрено отключение питания USB порта на какое-то время. Сегодня мы рассмотрим как сделать аппаратный сброс модема программными средствами роутера. 

Если вы уже настроили L2TP, PPtP, PPPoE, OpenVPN сервер на MikroTik то вам остаётся узнать азы управления пользователями в этой роутерной операционной системе. Можно управлять локальными IP адресами, списками пользователей, максимальным временем сессии, временем простоя соединения, максимальным количеством принятых отправленных данных, DNS, WINS серверами, сжатием данных, шифрованием, ограничивать скорость в тунеле, ограничивать количество тунелей с одного акаунта, привязывать акаунты к MAC и IP адресам сетевых карт пользователей. Многое возможно настроить на маршрутизаторе даже если у вас в сети нет радиус сервера. Расказать про функционал предоставляемый Router OS по настройке пользовательских тунелей должна эта статья.

Есть такой маршрутизатор - MikroTik hAP AC lite, в котором Wi-Fi работает быстрее чем сеть по кабелю. Производительность 2.4 гГц в чистом 802.11N достигает 160 Mbs, в 802.11AC  способна при правильной настройке и на большее. Скорость по проводной сети явно надо увеличивать. Что можно сделать для этого? Оказывается возможно обьединить два порта по 100Mbps в один 200Mbps с помощью агрегиции. Совместно с hAP AC lite имеет смысл использовать маршрутизаторы 2011 серии в которых есть 5 портов 100Mbps и 5 1Gbps.

Доброго времени суток тем кто следит за моим блогом! После длительного перерыва поделюсь своим новым опытом использования технологии vlan на MikroTik.  Иногда существует необходимость в корпоротивных сетях отделять компьютеры друг от друга. Часто необходимо создать отдельную подсеть Wi-Fi для гостей компании. Также разделение сети на виртуальные сегменты используют ethernet провайдеры. Изоляция нужна по ряду причин: предотвратить прослушку трафика пользователей с помощью атаки "человек по середине" из-за несовершенства ARP протокола, отсечь возможность получать доступ к корпоративным данным посторонним людям. Рассмотрим простейший способ использования технологии vlan. Суть технологии: трафик нескольких сетей между свичами и роутерами бегает вместе с разными метками, но когда приходит к пользовательским устройствам - метки снимаются. Пользователи трафик с метками просматривать не могут. Мы будем создавать несколько Wi-Fi сетей без возможности доступа на 2-ом уровне OSI между ними.