Ruteo Avanzado Y Alta Disponibilidad Con Mikrotik Routeros V6.33.5.01 4fp6f

[email protected]

” o Area-id= 0.0.0.Z Asignar redes a las áreas Chequear sus vecinos OSPF y las tablas de ruteo El propietario del ABR también debería configurar el área de backbone y las redes El AP principal debería estar en la lista de vecinos OSPF del ABR.

Vecinos NBMA • •

En redes non-broadcast es necesario especificar manualmente los vecinos La prioridad determina la oportunidad de que tiene el vecino de ser elegido como Designated Router (DR)

Academy Xperts

35

RouterOS v6.33.5.01 – Libro de Estudio & Laboratorio

Stub Area

• • • • • •

Un Stub Area es un área que no recibe rutas externas AS Típicamente todas las rutas a redes AS externas pueden ser reemplazadas por una Default Route. Esta ruta será creada automáticamente y distribuida por el ABR La opción < > permite recolectar backbone separados u otros LSA (Link State ment) de router de área e inyectarlo al Stub Area Habilite la opción < > solo en el ABR < > no es una agregación de ruta El costo de < > es especificado por la opción < >

Not-So-Stubby Area (NSSA)

• •

NSSA es un tipo de Stub Area que está habilitado para inyectar transparentemente rutas externas AS al backbone < > Esta opción permite controlar cual ABR del área NSSA actuará como relay del ASBR al área de backbone

OSPF AS

Academy Xperts

36


Laboratorio de Area Type (opcional) • • • •

Configure su tipo de área a <<stub>> Verifique su tabla de ruteo para identificar los cambios Asegúrese que la redistribución del default route en el ABR esté configurado como < > Configure la opción < > o En el ABR configure <<enable>> o En el IR configure < >

Interface pasiva

• • •

Es necesario asignar las redes cliente al área o también el Stub Area considerará estas redes como externas. Esto es un tema de seguridad La opción “ive” permite deshabilitar el protocolo “Hello” OSPF en las interfaces cliente

Rangos de Area

• •

Los rangos de direcciones son usados para agregar (reemplazar) las rutas de red desde dentro del área en una simple ruta o eliminándolas Es posible asignar un costo específico a la ruta agregada

Laboratorio de Agregación de Ruta (opcional) • • •

Anuncie solo una ruta 192.168.Z.0/24 en lugar de cuatro /26 (192.168.Z.0/26, 192.168.Z.64/26, 192.168.Z.128/26, 192.168.Z.192/26) Detenga el anuncio de la red backup al backbone Chequee la tabla de ruteo de AP Principal

Resumen •

•

Para asegurar su red OSPF o Use claves de autenticación (para interfaces y áreas) o Use la más alta prioridad (255) para el Designated Router o Use el correcto Network Type para el área Para incrementar el desempeño de la red OSPF o Use el correcto Area Type o Use la agregación de ruta tanto como sea posible

Academy Xperts

37


OSPF e Interfaces VPN Dinámicas •

•

Cada interface VPN dinámica o Crea una nueva ruta DAC /32 § D = Dynamic § A = Active § C = Connected o Remueve esa ruta cuando desaparece Problemas o Cada uno de estos cambios realiza una actualización OSPF, si la opción “redistribute-connected” está habilitado (ocurre un flujo de actualización/update en grandes redes VPN) o OSPF creará y enviará LSA a cada interface VPN, si la red VPN está asignada a cualquier área OSPF (bajo desempeño)

Tipo Stub “PPPoE area”

Tipo default “PPPoE area”

Laboratorio “PPPoE area” (opcional) • •

De una solución para cada problema mencionado previamente si el “area type” usado es “stub” Trate de encontrar una solución para cada problema mencionado anteriormente si el “used area type” = default

Filtros de Ruteo OSPF •

Los filtros de ruteo pueden ser aplicados a los mensajes de actualización de ruteo OSPF entrantes y salientes o Chain “ospf-in” para todos los mensajes de actualización de ruteo entrante o Chain “ospf-out” para todos los mensajes de actualización de ruteo saliente

Academy Xperts

38


•

Los filtros de ruteo pueden manejar solamente rutas OSPF externas (rutas de las redes que no son asignadas a cualquier área OSPF)

Filtros de Ruteo y VPN • •

Es posible cr ear una regla de filtro de ruteo para restringir todas las rutas /32 para que no in gresen a la red OSPF Es necesario tener una ruta agregada a esta red VPN: o Teni endo la dirección de la red VPN agregada a l ainterface del router § Sugerencia: ubique esta dirección en la interface donde el VPN Server es tá ejecutándose § Sugerencia: use la dirección de red, los clientes no estarán habilitados p ara evadir su servicio VPN o Creando ruta estática al router mismo

Regla de Filtros de Ruteo

Academy Xperts

39


Capítulo 4: Ruteo e Interface Point-to-point Vlan, EoIP, direccionamiento punto-a-punto

Virtual LAN (802.1Q) • • • •

Virtual LAN permite a los dispositivos de red ser agrupados en subgrupos independientes incluso si están ubicados en segmentos de Lan diferentes Para que los routers se comuniquen el VLAN ID debe ser el mismo para las intefaces VLAN Los puertos en el router soportan múltiples (hasta 250 4095) VLANs en una interfaz ethernet Una VLAN puede ser configurada sobre otra interfaz VLAN “Q-in-Q” (802.1Q)

Creando una interfaz VLAN

VLAN en Switch • •

•

Los puertos de switch co mpatibles con VLAN pueden ser asignados a uno o var ios grupos basados en VLAN tag Los puertos de switch en cada grupo pueden ser configurados como: o Tagged mode: p ermite añadir VLAN tag de grupos en transmisión y pe rmite recibir frames con este tag o Untagged mode: permite remover VLAN tag de grupos en transmisión, y permite recibir solo paquetes unttaged o : el puerto no tiene relación a este grupo Trunk port: es un puerto taggeado para varios grupos VLAN

Laboratorio VLAN • •

• •

Crear grupos de 4 participantes Conectar los equipos usando wireless o 1 AP o 3 clientes Crear un enlace VLAN para cada participante Asignar redes /30 a los enlaces VLAN y verificarsu funcionalidad

IPIP • •

IPIP (IPv4) permite crear un túnel encapsulando paquetes IP en paquetes IP para enviarlos a otro router IPIP es un túnel en capa 3. No puede ser “bridged” (L2)

Academy Xperts

40


• •

RouterOS implementa túneles IPIP acorde al RFC 2003, por lo tanto es compatible con las implementaciones IPIP de otros vendedores Para crear un túnel se debe especificar la dirección del router local y del router remoto en ambos lados del túnel

Creando una interface IPIP

Laboratorio IPIP • • •

Reemplace todas las VLANs (del laboratorio anterior) con túneles IPIP Verifique que puede hacer “ping” a la dirección remota antes de crear el túnel Asigne direcciones /30 (del laboratorio anterior) a las intefaces IPIP y cheque el funcionamiento de los túneles

Direccionamiento /30

Direccionamiento point-to-point • •

•

El direccionamiento point-to-point utilzia solo dos Ips por enalce mientras /30 utiliza cuatro Ips No hay dirección de broadcast, sino que la dirección de red debe ser configurada manualmente a la dirección IP opuesta. Ejemplo: o Router 1: address=1.1.1.1/32, network=2.2.2.2 o Router 2: address=2.2.2.2/32, network=1.1.1.1 Pueden haber direcciones /32 idénticas en el router. Cada dirección tendrá una diferente ruta conectada

Direccionamiento point-to-point

Academy Xperts

41


Laboratorio de direccionamiento point-to-point • • •

Reemplace todas las direcciones /30 en las interfaces IPIP (del laboratorio anterior) con direcciones point-to-point /32 Asegúrese de que cada participante puede hacer “ping” a su dirección IP XY.XY.XY.XY a través de todos los túneles IPIP Analice cuántas direcciones IP fueron utilizadas en total en túneles IPIP para todo el grupo

Tunel Ethernet Over IP (EoIP) • • • • •

(IP protocol 47/GRE) Tunneling EoIP crea un tunel Ethernet (encapsula frames Ethernet en paquetes IP) entre 2 routers en una conexión IP Tunneling EoIP es un protocolo propetario de Mikrotik RouterOS EoIP es un tunel de L2. Puede ser “bridged” Para crear un tunel se debe especificar la dirección del router remoto y elegir un único Tunnel ID Se debe chequear que la interfaz EOIP tenga una diferente MAC-address que el lado opuesto

Beneficios de Túnel EoIP • • •

Extender LANs sobre Internet Extender LANs sobre túneles encriptados Extender LANs sobre redes wireless “ad-hoc”

Creación de un Tunel EOIP

EOIP y Bridging

Laboratorio EOIP • • • • •

Reemplace las VLANs con túneles EOIP Verificar que es posible hacer “ping” las direcciones remotas antes de crear un túnel hacia el remoto Asignar direcciones /30 a las interfaces EOIP y chequear todos los túneles Hacer bridge de todas las interfaces EOIP con la interfaz local Revisar en el winbox loader la opción “Discovery”

Academy Xperts

42


Capítulo 5: VRRP Virtual Router Redundancy Protocol

VRRP • • • • • • •

La implementación de VRRP en MikroTik RouterOS es compatible con RFC2338 VRRP es un protocolo usado para asegurar el constante a ciertos recursos. 2 o más routers (referidos como routers VRRP) crean un cluster de Alta Disponibilidad (también referidos como Routers Virtuales) con fail-over dinámico Cada router puede participar en hasta 255 routers virtuales por interfaz VRRP Una o más direcciones IP se pueden asignar a un router virtual Un nodo de un router virtual puede tener uno de los siguientes estados: o Master o Backup

VRRP Master/Backup VRRP Master • •

El router adquiere este estado cuando el nodo responde todos los requerimientos a la dirección IP Puede haber solo un nodo MASTER en un router virtual. Este nodo envía paquetes de aviso a todos los routers BACKUP (usando dirección multicast) cada cierto tiempo (este tiempo se configura en la opción interval)

VRRP Backup • •

No responde ningún requerimiento a las direcciones IP de la instancia. Si el MASTER se vuelve no-disponible (si al menos 3 paquetes secuenciales VRRP se pierden) se genera un proceso de elección y se proclama un nuevo MASTER basado en su prioridad.

Notas VRRP • • •

VRRP no trabaja en interfaces VLAN ya que es imposible asegurar que la MAC-address de una VLAN sea diferente de la MAC-address del router virtual El máximo número de clusters en una red es 255 teniendo cada uno un único Virtual Router ID (VRID) Cada router que participa en un cluster VRRP debe tener asignada una prioridad

VRRP: Implementación Básica R1 /system identity set name=R1 /ip address add address=192.168.1.1/24 interface=ether1 /interface vrrp add interface=ether1 vrid=49 priority=254 /ip address add address=192.168.1.254/32 interface=vrrp1

R1

R2

(eth1) 192.168.1.1/24

Master

(eth1) 192.168.1.2/24

vrrp1 192.168.1.254

192.168.1.0/24

Backup

R2 /system identity set name=R2 /ip address add address=192.168.1.2/24 interface=ether1 /interface vrrp add interface=ether1 vrid=49 /ip address add address=192.168.1.254/32 interface=vrrp1

/interface vrrp print (cliente) ping 192.168.1.254 arp -a * observar MAC address de 192.168.1.1 192.168.1.2 192.168.1.254

Academy Xperts

43


VRRP + Internet (router) Apoyo usando ECMP

Internet ECMP

Router (eth1)

(eth2)

(eth3) 172.19.1.1/24

(bridge1) 172.19.1.254/24

(eth3) 172.19.1.2/24

R1

R2

(eth1) 192.168.1.1/24

Master

- Asignar IP a eth3 de R1 y R2 - Router: eth1+eth2 = bridge1 - Asignar IP a bridge1 Aplicar ECMP en Router [@Router] > ip route add dst-address=192.168.1.0/24 gateway=172.19.1.1, 172.19.1.2 check-gateway=ping

(eth1) 192.168.1.2/24

vrrp1 192.168.1.254

Backup

Existen inconvenientes en esta implementación?

192.168.1.0/24

VRRP + Internet (router) Apoyo usando ECMP – Identificando problemas

Internet

Internet

ECMP

ECMP

Router

(eth1)

(eth2)

(eth3) 172.19.1.1/24

(bridge1) 172.19.1.254/24

(eth3) 172.19.1.2/24

R1

R2

(eth1) 192.168.1.1/24

Master

Router

(eth1) 192.168.1.2/24

vrrp1 192.168.1.254

Backup

192.168.1.0/24

ping 172.19.1.254

Academy Xperts

(eth1)

(eth2)

(eth3) 172.19.1.1/24

(eth3) 172.19.1.2/24

R1

R2

(eth1) 192.168.1.1/24

Master

(bridge1) 172.19.1.254/24

(eth1) 192.168.1.2/24

vrrp1 192.168.1.254

Backup

192.168.1.0/24

ping 172.19.1.254

44


VRRP + Internet (router) Apoyo usando ECMP + Bridge + STP

Internet

Router Solución: ECMP +

(bridge1) 172.19.1.254/24

Bridge + STP

Router (bridgeR1R2) 172.19.1.1/24

R1

(eth2)

R1

R2

(eth2)

(eth1) 192.168.1.1/24

Master

[@Router] > interface bridge set bridge1 protocol-mode=stp

(bridgeR2R1) 172.19.1.2/24

[@R1] > interface bridge add name=bridgeR1R2 protocol-mode=stp [@R1] > interface bridge port add interface=ether2 bridge=bridgeR1R2 [@R1] > interface bridge port add interface=ether3 bridge=bridgeR1R2

(eth1) 192.168.1.2/24

vrrp1 192.168.1.254

* la IP (172.19.1.1) se asigna ahora a bridgeR1R2

Backup

R2 [@R2] > interface bridge add name=bridgeR2R1 protocol-mode=stp [@R2] > interface bridge port add interface=ether2 bridge=bridgeR2R1 [@R2] > interface bridge port add interface=ether3 bridge=bridgeR2R1

192.168.1.0/24

* la IP (172.19.1.2) se asigna ahora a bridgeR2R1

VRRP + Internet (router) Apoyo usando VRRP en 172.19.1.0 Internet

Router (bridge1) 172.19.1.254/24

Router [@Router] > interface bridge set bridge1 protocol-mode=stp [@Router] > ip route add dst-address=192.168.1.0/24 gateway=172.19.1.253

Backup

VRRProuter 172.19.1.253

(eth3) 172.19.1.1/24

Master (eth3) 172.19.1.2/24

R1

[@R1] > interface vrrp add name=VRRProuter interface=ether3 vrid=2 priority=100 [@R1] > ip address add address=172.19.1.253/24 interface=VRRProuter

R2

(eth1) 192.168.1.1/24

Master

R1

(eth1) 192.168.1.2/24

vrrp1 192.168.1.254

Backup

R2 [@R2] > interface vrrp add name=VRRProuter interface=ether3 vrid=2 priority=200 [@R2] > ip address add address=172.19.1.253/24 interface=VRRProuter

192.168.1.0/24

Academy Xperts

45


VRRP + Internet (router) Requerimiento de 2 Gateways en LAN

Internet

Router

R1 R1

R2

(eth1) 192.168.1.1/24

(eth1) 192.168.1.2/24

Master

VR1 192.168.1.253

Backup

Backup

VR2 192.168.1.254

Master

/ip address add address=192.168.1.1/24 interface=ether1 /interface vrrp add name=VR1 interface=ether1 vrid=49 priority=254 /interface vrrp add name=VR2 interface=ether1 vrid=77 /ip address add address=192.168.1.253 interface=VR1

R2

192.168.1.0/24

GW: 192.168.1.253

Academy Xperts

/ip address add address=192.168.1.2/24 interface=ether1 /interface vrrp add name=VR1 interface=ether1 vrid=49 /interface vrrp add name=VR2 interface=ether1 vrid=77 priority=254 /ip address add address=192.168.1.254 interface=VR2

GW: 192.168.1.254

46


Capítulo 6: Túneles Introducción Los túneles son una forma de ampliar una red privada a través de una red pública, como Internet. A los Túneles también se les conoce como VPNs (redes privadas virtuales). •

El concepto de seguridad se asocia con VPN. Es recomendable ya que no se desea que el tráfico de los s vaya a través de redes que no son seguras

Se conoce como túnel o tunneling a la técnica que consiste en encapsular un protocolo de red sobre otro (protocolo de red encapsulador) creando un túnel de información dentro de una red de computadoras. El uso de esta técnica persigue diferentes objetivos, dependiendo del problema que se esté tratando, como por ejemplo la comunicación de islas en escenarios multicast, la redirección de tráfico, etc. La técnica de tunelizar se suele utilizar para trasportar un protocolo determinado a través de una red que, en condiciones normales, no lo aceptaría. Otro uso de la tunelización de protocolos es la creación de diversos tipos de redes privadas virtuales. El establecimiento de dicho túnel se implementa incluyendo una PDU (unidad de datos de protocolo) determinada dentro de otra PDU con el objetivo de transmitirla desde un extremo al otro del túnel sin que sea necesaria una interpretación intermedia de la PDU encapsulada. De esta manera se encaminan los paquetes de datos sobre nodos intermedios que son incapaces de ver en claro el contenido de dichos paquetes. El túnel queda definido por los puntos extremos y el protocolo de comunicación empleado, que entre otros, podría ser SSH. Así, el protocolo A es encapsulado dentro del protocolo B, de forma que el primero considera al segundo como si estuviera en el nivel de enlace de datos. Ejemplos de protocolos tunelizados • • • • • • • •

L2TP (Layer 2 Tunneling Protocol) MPLS (Multiprotocol Label Switching) PPTP (Point-to-Point Tunneling Protocol) PPPoE (point-to-point protocol over Ethernet) PPPoA (point-to-point protocol over ATM) IPSec (Internet Protocol security) IEEE 802.1Q (Ethernet VLANs) 6to4 (IPv6 over IPv4 as protocol 41)

RouterOS y Túneles MikroTik RouterOS provee funcionalidad escalable de Autenticación, Autorización y Contabilización •

AAA = Authentication Authorization ing (Contabilización)

La autenticación local se logra usando una Base de Datos de y una Base de Datos de Perfil (profile). La configuración del está compuesta por el registro del respectivo (tomado de la Base de Datos de ), el ítem asociado de la Base de Datos de Perfil (profile) y el ítem en la base de datos de Perfil en cual está configurado como default para un servicio dado al que el está autenticando. Las configuraciones del Perfil por default de la base de Datos del Perfil, tienen la prioridad más baja, mientras que las configuraciones de los registros de de de la Base de Datos de tiene la más alta prioridad con la única excepción de que siendo una dirección IP particular toma precedencia sobre los Pools de direcciones IP en las configuraciones local-address y remoteaddress. El soporte para la autenticación RADIUS le proporciona al ISP o al de red la habilidad para manejar el y la contabilidad de s PPP desde un solo servidor a través de una gran red. MikroTik RouterOS tiene un Cliente RADIUS que puede autenticar conexiones PPP, PPPoE, PPTP, L2TP e ISDN. Los atributos recibidos del servidor RADIUS invalidan las configuraciones del Perfil (profile) por default, pero si algunos parámetros no son recibidos, entonces son tomados del Perfil por default respectivo

/ppp profile (perfiles de ) Los perfiles PPP se utilizan para definir los valores por default de los registros de que se almacenan en el submenu /ppp secret. Las configuraciones /ppp secret de la Base de Datos de invalidan las configuraciones /ppp profile correspondientes, excepto que las direcciones IP simples siempre tienen precedencia sobre los Pool de direcciones IP cuando se especifican como parámetros en local-addres o remote-address. Los PPP profiles representan los parámetros de configuración para ser utilizado por los clientes PPP, pero no limitados a: • Dirección IP o Pool de direcciones (remotas o locales) • Compresión • Cifrado /ppp profile (example from a client) add change-t-mss=yes name=Profile-external\ use-compression=yes use-encryption=yes use-vj-compression=no /ppp profile (example from a server) add change-t-mss=yes local-address=192.168.222.1\ name=Profile-external remote-address=192.168.222.2 use-compression=yes\ use-encryption=yes use-vj-compression=no add change-t-mss=no dns-server=192.168.5.1 local-address=192.168.5.1 name=Profile-internal\ remote-address=Pool-VPN use-compression=yes use-encryption=yes use-vj-compression=no

Academy Xperts

47


Parámetros • • •

• • • • •

• • •

•

•

• • • •

•

address-list (string; Default: ) .- Especifica el nombre del address-list a donde se agregarán las direcciones asignadas PPP bridge (string; Default: ) .- Nombre de la interface bridge a la que se agregará la interface ppp como un puerto esclavo. Ambos puntos finales del tunel (server y cliente) deben estar en un bridge para que esto funcione. change-t-mss (yes | no | default; Default: default) .- Permite cambiar la configuración de la conexión MSS o yes : ajusta el valor de la conexión MSS o no : no ajusta el valor de la conexión MSS o default : obtiene este valor del perfil por default de la interface comment (string; Default: ) .- Campo para escribir un comentario dhv6-pd-pool (string; Default: ) .- Nombre del Pool Ipv6 que se usará para el servidor DHv6-PD creado dinámicamente cuando los clientes se conectan. dns-server (IP; Default: ) .- Dirección IP del server DNS que se suministra a los clientes PPP idle-timeout (time; Default: ) .- Especifica la cantidad de tiempo luego del cual el enlace se terminará si es que no hay actividad presente. incoming-filter (string; Default: ) .- Nombre del chain de firewall para paquetes entrantes. El chain especificado obtiene el control para cada paquete que viene del cliente. El chain PPP debería ser agregado manualmente, y también deberían agregarse las reglas con action=jump jump-target=ppp a otros chains relevantes para que esta característica funcione. local-address (IP address | pool; Default: ) .- Especifica la dirección del túnel o el nombre del Pool del cual se asigna la dirección a la interface PPP local name (string; Default: ) .- Nombre del Perfil PPP only-one (yes | no | default; Default: default) .- Define si es que un está permitido tener más de una conexión a la vez. o yes – Un NO está permitido tener más de una conexión al mismo tiempo o no – El está permitido a tener más de una conexión a la vez o default – Obtiene este valor del Perfil por default de la Interface outgoing-filter (string; Default: ) .- Nombre del chain de firewall para paquetes salientes. El chain especificado obtiene el control para cada paquete que va hacia el cliente. El chain PPP debería ser agregado manualmente, y también deberían agregarse las reglas con action=jump jump-target=ppp a otros chains relevantes para que esta característica funcione. rate-limit (string; Default: ) .- La limitación de velocidad desde el punto de vista del router se presenta en la siguiente forma (rx es el tráfico de subida del cliente, y tx es el tráfico de bajada del cliente): o rx-rate[/tx-rate] [rx-burst-rate[/tx-burst-rate] [rx-burst-threshold[/txburst-threshold] [rx-burst-time[/tx-burst-time] [priority] [rx-rate-min[/txrate-min]]]] o Todas las velocidades están medidas en bits-por-segundo (bps), a menos que le siga el sufijo k (kilobits por segundo) o el sufijo M (megabits por segundo) o Si no se especifica el tx-rate, entonces el rx-rate sirve también como tx-rate o Lo mismo aplica para tx-burst-rate, tx-burst-threshold y tx-burst-time. Si rx-burstthreshold y tx-burst-threshold no se especifican (but burst-rate está especificado), rxrate y tx-rate se utilizan como burst thresholds. o Si rx-burst-time y tx-burst-time no se especifican, se utiliza 1s como default. La prioridad toma los valores 1..8, donde 1 representa a la prioridad más alta, y 8 la prioridad más baja. o Si rx-rate-min y tx-rate-min no se especifican, entonces se utilizan los valores rx-rate y txrate o Los valores de rx-rate-min y tx-rate-min no pueden exceder a los valores rx-rate y tx-rate. remote-address (IP; Default: ) .- Especifica la dirección del túnel o el nombre del Pool del cual se asigna la dirección a la interface PPP remota remote-ipv6-prefix-pool (string | none; Default: none) .- Asigna el prefijo del Pool IPv6 al cliente e instala la correspondiente ruta IPv6. session-timeout (time; Default: ) .- Especifica el máximo tiempo de conexión que se puede establecer. Por default no se configura límite de tiempo. use-compression (yes | no | default; Default: default) .- Especifica si se usa compresión o no. Esta configuración no afecta los túneles OVPN o yes – Habilita la compresión de datos o no – Deshabilita la compresión de datos o default – Obtiene este valor del Perfil por default de la Interface use-encryption (yes | no | default | require; Default: default) .- Especifica si se usa encriptación o no. Esta configuración no afecta los túneles OVPN o yes – Habilita la encriptación de datos o no – Deshabilita la encriptación de datos o default – Obtiene este valor del Perfil por default de la Interface

Academy Xperts

48


•

•

•

•

use-ipv6 (yes | no | default | require; Default: default) .- Especifica si se permite IPv6. Por default se habilita si es que el paquete IPv6 está instalado. o yes – Habilita el soporte IPv6 o no – Deshabilita el soporte IPv6 o default – Obtiene este valor del Perfil por default de la Interface o require – Requiere explícitamente soporte IPv6 use-mpls (yes | no | default | require; Default: default) .- Especifica si es que se permite MPLS sobre PPP o yes – Habilita el soporte MPLS o no – Deshabilita el soporte MPLS o default – Obtiene este valor del Perfil por default de la Interface o require – Requiere explícitamente soporte MPLS use-vj-compression (yes | no | default; Default: default) .- Especifica si es que se usa el algoritmo de compresión de cabecera Van Jacobson o yes – Habilita la compresión de cabecera Van Jacobson o no – Deshabilita la compresión de cabecera Van Jacobson o default – Obtiene este valor del Perfil por default de la Interface wins-server (IP address; Default: ) .- Permite especificar la dirección IP del servidor WINs para suministrar a los clientes

Notas Importantes •

Existen dos Perfiles por Default que no pueden ser removidos: /ppp profile print Flags: * - default 0 * name="default" use-compression=no use-vj-compression=no use-encryption=no only-one=no change-t-mss=yes 1 * name="default-encryption" use-compression=default use-vj-compression=default use-encryption=yes only-one=default change-t-mss=default

•

Se debe usar el algoritmo de compresión Van Jacobson únicamente si es necesario, ya que se reducen las comunicaciones en canales malos o congestionados. Los argumentos incoming-filter y outgoing-filter agregan reglas de jump dinámicas al chain PPP, donde el argumento jump-target será igual al argumento incoming-filter o outgoing-filter en /ppp profile. Por lo tanto, el chain PPP debe ser agregado manualmente antes de que se cambien estos argumentos. El parámetro only-one se ignora si se usa la autenticación RADIUS Si hay más de 10 conexiones PPP simultáneas, se recomienda apagar (off) la propiedad change-mss, y usar una regla general de cambio MSS en la tabla de mangle, para reducir la utilización del U.

•

• •

/ppp secret (base de datos de ) La Base de Datos de PPP almacena los registros de de PPP con el perfil de PPP asignado a cada . Los PPP secrets se encuentran en PPP servers y también podemos especificar los parámetros básicos y necesarios para autenticar a un cliente, tales como: • • • •

Nombre: Identificación del Contraseña: contraseña del Servicio: el protocolo que está dando servicio (si de dejan en “any” el PPP secret autenticara al a través de algunos de estos servicios (PPPoE, L2TP, PPTP, etc.)) Perfil: el subconjunto de configuración que utilizara este . Los perfiles permiten parámetros a ser utilizados por muchos s sin tener que volver a escribir todo cada vez.

Los clientes no utilizan PPP secrets como credenciales de autenticación. Se especifican en la interfaz del cliente PPP bajo los parámetros de “” y “Contraseña” /ppp secret add name=Pod4-external =pod4-123 profile=Profile-external routes=192.168.4.0/24 add name=alain =alain!! profile=Profile-internal Parámetros •

• • •

caller-id (string; Default: ) .- Para PPTP y L2TP, este parámetro es la dirección IP desde la cual un cliente debe conectarse. Para PPPoE es la dirección MAC (escrito en letras mayúsculas) desde la cual un cliente debe conectarse. Para ISDN es el número del caller (que puede o no puede ser provisto por el operador) desde el cual el cliente debe llamar. comment (string; Default: ) .- Una corta descrición del disabled (yes | no; Default: no) .- Permite especificar si se usará un secret limit-bytes-in (integer; Default: 0) .- Especifica la máxima cantidad de bytes que un cliente puede subir () en una sesión

Academy Xperts

49


• • • • • • •

•

•

limit-bytes-out (integer; Default: 0) .- Especifica la máxima cantidad de bytes que un cliente puede descargar () local-address (IP address; Default: ) .- Dirección IP que será configurada localmente en la interface PPP name (string; Default: ) .- Nombre usado para la autenticación (string; Default: ) .- Contraseña () usada para la autenticación profile (string; Default: default) .- Especifica qué perfil se utilizará remote-address (IP; Default: ) .- Especifica la dirección IP que se asignará a la interface PPP remota remote-ipv6-prefix (IPv6 prefix; Default: ) .- Prefijo IPv6 asignado al cliente PPP. El prefijo se agrega a la lista de prefijo ND que permite la configuración automática de direcciones sin estado en una interface PPP. Esta opción está disponible desde la v5.0 routes (string; Default: ) .- Especifica las rutas que aparecen en el server cuando el cliente se conecta. El formato de la ruta es dst-address gateway metric (por ejemplo 10.1.0.0/24 10.0.0.1 1). Se peude especificar varias rutas separando con comas. Este parámetro será ignorado por OpenVPN service (any | async | isdn | l2tp | pppoe | pptp | ovpn | sstp; Default: any) .- Especifica el tipo de servicio que un específico podrá utilizar.

/ppp active (s activos) Este submenú permite minitorear los s activos o s conectados. Representa el estado actual de las conexiones. Útil para depurar y verificar el funcionamiento correcto de sus túneles. • /ppp active print mostrará todos los s conectados actualmente • /ppp active print stats mostrará los bytes y paquetes recibidos /ppp active print detail Flags: R - radius 0 name=”alain” service=pppoe caller-id=”28:D2:44:2C:06:EE”\ address=192.168.5.100 uptime=3m56s encoding=”MPPE128 statefull” session-id=0x81B00044\ limit-bytes-in=0 limit-bytes-out=0 1 name=”Pod4-external” service=pppoe caller-id=”D4:CA:6D:8E:1ª:97”\ address=192.168.222.2 uptime=37s encoding=”MPPE128 stateless” session-id=0x81B00045\ limit-bytes-in=0 limit-bytes-out=0 /ppp active print Flags: R – radius # NAME 0 alainpppoe 1 Pod4-exte... pppoe

SERVICE CALLER-ID 28:D2:44:2C:06:EE D4:CA:6D:8E:1ª:97

ADDRESS 192.168.5.100 192.168.222.2

UPTIME 4m12s 53s

ENCODING MPPE128 statefull MPPE128 stateless

Parámetros • •

• • • • • •

• • •

address (IP address) .- La dfirección IP que el cliente obtiene del server bytes (integer) .- Cantidad de bytes transferidos a través de esta conexión. La primera representa la cantidad de tráfico transmitido desde el punto de vista del router, mientras que la segunda muestra la cantidad de tráfico recibido. caller-id (string) .- Para PPTP y L2TP es la dirección IP desde la que el cliente está conectado. Para PPPoE es la dirección MAC desde la que el cliente está conectado. encoding (string) .- Muestra la encriptación y codificación (separado con “/” si es asimétrico) que está siendo usado en esta conexión. limit-bytes-in (integer) .- Máxima cantidad de bytes que el está permitido enviar al router limit-bytes-out (integer) .- Máxima cantidad de bytes que el está permitido enviar al cliente name (string) .- Nombre de proporcionado en la fase de autenticación packets (integer/integer) .- Cantidad de paquetes transferidos a través de esta conexión. La primera representa la cantidad de tráfico transmitido desde el punto de vista del router, mientras que la segunda muestra la cantidad de tráfico recibido. service (async | isdn | l2tp | pppoe | pptp | ovpn | sstp) .- Tipo de servicio que el está usando session-id (string) .- Muestra el identificador de cliente único uptime (time) .- Tiempo de actividad del

/ppp aaa (AAA remoto) Las configuraciones en este menú permiten sonfigurar la contabilización (ing) y autenticación (authentication) RADIUS. La base de datos de RADIUS se consulta únicamente si el nombre (name) requerido no se encuentra en la base de datos de local Parámetros • • •

ing (yes | no; Default: yes) .- Habilita la contabilización (ing) RADIUS interim-update (time; Default: 0s) .- Intervalo de tiempo de actualización interino use-radius (yes | no; Default: no) .- Habilita la autenticación de vía RADIUS. Si no se encuentra le entrada en la base de datos Secret Local, entonces el cliente será autenticado vía RADIUS.

Academy Xperts

50


/ppp client (cliente PPP) Parámetros • • • • • • • • • • • • • • •

• • • • • • • • • •

add-default-route (yes | no; Default: no) .- Especifica si se agrega la ruta por default para encaminar todo el tráfico sobre el túnel. allow (pap | chap | mschap1 | mschap2; Default: pap,chap,mschap1,mschap2) .- Especifica los protocolos permitidos a usar para la autenticación apn (string; Default: ) .- Nombre del Access Point (APN = Access Point Name) del Proveedor de Servicio comment (string; Default: ) .- Nombre que describe el item data-channel (integer; Default: 0) .- Especifica cuál de los canales de puertos es usado para transferir datos. default-route-distance (integer; Default: 1) .- A partir de la v6.2, configura el valor distancia aplicado para la ruta por default creada automáticamente, si es que también se ha seleccionado add-default-route dial-command (string; Default: "ATDT") .- Comando dial que se va a usar. Por default se configura el modo del tono de marcado dial-on-demand (yes | no; Default: no) .- Habilita/deshabilita dial on demand disabled (yes | no; Default: yes) .- Especifica si es que la interface esta deshabilitada o no. Por default está deshabilitada info-channel (integer; Default: 0) .- Especifica cuál de los canales de puerto (por channels) se utiliza para info keepalive-timeout (integer [0..4294967295]; Default: 30s) .- Keepalive timeout PPP en segundos max-mru (integer; Default: 1500) .- Unidad de Recepción Máxima (MRU = Maximum Receive Unit). Tamaño máximo del paquete que la interface PPP estará habilitada para recibir sin fragmentación de paquetes max-mtu (integer; Default: 1500) .- Unidad de Tránsmisión Máxima (MTU = Maximum Transmission Unit). Tamaño máximo del paquete que la interface PPP estará habilitada para enviar sin fragmentación de paquetes modem-init (string; Default: "") .- String de inicialización del modem mrru (disabled | integer; Default: disabled) .- Máximo tamaño del paquete que puede ser recibido en el enlace. Si un paquete es más grande que el tunel MTU, será dividido en múltiples paquetes, permitiendo que el tamaño total de los paquetes IP o Ethernet sean enviados sobre el túnel. name (string; Default: ) .- Nombre descriptivo de la interface null-modem (yes | no; Default: no) .- Habilita/deshabilita el modo null-modem (cuando está habilitado, no se envían cadenas de inicialización al modem) (string; Default: "") .- Contraseña () usada para autenticación phone (string; Default: "") .- Número de teléfono para marcar (dial-out) pin (string; Default: "") .- Código de Pin de las Tarjetas SIM port (string; Default: "") .- Nombre del puerto Serial o USB donde está conectado el modem profile (name; Default: default) .- Perfil PPP que se utiliza remote-address (IP Address; Default: ) .- Dirección IP remota use-peer-dns (yes | no; Default: yes) .- Usa las configuraciones DNS server del servidor remoto (string; Default: ) .- Nombre de usado para autenticación

/ip pool El Pool IP define un rango de direcciones IP que es utlizado por el Server DH y también por los Servers Point-to-Point. Es decir que no sólo es utilizado para DH, sino que también se puede utilizar para los clientes PPP y Hotspot. Útil cuando una interfaz puede dar servicio a muchos clientes. Las direcciones se asignan a partir del Pool de forma automática. Rangos de IPs son listas de direcciones IP que no se repiten entre si y que se pueden asignar a los clientes a través de servicios (DH, PPP, Hotspot). Parámetros • • •

name (name) .- El nombre del Pool next-pool (name) .- Cuando la dirección se adquiere de un pool que no tiene direcciones libres, y la propiedad next-pool está configurada a otro pool, entonces la siguiente dirección se obtendrá del next-pool ranges (IP address) .- La lista de dirección IP de los rangos de dirección IP en la forma: desde1-hasta1, desde2-hasta2, …, desdeN-hastaN. Por ejemplo, 10.0.0.1-10.0.0.27,10.0.0.32-10.0.0.47

Vamos a demostrar con un ejemplo. Usted tiene 50 ordenadores de la LAN corporativa y 50 que vienen desde VPN. /ip pool add name=Pool-PC ranges=192.168.5.50-192.168.5.99 add name=Pool-VPN ranges=192.168.5.100-192.168.5.149 Supongamos ahora que usted necesita agregar 50 equipos en el Pool de la LAN /ip pool print # NAME RANGES 0 Pool-PC 192.168.5.50-192.168.5.99 1 Pool-VPN 192.168.5.100-192.168.5.149 /ip pool

Academy Xperts

51


set 0 ranges=192.168.5.50-192.168.5.99,192.168.5.150-192.168.5.199 /ip pool> print # NAME RANGES 0 Pool-PC 192.168.5.50-192.168.5.99 192.168.5.150-192.168.5.199 1 Pool-VPN 192.168.5.100-192.168.5.149 Asignaciones para un servicio • •

Un Pool puede ser asignado para diferentes servicios tales como DH, PPP y Hotspot. Veremos la sintaxis más adelante

Ejercicio: Cómo comunicamos las redes A y B?

PPPoE El protocolo PPPoE (Point to Point Protocolo ver Ethernet) proporciona una amplia istración de , istración de red y beneficios de contabilización (ing) a los ISPs y es de red. En muchos sitios el PPPoE se utiliza principalmente en los ISPs para controlar las conexiones de clientes por xDSL y Cable Modem, así como también por redes Ethernet planas (plain networks). PPPoE es una extensión del estándar PPP. La diferencia entre ambos esta en el medio de transporte, ya que PPPoE utiliza Ethernet en lugar de conexiones de modem serial. Generalmente PPPoE se utiliza para manejar las direcciones IP a clientes basados en autenticación por nombre de (incluso si se requiere también por estación de trabajo) en lugar de la autenticación únicamente por estación de trabajo donde se utiliza direccionamiento estático o DH. Se recomienda no utilizar direccionamiento estático o DH en las mismas interfaces como PPPoE por razones de seguridad. El cliente y server PPPoE trabajan sobre: • • • • •

Cualquier interface Ethernet Capa 2 Wireless 802.11 (Aironet, Cisco, WaveLan, Prism, Atheros) Ethernet 10/100/1000 Mbit/s RadioLan EoIP (túnel Ethernet sobre IP)

Características principales de PPPoE • • • • •

Soporte para cliente y server PPPoE Multilink PPP (MLPPP) MLPPP sobre un enlace simple (habilidad para transmitir frames de tamaño completo) Soporte para B (Bridge Control Protocol). Permite el envío de frames Ethernet sobre enlaces PPP Encriptación MPPE 40bits

Academy Xperts

52


• • •

Encriptación MPPE 128 RSA Autenticación pap, chap, mschap v1, mschap v2 Soporte RADIUS para autenticación y contabilización de clientes

Nótese que cuando el servidor RADIUS está autenticando un con CHAP, MS-CAHPv1 o MS-CHAPv2, el protocolo RADIUS no usa una clave compartida (shared secret), ya que esta calve compartida se utiliza únicamente en la respuesta a la autenticación. Esto significa que si se tiene una clave compartida errónea, el servidor RADIUS aceptará el requerimiento. Se puede entonces utilizar el comando /radius monitor para visualizar el parámetro bad-replies. Este valor debería incrementar cada vez que un cliente intenta conectarse. Conexiones soportadas • •

El Cliente PPPoE MikroTik RouterOS se puede conectar con cualquier servidor PPPoE (concentrador de ) El Servidor PPPoE MikroTik RouterOS (concentrador de ) se puede conectar con múltiples clientes PPPoE (los clientes pueden provenir de casi todos los sistemas operativos y la mayoría de routers)

Operación PPPoE Estados PPPoE tiene 2 estados 1)

Descubrimiento (Discovery) .- Un cliente descubre todos los concentradores de disponible, y selecciona uno de ellos para establecer la sesión PPPoE. Este estado tiene cuatro pasos: a. Inicialización (initialization) b. Oferta (offer) c. Request (requerimiento) d. Confirmación de sesión (sesión confirmation) • PPPoE Discovery utiliza frames Ethernet especiales con su propio tipo de frame Ethernet (0x8863) • Para iniciar el descubrimiento, el cliente PPPoE envía un frame PADI a la dirección Ethernet broadcast FF:FF:FF:FF:FF:FF, y opcionalmente puede especificar un nombre de servicio (service name) • Cuando el server recibe el frame PADI, el server responde con un frame PADO a la dirección Ethernet unicast del Cliente. Puede haber más de un servidor en el rango broadcast del cliente. En tal caso el Cliente colecciona los frames PADO y elige uno para iniciar la sesión. En la mayoría de los casos elige el servidor que responde primero. • El Cliente envía un frame PADR a la dirección Ethernet unicast del Server que elige. Si el Server está de acuerdo en configurar una sesión con este Cliente, entonces asigna recursos para configurar una sesión PPP y asigna un número de Identificación de Sesión (Session ID). Este número se envía de retorno al Cliente en un frame PADS. Cuando el Cliente recibe el frame PADS, conoce la dirección MAC de los servidores y el Session ID, asigna los recursos y la sesión puede comenzar.

2)

Sesión (Session) .- Cuando se completa el estado Discovery, ambas partes conocen el PPPoE Session ID y la dirección MAC Ethernet de cada uno, con lo cual juntos definen la sesión PPPoE. Los frames PPPoE son encapsulados en frames de sesión PPPoE, los mismos que tienen un tipo de frame Ethernet 0x8864 Cuando el Server envía la confirmación y el Cliente la recibe, se inicia el estado de Sesión PPP que consiste de los siguientes pasos: a. Negociación L b. Autenticación c. Negociación IP, donde se le asigna una dirección IP al Cliente

Academy Xperts

53


El Server PPPoE envía paquetes Echo-Request al Cliente para determinar el estado de la sesión, de otra forma el Server no podrá determinar que la sesión está terminada en los casos en que el Cliente termina la sesión sin enviar el paquete Terminate-Request

Tipos de paquetes utilizados PADI – PPPoE Active Discovery Initialization El Cliente PPPoE envía un paquete PADI a la dirección broadcast. Este paquete también puede poblar el campo service-name si un nombre de servicio ha sido ingresado en las propiedades de networking dial-up del cliente PPPoE. Si no se ha ingresado un service-name, este campo nos será poblado PADO – PPPoE Active Discovery Offer El Server PPPoE (Concentrador de ) debe responder al PADI con un PADO si el Concentrador de está habilitado para servir el campo service-name que ha sido listada en el paquete PADI. Si ningún campo service-name ha sido listado, el Concentrador de responderá con un paquete PADO que tiene el campo service-name poblado con los nombres de servicio que el Concentrador de puede servir. El paquete PADO se envía a la dirección unicast del cliente PPPoE PADR – PPPoE Active Discovery Request Cuando se recibe un paquete PADO, el Cliente PPPoE responde con un paquete PADR. Este paquete se envía a la dirección unicast del Concentrador de . El cliente puede recibir múltiples paquetes PADO, pero el cliente responde al primer PADO válido que el cliente recibió. Si el paquete inicial PADI tiene un campo service-name en blanco, el cliente puebla el campo service-name del paquete PADR con el nombre del primer servicio que retorna en el paquete PADO. PADS – PPPoE Active Discovery Session confirmation Cuando se recibe el PADR, el Concentrador de genera una identificación de sesión única (ID) para la sesión PPP y regresa este ID al Cliente PPPoE en el paquete PADS. Este paquete es enviado a la dirección unicast del Cliente. PADT – PPPoE Active Discovery Terminate Puede ser enviado en cualquier momento después de que se establece una sesión para indicar una sesión PPPoE terminada. Puede ser enviada por el Server como por el Cliente.

MTU Típicamente el frame Ethernet más grande que se puede transmitir sin fragmentación es 1500 bytes. El protocolo PPPoE agrega 6 bytes de overhead y el campo PPP agrega 2 bytes más, dejando 1492 bytes para el datagrama IP. Por lo tanto los valores máximos de MTU y MRU para PPPoE no deben ser mayores a 1492. Las pilas T tratan de evitar la fragmentación, por lo que usan un MSS (Maximum Segment Size). Por default el MSS es elegido como el MTU de la interface saliente menos el tamaño usual de las cabeceras IP y T (40 bytes), lo cual resulta en 1460 bytes para una interface Ethernet. Desafortunadamente puede haber enlaces intermedios con un MTU más bajo el cual puede ocasionar fragmentación. En tal caso, la pila T ejecuta un path MTU discovery. Los routers que no pueden pasar el datagrama sin fragmentación se supone que abandonarán/rechazarán (drop) el paquete y enviarán un mensaje ICMP-Fragmentation-Required al host origen. Cuando el host recibe este paquete ICMP, intenta disminuir el MTU. Esto debería funcionar en un esquema ideal, sin embargo en el mundo real muchos routers no generan los datagramas fragmentation-requiered, y también muchos firewalls abandonan/rechazan (drop) todos los datagramas ICMP. La solución para este problema es ajustar el MSS si es que es demasiado grande. Por default el RouterOS agrega reglas de mangle para interceptar los paquetes T SYN y silenciosamente ajusta cualquier opción MSS anunciando la que será apropiada para el enlace PPPoE.

pppoe client (Cliente PPPoE) Propiedades • • • • •

• • •

ac-name (string; Default: "") .- Nombre del Concentrador de . Este campo puede ser dejado en blanco y el cliente se conectará a cualquier Concentrador de en el dominio de broadcast. add-default-route (yes|no; Default: no) .- Habilita/Deshabilita si es que se agregará automáticamente la ruta por default. allow (mschap2 | mschap1 | chap | pap; Default: mschap2, mschap1, chap, pap) .- Especifica los métodos de autenticación permitidos. Por default todos los métodos están permitidos. default-route-distance (byte [0..255]; Default: 1) .- Configura el valor de distancia aplicado para la ruta por default creada automáticamete, si es que también se ha seleccionado add-default-route dial-on-demand (yes | no; Default: no) .- Se conecta al Concentrador de únicamente cuando se genera tráfico de salida. Si esta opción está seleccionada, entonces la ruta con la dirección del gateway desde la red 10.112.112.0/24 será agregada mientras la conexión no está establecida interface (string; Default: ) .- Nombre de la interface en la cual correrá el cliente keepalive-timeout (integer; Default: 60) .- Configura el keepalive timeout en segundos max-mru (integer; Default: 1460) .- Unidad de Recepción Máxima (MRU = Maximum Receive Unit).

Academy Xperts

54


• •

• • • • • •

max-mtu (integer; Default: 1460) .- Unidad de Tránsmisión Máxima (MTU = Maximum Transmission Unit mrru (disabled | integer 512..65535; Default: disabled) .- Máximo tamaño del paquete que puede ser recibido en el enlace. Si un paquete es más grande que el tunel MTU, será dividido en múltiples paquetes, permitiendo que el tamaño total de los paquetes IP o Ethernet sean enviados sobre el túnel name (string; Default: ) .- Nombre de la interface PPPoE. Se genera automáticamente por el RouterOS si es que no se especifica. (string; Default: "") .- Contraseña () usado para la autenticación profile (name; Default: default-encryption) .- Especifica el perfil por default para la conexión definida en /ppp profiles service-name (string; Default: "") .- Especifica el nombre de servicio configurado en el Concentrador de . Puede ser dejado en blanco para conectarse a cualquier Server PPPoE use-peer-dns (yes|no; Default: no) .- Habilita/Deshabilita la obtención de las configuraciones DNS desde su peer (string; Default: ) .- Nombre de ( name) usado para la autenticación

PPPoE service-name • •

El service-name puede ser visto como el SSID de 802.11, lo que significa que es el nombre de red que el cliente este buscando. A diferencia del SSID, si el cliente no especifica uno, el concentrador de (servidor PPPoE) enviara todos los service-names que istre. El cliente responderá al primero que llegue.

Status El comando /inteface pppoe-client monitor mostrará el estatus PPPoE actual Propiedades • • • • • • • • • •

•

ac-mac (MAC address) .- La dirección MAC del Concentrador de al que el Cliente está conectado ac-name (string) .- Nombre del Concentrador de active-links (integer) .- Número de las conexiones MLPPP unidas (‘1’ si no se está usando MLPPP) encoding (string) .- Encriptación y codificación (si es asimétrico, separado con ‘/’) que está siendo usado en esta conexión. local-address (IP Address) .- Dirección IP asignada al cliente remote-address (IP Address) .- Dirección IP remota asignada al Server (por ejemplo la dirección del Gateway) mru (integer) .- MRU efectivo del enlace mtu (integer) .- MTU efectivo del enlace service-name (string) .- Nombre del servicio utilizado status (string) .- Estatus actual del enlace. Los valores disponibles son: • dialing (marcando) • ing ... (verificando contraseña) • connected (conectado) • disconnected (desconectado) uptime (time) .- Tiempo de conexión mostrado en días, horas, minutos y segundos.

Scanner A partir de la v3.21 RouterOS agregó la herramienta PPPoE Scanner. Esta herramienta permite escanear todos los servidores PPPoE activos en el dominio de broadcast. /interface pppoe-client scan Propiedades • • •

service (string) .- Nombre del servicio configurado en el Server mac-address (MAC) .- Dirección MAC del Server detectado ac-name (string) .- Nombre del Concentrador de

Notas importantes En Windows, algunas instrucciones de conexión pueden usar la forma donde el phone number, por ejemplo MikroTik_AC\mt1, se especifica para indicar que MikroTik_AC es el nombre del Concentrador de (AC), y mt1 es el nombre del servicio. La especificación del MRRU significa que se habilita MP (Multilink para dividir los paquetes grandes en paquetes más pequeños. Networking, botón Configuración, opción “Negociar multi-link para está codificado en 1614. Esta configuración es útil para resolver debe estar habilitada en ambas partes.

PPP) sobre un enlace simple. Este protocolo se utiliza En Windows esto se puede habilitar en la pestaña conexiones de enlace simple”. El MRRU en Windows fallas de PathMTU Discovery. La configuración MP

Configuración del Server PPPoE (Concentrador de ) /interface pppoe-server server

Academy Xperts

55


El Server PPPoE (Concentrador de ) soporta múltiples servers para cada interface, con diferentes nombres de servicio (service-name). El Throughput del Server PPPoE ha sido probado a 160 Mbps en un U Celeron 600. El uso de Us de mayor velocidad debería incrementar proporcionalmente el Throughput. El nombre del Concentrador de y el nombre del servicio PPPoE son usados por los clientes para identificar el concentrador de al cual se quieren registrar. El nombre del concentrador de es el mismo que la identidad del router que se muestra antes del command prompt. La identidad se puede configurar en /system identity Es importante recordar que si no se especifica un nombre de servicio en Windows XP, únicamente usará un servicio sin nombre. Por lo tanto si se desea atender clientes Windows XP, se debe dejar el nombre de servicio vacío. Propiedades • • • •

•

•

• •

• •

authentication ( mschap2 | mschap1 | chap | pap; Default: "mschap2, mschap1, chap, pap") .- Algoritmo de autenticación. default-profile (string; Default: "default") .- Perfil de por default que se va a utilizar interface (string; Default: "") .- Interface a la que los clientes se conectan keepalive-timeout (time; Default: "10") .- Define el período de tiempo (en segundos) después del cual el router inicia el envío de paquetes keepalive cada segundo. Si es que no existe tráfico y no arriban respuestas keepalive en ese período de tiempo (por ejemplo, 2*keepallive-timeout), el cliente que no responde se proclama como desconectado. max-mru (integer; Default: "1480") .- Maximum Receive Unit. El valor óptimo es el MTU de la interface en la que el túnel está trabajando, disminuido en 20. Por ejemplo, para un enlace Ethernet de 1500-bytes, se debe configurar el MTU en 1480 para evitar la fragmentación de paquetes. max-mtu (integer; Default: "1480") .- Maximum Transmission Unit. El valor óptimo es el MTU de la interface en la que el túnel está trabajando, disminuido en 20. Por ejemplo, para un enlace Ethernet de 1500-bytes, se debe configurar el MTU en 1480 para evitar la fragmentación de paquetes. max-sessions (integer; Default: "0") .- Número máximo de clientes que el Concentrador de puede atender. 0 (cero) significa que no hay limitantes. mrru (integer: 512..65535 | disabled; Default: "disabled") .- Tamaño máximo del paquete que puede ser recibido en el enlace. Si un paquete es más grande que el túnel MTU, será divido en múltiples paquetes, permitiendo el tamaño completo de los paquetes IP o Ethernet que serán enviados a través del túnel. one-session-per-host (yes | no; Default: "no") .- Se permite únicamente una sesión por host (determinado por la dirección MAC). Si un host intenta establecer una nueva sesión, la anterior será cerrada. service-name (string; Default: "") .- El nombre de servicio PPPoE. El servidor aceptará clientes a los cuales envía el mensaje PADI con service-names que concuerden con esta configuración o si el campo de servicename en el mensaje PADI no está configurado.

Notas importantes El valor por default de 10 segundos del parámetro keepalive-timeout es adecuado en la mayoría de los casos. Si se configura este parámetro como 0 (cero), el router no desconectará a los clientes hasta que ellos explícitamente hagan log-out o hasta que el router reinicie. Para resolver este problema, se puede utilizar la propiedad one-session-perhost. Como punto importante de seguridad recuerde que no debe asignar una dirección IP a la interface en la cual se recibirán los requerimientos PPPoE. La especificación del MRRU significa que se habilita MP (Multilink para dividir los paquetes grandes en paquetes más pequeños. Networking, botón Configuración, opción “Negociar multi-link para está codificado en 1614. Esta configuración es útil para resolver debe estar habilitada en ambas partes.

PPP) sobre un enlace simple. Este protocolo se utiliza En Windows esto se puede habilitar en la pestaña conexiones de enlace simple”. El MRRU en Windows fallas de PathMTU Discovery. La configuración MP

PPPoE Server (Servidor PPPoE) /interface pppoe-server Una interface se crea por cada túnel establecido al servidor dado. Las interfaces estáticas se agregan istrativamente si es que existe la necesidad de referenciar el nombre de la interface en particular (en reglas en firewall u otro lugar) creada para el en particular. Se crea una interface por cada túnel establecido al servidor. Existen dos tipos de interfaces en la configuración PPTP Server •

•

Las interfaces estáticas se agregan istrativamente si es que existe una necesidad para referenciar el nombre de interface en particular (por ejemplo en las reglas de firewall o en algún otro lugar) creada para un en particular. Las interfaces dinámicas son agregadas a esta lista automáticamente si es que un está conectado y su nombre de (name) no coincide con cualquier entrada estática existente (o en caso de que la entrada ya está activa, ya que no puede haber dos interfaces de túnel separadas referenciadas por el mismo nombre. Si existe problema se debe configurar el valor one-session-per-host.

Academy Xperts

56


Las interfaces dinámicas aparecen cuando un se conecta y desaparece una vez que el se desconecta, por lo que es imposible hacer referencia al túnel creado con ese fin en la configuración del router (por ejemplo, en firewall), así que si se necesitan reglas persistentes para ese , se debe crear una entrada estática para ese . De lo contrario es seguro usar la configuración dinámica. Es importante notar que en ambos casos los s PPP deben ser configurados apropiadamente. Las entradas estáticas no reemplazan la configuración PPP. Propiedades • • • • • • • •

encoding (read-only: text) .- Encriptación y codificación (si es asimétrico, separado con ‘/’) que está siendo usado en esta conexión. mru (integer) .- MRU del cliente mtu (integer) .- MTU del cliente name (name) .- Nombre de la interface remote-address (read only: MAC address) .- Dirección MAC del cliente conectado service (string) .- Nombre del servicio al que el está conectado uptime (time) .- Tiempo que el cliente ha estado conectado (name) .- Nombre del conectado (debe estar presente en la base de datos de )

Creando un PPPoE server • • • •

•

Un PPPoE server es el dispositivo que ofrece el servicio de tunelización Permite a los clientes obtener un servicio de VPN seguro a la capa 3 a través de la infraestructura de la capa 2. Usted no puede llegar a un servidor PPPoE a través de routers. Ya que es un protocolo de capa 2, el servidor solo se puede llegar a través del mismo dominio de difusión Ethernet a la que los clientes pertenecen. Antes de crear el servidor, creamos los parámetros de configuración que usted requiere tales como: o IP Pool o PPP profiles PPP secrets Crear la interfaz de servidor de la interfaz física frente a los clientes Ejemplo:

/ip pool add name=Pool-PC ranges=192.168.5.50-192.168.5.99, 192.168.5.150-192.168.5.199 add name=Pool-VPN ranges=192.168.5.100-192.168.5.149 /ppp profile add change-t-mss=yes local-address=192.168.222.1 name=Profile-external remote-address=192.168.222.2 use-compression=yes use-encryption=yes \ use-vj-compression=no

\

add change-t-mss=no dns-server=192.168.5.1 local-address=192.168.5.1\ name=Profile-internal remote-address=Pool-VPN use-compression=yes\ use-encryption=yes use-vj-compression=no /ppp secret add name=Pod4-external =pod4-123 profile=Profile-external add name=alain =alain!! profile=Profile-internal

routes=192.168.4.0/24

/interface pppoe-server server add authentication=mschap2 default-profile=Profile-external disabled=no \ interface=ether1 mrru=1600 service-name=PPPoE-external add authentication=mschap2 default-profile=Profile-internal disabled=no \ interface=ether5 mrru=1600 service-name=PPPoE-internal Tip: Usted puede dejar un puerto Ethernet sin un puerto maestro, un bridge o una dirección IP y el cliente que está conectado a este puerto pueden conseguir todavía el a Internet si el servidor PPPoE (y el cliente PPPoE) está configurado correctamente. Direcciones Point-to-Point • • •

Direcciones desde /ppp secret tienen prioridad sobre /ppp profile, y ellos tienen prioridad sobre /ip pool. Tanto las direcciones locales y remotas pueden ser únicas o de un Pool Direcciones estáticas o direcciones por medio de DH no se deben utilizar en interfaces de clientes PPPoE.

Creando Clientes PPPoE en un RouterOS • • •

Si desea utilizar un perfil diferente que el de por defecto, crearlo primero. Crear la interfaz de cliente en la interfaz de cara al ISP Ya está!

Ejemplo /ppp profile add change-t-mss=yes name=Profile-external use-compression=yes \ use-encryption=yes use-vj-compression=no /interface pppoe-client add ac-name=" " add-default-route=yes allow=mschap2 default-route-distance=1\

Academy Xperts

57


dial-on-demand=no disabled=no mrru=disabled name=Client-PPPoE peer-dns=no =Pod4-external

interface=ether1 =pod4-123

keepalive-timeout=60 max-mru=1480 max-mtu=1480 profile=Profile-external service-name=" " use-

Habilite la interfaz del cliente. Tip El router no tendría que ser configurado con un cliente DH en la interfaz WAN y esto aún funcionará si el servidor PPPoE está en la misma infraestructura de capa 2 como puerto WAN.

PPTP PPTP es un túnel seguro para transportar tráfico IP usando PPP. PPTP encapsula PPP en líneas virtuales que corren sobre IP. PPTP incorpora PPP y MPPE (Microsoft Point to Point Encryption) para crear enlaces encriptados. El propósito de este protocolo es crear conexiones seguras entre routers y también entre routers y clientes PPTP. Los clientes PPTP están disponibles en casi todos los sistemas operativos, incluso en Windows. RouterOS soporta Multilink PPP (también conocido como MP, MLPPP, MPPP, MLP, o Multilink) con lo cual se provee un método para esparcir el tráfico a través de múltiples conexiones PPP distintas. En una simple línea PPP los frames no pueden arribar fuera de orden, pero esto se puede solucionar si los frames se los divide entre múltiples conexiones PPP. Por este motivo el MP debe numerar los fragmentos para que puedan ser reordenados cuando lleguen al destino. MP es un ejemplo de tecnología de agregación de enlace. MP (Multilink PPP) provee MRRU y capacidad de Bridging a través de enlaces PPP. •

•

MRRU consiste en la habilidad de transmitir paquetes de tamaño 1500 y de mayor tamaño. o MRRU = Maximum Received Reconstructed Unit o El MRRU es similar al MTU (Maximum Transmission Unit), pero solo se aplica a los paquetes Multilink. o El MRRU es el máximo tamaño de paquete que una interface Multilink puede procesar. o Por default el MRRU es 1500 bytes, pero se puede configurar un diferente de MRRU si el equipo con el que va a conversar permite/acepta ese nuevo valor. La capacidad de hacer Bridging se obtiene del uso de B (Bridge Control Protocol) que es el que permite enviar frames Ethernet a través de enlaces PPP.

De esta forma es posible configurar un Bridge (usando PPTP) en lugar de utilizar EoIP. Para esto se necesita que el Bridge tenga una dirección MAC o una interface tipo Ethernet, ya que los enlaces PPP no tienen direcciones MAC. PPTP incluye contabilización (ing) y autenticación (authentication) PPP para cada conexión PPTP. La autenticación y contabilización de cada conexión puede ser hecha a través de un cliente RADIUS o de forma local RouterOS soporta los tipos de encriptación • •

MPPE 40bit RC4 MPPE 128bit RC4

El tráfico PPTP utiliza • •

T puerto 1723 IP protocol GRE o GRE = Generic Routing Encapsulation o GRE = IP protocol ID 47

PPTP puede ser usado con la mayoría de firewalls y routers habilitando T 1723 y GRE (protocolo 47). De esta manera el tráfico puede ser ruteado a través del firewall o router. Las conexiones PPTP pueden resultar muy limitadas o incluso a veces hasta imposibles cuando se configura através de una conexión enmascarada (NATeada). PPTP es un protocolo de túnel que utiliza la información y direccionamiento del enrutamiento IP, para ligar a los clientes a los servidores PPTP. • •

La definición del servidor PPTP es casi lo mismo que para PPPoE, excepto que ninguna interfaz tiene que ser especificada. El cliente se define casi de la misma manera como un cliente PPPoE, excepto que una dirección IP tiene que ser especificada para el servidor.

Consejo: Se debe desbloquear el puerto 1723 en el firewall del router (el servidor PPTP) para que pueda llegar con su tunel. Es un túnel seguro para el transporte de trafico IP mediante PPP. La encapsulación de PPTP en líneas virtuales que corren sobre IP. PPTP incorpora PPP y MPPE (Microsoft Point-to-Point Encryption) para hacer enlaces cifrados. El objetivo de este protocolo es hacer conexiones seguras bien istradas entre los routers, así como entre los router clientes PPTP. Clientes están disponibles para y/o incluido en casi todos los sistemas operativos incluyendo Windows). Se crea una interfaz para cada túnel establecido con el servidor dado. Hay dos tipos de interfaces en la configuración de PPTP. •

Las interfaces estáticas se añaden istrativamente si hay una necesidad de hacer referencia al nombre de la interfaz en particular (en las reglas de firewall) creados por el en particular.

Academy Xperts

58


•

Las interfaces dinámicas se añaden a esta lista de forma automática cada vez que se conecta un y su nombre de no coincide con ninguna entrada estática existente.

Interfaces dinámicas aparecen cuando un se conecta y desaparecen una vez que el se desconecta, por lo que es imposible hacer referencia al túnel creado con ese fin en la configuración del router (por ejemplo, en el servidor de seguridad), así que si necesitas reglas persistentes para ese , crear una entrada estática para el , de lo contrario es seguro usar configuración dinámica. El siguiente ejemplo muestra como conectar un ordenar a un red de oficina remota a través de una túnel PPTP encriptado, dando ese equipo una dirección IP de la misma red que la oficina remota tiene (sin necesidad de tender un bridge sobre túneles EoIP)

El router de la oficina está conectado a internet a través de ether1. Las estaciones de trabajo están conectados a ether2. Las portátiles están conectadas a internet, y puede alcanzar IP publica del router de la oficina (en nuestro ejemplo es 192.168.80.1) Primer paso es crear un /ppp secret add name=Laptop service=pptp =123 local-address=10.1.101.1\ remote-address=10.1.101.100 /ppp secret print detail Flags: X – disabled 0 name=”Laptop” service=pptp caller-id=” ” =”123” profile=default local-address=10.1.101.1 remote-address=10.1.101.100 routes==” “ Observe que la dirección local PPTP es la misma que la dirección del router en la interfaz local y la dirección remota es del mismo rango que la red local (10.1.101.0/24). El siguiente paso es habilitar el servidor PPTP y el cliente PPTP en la computadora portátil. /interface pptp-server server set enabled=yes /interface pptp-server server print Enabled: yes max-mtu: 1460 max-mru: 1460 mrru: disabled authentication: mschap2 keepalive-timeout: 30 default-profiles: default El cliente PPTP de la computadora portátil debe conectarse a routers IP publica que en nuestro ejemplo es 192.168.80.1 (consulte el manual respectivo sobre como configurar un cliente PPTP con el software del sistema operativo que esté utilizando). En este punto (cuando el cliente PPTP está conectado con éxito) si intenta hacer ping a cualquier estación de trabajo que forma parte de la red del ordenador portátil, el ping será el tiempo de espera debido a que el ordenador portátil está en condiciones de obtener aplicaciones de estaciones de trabajo. La solución es la creación de proxy arp en la interfaz local. /interface ethernet set Office arp=proxy-arp /interface ethernet print Flags: X – disabled, R – running # Name MTU MAC-ADDRESS ARP 0 R ether1 1500 00:30:4F:0B:7B:C1 enabled 1 R ether2 1500 00:30:4F:06:62:12 proxy-arp Luego que el proxy-arp este activado, el cliente remoto puede alcanzar con éxito todas las estaciones de trabajo en la red local detrás del router.

Academy Xperts

59


PPTP Client (cliente pptp) • • • • •

• • • • •

• • • •

add-default-route (yes | no; Default: no) .- Especifica si es que se agrega una dirección remota PPTP como una ruta por default allow (mschap2 | mschap1 | chap | pap; Default: mschap2, mschap1, chap, pap) .- Especifica los métodos de autenticación permitidos connect-to (IP; Default: ) .- Dirección remota del servidor PPTP default-route-distance (byte [0..255]; Default: 1) .- Configura el valor de distancia aplicado para la ruta por default creada automáticamete, si es que también se ha seleccionado add-default-route dial-on-demand (yes | no; Default: no) .- Se conecta al servidor PPTP únicamente cuando se genera tráfico de salida. Si esta opción está seleccionada, entonces la ruta con la dirección del gateway desde la red 10.112.112.0/24 será agregada mientras la conexión no está establecida disabled (yes | no; Default: yes) .- Especifica si la interface está deshabilitada o no. Por default está deshabilitada. keepalive-timeout (integer; Default: 60) .- Configura el keepalive timeout en segundos max-mru (integer; Default: 1460) .- Unidad de Recepción Máxima (MRU = Maximum Receive Unit). Tamaño máximo del paquete que la interface PPTP estará habilitada para recibir sin fragmentación de paquetes max-mtu (integer; Default: 1460) .- Unidad de Tránsmisión Máxima (MTU = Maximum Transmission Unit). Tamaño máximo del paquete que la interface PPTP estará habilitada para enviar sin fragmentación de paquetes mrru (disabled | integer; Default: disabled) .- Máximo tamaño del paquete que puede ser recibido en el enlace. Si un paquete es más grande que el tunel MTU, será dividido en múltiples paquetes, permitiendo que el tamaño total de los paquetes IP o Ethernet sean enviados sobre el túnel name (string; Default: ) .- Nombre descriptivo de la interface (string; Default: "") .- Contraseña () usado para la autenticación profile (name; Default: default-encryption) .- Especifica el perfil PPP que se usa (string; Default: ) .- Nombre de ( name) usado para la autenticación

PPTP Server (servidor pptp) Se crea una interface por cada túnel establecido al servidor. Existen dos tipos de interfaces en la configuración PPTP Server •

•

Las interfaces estáticas son istrativamente agregadas si es que existe una necesidad para referenciar el nombre de interface en particular (por ejemplo en las reglas de firewall o en algún otro lugar) creada para un en particular. Las interfaces dinámicas son agregadas a esta lista automáticamente si es que un está conectado y su nombre de (name) no coincide con cualquier entrada estática existente (o en caso de que la entrada ya está activa, ya que no puede haber dos interfaces de túnel separadas referenciadas por el mismo nombre)

Las interfaces dinámicas aparecen cuando un se conecta y desaparece una vez que el se desconecta, por lo que es imposible hacer referencia al túnel creado con ese fin en la configuración del router (por ejemplo, en firewall), así que si se necesitan reglas persistentes para ese , se debe crear una entrada estática para ese . De lo contrario es seguro usar la configuración dinámica. Nota Importante En ambos casos los s PPP deben ser configurados apropiadamente, las entradas estáticas no reemplazan la configuración PPP Parámetros • • • •

• • •

authentication (pap | chap | mschap1 | mschap2; Default: mschap1,mschap2) .- Especifica los métodos de autenticación que el servidor aceptará default-profile (name; Default: default-encryption) .- Perfil PPP por default que se usará enabled (yes | no; Default: no) .- Define si es que el servidor PPTP está habilitado o no keepalive-timeout (time; Default: 30) .- Si el servidor durante el período keepalive no recibe ningún paquete, se enviará paquetes keepalive cada segundo por cinco veces. Si el server no recibe respuesta del cliente, entonces se desconecta después de 5 segundos. La bitácora de eventos (LOG) mostrará 5 veces los mensajes “L missed echo reply” y luego se desconectará. max-mru (integer; Default: 1460) .- Unidad de Recepción Máxima (MRU = Maximum Receive Unit). Tamaño máximo del paquete que la interface PPTP estará habilitada para recibir sin fragmentación de paquetes max-mtu (integer; Default: 1460) .- Unidad de Tránsmisión Máxima (MTU = Maximum Transmission Unit). Tamaño máximo del paquete que la interface PPTP estará habilitada para enviar sin fragmentación de paquetes mrru (disabled | integer; Default: disabled) .- Máximo tamaño del paquete que puede ser recibido en el enlace. Si un paquete es más grande que el tunel MTU, será dividido en múltiples paquetes, permitiendo que el tamaño total de los paquetes IP o Ethernet sean enviados sobre el túnel

L2TP L2TP es un protocolo de túnel seguro para transportar tráfico IP usando PPP.

Academy Xperts

60


L2TP encapsula PPP en líneas virtuales que corren sobre IP, frame Relay y otros protocolos (que no son soportados actualmente por MikroTik RouterOS) L2TP incorpora PPP y MPPE (Microsoft Point to Point Encryption) para crear enlaces encriptados. El propósito de este protocolo es permitir que los extremos PPP y Capa 2 residan en diferentes dispositivos interconectados por una red conmutada de paquetes (packet-switched network) Con L2TP, un tiene una conexión en Capa 2 a un concentrador de – LAC (ejemplo: manco de módems, ADSL DSLAM, etc.), y el concentrador entonces hace túneles de frames PPP individuales al Servidor de de Red (NAS = Network Access Server). Esto permite que el procesamiento real de paquetes PPP sea separado de la terminación del circuito de Capa 2. Desde la perspectiva del , no existe diferencia funcional entre tener que el circuito en Capa 2 termine en un NAS directamente o usando L2TP. Puede ser útil usar L2TP únicamente como cualquier otro protocolo de túnel con o sin encriptación. El estándar L2TP establece que la forma más segura de encriptar datos es usar L2TP sobre IPsec (este es el modo por default para cliente Microsoft L2TP) ya que todos los paquetes de control y datos de L2TP de un túnel aparecen como paquetes de datos UDP/IP homogéneos para el sistema IPsec. Se soporta Multilink PPP (MP) para poder proveer MRRU (la habilidad para transmitir paquetes de 1500 y más grandes) y Bridging sobre enlaces PPP (usando B=Bridge Control Protocol, el cual permite enviar frames Ethernet sobre enlaces PPP). De esta forma es posible configurar Bridging sin EoIP. El bridge debería tener ya sea una dirección MAC istrativa o una interface tipo Ethernet, ya que los enlaces PPP no tienen direcciones MAC. L2TP incluye autenticación (authentication) y contabilización (ing) PPP para cada conexión L2TP. Una completa autenticación y contabilización de cada conexión puede ser realizada a través de un cliente RADIUS o localmente. Métodos de encriptación soportados • •


El protocolo L2TP utiliza el protocolo UDP para los paquetes de control y de datos. El puerto UDP 1701 se utiliza únicamente para establecer el enlace, el tráfico adicional puede utilizar cualquier puerto UDP (que puede o no ser el 1701). Esto significa que L2TP puede ser usado con la mayoría de firewalls y routers (incluso con NAT) tan solo habilitando que el tráfico UDP sea ruteado a través del firewall o del router.

L2TP Client (cliente l2tp) • • • • • •

• • • • •

• • • •

add-default-route (yes | no; Default: no) .- Especifica si es que se agrega una dirección remota L2TP como una ruta por default allow (mschap2 | mschap1 | chap | pap; Default: mschap2, mschap1, chap, pap) .- Especifica los métodos de autenticación permitidos connect-to (IP; Default: ) .- Dirección remota del servidor L2TP coment (string; Default: ) .- Breve descripción del túnel default-route-distance (byte; Default:) .- Desde la v6.2 se configura el valor de distancia aplicado para la ruta por default creada automáticamete, si es que también se ha seleccionado add-default-route dial-on-demand (yes | no; Default: no) .- Se conecta únicamente cuando se genera tráfico de salida. Si esta opción está seleccionada, entonces la ruta con la dirección del gateway desde la red 10.112.112.0/24 será agregada mientras la conexión no está establecida disabled (yes | no; Default: yes) .- Especifica si la interface está deshabilitada o no. Por default está deshabilitada. keepalive-timeout (integer [1..4294967295]; Default: 60s) .- Desde l av6.0rc13, el keepalive timeout en segundos max-mru (integer; Default: 1460) .- Unidad de Recepción Máxima (MRU = Maximum Receive Unit). Tamaño máximo del paquete que la interface L2TP estará habilitada para recibir sin fragmentación de paquetes max-mtu (integer; Default: 1460) .- Unidad de Tránsmisión Máxima (MTU = Maximum Transmission Unit). Tamaño máximo del paquete que la interface L2TP estará habilitada para enviar sin fragmentación de paquetes mrru (disabled | integer; Default: disabled) .- Máximo tamaño del paquete que puede ser recibido en el enlace. Si un paquete es más grande que el tunel MTU, será dividido en múltiples paquetes, permitiendo que el tamaño total de los paquetes IP o Ethernet sean enviados sobre el túnel name (string; Default: ) .- Nombre descriptivo de la interface (string; Default: "") .- Contraseña () usado para la autenticación profile (name; Default: default-encryption) .- Especifica el perfil PPP que se usa (string; Default: ) .- Nombre de ( name) usado para la autenticación

L2TP Server (servidor l2tp) Se crea una interface por cada túnel establecido al servidor. Existen dos tipos de interfaces en la configuración L2TP Server •

Las interfaces estáticas son agregadas istrativamente si es que existe una necesidad para referenciar el nombre de interface en particular (por ejemplo en las reglas de firewall o en algún otro lugar) creada para un en particular.

Academy Xperts

61


•

Las interfaces dinámicas son agregadas a esta lista automáticamente si es que un está conectado y su nombre de (name) no coincide con cualquier entrada estática existente (o en caso de que la entrada ya está activa, ya que no puede haber dos interfaces de túnel separadas referenciadas por el mismo nombre)

Las interfaces dinámicas aparecen cuando un se conecta y desaparece una vez que el se desconecta, por lo que es imposible hacer referencia al túnel creado con ese fin en la configuración del router (por ejemplo, en firewall), así que si se necesitan reglas persistentes para ese , se debe crear una entrada estática para ese . De lo contrario es seguro usar la configuración dinámica. Nota Importante En ambos casos los s PPP deben ser configurados apropiadamente, las entradas estáticas no reemplazan la configuración PPP Parámetros • • • •

• • •

authentication (pap | chap | mschap1 | mschap2; Default: mschap1,mschap2) .- Especifica los métodos de autenticación que el servidor aceptará default-profile (name; Default: default-encryption) .- Perfil PPP por default que se usará enabled (yes | no; Default: no) .- Define si es que el servidor L2TP está habilitado o no keepalive-timeout (time; Default: 30) .- Si el servidor durante el período keepalive-timeout no recibe ningún paquete, se enviará paquetes keepalive cada segundo, por cinco veces. Si el server no recibe respuesta del cliente, entonces se desconecta después de 5 segundos. La bitácora de eventos (LOG) mostrará 5 veces los mensajes “L missed echo reply” y luego se desconectará. Este parámetro está disponible a partir de las versiones v5.22 y v6rc3 max-mru (integer; Default: 1460) .- Unidad de Recepción Máxima (MRU = Maximum Receive Unit). Tamaño máximo del paquete que la interface L2TP estará habilitada para recibir sin fragmentación de paquetes max-mtu (integer; Default: 1460) .- Unidad de Tránsmisión Máxima (MTU = Maximum Transmission Unit). Tamaño máximo del paquete que la interface L2TP estará habilitada para enviar sin fragmentación de paquetes mrru (disabled | integer; Default: disabled) .- Máximo tamaño del paquete que puede ser recibido en el enlace. Si un paquete es más grande que el tunel MTU, será dividido en múltiples paquetes, permitiendo que el tamaño total de los paquetes IP o Ethernet sean enviados sobre el túnel

Clientes y servidores SSTP VPN SSTP es un tipo de VPN de remoto que permite una conexión VPN por SSL de HTTPS, o lo que es lo mismo encapsula trafico PPP sobre un canal SSL. Esto le permite atravesar Firewalls donde las conexiones VPN por PPTP o L2TP estén prohibidas. SSTP utilizara el puerto 443 para atravesar los firewalls y a través de SSL tenemos cifrado, autenticación y negociación de claves. • • • •

Definición del servidor SSTP es casi lo mismo que para PPTP, salvo que se especifique un puerto T para conectarse (443 por defecto). Se usa con certificados digitales para crear Túneles sobre internet. El cliente se define casi la misma forma que un cliente PPTP, salvo que se especifique un puerto T a utilizar para establecer una conexión (443 por defecto). Consejo: Debe permitir el puerto 443 para que su túnel pueda llegar sin problemas. Además, dejar el puerto en 443 para asegurarlo con SSL y poderlo utilizar para sus comunicaciones.

Configuración en línea de comando: /interface sstp-server server set authentication=mschap2 enabled=yes /interface sstp-client add add-default-route=no authentication=mschap2 certificate=none connect-to=\ 192.168.0.5:443 dial-on-demand=no disabled=no http-proxy=0.0.0.0:443 \

Academy Xperts

62


keepalive-timeout=60 max-mru=1500 max-mtu=1500 mrru=1600 name=Client-SSTP \ =pod4-123 profile=Profile-external =Pod4-external \ -server-address-from-certificate=no -server-certificate=n

Clientes y Servidores OpenVPN Es una solución de conectividad basada en software libre: SSL (Secure Sockets Layer) VPN Virtual Private Network (red virtual privada), OpenVPN ofrece conectividad punto-a-punto con validación jerárquica de s y host conectados remotamente. • • •

Sigue el mismo patrón de configuraciones anteriores, similar a SSTP. Con la única diferencia, que con esta herramienta (OPVN) nos permites crear nuestros propios certificados digitales públicos, para poder usarlos, sin tener que pagar por ellos. Una muy buena herramienta a la hora de pensar en el factor COSTO.

Configuración de Rutas entre redes Es necesaria la configuración de rutas estáticas para que exista comunicación, tomar en cuenta: • •

Una vez que el túnel está configurado y operativo, usted necesita rutas para mover los paquetes de un lado a otro. La primera forma, es usar la ruta que se crea automáticamente en el router del cliente para ese túnel.

/ip route print Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit # DST-ADDRESS PREF-SRC GATEWAY DISTANCE 0 ADS 0.0.0.0/0 192.168.0.254 0 1 ADC 192.168.0.0/24 192.168.0.5 ether1 0 2 ADC 192.168.5.0/24 192.168.5.1 Bridge-PC 0 3 ADC 192.168.5.101/32 192.168.5.1 0 • La segunda opción es especificar una o múltiples rutas con PPP secret para cada cliente: /ppp secret export add name=Pod4-external =pod4-123 profile=Profile-external \ routes=192.168.4.0/24 add name=alain =alain!! profile=Profile-internal /ppp secret print Flags: X - disabled # NAME ADDRESS 0 Pod4-external 1 alain

SERVICE CALLER-ID any any

pod4-123 alain!!

PROFILE

REMOTE-

Profile-external Profile-internal

/ppp secret set 0 routes=192.168.4.0/24,10.10.2.0/24 /ppp secret export add name=Pod4-external =pod4-123 routes=192.168.4.0/24,10.10.2.0/24 add name=alain =alain!! profile=Profile-internal • •

profile=Profile-external

\

La tercera forma es agregar rutas estáticas a una o varias redes a través de un túnel. Este método es útil si ambos routers tienen su propia ruta por defecto, pero implica más mantenimiento y parámetros.

/ip route add comment="TO OFFICE LOOPBACKS" distance=1 dst-address=10.10.2.0/24 add comment="TO OFFICE NETWORKS" distance=1 dst-address=172.16.8.0/21

\ gateway=192.168.254.10 \ gateway=192.168.254.10

Preguntas de repaso del Módulo 6 1.

Qué protocolos pueden ser tunelizados?

2.

Qué es el SECRET y qué es el PROFILE?

3.

Cuál es la principal característica del túnel PPPoE?

4.

Cuál es el puerto y el protocolo que se debe tener en cuenta para habilitar una regla en Firewall para permitir túneles PPTP?

Academy Xperts

63


7 – Repaso Laboratorios Detallados Túneles Objetivos y Conceptos previos a túneles IPIP Objetivos: • •

Entender cuál es el objetivo de los túneles y cómo configurarlos. En este ejercicio se realizará un túnel IP-IP que es uno de lo túneles más básicos.

Bases Conceptuales: Es importante entender por qué realizamos un túnel y los elementos que formarán parte de esta importante herramienta que permitirá interconectar a dos redes remotas separadas por la nube de Internet. Si se desea tener comunicación entre las redes A y B (Figura 8.1.1) que están separadas por la nube de Internet, la opción de ruteo no es viable ya que las IPs privadas 172.16.1.0/24 y 192.168.1.0/24 no son direcciones IP públicamente ruteables. Esto significa que los routers públicos en Internet no pueden usar las IPs privadas como una red de destino (a menos que sea para uso exclusivo & privado de cada ISP). Por esta razón, si se desea que las redes A y B se comuniquen, se debe crear una VPN • • •

VPN = Virtual Private Network En Español = Red Privada Virtual También se la conoce como = Túnel

Esto se realiza creando una Interface Virtual en cada router remoto. Una vez creada esta interface, dependiendo de la naturaleza de la misma, se podrán establecer conexiones en Capa 2 (L2) o en Capa 3 (L3). Recuerde que las siguientes redes son Redes Privadas y NO son Públicamente Ruteables • • •

10.0.0.0 /8 172.16.0.0 /12 192.168.0.0 /16

Existen diferentes tipos de túneles que se usan para diferentes aplicaciones. RouterOS de MikroTik permite trabajar con túneles • • • • •

IPIP EoIP GRE PPP (PPP, L2TP, PPTP, EoIP, OVPN SSTP) IPsec

Academy Xperts

64


Para efectos de nuestros laboratorios debe quedar muy claro que cuando levantamos un túnel a través de Internet nos encontramos ante una nube de la cual prácticamente desconocemos todo lo que ocurre dentro (Figura 8.1.2).

Los ejercicios que desarrollaremos serán una simulación del escenario en la red pública para lo cual trabajaremos con el router del Trainer como medio de a la nube (Figura 8.1.3) En este escenario cada estudiante trabajará con las IPs privadas (192.168.n.0/24) y las IP externas (10.1.1.m/30) asignadas al inicio del curso

Academy Xperts

65


Nota Importante: Recordar que cuando se va a crear un túnel, la única información que posee cada localidad es la IP externa de los routers de borde de cada destino remoto (Figura 8.1.4)

Proceso Túnel IPIP Como denota el nombre de este túnel (IPIP), se creará un túnel Capa 3 (IP) sobre una conexión Capa 3 (IP). Este tipo de túnel es muy básico y no posee autenticación ni encriptación. Para el ejemplo en este texto usaremos las siguientes interfaces y direcciones IP (Figura 8.1.5)

R1 (Router 1) 192.168.a.0/24 192.168.a.1 192.168.a.254 10.1.1.w/30 10.1.1.x/30

ID de red de LAN en Red A IP de la Laptop en Red A IP de interface LAN en R1 (ether2 en este LAB) IP de interface WAN en R1 (wlan1 en este LAB) IP de interface WAN en R-trainer (wlan1 en este LAB)

R2 (Router 2) 192.168.b.0/24 192.168.b.1 192.168.b.254 10.1.1.z/30 10.1.1.y/30

ID de red de LAN en Red B IP de la Laptop en Red B IP de interface LAN en R2 (ether2 en este LAB) IP de interface WAN en R2 (wlan1 en este LAB) IP de interface WAN en R-trainer (wlan1 en este LAB)

Nota Importante: Para las configuraciones en este laboratorio asumiremos los siguientes valores para a, b, w, x, y & z. Estos valores fueron asignados previamente por el instructor al inicio del curso. Si tiene dudas por favor consulte su entrenador. • • • • • •

a=1 b=2 w=2 x=1 y=5 z=6

Academy Xperts

(192.168.1.0/24) (192.168.2.0/24) (10.1.1.2/30) (10.1.1.1/30) (10.1.1.5/30) (10.1.1.6/30)

66


Laboratorio 7.1 – Túnel IP-IP Los pasos a seguir en este ejercicio son los siguientes: Paso 1 R1 (Router 1) debe configurar las direcciones IP local (externa) y remota (externa) para armar el túnel. Recuerde que: • •

local-address se refiere la IP externa local (R1) remote-address se refiere a la IP externa remota (R2) /interface ipip add name=ipip-tunnel1 local-address=10.1.1.2

remote-address=10.1.1.6

R2 (Router 2) debe configurar las direcciones IP local (externa) y remota (externa) para armar el túnel. Recuerde que: • •

local-address se refiere la IP externa local (R2) remote-address se refiere a la IP externa remota (R1) /interface ipip add name=ipip-tunnel1 local-address=10.1.1.6

remote-address=10.1.1.2

Paso 2 R1 (Router 1) debe asignar una dirección IP a la interface ipip-tunnel1 recién generada /ip address add address=10.20.30.1/30 interface=ipip-tunnel1 R2 (Router 2) debe asignar una dirección IP a la interface ipip-tunnel1 recién generada /ip address add address=10.20.30.2/30 interface=ipip-tunnel1 Paso 3 R1 (Router 1) debe verificar que llega a la IP del tunel remoto ejecutando un ping /ping SEQ 0 1 2 3

10.20.30.2 HOST 10.20.30.2 10.20.30.2 10.20.30.2 10.20.30.2

SIZE TTL TIME 56 64 3ms 56 64 3ms 56 64 0ms 56 64 14ms

STATUS

R2 (Router 2) debe verificar que llega a la IP del tunel remoto ejecutando un ping / ping 10.20.30.1 SEQ HOST 0 10.20.30.1 1 10.20.30.1 2 10.20.30.1 3 10.20.30.1

Academy Xperts

SIZE TTL TIME 56 64 3ms 56 64 1ms 56 64 1ms 56 64 1ms

STATUS

67


Paso 4 R1 (Router 1) debe crear una entrada en la tabla de rutas para llegar a la red remota (192.168.2.0/24) especificando como Gateway la dirección IP de la inteface del túnel IPIP remota /ip route add dst-address=192.168.2.0/24 gateway=10.20.30.2 R2 (Router 2) debe crear una entrada en la tabla de rutas para llegar a la red remota (192.168.1.0/24) especificando como Gateway la dirección IP de la inteface del túnel IPIP remota /ip route add dst-address=192.168.1.0/24 gateway=10.20.30.1 Paso 5 R1 (Router 1) debe verificar que llega a la IP de la interface LAN remota ejecutando un ping /ping 192.168.2.254 R2 (Router 2) debe verificar que llega a la IP de la interface LAN remota ejecutando un ping /ping 192.168.1.254 Finalmente la interconexión entre las Redes remotas A & B queda según la Figura 8.1.6

Academy Xperts

68


Laboratorio 7.2 – Túnel EoIP Objetivos: •

Crear un túnel EoIP y verificar que las redes remotas se encuentran en el mismo dominio de broadcast

Bases Conceptuales: El túnel Ethernet Sobre IP (Ether Over IP) es un túnel de Capa 2 (Ethernet) sobre una conexión en Capa 3 (IP). Esto significa que genera una dirección MAC en la interface del túnel. Al final de este laboratorio se comprobará que efectivamente se genera un túnel de Capa 2 (Ethernet) porque se podrá agregar la interface EoIP en un Bridge. De esta manera las redes remostas A y B estarán en el mismo dominio de broadcast, y puesto que formarán parte del mismo Bridge también estarán dentro del mismo dominio de Colisión. Esta última característica (formar parte del mismo dominio de Colisión) es la razón por la cual los Bridges o las redes Bridge deben ser evitadas al máximo. Una de las formas de constatar que ambas redes están trabajando en el mismo dominio de Broadcast es que las direcciones IP de las laptops estén en la misma subred. Otra forma de verificar es que a pesar de que ambas laptops tengan direcciones IP de distintas subredes, al ejecutar el Winbox podrán ver las direcciones MAC de los routers remotos. Esto no podría ser posible si es que ambas redes no compartieran el mismo dominio de Broadcast. El diagrama inicial de configuración es el que se presenta en la Figura 8.2.1

Los pasos a seguir en este ejercicio son los siguientes: Paso 1 R1 (Router 1) debe remover la ruta creada en el Laboratorio 8.1 (dst-address=192.168.2.0/24 gateway=10.20.30.2) R2 (Router 2) debe remover la ruta creada en el Laboratorio 8.1 (dst-address=192.168.1.0/24 gateway=10.20.30.1) • Este paso es necesario para que no haya inconvenientes con el direccionamiento de las redes • No es necesario que los Routers desactiven/eliminen los túneles IPIP Paso 2 R1 (Router 1) debe configurar la dirección IP remota (externa) para armar el túnel. Para este tipo de túnel (EoIP) no es obligatorio configurar la dirección IP local (externa). Sin embargo se debe configurar el tunnel-id que debe ser el mismo en los routers que arman el túnel. Recuerde que: • •

local-address se refiere la IP externa local (R1) remote-address se refiere a la IP externa remota (R2) /interface eoip add name=eoip-tunnel1 remote-address=10.1.1.2

Academy Xperts

tunnel-id=10

69


R2 (Router 2) debe configurar la dirección IP remota (externa) para armar el túnel. Recuerde que: • •

local-address se refiere la IP externa local (R2) remote-address se refiere a la IP externa remota (R1) /interface eoip add name=eoip-tunnel1 remote-address=10.1.1.1 tunnel-id=10

Paso 3 R1 (Router 1) debe crear un Bridge, y en este bridge agregar las interfaces ether2 y eoip-tunnel1 /interface bridge add name=bridge1 /interface bridge port add bridge=bridge1 interface=ether2 /interface bridge port add bridge=bridge1 interface=eoip-tunnel1 R2 (Router 2) debe crear un Bridge, y en este bridge agregar las interfaces ether2 y eoip-tunnel1 /interface bridge add name=bridge1 /interface bridge port add bridge=bridge1 interface=ether2 /interface bridge port add bridge=bridge1 interface=eoip-tunnel1 Paso 4 Las laptops de las Redes A y B deben configurar una IP de la misma subred. Por ejemplo: Laptop Red A: 192.168.1.1/24 Laptop Red B: 192.168.1.2/24 Con esta configuración ambas laptops debe poder hacer PING entre ellos. Figura 8.2.2 Note que la Laptop de la Red B (192.168.1.2) no podrá hacer PING a R2 (Router 2) ya que están en una subred diferente.

Academy Xperts

70


Academy Xperts

71


Objetivos y Conceptos previos a túneles PPTP Objetivos: •

Crear un túnel PPTP, para lo cual se requerirá que R1 actúe como PPTP-Server y R2 actúe como PPTP-Client

Bases Conceptuales: • • •

PPTP es un túnel seguro para transportar tráfico IP usando PPP. PPTP encapsula el PPP en líneas virtuales que corren sobre IP. PPTP incorpora PPP y MPPE (Microsoft Point to Point Encryption) para crear enlaces encriptados.

El propósito de este protocolo es crear conexiones seguras entre routers y también entre routers y clientes PPTP. Los clientes PPTP están disponibles en casi todos los sistemas operativos, incluso en Windows. RouterOS soporta Multilink PPP (también conocido como MP, MLPPP, MPPP, MLP, o Multilink) con lo cual se provee un método para esparcir el tráfico a través de múltiples conexiones PPP distintas. En una simple línea PPP los frames no pueden arrivar fuera de orden, pero esto se puede solucionar si los frames se los divide entre múltiples conexiones PPP. Por este motivo el MP debe numerar los fragmentos para que puedan ser reordenados cuando lleguen al destino. MP es un ejemplo de tecnología de agregación de enlace. MP (Multilink PPP) provee MRRU y capacidad de Bridging a través de enlaces PPP. •

•

MRRU consiste en la habilidad de transmitir paquetes de tamaño 1500 y de mayor tamaño. o MRRU = Maximum Received Reconstructed Unit o El MRRU es similar al MTU (Maximum Transmission Unit), pero solo se aplica a los paquetes Multilink. o El MRRU es el máximo tamaño de paquete que una interface Multilink puede procesar. o Por default el MRRU es 1500 bytes, pero se puede configurar un diferente de MRRU si el equipo con el que va a conversar permite/acepta ese nuevo valor. La capacidad de hacer Bridging se obtiene del uso de B (Bridge Control Protocol) que es el que permite enviar frames Ethernet a través de enlaces PPP.

De esta forma es posible configurar un Bridge (usando PPTP) en lugar de utilizar EoIP. Para esto se necesita que el Bridge tenga una dirección MAC o una interface tipo Ethernet, ya que los enlaces PPP no tienen direcciones MAC. PPTP incluye contabilización y autenticación PPP para cada conexión PPTP. La autenticación y contabilización de cada conexión puede ser hecha a través de un cliente RADIUS o de forma local RouterOS soporta los tipos de encriptación • •


El tráfico PPTP utiliza • •

T puerto 1723 IP protocol GRE o GRE = Generic Routing Encapsulation o GRE = IP protocol ID 47

PPTP puede ser usado con la mayoría de firewalls y routers habiitando T 1723 y GRE (protocolo 47). De esta manera el tráfico puede ser ruteado a través del firewall o router. Las conexiones PPTP pueden resultar muy limitadas o incluso a veces hasta imposibles cuando se configura através de una conexión enmascarada (NATeada).

Academy Xperts

72


Laboratorio 7.3 – Túnel PPTP (R1 Server – R2 Client) El diagrama inicial de configuración es el que se presenta en la Figura 8.3.1

Los pasos a seguir en este ejercicio son los siguientes: Paso 1 R1 (Router 1) debe remover los puertos (ether2 y eoip-tunnel1) agregados a Bridge1, y también debe eliminar el Bridge1 creados en el Laboratorio 8.2 R2 (Router 2) debe remover los puertos (ether2 y eoip-tunnel1) agregados a Bridge1, y también debe eliminar el Bridge1 creados en el Laboratorio 8.2 • •

Este paso es necesario para que no haya inconvenientes con el direccionamiento de las redes No es necesario que los Routers desactiven/eliminen los túneles EoIP ni IPIP

Paso 2 R1 (Router 1) tendrá el rol de Server PPTP por lo que debe crear la siguiente configuración: 1.

Crear el PPP SECRET. El perfil/profile que se utilizará es DEFAULT (sin encriptación) /ppp secret add name=prueba =prueba service=pptp local-address=10.2.2.2 \ remote-address=10.3.3.3

2.

Habilitar el servicio PPTP SERVER /interface pptp-server server set enabled=yes default-profile=default

Academy Xperts

73


Paso 3 R2 (Router 2) tendrá el rol de Cliente PPTP por lo que debe crear la siguiente configuración: /interface pptp-client add name=pptp-out1 connect-to=10.1.1.2 \ =prueba =prueba profile=default disabled=no

Paso 4 1.

2.

R1 (Router 1) debe verificar que se ha generado una interface pptp y que se encuentra corriendo (R). Esta interface se ha generado dinámicamente (D) /interface pptp-server print Flags: X - disabled, D - dynamic, R - running # NAME MTU CLIENT-ADDRESS UPTIME ENCODING 0 DR prueba 1450 10.1.1.6 2m31s R1 debe verificar el estatus de la conexión (connected) /interface pptp-server monitor status: connected uptime: 7m1s : prueba caller-id: 10.1.1.6 encoding: mtu: 1450 mru: 1450 local-address: 10.2.2.2 remote-address: 10.3.3.3 -- [Q quit|D dump|C-z pause]

Nota: El pptp-server asignó las direcciones local (local-address) y remota (remote-address) a ambas interfaces del túnel

Paso 5 1.

2.

R2 (Router 2) debe verificar que la interface pptp-client se encuentra corriendo (R). /interface pptp-client print Flags: X - disabled, R - running 0 R name="pptp-out1" max-mtu=1450 max-mru=1450 mrru=disabled connect-to=10.1.1.2 ="prueba" ="prueba" profile=default keepalive-timeout=60 add-default-route=no dial-on-demand=no allow=pap,chap,mschap1,mschap2 R2 debe verificar el estatus de la conexión (connected) /interface pptp-client monitor pptp-out1 do file interval numbers [@R2] > interface pptp-client monitor pptp-out1 status: connected uptime: 12m22s encoding: mtu: 1450 mru: 1450 local-address: 10.3.3.3 remote-address: 10.2.2.2 -- [Q quit|D dump|C-z pause]

Academy Xperts

74


Paso 6 R1 (Router 1) debe crear una entrada en la tabla de rutas para llegar a la red remota (192.168.2.0/24) especificando como Gateway la dirección IP de la interface del túnel PPTP remota /ip route add dst-address=192.168.2.0/24 gateway=10.3.3.3 R2 (Router 2) debe crear una entrada en la tabla de rutas para llegar a la red remota (192.168.1.0/24) especificando como Gateway la dirección IP de la interface del túnel PPTP remota /ip route add dst-address=192.168.1.0/24 gateway=10.2.2.2 Paso 7 R1 (Router 1) debe verificar que llega a la IP de la interface LAN remota ejecutando un ping /ping 192.168.2.254 R2 (Router 2) debe verificar que llega a la IP de la interface LAN remota ejecutando un ping /ping 192.168.1.254

Academy Xperts

75


Laboratorio 7.4 – Túnel PPTP (R1 Client – R2 Server) El diagrama inicial de configuración es el que se presenta en la Figura 8.4.1

Los pasos a seguir en este ejercicio son los siguientes: Paso 1 R1 (Router 1) debe remover la ruta creada en el Laboratorio 8.3 (dst-address=192.168.2.0/24 gateway=10.3.3.3) R2 (Router 2) debe remover la ruta creada en el Laboratorio 8.3 (dst-address=192.168.1.0/24 gateway=10.2.2.2) • • •

Este paso es necesario para que no haya inconvenientes con el direccionamiento de las redes No es necesario que los Routers desactiven/eliminen los túneles EoIP ni IPIP Es IMPORTANTE que se mantenga el túnel PPTP creado en el Laboratorio 8.3 para demostrar que un mismo router puede actuar como Cliente y Server a la vez.

Paso 2 R2 (Router 2) tendrá el rol de Server PPTP por lo que debe crear la siguiente configuración: 1.

2.

Crear el PPP SECRET. El perfil/profile que se utilizará es DEFAULT (sin encriptación) /ppp secret add name=prueba =prueba service=pptp local-address=10.4.4.4 remote-address=10.5.5.5 Habilitar el servicio PPTP SERVER /interface pptp-server server set enabled=yes default-profile=default

\

Paso 3 R1 (Router 1) tendrá el rol de Cliente PPTP por lo que debe crear la siguiente configuración: /interface pptp-client add name=pptp-out1 connect-to=10.1.1.6 \ =prueba =prueba profile=default disabled=no Paso 4 1.

R2 (Router 2) debe verificar que se ha generado una interface pptp ha generado dinámicamente (D) /interface pptp-server print Flags: X - disabled, D - dynamic, R - running # NAME MTU 0 DR prueba 1450 2. R2 debe verificar el estatus de la conexión interface pptp-server monitor status: connected uptime: 4m23s : prueba caller-id: 10.1.1.2 encoding: mtu: 1450 mru: 1450 local-address: 10.4.4.4 remote-address: 10.5.5.5 -- [Q quit|D dump|C-z pause]

y que se encuentra corriendo (R). Esta interface se

CLIENT-ADDRESS 10.1.1.2 (connected)

UPTIME 1m16s

ENCODING

Nota: El pptp-server asignó las direcciones local (local-address) y remota (remote-address) a ambas interfaces del túnel

Academy Xperts

76


Paso 5 1. R1 (Router 1) debe verificar que la interface pptp-client se encuentra corriendo (R). /interface pptp-client print Flags: X - disabled, R - running 0 R name="pptp-out1" max-mtu=1450 max-mru=1450 mrru=disabled connect-to=10.1.1.2 ="prueba" ="prueba" profile=default keepalive-timeout=60 add-default-route=no dial-ondemand=no allow=pap,chap,mschap1,mschap2 2. R1 debe verificar el estatus de la conexión (connected) /interface pptp-client monitor pptp-out1 do file interval numbers [@R2] > interface pptp-client monitor pptp-out1 status: connected uptime: 12m22s encoding: mtu: 1450 mru: 1450 local-address: 10.5.5.5 remote-address: 10.4.4.4 -- [Q quit|D dump|C-z pause] Paso 6 R1 (Router 1) debe crear una entrada en la tabla de rutas para llegar a la red remota (192.168.2.0/24) especificando como Gateway la dirección IP de la interface del túnel PPTP remota /ip route add dst-address=192.168.2.0/24 gateway=10.4.4.4 R2 (Router 2) debe crear una entrada en la tabla de rutas para llegar a la red remota (192.168.1.0/24) especificando como Gateway la dirección IP de la interface del túnel PPTP remota /ip route add dst-address=192.168.1.0/24 gateway=10.5.5.5 Paso 7 R1 (Router 1) debe verificar que llega a la IP de la interface LAN remota ejecutando un ping /ping 192.168.2.254 R2 (Router 2) debe verificar que llega a la IP de la interface LAN remota ejecutando un ping /ping 192.168.1.254 Nota: Al final de este ejercicio puede constatar que un mismo router puede actuar como Cliente y como Server al mismo tiempo cuando se configuran túneles.

Academy Xperts

77


Laboratorio 7.5 – Bridge a través de un túnel PPTP usando B Objetivos: • • •

Interconectar 2 redes remotas (Red A y Red B) y formar una sola red Ethernet (un mismo dominio de broadcast) Se requiere usar encriptación para proteger la integridad de los datos. Esta actividad se realizará con túnel PPTP y protocolo B

Bases Conceptuales: • • • •

RouterOS soporta B (Bridge Control Protocol) para las interfaces PPP, PPTP, L2TP y PPPoE. B permite que los paquetes pasen en Bridge a través de un enlace PPP. Para hacer Bridging, B puede utilizarse en lugar de EoIP + Túnel VPN Para hacer Bridging, B puede utilizarse en lugar de un enlace WDS en una red inalámbrica

Cuando se establece el B, éste constituye una parte independiente del túnel PPP. No está relacionado a ninguna dirección IP de la interface PPP, razón por la cual el Bridging y el Routing se pueden realizar al mismo tiempo de forma independiente.

Requerimientos: • •

B debe ser habilitado en ambos lados (PPP server y PPP cliente) para poder funcionar. RouterOS puede trabajar con otros dispositivos que soporte B de acuerdo al estándar siempre y cuando el B esté habilitado.

El diagrama de configuración al que se desea llegar es el que se presenta en la Figura 8.5.1

Paso 1 1. 2. 3. 4. 5.

R1 (Router 1) debe remover la ruta creada en el Laboratorio 8.4 (dst-address=192.168.2.0/24 gateway=10.5.5.5) R1 (Router 1) debe eliminar la IP asignada a la interface ether2 (192.168.1.254/24) R2 (Router 2) debe remover la ruta creada en el Laboratorio 8.4 (dst-address=192.168.1.0/24 gateway=10.4.4.4) R2 (Router 2) debe eliminar la IP asignada a la interface ether2 (192.168.2.254/24) Después de eliminar las direcciones IP de las interfaces ether2, los estudiantes deberán ingesar por MAC Winbox a los respectivos dispositivos.

Notas importantes: • • •

Este paso es necesario para que no haya inconvenientes con el direccionamiento de las redes No es necesario que los Routers desactiven/eliminen los túneles EoIP ni IPIP No es necesario que los Routers desactiven/eliminen los túneles PPTP creados en los Laboratorios 8.3 y 8.4

Paso 2 (configuración en R1 en la RED A) 1.

Primero se debe crear una interface Bridge, y se debe segurar que el Bridge tiene una dirección MAC. El motivo es porque los puertos PPP no tienen dirección MAC. /interface bridge add name=bridge_local protocol-mode=rstp

2.

Debemos asegurarnos que el Bridge posee una dirección MAC. Para esto asignamos la MAC de la interface ether2 al bridge com MAC de istración. D4:CA:6D:E5:7F:DF es la dirección MAC de ether2 en el router del laboratorio ejemplo. Usted debe obtener la dirección MAC de su equipo. /interface bridge set bridge_local -mac=D4:CA:6D:E5:7F:DF

/interface bridge port add bridge=bridge_local

Academy Xperts

interface=ether2

78


3.

Asignamos las IP a la interface bridge_local. Se asume que la interface wlan ya tiene asignada su IP desde los laboratorios anteriores. /ip address add address=192.168.1.254/24 interface=bridge_local

4.

En este laboratorio vamos a utilizar el túnel PPP únicamente para hacer Bridge, por lo que la configuración del Profile PPP es sencilla y no requiere que se asignen direcciones IP a las interfaces de túnel local y remoto. Por lo tanto solo se va a /, y muy importante especificar la opción bridge en el Profile. /ppp profile add name=ppp_bridge bridge=bridge_local use-encryption=yes /ppp secret add profile=ppp_bridge name=pruebabridge =pruebabridge

5.

Cuando se hace Bridge, el túnel PPP necesita pasar los paquetes con la cabecera de Capa 2 incluida, por lo que el valor MTU de la interface no es suficiente. Para el caso de túneles PPTP el MTU es de 1460. Para asegurar una operación apropiada se sugiere modificar el valor del MRRU en el router que hace de Server, po lo que se debe especificar un valor de MRRU mayor. Recuerde que MRRU permite habilitar soporte multi-link sobre un enlace único, y lo hace dividiendo el paquete hacia múltiples canales y por consiguiente incrementando el valor de MTU y MRRU. /interface pptp-server server set enabled=yes mrru=1600

Paso 3 (configuración en R2 en la RED B) 1.

Primero se debe crear una interface Bridge, y se debe asegurar que el Bridge tiene una dirección MAC. El motivo es porque los puertos PPP no tienen dirección MAC. /interface bridge add name=bridge_local protocol-mode=rstp

2.

Debemos asegurarnos que el Bridge posee una dirección MAC. Para esto asignamos la MAC de la interface ether2 al bridge con MAC de istración. D4:CA:6D:B4:31:19 es la dirección MAC de ether2 en el router del laboratorio ejemplo. Usted debe obtener la dirección MAC de su equipo. /interface bridge set bridge_local -mac=D4:CA:6D:B4:31:19

3.

Asignamos las IP a la interface bridge_local. Se asume que la interface wlan ya tiene asignada su IP desde los laboratorios anteriores. /ip address add address=192.168.1.253/24 interface=bridge_local

4.

En este laboratorio vamos a utilizar el túnel PPP únicamente para hacer Bridge, por lo que la configuración del Profile PPP es sencilla. Por lo tanto es muy importante especificar la opción bridge en el Profile. Recuerde que R2 actuará como Cliente PPTP por lo que NO necesita configurar SECRET. /ppp profile add name=ppp_bridge bridge=bridge_local use-encryption=yes

/interface bridge port add bridge=bridge_local

Academy Xperts

interface=ether2

79


5.

Se debe crear la interface pptp-client. Recuerde que se debe especificar el valor de MRRU del mismo valor al que se especificó en el pptp-server. De esta forma se asegura que los paquetes pasen adecuadamente por el túnel PPP. /interface pptp-client add profile=ppp_bridge mrru=1600 connect-to=10.1.1.2 =pruebabridge =pruebabridge disabled=no

Paso 4 Las laptops de las Redes A y B deben configurar una IP de la misma subred. Por ejemplo: Laptop Red A: 192.168.1.1/24 Laptop Red B: 192.168.1.2/24 Con esta configuración ambas laptops debe poder hacer PING entre ellos.

Academy Xperts

80

Ruteo Avanzado y Alta Disponibilidad con MikroTik RouterOS por Mauro Escalante

Ruteo Avanzado Y Alta Disponibilidad Con Mikrotik Routeros V6.33.5.01 4fp6f

Overview 6h3y3j

More details h6z72

Related Documents 543cg

Ruteo Avanzado Y Alta Disponibilidad Con Mikrotik Routeros V6.36.0.01 l1w3k

Ruteo Avanzado Y Alta Disponibilidad Con Mikrotik Routeros V6.33.5.01 4fp6f

Seguridad Y Alta Disponibilidad 5s4r28

108wa Ruteo Estatico Ejercicios. Mikrotik Routeros Academy Xperts Lr 2t1z14

Consiguiendo Alta Disponibilidad Y Contingencia 4x2k2q

Seguridad Y Alta Disponibilidad Garceta 6l611g