ISP'ler için MikroTik PPPoE Sunucusu

Özet Bir MikroTik PPPoE sunucusu, bir ISP’nin aboneleri doğrulamasına, her birine bir IP adresi atamasına ve plan başına bir hız sınırı uygulamasına olanak tanır — hepsi RouterOS’tan, küçük kurulumlarda harici RADIUS olmadan. Kurulum kısa, sıralı bir zincirdir: bir IP havuzu, bir PPP profili, abone secrets, PPPoE hizmeti ve NAT. Daha zor olan sorun tek bir konsantratörü yapılandırmak değil, birçoğunda tutarlı, doğrulanabilir bir yapılandırma çalıştırmaktır — çoğu zaman CGNAT arkasında. Bu kılavuz her ikisini de kapsar.

MikroTik PPPoE Sunucusu Nedir?

Bir MikroTik PPPoE sunucusu, her aboneyi Point-to-Point Protocol over Ethernet üzerinden doğrulayan, ona bir havuzdan IP veren ve ağ geçidini, DNS’ini ve hız sınırını denetleyen bir profil uygulayan bir RouterOS hizmetidir. Çoğu küçük ve orta ölçekli ISP, müşteri bağlantılarını böyle yönetir: bir müşteri kullanıcı adı ve parolayla bağlanır, sunucu kimlik bilgisini denetler ve oturum atanan planı devralır — kullanıcı başına kimlik doğrulama, IP atama ve ayrı ekipman olmadan bant genişliği denetimi (MikroTik Belgeleri — PPPoE).

PPPoE, hesap verebilirlik nedeniyle ISP standardı olmayı sürdürür. Her abonenin bireysel bir kimlik bilgisi vardır, böylece ödenmeme nedeniyle bir hesabı devre dışı bırakabilir, kimin çevrimiçi olduğunu görebilir ve bir kişiye sabit bir adres veya hız bağlayabilirsiniz — bunların hiçbirini bridge veya DHCP teslimatı temiz biçimde sunmaz. Tüm yapılandırma tek bir fikre indirgenir: planı bir profilde bir kez tanımlayın, sonra aboneleri ona bağlayın.

Adım 1 — IP havuzunu oluşturun

RouterOS’un abonelere ödünç vereceği adreslerle başlayın. Havuz, adlandırılmış bir bloktur — örneğin /ip pool add name=pppoe-pool ranges=10.20.0.2-10.20.255.254 — bu konsantratörün taşıyacağı eşzamanlı oturumlara göre, pay bırakarak boyutlandırılır. Profilin ağ geçidi adresini (yani local-address) ödünç verilebilir aralığın dışında tutun ki yanlışlıkla bir istemciye verilmesin.

Havuzu donanıma göre boyutlandırın — mütevazı bir yönlendirici yüzlerce oturumu, CCR sınıfı bir cihaz binlercesini kaldırır (Tech@Layer-x — PPPoE Server on MikroTik for ISP Deployments). Bunun yerine genel IP’ler dağıtmak için havuzu yönlendirilebilir bloğunuza yöneltin ve Adım 5’teki NAT’ı atlayın.

Adım 2 — PPP profilini kurun

PPP profili, bir planın yaşadığı yerdir. local-address’i (her abonenin gördüğü ağ geçidi), Adım 1’deki remote-address havuzunu, DNS sunucularını ve — bir ISP için en önemlisi — her oturumu sınırlayan rate-limit’i ayarlar. Profili bir aboneye atayın ve hızı devralsın, böylece bir “20/10” planı binlerce hesapta yeniden kullanılan tek bir profildir (madankc.com.np — MikroTik PPPoE Server Complete Setup Guide).

Bir ayrıntı neredeyse herkesi yanıltır: yön. RouterOS, profilin rate-limit’ini rx-rate/tx-rate olarak sunucunun bakış açısından okur — önce abonenin yüklemesi, sonra indirmesi, müşterilerin planlarını anlatma biçiminin tersi. “100 Mbps indirme / 30 Mbps yükleme” bir paket rate-limit=30M/100M olarak yazılır. Tersine çevirin ve her müşteri sessizce takas edilmiş bir plan alır — tam olarak şablon yapılandırmanın önlediği filo çapındaki hata.

Adım 3 — Abone secrets ekleyin

Her abonenin bir “secret”e ihtiyacı vardır — /ppp secret altında oluşturulan bir kullanıcı adı, parola ve planını tanımlayan profil. Küçük bir tabanda bu, tüm kullanıcı veritabanıdır: müşteri başına bir secret ekleyin, isteğe bağlı olarak statik bir IP için sabit bir remote-address sabitleyin ve hizmeti kesmek için secret’i devre dışı bırakın. Bu, MikroTik’in User Manager’ının hotspot aboneleri için genişlettiği aynı kimlik bilgisi başına hesap verebilirliktir; 10.5.50.1 hotspot ağ geçidi ve User Manager kılavuzumuzda ele alınmıştır.

Yerel secrets, her müşteri değişikliği için bir yönlendiriciyi düzenlemenin darboğaza dönüştüğü yüzlerden binlere aralığında ölçeklenmeyi durdurur. O noktada kimlik doğrulamayı harici bir RADIUS sunucusuna taşırsınız ve konsantratörler RADIUS’a bir oturum açmanın geçerli olup olmadığını sorar — abone veritabanını tek bir yerde tutarak.

Adım 4 — PPPoE sunucusunu erişim arayüzünde etkinleştirin

Şimdi hizmeti açın. /interface pppoe-server server ile bir PPPoE sunucusu ekleyin, onu erişim ağınıza bakan arayüze (bir bağlantı noktası, VLAN veya bridge) bağlayın, default-profile’ını Adım 2 profiline ayarlayın ve kimlik doğrulama yöntemlerini seçin — pap, chap veya mschap2. RouterOS ardından o arayüzde PPPoE keşfine yanıt verir ve geçerli bir secret ile bağlanan her istemciyi doğrular.

İki ayar ölçekte önemlidir. one-session-per-host seçeneği bir abonenin birden çok eşzamanlı oturum açmasını engeller ve max-mtu/max-mru, PPPoE ek yükünün müşteri trafiğini parçalamaması için ayarlanmalıdır. Erişim ağının müşteri veya bölge başına bölümlendiği yerlerde, MikroTik bridge yapılandırma kılavuzumuz sunucunun üzerine bağlandığı Katman 2 temelini kapsar.

Adım 5 — NAT ve güvenlik duvarı kuralları ekleyin

Adım 1’de abonelere özel adresler atadıysanız, trafiklerinin çeviriye ihtiyacı vardır. Her PPPoE oturumunun internete ulaşması için WAN çıkış arayüzünüze bağlı srcnat zincirinde bir masquerade kuralı ekleyin — MikroTik’te NAT yapılandırma kılavuzumuzda ele alınan aynı NAT temelleri. Genel IP’ler dağıttıysanız masquerade’i atlayın ve bloğu yönlendirin.

Sonra konsantratörü koruyun. PPPoE hizmeti aboneler tarafından erişilebilir olmalı, ancak yönlendiricinin yönetim arayüzleri olmamalıdır, bu yüzden aboneye bakan taraftan Winbox, API ve WebFig erişimini düşüren güvenlik duvarı kuralları ekleyin. Gerçek müşteri geliri taşıyan bir konsantratör, tam olarak ele geçirilmiş bir oturumdan erişilebilir olmasını istemediğiniz cihazdır.

Adım 6 — Filoyu uzaktan yönetin ve doğrulayın

İşte tek yönlendiricili öğreticilerin atladığı kısım. PPPoE’yi tek bir kutuda ayağa kaldırmak kolaydır; onlarca konsantratörde aynı profilleri, MTU ayarlarını ve güvenlik duvarı kurallarını çalıştırmak — ve her birinin oturumları doğruladığını ve doğru rate limit’leri uyguladığını kanıtlamak — gerçek ISP sorunudur. Bir erişim yönlendiricisi genel IP’si olmadan Carrier-Grade NAT arkasında olduğunda zorlaşır; operatörler LTE ve Starlink uplink’lerine yaslandıkça giderek yaygınlaşır.

Merkezi yönetimin yerini hak ettiği yer burasıdır: MKController, genel adresi olmadığında bile her yönlendiriciyi kimliği doğrulanmış bir giden tünel üzerinden erişilebilir tutar — CGNAT arkasında MikroTik uzaktan erişim kılavuzumuzdaki aynı yaklaşım — böylece yapılandırmayı denetler ve düzeltmeleri filo çapında iter, müşteriler aramadan önce oturumları düşen bir makineyi işaretleyen telemetriyle.

İpuçları

• Profili şablonlayın, secrets’i değil — her plan değişikliği bir profile dokunmalı, asla binlerce hesaba değil.
• Konsantratörün CPU’sunu izleyin: rate-limit’in oturum başına kuyrukları birikir ve aşırı yüklü bir makine oturumları sessizce düşürür.
• max-mtu/max-mru değerlerini bilinçli ayarlayın. PPPoE 8 bayt ek yük ekler ve ortaya çıkan parçalanma çoğu “bir lokasyonda yavaş” biletinin gizli nedenidir.
• Birkaç yüz kullanıcının ötesinde kimlik doğrulamayı merkezileştirin — yönlendiricilere dağılmış yerel secrets denetlenmesi imkânsız hale gelir.

Tüm PPPoE kenarınızı tek bir ekrandan yönetin

Tek bir MikroTik’te bir PPPoE sunucusu kolaydır. Onu bir ISP filosunda çalıştırmak — aynı profiller, her makinede doğru rate-limit yönü, kilitli yönetim ve her konsantratörün genel IP’si olmadan CGNAT arkasında bile doğruladığının kanıtı — operatörlerin tüm öğleden sonralarını kaybettiği yerdir. MKController’ın inşa edildiği iş budur: her yönlendiriciye güvenli bir giden tünel üzerinden ulaşmak, yapılandırmayı denetlemek, canlı oturumları izlemek ve bir düzeltmeyi tüm filoya bir kerede itmek, bir müşteri daha aramadan oturumları düşen bir makineyi işaretleyen telemetriyle. MikroTik’te PPPoE çalıştıran ISP’ler, yönlendiriciden yönlendiriciye angaryayı tek bir kontrol düzlemine böyle dönüştürür.

Ücretsiz MKController denemenizi başlatın