MikroTik Certified Network Associate (MTCNA)
“© MikroTik, www.mikrotik.com. All rights reserved. Reprinted with permission.”
Presentarse individualmente
• Nombre • • • •
Compañía Conocimiento previo sobre RouterOS Conocimiento previo sobre Networking Qué espera de este curso?
Agenda • Horario diario (3 días)
9:00am a 6:00pm
• Descansos 15-20mins.
10:30am y 3:00pm
• Almuerzo
12:00pm to 1:00pm
• Examen
Último día, 1 hora
3
Porque tomar el curso de MTCNA? • Introducción a RouterOS y productos RouterBOARD • Provee un mayor panorama de las capacidades de RouterOS y lo que puedes hacer con los productos RouterBOARD. • Te facilitará un fundamento sólido y herramientas valiosas para hacer tu trabajo.
4
Objetivos del Curso Al finalizar el curso el estudiante: • Estará familiarizado con los productos RouterOS y RouterBOARD. • Podrá configurar, administrar y hacer troubleshooting básico de routers MikroTik. • Proveer servicios básico a clientes o empresas.
5
Otros.. • Este curso está basado en RouterOS 6 y RB951G-2HnD Módulo
1 está basado en ROS 5.26
6
IMPORTANTE En consideración hacia los demás estudiantes e instructor: • Teléfono u otro en modo silencioso • Tomar llamadas fuera del salón
7
Introducción
Módulo 1
8
RouterOS y RouterBOARD
9
Que es RouterOS? • MikroTik RouterOS es el sistema operativo del RouterBOARD. • Tiene todo los features necesarios para ISP o administrador de redes tales como routing, firewall, bandwidth management, wireless access point, backhaul link, hotspot gateway, VPN server y más. 10
Que es RouterOS? • RouterOS es un Sistema operativo basado en el Kernel v3.3.5 de Linux y provee toda las funcionalidades en una simple y rápida instalación con una interfaz o GUI fácil de utilizar.
11
Que es RouterBOARD? • Una gama de soluciones de hardware creadas por MikroTik para poder cumplir con necesidades de redes alrededor del mundo • Todos operan con RouterOS. www.mikrotik.com www.routerboard.com
12
Soluciones Integradas • Estas son provistas completas con cajas y powersupplies. • Listas para utilizar y preconfiguradas con las configuraciones básicas. • Lo único que tienes que hacer es conectarlas al internet, oficina o casa.
13
RouterBOARD (boards solamente) • Motherboard pequeños. Tu escoges caja, powersupply e interfaces a utilizar. • Perfectos para tu propio ensamblaje, proveen la mayor personalización y configuración física.
14
Enclosures • Cajas Indoor y Outdoor para RouterBOARDs. Es seleccionado basado en: La
localización a ser instalada El modelo de RouterBOARD El tipo de conección necesitada (USB, antennas, etc.).
15
Interfaces • Módulos ethernet, fiber SFPs o tarjetas wireless para expandir la funcionabilidad de un RouterBOARD o PCs con sistema RouterOS. • Nuevamente, la selección es basada en tus necesidades
16
Accesorios • Estos son hechos para productos MikroTik – power adapters, mounts, antennas y PoE injectors.
17
MFM • Con el programa MFM (Made for MikroTik) tienes aún mas opciones adicionales para crear tu propia solución o router.
18
Porque obtener un router integrado? • Puedes trabajar con varias necesidades • Opciones add-on adicionales • Mínimo o Cero requerimiento de expansión • Configuración predefinida • Simple solución a su vez eficiente
19
Router integrados, ejemplos RB951G-2HnD • Excelente para Casa o SoHo • 5 puertos Gbps • Wi-Fi 2.4Ghz integrado • Licencia Nivel 4
20
Routers integrados, ejemplos SXT Sixpack (1 OmniTIK U-5HnD with 5 SXT5HPnD)
• Excelente para WISP o empresa con oficinas remotas • 5 puertos 100Mbps • (OmniTik) • 5 radios 5Ghz 802.11a/n • Puede cubrir hasta 5Km entre oficina principal y remotas 21
Routers integrados, ejemplos CCR1036-12G-4S Cloud Router Modelo Elite • Excelente para ISPs o redes de compañías • 1 Unidad rack • 12 puertos Gbps • Puerto Serial, USB y touch screen • 4GB RAM, puede utilizar cualquier tamaño de RAM SO-DIMM 22
Nota de interés • Los nombre de los routers son asignados dependiendo su capacidad, ejemplos: CCR
: Cloud Core Router RB : RouterBoard 2, 5 : 2.4GHZ or 5GHz wifi radio H : High powered radio S : SFP U : USB i : Injector G : Gigabit ethernet 23
Porque construir tu propio router? • Atacas una variedad de necesidades propias • Muchas opciones add-on y expansión • Configuraciones customizables • Puede ser integrado en equipos o gabiente existente de clientes • Solución mas completa para necesidades particulares
24
Routers customizados, ejemplos Flexible CPE • RB411UAHR
1 puerto 100Mbps 1 radio 2.4GHz radio (b/g) Licencia Nivel 4
• Añade Power supply o módulo PoE • Añade enclosure 3ero • Añade modem 3G PCI-E
25
Routers customizados, ejemplos HotSpot potente • RB493G
9 puertos giga Licencia nivel 4
• Añade power supply o modulo PoE • Añade R2SHPn (tarjeta 2.4GHz) • Añade R5SHPn (tarjeta 5Ghz) • Añade enclosure 3ero • Añade tarjeta microSD
26
Primera vez accediendo el router
27
Explorador de internet • Forma intuitiva de conectarse a un router con RouterOS.
28
Explorador de Internet • Conectas cable Ethernet al router • Ejecutas explorador de internet • Entras IP del router • Si solicita login, usas “admin” sin contraseña
29
Internet browser • Ejemplo:
30
WinBox y MAC-Winbox • WinBox es la interface propietaria de MikroTik para acceder los routers • Puede ser descargado desde la página de MikroTik.com o del mismo router • Es utilizado para acceder a través de IP (OSI Layer 3) o MAC (OSI Layer 2)
31
WinBox y MAC-Winbox • En el navedor de internet buscas abajo donde se muestran los distintos iconos, “click y save”.
32
WinBox y MAC-WinBox • Ejecutas WinBox. • IP 192.168.88.1 luego “Connect” • Pantalla default:
“OK”
33
WinBox’s menus • Toma 5 minutos para navegar los menus • Toma nota en especial de lo siguiente: IP Addresses IP
Routes System SNTP System Packages System Routerboard
34
Console port • Requiere que conectes la computadora al router con un cable serial (RS-232 port). Default is 115200bps, 8 data bits, 1 stop bit, no parity 35
SSH y Telnet • Herramientas IP estandar para acceder • Comunicación con Telnet es “clear text” Disponible
en la mayoría de sistemas operativos
Inseguro!!
• Comunicación con SSH es encriptado Seguro!! Múltiples
herramientas tales como PuTTY (http://www.putty.org/) 36
CLI • Command Line Interface • Es la interface utilizada cuando conectas con Telnet, SSH y Serial • Necesario en especial si utilizarás scripts!
37
Configuración Inicial (Acceso al Internet) 38
Con o sin configuración básica? • Puede que tengas o no una configuración básica cuando instalas desde inicio • Puedes escoger no iniciar con configuración básica por default • Verifica esta página para ver como se comportaría tu router con configuración básica incluida: http://wiki.mikrotik.com/wiki/Manual:Default_Configurations
39
Configuración básica • Dependiendo de tu hardware obtendrás configuración básica, el cual puede incluir WAN
port LAN port(s) DHCP client (WAN) and server (LAN) Basic firewall rules NAT rule Default LAN IP address
40
Configuració básica • Cuando te conectas por primera vez con WinBox escojes OK” • Ahora el router inicia con la configuración básica predefinida. 41
Sin configuración • Puede ser utilizado en ocasiones donde la configuración básica no es necesaria, ejemplo: No
hay necesidad de reglas de firewall No hay necesidad de NAT
42
Sin configuración • Los pasos mínimos para configurar acceso hacia el internet si tu router no tiene la configuración básica: LAN
IP addresses, Default gateway and DNS server WAN IP address NAT rule (masquerade) SNTP client and time zone
43
Actualizando el router
44
Cuando actualizar? • Corrección de un bug. • Se requiere un nuevo Feature. • Funcionamiento Mejorado. NOTA: Siempre leer el changelog!!
45
Procedimiento • Requiere planificación. Pasos
pueden requerir un orden preciso.
• Requiere validación… y
validar… y seguir validando!!
46
Antes de actualizar • Conoce la arquitectura (mipsbe, ppc, x86, mipsle, tile) que vas a actualizar. Duda?
Winbox indica la arquitectura en la extrema izquierda
• Conoce que archivos son requeridos: NPK
: Imagen base de RouterOS image con los paquetes standard (Siempre) ZIP : Paquetes adicionales (Depende la necesidad) Changelog : Indica los cambios (Siempre) 47
Como actualizar • Obtienes los archivos de Mikrotik.com Downloads
48
Como actualizar • 3 Maneras Descargas
el archivo y lo copias directo al router. “Check for updates” (System -> Packages) Auto Upgrade (System -> Auto Upgrade)
49
Descargando los archivos • Lo copias al router a través del menu en “Files”. Ejemplo de archivo: routeros-mipsbe-5.25.npk ntp-5.25-mipsbe.npk
• Reinicio • Valida el estado del router
50
Verificando actualizaciones (con /system packages) • En el menú “System -> Packages” • Click en “Check for Updates” luego “Download & Upgrade” • Reinicia automáticamente • Valida paquetes y estado del router
51
Actualización Automática • Copia todo los paquetes para todo los routers a un router interno del network • Configuras los routers para que apunten al que contendrá los paquetes • Presenta paquetes disponibles • Selecciona y descarga los paquetes • Reinicia y valida el estado del router
52
Actualización Automática
53
Actualización firmware RouterBOOT • Verificar version actual [admin@MikroTik] > /system routerboard
print
routerboard: yes model: 951-2n serial-number: 35F60246052A current-firmware: 3.02 upgrade-firmware: 3.05 [admin@MikroTik] >
54
Actualización firmware RouterBoot • Actualiza si es requerido (requerido en el ejemplo) [admin@MikroTik] > /system routerboard upgrade Do you really want to upgrade firmware? [y/n] y firmware upgraded successfully, please reboot for changes to take effect! [admin@MikroTik] > /system reboot Reboot, yes? [y/N]:
55
Manejar logins de RouterOS
56
Cuenta de usuarios • Crea cuentas de usuarios para: Manejar
privilegios Verificar actividades por usuarios
• Crea grupos para Mayor
flexibilidad cuando asignes Privilegios.
57
Manejar Servicios de RouterOS
58
IP Services • Administra IP Services para: Limitar
uso de recursos (CPU, memory) Limitar vulnerabilidades (Puertos Abiertos) Cambiar puertos TCP Limitar IPs aceptadas o subnets
59
IP Services • Para manejar ve a “IP -> Services” • Habilita o deshabilita lo requerido.
60
Acceso a IP Services • Doble-click a service • Si es necesario especifica que hosts o subnets pueden accesar el servicio, - Muy Buena práctica el limitar ciertos servicios a administradores solamente. 61
Manejar configuraciones de respaldo (Backup) 62
Tipos de respaldos (backups) • Binary • Configuration export
63
Binary backup • Backup completo del sistema • Incluye contraseñas • Asume que la restauración será en el mismo router
64
Export files • Configuración complete o parcial • Genera un script file o lo muestra en terminal • Utiliza “compact” para mostrar no configuraciones default (default en ROS6)
• Utiliza “verbose” para mostrar configuraciones default 65
Archivando backup files • Luego de generrado, cópialos a un servidor u otro. Con
SFTP (modo seguro) Con FTP (si habilitado en IP Services) Utiliza drag and drop desde “Files”
• Dejar backups en el mismo router NO es una estrategia correcta de respaldo No
existen tape o CD backups para routers
66
Licencias RouterOS
67
Niveles de licencias • 6 niveles de licencias 0
: Demo (24 hours) 1 : Free (very limited) 3 : WISP CPE (Wi-Fi client) 4 : WISP (required to run an access point) 5 : WISP (more capacities) 6 : Controller (unlimited capacities)
68
Licencias • Determina las capacidades permitidas en tu router. • RouterBOARD ya viene con licencia preinstalada. Niveles
varian
• Licencias para sistemas x86 tienen que ser compradas. Licencia
solo es válida para un solo sistema. 69
Actualizando licencias • Niveles son mostrados en http://wiki.mikrotik.com/wiki/Manual:License
• Usos típicos Level
3: CPE, wireless client Level 4: WISP Level 5: Larger WISP Level 6: ISP internal infrastructure (Cloud Core)
70
Uso de licencias • NO se puede actualizar nivel de licencia. Compra el correcto requerido desde inicio. • La licencia es atada al disco el cual es instalado. Cuidado con formatear el disco con herramientas que no sean de Mikrotik. • Lee la página de licencias para mas info!
71
Netinstall
72
Usos de Netinstall • Reinstala RouterOS si el original es corrompido o afectado • Reinstala RouterOS si la contraseña de “admin” es perdida • Se encuentra en la página de MikroTik en el área de “Download”
73
Procedimiento: no serial
Para RBs sin puerto serial COM. • Conecta computadora al puerto Ethernet 1 Asigna
una ip y máscara estática
• Ejecuta Netinstall Cliquea
“Net booting” y asigna un IP en el mismo segmento de la computadora
• En “Packages”, cliquea “Browse” y selecciona el directorio que contiene el paquete NPK. 74
Procedimiento: no serial • Presiona el botón de “reset” hasta que el Led “ACT” se apague El
router aparecerá en la sección “Routers/Drives”, luego selecciónalo!
• Escoge la version de RouterOS en la sección “Packages” El
botón de “Install” ahora se encuentra disponible, click!
75
Procedimiento: no serial • La barra de progreso se tornará azul mientras el archive NPK es transferido • Al finalizar, reconecta la computadora en un puerto y acceso al internet en el Puerto 1 • Utiliza MAC-Winbox para conectarse ya que configuración estará en blanco Aún
si “Keep old configuration” esteaba seleccionado!! 76
Procedimiento: no serial • Sube configuración de backup y reinicia (La importancia del manejo correcto de archivos de backup!)
• Si el problema fue por pérdida de contraseña, rehacer la configuración desde inicio, ya que contraseña utilizará la misma contraseña olvidada. (La
importancia del manejo correcto de accesos!) 77
Procedimiento: con Serial Para RBs con puerto serial COM • Simimilar PC
en Puerto ether 1 con ip estático Conecta Puerto serial de PC a Puerto COM del RouterBOARD’s Ejecuta Netinstall (configura el parámetro “NET Booting”) Selecciona el directorio con el NPK
78
Procedimiento: con Serial • Reinicia el router • Presiona “Enter” cuando lo indique • Presiona “o” para boot device • Presiona “e” para Ethernet • Presiona “x” para salir del setup (router reinicará)
79
Procedimiento: con Serial Router
aparecerá en la sección “Routers/Drives”
Selecciónalo
• Selecciona el paquete RouterOS que será instalado • Cliquea “Keep old configuration” El botón “Install” ahora estará dispnoible, click!
80
Procedimiento: con Serial • La barra de progreso se tornará azul mientras el NPK es transferido. • Una vez finalizado, reconecta la computadora en un pueto válido y el internet al Puerto 1 • Utiliza WinBox para reconectar
La opción “Keep old configuration” SI funciona aquí!!
81
Procedimiento: con serial • Reinicia el router • Presiona “Enter” cuando lo indique • Presiona “o” para boot device • Presiona “n” para NAND luego Ethernet on fail Si
se te olvida, siempre harás boot desde el Ethernet
• Presiona “x” para salir (reiniciará el router)
82
Recursos adicionales
83
Wiki http://wiki.mikrotik.com/wiki/Manual:TOC
• Wiki oficial de RouterOS • Documentación de todo los comando RouterOS Explicación Sintaxis Ejemplos
• Tips adicionales!! 84
Tiktube http://www.tiktube.com/
• Recurso de videos de varios temas • Presentado por instructors, partners e ISPs • Puede incluir presentaciones en ppt o pdf • Varios lenguajes
85
Forum http://forum.mikrotik.com/
• Moderado por el equipo de Mikrotik • Panel de discusion de varios temas • MUCHA informacion aquí!! - Podrás encontrar soluciones a tus problemas!
• Primero investiga y busca antes de postear una pregunta. Estandard ética de foros!! 86
Mikrotik support
[email protected]
• Procedimientos explicados en http://www.mikrotik.com/support.html • Soporte de MikroTik -15 days (license level 4) -30 days (license level 5 and level 6) si licencia fue comprada con ellos
87
Distributor / Consultant support • Soporte es provisto por Distribuidor cuando equipo fue comprado al mismo. • Consultores disponibles para ser reclutados en trabajos especiales Visita http://www.mikrotik.com/consultants.html
88
Es tiempo de práctica!
Fin del modulo 1
89
Laboratorio • Metas del laboratorio Familiarizarse
con métodos de accesos Configurar acceso al internet Actualizar RouterOS con el mas reciente Crear un grupo de acceso limitado, asignar un usuario Manejar IP services Hacer un backup con configuración actual y restaurar luego de hacer factory reset 90
Setup
91
Laboratorio : Paso 1 • Configura tu computadora con el ip estático que pertenece a tu POD Asigna
Subnet Mask Asigna Default gateway (tu router) Asigna DNS server (tu router)
• Actualiza a RouterOS 6 • Una vez reiniciado el router, conéctate a el de manera que tengas acceso completo 92
Laboratorio : Paso 2 • Configura el IP de LAN del router • Configura el IP de WAN del router • Configura regla de NAT para internet* • Configura el DNS del router • Configura default route del router*
93
Laboratorio : Paso 3 • Añade un group con el nombre “minimal”
Dale derechos de “telnet”, “read” y “winbox”
• Añade un usuario con tu nombre Asígnalo al group “minimal” Asigna una contraseña
• Asigna una contraseña para usuario “admin” Asigna que sea “podX”, donde “X” es tu número de pod Accede con tu usuario y contraseña Abre un “New Terminal”. Que sucedió?
94
Laboratorio : Paso 4 • Asegúrese que el RouterBoard firmware esté actualizado. • Copia el paquete NTP (NPK file) Verifica: System -> SNTP Client Verifica: NTP Client y NTP Server Que sucedió?
• Luego de reiniciar el router Verifica: -> SNTP Client Verifica -> NTP Client and NTP Server
• Configura el NTP client y Clock’s timezone 95
Laboratorio: Paso 5 • Accesar el router con Telnet • En el CLI deshabilitar los IP Service: SSH WWW
• Accesar el router via WEB Que
sucedió?
96
Laboratorio: Paso 6 • Abre “New Terminal” y “Files” • Exporta la configuración a un archivo llamado “modulo1-podX” (X es tu pod) • Haz un backup binario (binary backup) • Copia ambos archivos a tu computadora Abre
ambos y mira el contenido Borra la regla de NAT e importa el backup exportado para restaurar la regla. 97
Laboratorio: Paso 7 • Mira la licencia del RouterBOARD Verifica
el nivel de licencia de tu router. Que capacidades tiene tu router?
98
Fin del Laboratorio 1
99
Routing
Módulo 2
100
Routing Overview
101
Conceptos de Routing • Routing es un proceso en el Layer 3 del modelo OSI. • Routing define donde el tráfico de comunicación será enviado (forwarded, sent). • Es requerido que multiples subnets se puedan comunicar. Aún
si se encuentran en el mismo “wire” (hub, switch u otro que permita comunicación)
102
Conceptos de Routing: Ejemplo 1 Computadoras no se podrán comunicar!!
103
Conceptos de Routing: Ejemplo 2 Computadoras Si se podrán comunicar.
104
Route Flags • Las Rutas tienen estatus. En este curso nos familiarizemos con: X
: Disabled A : Active D : Dynamic C : Connected S : Static
105
Route flags • Disabled : Ruta deshabilitada. No tiene influencia en el proceso de enrutamiento. • Active : Ruta activa y Sí se toma en cuenta en el proceso de enrutamiento. • Dynamic : Ruta dinámica creada por el proceso de enrutamiento, no manualmente.
106
Route flags • Connected : Rutas son creadas para cada IP subnet que tenga una interface active en el router. • Static : Ruta creada manualmente para forzar redireccionamiento de tráfico o paquetes hacía un destino (gateway) en específico.
107
Static Routing
108
Static routes • Rutas a subnets que existen en un router son automáticamente creadas y conocidas solamente por ese router. • Que sucede si necesitas alcanzar un subnet que exista en otro router? Configuras una ruta estática. • Una ruta estática es una manera manual de redirigir (forward) tráfico a subnets no conocidos. 109
Static routes
110
Static routes • Entendiendo los campos…
Flags : El estado de cada ruta, Dst. Address : IP o Subnet de destino para el cual la ruta es utilizada. Gateway : Típicamente, es el IP address del próximo salto (next hop) el cual recibirá los paquetes destinados al “Dst. Address”. Distance : Valor utilizado para selección de ruta. En configuraciones donde varias rutas son posibles, la ruta con el valor menor es la preferida. Routing Mark : Tabla de ruta (Routing table) que contiene esta ruta. Tabla de ruta (routing table) default es “Main”. Pref. Source : La dirección IP de la interface local del router resposanble de redireccionar (forward) los packets enviados por el subnet anunciado (advertised).
111
Porqué utilizar rutas estáticas (static routes)? • Hace la configuración mas simple en un network pequeño donde usualmente no habrá crecimiento. • Limita el uso de los recursos del router (memory, CPU)
112
Limites de rutas estáticas • No es escalable. • Configuación manual es requerida para cada nuevo subnet el cual se requiera alcanzar.
113
Límites de rutas estáticas: Ejemplo: Tu red crece y tienes la necesida de agregar enlaces a routers remotos. (Asumiendo que cada router tiene 2 redes LAN y 1 red WAN)
114
Límites de rutas estáticas: Ejemplo: Router 3 a 5: 9 rutas Router 2: 2 rutas Router 6 y 7: 4 rutas Total de 15 rutas estáticas manualmente!
115
Creando rutas • Para anadir una ruta estática : IP ->
Routes + (Add) Especifica subnet y máscara Especifica “Gateway” (next hop)
116
Configurando el default route • La ruta 0.0.0.0/0 Conocido
como el Default route.
Es
el destino donde todo tráfico a subnets o IPs desconocidos será enviado.
Al
igual es una ruta estática.
117
Manejando rutas dinámicas • Según mencionado, rutas dinámicas son añadidas por el proceso de enrutamiento no por el administrador. • Es Automático. • No puedes manipular rutas dinámicas. Si la interface donde la ruta dinámica está creada se desconecta o se va “down”, también la ruta dinámica se elimina. 118
Manjenado rutas dinámicas Ejemplo:
119
Implementando enrutamiento estático en un simple network Considera lo siguiente:
120
Implementando enrutamiento estático • Ejercicio: Asumiendo que las direcciones IP han sido entradas, Que comandos usarías para lograr completa comunicación entre ambos subnets (LAN1 and LAN2)? (Respuesta en el próximo slide )
121
Implementando enrutamiento estático • router-1 /ip route add gateway=172.22.0.18 add dst-address=10.1.2.0/24 gateway=10.0.0.2
• router-2 /ip route add gateway=10.0.0.1
122
Es tiempo de ponerlo en práctica!
Fin del módulo 2
123
Laboratorio • Metas del laboratorio Lograr
conectividad a otros POD LANs Validar el uso de default route Lograr ver y explicar los Route Flags
124
Laboratorio : Setup
125
Laboratorio : Paso 1 • Eliminar la ruta default creada en el módulo anterior • Hacer ping a computadoras en otros PODs, Resultado? • Crear rutas estáticas a los demás POD LANs • Hacer ping a computadoras en otros PODs, Resultados?
126
Laboratorio : Paso 2 • Abrir un explorador de internet y trata de accesar la página de mikrotik.com. Resultado? • Crear la ruta default hacía el router del Trainer • Trata de accesar nuévamente la página. Resultado?
127
Fin del laboratorio 2
128
Bridging
Módulo 3
129
Bridging overview
130
Conceptos de Bridging • Bridges funcionan en OSI Layer 2. • Tradicionalmente, eran utilizados par unir 2 segmentos de tecnología distinta o similar.
131
Conceptos de Bridging • Bridges también eran utilizados para crear pequeños collision domains . La
meta era mejorar el funcionamiento reduciendo el tamaño del subnet. Especialmente eran muy útiles antes de la llegada de los switches.
• Switches son conocidos como bridges multipuertos (multi-port)s • Cada Puerto es un collision domain de UN nodo o aparato!
132
Ejemplo 1 • Todo las computadoras se pueden comunicar entre sí • Cada una debe esperar que todas las computadoras dejen de comunicar antes que una pueda comenzar a transmitir!
133
Ejemplo 2 • Toda las computadoras se escuchan entre sí. • Toda las computadoras ahora solo comparten la mitad del “wire” • Aún deben esperar que cada una termine de transmitir antes de que otra pueda hacerlo pero el grupo se ha reducido a la mitad. • Mejor funcionamiento para todas!
134
Utilizando bridges • Por default, en routers MikroTik, puertos Ethernet son asociados (slave) a un Puerto master Ventaja
: Switching en velocidad wire (a través del switch chip, no por software). Desventaja : No hay visibilidad del tráfico en los puertos slave. No es deseable si monitoreas los puertos y la red con SNMP.
135
Utilizando bridges • Si eliminas la configuración de bridge master y slave es necesario crear un bridge para unir los puertos de LAN. Ventaja
: Visibilidad total de los puertos añadidos. Desventajas : Switching se por medio de software. Aumento de procesamiento CPU. Menor que óptimo la transferencia de paquetes.
136
Creando bridges • Utilizar los menus Bridge Add
(+) Name the bridge Click “OK” and you’re done!
137
Creando bridges, ejemplo
138
Añadiendo puertos a bridges • Cuando añades puertos esto define cuales pertenecen al mismo subnet. • Distintas tecnologías pueden ser añadidas tales como interface Wi-Fi.
139
Añadiendo puertos a bridges • Paso para añadir puerto Bridge Ports
tab Add (+) Escoge la interface y el bridge Cliquea “OK” y listo!
140
Añadiendo puertos a bridges, ejemplo
141
Bridging redes wireless • Los mismo se puede hacer con interfaces wireless. • Lo veremos en el próximo módulot. Un poco de paciencia!
142
Tiempo de práctica!
Fin del módulo 3
143
Laboratorio • Metas del lab Crear
un bridge Asignar puertos al bridge Validar que al seguir estos pasos puedas asignar todo los puertos al mismo subnet!
144
Laboratorio : Setup
145
Laboratorio : Paso 1 • Ejecuta “ping –t –w 500 192.168.0.254”. • Desconecta cable de network del puerto (#5) y conéctalo a otro puerto. • Resultados?. • Deja la panatalla de CMD en tu computadora abierta hacienda ping y visible a través de este laboratorio.
146
Laboratorio : Paso 2 • Conéctate a tu router de forma tal que puedas trabajar con el . • Crea una interface Bridge. Nómbrala “LAN” y deja los demás parámetros por default. • Asígnale el IP address de tu POD (192.168.X.1) a la interface Bridge. • Resultados?
147
Laboratorio: Paso 3 • Abre la ventaja de “Interfaces” y verifica cuales están corriendo. • Asigna puertos #2 al #5 a la interface bridge “LAN”. • Resultados? Cuando comenzó a responder el ping nuévmaente? • Cambia tu cable a unos de los puertos entre #2 al #5. Que sucedió? Que significa “I” en la columna. 148
Fin del laboratorio 3
149
Wireless
Módulo 4
150
Conceptos 802.11
151
Frecuencias • 802.11b 2.4GHz
(22MHz bandwidth), 11Mbps
• 802.11g 2.4GHz
(22MHz bandwidth), 54Mbps
• 802.11a 5GHz
(20MHz bandwidth), 54Mbps
• 802.11n 2.4GHz
or 5GHz up to 300Mbps, if using 40MHz channel and 2 radios (chains)
152
Frecuencias
• 802.11b,g frequency range • Canales 1, 6 and 11 non-overlapping
153
Frecuencias
• 802.11a frequency range • 12 20MHz wide channels and 5 40MHz channels
154
Frecuencias • Bandas Mikrotik
soporta ambas bandas 5GHz (802.11a/n) y 2.4GHz (802.11b/g/n)
155
Frecuencias • El feature “Advanced Channels” provee posibilidades extendidas en la configuracion de interface wireless: scan-list
cubre multiples canales y tamaños de canales (channel width) Frequencies non-standard channel center (especificado con KHz granularity) para hardware que lo soporte; non-standard channel widths (especificado con KHz granularity) para hardware que lo soporte 156
Frecuencias • Basic-rates son las velocidades que un cliente (CPE) DEBE tener soporte para poder conectar al AP • Supported-rates son las velocidades posibles luego que se logra la conección (varios factores pueden influenciar en lograr la velocidad mas alta) • Data-rates son los rates aceptados según el estandar a ser utilizado:
802.11b : 1 a 11Mbps 802.11a/g : 6 a 54Mbps
802.11n
: 6 a 300Mbps, de acuerdos a factores tales como channel bandwidth (20 or 40 MHz), Guard Interval (GI), and chains
157
Frecuencias • HT chains Son
antenas para un radio Utilizado para 802.11n y también es un factor en cuanto a la capacidad de transferencia (Throughput)
158
Frecuencias • Frequency mode Regulatory-domain
: Limita canales y TX power basado en las regulaciones del país (country regulations) Manual-txpower : Igual que la anterior pero sin restricción de TX power. Superchannel : Ignora toda restricción. (equivalente a compliant test)
159
Frecuencias • “Country”: Frecuencias y power son basadas en las regulaciones del país (country). Utilizando “no_country_set” configurará canales aprovados por FCC.
160
Configurando un link wireless simple • Configuración del Access Point
Mode : ap bridge Band : Basado en las capacidades el AP y cliente. Si el AP soporta múltiples bandas (ej: B/G/N) selecciona la mejor opción que cubra tu necesidad. Frequency : Cualquiera de los canales disponibles (hablaremos de esto mas adelante!!)
SSID : La identidad del wireless network y que los clientes buscarán. Wireless protocol : Basado en las capacidades el AP y cliente. Para uso “normal” AP a PC utiliza 802.11
161
Configurando un link wireless simple • IMPORTANTE CONFIGURA UN SECURITY-PROFILE!
El no hacerlo es una vulnerabilidad en tu network y permite acceso completo.
162
Configurando un link wireless simple • Para añadir un security profile
Click on “Add” (+) Name : Nombre del profile Mode : Type of authentication to use Authentication types : Methods used to authenticate a connection Ciphers : Encryption methods
163
Configurando un link wireless simple • Ahora puedes utilizar tu Nuevo security profile y aplicarlo en la configuración.
164
Configurando un link wireless simple • Volvemos a frecuencias! Cual utilizar?
Cliquea “Snooper” Pendiente! Esto DESCONECTA la interface wlan y todo cliente que esté conectado
165
Configurando un link wireless simple Ahora tienes un panorama de toda las frecuencias en uso Selecciona un canal que esté no esté en uso o al menos con utilización baja
166
Configurando un link wireless simple • Configuración de cliente Mode : station Band : Igual al AP. Frequency : No es necesario para clientes
167
Configurando un link wireless simple • Configuración de cliente
SSID : Igual al AP que quieres conectar Wireless protocol : Igual al AP que quieres conectar Creand un security profile, según se configuró con el “access point” y se aplicó. Estos parámetros TIENEN que ser iguales
168
MAC address filtering • MAC address filtering es una forma adicional de limitar conecciones de clientes. • Para añadir una entrada en el AP se crea un Access List (Solo en AP!!), seleccionas un nodo registrado y cliqueas “Copy to Access list”
169
MAC address filtering • Ahora tienes una entrada!
170
MAC address filtering • Access lists son utilizados en APs para restringir conecciones clientes específicos y controlar sus parámetros.
Las reglas son verificadas secuencialmente Aplica solo a la primera regla creada Si la opción “Default Authenticate” (“Wireless” tab in “Interface -> wlan” screen) NO está escogida, clientes que no hagan match con la lista no se podrán conectar
171
MAC address filtering • Authentication le dirá al “securityprofile” del AP que determine si la conección sea aprovada. Si la opció no está escogida la autenticación fallará siempre. • Forwarding le dirá al AP que clientes pueden comunicarse entre sí sin la asistencia del mismo AP. (hace bypass de reglas de firewall que hayan sido creadas). Para mayor seguridad debes dejarlo sin escoger
172
MAC address filtering • AP Tx Limit restringe el data rate del AP hacia el cliente
Si la configuración está puesta demasiado baja puede ocasionar desconecciones. Valida primero!
• Client TX Limit restringe el data rate del Cliente al AP
Solo aplica en conexiones donde Cliente es RouterOS, ya que esto es propietario Nuevamente, valida primero para asegurarte el funcionamiento correcto.
173
MAC address filtering • Connect lists (en estación de cliente) asigna prioridades basado en potencia se señal y parámetors de seguridad que indicant a que AP el cliente puede conectarse.
Reglas son verificadas secuencialmente Aplica solo a la primera regla Si la opción “Default Authenticate” (“Wireless” tab in “Interface -> wlan” screen) NO está escogidad y no hay match de regla connect-list, cliente intentará la conección en la mejor señal y parámetros de seguridad 174
MAC address filtering • Ejemplo : Esta estación o cliente no tiene SSID o Security profile definido, pero como hace match con un connect-list la conección fue establecida
175
MAC address filtering • Nota interesante: Si el campo de SSID (en station connect rule) está vacía, el cliente conectará a cualquier SSID que haga match con el Security profile. • La interface SSID también debe estar vacía!
176
MAC address filtering • Default-authentication : Especifica el comportammiento luego de verificar el acceso y el connect lists. Para APs, si está configurado “Yes”, permitirá conecciones si no hay un access-list, SSID y security profile. En otras palabras, no habrá conexiones permitidas. Para stations o clientes, si está configurado “Yes”, si permitirá conección si no hay un match de connect-list, SSID y security profile. En otras palabras nuevamente, no habrá conexiones permitidas.
177
MAC address filtering • Default-authentication Si AP no
tiene access list y default-authenticate no está seleccionado, clientes nunca se conectarán Si la estación o cliente no tiene un connect list y default-authenticate no está seleccionado nunca se conectará al AP.
178
MAC address filtering • Default-forwarding : Especifica el comportamiento de transmisión luego de validar el access lists. - Si está en “Yes”, permitirá comunicación en Layer 2 entre clientes. - Si está en “No”, clientes se comunicarán entre sí en Layer 3 si las reglas de Firewall lo permite.
179
Wireless security and encryption • WPA, WPA2 Wi-Fi
Protected Access (I and II) Protocolo de autenticación creados luego de la debilidad encontrada en WEP Si está correctamente configurado, WPA es muy seguro
Debilidad a ataques de brute force fueron encontrados cuando se utiliza WPS (Wi-Fi Protected Setup) WPS no es utilizado por Mikrotik
180
Wireless security and encryption • WPA Utilizado
para reemplazar WEP Utiliza TKIP como protocolo de encripción
Genera una llave por cada paquete nuevo transmitido
181
Wireless security and encryption • WPA2 Utiliza CCMP como protocolo de encripción Basado en AES Mas fuerte que TKIP Es mandatorio en equipos certificados Wi-Fi desde el 2006. Debe ser utilizado para lograr mayores data rates o de otra manera se limita a 54Mbps (http://www.intel.com/support/wireless/wlan/4965agn/sb/cs-025643.htm)
182
Wireless security and encryption • WPA-Personal Conocido
también como WPA-PSK, está diseñado para SOHO u Hogar No requiere servidor de autenticación La autenticación de cliente a AP es basada en una llave de 256-bit key generada por el pre-shared key (PSK), el cual puede ser una contraseña, frase o ambos.
183
Wireless security and encryption • WPA-Enterprise Conocido
también como modo WPA-802.1X mode, diseñado para redes empresariales Utiliza EAP para autenticación Requiere un servidor de RADIUS para la autenticación Mas complejo para implementar, pero provee features adicionales tales como: proteción contra dictionary attacks en contraseñas débiles 184
Protocolos wireless MikroTik • NV2 (Nstreme Version 2) Un
protocolo propietario de MikroTik ya en su 2nda version Para ser utilizado con tarjeta wireless Atheros 802.11 Basada en TDMA (Time Division Multiple Access) en vez de CSMA (Carrier Sense Multiple Access) Utilizado para mejorar funcionamiento en links de larga distancia.
185
Protocolos wireless MikroTik • Beneficios de NV2 Aumento
de velocidad Soporta mas conecciones de clientes en ambientes mulitpoint (limite es de 511 clientes) Menos latencia No tiene limitación de distancia No tiene penalidad por distancias largas
186
Herramientas de monitoreo • Hay varias herramientas que ayudarán analizar que hay presente en el aire y así puedes seleccionar la frecuencia que no tenga interferencia (o al menos la que menos que tenga)
187
Herramientas de monitoreo • Wireless scan : Dos opciones Frequency
usage
Scan
188
Herramientas de monitoreo • Wireless scan : Frequency Usage Muestra toda las frecuencias soportadas y su utilización basado en los AP de los neighbors presentes También desconecta clientes wireless que estén conectados!
189
Herramientas de monitoreo • Wireless scan : Scan Provee
información acerca de los Neighbor APs También desconecta clientes que estén conectados!
190
Herramientas de monitoreo • Snooper Provee
información de ambos Clientes y APs presentes Sucede lo mismo
191
Monitoring tools • Snooper Provee
información de ambos Clientes y Neighbor APs + información de los clientes
192
Herramientas de monitoreo • Registration table : Utilizado para obtener información de clientes estaciones (stations) conectadas. Util
solo en access points.
193
Herramientas de monitoreo
194
Herramientas de monitoreo • Registration table Podemos ver estatus actual de estaciones registradas Nota : Comentarios que aparezcan encima de una estación registrada proviene del “Access List” tab. Util para verificar bajo cual criterio la estación o cliente fue autenticado
195
Bridging wireless networks • Station-bridge : Un modo propietario de MikroTik para crear un bridge Layer 2 entre routers MikroTik. • Puede ser utilizado para extender un subnet o segmento wireless a múltiples clientes.
196
YES!! Tiempo de laboratorio
Fin del módulo 4
197
Laboratorio • Metas del laboratorio Utilizar
varias herramientas para analizar canales utilizados y características de redes wireless, APs y estaciones Configurar los PODs como cliente wireless para contectar al AP del instructor Configurar los PODs como APs Familiarizarse con Access-list y Connection-List
198
Laboratorio : Setup
199
Laboratorio : Paso preliminar • DETENTE, STOP, NO RESPIRES!!! Haz
un binary backup de la configuración actual con el nombre de:
Module3-podX donde X es tu número de POD
Ya
sabes hacerlo, verdad? Que ventanas necesitas abrir?
200
Laboratorio : Paso 1 • Ejecuta uno despues del otro: Frequency
Usage
Anota los canales de mayor uso
Scan
Haz un link entre frecuencias y SSIDs
Snooper
Que puedes determinar de la red? Que significa los símbolos a mano izquierda?
201
Laboratorio : Paso 2 • Abre la ventana de “Bridge” y ve al tab de “Ports” • Utilizando los procedimientos aprendidos en los módulos anteriores, añade la interface “wlan1” al bridge “LAN”. • Cierra la ventaja de “Bridge”
202
Laboratorio: Paso 3 • Abre la ventana de “Wireless” y asegúrate que la interface “wlan1” esté habilitada.
203
Laboratorio: Paso 4 • Haz Double-click en “Interfaces” y ve a “Wireless”. También puedes ir directo a “Wireless” en el menú. Luego cliquea “Advanced Mode” y entra los siguientes parámetros:
Mode : ap bridge Band : 2GHz-B/G/N Channel width : 20MHz Frequency : Odd pods use 2437, even pods use 2462 SSID : podX Wireless protocol : 802.11 Security Profile : default (recuerda solo haz esto en ambiente de prueba) Frequency Mode : Regulatory-domain Country :
Default Authenticate is checked
204
Laboratorio: Paso 5 • Desconecta el cable entre tu laptop y el router. El cable entre tu router y el instructor debe permanecer. • Configura tu laptop para poder conectarse a tu router • Verifica conectividad hacia el router e Internet • Navega!
205
Laboratorio: Paso 6 • Haz un binary backup de la configuración actual bajo el nombre: Module4a-podX
donde X es el número de tu POD
• En la ventana “File List” selecciona module3podX y haz un restore “Restore” • Escoge “yes” para reiniciar
206
Laboratorio: Paso 7 • Reconecta el cable a tu router • Desconecta el cable de tu router que conecta con el router del instructor • Ahora no debes tener acceso al internet
207
Laboratorio : Paso 8 Configuración Preliminar • IP address para WLAN1
192.168.252.podX
• Habilita la interface wlan1 interface si se encuentra deshabilitada • Security profile Name : WPA2 Authentication types : WPA2 PSK Unicast and group ciphers : aes ccm WPA2 pre-shared key : mtcna123!
208
Laboratorio : Paso 9 • Activa el tab de “Advanced Mode” en la interface de configuración “Wireless” • Necesitas conectarte al AP de la clase. Utiliza los siguientes parámetros el cual DEBEN ser compatible para poder conectar: - Mode : Station Band : 2GHz-only-N SSID : WISP Radio name : WISP-PODX Wireless protocol : 802.11 Security profile : WPA2
209
Laboratorio : Pas 10 Frequency
Mode : regulatory-domain Country : Usualmente, seleccionas el país donde el AP será instalado. Deje “Default Authenticate” seleccionado por ahora
• Cliquea OK, y selecciona el tab “Registration” en la ventana de “Wireless Tables” • Debes ver el registrado el AP del instructor. Si lo vez, estás conectado! But
wait!!!
210
Laboratorio : Paso 11 • Antes que puedas navegar al hay que corregir el routing table Redefine
el default gateway a: 192.168.252.254 Redefine la ruta de tu POD vecino LAN interface (192.168.Y.1) para que salga por 192.168.252.Y Hazle Ping al LAN de tu POD vecino (192.168.Y.1)
Resultado?
211
Fin de laboratorio 4
212
Network management
Módulo 5
213
ARP
214
ARP modes • Significa “Address Resolution Protocol” • Protocolo que une el IP (Layer 3) al MAC Adddress (Layer 2) • Usualmente es utilizado dinámicamente, pero puede ser configurado estáticamente en situaciones donde se requiera mayor seguridad.
215
ARP modes • “ARP modes” le indica a RouterOS de que manera se trabajará con ARP.
Modes son configurados por interface
• Los “modes” son
Enabled : Modo default. ARP requests son respondido y el ARP table se popula automáticamente. Disabled : La interface no enviará o responderá a ARP requests. A los demás se le DEBE indicar cual es el MAC address del router. Proxy ARP : El router responderá ARP request que venga de la red conectada diréctamente (no importando origen) Reply only : El router responderá ARP request. El ARP table hay que popularla estáticamente.
216
RouterOS ARP table • El ARP Table muestra todo los ARP entries y la interface de donde aprendió cada MAC • El ARP table provee: El
IP address de equipos conocidos Los MAC addresses asociados a cada IP address Las interfaces de donde lo aprendieron
217
RouterOS ARP table • Para mayor seguridad puedes hacer entradas de ARP estáticamente para mayor seguridad Protégé
de ARP poisoning / ARP spoofing Requiere mucho esfuerzo y manejo
218
ARP syntax • Ver ARP table : /ip
arp print
• Añadir una entrada estática: /ip
arp add address=172.16.2.222 macaddress=11:22:33:44:55:66 interface=Bridge-PC
• Configurar ARP mode : /interface
ethernet set ether04 arp=proxy-arp
219
DHCP server y client
220
DHCP server • Significa Dynamic Host Configuration Protocol • Es utilizado para provisionar IP address, netmask, default gateway y adicionalmente otros parámetros que sea requeridos o solicitados por equipos o nodos.
221
DHCP server setup • La interface que tiene configurado el DHCPserver debe tener su propio IP address que NO esté en el pool - Un pool es un rango de direcciones IP que utilizados para la disponibilidad de soliciten.
serán los equipos que
222
DHCP server setup • En la ventana de DHCP-server simplemente le das click a “DHCP Setup” y contesta las preguntas: DHCP Server
Interface DHCP Address Space Gateway for DHCP Network Addresses to Give Out DNS Servers (more than one can be entered) Lease Time
223
DHCP server setup • Que hace el setup automático: Crea
Un pool de IPs para asignar
Crea
el DHCP server
Su nombre y parámetros (tal como la interface donde aceptará solicitudes de dhcp)
Crea
un IP Pool
el address space
El IP Network y varios parámetros adicionales
224
DHCP server setup • Resultados de configuración automática
225
DHCP server setup • DHCP puede ser configurado con opciones tales como: 42 : NTP Servers 70 : POP3-Server Visita http://www.iana.org/assignments/bootp-dhcpparameters/bootp-dhcp-parameters.xhtml para ver mas opciones.
• Nota Importante
Si haz creado un ambiente en bridge, El DHCP Server DEBE ser configurado a la interface Bridge. Si se configure en la interface física, el DHCP server no funcionará
226
DHCP server syntax • Configurar un DHCP scope /ip
dhcp-server setup
• Configurar un DHCP option /ip
dhcp-server option add name=46-node-type code=46 value=0x0008
227
DHCP server syntax • Asignar un DHCP option a la red /ip
dhcp-server network print (to view available networks) /ip dhcp-server network set dhcp-option=46-nodetype numbers=1
• Asignar un WINS server a la red /ip
dhcp-server network set winsserver=172.16.2.100 numbers=1
228
Configuración DHCP server “Networks” • Ejemplo de configuración básica • Ejemplo de configuración expandida
229
DHCP client • Permite a las interfaces a solicitor direcciones IP
El servidor remoto de DCHP suplirá:
Address Mask Default gateway Two DNS servers (si ha sido configurado de tal manera)
El DHCP client suplirá opciones configurables:
Hostname Clientid (en la forma de MAC address)
• Normalmente es utilizado en interfaces que conectan al internet.
230
DHCP client syntax • Para configurar una interface con DHCP-client /ip
dhcp-client add interface=ether5 dhcpoptions=clientid,hostname
• Para ver y habilitar un DHCP client /ip
dhcp-client print /ip dhcp-client enable numbers=1
• Para ver la dirección recibida en el DHCP client /ip
address print
231
Lease management • La sección "/ip dhcp-server lease" provee información acerca de los DHCP clients y leases • Muestra leases dinámicos y estáticos • Se puede cambiar un lease dinámico a no estático Muy
util cuando unoo equipo necesita mantener el mismo IP address. Alerta! Si cambias la tarjeta de red el IP cambiará debido al cambio de MAC address 232
Lease management • El DHCP Server puede ser configurado a proveer solo direccions estáticas • Clientes entonces solo reciben direcciones predefinidas • Evalua tus requerimientos antes de hacerlo de esta forma. Requerirá mucho manejo para una red mas grande.
233
Lease management syntax • Para ver DHCP leases /ip dhcp-server lease print /ip dhcp-server lease print detail (gives more detailed information)
• Para configurar un IP address estático en el DCHP server
/ip dhcp-server lease make-static numbers=0
• Para modificar la entrada anterior
/ip dhcp-server lease set address=192.168.3.100 numbers=0
234
RouterOS tools
235
E-mail • Herramienta que te permite enviar un correo • Puede ser utilizado junto a otras herramientas (tools) para enviar regularmente backups al administrador • Comando: /tools
e-mail
236
E-mail, ejemplo • Configura el SMTP Server /tool e-mail set address=172.31.2.1 [email protected] last-status=succeeded password=never123! port=\ 587 start-tls=yes [email protected]
• Envia un archivo de configuracion via Email
/export file=export /tool e-mail send [email protected] subject="$[/system identity get name] export"\ body="$[/system clock get date] configuration file" file=export.rsc
237
Netwatch • Herramiento que te permite monitorear el estatus de equipos en el network • Para cada entrada, puedes especificar: IP address Ping
interval Scripts de Up o Down
238
Netwatch • Es MUY útil.. Recibir
alertas de fallas en el network Automatizar el cambio de default gateway, por ejemplo, en caso el router principal falle. Para saber qué está arriba y abajo! Cualquier otro que puedas configurar para simplificarte el trabajo (y te haga ver mas eficiente !)
239
Ping • Herramienta básica de conectiviad el cual utiliza mensajes ICMP Echo para determinar accesibilidad del host remoto y delay en el viaje ida y vuelta del paquete enviado • Una de las primeras herramients a ser utilizada en el troubleshooting. “Si da ping, está arriba (desde punto de vista en la red) • Utilízalo con otras herrramientas en combinación cuando estás haciendo troubleshooting. No es la herramienta mas eficaz pero con algo se debe comenzar. 240
Ping syntax • CLI [admin@MikroAC1] > ping www.mikrotik.com HOST SIZE TTL TIME
STATUS
159.148.147.196 56 50 163ms 159.148.147.196 56 50 156ms 159.148.147.196 56 50 156ms 159.148.147.196 56 50 160ms sent=4 received=4 packet-loss=0% min-rtt=156ms avg-rtt=158ms max-rtt=163ms
Debes
oprimir “CTRL-C” para detener el ping en el CLI de RouterOS
241
Traceroute • Utilizado para mostrar todo los routers que se atraviesa el paquete antes de llegar al destino • Indica el delay para alcanzar cada router en el camino hacia el destino final • Muy bueno para detectar una falla o punto de lentitud.
242
Traceroute • CLI /tools
traceroute www.mikrotik.com
[admin@MikroAC1] > /tool traceroute www.mikrotik.com # ADDRESS LOSS SENT LAST 1
100%
AVG
BEST
WORST STD-DEV STATUS
3 timeout
2 216.113.124.190
0%
3
13.9ms
12.2
11.1
13.9
1.2
3 216.113.122.230
0%
3
9.6ms
9
7.5
9.8
1
4
100%
3 timeout
5 216.6.99.14
0%
3 114.4ms
114.7
113.6
116.2
1.1
6 80.231.130.121
0%
3 104.5ms
105.7
104.5
107.1
1.1
7 80.231.130.86
0%
3 103.2ms
107.5
103.2
115.4
5.6
8 80.231.154.70
0%
3 136.5ms
119
104.3
136.5
13.3
9 80.231.153.122
0%
3
113ms
110.7
106.4
113
3.1
10 195.219.50.38
0%
3 111.9ms
115
110.7
122.5
5.3
11 87.245.233.178
0%
3 140.7ms
159.6
135.7
202.4
30.3
12 87.245.242.94
0%
3
169ms
173
169
178.4
4
13 85.254.1.226
0%
3 173.3ms
168.4
164.6
173.3
3.6
243
Profiler (CPU load) • Herramienta que muestra la carga del CPU • Muestro los procesos y tu carga por individual • Nota : “idle” no es un proceso. Significa el porciento de carga que NO se está utilizando en el router
244
Profiler (CPU load) • CLI /tool
profile
[admin@MikroAC1] > /tool profile NAME CPU console all flash all networking all radius all management all telnet all idle all profiling all unclassified all -- [Q quit|D dump|C-z continue]
USAGE 0% 0% 0% 0% 0.5% 0.5% 99% 0% 0%
• Para mas detalles acerca de procesos y lo que significan and favor visitar http://wiki.mikrotik.com/wiki/Manual:Tools/Profiler 245
System identity • Aunque no es una herramienta, es importante para indentificar el router. No puedes administrar 100 routers que tengan el mismo nombre. Hace mas dificil el troubleshooting Una vez configurado, hará la identificación de tu router sea mas simple.
• Syntax /system identity print (show current name) /system identity set name=my-router (sets the router's name)
246
Contactando a MikroTik support
247
Supout.rif • Supout.rif es un archivo para el análisis (debugging) de RouterOS y ayuda a MikroTik a poder resolver problemas mas rápido • Syntax CLI
: /system sup-output
248
Supout.rif • Una vez generado, el "supout.rif" lo podrás encontrar en “Files”
249
Supout.rif Viewer • Para accesar el "supout.rif viewer", necesitas entrar a tu cuenta de MikroTik.com
Debes tener una cuenta
250
Supout.rif Viewer • Lo primero es localizar archivo que generaste en el router y cargarlo a la página • Comienza a navegar toda tu configuración • El view por default es “resource”
2
1
3
251
Autosupout.rif • Un archivo puede ser generado automáticamente cuando hay una falla de software (ej. kernel panic o si el Sistema no responde por 1 minuto) • Esto es ejecutado automáticamente con WatchDog (-> system)
252
System logging y debug logs • Logging es importante para asegurar un historial (permanente o no) de los eventos del router • La forma mas facil de ver los eventos es a través de “log” (Menu) • Por CLI es.. /log
print
253
System logging • Actions Acciones
que el router ejecutará en un evento Los Rules le dice al router que “action” tomará Hay 5 tipos de “actions”, lo cual te permite flexibilidad
254
System logging • Actions, ejemplos [admin@MikroTik] > /system logging action print Flags: * - default # NAME TARGET REMOTE 0 1 2 3
* * * *
memory disk echo remote
memory disk echo remote 172.16.1.105
4
webproxy
remote 172.16.1.105
5
firewallJournal
remote 172.16.1.105
255
System logging • Rules Le indican al RouterOS que “action” tomar para un evento determinado (llamado “topic”) Puedes tener mas de un “Rule” para el mismo “topic”, cada rule ejecutando un “action” diferente Puedes tener un “rule” con uno o mas “topics”, ejecutando un “action” Añadir “rules” es simple, escoges uno o mas “topics”, le asignas nombre al rule, y luego escoges un action. (Es por esto que se sugiere configures un action primero)
256
System logging • Rules, ejemplos [admin@NINsys] > /system logging print Flags: X - disabled, I - invalid, * - default # TOPICS ACTION PREFIX 0 * info memory
INF
1
!firewall * error
memory
ERR
2
* warning
memory
WRN
3
* critical
memory
CRT
4
firewall
memory
FW
5
firewall
firewallJournal
FW
6
info
remote
INF
7
!firewall error
remote
ERR
257
System logging syntax • Ver rules
/system logging print
• Ver actions
/system logging action print
• Almacenar mensajes del firewall a un syslog server
/system logging action add bsd-syslog=yes name=firewallJournal remote=172.16.1.105 srcaddress=10.5.5.5 syslog-facility=local5 target=remote
• Crear una regla de firewall para topics el cual utilizará la acción previa
/system logging add action=firewallJournal prefix=FW topics=firewall
258
Donde son enviado los logs • Según indicado en “actions”, logs pueden ser enviados a 5 opciones distintas: Disk
: Un disco externo en el router Echo : La consola (Consola) del router (si está presente por serial) Email : Una cuenta de email predefinida Memory : La memoria interna del router (según visto en la ventana de “log”) Remote : A un syslog server
259
Configuraciones Leibles • Alias “Que esté claro!” • Mala documentación es tu peor enemigo. Mantén tus configuraciones claras y leibles a través de commentarios, nombres y uniformidad Comentarios : Asignale una descripción Nombres : Hazlo significativo Uniformidad : Haz lo mismo en todo lo demás
• Porque hacer todo esto?
Por tu propio bién. En el camino te hará el trabajo mas facil y te hace mas eficiente! (nuevamente)
260
Configuraciones Leibles • Ejemplos
261
Diagramas del Network • Un buen diagrama es necesario! Aún si estás recién comenzando, tu network no siempre será pequeño • Identifica todo los componentes claves • Manténlo actualizado (donde fallamos casi todos) • Es una gran herramienta de troubleshooting. Utilízalo para identificar puntos de falla Utilizando toda las herramientas repasadas en este modulo (ping, traceroute), anota posibles situaciones
262
Diagramas del Network • Ejemplo
Todo los puertos están marcados Equipos son identificados Número de revision está actualizado
263
Y continuamos con los laboratorios!!
Fin del módulo 5
264
Laboratorio • Metas del laboratorio Practicar
conceptos de ARP repasados en el módulo Añadir funcionabilidad DHCP (client y server) a tu router Utilizar varias herramientas de troubleshooting
265
Laboratorio : Setup
266
Laboratorio : Paso 1 • Muestra las entradas de ARP de tu router Identifica
cada entrada Basado en el diagrama del lab, hace sentido? Compara con el Puerto donde el MAC fue aprendido
• Valida en que ARP mode están tus interfaces • Añade un MAC-Address falso como si hubiese sido aprendido desde el bridge “LAN”
267
Laboratorio: Paso 2 • Añade un DHCP client en la interface WLAN1 • Solicítale al instructor que haga una reservació estática en su DCHP server. El dígito final del IP debe ser el de tu POD • Proveele al el MAC-Address de tu interface WLAN ya que aún no se han identificado los routers • Elimina tu IP estática que tenias previa • Renueva tu ip del DHCP client • Cual IP obtuviste?
268
Laboratorio : Paso 3 • Cleanup Cuando
configuraste el DHCP cliente la opción “Add default route” estaba en “yes”. Esto significa que el DHCP Client recibe un default route (ruta cero) Muestra tus rutas. Que vez en el default route? Que debes hacer para limpiar la tabla de rutas (Routing table)?
269
Laboratorio : Paso 4 • Configura un DHCP para la computadora conectada en el bridge “LAN” • Asegura que la configuración..
Asigne dirección IP Que el DNS sea el mismo que tu gateway (o sea tu router)
Reconfigura tu computadora para recibir ip dinámica. Configura tu router para que siempre asigne el IP .20X (X es tu POD) Que debes hacer para lograrlo?
270
Laboratorio : Paso 5 • Cleanup Añade
un comment a tu IP estática para indicar para que es la reservación. En el tab de DCHP en el DHCP Server, asígnale un nombre (el default es dhcp1)
271
Laboratorio : Paso 6 • E-mail setup Configura
el e-mail para permitir envío a un email personal
Puedes utilizar el que desees
Prueba
el envío con la opción “Test Email”
272
Laboratorio : Paso 7 • Netwatch Utiliza
esta herramienta para monitorear un equipo provisto por el instructor Para agilizar el tiempo, configura intérvalo de monitoreo a 30 segundos.
273
Laboratorio : Paso 8 • Netwatch
Utiliza estos scripts (Copy & Paste):
Up /tool e-mail send to="" subject="$[/system identity get name] Netwatch status" \ body="$[/system clock get date] $[/system clock get time] Node up."
Down 1
3
/tool e-mail send to=“" subject="$[/system2identity get name] Netwatch status" \ body="$[/system clock get date] $[/system clock get time] Node down."
274
Laboratorio : Paso 9 • Netwatch Deshabilita
el equipo de prueba. Verifica si recibes un e-mail indicando el cambio de estatus. Debe llegar un correo similar..
275
Laboratorio : Paso 10 • Ping Utiliza
la herramienta de ping para validar que el equipo de prueba responde paquetes ICMP echo packets. Hazlo también por CLI
• Traceroute Utiliza
la herramienta para verificar que hay de por medi entre tu router y el equipo de prueba. Compáralo con el diagrama del lab. Hazlo también por CLI
276
Laboratorio : Paso 11 • Profiler Ejecuta
el profiler y verifica los procesos corrriendo en tu router. Que significa el porcentaje mayor?
Sortélo en la columna “usage”
277
Laboratorio : Paso 12 • Supout.rif Crea
un archivo supout.rif. Donde lo almacenó? Cárgalo a tu cuenta de MikroTik.com y navega las distintas áreas.
Nota importante: Si no tienes una cuenta en MikroTik.com, favor crearla ahora ya que será necesaria para la toma del examen a final de curso.
278
Laboratorio : Paso 13 • Logging Crea
Type is “memory”
Crea
un “action”: un “rule”:
topics “e-mail” y “debug” Action “action1”
Abre
la ventaja de “log” Regresa a la herramienta de e-mail y envía un correo de prueba. Que se muestra en el log?
279
Laboratorio : Paso 14 • Cleaning Ve
al a ventana de logging, actions tab y renombra “action1” a “E-mail-Debug” Que sucedió? Renombra “action1” a “EmailDebug” Regresa al tabe de rules. Que notas de la entrada “email, debug”?
• Haz un binary backup de tu configuración con la misma estructura de nombre del modulo anterior (module5-podX)
280
Laboratorio : Paso 15 • Por último, renombra tu router para que muestre: El
nombre de tu Pod La primera letra mayúscula
• Crea 2 backups con nombre Module5-Podx Uno
debe ser binary backup El Segundo export backup
281
Fin del laboratorio 5
282
Firewall
Módulo 6
283
Firewall Principles
284
Firewall principles • Un Firewall es un servicio que permite o bloquea paquetes de data que se transmiten basado en reglas. • El Firewall simula una pared entre 2 redes • Un ejemplo común es tu LAN (trusted) y el internet (not trusted).
285
Firewall principles Como funciona el Firewall • Opera utilizando reglas. Estas están divididas en 2 partes: The matcher : Las condiciones que se requieren para hacer “match” The Action : Que sucederá una vez tenga “match” • Para hacer “match” se revisa lo siguiente: Source MAC address IP addresses (network o lista) y address types (broadcast, local, multicast, unicast) Puerto o Rango de puertos Protocolo Opciones de Protocol (ICMP type y code fields, TCP flags, IP options) La interface a donde llega o sale el paquete DSCP byte Y más…
286
Packet flows • MikroTik creó los diagramas para lograr hacer configuraciones mas complicadas • Es bueno familiarizarse con estos para saber que está sucediendo con los paquetes y en que orden. • Para este curso, lo mantenremos simple!
287
Packet flows • Overall diagrams
288
289
Packet flows
290
Packet flows, ejemplo • Complicado? Bienvenido al club! • Este próximo ejemplo nos puede ayudar a ilustrar un simple flow de paquetes: Haciendole PING (nodo no existente) a la interface LAN de un router a través de la interface WAN. IP del nodo hacienda ping: 172.16.2.100 IP del nodo recibiendo ping: 192.168.3.2 IP del WAN del router (ether1) : 192.168.0.3
291
Packet flows, ejemplo Pinging ===PREROUTING=== Mangle-prerouting prerouting: in:ether1 out:(none), src-mac d4:ca:6d:33:b5:ef, proto ICMP (type 8, code 0), 172.16.2.100->192.168.3.2, len 60 dstnat dstnat: in:ether1 out:(none), src-mac d4:ca:6d:33:b5:ef, proto ICMP (type 8, code 0), 172.16.2.100>192.168.3.2, len 60 ===FORWARD=== Mangle-forward forward: in:ether1 out:Bridge-PC, src-mac d4:ca:6d:33:b5:ef, proto ICMP (type 8, code 0), 172.16.2.100->192.168.3.2, len 60 Filter-forward forward: in:ether1 out:Bridge-PC, src-mac d4:ca:6d:33:b5:ef, proto ICMP (type 8, code 0), 172.16.2.100->192.168.3.2, len 60 ===POSTROUTING=== Mangle-postrouting postrouting: in:(none) out:Bridge-PC, src-mac d4:ca:6d:33:b5:ef, proto ICMP (type 8, code 0), 172.16.2.100->192.168.3.2, len 60 srcnat srcnat: in:(none) out:Bridge-PC, src-mac d4:ca:6d:33:b5:ef, proto ICMP (type 8, code 0), 172.16.2.100>192.168.3.2, len 60
Reply out
===OUTPUT=== Mangle-output output: in:(none) out:ether1, proto ICMP (type 3, code 1), 192.168.0.3->172.16.2.100, len 88 Filter-output output: in:(none) out:ether1, proto ICMP (type 3, code 1), 192.168.0.3->172.16.2.100, len 88 ===POSTROUTING=== Mangle-postrouting postrouting: in:(none) out:ether1, proto ICMP (type 3, code 1), 192.168.0.3->172.16.2.100, len 88
292
Packet flows, ejemplo explicado /ip firewall filter add action=log chain=input log-prefix=Filter-input protocol=icmp add action=log chain=output log-prefix=Filter-output protocol=icmp add action=log chain=forward log-prefix=Filter-forward protocol=icmp /ip firewall mangle add action=log chain=prerouting log-prefix=Mangle-prerouting protocol=icmp add action=log chain=output log-prefix=Mangle-output protocol=icmp add action=log chain=input log-prefix=Mangle-input protocol=icmp add action=log chain=forward log-prefix=Mangle-forward protocol=icmp add action=log chain=postrouting log-prefix=Mangle-postrouting protocol=icmp /ip firewall nat add action=log chain=srcnat log-prefix=srcnat protocol=icmp add action=log chain=dstnat log-prefix=dstnat protocol=icmp
293
Connection tracking y states • Connection tracking maneja la información acerca de toda las conecciones. • Antes de crear filtros de firewall (o reglas), es bueno saber que tipo de tráfico atraviesa tu router. El connection tracking se encarga de esto.
Flags: S - seen reply, A - assured # PROTOCOL SRC-ADDRESS 0 SA tcp 172.16.2.140:52010 1 ospf 172.16.0.6 2 SA tcp 172.16.2.100:49164 3 SA tcp 172.16.2.122:61739 4 SA tcp 172.16.2.130:58171 5 SA gre 172.16.0.254 6 SA udp 172.16.0.254:4569 7 SA tcp 172.16.2.130:58174 8 SA tcp 172.16.2.140:52032 9 SA tcp 172.16.2.107:47318 10 SA tcp 172.16.2.102:57632 11 ospf 172.16.0.5 12 SA tcp 172.16.2.102:56774 13 SA tcp 172.16.2.102:56960 14 SA tcp 172.16.0.254:37467 15 SA tcp 172.16.2.107:39374
DST-ADDRESS 17.172.232.126:5223 224.0.0.5 172.16.9.254:445 206.53.159.211:443 17.149.36.108:443 172.16.0.1 209.217.98.158:4569 173.252.103.16:443 69.171.235.48:443 173.252.79.23:443 173.252.102.241:443 224.0.0.5 65.54.167.16:12350 173.194.76.125:5222 172.16.0.1:1723 79.125.114.47:5223
TCP-STATE TIMEOUT established 23h42m6s 5m49s established 23h42m51s established 23h44m8s established 23h43m41s 4h44m11s 13m9s established 23h42m40s established 23h43m27s established 23h43m26s established 23h44m15s 5m49s established 23h35m28s established 23h43m57s established 4h44m11s established 23h29m1s
294
Connection tracking y states • Si deshabilitas tracking por alguna razón, los siguientes features dejarán de funcionar: NAT Firewall connection-bytes - connection-mark connection-type - connection-state connection-limit - connection-rate - layer7-protocol - p2p - new-connection-mark - tarpit p2p matching in simple queues
• Por tal razón antes de deshabilitarlo asegúrase tener muy claro las razones y el propósito!
295
Connection tracking y states Los Connection states son:
(asumiendo cliente-A estáinicializando una conección hacia
cliente-B):
Established Una sesión TCP session hacia el host remoto es establecida, proveyendo un “open connection” donde la data puede ser intercambiada Time-wait Tiempo esperado para asegurarse que el host remoto a recibido un “connection termination request (after “close”) de su connecion Close Representa la espera para un “connection termination request” del host remoto Syn-sent Cliente-A esperando por un “matching connection request” luego que ha enviado uno Syn-received Cliente-B esperando por un confirming connection request acknowledgement luego de haber enviado y recibido el connection request
296
Connection tracking y states • El uso del connection tracking permite también el tracking de conecciones UDP aunque UDP es “stateless”. Siendo así, el firewall de MikroTik's puede filtrar “UDP "states".
297
Structure : chains y actions • Un chain es un agrupamiento de reglas basadas en el mismo criterio. Hay 3 distintos tipos de chain predefinidos por RouterOS basados en el mismo criterio: Input : Tráfico que va hacia el router Forward : Tráfico que atraviesa el router Output : Tráfico que es originado desde el router • Puedes tener chains creados basados en tus propios criterios. Por ejemplo :
Todo tráfico icmp Tráfico que llegue desde la interface Ether2 y con destino al bridge “LAN”.
• Chains definidos por usuario son creados cuando seleccionas “matchers” y seleccionas “action -> jump”. Le asignas un nombre en el campo “jump target”.
Luego de esto, puedes comenzar a crear reglas utlizando este Nuevo “Chain” seleccionándolo en el campo “chain” cuando creas la regla nueva de firewall.
298
Structure : chains y actions • Un “action” dicta que hará el filtro cuando hay un “match” de paquetes. • Paquetes son verificados secuencialmente contra cualquier regla que exista en el chain del firewall hasta que ocurra un “match”. Cuando lo encuentra, la regla se aplica. • Ciertos “actions” requiere que paquetes sean menos o mas procesados por otras reglas. • Otros “actions” pueden demandar que un paquete sea procesado en otro “chain”. Lo veremos mas adelante.
299
Firewall filters en acción
300
Filosofía básica de seguridad • Puedes aplicar seguridad de varias maneras: Confiamos
en el interior de la red, las reglas solo afectará lo que venga de afuera Bloqueamos todo y decidimos que permitir. Permitimos todo y bloqueamos lo que es problemático.
301
Tips y sugerencias básicas • Antes de configurar y cambiar reglas activa "safe mode". • Luego de configurar o cambiar reglas, valida utilizando herramientas. Ejemplo: ShieldsUP (https://www.grc.com/x/ne.dll?bh0bkyd2) Provee reporte de debilidad o vulnerabilidad
302
Tips y sugerencias básicas • Antes que comiences, establece una política. • Escribe en tu propio lenguaje las reglas básicas que requieres establecer
Luego que las entiendas y estes de acuerdo; las configuras en tu router
• Añade reglas de firewall progresivamente luego que ya estés de acuerdo con las básicas.
Si eres nuevo en la seguridad, no te ayudará comenzar a configurar en toda las direcciones (disparar de la vaqueta!) Haz lo básico, pero hazlo bién. Solo, no demores en añadir las demás reglas porque una cosa es hacerlo bién y otro tema es abrir vulnerabilidades por el hecho de que quieres validar primero las reglas básicas.
303
Tips y sugerencias básicas • Es una buena idea finalizar tus “chains” con una regla “catch-all” y así poder ver que dejaste. • Necesitarás 2 reglas "catch-all", una para hacer "log" y la otra para hacer "drop" de tráfico que no haga match con la regla. Ambas reglas tiene que ser basadas en los mismos “matcher” para que te puedan ser útil. • Una vez logras ver que llega a las reglas de "catch-all", puedes añadir reglas en el firewall para que manipulen estos paquetes a tu manerja.
304
Filter Matchers • Antes de poder aplicarle "action" a un paquete el mismo tiene que ser identificado primero. • Son varios “Matchers”!
305
Filter actions • Una vez un paquete ha sido aplicado a una regla, un action le será asignado • Los firewalls de MikroTik tiene 10 “actions”. Accept Accept the packet. Packet is not passed to next firewall rule. Add-dst-to-address-list Add destination address to address list specified by address-list parameter. Packet is passed to next firewall rule. Add-src-to-address-list Add source address to address list specified by address-list parameter. Packet is passed to next firewall rule. Drop Silently drop the packet. Packet is not passed to next firewall rule. Jump Jump to the user defined chain specified by the value of jump-target parameter. Packet is passed to next firewall rule (in the user-defined chain). Log Add a message to the system log containing following data: in-interface, out-interface, src-mac, protocol, srcip:port->dst-ip:port and length of the packet. Packet is passed to next firewall rule. Passthrough Ignore this rule and go to next one (useful for statistics). Reject Drop the packet and send an ICMP reject message. Packet is not passed to next firewall rule. Return Pass control back to the chain from where the jump took place. Packet is passed to next firewall rule (in originating chain, if there was no previous match to stop packet analysis). Tarpit Capture and hold TCP connections (replies with SYN/ACK to the inbound TCP SYN packet). Packet is not passed to next firewall rule.
306
Protegiendo tu router (input) • El input mira el tráfico dirigido hacia el router. • La reglas que añadas en el input ayudan a prevenir ataques de hackers o accesos no gratos que deseen alcanzar tu router sin detener el trabajo de tu router.
307
Protegiendo tu router (ejemplo) • Lo siguiente son sugerencias! Asumamos que Ether01 está conectado al WAN (no confiable) y estamos aplicando el método de seguridad “Confia en todo lo interno".
Acepta ICMP Echo replies (Deseas hacerle ping a un servidor en el internet y quieres recibir respuesta!) Drop icmp echo requests (No deseas que otros te hagan ping. Quedarte por debajo del radar!) Acept todo lo "established" y "related" en tráfico input (Deseas que se responda a todo lo que el router pida como, como NTP and DNS) Drop all "invalid" input traffic (Todo lo que el router recibió que no haya solicitado) Log the rest of input traffic (Dejé algo importante?) Drop the rest of input traffic (Quiero estar seguro!)
308
Protegiendo tus clientes (forward) • Según mencionado, el forward chain mira el tráfico que a traviesa el router. • Las que añadas en el Forward chain debe prevenir el ataque de hackers a tu red interna sin detener el trabajo del router.
309
Protegiendo tus clientes (ejemplo) • Lo siguiente son sugerencias! Nuevamente, asumiendo que el ether01 está conectado al WAN (no confiable) y estamos utilizando el método “Confia en todo lo interno” :
Accept all "established" y "related" forward traffic (Quieres respuesta a tu red de todo lo que se solicite como HTTP, DNS, ect.) Drop all "invalid" forward traffic (Todo aquello que recibas el cual no solicitaste) Log the rest of forward traffic (Dejé algo?) Drop the rest of forward traffic (Quiero estar seguro!)
310
Como se vería..
311
Firewall filter (rule) syntax • Ver reglas o filtros existentes
/ip firewall filter print (mas claro para leer) /ip firewall filter export (todo el syntax)
• Crea varias reglas (desde /ip firewall filter)
add chain=input comment="Established-Related (in)" connectionstate=established in-interface=ether01 add chain=forward comment="Established-Related (fwd)" connectionstate=established in-interface=ether01 add action=log chain=input comment="===CATCH-ALL==" ininterface=ether01 log-prefix="CATCH-ALL(in)" add action=drop chain=input in-interface=ether01 add action=add-dst-to-address-list address-list=temp-list address-listtimeout=3d1h1m1s chain=input protocol=tcp src-address=172.16.2.0/24
312
Basic address-list
313
Basic address-list • Address lists son grupos de IPs • Se utilizan para simplificar reglas Por ejemplo, puedes crear 100 reglas para bloquear 100 IP, o!! Puedes crear un grupo con 100 IP solo crear una regla.
• Los grupos (address lists) pueden representar IT Admins con accesos especiales Hackers Cualquier otra cosa que se te ocurra…
314
Basic address-list • Puede ser utilizados en firewall filters, mangle y NAT. • La configuración de address lists puede ser automatizada utilizando los actions add-src-toaddress-list o add-dst-to-address-list en reglas de firewall, mangle o NAT. Es una manera excelente de bloquear IPs sin tener que entrarlos uno por uno Ejemplo : add action=add-src-to-address-list addresslist=BLACKLIST chain=input comment=psd ininterface=ether1-Internet psd=21,3s,3,1
315
Address list syntax • Ver address list existentes
/ip firewall address-list print
• Crear un address list permanente
/ip firewall address-list add address=1.2.3.4 list=hackers
• Crear un address list utilizando una regla
/ip firewall filter add action=add-dst-to-address-list address-list=temp-list address-list-timeout=3d1h1m1s chain=input protocol=tcp srcaddress=172.16.2.0/24 /ip firewall nat add action=add-src-to-address-list address-list=NAT-AL chain=srcnat /ip firewall mangle add action=add-dst-to-address-list address-list=DSTAL address-list-timeout=10m chain=prerouting protocol=tcp
316
Source NAT
317
NAT • Network Address Translation (NAT) permite utilizar un set de IP en el LAN y otro grupo de IPs en el lado del WAN . • Source NAT traduce direcciones IP (en el LAN) a direcciones IP públicas cuando se accede al internet. Lo mismo sucede cuando el tráfico viene del internet. A veces se le conoce como “ocultar o esconder" (tu red) detrás del IP provisto por el ISP.
318
Masquerade y src-nat action • El primer chain para NATing es "srcnat". Es utilizado para todo tráfico que sale del router. • Muy parecido a reglas de firewall, reglas de NAT tiene muchas propiedades y acciones (13 actions!). • La primera regla básica de NAT, solo utiliza el action de "masquerade. • Masquerade reemplaza el source IP en los paquetes determinado por el funcionamiento de routing.
Típicamente, el source IP de los paquete.s que van hacia el internet serán reemplazadas por el IP del WAN. Esto es requerido para el tráfico que regresa para así poder llegar al IP de donde fue originado.
319
Masquerade y src-nat action • El action de "src-nat" cambia el source IP y puerto de los paquetes a quellos asignados por el administrador de red Ejemplo
básico: 2 compañías (Alpha y Omega) se han unido y ambos utilizan el mismo direccionamiento de IP interno (ex. 172.16.0.0/16). Ellos van a utilizar un segmento totalmente distinto para unirlos. Ambos requerirán reglas src-nat y dstnat 320
Destination NAT
321
Dst-nat y redirection action • "Dst-nat" es un action utilizado con dstnat para redirigir tráfico entrante a un IP o Puerto distinto. - Ejemplo: Utilizando el ejemplo anterior de Alpha y Omega vemos que reglas dst-nat serán requeridas para convertir el IP de un lado
322
Dst-nat y redirection action • "Redirect" cambia el Puerto de destino a uno que se especifique en "to-ports" en el router Ejemplo:
Todo tráfico http (TCP, port 80) va a ser enviado al servicio de web proxy en el Puerto TCP 8080.
323
NAT Syntax • Source NAT (from /ip firewall nat)
Añadir la regla de “masquerade”
add action=masquerade chain=srcnat
Cambiar el Source IP address
add chain=srcnat src-address=192.168.0.109 action=src-nat to-addresses=10.5.8.200
• Destination NAT
Redirigir todo tráfico http (TCP, port 80) al servicio de web proxy en el router TCP 8080 add action=redirect chain=dstnat dst-port=80 protocol=tcp to-ports=8080
324
Hora del Lab!!
Fin del módulo 6
325
Laboratorio • Metas del lab Configurar
reglas básicas de Firewall Configurar un address-list Aplicar reglas de source NAT rules y ponerlas a prueba Aplicar reglas destination NAT y ponerlas a prueba
326
Laboratory : Setup
327
Laboratorio : Paso 1 • Antes de comenzar con reglas de Firewall, haremos prueba con una regla de NAT: Masquerading
Verifica en tu configuración si ya tienes una regla de NAT “masquerade”. Crea una si no la tienes pero déjala DESHABILITADA. Si ya la tienes asegúrate que esté apagada. Ejecuta WinBox y conéctate al POD de un compañero. En la sección IP FIREWALL CONNECTION, revisa las conecciones activas. Que vez? Configura la opción que permite hacer “track” de las conecciones. Verifica los resultados. HABILITA la regla de NAT Masquerade y nuevamente verifica el connection tracking
328
Laboratorio : Paso 2 • Ahora para hacerlo interesante configuremos reglas de firewall. Aplica las siguientes reglas al tráfico entrante en la interface WAN. Accept icmp echo replies Drop icmp echo requests Accept all "established" and "related" input and forward traffic Drop all "invalid" input and forward traffic Log the rest of input and forward traffic Drop the rest of input and forward traffic Add meaningful comments to all rules. Do the same for the "log" rules' prefixes.
329
Laboratorio : Paso 3 • Ahora que tienes reglas, verifica tus logs. Mira los mensajes y el formato • Viendo lo que muestra ahora, crees que hacer troubleshooting de conecciones sería mas fácil ahora?
330
Laboratorio: Paso 4 • Crea address list que represente cada POD • Utiliza el siguiente formato: Name
: Pod1 Address : of the LAN Name : Pod1 Address : of the WAN interface
• Hazlo para todo, también el tuyo
331
Laboratory : step 5 • Pods should be matched in pairs for the following tests • Close your WinBox window and reopen it, connecting to your peer pod. What's happening? • With one filter rule ONLY, allow all IP addresses from you peer pod to connect to your router with WinBox (TCP, 8291) Make sure that it's in the right spot so that it works And DON'T forget comments!
332
Laboratorio : Paso 6 • Para validar funcionamiento de Port Redirection, tenemos que hacer un pequeño cambio en los IP SERVICES de tu router. En
la sección de IP Services section, cambia el puerto de WinBox a 8111.
333
Laboratorio : Paso 7 • Cierra y abre nuevamente el WinBox sin añadir ningún character adicional. Resultados? • Entra al router con WinBox en el puerto 8111. • Crea una regla de dst-nat con redirect action al puerto 8111 en todo tráfico TCP 8291. • Cierra y abre nuevamente el WinBox sin el puerto luego del IP. Funciona? • Entra al router del POD de tu vecino. Que sucede?
334
Laboratorio : Paso 8 • Regresa la configurión del Puerto de WinBox en IP SERVICES a 8291. • Deshabilita (no borres) la regla de dstnat "redirect". • Cierra WinBox y valida que puedas entrar a tu router y el de tu vecino normalmente.
335
Laboratorio : Paso 9 • Crea una regla dst-nat rule con un redirection action al Puerto 8291 a todo tráfico TCP 1313 que entre por el Puerto de WAN. • Abre WinBox y entra a tu router utilizando Puerto 1313. • Abre WinBox y entra al router de tu vecino utilizando Puerto 1313. • Resultados?
336
Laboratorio : Paso 10 • Haz un export backup y un binary backup bajo el nombre module6-podX (x = tu POD).
337
Fin del Laboratorio 6
338
QoS
Módulo 7
339
Simple queue
340
Introducción • QoS (quality of service) es el arte de manejar recursos de ancho de banda en vez de simplemente limitar ancho de banda a ciertos nodos. • QoS puede darle prioridad a tráfico basado en métricas. Bueno para: Aplicaciones
Críticas Tráfico sensible tales como video y voz.
341
Introducción • Simple queues son eso mismo… simples… formas de limitar ancho de banda a: Upload
de clientes Download de clientes Agregación de clientes (download y upload)
342
Target • Target a quién el simple queue es aplicado • Un target DEBE ser especificado. Puede ser: Un
IP address Un subnet Una interface
• El orden de los Queue ES importante. Cada paquete tiene que atravesar cada simple queue hasta que ocurra un match.
343
Destinations • IP address a donde el tráfico dirigido o, • Interface por donde fluirá el tráfico del destino. • No es compulsorio como lo es el campo de “Target”. • Puede ser utilizado para limitar las restricciones de los queue.
344
Max-limit and limit-at • El parámetro "max-limit" es el máximo data rate que un target puede alcanzar Visto como MIR (maximum information rate) “En el mejor de los casos”
• El parámetro "limit-at" es una garantía minima de data rate para el target definido Visto como CIR (committed information rate) “En el peor de los casos”
345
Bursting • Bursting permite a usuarios obtener mayor bandwidth que lo configurado en “max-limit, pero solo por un período corto. • Util para impulsar tráfico que no utiliza ancho de banda frecuentemente. Por ejemplo, HTTP. Descarga una página mas rápido por unos segundos.
346
Bursting • Definitions. Burst-limit : Maximum data rate while burst is allowed. (mientras burst es permitido) Burst-time : Time, in seconds, over which the sampling is made. It is NOT the period during which traffic will burst. (tiempo en segs. donde es verificado para ejecutar el burst) Burst-threshold : The value that will determine if a user will be permitted to burst (define si el usario podrá hacer burst) Average-rate : An average of data transmission calculated in 1/16th parts of "burst-time". Actual-rate : Current (real) rate of data transfer.
347
Bursting • Como funciona.
Bursting es permitido mientras average-rate se quede por debajo del burst-threshold. Bursting será limitado al rate especificado por burst-limit. Average-rate es calculando 16 samples o pruebas (averaging) en los segundos de burst-time
Si burst-time es 16 segundos, entonces un sample es tomado cada segundo Si burst-time es 8 seconds, entonces un sample es tomado cada ½ segundo. Y así sucesivamente…
When bursting starts, it will be allowed for longest-burst-time seconds, which is
(burst-threshold X burst-time) / burst-limit.
348
Bursting
Con un burst-time de 16 segundos
349
Bursting
Con un burst-time de 8 segundos
350
Syntax • Un Simple Queue
add max-limit=2M/2M name=queue1 target=192.168.3.0/24
• El mismo Simple Queue pero con Burst add burst-limit=4M/4M burst-threshold=1500k/1500k burst-time=8s/8s limit-at=\ 1M/1M max-limit=2M/2M name=queue1 target=192.168.3.0/24
351
Tip • Si te fijas, los iconos de cada Queue cambian de color de acuerdo a la utilización que está teniendo cada uno. Green
: 0 – 50% del ancho de banda utilizado Yellow : 51 – 75% del ancho de banda utilizado Red : 76 – 100% del ancho de banda utilizado
352
Un Simple queue para toda la red (PCQ) 353
Porque tener un Queue para todo? • Per Connection Queue (PCQ) es una forma dinámica de darle forma al tráfico para múltipes usuarios utilizando una configuración más simple. • Define parámetros, luego cada sub-stream (Direcciones IP por ejemplo) tendrá las mismas limitaciones.
354
Configuración de Pcq-rate • El parámetro de pcq-rate limita el data rate permitido por el Queue Type. • Classifier es lo que el router verifica para ver como aplica la limitación. Puede ser un IP address o Puerto source o destino. Puedes también limitar por el tipo de tráfico (HTTP for example).
355
Configuración Pcq-limit • Este parámetro es medido en paquetes. • Un valor de pcq-limit alto Creará un buffer mayor, reduciendo la pérdidad de paquetes Aumentará la latencia
• Un valor de pcq-limit pequeño Aumentará la pérdida de paquetes (ya que buffer es mas pequeño) y forzará al source a reenviar el paquete reduciendo la latencia. Hará un cambio en el TCP Windows solicitándole al source que reduzca el rate de transmission.
356
Configuración Pcq-limit • Que valor utilizar? No hay una respuesta sencilla. Siempre comienza con "Trial & Error" por aplicación Si usuarios se quejan de latencia, reduce el valor de pcq-limit (queue length) Si los paquetes tienen que transitar a través de una configuración de firewall compleja, tal vez tengas que incrementar el queue length ya que puede crear delays Interfaces más rápidas (como Gigabit) requiere Queues mas pequeños ya que en estas se reducen los delays.
357
PCQ, ejemplo • Supongamos que tenemos usuarios compartiendo un WAN link limitado. Le vamos a asignar los siguientes data rates: Download
: 2Mbps Upload : 1Mbps
• WAN está en la interface Ether1 • El subnet del LAN es 192.168.3.0/24
358
PCQ, ejemplo /ip firewall mangle add action=mark-packet chain=forward new-packet-mark=client_upload \ out-interface=ether1 src-address=192.168.3.0/24 add action=mark-packet chain=forward dst-address=192.168.3.0/24 \ in-interface=ether1 new-packet-mark=client_download /queue type add kind=pcq name=PCQ_download pcq-classifier=dst-address pcq-rate=2M add kind=pcq name=PCQ_upload pcq-classifier=src-address pcq-rate=1M /queue tree add name=queue_upload packet-mark=client_upload parent=global queue=\ PCQ_upload add name=queue_download packet-mark=client_download parent=global queue=\ PCQ_download
359
Ejemplo explicado • Mangle : Le estamos diciendo al router que marque los paquetes con la marca "client_upload" ó "client_download", dependiendo si:
Los paquetes provienen del LAN y salen por el ether1 (upload) ó, Paquetes están entrando por el ether1 y saliendo por el LAN (download).
• Queue types : Aqui definimos los data rates y classifiers 2 sub-streams distintos (source or destination). • Queue tree : Las combinaciones son verificadas para validar si los paquetes cualifican para traffic shaping y que aplicarle. Por ejemplo, en el caso de tráfico upload, verificamos interfaces input y output (global) para paquetes con el marcado "client_upload" y le aplicamos el queue type de "PCQ_upload" queue type.
360
Monitoreo
361
Interface traffic monitor • La herramienta de traffic monitor es utilizada para ejecutar scripts cuando el tráfico de una interface alcanza un nivel específico (threshold) Ejemplo /tool traffic-monitor add interface=ether1 name=TrafficMon1 on-event=script1 threshold=1500000 \ traffic=received /system script add name=script1 policy=ftp,read,test,winbox,api source="/tool e-mail send to=\"\ [email protected]\" subject=([/system identity get name] . \" Log \ \" . [/system clock get date]) body=\"Hello World. You're going too fast!\""
362
Torch • Torch es una herramienta de monitoreo en vivo (real-time) el cual puede ser utilizada para monitorear tráfico dirigiéndose a una interface específica. • Por CLI es BIEN flexible, por WinBox es intuitive.
363
Torch, CLI [admin@Pod3] /tool> torch interface=ether2 port=winbox SRC-PORT 53217
DST-PORT 8291 (winbox)
[admin@Pod3] /tool> torch interface=ether2 port=any SRC-PORT DST-PORT PACK 53217 8291 (winbox)
TX 12.0kbps 12.0kbps
RX TX-PACKETS RX-PACKETS 4.7kbps 7 6 4.7kbps 7 6 TX
RX TX-PACKETS RX-
15.2kbps
5.1kbps
7
728bps
600bps
1
92.8kbps
5.3kbps
12
744bps
616bps
1
62414
53 (dns)
53538
80 (http)
62437
53 (dns)
53540
80 (http)
182.2kbps
8.4kbps
18
53541
80 (http)
191.1kbps
8.6kbps
19
59150
53 (dns)
760bps
632bps
1
53542
80 (http)
112.9kbps
7.0kbps
12
53543
443 (https)
34.8kbps
6.3kbps
6
53544
80 (http)
860.4kbps
20.0kbps
73
53545
80 (http)
4.5kbps
5.6kbps
4
53546
80 (http)
122.0kbps
6.3kbps
12
53547
80 (http)
122.0kbps
5.8kbps
12
65144
53 (dns)
1064bps
608bps
1
53548
80 (http)
1392bps
5.7kbps
3
1743.1kbps
87.0kbps
182
For fun, try this [admin@Pod3] /tool> torch interface=ether2 port=
364
Torch, Winbox
365
Graphs • Graphing es una herramienta utilizada para monitorear varios parámetros de RouterOS en un lapso de tiempo específico y colocar la data colectada en gráficas. • Los siguientes parámetros pueden ser colectados.
Voltage and temperature CPU, memory and disk usage Interface traffic Queue traffic
• Graphs puede ser accedido entrand a http:///graphs
366
Graphs Primeros pasos. [admin@Pod3] /tool graphing> set store-every=5min page-refresh=300 [admin@Pod3] /tool graphing> print store-every: 5min page-refresh: 300 [admin@Pod3] /tool graphing>
Luego añadimos los valores para las gráficas [admin@Pod3] /tool graphing> interface add allow-address=0.0.0.0/0 interface=all [admin@Pod3] /tool graphing> queue add allow-address=0.0.0.0/0 simple-queue=test-queue1 [admin@Pod3] /tool graphing> resource add allow-address=0.0.0.0/0
367
Graphs
368
SNMP • SNMP, Simple Network Management Protocol, es un protocol estandar utilizados para manejar equipos IP en una red. • Muchas herramientos, tanto open source como comercial, está disponibles para trabajar con SNMP y automatizar trabajos. • Como todo, la configuración debe ser planificada ya que este protocolo es propenso a ataques.
369
SNMP Primeros pasos.. [admin@Pod3] /snmp> set enabled=yes [admin@Pod3] /snmp> set contact=YOU [admin@Pod3] /snmp> set location=OFFICE [admin@Pod3] /snmp> print enabled: yes contact: YOU location: OFFICE engine-id: trap-target: trap-community: (unknown) trap-version: 1 trap-generators: [admin@Pod3] /snmp>
370
SNMP • Hay que prestarle atención a los “Communities”. • Los mismos dictan privilegios. [admin@Pod3] /snmp community> print detail Flags: * - default 0 * name="public" addresses=0.0.0.0/0 security=none read-access=yes writeaccess=no authentication-protocol=MD5 encryption-protocol=DES authenticationpassword="" encryption-password="" [admin@Pod3] /snmp community>
371
SNMP
372
Lab, lab y mas lab!!
Fin del módulo 7
373
Laboratorio • Metas del lab Configurar
y validar un simple queue Configurar y validar una configuración basada en PCQ. Poder diferenciar entre uno y el otro. Poner a prueba herramientas de monitoreo y ver como te pueden ayudar en el día a día.
374
Laboratorio : Setup
375
Laboratorio : Paso 1 • Antes de continuar, instala un MIB browser en tu computadora • Además, los PODs deben unirse en pareja ya que los pasos van a requerir que mas de 1 computadora esté conectada al router.
376
Laboratorio : Paso 2 • Valida el throughput utilizando una página de prueba de velocidad (speedtest). Anota los resultados. • Configura un simple queue (nómbralo "lab7") el cual limite todo tu LAN a 4Mbps y 2Mbps upload. • Valida nuevamente el throughput. • Solicita a un compañero que se conecte a tu router y repite la prueba de velocidad. Resultado? Sucede lo mismo si te conectas al router de tu compañero?
377
Laboratorio : Paso 3 • Añade bursting en el queue "lab7". Parámetros son : Burst
limit 4M (upload), 6M (download) Burst-threshold 3M (upload), 5M (download) Burst-time 16 para ambos Repite
las mismas pruebas anteriores y valida. • Una vez finalizado, deshabilita el simple queue.
378
Laboratorio : Paso 4 • Configura queue PCQ para que todas las computadoras en el mismo LAN tengan un límite de 4Mbps de download y 2Mbps de upload. Asegúrate ponerle nombres que que hagan sentido! • Haz una prueba de velocidad (speedtest) cualquier página en línea. Resultados? • Solicítale a tu compañero que se conecte a tu routter y haz la misma prueba. Resultado? Sucede lo mismo si te conectas al router de tu compañero?
379
Laboratorio : Paso 5 • Configura traffic monitoring de forma tal que te envíe un email cuando el tráfico inbound exceda los 3Mbps en tu interface wireless.
380
Laboratorio : Paso 6 • Utiliza la herramienta de Torch de tal manera que puedas ver el IP del source para cualquier tráfico desde cualquier IP y cualquier Puerto en la interface wireless. Experimenta con Torch en CLI y WinBox.
381
Laboratorio : Paso 8 • Habilita los Graphs en: Interface
Wireless Recursos de Hardware
• Navégalos en tu explorador
382
Laboratorio : Step 8 • Habilita SNMP, y provee la siguiente información: Tu
nombre como contacto. Tu número de Pod como “location” (Podx). Deja el resto en “default”.
• Utilizando el MIB Browser, scanea los MIBs de tu router. Puedes ver tu nombre e información? 383
Laboratorio : Paso 9 • Como siempre, haz un binary backup y export backup según efectuado en los pasados laboratorios.
384
Fin del Laboratorio 7
385
Tunnels
Módulo 8
386
Tunnels • Los Túneles son una forma de expandir tu red privada a través de una red pública tal como lo es el internet. • También son conocidos como “VPNs” (virtual private networks). • Los conceptos de seguridad son aplicados en los VPNs. Son utilizados, ya que todo tráfico es transmitido por redes públicas y no por la red privada del cliente final.
387
PPP settings
388
PPP profile • PPP profiles representan los parámetros de configuración el cual serán utlizados por los PPP clients tales como los siguientes y otros: – IP Address local y remota o pools – Compression – Encryption /ppp profile (ejemplo desde un cliente) add change-tcp-mss=yes name=Profile-external use-compression=\ yes use-encryption=yes use-vj-compression=no /ppp profile (ejemplo desde un servidor) add change-tcp-mss=yes local-address=192.168.222.1 name=Profile-external \ remote-address=192.168.222.2 use-compression=yes use-encryption=yes \ use-vj-compression=no add change-tcp-mss=no dns-server=192.168.5.1 local-address=192.168.5.1 name=\ Profile-internal remote-address=Pool-VPN use-compression=yes \ use-encryption=yes use-vj-compression=no
389
PPP secret • PPP secrets están localizados en los PPP servers y los mismos especifican los parámetros básicos requeridos para autenticar un cliente, tales como: – Name : ID del usuario – Password : Contraseña – Service : Servicio con el cual se trabajará (Si es dejado como "any", el PPP secret autenticará al usuario con cualquiera de los protocolos (PPPoE, L2TP, PPTP, etc.) – Profile : Las configuraciones pertinentes al usuario. Los parámetros de Profiles permite el ser utilizado para múltiples usuarios sin tener que entrarlos por independiente – Clientes no utilizan los PPP secrets como sus credenciales de autenticación. Los mismos son especificados en la interface PPP del cliente bajo los parámetros "user" y "password“. /ppp secret add name=Pod4-external password=pod4-123 profile=Profile-external routes=\ 192.168.4.0/24 add name=alain password=alain!! profile=Profile-internal
390
PPP status • Representa el estatus actual de la connection. Util para hacer “debug” y verificar la operación correcta de los túneles. [admin@Pod5] > /ppp active print detail Flags: R - radius 0 name="alain" service=pppoe caller-id="28:D2:44:2C:06:EE" address=192.168.5.100 uptime=3m56s encoding="MPPE128 statefull" session-id=0x81B00044 limit-bytes-in=0 limit-bytesout=0 1 name="Pod4-external" service=pppoe caller-id="D4:CA:6D:8E:1A:97" address=192.168.222.2 uptime=37s encoding="MPPE128 stateless" session-id=0x81B00045 limit-bytes-in=0 limit-bytesout=0 [admin@Pod5] > /ppp active print Flags: R - radius # NAME SERVICE CALLER-ID
ADDRESS
UPTIME
ENCODING
0
alain
pppoe
28:D2:44:2C:06:EE 192.168.5.100
4m12s
MPPE128 statefull
1
Pod4-exte... pppoe
D4:CA:6D:8E:1A:97 192.168.222.2
53s
MPPE128 stateless
391
IP pool
392
Configurando un pool • IP pools define un rango de IP addresses para los clientes. • No solo es utilizado para DHCP como vimos en el módulo anterior, sino que a su vez se utiliza para PPP y clientes Hotspots. • Util para cuando una interface va a servir múltiples clientes. IP addresses son asignados dinámicamente.
393
IP Pool ranges • IP pool ranges son listas de IP que no coinciden entre sí y que pueden ser asignadas a clientes a través de servicios DHCP, PPP, PPP y Hotspots. • Vamos a ver el ejemplo: Tienes 50 computadoras en la red de la empresa y 50 computadoras provenientes a través del VPN. /ip pool add name=Pool-PC ranges=192.168.5.50-192.168.5.99 add name=Pool-VPN ranges=192.168.5.100-192.168.5.149
394
IP Pool ranges • Necesitas añadir 50 computadoras mas en el IP Address Pool. /ip pool print # NAME 0 Pool-PC 1 Pool-VPN
RANGES 192.168.5.50-192.168.5.99 192.168.5.100-192.168.5.149
/ip pool set 0 ranges=192.168.5.50-192.168.5.99,192.168.5.150-192.168.5.199 /ip pool> print # NAME 0 Pool-PC 1 Pool-VPN
RANGES 192.168.5.50-192.168.5.99 192.168.5.150-192.168.5.199 192.168.5.100-192.168.5.149
395
Asignándolo a un servicio • Pools según mencionamos pueden ser añadidos a varios servicios como DHCP, PPP y Hotspot. • Veremos la configuración mas adelante...
396
Secure local networks
397
PPPoE • Point-to-point over Ethernet es un protocolo en Layer 2 • Es utilizado frecuentemente por ISPs para controlar accesos a sus redes. • Puede ser utilizado como método de acceso a cualquier tecnologí en Layer 2 tales como 802.11 o Ethernet.
398
PPPoE service-name • El service-name puede ser visto como un SSID de 802.11, lo que significa sería el nombre de la red que el cliente está buscando. • A diferencia de un SSID, si el cliente no especifica uno, el access concentrator (PPPoE server) enviará todo los service-names que tiene. El cliente responderá al primero que reciba.
399
Creando un PPPoE server • Un PPPoE server es el que provee en servicio de tunneling. • Permite a clientes obtener un servicio de VPN Layer 3 seguro sobre una infraestructura Layer 2. • NO PUEDES alcanzar un PPPoE server a través de routers. Debido a que es un protocolo Layer 2, el servidor solo puede ser alcanzado a través del mismo Ethernet Broadcast domain donde se encuentra los clientes.
400
Creando un PPPoE server • Antes de crear el servidor, establece los parámetros que requieres configurar (valores aparte de los default) tales como: IP pools PPP profiles PPP secrets
• Crea la interface del PPPoE server en la interface física que mira o conecta a los clientes diréctamente.
Creando un PPPoE server, ejemplo /ip pool add name=Pool-PC ranges=192.168.5.50-192.168.5.99,192.168.5.150-192.168.5.199 add name=Pool-VPN ranges=192.168.5.100-192.168.5.149 /ppp profile add change-tcp-mss=yes local-address=192.168.222.1 name=Profile-external \ remote-address=192.168.222.2 use-compression=yes use-encryption=yes \ use-vj-compression=no add change-tcp-mss=no dns-server=192.168.5.1 local-address=192.168.5.1 name=\ Profile-internal remote-address=Pool-VPN use-compression=yes use-encryption=\ yes use-vj-compression=no
402
Creando un PPPoE server, ejemplo /ppp secret add name=Pod4-external password=pod4-123 profile=Profile-external routes=\ 192.168.4.0/24 add name=alain password=alain!! profile=Profile-internal /interface pppoe-server server add authentication=mschap2 default-profile=Profile-external disabled=no \ interface=ether1 mrru=1600 service-name=PPPoE-external add authentication=mschap2 default-profile=Profile-internal disabled=no \ interface=ether5 mrru=1600 service-name=PPPoE-internal
403
Point-to-point addresses • La forma más facil de configurar addresses es es haciéndolo manualmente. • Direcciones IP de /ppp secret tienen prioridad sobre /ppp profile, y toman prioridad a su vez sobre /ip pool • Ambas direcciones local y remotas pueden ser únicas o provenientes de un pool. • Static IP addresses o DHCP en interfaces de clientes PPPoE. Deja que la infraestructura específicamente lo que se ha establecido!
404
Creando clientes PPPoE en RouterOS • Si deseas utilizar un profile distinto al default, créalo primero. Así no tienes que regresar a la configuración nuevamente. • Crea la interface del cliente que mira al ISP. • Listo! Tip : Tu router no tiene que tener configurado un cliente DHCP en la interface WAN y aún así funcionará si el PPPoE server está en la misma infraestructura Layer 2 del Puerto WAN.
405
PPPoE client en RouterOS, ejemplo /ppp profile add change-tcp-mss=yes name=Profile-external use-compression=yes \ use-encryption=yes use-vj-compression=no /interface pppoe-client add ac-name="" add-default-route=yes allow=mschap2 \ default-route-distance=1 dial-on-demand=no disabled=no \ interface=ether1 keepalive-timeout=60 max-mru=1480 max-mtu=1480 \ mrru=disabled name=Client-PPPoE password=pod4-123 profile=\ Profile-external service-name="" use-peer-dns=no user=\ Pod4-external
• Habilita la interface del client.
406
Secure remote networks communication 407
PPTP clients y servers • PPTP es un protocolo de tunel en Layer 3 y utiliza información de routing y direcciones IP para conectar al cliente con el servidor. • El PPTP se define casi de igual forma al de PPPoE, con la excepción que no se tiene que establecer una interface en específico • El cliente es definido casi de igual forma que el cliente PPPoE, con la excepción de que una dirección IP tiene que ser especificada para el server. • Tip : Debes permitir Puerto TCP 1723 en el firewall del router (el PPTP server) para que el tunel pueda levanter o conectar /interface pptp-server server set authentication=mschap2 default-profile=Profile-external enabled=yes /interface pptp-client add add-default-route=yes allow=mschap2 connect-to=192.168.0.5 \ default-route-distance=1 dial-on-demand=no disabled=no keepalive-timeout=60 \ max-mru=1450 max-mtu=1450 mrru=1600 name=Client-PPTP password=pod4-123 profile=\ Profile-external user=Pod4-external
408
SSTP clients y servers sin certificados • Definir el SSTP server es similar al de PPTP, excepto a que defines un puerto TCP a donde conectarse (default 443). • El cliente es definido de igual manera al cliente PPTP, excepto que debes especificar un puerto TCP a utilizarse (default 443). • Tip : Debes permitir el Puerto TCP 443 para que logre levantar el tunel. También, deja configurado el Puerto 443 para que funcione la seguridad de comunicación via SSL. /interface sstp-server server set authentication=mschap2 enabled=yes /interface sstp-client add add-default-route=no authentication=mschap2 certificate=none connect-to=\ 192.168.0.5:443 dial-on-demand=no disabled=no http-proxy=0.0.0.0:443 \ keepalive-timeout=60 max-mru=1500 max-mtu=1500 mrru=1600 name=Client-SSTP \ password=pod4-123 profile=Profile-external user=Pod4-external \ verify-server-address-from-certificate=no verify-server-certificate=n
409
Configura rutas entre redes • Una vez el tunel esté arriba, necesitas rutas para poder transferir paquetes ida y vuelta. • La primera forma para un solo tunel, es la ruta que fue creada automáticamente para ese tunel. /ip route print Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit # DST-ADDRESS PREF-SRC GATEWAY DISTANCE 0 ADS 0.0.0.0/0 192.168.0.254 0 1 ADC 192.168.0.0/24 192.168.0.5 ether1 0 2 ADC 192.168.5.0/24 192.168.5.1 Bridge-PC 0 3 ADC 192.168.5.101/32 192.168.5.1 0
410
Configura rutas entre redes • La segunda forma es especificando una o múltiples rutas en el PPP secret para el cliente. /ppp secret export add name=Pod4-external password=pod4-123 profile=Profile-external routes=192.168.4.0/24 add name=alain password=alain!! profile=Profile-internal /ppp secret print Flags: X - disabled # NAME ADDRESS 0 Pod4-external 1 alain
SERVICE CALLER-ID
PASSWORD
PROFILE
any any
pod4-123 alain!!
Profile-external Profile-internal
REMOTE-
/ppp secret set 0 routes=192.168.4.0/24,10.10.2.0/24 /ppp secret export add name=Pod4-external password=pod4-123 profile=Profile-external routes=192.168.4.0/24,10.10.2.0/24 add name=alain password=alain!! profile=Profile-internal
411
Configurando rutas entre redes • La tercera forma es añadiendo rutas estáticas a una o multiples redes través del tunel. • Este método es útil si ambos routers tienen su propia ruta default (ruta cero), pero implica mas mantenimiento y parámetros. /ip route add comment="TO OFFICE LOOPBACKS" distance=1 dst-address=10.10.2.0/24 gateway=192.168.254.10 add comment="TO OFFICE NETWORKS" distance=1 dst-address=172.16.8.0/21 gateway=192.168.254.10
412
Nota final VPN Protocol
Encryption
Ports
Compatible with
Notes
PPTP
MPPE with RC4 128 bit key
1723 TCP
Windows XP, Vista, 7 Mac OS X iPhone OS Android
PPTP is the most widely used VPN protocol today. It is easy to setup and can be used to bypass all Internet restrictions. PPTP is considered less secure.
SSTP
SSL with AES 2048 bit key certificate 256 bit key for encryption
443 TCP
Windows 7
SSTP uses a generic port that is never blocked by firewalls. You can use SSTP to bypass corporate or school firewalls. SSTP is considered a very secure protocol.
Quieres conocer mas? • http://wiki.mikrotik.com/wiki/Manual:Interface/PPTP • http://wiki.mikrotik.com/wiki/Manual:Interface/SSTP • http://www.highspeedvpn.net/PPTP-L2TP-SSTP-OpenVPN.aspx • http://www.squidoo.com/advantages-and-disadvantages-of-vpn-protocols • http://www.vpnonline.pl/en/protokoly-vpn-porownanie (muy bueno!) 413
Vamos para el último LAB!!
Fin del módulo 8
414
Laboratorio • Metas del lab – Crear PPP profiles y secrets – Crear y asignar IP pools a servicios – Crear PPPoE VPN entre una computadora y un router – Crear tuneles PPTP y SSTP entre los PODs – Asegurarse de enrutamiento correcto
415
Laboratorio : Configuración
416
Laboratorio : Paso 1 Estudiantes trabajarán este laboratorio en par. Estudiantes configurarán 3 PPP Profiles: – 2 para ser utilizado con el POD del vecino • Uno para el servicio de server. • Uno para el servicio del cliente.
– Uno para ser utilizado por clientes conectados.
• Estudiantes configurarán 2 PPP secrets: – Uno para permitir conectar al POD vecino – Uno para lograr conectar los clientes locales.
• Estudiantes se pondrán de acuerdo en la configuración de parámetros a utilizarse. Por motivo de tiempo, SEAMOS SIMPLES EN LA CONFIGURACION!!
417
Laboratorio : Paso 2 • Crea un IP pool para ser utilizado por los clientes que deseen conectarse a través de VPN - Tu pool estará en una red distinta a tu LAN existente. - Asigna el pool al profile a ser utilizado por tu futuro “VPN Corporativo”.
418
Laboratorio : Paso 3 • Selecciona un Puerto disponible en tu router (ether5 preferible) y remuévela de cualquier bridge o Puerto master a el cual esté asignada. No debe tener IP o DHCP configurado. • Configura un PPPoE server en ese Puerto del router. Debes utilizar el profile que usastes para los clientes VPN. Habilita solo MSChap2 como método de autenticación. Lee el material del curso referente a configuración de compression y encryption.
419
Laboratorio : Paso 4 • Configura tu computadora para conectarse al router como cliente PPPoE. • Conéctate y navega el internet! Avisos! – Verifica la interface donde configuraste el server (y el Puerto que al cual conectaste tu computadora) – Verifica las configuraciones de los profiles en el PPPoE server y PPP secret.
420
Laboratorio : Paso 5 • Conecta tu computadora nuevamente a un Puerto Ethernet normal. • Los PODs con números pares crearán un PPTP server y un SSTP client. • Los PODs impares crearán un PPTP client y un SSTP server. • Utiliza los profiles y secrets previamente creados. • SSTP no puede utilizar certificados! • Sube los túneles de VPN y verifica que sucedió.
421
Laboratorio : Paso 6 • Nada? Que se nos olvidó? – Ayuda : Una regla nueva de firewall talvez?
• Una vez los túneles ya estén arriba, verifica el estatus de conecciones activas.
422
Laboratorio : Paso 7 • Remueve las rutas estáticas de tu table de rutas. Solo debes tener una a tu POD. • Ejecuta un ping al IP Address del LAN de tu POD vecino. Funciona? Pero si el tunel está arriba, porque no funciona? (Deja el ping corriendo) • Puedes hacerle ping a la dirección IP remota del tunel? Si funciona significa no todo está mal configurado . 423
Laboratorio : Paso 8 • En el PPP secret de tu router y en el campo "Routes", añade el network y el mask de tu POD vecino. • Un vez se configure esto en ambos PODs, reinicia el tunel del cliente. • Nota el efecto que tiene en tu tabla de enrutamiento. El subnet de tus peer's han aparecido una vez tu POD vecino se logea en el VPN. Una vez ambos estén arriba, podrán hacerse Ping. • Nota también las direcciones IP en el IP address list.
424
Laboratorio : Paso 9 • Como usual, haz un binary backup y export backup utilizando el mismo format de los demás laboratorios.
425
Fin del Laboratorio 8 y el curso en su totalidad!! 426
LE DESEAMOS EXITO EN EL EXAMEN, YA QUE SUERTE LA TIENE CUALQUIER PERSONA!!
