Διακομιστής PPPoE MikroTik για ISP

Περίληψη Ένας διακομιστής PPPoE MikroTik επιτρέπει σε έναν ISP να πιστοποιεί συνδρομητές, να αναθέτει σε καθέναν μια διεύθυνση IP και να επιβάλλει όριο ταχύτητας ανά πακέτο — όλα από το RouterOS, χωρίς εξωτερικό RADIUS για μικρές εγκαταστάσεις. Η ρύθμιση είναι μια σύντομη, διατεταγμένη αλυσίδα: ένα IP pool, ένα προφίλ PPP, τα secrets συνδρομητών, η υπηρεσία PPPoE και το NAT. Το δυσκολότερο πρόβλημα δεν είναι η ρύθμιση ενός συγκεντρωτή, αλλά η εκτέλεση συνεπούς, επαληθεύσιμης διαμόρφωσης σε πολλούς — συχνά πίσω από CGNAT. Αυτός ο οδηγός καλύπτει και τα δύο.

Τι Είναι ένας Διακομιστής PPPoE MikroTik;

Ένας διακομιστής PPPoE MikroTik είναι μια υπηρεσία RouterOS που πιστοποιεί κάθε συνδρομητή μέσω Point-to-Point Protocol over Ethernet, του δίνει μια IP από ένα pool και εφαρμόζει ένα προφίλ που ελέγχει την πύλη, το DNS και το όριο ταχύτητάς του. Έτσι οι περισσότεροι μικροί και μεσαίοι ISP διαχειρίζονται τις συνδέσεις πελατών: ένας πελάτης συνδέεται με όνομα χρήστη και κωδικό, ο διακομιστής ελέγχει το διαπιστευτήριο, και η συνεδρία κληρονομεί το ανατεθειμένο πακέτο — πιστοποίηση ανά χρήστη, ανάθεση IP και έλεγχος εύρους ζώνης χωρίς ξεχωριστό εξοπλισμό (Τεκμηρίωση MikroTik — PPPoE).

Το PPPoE παραμένει το πρότυπο των ISP λόγω λογοδοσίας. Κάθε συνδρομητής κατέχει ατομικό διαπιστευτήριο, οπότε μπορείτε να απενεργοποιήσετε έναν λογαριασμό για μη πληρωμή, να δείτε ποιος είναι online και να δέσετε σταθερή διεύθυνση ή ταχύτητα σε ένα άτομο — τίποτα από αυτά δεν προσφέρει καθαρά η παράδοση μέσω bridge ή DHCP. Όλη η διαμόρφωση συνοψίζεται σε μια ιδέα: ορίστε το πακέτο μία φορά σε ένα προφίλ, και μετά συνδέστε τους συνδρομητές σε αυτό.

Βήμα 1 — Δημιουργήστε το IP pool

Ξεκινήστε με τις διευθύνσεις που το RouterOS θα δανείζει στους συνδρομητές. Ένα pool είναι ένα ονομασμένο μπλοκ — για παράδειγμα /ip pool add name=pppoe-pool ranges=10.20.0.2-10.20.255.254 — διαστασιολογημένο στις ταυτόχρονες συνεδρίες που θα κουβαλάει αυτός ο συγκεντρωτής, με περιθώριο. Κρατήστε τη διεύθυνση πύλης του προφίλ (δηλαδή την local-address) εκτός του δανειζόμενου εύρους ώστε να μη δοθεί ποτέ σε πελάτη κατά λάθος.

Διαστασιολογήστε το pool ανάλογα με το υλικό — ένας μέτριος δρομολογητής χειρίζεται εκατοντάδες συνεδρίες, μια συσκευή κλάσης CCR χιλιάδες (Tech@Layer-x — PPPoE Server on MikroTik for ISP Deployments). Για να μοιράσετε δημόσιες IP αντ’ αυτού, στρέψτε το pool στο δρομολογήσιμο μπλοκ σας και παραλείψτε το NAT στο Βήμα 5.

Βήμα 2 — Χτίστε το προφίλ PPP

Το προφίλ PPP είναι όπου ζει ένα πακέτο. Ορίζει την local-address (την πύλη που βλέπει κάθε συνδρομητής), το pool remote-address από το Βήμα 1, τους διακομιστές DNS και — το σημαντικότερο για έναν ISP — το rate-limit που περιορίζει κάθε συνεδρία. Αναθέστε το προφίλ σε έναν συνδρομητή και κληρονομεί την ταχύτητα, οπότε ένα πακέτο «20/10» είναι ένα προφίλ που επαναχρησιμοποιείται σε χιλιάδες λογαριασμούς (madankc.com.np — MikroTik PPPoE Server Complete Setup Guide).

Μια λεπτομέρεια ξεγελάει σχεδόν τους πάντες: η κατεύθυνση. Το RouterOS διαβάζει το rate-limit του προφίλ ως rx-rate/tx-rate από την οπτική του διακομιστή — πρώτα το upload του συνδρομητή, μετά το download, αντίστροφα από το πώς οι πελάτες περιγράφουν το πακέτο τους. Ένα πακέτο «100 Mbps κάτω / 30 Mbps πάνω» γράφεται rate-limit=30M/100M. Αντιστρέψτε το και κάθε πελάτης λαμβάνει σιωπηλά ένα ανταλλαγμένο πακέτο — ακριβώς το σφάλμα σε κλίμακα στόλου που αποτρέπει η διαμόρφωση με πρότυπο.

Βήμα 3 — Προσθέστε τα secrets συνδρομητών

Κάθε συνδρομητής χρειάζεται ένα «secret» — όνομα χρήστη, κωδικό και το προφίλ που ορίζει το πακέτο του, δημιουργημένο κάτω από το /ppp secret. Για μια μικρή βάση αυτό είναι όλη η βάση δεδομένων χρηστών: προσθέστε ένα secret ανά πελάτη, προαιρετικά καρφιτσώστε μια σταθερή remote-address για στατική IP, και απενεργοποιήστε το secret για να διακόψετε την υπηρεσία. Είναι η ίδια λογοδοσία ανά διαπιστευτήριο που ο User Manager του MikroTik επεκτείνει για συνδρομητές hotspot, που καλύπτεται στον οδηγό μας για την πύλη hotspot 10.5.50.1 και τον User Manager.

Τα τοπικά secrets σταματούν να κλιμακώνονται στο εύρος εκατοντάδων έως χιλιάδων, όπου η επεξεργασία ενός δρομολογητή ανά αλλαγή πελάτη γίνεται το σημείο συμφόρησης. Σε εκείνο το σημείο μετακινείτε την πιστοποίηση σε έναν εξωτερικό διακομιστή RADIUS, και οι συγκεντρωτές απλώς ρωτούν το RADIUS αν μια σύνδεση είναι έγκυρη — κρατώντας τη βάση συνδρομητών σε ένα μέρος.

Βήμα 4 — Ενεργοποιήστε τον διακομιστή PPPoE στη διεπαφή πρόσβασης

Τώρα ανάψτε την υπηρεσία. Προσθέστε έναν διακομιστή PPPoE με /interface pppoe-server server, συνδέστε τον στη διεπαφή που βλέπει προς το δίκτυο πρόσβασής σας (θύρα, VLAN ή bridge), ορίστε το default-profile του στο προφίλ του Βήματος 2, και επιλέξτε τις μεθόδους πιστοποίησης — pap, chap ή mschap2. Το RouterOS τότε απαντά στην ανακάλυψη PPPoE σε εκείνη τη διεπαφή και πιστοποιεί κάθε πελάτη που συνδέεται με έγκυρο secret.

Δύο ρυθμίσεις μετράνε σε κλίμακα. Η επιλογή one-session-per-host εμποδίζει έναν συνδρομητή να ανοίξει πολλές ταυτόχρονες συνεδρίες, και τα max-mtu/max-mru πρέπει να οριστούν ώστε η επιβάρυνση PPPoE να μην κατακερματίζει την κίνηση πελάτη. Όπου το δίκτυο πρόσβασης είναι τμηματοποιημένο ανά πελάτη ή ζώνη, ο οδηγός μας διαμόρφωσης bridge MikroTik καλύπτει το θεμέλιο Επιπέδου 2 πάνω στο οποίο πατάει ο διακομιστής.

Βήμα 5 — Προσθέστε κανόνες NAT και τείχους προστασίας

Αν αναθέσατε στους συνδρομητές ιδιωτικές διευθύνσεις στο Βήμα 1, η κίνησή τους χρειάζεται μετάφραση. Προσθέστε έναν κανόνα masquerade στην αλυσίδα srcnat δεμένο στη διεπαφή εξόδου WAN σας ώστε κάθε συνεδρία PPPoE να φτάνει στο διαδίκτυο — τα ίδια θεμέλια NAT που καλύπτονται στον οδηγό μας για τη διαμόρφωση NAT στο MikroTik. Αν μοιράσατε δημόσιες IP, παραλείψτε το masquerade και δρομολογήστε το μπλοκ.

Μετά προστατέψτε τον συγκεντρωτή. Η υπηρεσία PPPoE πρέπει να είναι προσβάσιμη από τους συνδρομητές, αλλά οι διεπαφές διαχείρισης του δρομολογητή όχι, οπότε προσθέστε κανόνες τείχους που απορρίπτουν πρόσβαση Winbox, API και WebFig από την πλευρά που βλέπει στον συνδρομητή. Ένας συγκεντρωτής που κουβαλά πραγματικά έσοδα πελατών είναι ακριβώς η συσκευή που δεν θέλετε προσβάσιμη από μια παραβιασμένη συνεδρία.

Βήμα 6 — Διαχειριστείτε και επαληθεύστε τον στόλο απομακρυσμένα

Εδώ είναι το μέρος που τα tutorials ενός δρομολογητή παραλείπουν. Το να στήσεις PPPoE σε μία μηχανή είναι εύκολο· το να τρέχεις ίδια προφίλ, ρυθμίσεις MTU και κανόνες τείχους σε δεκάδες συγκεντρωτές — και να αποδείξεις ότι ο καθένας πιστοποιεί συνεδρίες και επιβάλλει τα σωστά rate limits — είναι το πραγματικό πρόβλημα του ISP. Γίνεται δυσκολότερο όταν ένας δρομολογητής πρόσβασης βρίσκεται πίσω από Carrier-Grade NAT χωρίς δημόσια IP, όλο και πιο συνηθισμένο καθώς οι πάροχοι στηρίζονται σε uplinks LTE και Starlink.

Εδώ η κεντρική διαχείριση κερδίζει τη θέση της: το MKController κρατά κάθε δρομολογητή προσβάσιμο μέσω ενός πιστοποιημένου εξερχόμενου tunnel ακόμη κι όταν δεν έχει δημόσια διεύθυνση — η ίδια προσέγγιση με τον οδηγό μας για απομακρυσμένη πρόσβαση MikroTik πίσω από CGNAT — ώστε να ελέγχετε τη διαμόρφωση και να σπρώχνετε διορθώσεις σε όλο τον στόλο, με τηλεμετρία που επισημαίνει μια μηχανή με πεσμένες συνεδρίες πριν τηλεφωνήσουν οι πελάτες.

Συμβουλές

• Φτιάξτε πρότυπο το προφίλ, όχι τα secrets — κάθε αλλαγή πακέτου πρέπει να αγγίζει ένα προφίλ, ποτέ χιλιάδες λογαριασμούς.
• Παρακολουθείτε τη CPU του συγκεντρωτή: οι ουρές ανά συνεδρία από το rate-limit αθροίζονται, και μια υπερφορτωμένη μηχανή ρίχνει συνεδρίες σιωπηλά.
• Ορίστε τα max-mtu/max-mru συνειδητά. Το PPPoE προσθέτει 8 bytes επιβάρυνσης, και ο προκύπτων κατακερματισμός είναι η κρυφή αιτία των περισσότερων αναφορών «είναι αργό σε μία τοποθεσία».
• Κεντρικοποιήστε την πιστοποίηση πέρα από μερικές εκατοντάδες χρήστες — τα τοπικά secrets διάσπαρτα στους δρομολογητές γίνονται αδύνατο να ελεγχθούν.

Διαχειριστείτε ολόκληρο το PPPoE άκρο σας από μία οθόνη

Ένας διακομιστής PPPoE σε ένα MikroTik είναι εύκολος. Το να τον τρέχεις σε έναν στόλο ISP — ίδια προφίλ, η σωστή κατεύθυνση rate-limit σε κάθε μηχανή, κλειδωμένη διαχείριση και απόδειξη ότι κάθε συγκεντρωτής πιστοποιεί ακόμη και πίσω από CGNAT χωρίς δημόσια IP — είναι εκεί που οι πάροχοι χάνουν ολόκληρα απογεύματα. Αυτή είναι η δουλειά για την οποία χτίστηκε το MKController: να φτάνεις κάθε δρομολογητή μέσω ασφαλούς εξερχόμενου tunnel, να ελέγχεις τη διαμόρφωση, να βλέπεις ζωντανές συνεδρίες και να σπρώχνεις μια διόρθωση σε όλο τον στόλο μονομιάς, με τηλεμετρία που επισημαίνει μια μηχανή με πεσμένες συνεδρίες πριν καν τηλεφωνήσει ένας πελάτης. Έτσι οι ISP που τρέχουν PPPoE σε MikroTik μετατρέπουν μια αγγαρεία δρομολογητή προς δρομολογητή σε ένα ενιαίο επίπεδο ελέγχου.

Ξεκινήστε τη δωρεάν δοκιμή σας MKController