Hướng dẫn cài đặt winbox trên ubuntu
|
1.1 Mikrotik là tên của một nhà sản xuất thiết bị mạng máy tính ở Latvian. Công ty thành lập năm 1995. Sản phẩm chính của công ty là một hệ điều hành dựa trên Linux có tên là Mikrotik RouterOS, được cài đặt trên phần cứng độc quyền của công ty (routerboard) hoặc trên các máy PC bình thường, biến PC đó thành router (nhưng cần mua liscene nếu muốn sử dụng full chức năng) và thực hiện các tính năng của router như firewall, bandwidth, VPN và đầy đủ các tính năng khác của router. 1.2 Để cấu hình Mikrotik ta có 3 cách:
2. CẤU HÌNH MIKROTIK **2.1 Cấu hình PPPoE cho Mikrotik ** Dịch vụ PPPoE là dịch vụ Point to Point Protocol Over Ethernet được các ISP dùng để cung cấp user/pass cho người sử dụng dịch vụ Internet của họ. Người dùng cần cấu hình PPPoE để được xác thực bởi ISP và đc cung cấp 1 địa chỉ IP WAN để truy cập internet. Chúng ta vào Interface -> New PPPoE Client Điền tên PPPoE client muốn tạo và chọn cổng Interface chúng ta cắm dây mạng WAN vào. Điền user/pass PPPoE do ISP cung cấp vào Sau khi điền xong ấn Apply và đợi status chuyển sang trạng thái connected thì chúng ta có thể vào tab Status để xem thông tin ip Wan đc cấp là bao nhiêu Như vây là đã cấu hình xong PPPoE client. Sau đó chú ta cần tạo 1 NAT để cho dữ liệu đi được internet bằng cách vào IP - Firewall - NAT - New Chain: scrnat Out Interface: Cổng ta cắm dây WAN vào Action: masquerade 2.2 Cấu hình DNS DNS (Domain Name Server) là dịch vụ phân giải từ tên miền sang IP để truy cập internet thay vì phải nhớ dãy địa chỉ IP khô khan, người ta sẽ nhớ các tên miền như vnexpress.net, google.com ... sẽ dễ nhớ hơn. Để biết máy tính đang sử dụng DNS nào ta dùng câu lệnh nslookup Như hình trên thì DNS hiện tại của máy là 172.16.1.1 và khi phân giải tên miền google.com sễ ra dãy IP Và bây giờ chúng ta sẽ sử dụng mikrotik để làm DNS server (tất nhiên là nó sẽ ko tốt như 1 DNS server thật) Chúng ta vào IP - DNS Tại dòng Servers, chúng ta điền ip dns vào, ví dụ ở đây là 8.8.8.8 Ngoài ra chúng ta có thể tự tạo thêm các DNS statis như 1 DNS server bằng cách ấn vào static, chọn dấu + điền vào Name là tên trang web chúng ta muốn phân giải, và điền vào dòng Address IP của trang web muốn phân giải. 2.3 Cấu hình Link Aggregate Group (LAG) hay còn gọi là Bonding Mô hình vlan và kết nối các switch dùng trunk link đã đạt được mục đích ở khía cạnh business nhưng ở khía cạnh một network admin thì mô hình này không có tính dự phòng. Nếu trunk link mà bị down thì gần như truyền thông giữa các máy tính bị sụp đổ. Giải pháp cho vấn đề trên là LAG. Đặc điểm của LAG:High reliability: Down một đường cũng không ảnh hưởng Redundancy: Có đường dự phòng Increase bandwidth: Do sử dụng cùng lúc nhiều đường vật lý để truyền thông Chọn Interface - New - Bonding để cấu hình LAG trên router Mikrotik Điền tên bonding bạn muốn tạo Tại dòng Slave chọn các Interface bạn muốn bonding chúng lại với nhau. 2.4 Cấu hình Load Balancing trên Mikrotik Load balancing là công nghệ giúp chúng ta chạy song song cùng lúc nhiều line WAN khác nhau phục vụ cho mục đích cân bằng tải và dự phòng khi sử dụng dịch vụ internet. Mục đích sử dụng Load Balancing để tăng bandwidth, down một đường cũng không bị ảnh hưởng. Và Mikrotik hỗ trợ rất tốt cho công nghệ này với khả năng Load Balancing một lúc 5 WAN khác nhau. Sau đây mình sẽ giới thiệu cách cấu hình Load Balancing vs 2 line VNPT và FPT bằng giao diện CLI. Đầu tiên chúng ta cấu hình PPPoE cho 2 cổng e7(vnpt) và e6(fpt) như đã giới thiệu ở mục 2.1 Sau đó chúng ta tiếp tục vào Ip - Firewall - Mangle /ip firewall mangle add action=accept chain=prerouting in-interface=e7_vnpt add action=accept chain=prerouting in-interface=e6_fpt add action=mark-connection chain=prerouting in-interface=e7_vnpt new-connection-mark=e7_vnpt_conn passthrough=yes add action=mark-connection chain=prerouting in-interface=e6_fpt new-connection-mark=e6_fpt_conn passthrough=yes add action=mark-connection chain=prerouting dst-address-type=!local in-interface=bondinge1e2e3 new-connection-mark=e7_vnpt_conn passthrough=yes per-connection-classifier=both-addresses-and-ports:2/0 add action=mark-connection chain=prerouting dst-address-type=!local in-interface=bondinge1e2e3 new-connection-mark=e6_fpt_conn passthrough=yes per-connection-classifier=both-addresses-and-ports:2/1 add action=mark-routing chain=prerouting connection-mark=e7_vnpt_conn in-interface=bondinge1e2e3 new-routing-mark=to_e7_vnpt passthrough=yes add action=mark-routing chain=prerouting connection-mark=e6_fpt_conn in-interface=bondinge1e2e3 new-routing-mark=to_e6_fpt passthrough=yes add action=mark-routing chain=output connection-mark=e7_vnpt_conn new-routing-mark=to_e7_vnpt passthrough=yes add action=mark-routing chain=output connection-mark=e6_fpt_conn new-routing-mark=to_e6_fpt passthrough=yes Tiếp tục vào Ip - Route/ip route add check-gateway=ping distance=1 dst-address=0.0.0.0/0 gateway=pppoe_vnpt_e7 routing-mark=to_e7_vnpt scope=30 target-scope=10 add check-gateway=ping distance=1 dst-address=0.0.0.0/0 gateway=pppoe_fpt_e6routing-mark=to_e6_fpt scope=30 target-scope=10 add check-gateway=ping distance=1 dst-address=0.0.0.0/0 gateway=pppoe_vnpt_e7 scope=30 target-scope=10 add check-gateway=ping distance=2 dst-address=0.0.0.0/0 gateway=pppoe_fpt_e6 scope=30 target-scope=10 Kết quả sau khi LB xong Trên đây là 1 vài tính năng sử dụng router Mikrotik-RouterOS, ở phần sau mình sẽ tiếp tục giới thiệu một vài tính năng khác của Mikrotik. ------ [Mikrotik] Cấu hình PPPoE server trên Mikrotik 1. PPPoE là gì 2. Vì sao sử dụng Mikrotik làm PPPoE server 3. Cấu hình PPPoE trên Mikrotik 4. Test trên client 1. PPPoE là gì Nhà cung cấp dịch vụ Internet hay Nhà cung cấp dịch vụ nối mạng (tiếng Anh: Internet Service Provider, viết tắt: ISP) chuyên cung cấp các giải pháp kết nối mạng toàn cầu (Internet) cho các đơn vị tổ chức hay các cá nhân người dùng. PPPoE (Point to Point over Ethernet) được sử dụng trong các nhà ISP, là một giao thức với được hình thành bởi sự đóng gói dữ liệu của gói tin PPP trong gói tin Ethernet, được sử dụng chủ yếu với các dịch vụ DSL, nơi người dùng cá nhân kết nối với modem DSL qua Ethernet . PPPoE được phát triển bởi UUNET , Redback Networks và RouterWare ( Wind River Systems ) và có sẵn như là một thông tin RFC 2516 2. Vì sao sử dụng Mikrotik làm PPPoE server Hiện tại theo mình đc biết thì các nhà cung cấp dịch vụ Internet tại Việt Nam như là Netnam, Viettel, FPT đang dần chuyển sang sử dụng thiết bị Mikrotik để làm PPPoE server với sự ổn định và tính năng tuyệt vời Là vì nếu như trước đây, các ISP khi setup 1 PPPoE server thì cần 01 server Radius riêng để quản lý user và mật khẩu đăng nhập thì bây giờ Mikrotik có thể làm tốt tất cả việc đó, ngoài ra quan trọng nhất là tính ổn định mà nó mang lại quá ổn so với giá tiền. 3. Cấu hình PPPoE trên MIkrotik Để cấu hình PPPoE trên Mikrotik ta cần cấu hình những cái sau
Ta vào PPP - PPPoE server để tạo 1 PPPoE server
dãy ip đc sử dụng ở Pool 1Mbps là 192.168.1.0/24 , dãy ip sử dụng ở Pool 2Mbps là 192.168.2.0/24
Bây giờ chúng ta sử dụng các user/pass mà các ISP cung cấp để cấu hình trên con router được cung cấp, nhưng vì hiện tại chỉ là demo đơn giản thì trên Window có cung cấp cho ta sẵn 1 công cụ để đăng nhập vào PPPoE do ISP cung cấp Check thử IP sau khi đăng nhập vào user trunglv2 thuộc profile 2Mbps Và speed test khi đăng nhập vào user trunglv1 thuộc profile 1Mbps ---- [Mikrotik] How to block website with Mikrotik (RouterOs) Đối với các nhà quản trị mạng, quản trị hệ thống của một công ty thì việc block website đem lại rất nhiều lợi ích như hạn chế một số trang theo yêu cầu của ban giám đốc thì còn hạn chế traffic cho các trang web ko cần thiết trong công việc như xem phim, nghe nhạc v.v... Và ở đây mình xin trình bày vài cách block website với thiết bị router Mikrotik (RouterOs) một thiết bị network còn tương đối mới lạ, không được sử dụng rộng rãi như Cisco hay Juniper nhưng đang dần dần thể hiện là một trong những thiết bị network rẻ, hiệu năng cực kì tốt, nhiều tính năng hay, bảo mật. 1. Web proxy Đầu tiên ta enable web proxy ở trong mục ip - web proxy Như đã nói ở mục 1 về các loại proxy thì thông thường các công ty hay sử dụng Transparent web proxy để các user không biết đang dùng 1 proxy và bị kiểm soát, và không cần phải thiết lập các thông số proxy trong các trình duyệt web. Ta config thêm vào Firewall - Natip firewall nat /add chain=dstnat action=redirect to-ports=8080 protocol=tcp dst-port=80 Sau đó để block website chúng ta vào phần IP - Web proxy chọn access Chúng ta sẽ sử dụng tính năng route của router để block website đó Nhược điểm của cách này là ko hỗ trợ domain, và sẽ block tất cả traffic tới IP đó Ở đây mình thử block website vnexpress.net bằng cách block ip của trang web đó, ta sử dụng nslookup để coi ip của trang web Ở đây ta sử dụng Firewall để block tất cả traffic sử dụng port 80,443 có nội dung là "vnexpress" Chúng ta vào ip - firewall - filter Ta sẽ chặn website ở layer 7 application Đầu tiên ta phải tạo 1 chain, vào ip - firewall - layer 7 protocols Nhược điểm của chặn kiểu layer 7 này là router phải hoạt động công suất cao để tìm kiếm những packet có chứa dữ liệu mà ta đã nhập trong Regexp. ----- [Mikrotik] Setup web proxy với Mikrotik và Squid 1. Proxy là gì Proxy, Server Proxy hay Proxy Server (cũng là 1), chúng ta có thể hiểu nôm na là 1 chiếc máy tính khác có nhiệm vụ xử lý dữ liệu, giống như 1 bộ chuyển đổi thông tin của tín hiệu Internet. Bằng việc kết nối qua 1 hoặc nhiều những chiếc server như trên, ban đầu máy tính của người dùng - bạn sẽ gửi đi những tín hiệu yêu cầu - request qua proxy server, tại đây những thông tin đó sẽ được xử lý và trả lại những gì bạn thấy mỗi khi truy cập vào Internet. Phân biệt Proxy theo chức năng, thì có rất nhiều kiểu chức năng (caching proxy server, web proxy, Content Filtering Web Proxy, Anonymizing proxy server, Intercepting proxy server..) . Ở ví dụ trong phần đầu, sau khi tìm kiếm được danh sách một loạt các Proxy server, tại mục Proxy type, có những loại sau: Anonymous, Transparent, High Anonymity, phân biệt các kiểu Proxy này nhự thế nào Anonymous Đôi khi còn được gọi là web proxy, giúp người dùng ẩn danh (giấu IP), khi lướt Web. HTTP Proxy server không gửi thông số cụ thể của biến HTTP_X_FORWARDED_FOR tới Host đang truy cập, do vậy có thể che dấu IP của bạn. tuy nhiên, điều đó không có nghĩa giúp bạn ẩn dấu hoàn toàn, vì các website có thể sử dụng các site script để thu thập thông tin về việc bạn đang truy cập Host của họ thông qua một Proxy nào đó đang..phục vụ cho bạn High Anonymity: Mức độ che dấu tung tích cao hơn anonymous. Http Proxy hoàn toàn không gửi đi bất kì thông số nào của các biến HTTP_X_FORWARDED_FOR, HTTP_VIA và HTTP_PROXY_CONNECTION. Do vậy Internet Host không thể biết bạn đang dùng Proxy server, cũng như không detect được real IP của bạn Transparent Proxy xuyên suốt, Đôi khi còn được gọi là Intercepting proxy, khác với 2 loại trên, transparent là sự kết hợp 1 proxy server và 1 gateway. Đây là phương thức thường được các Network Admin “ép” User trong mạng Lan, User không nhận thức được mình đang truy cập internet qua một “cổng giám sát” Yêu cầu truy cập của Client đước chuyển đến gateway sau đó gateway chuyển sang Proxy server xử lý. Khi user dùng loại proxy này, thì họ không biết được rằng họ đang dùng 1 proxy và bị..kiểm soát. User chỉ cần thiết lập địa chỉ IP của gateway do Admin cung cấp, mà không phải xác lập các thông số Proxy trong trình duyệt cũng như Internet applications khác.. Thường được các Admin trong công ty triển khai, họ muốn các chính sách của Policy được áp đặt lên user, nhưng user hầu như không biết mình đang qua 1..proxy 2. Cấu hình web proxy trên mikrotik Để cấu hình web proxy trên mikrotik ta vào IP - Web Proxy để enable tính năng proxy trên con mikrotik Vì hiện tại mikrotik này RAM free 80% nên mình cho nó lưu vào ram và chỉnh Max Cache Object Size lên 500000KB. Nếu muốn lưu vào HDD thì tích vào tùy chọn Cache on DIsk. Muốn sử dụng proxy thì ta cần vào chỉnh lại mục proxy của trình duyệt web 3. Thiết lập transparent web proxy Như đã nói ở mục 1 về các loại proxy thì thông thường các công ty hay sử dụng Transparent web proxy để các user không biết đang dùng 1 proxy và bị kiểm soát, và không cần phải thiết lập các thông số proxy trong các trình duyệt web. Ta config thêm vào Firewall - Nat ip firewall nat /add chain=dstnat action=redirect to-ports=8080 protocol=tcp dst-port=80 Sau khi thiết lập transparent web proxy xong ta có thể bỏ thiết lập proxy trên các trình duyệt web, đồng thời các user không biết được rằng họ đang dùng proxy và bị kiểm soát. Cache content Ta vào IP - Web proxy Chọn access Ngoài ra ta còn có thể chặn các download từ các trang chuyên download như fshare, mediafire v.vv hoặc các đuôi về phim như AVI, MP4, MKV để ngăn chặn việc các user download phim hoặc file lớn ảnh hưởng đến mạng công ty 5. Squid là gì Squid là một phần mềm Proxy Server dùng cho việc lưu trữ cache và lọc nội dung web. Squid hỗ trợ các giao thức HTTP, HTTPS, FTP,… giúp bạn tiết kiệm băng thông và tăng tốc độ truy cập web cho nhóm người dùng trong công ty. Nguyên tắc hoạt động của Squid là khi người dùng truy vấn đến 1 website thông qua Squid thì Squid sẽ kiểm tra xem nội dung trang web đó có được lưu trữ và có thay đổi không? Nếu đã có lưu trữ và không thay đổi thì Squid sẽ trả luôn nội dung đó cho người dùng mà không cần phải truy vấn đến địa chỉ website kia nữa. Điều này giúp quá trình duyệt web nhanh hơn rất nhiều. 6. Cài đặt và cấu hình Squid trên ubuntu Để cài đặt Squid trên ubuntu rất là đơn giản, ta xài lệnh sudo apt install squid Cấu hình đơn giản file squid.conf trong thư mục /etc/squid cổng sử dụng squid là 3128http_port 3128 dãy ip đc sử dụng squidacl mynetwork src 172.16.0.0/16 tạo 1 acl là chandomain để thử chặn web dantri và tuoitreacl chandomain dstdomain dantri.com.vn tuoitre.vn thực thi chặn acl chandomainhttp_access deny chandomain thực thi mynetworkhttp_access allow mynetwork ngoài chandomain ra thì chặn tất cảhttp_access deny all thư mục lưu cachecache_dir ufs /var/spool/squid 10000 16 256 Sau khi cấu hình xong file domain thì ta tiến hành bấm câu lệnh sau để tạo thư mục chứa cache sudo service squid stop sudo squid -z mặc định thì nó sẽ được lưu trong thư mục /var/log/squid 7. Thiết lập Squid làm web proxy trên Mikrotik Mô hình kết nối Để thiết lập Squid làm transparent proxy trên Mikrotik ta làm như sau Vào IP - Web proxy Enable: On Src Add: :: Port: 8000 Max Cache size: None Parent Proxy: ip của proxy server Parent Proxy port: port Proxy server Còn lại là mặc định và bấm Ok Sau đó ta tiếp tục cấu hình redirect để chuyển tất cả kết nối 80 về port 8080 của ip proxy server / ip firewall nat add chain=dstnat action=redirect to-ports=8000 protocol=tcp src-address=172.16.4.0/24 dst-port=80 add chain=dstnat action=redirect to-ports=8000 protocol=tcp src-address=172.16.3.0/24 dst-port=80 add chain=dstnat action=redirect to-ports=8000 protocol=tcp src-address=172.16.2.0/24 dst-port=80 add chain=dstnat action=redirect to-ports=8000 protocol=tcp src-address=172.16.20.0/24 dst-port=80 add chain=dstnat action=redirect to-ports=8000 protocol=tcp src-address=172.16.10.0/24 dst-port=80 add chain=srcnat action=masquerade log=no log-prefix="" Như file squid.confd ở trên thì mình đã tiến hành chặn dantri.com.vn và tuoitre.vn giờ vào thử 2 trang web đó xem thế nào Để kiểm tra log ta dùng câu lệnh sau sudo tail /var/log/squid/access.log -n 100 check log ta thấy được dòng DENIED tuoitre.vn và dantri.com.vn ---- [Mikrotik]Alert via Email với Mikrotik Đối với các các công ty lớn thì hệ thống mạng hoạt động trơn tru là sự sống còn, dù muốn hay không muốn thì ít nhiều cũng có vài sự cố liên quan đến hệ thống. Và làm sao để có thể theo dõi hoạt động mạng và thông báo kịp lúc khi xảy ra sự cố thì thông thường chúng ta phải có 1 hệ thống check và report 24/24 qua nhiều hình thức như Email hoặc SMS. Vì thế việc cấu hình Alert via Email or SMS để thông báo tình hình về các sự cố là việc rất quan trọng đối với các kĩ sư hệ thống mạng để kịp thời sửa chữa và fix các lỗi hệ thống để mạng hoạt động một cách trơn tru, không ảnh hưởng đến năng suất của doanh nghiệp, công ty .. Với điều kiện không cho phép nên hiện tại chỉ có thể cấu hình Alert via Email. 2. Cấu hình Alert via Email với Mikrotik 2.1 Setup tài khoản email. Ở đây tôi dùng email Gmail để thiết lập email dùng để thông báo sự cố tới người kĩ sư hệ thống. Chọn Tools-Email Điền ip server mail, username, password của email ta dùng để gởi cảnh báo. Thử test gởi email. 2.2 Setup Netwatch Netwach là gì? Netwatch là một tool trong mikrotik dùng để theo dõi trạng thái up/down của các kết nối tới mikrotik. Ở đây tôi dùng để kiểm tra tình trạng network của công ty Framgia - chi nhánh Đà Nẵng. Chọn Tools-Netwatch Trong đó: Host là địa chỉ ip/link chúng ta muốn kiểm tra tình trạng. Interval là thời gian kiểm tra kết nối up/down. Danh sách cần kiểm tra tình trạng up/down và thông báo alert via email 2.3 Config Alert via Email Để cấu hình Alert via Email ta cần viết thêm 1 đoạn Script vào trong tab UP/DOWN để chạy. Ngoài ra Mikrotik còn hỗ trợ Alert via SMS, nhưng vì điều kiện không cho phép (mua thêm moudle SMS để gắn thêm vào Mikrotik) nên chỉ mới giới thiệu mọi người về Alert via Email. UPDATE: Vào ngày 3/2/2017 vừa rồi, tại FramgiaĐN xảy ra sự cố chập điện, hệ thống điện tòa nhà bị tắt, lập tức có email thông báo về tình trạng hiện tại của VP, hệ thống network vẫn hoạt động bình thường vì có hệ thống UPS riêng nên không có email alert. Khi cúp điện thì có email thông báo kết nối tới Printer + máy chấm công DOWN, và sau khi khắc phục sự cố điện thì có email thông báo UP đc gởi tới email người quản trị. Nhấn Follow để theo dõi thêm nhiều bài viết về Mikrotik, hoặc có thể liên hệ mình để được hỗ trợ về Mikrotik (trong khả năng cho phép) --- [Mikrotik] Giới thiệu và cài đặt hotspot 1. Wifi hotspot là gì Wifi hotspot là điểm truy cập mạng không dây công cộng, được thiết lập ở các nơi cần cung cấp dịch vụ truy cập không dây - wifi cho người dùng như: quán cafe, ga tàu, bến xe, khách hàng đến công ty giao dịch Thông thường, khi cung cấp dịch vụ wifi hotspot, người dùng truy cập vào trạm hotspot sẽ yêu cầu cung cấp một số thông tin để đăng nhập và sử dụng dịch vụ wifi miễn phí. Ở trang đăng nhập này, chúng ta có thể để các banner quảng cáo, trang chào ... Giải pháp: Sử dụng thiết bị và giải pháp của MikroTik. Sử dụng gói (packege): user-manager của MikroTik để quản lý tập trung người dùng truy cập hệ thống hotspot, gói user-manager cũng kiêm tính năng của một Radius server. Sau đây là các bước dùng để triển khai SSID Framgia Customer thành một hotspot truy cập công cộng, quảng bá thông tin công ty - wifi marketing. 2. Cài đặt gói user-manager Ta truy cập vào trang http://www.mikrotik.com/download. Chọn phiên bản phù hợp với thiết bị và version mình đang dùng và download gói EXTRA PACKAGE về Sau khi download về chúng ta giải nén và upload file user-manager-6.37.3-tile.npk lên file list và reboot lại router để cài đặt Sau khi cài đặt xong thì ta kiểm tra trong System - Package đã có gói user-manager chúng ta vừa cài đặt chưa. |
