PPPoE poslužitelj MikroTik za ISP

Sažetak PPPoE poslužitelj MikroTik omogućuje ISP-u da autentificira pretplatnike, svakome dodijeli IP adresu i nametne ograničenje brzine po paketu — sve iz RouterOS-a, bez vanjskog RADIUS-a za male implementacije. Postavljanje je kratak, uređen lanac: IP pool, PPP profil, secrets pretplatnika, PPPoE usluga i NAT. Teži problem nije konfigurirati jedan koncentrator, već pokrenuti dosljednu, provjerljivu konfiguraciju na mnogima — često iza CGNAT-a. Ovaj vodič pokriva oboje.

Što Je PPPoE Poslužitelj MikroTik?

PPPoE poslužitelj MikroTik je usluga RouterOS-a koja autentificira svakog pretplatnika preko Point-to-Point Protocol over Ethernet, dodjeljuje mu IP iz poola i primjenjuje profil koji upravlja njegovim pristupnikom, DNS-om i ograničenjem brzine. Tako većina malih i srednjih ISP-ova upravlja vezama klijenata: klijent se spaja korisničkim imenom i lozinkom, poslužitelj provjerava vjerodajnicu, a sesija nasljeđuje dodijeljeni paket — autentifikacija po korisniku, dodjela IP-a i kontrola propusnosti bez zasebne opreme (Dokumentacija MikroTik — PPPoE).

PPPoE ostaje standard ISP-ova zbog odgovornosti. Svaki pretplatnik ima individualnu vjerodajnicu, pa možete onemogućiti račun zbog neplaćanja, vidjeti tko je na mreži i vezati fiksnu adresu ili brzinu uz osobu — ništa od toga isporuka putem bridgea ili DHCP-a ne pruža čisto. Cijela se konfiguracija svodi na jednu ideju: definirajte paket jednom u profilu, a zatim na njega prikvačite pretplatnike.

Korak 1 — Stvorite IP pool

Počnite s adresama koje će RouterOS posuđivati pretplatnicima. Pool je imenovani blok — primjerice /ip pool add name=pppoe-pool ranges=10.20.0.2-10.20.255.254 — dimenzioniran prema istovremenim sesijama koje će ovaj koncentrator nositi, s rezervom. Adresu pristupnika profila (dakle local-address) držite izvan posudivog raspona kako nikad ne bi slučajno bila dodijeljena klijentu.

Dimenzionirajte pool prema hardveru — skroman usmjernik podnosi stotine sesija, uređaj klase CCR tisuće (Tech@Layer-x — PPPoE Server on MikroTik for ISP Deployments). Da biste umjesto toga dijelili javne IP-ove, usmjerite pool na svoj usmjerivi blok i preskočite NAT u Koraku 5.

Korak 2 — Izgradite PPP profil

PPP profil je mjesto gdje paket živi. Postavlja local-address (pristupnik koji vidi svaki pretplatnik), pool remote-address iz Koraka 1, DNS poslužitelje i — najvažnije za ISP — rate-limit koji ograničava svaku sesiju. Dodijelite profil pretplatniku i naslijedit će brzinu, pa je paket „20/10“ jedan profil ponovno upotrijebljen na tisućama računa (madankc.com.np — MikroTik PPPoE Server Complete Setup Guide).

Jedan detalj zavara gotovo svakoga: smjer. RouterOS čita rate-limit profila kao rx-rate/tx-rate iz perspektive poslužitelja — prvo slanje pretplatnika, zatim preuzimanje, obrnuto od toga kako klijenti opisuju svoj paket. Paket „100 Mbps prema dolje / 30 Mbps prema gore“ piše se rate-limit=30M/100M. Zamijenite to i svaki klijent tiho dobiva zamijenjen paket — upravo onu pogrešku na razini flote koju predložak konfiguracije sprječava.

Korak 3 — Dodajte secrets pretplatnika

Svakom pretplatniku treba „secret“ — korisničko ime, lozinka i profil koji definira njegov paket, stvoren pod /ppp secret. Za malu bazu to je cijela baza korisnika: dodajte secret po klijentu, po želji prikvačite fiksni remote-address za statički IP i onemogućite secret da prekinete uslugu. To je ista odgovornost po vjerodajnici koju User Manager MikroTika proširuje na pretplatnike hotspota, obrađena u našem vodiču o pristupniku hotspota 10.5.50.1 i User Manageru.

Lokalni secrets prestaju skalirati u rasponu od stotina do tisuća, gdje uređivanje jednog usmjernika po svakoj promjeni klijenta postaje usko grlo. U toj točki premještate autentifikaciju na vanjski RADIUS poslužitelj, a koncentratori jednostavno pitaju RADIUS je li prijava valjana — baza pretplatnika ostaje na jednom mjestu.

Korak 4 — Omogućite PPPoE poslužitelj na pristupnom sučelju

Sada uključite uslugu. Dodajte PPPoE poslužitelj s /interface pppoe-server server, povežite ga sa sučeljem okrenutim vašoj pristupnoj mreži (port, VLAN ili bridge), postavite njegov default-profile na profil iz Koraka 2 i odaberite metode autentifikacije — pap, chap ili mschap2. RouterOS tada odgovara na PPPoE otkrivanje na tom sučelju i autentificira svakog klijenta koji se spaja s valjanim secret.

Dvije postavke su bitne pri skaliranju. Opcija one-session-per-host sprječava pretplatnika da otvori više istovremenih sesija, a max-mtu/max-mru treba postaviti tako da režija PPPoE ne fragmentira promet klijenta. Gdje je pristupna mreža segmentirana po klijentu ili zoni, naš vodič za konfiguraciju bridgea MikroTik pokriva temelj Sloja 2 na koji se poslužitelj naslanja.

Korak 5 — Dodajte pravila NAT-a i vatrozida

Ako ste pretplatnicima u Koraku 1 dodijelili privatne adrese, njihovom prometu treba prijevod. Dodajte pravilo masquerade u lancu srcnat povezano s vašim izlaznim WAN sučeljem kako bi svaka PPPoE sesija dosegnula internet — iste temelje NAT-a obrađene u našem vodiču za konfiguraciju NAT-a na MikroTiku. Ako ste podijelili javne IP-ove, preskočite masquerade i usmjerite blok.

Zatim zaštitite koncentrator. PPPoE usluga trebala bi biti dostupna pretplatnicima, ali upravljačka sučelja usmjernika ne, pa dodajte pravila vatrozida koja odbacuju Winbox, API i WebFig pristup sa strane okrenute pretplatniku. Koncentrator koji nosi stvarni prihod od klijenata upravo je uređaj koji ne želite dostupnim iz otete sesije.

Korak 6 — Daljinski upravljajte i provjeravajte flotu

Evo dijela koji vodiči o jednom usmjerniku preskaču. Postaviti PPPoE na jednom uređaju je lako; pokrenuti identične profile, postavke MTU-a i pravila vatrozida na desecima koncentratora — i dokazati da svaki autentificira sesije i provodi ispravne rate limite — pravi je problem ISP-a. Postaje teže kad pristupni usmjernik stoji iza Carrier-Grade NAT-a bez javnog IP-a, što je sve češće kako se operatori oslanjaju na LTE i Starlink uplinke.

Tu centralizirano upravljanje zaslužuje svoje mjesto: MKController održava svaki usmjernik dostupnim preko autentificiranog izlaznog tunela čak i kad nema javnu adresu — isti pristup kao u našem vodiču o daljinskom pristupu MikroTik iza CGNAT-a — pa revidirate konfiguraciju i gurate ispravke na cijelu flotu, s telemetrijom koja označava uređaj s prekinutim sesijama prije nego klijenti nazovu.

Savjeti

• Predložak izradite za profil, ne za secrets — svaka promjena paketa trebala bi dotaknuti jedan profil, nikad tisuće računa.
• Pratite CPU koncentratora: redovi po sesiji iz rate-limit se zbrajaju, a preopterećen uređaj tiho odbacuje sesije.
• max-mtu/max-mru postavljajte promišljeno. PPPoE dodaje 8 bajtova režije, a nastala fragmentacija je skriveni uzrok većine prijava „sporo je na jednoj lokaciji“.
• Centralizirajte autentifikaciju iznad nekoliko stotina korisnika — lokalni secrets raspršeni po usmjernicima postaju nemogući za reviziju.

Upravljajte cijelim svojim PPPoE rubom s jednog zaslona

PPPoE poslužitelj na jednom MikroTiku je lak. Pokrenuti ga na floti ISP-a — identični profili, ispravan smjer rate-limit na svakom uređaju, zaključano upravljanje i dokaz da svaki koncentrator autentificira čak i iza CGNAT-a bez javnog IP-a — mjesto je gdje operatori gube čitava poslijepodneva. To je posao za koji je MKController izgrađen: dosegnuti svaki usmjernik preko sigurnog izlaznog tunela, revidirati konfiguraciju, promatrati sesije uživo i gurnuti ispravku na cijelu flotu odjednom, s telemetrijom koja označava uređaj s prekinutim sesijama prije nego klijent uopće nazove. Tako ISP-ovi koji pokreću PPPoE na MikroTiku pretvaraju mukotrpan posao usmjernik po usmjernik u jednu upravljačku ravninu.

Započnite svoju besplatnu probnu verziju MKControllera