MikroTik PPPoE-palvelin ISP:lle

Tiivistelmä MikroTik PPPoE-palvelin antaa ISP:n todentaa tilaajat, antaa kullekin IP-osoitteen ja pakottaa nopeusrajan tilauskohtaisesti — kaikki RouterOS:stä, ilman ulkoista RADIUS:ta pienissä asennuksissa. Asennus on lyhyt, järjestetty ketju: IP-pooli, PPP-profiili, tilaajien secrets, PPPoE-palvelu ja NAT. Vaikeampi ongelma ei ole yhden keskittimen määrittäminen, vaan johdonmukaisen, todennettavan kokoonpanon ajaminen monilla niistä — usein CGNAT:n takana. Tämä opas kattaa molemmat.

Mikä On MikroTik PPPoE-palvelin?

MikroTik PPPoE-palvelin on RouterOS-palvelu, joka todentaa jokaisen tilaajan Point-to-Point Protocol over Ethernet -yhteyden yli, antaa hänelle IP:n poolista ja soveltaa profiilia, joka ohjaa hänen yhdyskäytäväänsä, DNS:ää ja nopeusrajaa. Näin useimmat pienet ja keskisuuret ISP:t hallitsevat asiakasyhteyksiä: asiakas kirjautuu käyttäjätunnuksella ja salasanalla, palvelin tarkistaa tunnistetiedot, ja istunto perii määritetyn tilauksen — käyttäjäkohtainen todennus, IP:n osoitus ja kaistanleveyden hallinta ilman erillistä laitteistoa (MikroTik-dokumentaatio — PPPoE).

PPPoE pysyy ISP-standardina vastuullisuuden vuoksi. Jokaisella tilaajalla on yksilölliset tunnistetiedot, joten voit poistaa tilin käytöstä maksamattomuuden vuoksi, nähdä kuka on linjoilla ja sitoa kiinteän osoitteen tai nopeuden henkilöön — mitään tästä silta- tai DHCP-toimitus ei tarjoa puhtaasti. Koko kokoonpano tiivistyy yhteen ajatukseen: määritä tilaus kerran profiilissa ja liitä sitten tilaajat siihen.

Vaihe 1 — Luo IP-pooli

Aloita osoitteista, jotka RouterOS lainaa tilaajille. Pooli on nimetty lohko — esimerkiksi /ip pool add name=pppoe-pool ranges=10.20.0.2-10.20.255.254 — mitoitettuna samanaikaisten istuntojen mukaan, jotka tämä keskitin kantaa, varalla. Pidä profiilin yhdyskäytäväosoite (eli local-address) lainattavan alueen ulkopuolella, jotta sitä ei koskaan vahingossa anneta asiakkaalle.

Mitoita pooli laitteiston mukaan — vaatimaton reititin hoitaa satoja istuntoja, CCR-luokan laite tuhansia (Tech@Layer-x — PPPoE Server on MikroTik for ISP Deployments). Jaellaksesi sen sijaan julkisia IP:itä, osoita pooli reititettävään lohkoosi ja ohita NAT Vaiheessa 5.

Vaihe 2 — Rakenna PPP-profiili

PPP-profiili on paikka, jossa tilaus asuu. Se asettaa local-address:n (yhdyskäytävän, jonka jokainen tilaaja näkee), Vaiheen 1 remote-address-poolin, DNS-palvelimet ja — ISP:lle tärkeimpänä — rate-limit:n, joka rajoittaa jokaista istuntoa. Liitä profiili tilaajaan ja hän perii nopeuden, joten “20/10”-tilaus on yksi profiili uudelleenkäytettynä tuhansilla tileillä (madankc.com.np — MikroTik PPPoE Server Complete Setup Guide).

Yksi yksityiskohta kompastuttaa lähes kaikki: suunta. RouterOS lukee profiilin rate-limit:n muodossa rx-rate/tx-rate palvelimen näkökulmasta — tilaajan lähetys ensin, lataus sitten, päinvastoin kuin asiakkaat kuvaavat tilaustaan. Paketti “100 Mbps alas / 30 Mbps ylös” kirjoitetaan rate-limit=30M/100M. Käännä se ja jokainen asiakas saa hiljaa vaihdetun tilauksen — juuri sen laivaston laajuisen virheen, jonka mallipohjainen kokoonpano estää.

Vaihe 3 — Lisää tilaajien secrets

Jokainen tilaaja tarvitsee “secret”:n — käyttäjätunnuksen, salasanan ja profiilin, joka määrittää hänen tilauksensa, luotuna kohtaan /ppp secret. Pienelle kannalle tämä on koko käyttäjätietokanta: lisää secret asiakasta kohden, kiinnitä halutessasi kiinteä remote-address staattista IP:tä varten, ja poista secret käytöstä katkaistaksesi palvelun. Tämä on sama tunnistetietokohtainen vastuullisuus, jonka MikroTikin User Manager laajentaa hotspot-tilaajille, käsiteltynä oppaassamme 10.5.50.1-hotspot-yhdyskäytävästä ja User Managerista.

Paikalliset secrets lakkaavat skaalautumasta sadoista tuhansiin -alueella, jossa yhden reitittimen muokkaaminen asiakasmuutosta kohden muodostuu pullonkaulaksi. Siinä vaiheessa siirrät todennuksen ulkoiselle RADIUS-palvelimelle, ja keskittimet vain kysyvät RADIUS:lta, onko kirjautuminen kelvollinen — pitäen tilaajatietokannan yhdessä paikassa.

Vaihe 4 — Ota PPPoE-palvelin käyttöön liityntärajapinnassa

Käynnistä nyt palvelu. Lisää PPPoE-palvelin komennolla /interface pppoe-server server, sido se liityntäverkkoosi päin olevaan rajapintaan (portti, VLAN tai bridge), aseta sen default-profile Vaiheen 2 profiiliin ja valitse todennusmenetelmät — pap, chap tai mschap2. RouterOS vastaa sitten PPPoE-löytöön tuossa rajapinnassa ja todentaa jokaisen asiakkaan, joka kirjautuu kelvollisella secret:llä.

Kaksi asetusta merkitsee mittakaavassa. Vaihtoehto one-session-per-host estää tilaajaa avaamasta useita samanaikaisia istuntoja, ja max-mtu/max-mru tulisi asettaa niin, ettei PPPoE-yleisrasite pirsto asiakasliikennettä. Missä liityntäverkko on segmentoitu asiakkaan tai vyöhykkeen mukaan, MikroTik-bridge-kokoonpano-oppaamme kattaa Tason 2 perustan, jonka päälle palvelin rakentuu.

Vaihe 5 — Lisää NAT- ja palomuurisäännöt

Jos annoit tilaajille yksityisiä osoitteita Vaiheessa 1, heidän liikenteensä tarvitsee käännöksen. Lisää masquerade-sääntö srcnat-ketjuun sidottuna WAN-ulostulorajapintaasi, jotta jokainen PPPoE-istunto saavuttaa internetin — samat NAT-perusteet, jotka käsitellään oppaassamme NAT:n määrittämisestä MikroTikilla. Jos jaoit julkisia IP:itä, ohita masquerade ja reititä lohko.

Suojaa sitten keskitin. PPPoE-palvelun tulisi olla tilaajien saavutettavissa, mutta reitittimen hallintarajapintojen ei, joten lisää palomuurisäännöt, jotka pudottavat Winbox-, API- ja WebFig-pääsyn tilaajaan päin olevalta puolelta. Keskitin, joka kantaa todellista asiakastuottoa, on juuri se laite, jota et halua saavutettavaksi kaapatusta istunnosta.

Vaihe 6 — Hallitse ja todenna laivasto etänä

Tässä on osa, jonka yhden reitittimen ohjeet ohittavat. PPPoE:n pystyttäminen yhdelle laitteelle on helppoa; identtisten profiilien, MTU-asetusten ja palomuurisääntöjen ajaminen kymmenillä keskittimillä — ja todistaminen, että jokainen todentaa istunnot ja pakottaa oikeat rate limitit — on ISP:n todellinen ongelma. Se vaikeutuu, kun liityntäreititin on Carrier-Grade NAT:n takana ilman julkista IP:tä, yhä yleisempää operaattoreiden nojatessa LTE- ja Starlink-yhteyksiin.

Tässä keskitetty hallinta ansaitsee paikkansa: MKController pitää jokaisen reitittimen saavutettavissa todennetun ulospäin lähtevän tunnelin yli silloinkin, kun sillä ei ole julkista osoitetta — sama lähestymistapa kuin oppaassamme MikroTik-etäkäytöstä CGNAT:n takana — joten auditoit kokoonpanon ja työnnät korjaukset koko laivastolle, telemetrialla, joka merkitsee laitteen pudonneilla istunnoilla ennen kuin asiakkaat soittavat.

Vinkit

• Tee malli profiilista, ei secretseistä — jokaisen tilausmuutoksen tulisi koskea yhtä profiilia, ei koskaan tuhansia tilejä.
• Pidä silmällä keskittimen CPU:ta: rate-limit:n istuntokohtaiset jonot kasautuvat, ja ylikuormittunut laite pudottaa istuntoja hiljaa.
• Aseta max-mtu/max-mru harkiten. PPPoE lisää 8 tavua yleisrasitetta, ja siitä syntyvä pirstoutuminen on useimpien “yhdessä paikassa on hidasta” -tikettien piilevä syy.
• Keskitä todennus muutaman sadan käyttäjän jälkeen — reitittimille hajautetut paikalliset secrets muuttuvat mahdottomiksi auditoida.

Hallitse koko PPPoE-reunaasi yhdeltä näytöltä

PPPoE-palvelin yhdellä MikroTikilla on helppo. Sen ajaminen ISP-laivastossa — identtiset profiilit, oikea rate-limit-suunta jokaisella laitteella, hallinta lukittuna ja todiste siitä, että jokainen keskitin todentaa CGNAT:n takanakin ilman julkista IP:tä — on paikka, jossa operaattorit menettävät kokonaisia iltapäiviä. Se on tehtävä, jota varten MKController rakennettiin: tavoita jokainen reititin turvallisen ulospäin lähtevän tunnelin yli, auditoi kokoonpano, seuraa eläviä istuntoja ja työnnä korjaus koko laivastolle kerralla, telemetrialla, joka merkitsee laitteen pudonneilla istunnoilla ennen kuin asiakas edes soittaa. Näin PPPoE:ta MikroTikilla ajavat ISP:t muuttavat reititin reitittimeltä -työn yhdeksi hallintatasoksi.

Aloita ilmainen MKController-kokeilu