MikroTik PPPoE-bediener vir ISP'e

Opsomming ‘n MikroTik PPPoE-bediener laat ‘n ISP toe om intekenare te verifieer, elkeen ‘n IP-adres toe te ken en ‘n spoedperk per plan af te dwing — alles vanuit RouterOS, sonder eksterne RADIUS vir klein ontplooiings. Die opstelling is ‘n kort, geordende ketting: ‘n IP-poel, ‘n PPP-profiel, intekenaar-secrets, die PPPoE-diens en NAT. Die moeiliker probleem is nie om een konsentrator op te stel nie, maar om ‘n konsekwente, verifieerbare konfigurasie op baie van hulle te laat loop — dikwels agter CGNAT. Hierdie gids dek albei.

Wat Is ‘n MikroTik PPPoE-bediener?

‘n MikroTik PPPoE-bediener is ‘n RouterOS-diens wat elke intekenaar oor Point-to-Point Protocol over Ethernet verifieer, hulle ‘n IP uit ‘n poel gee en ‘n profiel toepas wat hul poort, DNS en spoedperk beheer. Dit is hoe die meeste klein tot medium ISP’e kliëntverbindings bestuur: ‘n kliënt skakel in met ‘n gebruikersnaam en wagwoord, die bediener kontroleer die geloofsbrief, en die sessie erf die toegekende plan — verifikasie per gebruiker, IP-toekenning en bandwydtebeheer sonder aparte toerusting (MikroTik-dokumentasie — PPPoE).

PPPoE bly die ISP-standaard weens aanspreeklikheid. Elke intekenaar hou ‘n individuele geloofsbrief, sodat jy ‘n rekening kan deaktiveer vir nie-betaling, kan sien wie aanlyn is, en ‘n vaste adres of spoed aan ‘n persoon kan bind — niks hiervan lewer brug- of DHCP-aflewering skoon nie. Die hele konfigurasie kook af tot een idee: definieer die plan een keer in ‘n profiel, en heg dan die intekenare daaraan.

Stap 1 — Skep die IP-poel

Begin met die adresse wat RouterOS aan intekenare uitleen. ‘n Poel is ‘n benoemde blok — byvoorbeeld /ip pool add name=pppoe-pool ranges=10.20.0.2-10.20.255.254 — gegroot volgens die gelyktydige sessies wat hierdie konsentrator sal dra, met spasie. Hou die profiel se poortadres (dit is die local-address) buite die uitleenbare reeks sodat dit nooit per ongeluk aan ‘n kliënt gegee word nie.

Groot die poel volgens die hardeware — ‘n beskeie router hanteer honderde sessies, ‘n CCR-klas toestel die duisende (Tech@Layer-x — PPPoE Server on MikroTik for ISP Deployments). Om eerder publieke IP’e uit te deel, rig die poel na jou roeteerbare blok en slaan die NAT in Stap 5 oor.

Stap 2 — Bou die PPP-profiel

Die PPP-profiel is waar ‘n plan leef. Dit stel die local-address (die poort wat elke intekenaar sien), die remote-address-poel uit Stap 1, die DNS-bedieners en — die belangrikste vir ‘n ISP — die rate-limit wat elke sessie beperk. Ken die profiel aan ‘n intekenaar toe en hulle erf die spoed, so ‘n “20/10”-plan is een profiel wat oor duisende rekeninge hergebruik word (madankc.com.np — MikroTik PPPoE Server Complete Setup Guide).

Een besonderheid laat byna almal struikel: die rigting. RouterOS lees die profiel se rate-limit as rx-rate/tx-rate vanuit die bediener se oogpunt — die intekenaar se oplaai eerste, aflaai daarna, die omgekeerde van hoe kliënte hul plan beskryf. ‘n Pakket “100 Mbps af / 30 Mbps op” word geskryf rate-limit=30M/100M. Draai dit om en elke kliënt kry stil ‘n omgeruilde plan — presies die vlootwye fout wat sjabloonkonfigurasie voorkom.

Stap 3 — Voeg intekenaar-secrets by

Elke intekenaar het ‘n “secret” nodig — ‘n gebruikersnaam, wagwoord en die profiel wat hul plan definieer, geskep onder /ppp secret. Vir ‘n klein basis is dit die hele gebruikersdatabasis: voeg ‘n secret per kliënt by, speld opsioneel ‘n vaste remote-address vas vir ‘n statiese IP, en deaktiveer die secret om diens af te sny. Dit is dieselfde aanspreeklikheid per geloofsbrief wat MikroTik se User Manager vir hotspot-intekenare uitbrei, gedek in ons gids oor die 10.5.50.1-hotspot-poort en User Manager.

Plaaslike secrets hou op skaal in die honderde-tot-duisende-reeks, waar die redigering van een router per kliëntverandering die bottelnek word. Op daardie punt skuif jy verifikasie na ‘n eksterne RADIUS-bediener, en die konsentrators vra eenvoudig vir RADIUS of ‘n aanmelding geldig is — sodat die intekenaardatabasis op een plek bly.

Stap 4 — Aktiveer die PPPoE-bediener op die toegangskoppelvlak

Skakel nou die diens aan. Voeg ‘n PPPoE-bediener by met /interface pppoe-server server, bind dit aan die koppelvlak wat na jou toegangsnetwerk wys (‘n poort, VLAN of bridge), stel sy default-profile op die profiel uit Stap 2, en kies die verifikasiemetodes — pap, chap of mschap2. RouterOS antwoord dan op PPPoE-ontdekking op daardie koppelvlak en verifieer enige kliënt wat met ‘n geldige secret inskakel.

Twee instellings maak op skaal saak. Die opsie one-session-per-host keer dat ‘n intekenaar verskeie gelyktydige sessies oopmaak, en max-mtu/max-mru behoort gestel te word sodat PPPoE-bokoste nie kliëntverkeer fragmenteer nie. Waar die toegangsnetwerk per kliënt of sone gesegmenteer is, dek ons MikroTik-brugkonfigurasiegids die Laag 2-grondslag waarop die bediener bou.

Stap 5 — Voeg NAT- en brandmuurreëls by

As jy intekenare in Stap 1 privaat adresse toegeken het, het hul verkeer vertaling nodig. Voeg ‘n masquerade-reël in die srcnat-ketting by, gebind aan jou WAN-uitkoppelvlak sodat elke PPPoE-sessie die internet bereik — dieselfde NAT-grondbeginsels gedek in ons gids om NAT op MikroTik op te stel. As jy publieke IP’e uitgedeel het, slaan die masquerade oor en roeteer die blok.

Beskerm dan die konsentrator. Die PPPoE-diens behoort vir intekenare bereikbaar te wees, maar die router se bestuurskoppelvlakke nie, so voeg brandmuurreëls by wat Winbox-, API- en WebFig-toegang van die intekenaarkant af laat val. ‘n Konsentrator wat werklike kliëntinkomste dra, is presies die toestel wat jy nie bereikbaar wil hê vanaf ‘n gekaapte sessie nie.

Stap 6 — Bestuur en verifieer die vloot op afstand

Hier is die deel wat enkel-router-tutoriale oorslaan. Om PPPoE op een masjien op te rig is maklik; om identiese profiele, MTU-instellings en brandmuurreëls oor dosyne konsentrators te laat loop — en te bewys dat elkeen sessies verifieer en die regte rate limits afdwing — is die werklike ISP-probleem. Dit raak moeiliker wanneer ‘n toegangsrouter agter Carrier-Grade NAT sit sonder ‘n publieke IP, al hoe meer algemeen namate operateurs op LTE- en Starlink-oplinks steun.

Hier verdien gesentraliseerde bestuur sy plek: MKController hou elke router bereikbaar oor ‘n geverifieerde uitgaande tonnel selfs wanneer dit geen publieke adres het nie — dieselfde benadering as in ons gids oor MikroTik-afstandtoegang agter CGNAT — sodat jy konfigurasie oudit en regstellings vlootwyd uitstoot, met telemetrie wat ‘n masjien met laat-val-sessies merk voordat kliënte bel.

Wenke

• Sjabloneer die profiel, nie die secrets nie — elke planverandering behoort een profiel te raak, nooit duisende rekeninge nie.
• Hou die konsentrator se CPU dop: die per-sessie-toue van rate-limit tel op, en ‘n oorlaaide masjien laat sessies stil val.
• Stel max-mtu/max-mru doelbewus. PPPoE voeg 8 grepe bokoste by, en die gevolglike fragmentasie is die verborge oorsaak van die meeste “dit is stadig op een plek”-kaartjies.
• Sentraliseer verifikasie verby ‘n paar honderd gebruikers — plaaslike secrets versprei oor routers word onmoontlik om te oudit.

Beheer jou hele PPPoE-rand vanaf een skerm

‘n PPPoE-bediener op een MikroTik is maklik. Om dit oor ‘n ISP-vloot te laat loop — identiese profiele, die regte rate-limit-rigting op elke masjien, die bestuur toegesluit, en bewys dat elke konsentrator verifieer selfs agter CGNAT sonder ‘n publieke IP — is waar operateurs hele middae verloor. Dit is die werk waarvoor MKController gebou is: bereik elke router oor ‘n veilige uitgaande tonnel, oudit konfigurasie, kyk na lewende sessies en stoot ‘n regstelling oor die hele vloot op een slag uit, met telemetrie wat ‘n masjien met laat-val-sessies merk voordat ‘n kliënt selfs bel. Dit is hoe ISP’e wat PPPoE op MikroTik laat loop ‘n router-vir-router-karwei in een enkele beheervlak verander.

Begin jou gratis MKController-proeftydperk