CAPsMAN в MikroTik v.7

Ако сте чели предната статия за CAPsMAN в MikroTik v.6, ще намерите много общи неща с това което е публикувано тук. И все пак помъчете се разберете разликите. Отново постановката ще е същата само, че Mikrotik 1 ще е с RouterOS версия 7.

Да разгледаме и самата постановка. Имаме 3 рутера. Mikrotik 1 ще играе ролята на CAPsMAN контролер, а Mikrotik 2 и Mikrotik 3 ще са CAPsMAN клиенти. Микротик 1: eth1 ще е свързан към Internet и ще получава стойности чрез DHCP клиент. eth2 и eth3 както и останалите портове ще са включени в бридж. Също така и WiFi интерфейсите ще са включени в бриджа. bridge1 така ще се нарича бриджа. Върху него ще има и DHCP сървър. Сами я интерфейс ще е със IP: 10.0.0.1/24 Да разгледаме и самите настройки на Mikrotik-a. Започваме с бриджа.

Сега да видим какви IP адреси има рутера.

Да разгледаме DHCP съръвра.

DHCP сървъра е дефиниран и настроен.

CAPsMAN и DHCP сървър

Тук ми се иска да заостря вниманието. Има една опция която трябва да се дефинира в DHCP сървъра, за да може клиентския рутер автоматично да вземе настройките от CAPsMAN контролера.

Забележете, че дефинирахме CAPS Managers с IP:10.0.0.1. Това е IP адреса на бриджа. Сега ако хардуерно рестартираме клиента то той ще се обърне към 10.0.0.1 на CAPaMAN менажера и ще вземе настройките които му дефинирахме. Рестартирането на клиента в режим на CAPS очакване става като бутона ресет се задържи за 10-15 секунди. Другия вариант е през WinBox-a.

Настройка на CAPsMAN

Следва самата настройка на CAPS менажера. Обичам да почвам отзад напред.

Защита (Security)

Тук ще дефинираме как да защитим нашата WiFi мрежа. Могат да се създадат два профила на защита. За 2.4GHz и за 5GHz. Лично аз предпочитам в двата случая да работя с един профил.

Тук ми се иска леко пояснение да направя. Authentication Type: WPA2 PSK е по модерния и защитен начин. Ако имахме радиус сървър то тогава можеше да ползваме WPA2 EAP. Encryption: aes ccm, не ползваме tkip защото е остаряла технология Group Key Update: 00:40:00, означава, че на всеки 40 минути паролата за достъп на WiFi ще търси да се обнови. Ако сте сигурни, че няма да променяте пароли то това поле може и да не се дефинира. Крайния резултат е това което се вижда на долната картинка.

Разпространение на трафика от/към клиентските точки

Следващия раздел е Datapaths. Тук се дефинира начина, по който ще се пренасочва, изолира и управлява мрежовият трафик на безжичните клиенти. Той определя дали данните ще се обработват централизирано от контролера, или локално от самата точка за достъп (CAP). Тук има много опции които могат се дефинират но особено внимание трябва да обърне на: • Режим на пренасочване (Forwarding mode): Определя къде отива трафикът на клиентите. При локално пренасочване (Local Forwarding) трафикът излиза директно през физическата точка (CAP). При централизирано управление трафикът се изпраща към CAPsMAN контролера. • Изолация на клиенти (Client-to-Client Forwarding): Контролира дали безжичните клиенти, свързани към едно и също сесийни име (SSID), могат да комуникират директно помежду си, или връзката между тях трябва да бъде блокирана за по-голяма сигурност. Ако няма да ползвате Forwarding mode и Client-to-Client Forwarding то тук нищо няма да правите. В противен случай ще се наложи да дефинирате два профила. За 2.4GHz и 5GHz. Започваме с 2.4GHz

Обърнете внимание: Name: datapath24-client Lical Forwarding: чекваме го Bridge: bridge Client To Client Forwarding: чекваме го Lical Forwarding: ако сме го избрали то тогава за трафика от включения клиент до контролера ще отговаря клиента. Грубо казано какви точно настройки ще има клиентската точка отговаря от настройките на самия клиент, а не отговаря контролера. В този случай на клиента ще се настройват VLAN-ове, бриджове и т.н. Ако не сме избрали тази опция то тогава всичко това се настройва чрез контролера. Ако изберем тази опция то тогава производителността се повишава но управлението става по сложно. Ако не сме избрали тази точка то конфигурацията на локалната мрежа става по-просто. Всичко ще се управлява от CAPsMAN контролера. Ако имате отметка то тогава трябва да настоите Bridge: Клиентските интерфейси трябва да се добавят към бриджа. Примерно ether4 сочи към клиентска точка 2, то тогава този интерфейс трябва да се добави към бриджа. Client To Client Forwarding: ако го изберем то тогава всяко клинтско устройство може да вижда друго такова. В противен случай, ако не го изберем клиентите няма да се виждат помежду си. Ако не се избере натоварването на мрежата намалява, но примерно ако имате мрежови принтер, то тогава няма да можете да го ползвате. Или искате да имате достъп до някой компютър в мрежата също няма да можете да го достъпите. По-добрата практика е да се избере тази опция и всички клиенти да се виждат помежду си. По принцип не се използва при мрежа за гости. Какъв е смисъла гостите да се виждат помежду си. Крайния резултат е:

Сега да създадем профил и за 5GHz.

Обърнете внимание! Наново двата профила са еднакви. Можеше да ползваме само един защото в случая работата на 2.4GHz и 5GHz е една и съща. В случая ползваме два различни профила. Просто исках да покажа, че не е грешка навсякъде да се ползват два профила, даже ако вършат една и съща работа.

Канали на WiFi (Channels)

Това е най-интересната част. Тук вариациите са прекалено много. Ще покажа начин на дефиниране при условие, че няма много зашумен ефир (много WiFi устройства работещи в близост едно до друго). Тук ограничението ще важи основно за 2.4GHz, защото се ползват 14 канала. За 5GHz е по-лесно там има много канали на които може да се работи.

Name: channel24 Frequency : 2412 : 2437 : 2462 Control Channel Width: 40Mhz turbo Band: 2ghz-onlyn Extension Channel: XX Tx Power: 17 Reselect Interval: 01:00:00 - преизбиране на канала 1 път в час. Frequency: Ползваме канали 1, 6, 11 и автоматично да се превключва между тях както прецени системата Control Channel Width: 40Mhz turbo Ползваме лента 40МHz за да имаме по-висока скорост на работа. Ако ефира е зашумен то тогава се ползва канал с широчина 20MHz. Band: 2ghz-onlyn Ако ползвате стари устройства то тогава ползвайте 2ghz-b/g/n. Extension Channel: XX Ползваме тази опция защото избрахме Control Channel Width: 40Mhz turbo. Ако ползвахме ширина на канала 20МHz то тогава тук нищо нямаше да се дефинира. Tx Power: Стандартно в микротик е 17 db на миливат мощност. Примерно имаме 17db и 3db от антената, значи имаме общо 20db на миливат което се равнява на 100mW изходна мощност което е разрешено за разпространение в стая. Reselect Interval - време за презибиране на канала. Системата применро на всеки час ще сканира зашумяването на обстановката по вътрешен алгоритъм на микротик и ще избере оптималния канал за работа. Сега да дефинираме профил за канал на 5GHzx.

Name: channel5 Control Channel Width: 40Mhz turbo Band: 5ghz-n/ac Extension Channel: XXXX Tx Power: 23 Skip DFS Channels: чекваме го Frequency: може да не се настройва, защото има много свободни канали. Control Channel Width: 40Mhz turbo Ако ефира не е зашумен то ползвайте тази опция, в противен случай дефинирайте ширина на канала 20МHz. Band: 5ghz-n/ac По-добрата практика е ползване на стандарт N/AC, защото не всички устройства разпознават AC. Extension Channel: XXXX Получава се аномалия. Дефинирахме канал 40МHz, а ползваме XXXX (4x20MHz=80MHz). В по-новите версии този бъг е оправен. Tx Power: Внимание! При тази честота сигнала затихва по-бързо и затова мощността трябва да е малко по висока. Примерно слагаме 20. Идеята е да е с от 4db до 6db единици повевче спрямо 2.4GHz. Примерно ако на 2.4 Тх e било 14 тук слагаме стойност 20. Ако е била 17 слагаме 23. Reselect Interval: 01:00:00 - преизбиране на канала 1 път в час. Skip DFS Channels: това изключа DFS каналите. DFS канали са примерно честоти на разни радари, разни метерологични устройста и за да не им влизем тези честоти трябва да се изключат. Иначе устройствата на държавата които работят на тази честота ще им пречим.

Това е крайния резултат за профилите на каналите 2.4GHz и 5GHz.

Configuratiions

Време е да конфигурираме няколко профила на за самия контролер. Отново ще имаме два профила за 2.4GHz и 5GHz.

Ако не настроите тази опция системата сама ще се мъчи да настрои на канала на който да работи.