خادم PPPoE MikroTik لمزوّدي الإنترنت

ملخّص يتيح خادم PPPoE MikroTik لمزوّد الإنترنت مصادقة المشتركين ومنح كل واحد عنوان IP وفرض حدّ سرعة لكل باقة — كل ذلك من RouterOS، دون RADIUS خارجي في عمليات النشر الصغيرة. الإعداد سلسلة قصيرة ومرتّبة: تجمّع IP، وملف PPP، وsecrets المشتركين، وخدمة PPPoE، وNAT. المشكلة الأصعب ليست إعداد مُجمِّع واحد، بل تشغيل تكوين متّسق وقابل للتحقّق على العديد منها — غالبًا خلف CGNAT. يغطّي هذا الدليل كليهما.

ما هو خادم PPPoE MikroTik؟

خادم PPPoE MikroTik هو خدمة RouterOS تصادق كل مشترك عبر Point-to-Point Protocol over Ethernet، وتمنحه IP من تجمّع، وتطبّق ملفًا يتحكّم في بوابته وDNS وحدّ سرعته. هكذا يدير معظم مزوّدي الإنترنت الصغار والمتوسطين اتصالات العملاء: يتّصل العميل باسم مستخدم وكلمة مرور، ويتحقّق الخادم من بيانات الاعتماد، وترث الجلسة الباقة المُسنَدة — مصادقة لكل مستخدم، وإسناد IP، والتحكّم في عرض النطاق دون معدّات منفصلة (وثائق MikroTik — PPPoE).

يبقى PPPoE معيار مزوّدي الإنترنت بسبب المساءلة. يملك كل مشترك بيانات اعتماد فردية، فيمكنك تعطيل حساب لعدم الدفع، ورؤية من المتّصل، وربط عنوان ثابت أو سرعة بشخص — لا شيء من ذلك يقدّمه تسليم bridge أو DHCP بنظافة. يتلخّص التكوين بأكمله في فكرة واحدة: عرّف الباقة مرة في ملف، ثم اربط المشتركين بها.

الخطوة 1 — أنشئ تجمّع IP

ابدأ بالعناوين التي سيُعيرها RouterOS للمشتركين. التجمّع كتلة مُسمّاة — مثل /ip pool add name=pppoe-pool ranges=10.20.0.2-10.20.255.254 — بحجم يتناسب مع الجلسات المتزامنة التي سيحملها هذا المُجمِّع، مع هامش. أبقِ عنوان بوابة الملف (أي local-address) خارج النطاق القابل للإعارة كي لا يُسلَّم لعميل بالخطأ أبدًا.

حدّد حجم التجمّع بحسب العتاد — موجّه متواضع يتولّى مئات الجلسات، وجهاز من فئة CCR الآلاف (Tech@Layer-x — PPPoE Server on MikroTik for ISP Deployments). ولتوزيع عناوين IP عامة بدلًا من ذلك، وجّه التجمّع إلى كتلتك القابلة للتوجيه وتخطَّ NAT في الخطوة 5.

الخطوة 2 — ابنِ ملف PPP

ملف PPP هو حيث تعيش الباقة. يضبط local-address (البوابة التي يراها كل مشترك)، وتجمّع remote-address من الخطوة 1، وخوادم DNS، و— الأهم لمزوّد الإنترنت — rate-limit الذي يحدّ كل جلسة. أسند الملف لمشترك فيرث السرعة، فباقة «20/10» هي ملف واحد يُعاد استخدامه عبر آلاف الحسابات (madankc.com.np — MikroTik PPPoE Server Complete Setup Guide).

تفصيل واحد يُعثِر الجميع تقريبًا: الاتجاه. يقرأ RouterOS الـrate-limit للملف بصيغة rx-rate/tx-rate من وجهة نظر الخادم — رفع المشترك أولًا، ثم تنزيله، عكس الطريقة التي يصف بها العملاء باقتهم. تُكتب باقة «100 ميغابت/ث تنزيل / 30 ميغابت/ث رفع» بصيغة rate-limit=30M/100M. اعكسها فيتلقّى كل عميل بصمت باقة مقلوبة — وهو بالضبط الخطأ على نطاق الأسطول الذي يمنعه التكوين بالقوالب.

الخطوة 3 — أضف secrets المشتركين

يحتاج كل مشترك إلى «secret» — اسم مستخدم وكلمة مرور والملف الذي يعرّف باقته، يُنشأ تحت /ppp secret. لقاعدة صغيرة هذا هو قاعدة بيانات المستخدمين بأكملها: أضف secret لكل عميل، وثبّت اختياريًا remote-address ثابتًا لـIP ساكن، وعطّل الـsecret لقطع الخدمة. إنها المساءلة نفسها لكل بيانات اعتماد التي يوسّعها User Manager من MikroTik لمشتركي hotspot، والمشمولة في دليلنا حول بوابة hotspot 10.5.50.1 وUser Manager.

تتوقّف secrets المحلية عن التوسّع في نطاق المئات إلى الآلاف، حيث يصبح تحرير موجّه واحد لكل تغيير عميل عنق الزجاجة. عند تلك النقطة تنقل المصادقة إلى خادم RADIUS خارجي، وتسأل المُجمِّعات RADIUS ببساطة إن كان تسجيل الدخول صالحًا — مع إبقاء قاعدة بيانات المشتركين في مكان واحد.

الخطوة 4 — فعّل خادم PPPoE على واجهة الوصول

الآن شغّل الخدمة. أضف خادم PPPoE بـ/interface pppoe-server server، واربطه بالواجهة المتّجهة نحو شبكة وصولك (منفذ أو VLAN أو bridge)، واضبط default-profile الخاص به على ملف الخطوة 2، واختر طرق المصادقة — pap أو chap أو mschap2. عندئذٍ يردّ RouterOS على اكتشاف PPPoE على تلك الواجهة ويصادق أي عميل يتّصل بـsecret صالح.

إعدادان مهمّان على نطاق واسع. يمنع خيار one-session-per-host المشترك من فتح عدة جلسات متزامنة، وينبغي ضبط max-mtu/max-mru كي لا يُجزّئ عبء PPPoE حركة العميل. وحيث تكون شبكة الوصول مقسّمة لكل عميل أو منطقة، يغطّي دليل تكوين bridge في MikroTik أساس الطبقة 2 الذي يرتكز عليه الخادم.

الخطوة 5 — أضف قواعد NAT والجدار الناري

إذا أسندت للمشتركين عناوين خاصة في الخطوة 1، فإن حركتهم تحتاج إلى ترجمة. أضف قاعدة masquerade في سلسلة srcnat مربوطة بواجهة خروج WAN لديك كي تصل كل جلسة PPPoE إلى الإنترنت — أساسيات NAT نفسها المشمولة في دليلنا لتكوين NAT على MikroTik. إن وزّعت عناوين IP عامة، فتخطَّ masquerade ووجّه الكتلة.

ثم احمِ المُجمِّع. ينبغي أن تكون خدمة PPPoE قابلة للوصول من المشتركين، لكن واجهات إدارة الموجّه لا، لذا أضف قواعد جدار ناري تُسقط وصول Winbox وAPI وWebFig من الجهة المتّجهة نحو المشترك. المُجمِّع الذي يحمل إيرادات عملاء حقيقية هو بالضبط الجهاز الذي لا تريده قابلًا للوصول من جلسة مُختطَفة.

الخطوة 6 — أدِر الأسطول وتحقّق منه عن بُعد

هنا الجزء الذي تتخطّاه شروحات الموجّه الواحد. إقامة PPPoE على جهاز واحد سهلة؛ أما تشغيل ملفات وإعدادات MTU وقواعد جدار ناري متطابقة عبر عشرات المُجمِّعات — وإثبات أن كلًّا منها يصادق الجلسات ويفرض rate limits الصحيحة — فهي مشكلة مزوّد الإنترنت الحقيقية. وتزداد صعوبة حين يقع موجّه الوصول خلف Carrier-Grade NAT دون IP عام، وهو ما يشيع أكثر مع اعتماد المشغّلين على وصلات LTE وStarlink.

هنا تستحقّ الإدارة المركزية مكانها: يُبقي MKController كل موجّه قابلًا للوصول عبر نفق صادر مُصادَق حتى حين لا يملك عنوانًا عامًا — النهج نفسه في دليلنا حول الوصول عن بُعد إلى MikroTik خلف CGNAT — فتدقّق التكوين وتدفع الإصلاحات على نطاق الأسطول، بقياس عن بُعد يُعلِّم جهازًا بجلسات ساقطة قبل أن يتّصل العملاء.

نصائح

• اجعل الملف قالبًا، لا الـsecrets — كل تغيير في الباقة ينبغي أن يمسّ ملفًا واحدًا، لا آلاف الحسابات أبدًا.
• راقب وحدة المعالجة المركزية للمُجمِّع: تتراكم طوابير rate-limit لكل جلسة، والجهاز المُحمَّل بإفراط يُسقط الجلسات بصمت.
• اضبط max-mtu/max-mru بوعي. يضيف PPPoE ٨ بايتات من العبء، والتجزئة الناتجة هي السبب الخفي لمعظم تذاكر «بطيء في موقع واحد».
• مركزِ المصادقة بعد بضع مئات من المستخدمين — تصبح secrets المحلية المبعثرة عبر الموجّهات مستحيلة التدقيق.

تحكّم في حافة PPPoE بالكامل من شاشة واحدة

خادم PPPoE على MikroTik واحد سهل. أما تشغيله عبر أسطول مزوّد إنترنت — ملفات متطابقة، واتجاه rate-limit صحيح على كل جهاز، وإدارة مُقفَلة، وإثبات أن كل مُجمِّع يصادق حتى خلف CGNAT دون IP عام — فهو حيث يخسر المشغّلون فترات بعد الظهر بأكملها. تلك هي المهمة التي بُني MKController من أجلها: الوصول إلى كل موجّه عبر نفق صادر آمن، وتدقيق التكوين، ومراقبة الجلسات الحيّة، ودفع إصلاح عبر الأسطول كله دفعة واحدة، بقياس عن بُعد يُعلِّم جهازًا بجلسات ساقطة قبل أن يتّصل عميل أصلًا. هكذا يحوّل مزوّدو الإنترنت الذين يشغّلون PPPoE على MikroTik كدحًا موجّهًا تلو موجّه إلى مستوى تحكّم واحد.

ابدأ تجربتك المجانية لـMKController