Приветствую! В этой статье предлагаю вам ознакомиться с небольшой инструкцией по настройке роутера Микротик в связке со Старлинком REV4 для использования интернета на судне.
Сразу скажу, что я не являюсь специалистом в этой области, поэтому могу допускать ошибки. По крайней мере, пишу эту статью из своего личного опыта использования микротика. Если вы найдете ошибки или знаете лучшие варианты настройки микротика, то прошу делиться своими знаниями в комментариях к статье :)
В статье "Starlink на судне. Опыт эксплуатации глобального интернета на судне" я рассматривал вариант контроля интернет трафика с помощью приложений, что не является эффективным способом. Возможно этот способ кому-то и подойдет, по крайней мере мы пользовались таким образом интернетом, а тот трафик, который не учитывался приложениями, мы разделяли по́ровну.
Когда речь идет о 20ти и более пользователях, то такой вариант точно не подойдет и необходимо использовать дополнительное оборудование. В данном плане очень хорошо себя зарекомендовал маршрутизатор Микротик.
Схема подключения довольно простая. Т.е. мы подключаем микротик к роутеру старлинка, и уже от микротика коннектим наши дополнительные роутеры, свичи, ноутбуки напрямую и т.д.
Моя схема интернета на судне выглядит так: Роутер Gen 3 Старлинка (Палуба С) - Микротик RB750GR3 (без Wi-Fi модуля) (Палуба С) - Роутер TP-Link 335E 2.4 Hz (Палуба С) - Wi-Fi усилители Cudy 2.4 GHz + MERCUSYS 2.4 GHz (Палуба D + Мостик) - Wi-Fi усилитель Mi Xiaomi 2.4 GHz (Палуба B).
Таким образом в схеме участвует Микротик, роутер TP-Link и три усилителя Wi-Fi. Усилители Cudy и Mi Xiaomi подключены напрямую к роутеру TP-Link. А усилитель MERCUSYS подключен к усилителю Cudy. Такая схема покрывает все палубы надстройки, при этом на нежилых палубах A (камбуз) и Main Deck также есть интернет, но он слабее чем на остальных палубах.
Роутер Старлинка в схеме лимитного интернета не участвует, его используем только для безлимитного подключения к интернету. Кроме того для безлимитного интернета усилители приходится перенастраивать на работу от Старлинка.
В статье я рассматриваю Микротик RB750GR3 (без Wi-Fi модуля). Также есть модели с вай-фай модулями, их настройка немного отличается.
Видео по базовой настройке микротика
На ютубе вы можете найти множество видео по настройке микротиков под разные нужны для разных проектов. Для примера я вам выложил некоторые из них. Они не являются полноценными инструкциями, впрочем как и эта статья, но для получения начальных знаний очень подходят.
Первоначальная настройка Микротика
1. Скачиваем программу WinBox на официальном сайте. Можно также производить настройку через браузер, но лучше использовать WinBox.
2. Подключаем (на вход, первый порт) Mikrotik с помощью лановского кабеля к одному из выходов RJ45 роутера Старлинк. Первый порт (интернет порт) должен быть подключен к роутеру старлинка.
3. Подключаем один из выходов (например, третий выход) Микротика с помощью лановского кабеля к ноутбуку.
4. Включаем питание Микротика.
Первоначальную настройку микротика я делал через кабель, в дальнейшем можно будет использовать Wi-Fi самого старлинка, т.к. микротик уже будет настроен.
5. Запускаем WinBox, во вкладке Neighbors находим наш микротик. Войти в его настройки можно по MAC адресу или по IP 192.168.88.1. Логин по умолчанию "admin", пароль пустой. В дальнейшем, когда все будет настроено, в него можно будет заходить по IP адресу через вай-фай старлинка. Нажимаем "Connect".
6. Сброс настроек. После входа вы увидите окно "RouterOS Default Configuration". Это стандартные заводские настройки маршрутизатора. Эти настройки необходимо скинуть с помощью "Remove Configuration". Также можно сбросить настройки с помощью кнопки Reset на маршрутизаторе. Устройство перезагрузится. Доступ в него после такой операции будет по MAC адресу. Заходим через WinBox в настройки микротика после перезагрузки.
Кстати, установите свой пароль на микротик в разделе System - Password.
7. Interfaces. Заходим в интерфейсы и видим все доступные интерфейсы в микротике (если у вас есть Wi-Fi модуль, то тут ещё будут интерфейсы 2.4 и 5 ГГц вай-фай).
Настраиваем интерфейсы. "Ethernet 1" я назвал ether1-Starlink для удобства. К нему подключен роутер старлинка. "Ethernet 2" - ether2-Router, к нему подключен роутер Tp-Link, "Ethernet 3" - ether3-Laptop, к нему подключен ноутбук. В моем случае ether3 уже не активен, я его выключил, т.к. больше не пользуюсь настройкой микротика через кабель. Порты ether4 и ether5 я также выключил, т.к. ими не пользуюсь.
Важно! От версии микротика и программного обеспечения (прошивки) зависят настройки. В разных версиях они могут отличаться, но примерно одинаковые.
8. Bridge. Заходим во вкладку "Мост" и создаем мост. Нажимаем "плюс" и создаем мост с названием "bridge-hotspot".
Переходим во вкладку "Ports" и добавляем все интерфейсы, кроме первого ether1-Starlink, в наш мост. Для этого нажимаем "плюс", выбираем интерфейс, выбираем мост и "Apply".
9. IP Addresses. Заходим во вкладку IP - Addresses и создаем IP-сеть. Нажимаем "плюс" и для интерфейса ether1-Starlink устанавливаем 192.168.1.142/24 в сети 192.168.1.0. Для bridge-hotspot устанавливаем 192.168.90.1/24 в сети 192.168.90.0.
Внимание! Вы можете использовать другие названия интерфейсов, мостов, хотспотов. Также можете использовать другие IP адреса. В статье названия и IP адреса указаны для примера.
10. IP Pool. Заходим IP - Pool и создаем диапазон IP адресов для наших интерфейсов как на скриншоте ниже. Нажимаем "плюс", вбиваем название пула и диапазон IP адресов. Например, bridge-hotspot-pool будет использоваться для моста bridge-hotspot и будет раздавать IP адреса в диапазоне 192.168.90.2-192.168.90.254. Присваивание пулов будет сделано в настройке DHCP сервера. В этом диапазоне IP адресов будут заходить пользователи в интернет через HOTSPOT. IP адрес 192.168.90.1 - это IP bridge-hotspot - страница входа пользователей в интернет через браузер (на этой странице они будут вводить логин и пароль для входа в интернет).
11. DHCP server. Создаем DHCP сервер, чтобы маршрутизатор мог автоматически раздавать IP адреса в наш мост. Переходим IP - DHCP Server. Нажимаем DHCP Setup и настраиваем наш сервер.
Выбираем bridge-hotspot, адресное пространство (Address Space) 192.168.90.0/24, Gateway - 192.168.90.1. Address pool выбираем bridge-hotspot-pool. Название dhcp1-Bridge.
12. Firewall. Заходим в IP - Firewall. Во вкладке NAT добавляем правило Chain - srcnat, Out. Interface выбираем ether1-Starlink. Вкладка Action выбираем masquerade и Apply.
13. DHCP Client. Заходим в IP - DHCP Client и создаем клиент для интерфейса ether1-Starlink.
На скриншоте видно что наш интерфейс получил IP адрес 192.168.1.142. Этот IP адрес уже будет использоваться для входа в WinBox, а также в RADIUS Server (об этом ниже).
14. DNS. Заходим IP - DNS. Забиваем IP адреса Google (8.8.8.8, 8.8.4.4). Обязательно ставим галочку "Allow Remote Requests" и нажимаем Apply.
15. Hotspot. Создаем Hotspot сервер для bridge-hotspot с помощью опции Hotspot Setup. Ниже вы можете посмотреть скриншоты моих настроек сервера и сервер-профиля. Подробно описывать процесс не буду, смотрите видео в разделе RADIUS Server. Важно в профиле сервера установить флажок Use RADIUS.
В данной статье я буду настраивать профили Hotspot через RADIUS Server. Можно использовать настройки в IP - Hotspot, но здесь для администратора очень мало информации и возможностей. Поэтому я использовал RADIUS Server, который немного сложнее настраивается.
Ниже вы можете посмотреть настройки пользователей в разделе Hotspot (можно задать логины, пароли, лимиты), есть статистика трафика.
Для начала вы можете использовать настройки пользователей в Hotspot. Если вам не понравятся возможности администрирования профилей, то рекомендую использовать RADIUS Server.
16. RADIUS Server. Для настройки радиус сервера рекомендую посмотреть видео ниже, т.к. в одной статье уместить всю эту информацию очень сложно. Смотрите видео, если что-то непонятно задавайте вопросы в комментариях. По ходу чтения статьи вы увидите на что необходимо акцентировать внимание.
Mikrotik User Manager — это система управления пользователями, встроенная в устройства MikroTik RouterOS, предоставляющая функциональность для управления доступом к сетевым ресурсам, биллингом и мониторингом. Она особенно полезна для интернет-провайдеров, владельцев хостелов, гостиниц и других организаций, предоставляющих интернет-услуги по модели платного или ограниченного доступа.Основные возможности MikroTik User Manager:
Авторизация и аутентификация:
- Управление учетными записями пользователей с разными уровнями доступа.
- Поддержка RADIUS-сервера для централизованной аутентификации пользователей.
- Аутентификация по MAC-адресу, имени пользователя и паролю.
Биллинг и учет трафика:
- Возможность создания тарифных планов на основе времени, объема трафика или скорости.
- Подсчет использования трафика, времени подключения и контроль баланса пользователей.
- Поддержка предоплаченных и постоплаченных тарифов.
Поддержка ваучеров:
- Генерация ваучеров (пин-кодов) для временного доступа к интернету. Часто используется в кафе, гостиницах и других публичных местах.
Отчеты и мониторинг:
- Ведение логов активности пользователей, включая время подключения, объем потребленного трафика и информацию о сессиях.
- Генерация отчетов для администраторов сети с детальной информацией по пользователям и их активности.
Управление группами пользователей:
- Возможность создания групп пользователей с разными правами доступа и параметрами (скорость, время использования и др.).
Поддержка различных протоколов и интерфейсов:
- Может интегрироваться с HotSpot сервисом для управления доступом через веб-интерфейс.
- Совместим с различными типами подключения (PPP, PPTP, L2TP, PPPoE, и др.).
Интерфейс и настройка:
- Веб-интерфейс для управления, который позволяет удобно администрировать систему без необходимости использования командной строки.
- Возможность экспорта и импорта данных пользователей для резервного копирования.
Меню авторизации на скриншоте выше не установлено по умолчанию в микротике. Оно сделано дополнительно.
Кстати, на телефоне есть очень хорошее приложение Mikrotik, с помощью которого можно управлять микротиком также как по WinBox.
1. Блокировка популярных портов для BitTorrent
Большинство клиентов BitTorrent используют порты в диапазоне 6881-6889 по умолчанию. Также торрент-клиенты могут использовать случайные порты, но блокировка стандартных портов — это первый шаг.
Правило для блокировки исходящего торрент-трафика:
/ip firewall filter
add chain=forward protocol=tcp dst-port=6881-6889 action=drop comment="Block outgoing BitTorrent ports"
add chain=forward protocol=udp dst-port=6881-6889 action=drop comment="Block outgoing BitTorrent ports"
add chain=forward protocol=tcp src-port=6881-6889 action=drop comment="Block incoming BitTorrent ports"add chain=forward protocol=udp src-port=6881-6889 action=drop comment="Block incoming BitTorrent ports"
Технология DHT используется в BitTorrent для работы без трекера, и для блокировки DHT можно заблокировать UDP-пакеты на портах 6881 и 6969.
add chain=forward protocol=udp dst-port=6881,6969 action=drop comment="Block DHT traffic"
3. Блокировка связи через трекеры
Трекеры часто используют порты 80 (HTTP) и 443 (HTTPS) для обмена информацией о пирах. Их блокировка напрямую нецелесообразна, но можно блокировать обращения к известным торрент-трекерам через DNS.
Правило для блокировки DNS-запросов к трекерам (через IP-адреса): Для этого сначала нужно определить IP-адреса популярных трекеров и добавить их в адресный список:
/ip firewall address-list
add list=bittorrent address=1.2.3.4 comment="Tracker 1"
add list=bittorrent address=5.6.7.8 comment="Tracker 2"
/ip firewall filteradd chain=forward dst-address-list=bittorrent action=drop comment="Block BitTorrent trackers"
MikroTik поддерживает Layer7-фильтры, которые могут использоваться для блокировки пакетов, содержащих определенные сигнатуры, характерные для BitTorrent.
Создание L7-правила для фильтрации торрентов:
/ip firewall layer7-protocoladd name=bittorrent regexp="^\\x13BitTorrent protocol"
/ip firewall filteradd chain=forward layer7-protocol=bittorrent action=drop comment="Block BitTorrent traffic using L7 filter"
Ограничение количества одновременных соединений для устройств в сети также может помочь в борьбе с торрент-трафиком, так как торрент-клиенты создают множество соединений.
/ip firewall filter
add chain=forward connection-limit=100,32 action=drop comment="Limit concurrent connections per IP"
6. Блокировка WebRTC
Некоторые торрент-клиенты используют WebRTC для прямого обмена трафиком между устройствами. Для блокировки WebRTC можно создать правило:
/ip firewall filter
add chain=forward protocol=udp dst-port=3478-3481 action=drop comment="Block WebRTC"
Рекомендации:
- Периодически проверяйте логи и следите за активностью трафика, чтобы выявить возможные обходы правил.
- Современные клиенты могут использовать шифрование, что делает блокировку менее эффективной. В таких случаях более радикальные методы могут включать ограничение скорости для трафика P2P или применение контент-фильтрации.
- Для более точной блокировки можно использовать DPI (Deep Packet Inspection) решения.
Эти настройки помогут снизить активность BitTorrent-трафика, но стоит помнить, что полная блокировка может быть затруднительной из-за адаптивности современных торрент-клиентов.
Вариантов настроек блокировки торрентов много и лучше использовать несколько сразу. Но тут также важно не перегрузить микротик этими самыми настройками.
А теперь самое главное! Ко второму порту микротика мы подключили роутер Tp-Link, настроили интерфейс ether2-Router с пулом IP адресов на раздачу подключенным устройствам, но раздаются IP адреса у нас из пула bridge-hotspot-pool. Почему так? Дело в том, что роутер Tp-Link работает в режиме Access point (Точка доступа). В другом режиме он с микротиком работать не будет (вернее будет, но интернета не будет). То есть по сути этот роутер нужен микротику просто как вай-фай модуль.
Подключение Wi-Fi усилителей к роутеру Tp-Link на микротике. Wi-Fi усилители вроде не сложно подключать к другим роутерам, но вот чтобы подключить усилитель к Tp-Link, который настроен под микротик в режиме точки доступа - это другая история. В нашем случае необходимо сначала отключить хотспот bridge-hotspot, т.е. поставить его в Disable, потом подключить усилитель к Tp-Link (по инструкции к усилителю) и после этого включить хотспот. Этот вариант подойдет не для всех усилителей, поэтому если у вас после включения Enable хотспота bridge-hotspot не подключается к интернету через усилитель, то необходимо сделать bypass этого усилителя по MAC адресу. Для этого заходим в IP - Hotspot - IP Bindings, нажимаем "Плюс" и добавляем MAC адрес нашего усилителя в поле MAC Address, в поле Server ставим bridge-hotspot, в поле Type - bypassed.
Таким образом после подключения к вай-фай усилителю CUDY перекидывает на страницу авторизации микротика. А вот усилитель MERCUSYS не удалось настроить по процедуре описанной выше, поэтому его пришлось подключать к усилителю CUDY по обычной процедуре.
Важно! Если произойдёт блэкаут микротика, то последняя сессия (израсходованный трафик) не учитывается. Если вы отключаете микротик от питающей сети, то проверьте нет ли активных пользователей (IP - HotSpot - Active), при необходимости завершите их сессии (Remove) и только потом отключайте микротик от сети.
Кстати, все необходимые файлы и инструкции для настройки микротика под Старлинк вы можете найти в нашем закрытом телеграмм канале Marine Engineering Manuals.
UPD. Следующая статья по теме: "Микротик и Старлинк на судне. Проблемы и решения". В ней рассматриваю проблемы, которые возникают при использовании связки "старлинк и микротик".
.JPG)
Здравствуйте!
ОтветитьУдалитьСпасибо Вам за такую статью и работу над ней, это очень полезно и познавательно!
Я новичок в этом деле и просмотрев несколько видео по настройке, немного запутался, так как имеются отличия в настройке у Вас и других…
Сразу созрело пара вопросов…
С какой целью Вы создали ip pool ещё и для других интерфейсов кроме bridge-hotspot?
С какой целью создавать в ip adresses, профиль адресов для соединения ether1-Starlink, если при подключение кабеля на этот интерфейс, автоматически появится профиль ether1-Starlink со своими адресами?
А Вы именно эту комбинацию настройки уже опробовали и она 100% выполняет свои функции для судового использования и ничего не пришлось менять в первичных настройках?
Здравствуйте. Да, использую данную схему и она работает. На данный момент «едем» в переходе на ней.
УдалитьПо поводу IP адресов. Для ether1-Starlink установили 192.168.1.142/24 в сети 192.168.1.0. Для bridge-hotspot установили 192.168.90.1/24 в сети 192.168.90.0. IP адрес 192.168.1.142 теперь используется для входа и администрирования радиус-сервера микротика. IP адрес 192.168.90.1 используется для входа по логинам и паролям (страница информации каждого пользователя о текущей сессии и использовании трафика). Я также присвоил всем пользователям свои IP адреса в радиус-сервере. Все это сделано чтобы они были статическими и никакие перезагрузки (блэкауты) оборудования не влияли на изменение IP адресов и не было конфликта в системе. По поводу пулов для Laptop и Router - это необязательно, но я делал так чтобы отделить зоны и не было между интерфейсами никакой динамики и конфликтов.
А у меня почему-то как подключаю старлинк лан, так сразу создаётся свой адрес на ether1-Starlink и на него цепляется остальная цепочка с пулами и тд.д., получается прописаный ether1-Starlink адрес остаётся без действия, а вся остальная цепочка подтягивается на самосозданый адрес, и в списке adress list, два адреса ether1-Starlink с разными адресами и адрес бриджа, ещё не пробовал конечно с интернетом, пока только роутер старлинк без интернета цепляю, но не понимаю, будет ли это дублирование как то негативно влиять на работу или оставить так… или удалить мной созданый адрес профиль на ether1-Starlink или как то можно это исправить?
УдалитьЕщё нюанс заметил, если прописываю в hotspot-server profile, dns name, то перестаёт в браузере выходить в user окно и по адресу и по ай пи…
Я подумаю над вашей проблемой. У меня такого дублирования не было. Возможно проблема в том, что настройка происходит без подключения к интернету.
УдалитьВот стандартный чек-лист для проверки (может что-то поможет):
Удалить1. Два адреса на интерфейсе ether1-Starlink:
Это вызвано тем, что Mikrotik автоматически получает IP-адрес от DHCP-сервера Starlink (или от оборудования, которое выполняет роль шлюза). Параллельно вы вручную прописали адрес на этом интерфейсе, что и создало два адреса. Это не является нормальной практикой, так как может вызывать конфликты или путаницу.
Решение:
Если Starlink уже выдает адрес по DHCP, удалите вручную созданный IP-адрес на ether1-Starlink. Пусть интерфейс использует только автоматически назначенный адрес. Для этого выполните команду:
/ip address remove [find interface=ether1-Starlink and comment="ваш комментарий"]
2. Влияние дублирующихся адресов:
Обычно такое дублирование может привести к неправильной маршрутизации или конфигурационным ошибкам. Например, ваш маршрутизатор может пытаться отправить трафик через один адрес, в то время как шлюз работает на другом. Поэтому важно оставить только один IP-адрес на интерфейсе.
3. DNS Name в Hotspot Server Profile:
Если вы прописали DNS Name в профиле Hotspot, это требует настройки DNS-сервера и корректного разрешения имени. Если DNS-сервер не настроен или неправильно работает, браузеры могут не находить страницу входа, что вызывает проблему.
Решение:
Проверьте настройки DNS:
/ip dns print
Убедитесь, что указаны корректные DNS-сервера, например, публичные Google DNS (8.8.8.8, 8.8.4.4). Если вы хотите использовать внутренний DNS для Hotspot, убедитесь, что он корректно разрешает ваш DNS Name.
Также проверьте, что ваш Hotspot Server настроен правильно:
/ip hotspot print
Если проблема сохраняется, попробуйте временно убрать DNS Name из профиля и убедиться, что вход работает по IP.
Возможно… Я тоже параллельно выясняю что может быть причиной… Если решение найду, то отпишусь!
ОтветитьУдалитьСпасибо за ваш опыт, постараюсь тоже поучаствовать.
УдалитьДобрый день!
ОтветитьУдалитьПо вопросу двух адресов на van starlink думаю, что роутер старлинк настроен на свой dhcp, даёт постоянно один и тот же adres 192.168.21/24и для этого решения подходит первый вариант!
По глюку с dns name, выяснил что роутер wi-fi был настроен с dhcp, перевёл его в режим ретранслятора и всё заработало, открывается и с ip и с web name, другой роутер перевёл в режим статического адреса, задал ему параметры подключения и тоже работает.
Большое спасибо за помощь!
Добрый день. Спасибо что отписались. Хороший опыт. В свою очередь в ближайшее время буду писать о проблемах, с которыми уже столкнулся в процессе использования микротика.
УдалитьДобрый день! Немного имеются сомнения по настройке старенького роутера d-link для подключения к микротику, перевёл роутер D-link в подключение через статический ip, задаю ip адрес:192.168.90.90, Subnet mask: 255:255:255:0, Gatewey adress: 192.168.90.1, Primary DNS server: 192.168.90.1. Но вот имеются сомнения, правильно ли указываю Gateway adress и Primary DNS server?
УдалитьДобрый день! Ваши настройки в целом выглядят корректно, но давайте разберем это подробнее.
Удалить1. Gateway Address (Шлюз):
Адрес шлюза указывает на устройство, через которое будет осуществляться выход в другие сети, включая интернет.
• Если ваш маршрутизатор MikroTik настроен с адресом 192.168.90.1 и именно он выполняет функции маршрутизатора для вашей сети, то указание этого адреса как шлюза (Gateway Address) верно.
2. Primary DNS Server:
• Указание 192.168.90.1 в качестве DNS-сервера тоже правильно, если MikroTik настроен для предоставления DNS-услуг (например, он перенаправляет запросы на публичные DNS-серверы, такие как Google DNS или провайдерские).
• Если MikroTik не выполняет функции DNS, стоит заменить этот адрес на публичные DNS-серверы, например:
• Google DNS: 8.8.8.8 и 8.8.4.4
• Cloudflare DNS: 1.1.1.1 и 1.0.0.1
Как проверить:
1. Убедитесь, что MikroTik действительно работает на адресе 192.168.90.1 (проверьте его настройки IP).
2. Если интернет на устройстве D-Link после настройки не работает, попробуйте:
• Пингануть шлюз (ping 192.168.90.1) с подключенного устройства.
• Пингануть публичный адрес, например Google (ping 8.8.8.8).
• Если первый пинг успешный, но второй нет, скорее всего, проблема в DNS. Попробуйте заменить адрес DNS на публичный.
Если возникнут дополнительные вопросы, пишите!
ps…, настройки микротика идентичны Вашим…
ОтветитьУдалитьНа кофе Вам кинул… Спасибо!
ОтветитьУдалитьСпасибо за кофе ☕️🤝
УдалитьПолучается, что если у меня в микротике, в ip-address-bridge hotspot, указан address:192.168.90.1/24, Network:192.168.90.0, он же адрес hotspot и адрес подключения к микротику в winbox, то он и является ip адресом микротика и я всё правильно вбил в d-link?!
ОтветитьУдалитьДа. Если в MikroTik в настройках IP > Addresses для интерфейса bridge hotspot указан:
Удалить• Address: 192.168.90.1/24
• Network: 192.168.90.0
и вы подключаетесь к MikroTik через Winbox по адресу 192.168.90.1, то этот адрес (192.168.90.1) действительно является IP-адресом MikroTik в вашей сети, и его правильно указать как:
1. Gateway Address (Шлюз) на D-Link, так как именно MikroTik отвечает за маршрутизацию.
2. Primary DNS Server, если в MikroTik настроен DNS (обычно это включается через IP > DNS, где галочка “Allow Remote Requests” должна быть активирована).
А скажите у вас интерфейс старлинка ether1-Starlink настроен по IP адресу?
В этой схеме, что описана в статье, я могу зайти в микротик через Winbox по IP адресу 192.168.1.142 интерфейса ether1-Starlink и по IP адресу 192.168.90.1 (bridge-hotspot).
У меня не включен Allow remote request и DNS-Dinamic servers стоит адрес 192.168.1.1. Значит нужно включить и поменять в роутере Prinery DNS servers на 192.168.1.1 или только включить Allow remote request?
УдалитьIp ether1-Starlink у меня автоматически назначается старлинком, свой записаный я удалил, чтобы путаницы не было. И старлинк соответственно при каждом новом подключение создаёт свой рандомный адрес… На старлинке можно отключить функцию dhcp сервер и прописать в микротике свой ip…, наверное попробую это сделать, чтобы два адреса для входа было…
Нашёл вот такую статью про эту функцию и имеются сомнения по её целесообразном использование на дорогом старлинк интернете…
Удалитьhttps://pikabu.ru/story/kak_ne_rabotat_dns_esli_u_vas_est_mikrotik_5062836?ysclid=m4b0cbxnb1880872677
Может тоже добавить такое правило и не выключать Allow remote request?
Там по ссылки, в коментах пару команд есть..
УдалитьВот небольшая инструкция:
Удалить1. DNS-сервер и Allow Remote Requests:
• Если в настройках DNS > Servers указан только адрес 192.168.1.1, то ваш MikroTik использует этот сервер для обработки DNS-запросов. Это может быть адрес шлюза Starlink или другого устройства.
• Для корректной работы D-Link в вашей локальной сети и выполнения DNS-запросов через MikroTik, нужно:
• Включить Allow Remote Requests в разделе IP > DNS. Это позволит MikroTik обрабатывать запросы DNS от устройств в вашей сети.
• На D-Link в качестве Primary DNS Server оставить 192.168.90.1 (адрес MikroTik). В этом случае MikroTik будет проксировать DNS-запросы дальше на 192.168.1.1.
Если вы хотите, чтобы DNS-сервер D-Link смотрел сразу на Starlink (192.168.1.1), то можно указать этот адрес напрямую. Но обычно лучше централизовать запросы через MikroTik.
2. IP на Ether1-Starlink:
• Starlink выдаёт IP-адрес динамически, и это нормально для интерфейса Ether1.
• Удаление вручную заданного IP на этом интерфейсе было правильным решением, чтобы избежать путаницы.
3. Отключение DHCP на Starlink и настройка статического IP:
• Если вы отключите DHCP на Starlink, то сможете задать статический IP для Starlink вручную в MikroTik (например, 192.168.1.1). Это может упростить администрирование сети.
• В этом случае вам нужно будет указать шлюз и DNS-сервер для интерфейса Ether1 вручную:
• Шлюз: статический IP Starlink (например, 192.168.1.1),
• DNS-сервер: публичные DNS (например, 8.8.8.8 и 1.1.1.1) или тот же адрес Starlink.
4. Два адреса для входа:
• Если вы настроите статический IP для Starlink и резервируете локальный IP на MikroTik (например, 192.168.90.1 для управления), это удобно, так как вам не придётся искать его текущий динамический адрес.
Рекомендации:
• DNS: Включите Allow Remote Requests в MikroTik. Оставьте 192.168.90.1 на D-Link, чтобы запросы шли через MikroTik.
• Starlink DHCP: Отключите DHCP на Starlink и задайте статический IP в MikroTik. Это даст вам полный контроль над адресацией.
• Логика сети: Убедитесь, что подсети не пересекаются, например:
• 192.168.1.0/24 для Starlink,
• 192.168.90.0/24 для локальной сети.
А вообще конечно статья старая и возможно на современные прошивки уже не актуальна…
ОтветитьУдалитьЕсли вы переживаете о целесообразности использования функции Allow Remote Request на дорогом интернете от Starlink, то логика описания в статье, скорее всего, заключается в предотвращении нежелательной нагрузки на DNS, которую могут создавать несанкционированные или неправильно настроенные устройства.
УдалитьВот что можно сделать, чтобы оптимизировать работу DNS при включенной функции Allow Remote Request:
1. Добавление Firewall-правила для фильтрации DNS-запросов
Чтобы ограничить отправку DNS-запросов только на определённые серверы (например, серверы Starlink или другие публичные), вы можете использовать такие правила в MikroTik:
Пример правил:
/ip firewall filter
add chain=input protocol=udp port=53 action=accept src-address=192.168.90.0/24
add chain=input protocol=tcp port=53 action=accept src-address=192.168.90.0/24
add chain=input protocol=udp port=53 action=drop
add chain=input protocol=tcp port=53 action=drop
Эти правила:
• Разрешают DNS-запросы только от устройств из вашей локальной сети (192.168.90.0/24).
• Блокируют любые внешние DNS-запросы, которые могут создавать дополнительную нагрузку.
2. Зачем включать Allow Remote Request?
Включение этой опции позволяет устройствам в сети отправлять DNS-запросы на MikroTik, а сам MikroTik перенаправляет их на указанный в настройках DNS-сервер (например, Starlink, Google DNS и т.д.). Это полезно для:
• Централизации DNS-запросов.
• Упрощения управления сетью.
• Предотвращения прямых DNS-запросов устройств на сторонние серверы.
3. Если вы хотите избежать риска нежелательного DNS-трафика, можно не включать Allow Remote Request. В этом случае:
• Все устройства будут обращаться напрямую к DNS-серверам, указанным в их настройках (например, Starlink DNS).
• MikroTik не будет обрабатывать запросы DNS, минимизируя возможные издержки.
Если у вас стабильная сеть, лучше включить Allow Remote Request и добавить вышеуказанные Firewall-правила. Это даст вам:
1. Контроль над DNS-трафиком.
2. Централизацию всех запросов через MikroTik.
3. Устранение лишней нагрузки и несанкционированных DNS-запросов.
Большое спасибо 🤝
ОтветитьУдалитьА Вы случайно программу Counter traffic не используете, которая exell файл генерирует с расходом на юзеров и на порт starlinka? Я ей пользуюсь, но она не выдаёт трафик ether1-Starlink, а юзеров считает без проблем…, не могу понять на что она ссылается и что ей не нравиться, что не считает трафик на порте…
ОтветитьУдалитьНе пользовался, не подскажу
УдалитьЗдравствуйте! Подскажите пожалуйста, в настройке Mikrotik, ip, Hotspot, Server Profiles, в настройках профиля имеется строка Address pool, в ней есть варианты созданные мной по образцу вашей инструкции: none, bridge-hotspot-pool, dhcp_pool-ether2, dhcp_pool-ether3, dhcp_pool-ether4, dhcp_pool-ether5 и я не много запутался, какой пул нужно указывать в этой строке? Если поставить none, то система работает, но poolы были созданы не зря и думаю не зря в профиле существует такая настройка…, только какой конкретно pool ставить и в чём разница если выбирать разные пулы для разных профилей?
ОтветитьУдалитьЕщё раз перечитал статью, понимаю что dhcp client настроен на bridge-hotspot-pool и все роутеры подключенные в каждый ether, кроме ether1, получают адреса из диапазона заданного в bridge-hotspot…., значит и в настройке user profile нужно выбрать bridge-hotspot-pool, который у нас на dhcp подвязан - я правильно понял?Созрели ещё пара вопросов:
Удалить- название dhcp_pool-ether2 и ему подобные, имеет в начале dhcp с какой то специальной целью, ведь эти пулы у нас не привязаны к dhcp, в чём тогда такой штрих в название?
- если создать профиль юзеров и добавить в нём dhcp_pool-ether2 к примеру, как это отобразиться на юзерах в этом профиле, они будут получать адреса из этого пула, они как то будут обходить dhcp так как dhcp_pool-ether не привязан к dhcp или получиться вообще какой то казус в соединении ?
Здравствуйте! Разберем ваши вопросы по порядку.
Удалить1. Какой pool нужно указывать в Address Pool и в чем разница между pool-ами?
В параметре Address Pool указывается пул IP-адресов, которые Hotspot-сервер будет раздавать подключившимся клиентам. Выбор пула зависит от архитектуры вашей сети и назначения каждого интерфейса.
Если выбирается none:
Клиенты Hotspot не получают адреса из пула. В таком случае предполагается, что у них уже есть IP-адреса, настроенные вручную или полученные от другого DHCP-сервера. Система работает, но ограничивает автоматизацию, так как IP-адреса не выделяются автоматически.
Если выбирается конкретный пул:
Клиенты, подключившиеся через Hotspot, получают IP-адрес из указанного пула. Например, если вы используете bridge-hotspot-pool, все клиенты будут получать IP-адреса из диапазона, настроенного для этого пула. В большинстве случаев этот пул должен соответствовать тому, что используется в настройках DHCP-сервера, если он отвечает за раздачу адресов в вашей сети.
Рекомендация:
Для Hotspot рекомендуется выбирать пул, соответствующий интерфейсу или подсети, в которой работают ваши клиенты. Если bridge-hotspot-pool настроен для DHCP, и он управляет адресацией в вашей сети, то его и нужно указывать.
2. Почему в названии используется dhcp, если пул не привязан к DHCP?
Название, содержащее dhcp, добавлено для удобства, чтобы было понятно, что этот пул связан с DHCP. Это чисто символическое обозначение, которое не влияет на функционал.
Если пул не используется напрямую DHCP-сервером, он все равно может быть назначен другим сервисам, например, Hotspot. В таком случае название помогает ориентироваться, но функциональной привязки нет.
3. Что будет, если в профиле указать dhcp_pool-ether2?
Если вы создадите профиль с Address Pool: dhcp_pool-ether2, клиенты, подключенные к этому профилю, начнут получать IP-адреса из пула dhcp_pool-ether2.
Однако, важно понимать:
DHCP и Hotspot работают независимо.
Hotspot сам раздает адреса клиентам, игнорируя настройки DHCP. Если пул не совпадает с пулом DHCP, может произойти конфликт, особенно если в одной сети одновременно используются разные пулы.
Казусы возможны, если настройки пересекаются:
Например, если один и тот же пул используется и DHCP-сервером, и Hotspot, может возникнуть ситуация, когда DHCP раздает один адрес, а Hotspot другой.
4. Будут ли пользователи обходить DHCP, если пул не привязан к DHCP?
Да, пользователи Hotspot всегда будут обходить DHCP, так как Hotspot выделяет IP-адреса независимо. Поэтому, если вы укажете в профиле, например, dhcp_pool-ether2, клиенты получат адреса из этого пула, даже если DHCP для этого пула не настроен.
Если вы хотите, чтобы клиенты Hotspot получали адреса из того же диапазона, что и DHCP, используйте один и тот же пул (например, bridge-hotspot-pool).
Если необходимо разделить пользователей на разные сегменты сети или профили, создавайте отдельные пулы и используйте их для соответствующих профилей.
Проверяйте, чтобы пулы не пересекались, чтобы избежать конфликтов IP-адресов.
Здравствуйте!
ОтветитьУдалитьПри месячном использование Mikrotik по вашему методу настройки, всплыла проблемка с подсчётом трафика, mikrotik насчитал на 50gb меньше трафика, чем на самом деле. Немного изучив проблему понял, что когда я в начале настройки сбрасывал Mikrotik до Default Configuration, выбрав Remove configurstion, я наверное выбрал No default configuration и удалил так же базовые настройки-правила в Firewall для Hotspot, и теперь у меня много трафика идёт мимо учёта. У меня после настройки вообще правил для hotspot в списке Firewall нет. Вы не обращали внимания на этот момент при использование? Если уже сталкивались с этим, может есть решение как эти правила добавить в список в правильном порядке, чтобы небыло не учтённого трафика, нужно полностью сбрасывать Mikrotik до заводских настроек, но оставлять базовую конфигурацию или как это сделать обойдясь малыми жертвами? При сбросе настроек можно выбрать четыре опции при сбросе: Keep user configuration, CAPS mode, No default configuration, Do not dackup. Может можно произвести сброс настроек, но выбрав к примеру Keep user configuration и перезагрузиться и Mikrotik загрузится с базовой конфигурацией и с настроенным User сonfiguration? Может есть файл с этими правилами и можно добавить их через терминал и всё будет хорошо?
Здравствуйте! У меня не было таких проблем при подсчете трафика, еще проверю свои настройки фаервола.
УдалитьВот траблшутинг по вашему вопросу:
Действительно, если при сбросе настроек Mikrotik вы выбрали опцию No Default Configuration, базовые правила Firewall, связанные с учётом трафика для Hotspot, могли быть удалены. Это могло стать причиной некорректного подсчёта трафика, так как часть пакетов могла обойти учет через Hotspot.
1. Необязательно сбрасывать настройки полностью
Сбрасывать настройки до заводских не обязательно, если текущая конфигурация рабочая и не требует полной переработки. Можно вручную добавить недостающие правила через терминал.
2. Базовые правила для Hotspot
Вот список базовых правил, которые обычно присутствуют в конфигурации после настройки Hotspot. Эти правила можно добавить вручную:
Добавление правил через терминал:
/ip firewall filter
add chain=input action=accept protocol=udp port=53 comment="Allow DNS for Hotspot"
add chain=input action=accept protocol=tcp port=53 comment="Allow DNS for Hotspot"
add chain=forward action=jump jump-target=hs-unauth comment="Jump to unauthenticated Hotspot traffic" hotspot=!auth
add chain=hs-unauth action=drop comment="Drop unauthenticated Hotspot traffic"
/ip firewall nat
add chain=prehotspot action=redirect protocol=tcp port=80 comment="Redirect HTTP traffic to Hotspot"
/ip hotspot
setup
3. Как проверить правила Hotspot
Убедитесь, что в разделе /ip hotspot настроен Hotspot-сервер и он соответствует вашей сети. Чтобы проверить:
/ip hotspot print
/ip hotspot profile print
/ip hotspot user print
4. Добавление правил через импорт конфигурации
Если у вас есть доступ к базовой конфигурации в виде файла (например, экспорт конфигурации из чистого устройства), вы можете импортировать только нужные секции:
1. Экспортировать текущую конфигурацию для безопасности:
export file=current_config
2. Импортировать недостающие правила:
import file=default_firewall_rules.rsc
5. Опция Keep User Configuration
Если вы решите всё же сбросить настройки, выбрав Keep User Configuration, это сохранит текущие пользовательские параметры (например, логины, пароли, IP-адреса), но добавит базовую конфигурацию, включая правила Firewall. Однако после сброса потребуется повторно проверить всю конфигурацию.
6. Рекомендация
• Если проблема только в недостающих правилах Hotspot, добавьте их вручную, это проще и безопаснее.
• В дальнейшем можно настроить график регулярного экспорта конфигурации, чтобы иметь резервную копию текущих настроек.
Спасибо 🤝
ОтветитьУдалить