Вышло обновление для Router OS

Обновлены 3 ветки до версий:

v6.0rc13v5.24
v4.17

Обновление доступно для моделей:

RB400 series, RB700 series, RB900 series, RB2011 series, SXT, OmniTik, Groove, METAL
PC / X86, RB230 series
RB100 series, RB500 series, RB Crossroads
CCR series
Изменения в последней версии:

 pppoe, l2tp, pptp server - уселичено lcp retransmit count до 10;
 pptp, l2tp & pppoe clients - добавлена ​​возможность указания keepalive timeout;
 graphing - исправлен баг с пропаданием графиков при перезагрузке;
 dhcpv6 - добавлен IPv6 relay;
 sstp server - восстановлен(отключен в rc12) тестовый резим который позволяет стартовать сервер без сертификата;
 lcd - Добавлена ​​опция для включения подсветки вкл / выкл;
 bgp - исправлена бага работы с iBGP пирами.Осправлен баг с очередями.
 

Качайте новый Router OS и обновляйтесь.

Защита от DoS атак на роутерах Mikrotik и Router OS

DoS (отказ в обслуживании) атаки могут привести к перегрузке маршрутизатора. Это означает, что загрузка процессора возрастает до 100%, а маршрутизатор может стать недоступным.

Вообще нет идеального решения  для защиты от атак DoS. Каждый сервис может стать перегруженым от слишком дольшого колличества запросов. Но есть некоторые методы для сведения к минимуму последствий атаки.

Установить более мощный маршрутизатор или сервер.
Расширить входящий канал.
Уменьшите количество правил брандмауэра, очереди и другие действия обработки пакетов
Отслеживание пути атаки и блокировать его ближе к источнику (на стороне вышестоящего провайдера).

Диагностика DoS атаки на роутере миротик. (TCP SYN flood)

Проверяем  не слишком ли много связей с SYN-SENT настоящее время?

/ip firewall connection print

Проверфем не слишком ли много пакетов в секунду происходит через интерфейс?

/interface monitor-traffic ether2

Проверяем загрузку процессора 100%?

/system resource monitor

Проверяем колличество подозрительных соединений.

/tool torch

Защита от таких атак.

Лимит входящих соединений.


Если с одного IP адреса подключений больше лимита, то этот IP попадает в "черный список" и в дльнейшем блокируется.
/ip firewall filter add chain=input protocol=tcp connection-limit=LIMIT,32  \
action=add-src-to-address-list  address-list=blocked-addr address-list-timeout=1d 

Где LIMIT - максимальное количество соединений в определенного IP. Предел должен быть от 100 и выше, так как многие услуги, используют несколько соединений (HTTP, Torrent, и другие P2P-программы).

Опция tarpit

Вместо того чтобы просто удалять пакеты атакующего, маршрутизатор может захватить и удерживать соединения и с достаточно мощным маршрутизатором это может замедлить скорость атаки.


/ip firewall filter add chain=input protocol=tcp src-address-list=blocked-addr \
connection-limit=3,32 action=tarpit 


SYN Фильтрация

Некоторые расширенные возможности фильтрации может влиять на состояние пакетов TCP.


/ip firewall filter add chain=forward protocol=tcp tcp-flags=syn connection-state=new \
action=jump jump-target=SYN-Protect comment="SYN Flood protect" disabled=yes
/ip firewall filter add chain=SYN-Protect protocol=tcp tcp-flags=syn limit=400,5 connection-state=new \
action=accept comment="" disabled=no
/ip firewall filter add chain=SYN-Protect protocol=tcp tcp-flags=syn connection-state=new \
action=drop comment="" disabled=no

«syn limit = 400" является лимитом пакетов, просто включите правило в цепочке первым для пакетов SYN, чтобы пакеты удалялись (для избежания чрезмерного количества новых подключений)


SYN cookies

/ip firewall connection tracking set tcp-syncookie=yes

Позор компании микротик RB750/751

Давно и плодотворно использую продукцию компании микротик.
Установлены десятки rb711 rb411 rb413 rb493. вся продукция зарекомендовала себя с лучшей стороны. Надежные простые недорогие карточки. По этому когда возникла необходимость создать Wi-Fi зону на профессиональном оборудовании выбор пал на rb751. За 689 грн.шт мне обещали супер мощную Wi-Fi точку с многими интересными возможностями, стабильной работой и полным контролем. В итоге мы имеем:
1. Крайне глючное железо.( постоянные обрывы связи отказы DHCP сервера, произвольные перезагрузки, просто перестает пропускать трафик, и т.д.)
2. Полностью нерабочий STP. От кольца пришлось полностью отказаться.
3. Очень медленная работа. При любом изменении топологии эти роутеры раздупляются не меньше 15 минут. Иногда вообще не раздупляются и приходится перегружать всю сеть.
4. Крайне слабый уровень сигнала. Территорию которую можно было накрыть с помощью 5-7 PowerAP N с мощностью 800  мвт. Еле накрывают 10! микротиков мощностью 1 вт. И то чтобы усилить сигнал приходится использовать внешние антенны D link 8 dbi по 160 грн шт + 120 пигтейл.
5. -30% скорости при пропуске трафика через роутер. И это всего лишь nat + pppoe и то до 10 мб\с не доходит. И без торрентов.
6. Еще 1 очень интересный глюк наблюдается именно с этой железякой. Периодически просто перестает пропускать IP траффик. пинги не проходят но mac telnet работает. Помогает только перезагрузка.
При цене PowerAP N в 1000  гривен разница в качестве заметна сразу.
в Итоге после 2 месяцев настроек, допиливания, перепрошивок сети нормально так и не заработала. Wi-Fi Покрытие очень слабое, Клиент недоволен, а главное пострадала моя репутация. Я до сих пор не могу понять как можно выпускать в свет такой сырой и глючный продукт который по количеству глюков даст фору самому дешевому китайцу!
Как можно сделать роутер с полу рабочим DHCP сервером который не может работать даже неделю без перезапуска ( а то и полной перенастройки.
При всем моем уважении к компании микротик и их продукции RB751 - это не роутер это глючное говно.

WinBox error (port 20561) timed out!

Неприятная ошибка вылезла в момент настройки RB493G. В интернете немного информации по этой ошибке и все советы можно уместить в одном абзаце.

1. Подключатся по MAC адресe а не по IP.
2. Отключить firewall.
3. Переустановить winbox.
4. Попробовать дернуть роутер через netinstal.

Как и ожидалось ни один из советов лично мне не помог. Зная качество компании Mikrotik  решил еще раз перепроверить все настройки. Вся загвоздка была в 2 галочках в настройках подключения по локальной сети.

как только я включил "Клиент для сетей Майкрософт" , и "Службу доступа к файлам и принтерам Майкрософт" Все заработало без нареканий. 

Не зная чей это косяк - Микротика или мелкомягких но у меня есть стойкая уверенность в том что эти 2 службы никак не должны влиять на этот уровень OSI. Надеюсь что эту проблему в ближайшее время устранят.

Коллеги будьте внимательны и все получится

Mikrotik RouterBOARD POE-CON-HP

Многие, кто работал с оборудованием Mikritok и Ubiquiti обращали внимание что питание на эти устройства подается через бп PoE 24V. И очень сожалели что 95% современных свитчей с PoE выдают на порту 48V. И хотя эти компании в своих анонсах еще зимой обешали выпустить свитчи собственного производства с PoE подходящего вольтажа - воз и ныне там. Теперь же компания Mikrotik обещает выпустить конвертер с PoE на PoE только нужного вольтажа. С одной сторону это конечно удобно. Наконец появится возможность перезагрузить или выключить устройство над которым утерян контроль. Но с другой стороны - переплачивать за свитч с PoE а потом еще и конвертера покупать. Двойная переплата выходит. Да и если строите серьезную сеть то желательно не разводить зоопарк и использовать оборудование 1 поставщика. Но в любом случае ждем с нетерпением так как реальный девайс в сели даже если он неказись и дорог лечше любого красивого анонса.

Name RouterBOARD POE-CON-HP
Ethernet Two Ethernet ports with grounding pins
(Works also with Gigabit devices, but only at 10/100 speed)
Dimensions 107x66x24mm
Power Input 42-57V (Passive, Telecom, 802.3af and 802.3at PoE plus supported)
Power Output 24V 1A
Output pins 4,5 “+”; 7,8 “-”

Mikrotik RouterBoard 1200

RB1200 - Новый гигабитный роутер в семействе роутеров микротик в формате U1. На борту имеется 10 гигабитных портов 5 из которых могут быть объединены в 1 логический. Так же имеется COM Порт  и SODIMM слот в который можно вставить 512 мб оперативной памяти.

Характеристики:
CPU PowerPC PPC460GT
Memory SODIMM DDR Slot, 512MB RAM
Boot loader RouterBOOT, 1Mbit Flash chip
Ethernet Ten 10/100/1000 Mbit/s Gigabit Ethernet with Auto-MDI/X
miniPCI none
Storage Onboard NAND chip
Serial port One DB9 RS232C asynchronous serial port
Extras Reset switch, Beeper
Power options IEC C14 standard connector 110/220V
Fan default none, header for optional fan available
Dimensions 1U case: 44 x 176 x 442 mm, 1200g. Board only: 365g
Operating System MikroTik RouterOS, Level 6 license

Mikrotik Metal 5SHPn

Metal 5SHPn - Новый крепкий, влагонепроницаемый, супермощный радиодевайс от
компании Mikotik. Про мощность я не преувеличиваю 1.3W мощность Wi-Fi карточки в этом девайсе. Металлический корпус позволяет использовать данный девайс на улице не опасаясь погодных условий.

Вот подробные ттх на этот RouterBOARD.

CPU Atheros AR7241 400MHz network processor
Memory 64MB DDR SDRAM onboard memory
Ethernet One 10/100 Mbit/s Fast Ethernet port with Auto-MDI/X, L2
Wireless Wireless Built-in 5GHz 802.11a/n 1x1 MIMO, 
N-male connector, Up to 1.3W output power
Extras Reset switch, Beeper, Voltage monitor, Temperature moni
LEDs 5    wireless    signal    LEDs,    ethernet    activity    LED    (confgurabl
Power options Passive 8-30V PoE only. 16KV ESD protection on RF por
Consumption Up to ~0,5A at 24V (11.5W)
Dimensions 177x44x44mm, 193g. Must be mounted with ethernet poin
Operating temperature -30C to +70C
Operating system MikroTik RouterOS v5, Level4 license (station, point-to-po
Package contains Metal 5SHPn unit, mounting loops, PoE injector, 24V pow
RX sensitivity 802.11a: –93 dBm @ 6Mbps to -77 dBm @ 54 Mbps
802.11n: –93 dBm @ MCS0 to –71 dBm @ MCS7
TX power 802.11a: 31dBm @ 6Mbps to 27dBm @ 54 Mbps
802.11n: 30dBm @ MCS0 to 26dBm @ MCS7
Modulations OFDM: BPSK, QPSK, 16 QAM, 64QAM
DSSS: DBPSK, DQPSK, CCK


Надеюсь в Украине данный девайс появится в продаже в ближайшее время так как прошлой весной грабом побило довольно много и NanoBridge, Bullet, и просто пигтейлов на стыке  с выносной антенной.

Mikrotik RouterBoard 951-2n

RB951-2n  это продолжение линейки Wi-Fi роутеров серии  RB750/751.
RB951-2n имеет на борту 300Мгц процессор и 32 мб оперативной памяти что вполне достаточно для обработки достаточно большого объема трафика. Надеюсь что в украинских магазинах этот роутер появится в ближайшее время.

Вот более подробрные характеристики

CPU Atheros AR9331 300MHz CPU
Memory 32MB DDR SDRAM onboard memory
Ethernet Five independent 10/100 Ethernet ports
LEDs Power, NAND activity, 5 Ethernet LEDs
Power options PoE:  8-30V DC on Ether1 (Non 802.3af). Jack: 8-30V DC
Dimensions 113x89x28mm. Weight without packaging and cables: 142g
Power consumption Up to 4W
Operating Temp -20C .. +50C
Operating System MikroTik RouterOS, Level4 license
Package contains RouterBOARD in a plastic case, power adapter
Antennas 1x1 MIMO with two onboard PIF antennas, max gain 1.5dBi
TX power 802.11b: 17dBm @ 11Mbps
802.11g: 15dBm @ 6Mbps to 11 dBm @ 54 Mbps
802.11n: 15dBm @ MCS0 to 9dBm @ MCS7 40MHz
RX sensitivity 802.11g: -92dBm @ 6Mbit/s to -73dBm @ 54Mbit/s
802.11n: –92 dBm @ MCS0 to –67 dBm @ MCS7
Modulations OFDM: BPSK, QPSK, 16 QAM, 64QAM
DSSS: DBPSK, DQPSK, CCK

и фото

Для тех кто запутался в классификации RouterBoard от Mikrotik

Нашел интересную табличку которая реально облегчает выбор нужного девайса.

 

MikroTik Cloud Core Router: CCR-1036

Уже к лету компания Mikrotik собирается выпустить новый флагманский маршрутизатор CCR-1036. Это будет 1 маршрутизатор Mikrotik с SFP/10 gb портами за борту и общей пропускной способностью 16 Gbps.
36 ядер PPC CPU (1.2Ghz на ядро)
4x SFP порта  10 GB
12x гигабитных портов
Сенсорный LCD экран
15mpps и 16Gbit пропускной способности
1U корпус для 19" стойки
ориентировочная стоимость этого девайса : $1500-$1800USD
Ждем с нетерпением.

Настройка SSTP соединений на маршрутизаторах Mikrotik.

 Secure Socket Tunneling Protocol (SSTP)  - это транспорт использующий PPP туннель поверх SSL 3.0 канала. Использование SSL на TCP-порт 443 SSTP позволяет передавать  через практически все брандмауэры и прокси-серверов.

• TCP соединение устанавливается от клиента к серверу. (по умолчанию используется 443 порт);
• SSL Проверяется сертификат сервера. Если сертификат валидный соединение устанавливается, если нет соединение сбрасывается.
• Клиент отправляет контрольный SSTP пакет через HTTPS сессию, который устанавливает SSTP сессию на обоих машинах.
• PPP общается с сервером поверх SSTP. Клиент проходит авторизацию на сервере, и получает связку IP адрес и SSTP интерфейс.
•  SSTP тунель установлен и можно передавать информацию.

   

Примечание:

Если используются 2 устройства Mikrotik то можно создать SSTP туннель без сертификатов с любым доступным методом авторизации.
В иных конфигурациях для создания защищенных туннелей с MSCHAP авторизацией использование сертификатов обязательно.

Корректно SSTP работает только на Windows Vista, Windows 7 и RouterOS.

Сертификаты.

Для настройки SSTP туннеля необходимы сертификаты. На сервере проверка подлинности происходит по логину\паролю, но
на клиент серверное соединение производит проверку сертификата. Также сертификаты необходимы для SSL и PPP соединения.
Если SSTP клиенты - это Windows-ПК то для настройки SSTP туннеля необходимо импортировать самоподписаный сертификат сервера в систему и пометить этот сертификат как доверенный.

Настройка SSTP клиента.

Sub-menu: /interface sstp-client

Опции

add-default-route (yes | no; Default: no)     Задать ip адресс SSTP сервера как шлюз по умолчанию.

authentication (mschap2 | mschap1 | chap | pap; Default: mschap2, mschap1, chap, pap) Выбор метода проверки подлиности.

certificate (string | none; Default: none)     Использование сертификата.

comment (string; Default: )     Задать коментарий для соединения.

connect-to (IP:Port; Default: 0.0.0.0:443)     ip адресс и порт удаленного SSTP сервера.

dial-on-demand (yes | no; Default: no)    

disabled (yes | no; Default: yes)     Включение\выключение интерфейса.По умолчанию выключен.

keepalive-timeout (integer | disabled; Default: 60) Максимальное время простоя соединения. по умолчанию 60 секунд.   

max-mtu (integer; Default: 1500)     Максимальный размер пакета отправляемого через SSTP интерфейс.

mrru (disabled | integer; Default: disabled)     Максимальный размер пакета проходяшего через SSTP интерфейс.Если пакет больше чем MTU, он будет разбит на несколько пакетов.

max-mru (integer; Default: 1500)     Максимальный размер пакета получаемого через SSTP интерфейс.

name (string; Default: )     Задать имя для соединения.

password (string; Default: "")     Пароль для авторизации.

profile (name; Default: default-encryption)     Выбор PPP профиля.

proxy (IP:Port; Default: 0.0.0.0:443)     Адресс и порт HTTP прокси сервера.

user (string; Default: )     Амя пользователя используемое при авторизоции.

verify-server-certificate (yes | no; Default: no)     Проверка сертификата сервера.

verify-server-address-from-certificate (yes | no; Default: yes)     Проверка ip адреса сервера и сертификата.

Настройка в терминале:

[admin@SSTP-client]  /interface sstp-client>add user=sstp-test password=123 \

\... connect-to=10.10.10.1 disabled=no

[admin@SSTP-client] /interface sstp-client> print

Flags: X - disabled, R - running

 0  R name="sstp-out1" max-mtu=1500 max-mru=1500 mrru=disabled connect-to=10.1.101.1:443

      user="sstp-test" password="123" proxy=0.0.0.0:443 profile=default

      certificate=none keepalive-timeout=60 add-default-route=no dial-on-demand=no

      authentication=pap,chap,mschap1,mschap2

     

      Настройка SSTP Сервера.

Sub-menu: /interface sstp-server server

Опции:

authentication (mschap2 | mschap1 | chap | pap; Default: mschap2, mschap1, chap, pap) Выбор метода проверки подлиности.

certificate (name | none; Default: none)  Имя сертификата сервера.

default-profile (name; Default: default)     Имя профиля

enabled (yes | no; Default: no)                Включение\выключение сервера.

verify-client-certificate (yes | no; Default: no) Проверка сертификата клиента.

keepalive-timeout (integer | disabled; Default: 60) Максимальное время простоя соединения. по умолчанию 60 секунд.   

max-mtu (integer; Default: 1500)     Максимальный размер пакета отправляемого через SSTP интерфейс.

mrru (disabled | integer; Default: disabled)     Максимальный размер пакета проходяшего через SSTP интерфейс.Если пакет больше чем MTU, он будет разбит на несколько пакетов.

max-mru (integer; Default: 1500)     Максимальный размер пакета получаемого через SSTP интерфейс.

Настройка в терминале. 

[admin@SSTP-server] /interface sstp-server server> set certificate=server

[admin@SSTP-server] /interface sstp-server server> set enabled=yes

[admin@SSTP-server] /interface sstp-server server> print

                     enabled: yes

                        port: 443

                     max-mtu: 1500

                     max-mru: 1500

                        mrru: disabled

           keepalive-timeout: 60

             default-profile: default

                 certificate: server

  verify-client-certificate: no

              authentication: pap,chap,mschap1,mschap2

[admin@SSTP-server] /interface sstp-server server>

Мониторинг:

[admin@SSTP-server] /interface sstp-server> monitor 0

     status: "connected"

     uptime: 13m22s

  idle-time: 13m22s

       user: "sstp-client1"

  caller-id: "10.10.10.11:815"

        mtu: 1500

       

Настройка удаленного клиента.

Создадим пользователя.

[admin@MTtest] /ppp secret> add name=notebook service=sstp password=123

local-address=10.10.10.1 remote-address=10.10.10.100

[admin@MTtest] /ppp secret> print detail

Flags: X - disabled

  0   name="notebook" service=sstp caller-id="" password="123" profile=default

      local-address=10.10.10.1 remote-address=10.10.10.100 routes==""

[admin@MTtest] /ppp secret>       

       

Включим SSTP  сервер.

[admin@MTtest] /interface sstp-server server> set certificate=server

[admin@MTtest] /interface sstp-server server> set enabled=yes

[admin@MTtest] /interface sstp-server server> set authentication=mschap2

[admin@MTtest] /interface sstp-server server> print

                     enabled: yes

                        port: 443

                     max-mtu: 1500

                     max-mru: 1500

                        mrru: disabled

           keepalive-timeout: 60

             default-profile: default

                 certificate: server

  verify-client-certificate: no

              authentication: mschap2

[admin@MTtest] /interface sstp-server server>

Вот и все удаленные не Mikrotik клиенты могут подключатся к нам с использованием авторизации mschap2.

Проверим подключение.

[admin@MTtest] /interface sstp-server> print

Flags: X - disabled, D - dynamic, R - running

 #     NAME      USER         MTU        CLIENT-ADDRESS    UPTIME   ENCODING  

 0  DR <sstp-... notebook     1500       10.10.10.108:6586 4h12s 

[admin@MTtest] /interface sstp-server>monitor 0

     status: "connected"

     uptime: 4h10s

  idle-time: 4h10s

       user: "notebook"

  caller-id: "192.168.10.18:6586"

        mtu: 1500

       

Если подключение успешно - включаем proxy-arp.

[admin@MTtest] /interface ethernet> set ether2 arp=proxy-arp

[admin@MTtest] /interface ethernet> print

Flags: X - disabled, R - running

  #    NAME                 MTU   MAC-ADDRESS         ARP

  0  R ether1              1500  00:f0:1F:02:7B:C1 enabled

  1  R ether2              1500  00:f0:AF:F6:62:12 proxy-arp

[admin@MTtest] interface ethernet>

Mikrotik RouterOS Firewall IPv6 manual

IPv6 уверенно входит в нашу жизнь и на просторах русскоязычного сообщества вот вот появятся провайдеры работающие только на IPv6.
В связи с этим небольшой ман по настройке firevall для протокола IPv6 на RouterOS.

Sub-menu: /ipv6 firewall filter

1)   action (accept | add-dst-to-address-list | ...; Default: accept)

Возможные параметры:

• accept - пропустить пакет..
• add-dst-to-address-list - добавить IP получателя в address list.
• add-src-to-address-list - добавить IP отправителя в address list.
• drop - удалить пакет.
• jump - Перейти к пользовательской цепочке правил или применить jump-target параметр.
• log - добавить сообщение в системный лог. 
• passthrough - игнорировать данное правило и перейти к следующему.
• reject - удалить пакет.  и отправить ICMP отчет об удалении.
• return - Passes control back to the chain from where the jump took place.

2) address-list (; Default: )
3) time (; Default: )

Обновление Router OS 5.14 от 22.02.2012

Доступна новая версия Router OS 5.14. Скачать ее можно здесь.
В новой версии:

1. Winbox - исправлена проблема с изменением размера главного окна.
2. Backup - исправлена проблема с созданием бекапов для устройств в имени которых используется "\".
3. Wireless - Улучшена стабильность nv2. Уменьшено время прохождения пакета. Требует только обновления AP.
4. Исправлена проблема с конфигурацией на RB1100AHx2.
5. Сertificate manager - Исправлена проблема доверия к цепочке сертификатов, для некоторых программ.

Настройка Nstreme dual на Mikrotik Router OS

Технология Nstreme dual в RouterOS позволяет объединить несколько физических Wlan интерфейсов в 1 логический. Принцип данной технологии немного отличается от описанного в прошлом посте OSFP и имеет свои достоинства и недостатки. В основном же данная технология отличается высокой надежностью, и почти  двукратным увеличением скорости.
И так настройка из консоли:

MikroTik 1.


Влючаем Wi-Fi карточки.

[admin@test-493G] > interface enable wlan1.
[admin@test-493G] > interface enable wlan2

Задаем IP адрес для Ethernet интерфейса.

[admin@test-493G] > ip address add address=192.168.1.1/24 interface=ether1.

Создаем bridge интерфейс.
 
[admin@test-493G] > interface bridge add .

Добавляем интерфейс Ethernet в интерфейс bridge.
 
[admin@test-493G] > interface bridge port add interface=ether1 bridge=bridge1

Зададим для Wi-Fi карт режим работы nstreme.
 
[admin@test-493G] > interface wireless set wlan1 mode=nstreme­-dual­-slave
[admin@test-493G] > interface wireless set wlan2 mode=nstreme­-dual­-slave 

Создадим nstreme dual интерфейс и настроим RX/TX частоту.

[admin@test-493G] > interface wireless nstreme­-dual add rx­-radio=wlan1 tx­-radio=wlan2
rx-­band=5ghz tx-­band=5ghz rx-­frequency=5380 tx­-frequency=5200

Добавим интерфейс nstreme в Bridge.

[admin@test-493G] > interface bridge port add interface=nstreme1 bridge=bridge1

Проверяем MAC адрес nstreme интерфейса.

[admin@test-493G] > interface wireless nstreme­dual print
Flags: X ­ disabled, R ­ running
0 X  name="nstreme1" mtu=1500 mac­address=00:11:22:33:44:55 arp=enabled
disable­running­check=no tx­-radio=wlan2 rx­-radio=wlan1 remote­mac=00:00:00:00:00:00
tx-­band=5ghz tx­-frequency=5300 rx­-band=5ghz rx­-frequency=5180
rates­b=1Mbps,2Mbps,5.5Mbps,11Mbps
rates­a/g=6Mbps,9Mbps,12Mbps,18Mbps,24Mbps,36Mbps,48Mbps,54Mbps
framer­policy=none framer­limit=2560

MikroTik 2.


Влючаем Wi-Fi карточки.

[admin@test2-493G] > interface enable wlan1.
[admin@test2-493G] > interface enable wlan2

Задаем IP адрес для Ethernet интерфейса.

[admin@test2-493G] > ip address add address=192.168.1.2/24 interface=ether1.

Создаем bridge интерфейс.
 
[admin@test2-493G] > interface bridge add .

Добавляем интерфейс Ethernet в интерфейс bridge.
 
[admin@test2-493G] > interface bridge port add interface=ether1 bridge=bridge1

Зададим для Wi-Fi карт режим работы nstreme.
 
[admin@test2-493G] > interface wireless set wlan1 mode=nstreme­-dual­-slave
[admin@test2-493G] > interface wireless set wlan2 mode=nstreme­-dual­-slave 

Создадим nstreme dual интерфейс и настроим RX/TX частоту.

[admin@test2-493G] > interface wireless nstreme­-dual add rx­-radio=wlan1 tx­-radio=wlan2
rx­-band=5ghz tx-­band=5ghz rx-­frequency=5200 tx­-frequency=5380
remote­mac=00:11:22:33:44:55 disabled=no

Добавим интерфейс nstreme в Bridge.

[admin@test2-493G] > interface bridge port add interface=nstreme1 bridge=bridge1

Проверяем MAC адрес nstreme интерфейса.

[admin@test2-493G] > interface wireless nstreme­dual print
Flags: X ­ disabled, R ­ running
0  R name="nstreme1" mtu=1500 mac­address=22:33:44:55:66:77 arp=enabled
disable­running­check=no tx­-radio=wlan2  rx­-radio=wlan1 remote­mac=00:11:22:33:44:55
tx­-band=5ghz tx-­frequency=5180 rx-­band=5ghz rx-­frequency=5300
rates­b=1Mbps,2Mbps,5.5Mbps,11Mbps
rates­a/g=6Mbps,9Mbps,12Mbps,18Mbps,24Mbps,36Mbps,48Mbps,54Mbps
framer­policy=none framer­limit=2560

MikroTik 1

Настраиваем удаленный МАС адрес на Mikrotik 1

[admin@test2-493G] > interface wireless nstreme­-dual set nstreme1
remote­mac=22:33:44:55:66:77 disabled=no

Все теперь RX и TX передаются на разных частотах, разных карточках и разных антеннах. Резерв на случай отказа карточки, битого пигтейла и сдутой антенны у нас есть.

Удачи вам. 

Если есть вопросы до пишите в каментах. По возможности постараюсь помочь.

Распаралеливание каналов Rx/Tx по Wi - Fi с помощью OSFP

И так  есть задача построить радиоканал с хорошей пропускной способностью, надежный, с минимальной задержкой пакетов (что критично например для VoIP).

Для реализации нам понадобятся:

• 2 RouterBoard с  2 более miniPCI слотами.
• 4 Wi-fi карты miniPCI способные работать в диапазоне 5Ггц.
• 4 Внешних антены.
• 4 комплекта пигтейлов.
• 2 антенабокса.

На оборудовании компании Mikrotik схема предложенной реализации выглядит примерно так:

Плюсы данной схемы:

1. Full Duplex.
2. Автоматическая балансировка нагрузки между каналами.
3. Низка задержка  пакетов. (почти вдвое меньше по сравнению с N-Streme-Dual
4. Автоматическое переключение на один канал при выходе из строя другого.
5. Увеличение пропускной способности радиочасти.

Через консоль эта конфигурация настраивается примерно так:


Для роутера А.

/ip address add address=192.168.0.1/24 interface=ether1
/ip address add address=192.168.10.1/24 interface=wlan1
/ip address add address=192.168.20.1/24 interface=wlan2
/routing ospf network add network=192.168.10.0/24 area=backbone1
/routing ospf network add network=192.168.20.0/24 area=backbone1
/routing ospf interface add interface=wlan1 cost=100

Для роутера Б.

/ip address add address=192.168.1.1/24 interface=ether1
/ip address add address=192.168.10.2/24 interface=wlan1
/ip address add address=192.168.20.2/24 interface=wlan2
/routing ospf network add network=192.168.10.0/24 area=backbone1
/routing ospf network add network=192.168.20.0/24 area=backbone1
/routing ospf interface add interface=wlan2 cost=100 

Этот конфиг означает что роутер А будет ждать входящий трафик на интерфейсе wlan1

а роутер Б на интерфейсе Wlan2.

Удачи вам. 
Если есть вопросы до пишите в каментах. По возможности постараюсь помочь.

Backup настроек Mikrotik RouterOS с сохранением на FTP сервер.

В предыдущей статье я писал как настроить отправку бекапа на Email. Но данная конфигурация не всегда удобна так как не у всех есть свой почтовый сервер да и не всем он необходим. Зато с организацией FTP сервера проблем обычно не возникает (Слава Filezilla) настраивается за 5 минут на любой операционке. Туда мы и будем складывать наши ежедневные бекапы.Либо можем настроить FTP сервер на Mikrotik и задирать бекапы средствами сервера.

И так настройка из консоли:

# создаем  scheduler который раз в 10 часов создает бекап системы.

/system scheduler 
add name="settings_backup" on-event="system backup save name=today.backup" \
    start-date=jan/01/1970 start-time=00:00:00 interval=10h comment="" \
    disabled=no

# Проверяем включен ли ftp сервер. 

/ip service print
Flags: X - disabled, I - invalid 
 #   NAME      PORT  ADDRESS       CERTIFICATE    
 0   telnet    23    0.0.0.0/0    
 1   ftp       21    0.0.0.0/0    
 2   www       80    0.0.0.0/0      
 3   ssh       22    0.0.0.0/0    
 4 X www-ssl   443   0.0.0.0/0     none
 5 X api       8728  0.0.0.0/0    
 6   winbox    8291  0.0.0.0/0   

# Создаем пользователя и даем ему права ходить на ftp.

/user group 
add name="ftp" policy=ftp,!local,!telnet,!ssh,!reboot,!read,!write,!policy,!test,!winbox,!password,!web,!sniff
/user 
add address=0.0.0.0/0 comment="backup ftp mikrotik" disabled=no group=ftp name="ftp"
/user 
set [find name="ftp"] password="mypassword"

С настройкой микротика мы закончили. Теперь настроим серверную часть.

Для Unix систем я недавно постил подобный скрипт на Perl,

 в котором выполняется подобная задача. Цтобы адаптировать скрипт под наши нужды,

 необходимо изменить переменную $filename="today.backup"; и последний запрос 

$ftp->put($filename) or die "Can't connect: $@\n" ;

изменить на 

$ftp->get($filename) or die "Can't connect: $@\n";

Для Windows систем все немного сложнее.

Нам будет необходимо приложение mtbackup.exe.

Создадим шаблон template1.s с текстом:

o 192.168.0.1 21
USER ftp
mypass
binary
$
192.168.0.1 – Router backup
close
quit

Теперь запустим вручную этот скрипт с шаблоном.

C:\mtbackup\mtbackup.exe "c:\mtbackup\template1.s" "c:\mtbackup\backups"

В папке c:\mtbackup\backups\ должен появится первый файл.

Если все прошло нормально можно ставить резервное копирование по расписанию.

Удачи вам в работе.
Если есть вопросы до пишите в каментах. По возможности постараюсь помочь.

Автоматический Backup на Mikrotik RouterOS через Email.

E-mail backups. - очень удобно если есть собственный почтовый сервер на микротике с консоли это настраивается так: 

/tool e-mail print # Смотрим настройки мыла

 server: 192.168.0.1 # smtp server
 from: mikrotik_backup_01@server.local 

# Почтовый ящик с которого будут отправлять бекапы

введем эти настройки 
/tool e-mail set server=192.168.0.1 mikrotik_backup_01@server.local 

/tool e-mail send to="admin@host.com" subject=([/Router_01]." backup") 

file=email.backup;
:log info "Backup e-mail sent."; } 

теперь добавим эту команду в scheduler чтобы она выполнялась автоматически.

/system scheduler 
add comment="System backup" disabled=no interval=1d name="e-mail_backup" \
on-event=e_mail_backup start-date=jan/01/1970 start-time=00:00:00 

Все теперь каждый день в 00:00:00 вам на почту будет 

приходить бекап системных настроек с роутера микротик.

Удачи вам. 

Если есть вопросы до пишите в каментах. По возможности постараюсь помочь.

Router OS 5.13, 5.12, 5.6

14.02.2012 вышли в свет обновления для RouterOS версий 5.13, 5.12, 5.6.  Ничего фундаментального в них не поменялось но кое что все-таки исправили. Вот список изменений.
Для версии 5.12


Консоль - команду passwd теперь можно использовать в скриптах и API.
Winbox - реорганизована работа с консолью.
SSH - исправлена проблема с psftp.
Добавлен SMB server.
Исправлена ошибка с ovpn-client.
Исправлена ошибка с ipv6 neighbor discovery.
Консоль  исправлены минорные ошибки.
Консоль - добавлена поддержка compact export.

Hotspot - Добавлен редирект при статусе http 302;
Wi-Fi -  Добавлен дефолтный конфиг для карт  R5SHPn.
PPP - Исправлена проблема с  remote-ipv6-pool.
Winbox, Webfig - Добавлена сортировка интерфейсов.
Добавлен QuickSet для RBSXT, RB411, RB711.Добавдена поддержка LTE модемов.

Для версии 5.13

Firewall - to-address теперь можно задать как сеть.маска.
Traffic-generator - исправлена проблема с падениями на многоядерных системах.
SMB - Исправлено и улучшено.
Dhcp client - Исправлено и улучшено.
Quickset -  страна & channel-width не зависят друг от друга.
Quickset - Добавленна поддержка PPPOE соединений через Wi-Fi интерфейс.
Bridge -Испраслена проблема с arp reply-only
Webfig -
Webfig - отображается окно ввода логина\пароля  при неудачном авто логине;

 Для версии 5.6
BGP -  Допущены параллельные операции согласно RFC4761 "l2vpn" and
draft-ietf-l2vpn-signaling "l2vpn-cisco" BGP VPLS.
 Консоль - команда ":resolve" возвращает IPv6 адрес для хостов которые используют IPv.6.
SNMP - Добавлена поддержка UPS с отображением уровня заряда батареи.
Route -Исправлена проблема с SNMP трафиком.

Mikrotik RB751, RB751G, Mikrotik RB400L series, R5SHPN, OmniTIK UPA-5HnD. Новинки от копмании Mikrotik.

В январе этого года компания Mikrotik немного обновила свой модельный ряд о чем я писал ранее. В январе этого года появились на свет несколько новых устройств RouterBoard 751,RouterBoard 751G, серия RouterBoard 400L, 5 ггц карточка R5SHPN, и  OmniTIK UPA-5HnD. Давайте рассмотрим подробнее что же нового в этих устройствах.
Mikrotik RB751 - это компактный wireless SOHO AP Router в симпатичном белом корпусе с 5х100mbps и1 USB портами на борту и 802.11b/g/n WI-FI карточкой. Зная продукты компании микротик качество исполнения остается на высоте.

Mikrotik RB751G - тоже самое только с гигабитными портами.

Эти 2 RouterBoard являются прямым продолжением линейки RouterBoard 750 и 750G, которые отлично зарекомендовали себя в работе.

Mikrotik RB400L series это новая линейка RouterBoard вышедшая из серии RB400 которую немного урезали и упростили. Пока в этой серии только 4 устройства:

RB411L 

RB433L
RB433UAHL
RB433GL 

RouterBoard 411L и RouterBoard 433L не имеют com порта и питаются только через PoE.

RouterBoard 411L имеет  на борту слот MiniPCI.

RouterBoard 433GL имеет отдельный вход для питания, Гигабитный порт и 3 MiniPCI слота.

R5SHPN - Это новая супер мощная Wi-Fi 5GHz Карточка. Главной особенностью этой карточки помимо мощности в 800mW являются 9 светодиодов, которые покажут вам состояние подключения, качество сигнала и RX/TX,  

OmniTIK UPA-5HnD - всепогодная базовая станция 5GHz 802.11a/n. Наиболее оптимально работает с устройствами серии SXT. Имеет 5 10/100 Ethernet портов, PoE и 400mW 802.11a/n Wi-Fi адаптер. Благодаря поддержке технологии Nv2  TDMA суммарная пропускная способность выросла до 200mbps. Наличие USB порта и последней версии RoutrerOS подключить 3G модем теперь не составляет большого труда.

Более подробно эти девайсы я опишу когда они появятся на Украинском рынке. 

Удачи.

Mikrotik default IP

В связи с тем что поток вопросов о дефолтном IP на микротиках не прекращается напишу об этом целую статью.
1: Default IP для всех устройств компании Mikrotik 192.168.88.1
2: Если вы забыли какой IP установили на Микротике - Winbox найдет этот микротик по маку и зайдет не него без проблем. Главное чтобы вы были в одной сети.
3: Если вы не помните Vlan и IP см п2.
4: Если вы не помните Vlan и IP и в разных логических сетях или микротик подключен по радио то на него можно зайти через Mac telnet с другого устройства компании Mikrotik.
5: Ничего из вышеперечисленного не помогло - это не повод ресетить девайс - можно подключится через com порт но это не для всех девайсов.

к стати default login/password на Mikrotik это admin/admin