نوشته های شاهین واثقی

جزوه میکروتیک / MIKROTIK MTCUME

شاهین واثقی — Sun, 12 Nov 2023 11:09:57 +0330

مرور مختصری بر میکروتیک - ام تی سی یو ام ای / MIKROTIK - MTCUMEبرای ارتباط از راه دور در روتر ها ۲ روش Tunneling و VPN وجود دارد . که از تانل ها برای ارتباط بین روتر ها استفاده می کنیم و از VPN ها برای ارتباط کاربران با شبکه .هنگام استفاده از تانل باید در هر دو سمت آدرس ثابت داشته باشند و بتوانند Ping یکدیگر را بگیرند.هنگام استفاده از VPN ها تنها کافی است یکی از طرفین که نقش Server را ایفا می کند آدرس ثابت داشته باشد. تنظیمات مربوط به VPN ها در منو PPP قرار دارد و تنظیمات مربوط به تانل ها در منو Interface۱.VPN : برای راه اندازی وی پی ان باید یکی از پروتکل های موجود را انتخاب و آن را تنظیم کنید اما ابتدا چند اقدام است که بین تمامی آنها مشترک است.۱.۱ IP > Pool : با استفاده از این منو باید یک ظرف آدرس برای کاربرانی که متصل میشوند ایجاد کنید.۱.۲ PPP > Profile : ایجاد یک پروفایل:Name : اسم این پروفایلLocal Address : آدرسی که روتر بر روی اینترفیس VPN خود قرار می دهد که میتواند تک آدرس باشد یا یک Pool IPRemote Address : آدرسی است که به کاربر می دهیم؛ این آدرس می تواند یک آدرس باشد یا یک Pool IPDNS Server : آدرس DNS Server برای کاربرهادر قسمت limit میتوانید بر روی ارتباطاتی که از طریق این پروفایل متصل شده اند محدودیت قرار دهید.برای ایجاد یوزرنیم و پسورد برای کاربر های VPN به منو PPP > Secret بروید و یک سکرت جدید ایجاد کنید.Name : همان Username کاربر می باشد Password : رمز کاربرService : پروتکل هایی که با رمز کاربر میتوان به آنها متصل شدCaller ID : آدرس دستگاه هایی که کاربر فقط می تواند با آن به سرور متصل شودProfile : پروفایلی که رمز کاربر به آن متصل می شود و کاربرانی که با این رمز به سرور متصل شوند از آن پروفایل آدرس دریافت می کنند.Limit Byte In / Out : محدودیت حجم برای آپلود و دانلودبرای راه اندازی VPN Server در میکروتیک در PPP > Interface پروتکل مورد نظر را فعال می کنیم.بهتر است برای امنیت الگوریتم های mschap1 و mschap2 را غیر فعال کنیم.در L2tp میتوانید IPSec را نیز فعال کنید.SSTP بین دو دستگاه میکروتیک نیازی به سرتیفیکیت ندارد اما اگر کاربر غیر میکروتیکی باشد به سرتیفیکیت نیاز دارد.کاربرانی که به VPN Server متصل شده اند را میتوانید از طریق تب Active Connection مشاهده کنید.برای راه اندازی SSTP بین دو روتر میکروتیک به Certificate احتیاجی نیست اما اگر یک طرف میکروتیک نباشد باید به روش زیر Certificate بسازید.برای ایجاد کردن Certificate به منو System > Certificate رجوع کنید و یک Certificate جدید اضافه کنید.برای انجام این کار به سه Certificate از نوع CA و Server و Client احتیاج داریم.برای ساخت CAدر تب General برای این Certificate یک اسم انتخاب کنید. دیگر گزینه ها انتخابی هستند اما باید گزینه Common Name را با آدرس روتر تنظیم کنید و Days Valid را مشخص کنید که در این مثال ما ۱۰ سال قرار دادیم.سپس در تب Key Usage باید گزینه های crl sign و key cert. Sign را فعال کنید.پس از Apply کردن باید این Certificate را Sign کنید. در سمت راست دکمه را فشار دهید در منو Sign باید Certificate خود را مشخص کنید؛ به دلیل آنکه از نوع CA هست گزینه CA را خالی میگذاریم و در CA URL Host باید آی پی آدرس روتر را وارد کنید و کلید Sign را فشار دهید.برای ساخت Certificate از نوع Server باید یک Certificate اضافه کنید .در تب General برای این Certificate یک اسم انتخاب کنید. دیگر گزینه ها انتخابی هستند اما باید گزینه ی Common Name را با آدرس روتر تنظیم کنید و Days Valid را مشخص کنید که در این مثال ما ۱۰ سال قرار دادیم.سپس در تب Key Usage گزینه هایdigital signature , key encipherment , data encipherment , key cert. sign , crl sign , tls server را فعال کنید.برای Sign کردن سرور باید CA را انتخاب کنید و آدرس را مجددا وارد کنید. در آخر در تب General گزینه Trusted را فعال کنید. برای ساخت Certificate از نوع Client در تب General برای این Certificate یک اسم انتخاب کنید. دیگر گزینه ها انتخابی هستند اما باید گزینه ی Common Name را Client و Days Valid را مشخص کنید که در این مثال ما ۱۰ سال قرار دادیم.سپس در تب Key Usage گزینه ی tls client را فعال کنید.برای Sign کردن سرور باید CA را انتخاب کنید و آدرس را مجددا وارد کنید. در آخر در تب General گزینه Trusted را فعال کنید.حالا باید از Client یک Export بگیرید و حتما برای فایل رمز بگذارید.۲ فایل برای شما ایجاد می شود:۱.Cilent.crt که فایل Certificate است .۰۲.Client.key که فایل رمز است .کاربرهایی که قصد دارند به این Server SSTP متصل شوند باید این ۲ فایل را وارد دستگاه کنند.در صورتی که کاربر شما ویندوز است باید فایل CA را به او بدهیدبرای راه اندازی OpenVPN نیاز به Certificate هایی مانند بالا دارید با این تفاوت که برای ارتباط راحت تر کاربرها میتوانید با این Certificate ها یک فایل بسازید که وارد کردن آن برای کاربر ساده تر باشد.برای اینکار باید یک نسخه نمونه فایل OpenVpn.ovpn Client را دانلود کنید و اطلاعات فایل را با اطلاعات شخصی سازی شده خودتان جایگزین کنید.برای اینکه در میکروتیک Ovpn Client بسازید کافی است Certificate نوع Client را داشته باشید.VPN هایی که در بالا مشاهده کردیم از نوع لایه ۳ هستند میکروتیک از VPN لایه ۲ نیز تحت پروتکل PPPoE پشتیبانی می کند.برای راه اندازی PPPoE سرور به منو PPP > PPPoE Server رجوع کنید و یک گزینه اد کنید :Service Name : اسم سرور Interface : پورت مورد نظری که سرویس را روی آن ارائه کنیمبرای ایجاد VPN Client در میکروتیک به Interface بروید و بر روی Add کلیک و پروتکل دلخواه را انتخاب کنید .در PPPoE Client ابتدا در General پورتی که سرویس را از آن دریافت می کنید انتخاب کنید سپس در Dial Out یوزرنیم و پسورد را انتخاب کنیددر بقیه پروتکل ها کافی است که در Dial Out آدرس سرور و یوزرنیم و پسورد را وارد کنید.توجه داشته باشید که در پروتکل L2tp ممکن است لازم باشد IPSec را نیز وارد کنید.برای راه اندازی PPPoE Client ابتدا باید در تب General پورت یا Interface ی که از طریق آن به سرور متصل هستید را انتخاب کنید.سپس در تب Dial Out در قسمت Connect To آدرس VPN Server را وارد کنید.User : در این قسمت Username را وارد میکنیدPassword : رمز را وارد کنید.Add Default Route : با انتخاب این گزینه بعد از اتصال به سرور یک Default Route به سمت سرور در جدول ایجاد می شودقسمت Allow رمزنگاری بسته های ارسال شده توسط VPN انتخاب می شود که باید گزینه های mschap1 و mschap2 را انتخاب کنید زیرا الگوریتم های Chap و Pap شکسته شده اندبرای اینکه اینترفیس سرور های VPN با هر بار قطع و وصل شدن کاربر از بین نرود و همیشه وجود داشته باشد باید از گزینه های Server Binding در Interface یا PPP استفاده کنید.برای راه اندازی VPN Client باید در تب Dial Out در قسمت Connect To آدرس VPN Server را وارد کنید.User : در این قسمت Username را وارد میکنیدPassword : رمز را وارد کنید.Dial On Demand : در صورتی که بار روی لینک نباشد کانکشن قطع می شود و در زمان استفاده دوباره متصل می شود.Add Default Route : با انتخاب این گزینه بعد از اتصال به سرور یک Default Route به سمت سرور در جدول ایجاد می شوددر PPTP و SSTP قسمت Allow رمزنگاری بسته های ارسال شده توسط VPN انتخاب می شود که باید گزینه های mschap1 و mschap2 را انتخاب کنید زیرا الگوریتم های Chap و Pap شکسته شده انددر L2tp Client در صورتی که سرور از IPSec استفاده کند با فعال کردن گزینه Use IPSec رمز را وارد کنید.برای راه اندازی تانل ها در میکروتیک ابتدا باید یک پروتکل انتخاب کنید؛‌ در Interface منو های مختلفی برای پروتکل های مختلف وجود دارد. پروتکل های موجود در میکروتیک ipip - GRE - EoIP و … هستند.برای راه اندازی تانل های مختلف ۲ مورد در تمامی آنها مشترک است؛‌ Local Address آدرس روتری است که در حال راه اندازی تانل در آن هستید و Remote Address که آدرس روتر روبرو است. توجه داشته باشید که تانل ها مانند VPN خودشان فرایند آدرس دهی را انجام نمی دهند بلکه باید خودتان بر روی Interface ها آدرس دهی انجام دهید.توجه داشته باشید که تانل های IPIP و GRE از نوع لایه ۳ هستند اما پروتکل EoIP که انحصاری میکروتیک است به صورت لایه ۲ای کار می کند.مهمترین تفاوت ipip و GRE در MTU آنها است. IPIP MTU = 1480 GRE MTU = 1476توجه داشته باشید که پروتکل IPSEC به دلیل رمزنگاری، ۵۰ واحد از MTU هر پروتکلی که به آن اضافه شود کم میکند.برای راه اندازی IPSec باید حتما گزینه Allow Fast PAth را غیرفعال کنید.برای راه اندازی EoIP باید در هر دو سمت Tunnel ID یکسان تنظیم کنید.HotSpot یکی از روش های کنترل کاربر است که بسیار رایج است.برای راه اندازی Hotspot باید به منو IP>Hotspot بروید و گزینه Hotspot Setup را فشار دهید.اولین سوال این است که Hotspot روی کدام پورت حقیقی یا مجازی تنظیم شود.سوال بعدی آدرس روتر در آن پورت است و گزینه فعال سازی Nat Masqueradeگزینه بعدی ساختن یک Pool IP است.همانطور که میندازید در هات اسپات بعد از اتصال یک صفحه وب باز می شود و از شما می خواهد که یوزر و پسورد را برای اتصال وارد کنید.سوال بعدی این است که آیا میخواهید یک Certificate برای صفحه وب اضافه کنید تا صفحه HTTPS باز شود.سوال بعدی این است که اگر ایمیل سرور در شبکه وجود دارد آدرسش را وارد کنید تا اطلاعات کاربران را برایشان ایمیل کند.سوال بعدی انتخاب یک DNS Server برای کاربران استسوال اخر انتخاب یک Domain Name برای صفحه لاگین Hotspot است.این کار باعث می شود که یک Static DNS ایجاد شود.تمامی فایل های hotspot در files دستگاه و قابل ویرایش است. در تب Server Profiles میتوانید اطلاعات بیشتری از سرور ها به دست بیاورید. با باز کردن یک گزینه با موارد زیر روبرو می شوید:Name : اسم سرورHotspot Address : آدرس سرورDNS Name : آدرس Url صفحه ورودHTML Directory : آدرسی که فایل های صفحه را از آنجا فراخانی می کندRate Limit : با این گزینه می توانید برای تمام اعضا این سرور محدودیت سرعت تعیین کنید.HTTP Proxy : با این گزینه می توانید تمام اطلاعات عبوری Hotspot را Cache کنیددر تب Hosts تمام Device هایی که به صورت لایه ۲ ای به این سرور هستند چه متصل شده باشند چه نه نمایش داده می شود.به چند روش امکان Login به Hotspot وجود دارد:۱. Mac : در صورت وجود Radius سرور و ایجاد لیست Mac Add های مورد نظر با فعال کردن این گزینه افراد لیست بدون Login کردن متصل می شوند.۲.HTTP CHAP : احراز هویت رمزنگاری شده از طریق وب۳.HTTP PAP : احراز هویت بدون رمزنگاری از طریق وب۴.Cookie : افراد Login کرده را به یک مدت زمان مشخص متصل می ماند و نیاز به ورود مجدد ندارد.۵.HTTPS : احراز هویت رمزنگاری شده از طریق وبTrial : در صورت انتخاب این گزینه افراد بدون وارد کردن یوزر و رمز در یک تایم مشخصی میتوانند متصل شوند.User Profile یک پروفایل کلی برای کاربرها است که می توانید کاربر ها را به آنها متصل کنید و کاربر ها از شرایط عام پروفایل پیروی کنند. گزینه های User Profile به شرح زیر است:Name : اسم پروفایل.Address Pool : استفاده از یک Add Pool متفاوت.Session Timeout : مدت زمان اتصال در هر ارتباط.Idle Timeout : قطع ارتباط بعد از این زمان بدون ارسال و دریافت.Keepalive Timeout : هر چند وقت یکبار ارتباط با کاربر چک شود.Status Autorefresh : هر چند مدت یکبار صفحه کاربر Refresh شود.Shared User : تعداد کاربر مجاز برای اتصال توسط یوزر های این پروفایل.Rate Limit : محدودیت پهنای باند یوزرهای این پروفایل.Add MAC Cookie : ایجاد Cookie برای مک آدرس های متصل شده توسط این پروفایلAddress List : کاربرهای متصل شده توسط این پروفایل به یک آدرس لیست اضافه شوند.Incoming Filter : بسته های ورودی کاربر های متصل شده توسط این پروفایل به فایروال ارسال شود.Outgoing Filter :بسته های خروجی کاربر های متصل شده توسط این پروفایل به فایروال ارسال شود.Incoming Packet Mark : بسته های ورودی افراد متصل شده توسط این یوزر برچسب زده شوند.Outgoing Packet Mark : بسته های ورودی افراد متصل شده توسط این یوزر برچسب زده شوند.در تب Queue میتوانید تنظیمات زیر را انجام دهید.Insert Queue Before : وضعیت قرارگیری این Queue در لیستParent Queue : ٫Parent این Queue که توسط پروفایل ساخته می شود.Queue Type : نوع Queueبرای ایجاد یوزر در هات اسپات از تب Users انجام می شود. برای ایجاد یوزر جدید گزینه های زیر موجود است :۱. Server : این یوزر در چه سروری معتبر باشد.۲.Name : همان Username۳.Password۴.Address : آدرسی که پس از احراز هویت به کاربر می دهیم۵.MAC Address : مک آدرس مجاز برای این یوزر۶. Profile : یوزر پروفایل مربوط به یوزر۷. Route : یک Route دستی که پس از اتصال به جدول مسیریابی کاربر اضافه می شود.Email : آدرس ایمیل این کاربر در SMTP Server تنظیم شده در این Hotspotدر تب Limit مدت زمان اتصال و محدودیت حجمی برای کاربر قابل تنظیم است.میتوانید کاربران موجود در Hosts را توسط کلید Make Binding به IP Binding اضافه کنید یا به طور دستی ایجاد کنید. کاربران این لیست نیاز به احراز هویت ندارند.خیلی متشکر که وقت گذاشتین و مطالعه کردین, امیدوارم براتون مفید بوده باشهبرای خوندن مطالب بیشتر و تماشای ویدئو های آموزشی/اطلاعات عمومی و دوره ها میتونین به لینک زیر مراجعه کنین .Shahin Vaseghiبا احترام, شاهین واثقی https://virgool.io/@vaseghi.it

جزوه میکروتیک / MIKROTIK MTCTCE

شاهین واثقی — Sun, 12 Nov 2023 10:53:54 +0330

مرور مختصری بر میکروتیک - ام تی سی تی سی ای / MIKROTIK - MTCTCEرای راه اندازی Bridge Nat به منو Bridge تب Nat رجوع کنیددر این قسمت می توانید Nat برای لایه ۲ یا در اصل عملیات نت کردن مک آدرس ها را انجام دهید.برای اینکه بسته های لایه ۲ به فایروال لایه ۳ بروند و چک بشوند باید در منو Bridge قسمت Setting گزینه Use IP Firewall را فعال کنید.برای مدیریت پهنای باند در میکروتیک از منو Queues استفاده می کنیم .در این بخش می توانیم دو عمل شکل دادن به ترافیک و اولویت بندی پهنای باند را انجام دهیم .MIR به معنی حداکثر پهنای باند کاربر است که در میکروتیک Max Limit نام داردCIR به معنی حداقل پهنای باند کاربر است که ضروری می باشد و در میکروتیک به آن Limit At می گویند.اولویت کاربر ها برای استفاده از پهنای باند مازاد در قسمت Priority تعیین می شود که از ۱ تا ۸ است و هرچه کمتر باشد اولویت بالاتری پیدا میکند.در قسمت Target می توانید آدرس یک کاربر یا رنج یک شبکه یا یک Interface را مشخص کنید و در قسمت Dst میتوانید این آدرس را نسبت به مقصد خاص محدود کنید.Burst یا پهنای باند تشویقی به کاربری که حد تشویقی تعیین شده را استفاده کرده است پهنای باند بیشتری می دهد.برای این کار باید برای کاربر Limit At یا حداقل پهنای باند تعیین کنید.Burst Limit حد تشویقی است که اگر کاربر رعایت کند پهنای باند بیشتری دریافت می کند. Burst Threshold پهنای باند اضافی است که به کاربر میدهیم.Burst Time مدت زمانی است که اگر پهنای باند تشویقی را رعایت کند شرط برقرار می شود.در قسمت Time میتوانید برای این Queue زمان فعال بودن را تعیین کنید.در تب Advance گزینه Packet Mark تعیین می کند که این Queue فقط روی بسته هایی با این برچسب اعمال شوند.Limit At حداقل پهنای باند کاربر است.Priority اولویت این Queue در استفاده از پهنای باند اضافی است.Queue Type نوع Queue می باشد.Parent در اصل Queue اصلی است که این Queue زیر مجموعه آن قرار میگیرد.در میکروتیک Queue Type های متنوعی وجود دارد که برای اولویت دهی به بسته ها روش های متفاوتی استفاده می کنند .pfifo به معنی Packet First In First Out است یا اولین بسته ای که وارد شود اولین بسته ای است که خارج می شود.bfifo به معنی Byte First In First Out است یا اولین بایتی که وارد شود اولین بایتی است که خارج می شود.mq-pfifo همان pfifo است با قابلیت transmit queues چندگانهPcq را در ادامه مفصل توضیح می دهیمQueue Type پیشفرض در Queue ها default-small است که از روش pfifo استفاده می کند.برای استفاده از pcq در میکروتیک اگر Rate انتخاب نکنیم از اول به طور عادلانه کل پهنای باند رو بین کاربران تقسیم میکند اگر Rate تعیین کنیم در ابتدا به مقدار Rate به کاربران میدهد و بعد که کاربران بیشتر شدند شروع به کم کردن پهنای باند می کند.برای استفاده از pcq باید در Queue نوع Queue Type را حتما pcq انتخاب کنید.برای ایجاد Queue Type جدید از نوع pcq میتوانید تنظیمات زیر را انجام دهید:Classifier : کاربران این Queue را نسبت به چی انتخاب کنیمSrc Address Mask این Queue بر اساس آدرس Src بر روی شبکه ی چند کاربره اعمال شود.Dst Address Mask این Queue بر اساس آدرس Dst بر روی شبکه ی چند کاربره اعمال شود.برای اعمال pcq یا هر نوع Queue Type دیگری بر روی Interface ها این کار را از طریق Interfaces Queues انجام می دهید.در میکروتیک برای تعیین پهنای باند پروتکل های مختلف باید از Queue Tree استفاده کنید. قبل از ایجاد پروتکل باید ترافیک ها را از طریق Mangle تفکیک کنید.میکروتیک توصیه می کند ابتدا به طور کلی ترافیک آپلود و دانلود را جدا کنید سپس ترافیک پروتکل های مورد نظرتان را تفکیک کنید .برای جدا کردن ترافیک آپلود در روتر بسته های ورودی که از Interface سمت Lan می آیند. ( مثلا فرض کنید که در روتر یک Bridge دارید که ۳ پورت روتر عضو این Bridge است و شبکه های داخلی به این ۳ پورت متصل است. پس تمام ترافیک آپلود به سمت اینترنت از این Bridge می آید. ) باید با استفاده از منگل prerouting کانکشن بسته هایی که از این Interface می آید را mark connection کنید. پس از آن با یک منگل prerouting دیگر بسته هایی که mark connection بسته های بالا را دارند mark packet کنید.ترافیک های دانلود ترافیک هایی هستند که از Interface اینترنت وارد می شوند. ( مثلا Ether 4 روتر به اینترنت متصل است و این Interface اینترنت است). اکنون باید با استفاده از منگل forward کانکشن بسته ها را mark connection کنید. حال با یک منگل forward دیگر بسته هایی که mark connection بالا را دارند را mark packet کنید .حالا با منگل های forward و تعیین شرط از طریق mark packet بسته های دانلود و آپلود پروتکل های مختلف را mark packet کنید .در Queue Tree ابتدا یک ظرف کلی به اندازه کل آپلود برای آپلود ایجاد میکنیم و یک ظرف کلی نیز به اندازه کل دانلود برای دانلود. برای اینکار mark packet های مربوط را در Queue Tree انتخاب کنید. حالا پروتکل های مختلف که mark packet کرده اید را به عنوان Child این Parent های کلی آپلود و دانلود و سرعت مورد نظرتان را انتخاب میکنید.ما در Filter Rule محدودیت هایی در ارتباطات ایجاد میکنیم. برای اینکار ابتدا در General یک سری شرط تعیین می کنیم که بنا بر آنها بسته هایی که باید شامل این فیلتر بشوند انتخاب می شوند سپس در Action اقدامی که باید برای این بسته ها اتفاق بیفتد را مشخص می کنید. قسمت های مختلف این منو به شرح زیر است:۱. Chain : در این منو ۳ گزینه وجود دارد : ۱.۱ Input : بسته هایی که مقصدشان خود روتر است ، ۱.۲ Forward : بسته هایی که از روتر عبور میکنند یعنی از یک پورت وارد می شوند و از پورت دیگری خارج می شوند۲. Src.Address : فیلد آدرس فرستنده هدر IP بسته ۳.. Dst.Address : فیلد آدرس گیرنده هد IP بسته۴.Protocol : قسمت پروتکل هدر IP بسته که پروتکل کلی بسته را به ما نشان میدهد ( مثلا TCP / ICMP / FTP و ..)۵.Src.Port فیلد پورت فرستنده در هدر لایه ۴ بسته ۶.Src.Port فیلد پورت گیرنده در هدر لایه ۴ بسته۷. Any.Port : مقدار این قسمت برای هر دو فیلد فرستنده و گیرنده چک می شود. ۸. In.Interface : پورت ورودی۹. Out.Interface : پورت خروجی ۱۰. In.Interface List : لیست پورت های ورودی 11. Out.Interface List : لیست پورت های خروجی ۱۲. PacketMark : برچسب بسته ۱۳.Connection Mark : برچسب ارتباط۱۴.Routing Mark : برچسب مسیر ۱۵.Routing Table : جدول مسیریابیباکسی که کنار شروط است برای note یا غیر از این استفاده می شوداقداماتی که روی بسته قابل انجام است به شرح زیر است :۱.accept : پذیرفتن بسته ۲.add dst to address list : اضافه کردن آدرس گیرنده بسته به یک لیست۳.add src to address list : اضافه کردن آدرس فرستنده بسته به یک لیست ۴.drop : انداختن بسته۵.بسته را در لیست ارتباطات fast track قرار دادن ۶.jump : پریدن به نقطه مشخص شده از لیست فایروال ها۷. log : اطلاعات کامل از بسته را log میکند ۸. passthrough : یکی به امار بسته اضافه میکند۹.reject : انداختن بسته و ارسال یک پیام icmp به فرستنده ۱۰.return : بازگرداندن بسته به جایی که jump شده.۱۱ .tarpit : دریافت بسته و باز نگه داشتن ارتباط TCPAction های مختلف Nat که متفاوت هستند :۱. accept : عملیات Nat را انجام نده۲.dst-nat : آدرس Dst-IP و Dst-Port بسته هایی که شامل شروط این نت هستند را با آدرس های مشخص شده تعویض کنید.۳. endpoint-independent-nat : بسته های شامل فیلتر و مپینگ independent endpoint می شوند. این حالت تنها روی بسته های udp ممکن است.۴. masquerade : آدرس Src-IP بسته های خروجی از هر اینترفیس را با آدرس تنظیم شده بر روی آن پورت تعویض کنید.۵. netmap : آدرس ها را ۱ به ۱ به یک گروه مپ می کند.۶.passthrough : یکی به آمار اضافه کن و از این رول بگذر ، برای آمار مفید است.۷. redirect : بسته های این رول را به پورت مشخص ارسال کن۸. same : بسته های یک کاربر مشخص را به یک آدرس و پورت مشخص ارسال کن۶. src-nat : آدرس Src-IP و Src-Port بسته هایی که شامل شروط این نت هستند را با آدرس و پورت مشخص شده تعویض کنید.گزینه های تب Advance به شرح زیر است:۱. Layer 7 Protocol : بعد از اینکه RegEx های لایه ۷ ای را در تب Layer 7 Protocol ایجاد کرده باشید در این قسمت میتوانید به شروط اضافه کنید.۲. Content : بسته حاوی این کلمات باشد.۳. Connection Bytes : حجم این Connection۴. Connection Rate : پهنای باند این Connection۵. Pre Connection Classifier : قابلیت PCC میکروتیک برای ادغام پهنای باند .۶. Src. MAC Address : مک آدرس فرستنده .۷. Out. Bridge Port : پورت Bridge خروجی۸. In. Bridge Port : پورت Bridge ورودی۹. TCP Flag : فلگ های بسته های Tcpگزینه های تب Extra به شرح زیر است :۱. Connection Limit : محدودیت ایجاد کانکشن نسبت به تعداد کاربر مشخص شده در سابنت۲. Src. Address Type : ماهیت Src Add مانند broadcast , multicast و …۳. Dst. Address Type : ماهیت Dst Add۴. Hotspot : نوع بسته Hotspot۵. IP Fragmentation : قطعه قطعه کردن بسته۶. Limit : تعداد بسته یا بیت عبوری در واحد زمانی مشخص شده۷. Dst. Limit : تعداد بسته های عبوری در یک واحد زمانی مشخص نسبت به یک مبدا یا مقصد مشخص۸. Time : این رول در چه بازه زمانی فعال باشد۹. PSD : Port Scan Detectدر صورتی که یک Chain جدید ایجاد کرده اید در پروسس های فایروال اجرا نمی شوند و در صورتی که بخواهید اجرا شوند با یک Chain معمولی بسته هایی که میخواهید به آن Chain جدید منتقل شوند باید Action ه jump را انجام دهید.برای تنظیم کردن DNS Server باید به منو IP > DNS رجوع کنید.در قسمت Server میتوانید سرور های DNS را ست کنید.در قسمت Dynamic Server میتوانید سرور هایی که به صورت خودکار تنظیم شده اند را مشاهده کنید.برای اینکه بتوانید از روتر میکروتیک به عنوان DNS Server دیگر دستگاه ها استفاده کنید حتما باید تیک گزینه Allow Remote Request را انتخاب کنید.در Cache شما می توانید درخواست های DNS که توسط روتر انجام شده است را ببینید.در قسمت DNS میتوانید به صورت دستی IP ها را به URL ها نسبت دهید . در اینصورت می توانید درخواست های DNS شبکه را Hijack کنید و پاسخ های مورد نظر خودتان را به آنها بدهید.در منو IP > DNS اگر گزینه Allow Remote Request را فعال کنید کاربرهای دیگر میتوانند به شما درخواست های DNS ارسال کنند.این مساله خطر DNS Cache Attack را ایجاد می کند.برای استفاده از Doh یا DNS over Https که باعث امن شدن بسته های DNS و غیرقابل شنود شدن بسته می شود باید گزینه Use Doh Server را فعال کنید و یک DoH Server مانند :https://cloudflare-dns/dns-query انتخاب کنیدبرای ایجاد Transparent DNS Cache ( یعنی ما بسته های DNS را دریافت کنیم اما به مقصد اصلی تحویل ندهیم و به یک DNS سرور دیگر تحویل دهیم ) باید یک DST-Nat ایجاد کنید که بر روی بسته های UDP 53 اعمال شود. حال می توانید این بسته ها را در Action را روش dst-nat به پورت 53 یک DNS Server دیگر ارسال کنید یا با redirect به پورت 53 روتر خودتان تحویل دهید.برای راه اندازی DHCP Server باید مراحل زیر را انجام دهید :برای این کار بر روی منو IP > DHCP Server رفته و بر روی گزینه DHCP Setup کلیک میکنید؛ به ترتیب سوالات زیر پرسیده می شود:۱. DHCP Server Interface : همانطور که پیشتر اشاره کردیم DHCP تنها میتواند در یک برودکست دامین کار کند و هر پورت روتر در برادکست دامین متفاوتی کار میکند به همین علت باید پورتی که میخواهیم سرویس ارائه آدرس را انجام دهد انتخاب کنیم.. DHCP Address Space : آدرس رنجی که قصد دارید آی پی ها را در آن توزیع کنید ( همان آدرس برودکست دامین ).۳. Gateway for DHCP Network : آدرس Default Gateway یا همان Default Route مورد نظر که به Client ارائه می شود.۴. Address to Give Out :آدرس های قابل ارائه یا همان IP Pool که ظرف آدرس های یک DHCP Server است.در این بخش می توانید تک آدرس بدهید یا با علامت - به منظور از یک آدرس تا یک آدرس انتخاب کنید یا یک رنج آدرس بدهید.۵.DNS Server : آدرس DNS Server مورد نظری که میخواهید به Client ها ارائه دهید.۶. Lease Time : مدت زمان اشغال آدرس توسط کاربر است که بعد از تمام شدن زمان تا قطع شدن کارت شبکه کاربر از شبکه همچنان آدرس را نزد کاربر نگه می دارد.در منو Leases میتوانید آدرس هایی که ارائه کرده اید را مدیریت کنید. آدرس های Dynamic را Static کنید یا آدرس های Static ایجاد کنید. در تب Network منو DHCP Server میتوانید تنظیمات مربوط به آدرس های DNS یا Gateway و DHCP Option ها را انجام دهیدبرای ایجاد DHCP Option ها به تب Option رجوع کنید و یک گزینه جدید بسازید:Name : اسم دلخواهCode : کد اپشن مورد نظری که می خواهید ارائه دهید.Value : مقداری که قصد دارید با این Option به کاربر یاد بدهید، این کار را باید به صورت Hex انجام دهید.برای اینکار سایت های زیادی وجود دارند، برای مثال Option کد ۱۲۱ به کاربر Route یاد می دهد. برای ساخت Hex این مقدار می توانید مانند تصویر زیر از سایت زیر استفاده کنید :https://www.medo64.com/2018/01/configuring-classless-static-route-option/یا عبارت dhcp option 121 generator را در گوگل سرچ کنید.روتر ها مانند تجهیزات EndPoint ما مثل گوشی ها و لپتاپ ها به صورت خودکار از DHCP Server آدرس دریافت نمی کنند و ما باید به صورت دستی این کار را انجام دهیم.برای انجام این کار در میکروتیک به منو IP > DHCP Client مراجعه کنید و بر روی Add کلیک کنید.در صفحه جدیدی که باز می شود چند گزینه داریم :۱. اینترفیس : ما میدانیم که هر پورت روتر در برودکست متفاوتی کار می کند پس با انتخاب اینترفیس برای دریافت آدرس، برودکست مورد نظر خودتان را انتخاب میکنید۲. برای دریافت سرور DNS به همراه آدرس تیک گزینه Use Peer DNS را انتخاب کنید.۳. برای دریافت سرور تنظیم ساعت به همراه آدرس تیک گزینه Use Peer NTP را انتخاب کنید.۴. ما میدانیم که برای ارتباط با سیستم های غیر هم رنج باید از Default Gateway استفاده کنیم که در روتر ها به نام Default Route می باشد؛ پس برای دریافت اینترنت این گزینه را روی Yes قرار دهید.DHCP Client در میکروتیک به طور پیشفرض ۳ Option را ارسال میکند که حاوی مک آدرس، User ID و HostName است. همانطور که میدانید بسته های DHCP به صورت Broadcast ارسال می شوند پس باید بین DHCP Server و Client یک ارتباط لایه ۲ برقرار باشد.حالا به هر دلیلی اگر بین DHCP Server و Client یک روتر قرار داشت، برای آنکه آن روتر بسته های Broadcast از نوع DHCP را عبور دهد باید بر روی آن DHCP Relay راه اندازی شود.برای این کار به منو IP > DHCP Relay رجوع کنید و یک گزینه جدید اضافه کنید :Name : یک اسم دلخواهInterface : پورتی که از طریق آن به آن شبکه ی DHCP CLient متصل هستید را انتخاب می کنید.DHCP Server : آدرس DHCP Server مورد نظری که قصد دارید Relay آن شوید.Local Address : آدرس خود روتر در شبکه DHCP Clientخیلی متشکر که وقت گذاشتین و مطالعه کردین, امیدوارم براتون مفید بوده باشهبرای خوندن مطالب بیشتر و تماشای ویدئو های آموزشی/اطلاعات عمومی و دوره ها میتونین به لینک زیر مراجعه کنین .Shahin Vaseghiبا احترام, شاهین واثقی https://virgool.io/@vaseghi.it

جزوه میکروتیک / MIKROTIK MTCSE

شاهین واثقی — Mon, 09 Oct 2023 16:44:40 +0330

مرور مختصری بر میکروتیک - ام تی سی اس ای / MIKROTIK - MTCSEبرای ایمن کردن روتر، میکروتیک مراحل زیر را پیشنهاد می کند:۱. آپدیت نگه داشتن ورژن Router Osبرای اینکار ۴ روش وجود دارد:۱.به مسیر system/packages بروید و گزینه check for updates را کلیک کنید و نسخه مورد نیاز خود را انتخاب کنید۲.مطابق با معماری پردازنده خود، پکیج Main package را دانلود کنید؛ پکیج را در فایل ها آپلود کنید و روتر را ریبوت کنید، بعد از ریبوت روتر با سیستم عامل جدید لود می شود.۳. با گزینه System Auto Upgrade در قسمت Update Package Source یک روتر را به عنوان Server انتخاب کنید. تمامی پکیج های مورد نیاز را در Server آپلود کنید. به این صورت تمامی روتر های Client از روی Server پکیج ها را میبینند.۴. میتوانید در قسمت system > Scheduler یک اسکریپت به شکل زیر برای انجام خودکار آپدیت ایجاد کنید:۱. Name : اسم Schedule۲. Start Date : تاریخ شروع Schedule۳. Start Time : ساعت شروع Schedule۴ Interval : زمان تکرار این Schedule۵. On Event : دستوری که قصد دارید اجرا کنید مانند:system/package/update/installحتما توجه داشته باشید که در صورتی که قصد دارید آپدیت را روی یک روتر سخت افزاری انجام دهید، قبل از آپدیت سیستم عامل، Firmware برد روتر را آپگرید کنیداین کار را از مسیر System/RouterBOARD میتوانید انجام دهیدتوجه کنید برای آپدیت اینترنتی حتما نیاز به DNS Server داریم.۲.مدیریت دسترسی به روتر :برای اینکار ۵ روش وجود دارد، در منو IP > Services میتوانید ۴ روش را فعال یا غیر فعال کنید، پورت واسط را تنظیم کنید و دسترسی از روش این سرویس ها را کنترل کنید.روش چهارم یا کنسول از منو System > Port قابل کنترل است .با باز کردن هر کدام می توانید شماره پورت، آدرس های مجاز برای استفاده از این سرویس و جدول مسیریابی که این سرویس مجاز است را مشاهده کنید.برای کنترل دسترسی ها از طریق پورت سریال یا Console باید به منو System>Ports رجوع کنید. میتوانید هر یک از پورت ها را باز کنید و تنظیماتی مثل Baud Rate و Data bits را کنترل کنید.در تب Remote Access میتوانید تنظیمات شخصی سازی شده تری به هر پورت بدهید.برای ایجاد یوزر، برای دسترسی کنسول باید یک گروه جدید ایجاد کنید که دسترسی local و باقی تنظیماتی که لازم دارید مانند read / write را داشته باشد سپس با آن گروه یک یوزر بسازید.گزینه های مختلف تعریف یک گروه به شرح زیر است :.1local دسترسی از طریق Console.2telnet : دسترسی از طریق telnet.3ssh : دسترسی از طریق ssh.4ftp : دسترسی به ftp روتر.5reboot : دسترسی ریست کردن روتر.6read : دسترسی خواندن تنظیمات روتر.7write : دسترسی نوشتن تنظیمات در روتر.8policy : دسترسی تنظیم یا تغییر دسترسی گروه ها9. test : دسترسی به ابزار های test مانند bandwidth test10. winbox : دسترسی از طریق winbox11. password : دسترسی تغییر پسورد12. web : دسترسی از طریق WebFig13. sniff : دسترسی به ابزار های sniff مانند wireless sniffer14. sensitive : دسترسی به اطلاعات حساس مثل کاربرهای VPN15. api : دسترسی api زدن از یک برنامه به روتر16. romon : دسترسی به روتر های بعد از این روتردر قسمت Skin میتوانید Skin مربوط به این گروه را انتخاب کنید.به طور پیش فرض در روتر میکروتیک پورت های سرویس های فعال باز است و پورت 2000 که مربوط به Bandwidth Test است.برای امنیت دستگاه باید سرویس هایی که لازم ندارید را غیر فعال کنید و پورت سرویس های فعال خصوصی‌تان را تغییر دهید.در منو Tools>BTest Server Setting میتوانید Bandwidth Test را غیر فعال کنید یا پورت آن را تغییر دهید.برای ساختن یک Skin جدید از طریق Web متصل شوید و گزینه Design Skin را انتخاب کنیددر این صفحه می توانید هر منویی که نمیخواهید کاربر آن گروه ببیند را غیر فعال کنید یا با دبل کلیک کردن روی هر گزینه میتوانید یک عبارت دیگر به جای آن بنویسید.حتی می توانید منو ها را فارسی کنید.برای کنترل اتصال کاربر از طریق مک آدرس روتر به منو Tools > Mac Server رجوع کنید.سه روش برای ارتباط با روتر از طریق مک وجود دارد:1.Mac Telnet : می توانید دسترسی Telnet از طریق مک را با MAC Telnet Server مدیریت کنید. می توانید آن را غیر فعال کنید یا دسترسی آن را فقط به یک Interface List بدهید .( برای ایجاد Interface List به منو Interface > Interface List مراجعه کنید و پس از ساختن یک لیست، پورت های دلخواه را به آن اضافه کنید )2.MAC WinBox : برای مدیریت اتصال به WinBox گزینه ی MAX WinBox Server را انتخاب کنید و مانند Mac Telnet تنظیم کنید.3.MAC Ping : در گزینه MAC Ping Server میتوانید MAC Ping را فعال یا غیر فعال کنید.برای کنترل پروتکل های Neighbor Discovery به منو IP>Neighbor رجوع کنید و گزینه Discovery Settings را انتخاب کنید.میتوانید Interface List خاصی را انتخاب کنید و باقی پورت ها را غیر فعال کنید.می توانید نسبت به VLAN محدود کنید .و می توانید انتخاب کنید کدام پروتکل های Neighbor Discovery فعال باشددر منو IP > DNS اگر گزینه Allow Remote Request را فعال کنید کاربرهای دیگر میتوانند به شما درخواست های DNS ارسال کنند.این مساله خطر DNS Cache Attack را ایجاد می کند.برای استفاده از Doh یا DNS over Https که باعث امن شدن بسته های DNS و غیرقابل شنود شدن بسته می شود باید گزینه Use Doh Server را فعال کنید و یک DoH Server مانند :https://cloudflare-dns/dns-query انتخاب کنیدبرای ایجاد Transparent DNS Cache ( یعنی ما بسته های DNS را دریافت کنیم اما به مقصد اصلی تحویل ندهیم و به یک DNS سرور دیگر تحویل دهیم ) باید یک DST-Nat ایجاد کنید که بر روی بسته های UDP 53 اعمال شود. حال می توانید این بسته ها را در Action را روش dst-nat به پورت 53 یک DNS Server دیگر ارسال کنید یا با redirect به پورت 53 روتر خودتان تحویل دهید.برای جلوگیری از Port Scan از ابزار PSD یا Port Scan Detect استفاده می کنیم .برای این کار یک منگل با Chain از نوع input با prerouting برای پروتکل tcp با شروط مورد نظرتان ایجاد کنید.حال در تب Extra گزینه PSD را فعال کنید.Weight Threshold اعتبار برای انجام عمل Port Scan است.Delay Threshold بازه زمانی برای نظارت به کاربرLow Port Weight در صورتی که در بازه زمانی پورت های زیر 1024 اسکن شوند این تعداد واحد از Weight Threshold کم می شودHigh Port Weight در صورتی که در بازه زمانی پورت های بالای 1024 اسکن شوند این تعداد واحد از Weight Threshold کم می شودهر زمان Weight Threshold تمام شود شرط این Mangle برقرار می شود.حال یک Action انتخاب میکنیم که روی گزینه add src to address list قرار میدهیم و یک لیست انتخاب می کنیم.پس از جمع آوری لیست با ایجاد یک Raw Filter می توانید بسته های پورت اسکنر را دراپ کنید بدون آنکه بار زیادی برای روتر داشته باشد .اگر در Action به جای drop، گزینه tarpit را انتخاب کنید، کانکشن ها را باز نگه میدارد و باعث هنگ کردن سیستم اتکر می شود.مرحله ی بعدی برای ایجاد امنیت در روتر میکروتیک، خاموش کردن اینترفیس های نالازم و غیر فعال کردن LCD دستگاه از منو مربوطه است. برای جلوگیری از حمله Brute Force یک منگل ایجاد کنید و در قسمت General شروط مناسب را انتخاب کنید، برای مثال برای جلوگیری از Brute Force در وی پی ان ها می توانید از Output Chain و پروتکل gre استفاده کنید یا از tcp 22 , 23 برای جلوگیری از Brute Force در ssh و telnet.سپس باید در تب Advanced بخش Content یک قسمت از بسته ای که می خواهید انتخاب کنید را وارد کنید.چرا که حمله Brute Force به طور مداوم از روتر ما پیام login failed را دریافت می کند.می توانید کلمه failed را در این قسمت قرار دهید و سپس در Action گزینه add src to address list را انتخاب کنید و آدرس حمله کننده را لیست کنید.سپس میتوانید این لیست را در Raw Filter دراپ کنید.اگر میخواهید برای مثال 3 دفعه به هر کس فرصت بدهید که رمز امتحان کنند باید از منگل 2 بار کپی بگیرید و در هر بار ذکر کنید منگل اعضا لیست از قبل چک شود و در صورتی که یک آدرس در لیست منگل سوم بود دراپ شود.برای مدیریت Log ها به منو System > Logging رجوع کنید. در منو Rules، دسته ها را داریم و در منو Action روش ذخیره سازی های مختلف این دسته بندی ها وجود دارد.میتوانید یکی از دسته ها را انتخاب کنید و مسیر ذخیره سازی آن را عوض کنید همچنین می توانید دسته جدیدی اضافه کنید یا می توانید اقدام جدیدی ایجاد کنید.برای راه اندازی Syslog Client روی میکروتیک ابتدا باید یک Actions جدید با Type = remote ایجاد کنید و سپس گروهی که میخواهید به سرور لاگ بفرستند را باز کنید و Action را با Action جدیدی که ساخته اید عوض کنید.برای آنکه لاگ ارتباطات خاصی را بگیرید ابتدا باید با یک منگل ترافیک ها را انتخاب کنید. برای مثال در تصویر زیر ما تمامی ترافیک Web یک شبکه را انتخاب کردیم و آدرس های مقصد را جمع آوری کردیم. حالا باید گزینه Log را انتخاب کنید و یک Prefix برای آن انتخاب کنید.حالا می توانید در Logging یک Rule جدید بسازید که Topics = firewall و Prefix انتخاب شده‌تان.برای فعال سازی Romon بر روی روتر ها به منو Tools > Romon رجوع کنید و گزینه Enable را فعال کنید.با اینکار با استفاده از گزینه Connect to Romon و وارد کردن آدرس و یوزر پسورد روتر Core تمامی روتر های عضو Romon را در Neighbor ببینید.برای امنیت، میکروتیک توصیه می کند Romon را غیر فعال کنید.برای راه اندازی Dude ابتدا Extra Package مربوط با نسخه سیستم عامل خود دانلود کنید و پکیج dude را در روتر نصب کنید. سپس در منو Dude>Setting گزینه Enable را فعال کنید.اکنون Dude Client مربوط به نسخه سیستم عامل روتر خود را روی یک ویندوز نصب کنید و به سرور Dude خود متصل شوید.میکروتیک چند Filter Rule برای روتر و چند Filter Rule برای کلاینت توصیه کرده است که در پایین توضیح میدهم:۱.پذیرفتن ارتباطات Established و Related :/ip firewall filter add action=accept chain=input connection-state=established,relatedارتباطات در چهار وضعیت:۱. New : ارتباطاتی که تازه شکل گرفته اند۲. Established : ارتباطاتی که پس از New انجام می شوند.۳. Related ارتباطاتی که شاخه ای از ارتباط Established هستند۴. Invalid : ارتباطاتی که منبع آن را نمی‌دانیمتوصیه میکروتیک این است که برای ارتباطات Established و Related منابع روتر را مصرف نکنیم زیرا در زمان New آنها بررسی شده اند.تنظیم connection-state در تب General منو های Firewall قرار دارد.۲. برای دسترسی به روتر یک آدرس لیست مشخص وجود داشته باشد:/ip firewall filter add action=accept chain=input src-address-list=allowed_to_routerبا تنظیم این فیلتر فقط اعضا لیست allowed_to_router ( یا هر نامی که استفاده کرده اید ) به روتر دسترسی دارند۳.پذیرفتن بسته های ICMP ( یا هر ترافیک دیگه ای که به سمت روتر لازم دارید) :/ip firewall filter add action=accept chain=input protocol=icmp۴. بستن هر نوع دیگر از ترافیک به سمت روتر :/ip firewall filter add action=drop chain=inputبرای ایجاد امنیت سمت کاربر هم چندین دستور توصیه شده است :۱./ip firewall filter add action=fasttrack-connection chain=forward comment=FastTrack connection-state=established,related۲./ip firewall filter add action=accept chain=forward connection-state=established,related۳./ip firewall filter add action=drop chain=forward connection-state=invalid log=yes log-prefix=invalid۴./ip firewall filter add action=drop chain=forward dst-address-list=not_in_internet in-interface=bridge1 log=yes log-prefix=!public_from_LAN out-interface=!bridge1۵./ip firewall filter add action=drop chain=forward connection-nat-state=!dstnat connection-state=new in-interface=ether1 log=yes log-prefix=!NAT۶./ip firewall filter add action=drop chain=forward in-interface=ether1 log=yes log-prefix=!public src-address-list=not_in_internet۷./ip firewall filter add action=drop chain=forward in-interface=bridge1 log=yes log-prefix=LAN_!LAN src-address=!192.168.88.0/24۱. بسته های ارتباطات Established و Related را در ترافیک Fast Track قرار بده .۲. بسته های ارتباطات Established و Related را بپذیر۳.بسته های ارتباط Invalid را دراپ کن و یک لاگ با Prefix ه invalid ( یا هر نامی که استفاده می کنید ) ایجاد کن.۴.بسته هایی که به سمت اینترنت به مقصد آدرس لیست not_in_internet می روند را دراپ کن. ( میتوانید یک لیست به این نام یا هر نامی برای آدرس های ناموجود در اینترنت درست کنید و این فیلتر را ایجاد کنید در پایین لیستی از آدرس های ناموجود را می نویسم)0.0.0.0/8 - 172.16.0.0/16 - 192.168.0.0/12 - 10.0.0.0/8 - 169.254.0.0/16 - 127.0.0.0/8 - 224.0.0.0/24 - 198.18.0.0/15 - 192.0.0.0/24 - 192.0.2.0/24 - 198.51.100.0/24 - 203.0.113.0/24 - 100.64.0.0/10 - 240.0.0.0/4 - 192.88.99.0/24۵.بسته هایی که وضعیت ارتباطشان New باشد ولی وضعیت نت ارتباطشان dstnat نیست را به سمت اینترنت دراپ کن.۶.بسته هایی که از سمت اینترنت با آدرس های موجود در آدرس لیست not_in_internet به سمت روتر می آیند را دراپ کن.۷.بسته هایی که با آدرس هایی به غیر از آدرس های شبکه داخلی به سمت روتر می آید را دراپ کن.حملات TCP SYN Attack با ایجاد کانکشن های زیاد و درگیر کردن منابع انجام می شود. حملات DOS Attack با ارسال بسته های بسیار زیادی مانند بسته های ICMP Request توسط یک کاربر انجام می شود و حملات DDOS Attack با ارسال بسته های زیادی توسط تعداد زیادی کاربر.جلوگیری از حملات DOS و DDOS باید با استفاده از Raw FIlter ها انجام شود تا منابع کمتری از روتر مصرف کند و آسیب کمتری برساند.برای اینکار ابتدا باید بسته های حمله کننده و آدرسی که مورد حمله قرار گرفته است را شناسایی کنید و سپس توسط یک Raw Filter دراپ کنید.برای شناسایی بسته ها باید فیلتر های زیر را ایجاد کنید:۱. بسته های ورودی به روتر را به Chain جدیدی که ایجاد شده است به نام detect-ddos ( یا هر اسمی که استفاده کرده اید.) منتقل کن./ip firewall filter add action=jump chain=input connection-state=new jump-target=detect-ddos۲.در صورتی که یک آدرس مبدا به یک آدرس مقصد در ۱ ثانیه بیشتر از ۳۲ بسته ارسال کرد شرط را برقرار کن و این بسته را برگردان به ابتدا chain مشخص شده ./ip firewall filter add action=return chain=detect-ddos dst-limit=32,32,src-and-dst-addresses/10sتنظیمات مربوط به dst-limit در تب Extra منو Filter Rule است.۳.آدرس DST بسته را برای ۱۰ دقیقه به یک آدرس لیست به نام ddos-target در یک لیست ذخیره کن./ip firewall filter add action=add-dst-to-address-list address-list=ddos-target address-list-timeout=10m chain=detect-ddos۴.آدرس SRC بسته را برای ۱۰ دقیقه به یک آدرس لیست به نام ddos-attackers اضافه کن./ip firewall filter add action=add-src-to-address-list address-list=ddos-attackers address-list-timeout=10m chain=detect-ddos۵.بسته هایی که آدرس فرستنده آنها در لیست ddos-attackers است را با Raw Filter دراپ کن:/ip firewall raw add action=drop chain=prerouting dst-address-list=ddos-target src-address-list=ddos-attackersبرای جلوگیری از حملات Syn باید بسته ها را شناسایی و با Raw Filter دراپ کنید .برای این کار فیلتر های زیر را ایجاد کنید:۱.آدرس ارتباطاتی که از نوع TCP Syn از یک آدرس بیشتر از ۲۰ ارتباط با روتر برقرار کردند را در یک آدرس لیست ذخیره کن/ip firewall filter add action=add-src-to-address-list address-list="SYN Attacker" address-list-timeout=none-dynamic chain=input connection-limit=20,32 protocol=tcp tcp-flags=syn۲.ارتباطاتی که آدرس فرستنده آنها در آدرس لیست بالا است را تارپیت کن./ip firewall filter add action=tarpit chain=input protocol=tcp src-address-list="SYN Attacker“برای امن تر کردن کلید های ssh به منو IP > SSH رجوع کنید و گزینه Strong Crypto را فعال کنید سپس گزینهRegenerate Host Key را انتخاب کنید و گزینه Yes را انتخاب کنید سپس یکبار روتر را ریبوت کنید تا کلید عوض شود.برای جلوگیری از حملات Ping باید فیلتر های زیر را ایجاد کنید :۱.ارتباطات ICMP ی که در ۱ ثانیه تا ۲ بسته ارسال می کنند را بپذیر:/ip firewall filter add action=accept chain=input limit=2,5:packet protocol=icmp۲.ارتباطاتی که از فیلتر بالا عبور کرده اند را دراپ کن./ip firewall filter add action=drop chain=input protocol=icmp۳.بسته های ICMP ی که از نوع Broadcast هستند را دراپ کن./ip firewall filter add action=drop chain=input dst-address-type=broadcast protocol=icmpبرای جلوگیری از حمله های DHCP بر روی بریج ها، گزینه ی DHCP Snooping در تنظیمات Bridge را فعال کنید و در قسمت پورت در تنظیمات آن پورتی که به DHCP Server متصل است ( اگر همان روتر DHCP Server نیست )‌ گزینه Trusted را فعال کنید.برای اینکه متوجه شویم چه کسی در شبکه DHCP Server راه اندازی کرده است در منو IP > DHCP Server به تب Alert بروید و یک Alert جدید اضافه کنید.Interface : پورتی که قصد دارید ALert بر روی آن فعال شود.Valid Server : آدرس DHCP Server صحیح شبکهبرای امن کردن WebFig توسط ‌HTTPS باید یک Certificate ایجاد کنید و آن را در IP > Services تنظیم کنید.برای ایجاد کردن Certificate به منو System > Certificate رجوع کنید و یک Certificate جدید اضافه کنید.برای انجام این کار به دو Certificate از نوع CA و Server احتیاج داریم.برای ساخت CAدر تب General برای این Certificate یک اسم انتخاب کنید. دیگر گزینه ها انتخابی هستند اما باید گزینه Common Name را با آدرس روتر تنظیم کنید و Days Valid را مشخص کنید که در این مثال ما ۱۰ سال قرار دادیم.سپس در تب Key Usage باید گزینه های crl sign و key cert. Sign را فعال کنید.پس از Apply کردن باید این Certificate را Sign کنید. در سمت راست دکمه را فشار دهید در منو Sign باید Certificate خود را مشخص کنید؛ به دلیل آنکه از نوع CA هست گزینه CA را خالی میگذاریم و در CA URL Host باید آی پی آدرس روتر را وارد کنید و کلید Sign را فشار دهید.برای ساخت Certificate از نوع Server باید یک Certificate اضافه کنید .در تب General برای این Certificate یک اسم انتخاب کنید. دیگر گزینه ها انتخابی هستند اما باید گزینه ی Common Name را با آدرس روتر تنظیم کنید و Days Valid را مشخص کنید که در این مثال ما ۱۰ سال قرار دادیم.سپس در تب Key Usage گزینه هایdigital signature , key encipherment , data encipherment , key cert. sign , crl sign , tls server را فعال کنید.برای Sign کردن سرور باید CA را انتخاب کنید و آدرس را مجددا وارد کنید. در آخر در تب General گزینه Trusted را فعال کنید. برای امن کردن ارتباطات ذخیره شده در Winbox حتما برای Winbox یک Master Password ذخیره کنید که اطلاعات مشخص نشود. Port Knocking به فرایندی میگویند که ادمین شبکه برای مجاز شدن ترافیک در روتر انجام میدهد.فرض کنید میخواهید کل ترافیک های Input را ببندید و فقط ادمین شبکه ازپشت هر سیستمی که بخواهد دسترسی داشته باشد. برای اینکار ادمین باید یک فرایندی را انجام دهد تا روتر متوجه شود این آدرس ادمین است.برای انجام این کار باید آدرس ادمین را در یک لیست با شرایط خاص ذخیره کنید. سپس با یک Rule دیگر آدرس هایی که در این لیست هستند را چک کنید و اگر شرط برقرار شد، ادمین برای مدت مشخصی دسترسی خواهد داشت.برای این کار ما از ارتباطات TCP استفاده میکنیم و ادمین قبل از گرفتن دسترسی به چند پورت متفاوت کانکشن می زند تا دسترسی برقرار شود. به مثال زیر توجه کنید:۱.آدرس فرستنده تمام ترافیک های ورودی به مقصد خود روتر با TCP 1234 را در لیست برای admin1 برای ۳۰ دقیقه ذخیره کن/ip firewall mangle add action=add-src-to-address-list address-list=admin1 address-list-timeout=\30m chain=input dst-port=1234 protocol=tcp۲.آدرس فرستنده تمام ترافیک های ورودی به مقصد خود روتر با TCP 12345 را در لیست برای admin2 برای ۳۰ دقیقه ذخیره کن/ip firewall mangle add action=add-src-to-address-list address-list=admin2 address-list-timeout=\30m chain=input dst-port=12345 protocol=tcp src-address-list=admin1۳.ترافیک های ورودی به مقصد خود روتر که آدرس فرستنده آنها در لیست admin2 است را بپذیر/ip firewall filter add action=accept chain=input dst-address-list=admin2۴. تمام ترافیک های ورودی به روتر را ببند./ip firewall filter add action=drop chain=inputخیلی متشکر که وقت گذاشتین و مطالعه کردین, امیدوارم براتون مفید بوده باشهبرای خوندن مطالب بیشتر و تماشای ویدئو های آموزشی/اطلاعات عمومی و دوره ها میتونین به لینک زیر مراجعه کنین .Shahin Vaseghiبا احترام, شاهین واثقی https://virgool.io/@vaseghi.it

جزوه میکروتیک / MIKROTIK MTCWE

شاهین واثقی — Thu, 28 Sep 2023 17:39:25 +0330

مرور مختصری بر میکروتیک - ام تی سی دبلیو ای / MIKROTIK - MTCWEMikrotik Certified Wireless Engineer در قسمت تجهیزات سخت افزاری سایت میکروتیک ۳ بخش مختص تجهیزات وایرلس است .Wireless System، که مربوط به تجهیزات بیرونی یا OutDoor می باشدWireless For Home and Office، که عموما روتر های داخلی با قابلیت وایرلس هستند60GHz Products، که تجهیزات وایرلس پهنای باند ۶۰ گیگاهرتز هستند.به تکرار سینوسی هر موج، یا به اصطلاح از هر قله به قله بعد، یا از هر دره تا دره بعد فرکانس می گویند.واحد شمارش فرکانس در ۱ ثانیه Hertz Hz است.به تعداد تکرار این سینوس در یک ثانیه، تعداد فرکانس میگویند.مثلا در تصویر روبرو فرکانس ۳۰ هرتز است چون در یک ثانیه ۳۰ دفعه سینوس تکرار شده استتجهیزات وایرلس در ۳ باند فرکانسی 2.4GHz و 5GHz و 60GHz فعالیت می کنند. لازم است بدانید هرچه فرکانس بالاتر میرود فاصله قابل پشتیبانی کم می شود و طول موج بالا می رود برای مثال باند ۶۰ گیگاهرتز تنها در مسافت ۱۰۰ متر عمل میکند.کمپانی IEEE استاندارد های بسیاری در مورد وایرلس دارند که با کد IEEE 802.11 شروع میشوند و اسامی با حروف مانند تصویر روبرو دارند.استاندارد های مختلف در سرعت ارتباط و مسافت ارتباط با هم تفاوت دارند.باند فرکانسی 2.4GHz دارای ۱۴ کانال ۲۲ مگاهرتزی است که در کشور های مختلف تعداد کانال مختلفی برای عموم قابل استفاده است . مثلا در آمریکا ۱۱ کانال، در ایران ۱۳ کانال و در ژاپن هر ۱۴ کانال قابل استفاده است .تجهیزات مختلف این کانال ها را به شکل متفاوتی نشان میدهند، مثلا مودم های خانگی با شماره ۱ تا ۱۴ نشان می دهند ولی روتر میکروتیک عدد بین کانال را در نظر میگیرد برای مثال کانال ۶ در روتر میکروتیک ۲۴۳۷ است.همانطور که مشاهده میکنید در این ۱۴ کانال که بر روی یکدیگر قرار گرفته اند ۳ کانال کاملا مجزا از هم داریم که کانال های ۱ و ۶ و ۱۱ هستند .کانال های فرکانسی در باند 5GHz با هم تداخلی ندارند و در استاندارد های مختلف، هر کانال عرض متفاوتی دارد برای مثال، در استاندارد a عرض هر کانال 20MHz، در استاندارد n عرض هر کانال 40MHz و در استاندارد ac عرض هر کانال 80MHzجدول روبرو MCS Table است که مشخصات ارتباطات رادیویی را مشخص می کند.Spatial Streams : به معنای تعداد آنتن دستگاه استModulation : به معنای روش تبدیل ۰ ۰ و ۱ ها به موج رادیویی استCoding : فریم جایگزین است. مثلا در ردیف اول Coding 1/2 به این معنی است که برای هر فریم، ۲ فریم ارسال شود که اگر یکی از بین رفت فریم دیگری به مقصد برسد.در جدول روبرو خانه های زرد مربوط به استاندارد n و خانه های آبی مربوط به استاندارد ac است.Data Rate : سرعتی که تحت شرایط مشخص شده استاندارد میتواند داشته باشد در هر عرض کانال مشخص شده است.تنظیمات وایرلس در منو WIreless قرار دارد.در قسمت WIFI Interface میتوانید لیست کارت شبکه های وایرلس دستگاه را مشاهده کنید .در تب Registration میتوانید دستگاه های متصل به کارت شبکه را مشاهده کنید.در تب General تمام تنظیمات معمولی مربوط به تمام Interface ها قرار دارد.در تب Wireless تنظیمات مربوط به کارت شبکه بی سیم قرار دارد.Status وضعیت کارت شبکه است و در قسمت Traffic میتوانید ترافیک عبوری از کارت شبکه را مشاهده کنید .در سمت راست با گزینه Advanced Mode میتوانید تمام گزینه ها را مشاهده کنید. گزینه ها به ترتیب زیر هستند :۱. Mode : وضعیتی که کارت شبکه در آن قرار دارد، مثل فرستنده و گیرنده ( Station , Access Point )۱.۱ alignment only : این وضعیت کارت شبکه را در حالتی مانند فایندر قرار می دهد که برای تنظیم پوینت تو پوینت ها استفاده می شود.۱.۲ ap bridge : کارت شبکه در وضعیت فرستنده قرار می گیرد و چندین گیرنده میتوانند به آن متصل شوند. مانند مودم های داخل منزل۱.۳ bridge : کارت شبکه در وضعیت فرستنده قرار می گیرد و تنها یک گیرنده میتواند به آن متصل شود. مانند ارتباطات P2P رادیویی۱.۴ station : وضعیت گیرنده لایه ۳ ( این کارت شبکه عضو یک Bridge نمی شود.)۱.۵ station bridge : تنها به فرستنده های میکروتیکی متصل می شود و می تواند عضو یک بریج باشد.۱.۶ station pseudobridge : گیرنده لایه ۲ با قابلیت اتصال به فرستنده غیر میکروتیکی و عضویت در بریج۱.۷ station pseudobridge clone : مانند وضعیت بالا است با این تفاوت که مک بسته ها موقع ارسال عوض نمی شوند۱.۸ پروتکل انحصاری میکروتیک برای ایجاد ارتباط Full Duplex رادیویی۲. Band : همان استاندارد های وایرلس است مانند b , g , n که در سرعت ارتباط موثر است . توجه کنید که اگر بر روی گزینه های ترکیبی قرار دهید کمترین استانداردی که تمامی گیرنده های مشترک باشند انتخاب می شود.۳. Channel Width : عرض کانال است که هرچی بزرگتر باشد پهنای باند بیشتری دارد اما نویز بیشتری هم دریافت می کند.۴. Frequency : کانال های ارتباطی مانند ۱۴ کانال 2.4GHz و کانال های باند های دیگر . ۵. SSID : اسم وای فای۶. Radio Name : اسم کارت شبکه وایرلس ۷. Scan List : محدوده فرکانسی که در آن برای یافتن فرستنده جستجو می کند.۷. Security Wireless : پروفایل های امنیتی که همان پسورد وایفای است . چه در وضعیت فرستنده باشید چه گیرنده اینجا رمز را انتخاب میکنید۸.Wireless Protocol : پروتکل وایرلس۸.۱ 802.11 : پروتکل استاندارد وایرلس که تمام تجهیزات بی سیم پشتیبانی می کنند۸.۲ nstreme : متدی برای جلوگیری از برخورد یا collision است که با پروتکل Polling انجام می شود. این پروتکل نوبت به نوبت به کاربرها اجازه ارسال می دهد۸.۳ nv2 : مانند مورد بالا، اما با روش tdma که به هر کاربر زمان مشخصی برای ارسال دیتا می دهد( توجه کنید که در صورت استفاده از nstreme یا nv2 دیگر نمیتوانید از wpa استفاده کنید و باید رمز را در تب nv2 همان کارت شبکه وارد کنید.۹. Frequency Mode : بازه فرکانسی و قدرت کارت شبکه را تعیین میکند۹.۱ regulatory-domain : بنا بر قوانین کشور ها است مثلا در ایران ۱۳ کانال باز می شود .۹.۲ superchannel : تمامی کانال ها باز است و توان رادیو در قسمت TxPower قابل تنظیم است است .۹.۳ manual - txpower : تمامی کانال ها باز است و توان رادیو در حالت دستی قرار گرفته است که میتوانید از تب Tx Power آن را تغییر دهید.۱۰ . Country : کشور ۱۱ . Installation :‌ محیط نصب مثل داخلی یا خارجی که روی توان رادیو تاثیر میگذارد.۱۲. Default Authentication : همان مک فیلتر است که اگر این تیک را بردارید فقط می توانید با دستگاه هایی که در Access List يا Connect List قرار دارند ارتباط برقرار کنید.۱۳. Default Forward : در صورتی که این تیک را بردارید دستگاه هایی که گیرنده شما هستند دیگر با یکدیگر ارتباطندارند و فقط با فرستنده ارتباط دارند.۱۴.Bridge Mode : فعال و غیر فعال کردن این گزینه تعیین میکند که کاربر میتواند Station bridge شود یا نهتب های دیگر وایرلس به شکل زیر هستند :۱. Access List : مک فیلتر برای روتری که در وضعیت فرستنده (ap) قرار دارد و گیرنده ها را محدود میکند .۲. Connect List : مک فیلتر برای روتری که در وضعیت گیرنده (station) قرار دارد و فرستنده را محدود می کند .۳. Security Profile : پروفایل های امنیتی که همان رمز وای فای ها هستند و به شکل زیر ایجاد می شوند:۳.۱ Name : اسم پروفایل ۳.۲ Mode : نوع پروفایل که روی گزینه dynamic keys قرار می دهید.۳.۳ Authentication Types : الگوریتم رمزنگاری کلید که روی WPA2 PSK قرار می دهید۳.۴ WPA2 Pre-Shared Key : رمز مورد نظرتوجه داشته باشید که در تجهیزات میکروتیک چه قصد داشته باشید بر روی یک وای فای رمز بگذارید چه بخواهید رمز یک وای فای را برای اتصال وارد کنید باید از این قسمت و به این شکل انجام دهید.برای راه اندازی nstreme dual باید ۲ کارت شبکه داشته باشید.بعد از تنظیم کارت شبکه ها از منو Wireless یک Nstreme Dual اضافه کنید و اکنون کافیست برای ارسال TX و دریافت RX یک کارت شبکه انتخاب کنید و در هر سمت مک آدرس سمت مقابل را وارد کنید .برای استفاده از ابزار Alignment باید کارت شبکه را در وضعیت alignment only قرار دهید ، سپس در سمت راست صفحه، دکمه Alignment را کلیک کنید. در سمت راست کلید Wireless Alignment Setting را بزنید.در قسمت Audio Monitor مک آدرس دستگاهی که قصد دارید پیدا کنید را وارد کنید. با این کار هرچقدر پوینت شما به نقطه روبرو نزدیکتر شود دستگاه بوق شدیدتری میزند.برای راه اندازی Repeater در میکروتیک راحت ترین روش استفاده از ابزار Setup Repeater است . برای انجام این کار روی دکمه کلیک کنید، در گزینه SSID نام وای فای مورد نظر که میخواهید ریپیتر آن شوید را وارد می کنید و در قسمت Passphrase رمز وای فای را.با انجام این کار، کارت شبکه ای که انتخاب کرده اید در وضعیت Station Bridge قرار میگیرد و به وای فای متصل میشود، یک Security Profile با این رمز میسازد؛ سپس یک کارت شبکه مجازی وایرلس یا یک Virtual AP میسازد آن را در وضعیت ap bridge قرار میدهد و با همان نام و رمز تنظیم میکند.در آخر یک Bridge میسازد و کارت شبکه اصلی وایرلس را به همراه کارت شبکه مجازی جدید عضو آن بریج می کند.ابزار بعدی Scannet است که برای ما ۲ کار انجام میدهد.۱. هنگامی که کارت شبکه در وضعیت station قرار دارد و قصد دارد به یک AP متصل شود شما یا باید اطلاعات کامل آن AP مانند SSID ، فرکانس و … را دستی وارد کنید یا با استفاده از Scan لیست AP های اطراف را مشاهده کنید، یک گزینه را انتخاب کنید و بر گزینه Connect کلیک کنید. در صورتی که از قبل Security Profile درستی ایجاد و روی کارت شبکه تنظیم کرده باشید متصل می شوید.۲.با این ابزار لیست کامل تمام AP های اطراف را به دست می آوریدتوجه داشته باشید که استفاده از ابزار های WIreless باعث می شود کارت شبکه مشغول شود و ارتباطات قطع شوند در صورتی که تیک Background Scan را انتخاب کنید این کار در پشت صحنه انجام می شود و ارتباطات قطع نمی شوند.با استفاده از ابزار Frequency Usage می توانید لیست کانال های مورد استفاده و شلوغی هر کانال را مشاهده کنید با استفاده از Sniffer می توانید بسته های محیط را دریافت کنید و با استفاده از کلید Sniffed Packets بسته ها را مشاهده کنید یا با استفاده از Save بسته ها را ذخیره کنید و در برنامه ای مثل Wireshark بسته ها را باز کنید٫ با ابزار Snooper اطلاعات بیشتر و دقیق تری از AP های اطراف و Station هایشان به ما نشان می دهد. فشردن کلید wps در AP به کاربری که قصد اتصال دارد کمک می کند تا بدون وارد کردن رمز به AP متصل شوند.میکروتیک هم میتواند به عنوان WPS Server عمل کند هم WPS Client.با استفاده از دستور# interface > wireless > spectral-history wlan(که به جای # باید شماره کارت شبکه مورد نظرتان را قرار دهید.)پس از وارد کردن دستور، یک نمای گرافیکی از وضعیت کانال های مختلف مشاهده می کنید .توجه داشته باشید که این ویژگی روی دستگاه هایی با کارت شبکه ac قابل انجام نمی باشد.در تب Advanced میکروتیک ۲ قسمت خیلی مهم وجود دارد:۱.Max Station Count : نهایت تعداد ارتباط که میتوانند به این کارت شبکه متصل شود۲.Distance : این گزینه در میکروتیک مفهوم Ack-timeout را بررسی میکند.در صورتی که از Ap در محیط داخلی استفاده می کنید حتما این گزینه را روی Indoor قرار دهید. این کار باعث می شود تداخل موجی که در محیط های داخلی دارید بر طرف شود.برای لینک های Point-to-Point خارجی میتوانید اگر فاصله دقیق را دارید وارد کنید یا روی گزینه Dynamic قرار دهید تا خودش محاسبه کند.برای Troubleshooting در بحث WIreless تب Registration در منو wireless اطلاعات زیادی به ما می دهد.۱. Radio Name : اسم Radio Name دستگاه مقابل۲. Mac Address : مک آدرس دستگاه روبرو۳.Interface : پورت وایرلسی که از طریق آن به دستگاه متصل هستید.۴.Uptime : مدت زمان اتصال به دستگاه روبرو۵.Distance : فاصله شما با دستگاه روبرو که در ادامه بیشتر توضیح می دهیم.۶.RouterOS Version : ورژن RouterOS دستگاه روبرو۷.Last IP : آخرین آدرس دستگاه روبرو۸.AP : نشان دهن این است که آیا دستگاه روبرو در نقش AP است یا Station۹.WDS : نشان دهنده این است که آیا ارتباط عضو یک WDS است یا خیردر تب Signal گزینه Last Activity نشان دهنده آخرین اتصال است.Tx/Rx Signal Strength : نشان دهنده قدرت سیگنال است.Tx/Rx Signal Strength ch0 : نشان دهنده قدرت سیگنال chain اول کارت شبکهTx/Rx Signal Strength ch1 : نشان دهنده قدرت سیگنال chain دوم کارت شبکهTx/Rx Signal Strength ch2 : نشان دهنده قدرت سیگنال chain سوم کارت شبکهTx/Rx Signal Strength ch3 : نشان دهنده قدرت سیگنال chain چهارم کارت شبکهSignal To Noise : نسبت سیگنال به نویزTx/Rx CCQ : Client Connection Quality یا کیفیت ارتباط کاربر که توصیه می شود عددی بالای ۷۵٪‌باشدP Throughput : پهنای باند واقعی لینکدر تب Statistics اطلاعات بیشتری از پهنای باند و بسته های ارسال شده توسط لینک میبینیدTx Rate : توان پهنای باند برای ارسالRx Rate : توان پهنای باند برای دریافتتوجه داشته باشید که برای دیدن توان صحیح باید بر روی لینک بار باشد.Tx/Rx Frames : بسته هایی که به درستی ارسال شدند و به مقصد رسیدندTx/Rx Frames Hw. Frames : بسته هایی که ارسال شده اندData Rates در منو Wireless نشان دهنده انتقال اطلاعات مجاز برای کاربر است .Basic Rate نشان دهنده حداقل نرخ انتقال داده ها برای کاربر است که در صورت وجود مشکل، کاربر با این نرخ دیتا دریافت می کند.Supported Rates : نهایت نرخ مجاز انتقال داده برای کاربرتعداد تلاش مجدد برای بالا بردن نرخ اطلاعات در تب Advance در منو Wireless توسط Hw. Retries مشخص می شود.اگر پس از زمان مشخص شده در DIsconnect Timeout نرخ کاربر درست نشود ارتباط کاربر را قطع می کند.نرخ انتقال استاندارد N در تب HT/MSC مشخص می شودبرای ایجاد یک کارت شبکه مجازی به منو Wireless رجوع کنید و یک Virtual AP اضافه کنید.تنظیماتی شبیه به تنظیمات کارت شبکه دارد با یک تفاوت که Master Interface است که منظور کارت شبکه اصلی است که این کارت شبکه مجازی بر روی آن ساخته شده است.یکی از رایج ترین استفاده ها از کارت شبکه مجازی ساخت Repeater است که شما با کارت شبکه اصلی وای فای دریافت می کنید و کارت شبکه اصلی و کارت شبکه مجازی که Station شده است را در یک بریچ قرار می دهید با این کار کارت شبکه مجازی هر چیزی که کارت شبکه اصلی دریافت کند را ارسال می کند و برعکس .برای ایجاد یک وای فای دارای وی پی ان نیز می توانید Interface وی پی ان را با WLan در یک بریج قرار دهید.برای استفاده از Access-List در تنظیمات کارت شبکه تب General گزینه Default Authenticate را غیر فعال کنید.برای اضافه کردن کاربران در Access-List به دو روش می توانید عمل کنید.۱.از تب Registration بر روی یکی از گزینه ها کلیک راست کنید و گزینه Copy to Access List را انتخاب کنید.توجه کنید در صورتی که قبل از ایجاد Access List گزینه Default Authenticate را غیر فعال کنید هیچکس نمیتواند به شما به عنوان Access Point متصل شود یا شما به کسی به عنوان Station متصل شوید.در صورتی که شما در Access List یکی از گزینه هارو انتخاب کنید و گزینه Authentication را غیرفعال کنید و Default Authentication فعال باشد به این معناست که این کاربر نمی تواند متصل شود ولی باقی می توانند متصل شوند.با گزینه Forwarding می توانید ارتباط بین اعضا Access List را کنترل کنید.در قسمت AP / Client Tx Limit میتوانید سرعت آپلود و دانلود همان کاربر را محدود کنید.در قسمت Private Pre Shared Key میتوانید برای یک مک آدرس خاص یک رمز دیگر برای اتصال انتخاب کنید.WDS یک روش برای برای اتصال دو فرستنده وایرلس است. به طور نرمال همیشه یک دستگاه فرستنده است و یک یا چندین دستگاه فرستنده؛ در متود WDS دو دستگاه با وضعیت Access Point به هم متصل میشوند و پوشش دهی وایرلس بزرگتری میسازند.در اکثر ریپیتر های موجود در بازار از روش WDS برای افزایش محدوده استفاده می شود.برای استفاده از متود WDS در ۹۵٪ تجهیزات باید فرستنده و گیرنده از یک برند باشند و حتی گاهی باید از یک مدل دقیق باشند. البته تجهیزات محدودی وجود دارند که به برند های دیگر متصل می شوند.برای راه اندازی WDS در تجهیزات میکروتیک یک طرف حتما باید در وضعیت ap bridge قرار داشته باشد و دیگر تجهیزات یا در وضعیت ap bridge و یا wds slave.Wds slave یک وضعیت فرستنده است.در صورتی که قصد دارید در تمامی تجهیزات، وضعیت را ap bridge قرار دهید، کانال های تمامی ap ها حتما باید یکسان باشند و در صورت تغییر دادن یکی باید تمامی آنها را به صورت دستی تغییر دهید .در صورتی که یکی از کارت شبکه ها ap bridge باشد و باقی دستگاه ها wds slave، در صورت تغییر باند ap bridge تمامی wds slave ها تغییر می کنند.توجه داشته باشید که در صورتی که یکی از ap ها را ap bridge و باقی را wds slave قرار دهیم در صورت قطع شدن ap bridge تمامی ارتباط قطع می شوند اما در وضعیتی که همه ap bridge باشند در صورت قطع شدن هر کدام از اعضا، باقی ap ها به کار خود ادامه می دهند.وضعیت station wds گیرنده لایه ۲ ای WDS است.برای راه اندازی WDS در میکروتیک به تب WDS در منو Wireless رجوع کنید. Mode های مختلف WDS به شرح زیر است :برای استفاده از وضعیت های Dynamic و Static نیاز به ساختن یک Bridge دارید.زمانی که در مود Static یا Dynamic یک WDS بسازید و تنظیمات تب WDS را انجام دهید، باید کارت شبکه اصلی وایرلس را در همان بریج WDS قرار دهید.برای اینکه از اضافه شدن خودکار WDS جلوگیری کنید باید از وضعیت Static استفاده کنید .برای استفاده از Static WDS میتوانید یکی از گزینه هایی که خودکار ایجاد شدند را باز کنید و گزینه Copy را انتخاب کنید یا به صورت دستی یک WDS اضافه کنید.برای استفاده از حالت static و Dynamic mesh کافی است به جای Bridge یک مش بسازید.خیلی متشکر که وقت گذاشتین و مطالعه کردین, امیدوارم براتون مفید بوده باشهبرای خوندن مطالب بیشتر و تماشای ویدئو های آموزشی/اطلاعات عمومی و دوره ها میتونین به لینک زیر مراجعه کنین .Shahin Vaseghiبا احترام, شاهین واثقی https://virgool.io/@vaseghi.it

جزوه میکروتیک / MIKROTIK MTCRE

شاهین واثقی — Tue, 26 Sep 2023 00:35:35 +0330

مرور مختصری بر میکروتیک - ام تی سی ار ای / MIKROTIK - MTCREMikrotik Certified Routing Engineer همانطور که میدانید روتر به تعداد پورت هایش برودکست دامین دارد یعنی هر پورت آن در برادکست دامین یا رنج متفاوتی است پس نمیتوان به دو پورت در روتر آدرس همرنج داد؛‌ این قابلیت در روتر ها به ما توانایی مسیریابی را می دهد یعنی شبکه های مختلفی که به صورت لایه ۲ از هم مجزا هستند ( برای مثال به سوییچ های متفاوتی متصل اند یا در ٰVlan های مختلفی هستند ) با استفاده از روتر به صورت مدیریت شده به هم متصل می شوند .در روتر Forwarding method یا روشی که برای ارسال بسته ها تصمیم گیری می کند بر اساس Routing Table است . Routing Table به ۲ روش خودکار و دستی به اشکال مختلفی تکمیل می شود . برای مثال تنظیم یک آدرس بر روی هر کدام از پورت ها، باعث ایجاد یک Connected Route در جدول می شود و یا تنظیم یک DHCP Client میتواند بنا بر تنظیم شما باعث ایجاد یک Connected Route و یک Default Route شود . از طرفی پروتکل های مسیریابی نیز می توانند مسیر هایی را به جدول اضافه کنند. در آخر مسیر های دستی است که ادمین وارد می کند .یکی از مهمترین وظایف لایه ۳ و تجهیزات لایه ۳ مثل روتر، مسیریابی یا Routing است . به طور کلی ۳ نوع مسیر در روتر وجود دارد :۱. Connected Route : مسیرهای متصل، مسیر هایی هستند که خود روتر بر روی یکی از پورت هایش یک آدرس از آن رنج دارد، برای مثال اگر آدرس Ether 2 روتر ما 172.16.1.1/24 باشد در جدول مسیریابی روتر ما، یک مسیر به شکل زیر وجود دارد .۲. Static Route : مسیری که ادمین به صورت دستی اضافه کرده است.۳. Default Route : یک نوع مسیر که نقش Default Gateway را در روتر بازی می کند.۴. Dynamic Route : انواع مسیری که به صورت خودکار در جدول ایجاد میشود مانند Connected Route ها یا مسیرهایی که پروتکل های مسیریابی ایجاد می کنند.در جداول مسیریابی Flag ها نوع مسیر و روش ایجاد شدن این مسیر را به ما نشان میدهند . لیستی از Flag های جدول مسیریابی که مورد استفاده در میکروتیک است در زیر درج شده است :1- disable (X) : مسیر غیرفعال، این مسیر روی مسیرهای دیگر تاثیری ندارد.2- active (A) : مسیری که برای مسیریابی استفاده می شود3- dynamic (D) : مسیرهایی که توسط برنامه ها و پروتکل ها ایجاد می شوند و قابل ویرایش نیستند.4- connect (C) : مسیرهای متصل، مسیرهایی که جهت کل رنج یک آدرس تنظیم شده بر روی یک پورت میباشد.5- static (S): مسیرهایی که به صورت دستی توسط ادمین ایجاد شده اند6- rip (r) : مسیر هایی که پروتکل rip ایجاد کرده است.7- bgp (b) : مسیر هایی که پروتکل bgp ایجاد کرده است.8- ospf (o) : مسیر هایی که پروتکل ospf ایجاد کرده است.9- mme (m) : مسیر هایی که پروتکل mme ایجاد کرده است.10- blackhole (B) : بسته های ارسال شده توسط این مسیر بی صدا از بین می روند.11- unreachable (U) : بسته های ارسال شده توسط این مسیر از بین می روند و به فرستنده یک پیام ICMP Host Unreachable ارسال می شود12 - porhabit (P) : بسته های ارسال شده توسط این مسیر از بین می روند و برای فرستنده یک پیام ICMP communication administratively prohibited ارسال می شودهر بسته ای که به دست روتر می رسد به ترتیب بر اساس ترتیبی که روتر ایجاد میکند جدول مسیریابی را طی میکند تا با یکی از مسیرها منطبق شود و ارسال انجام شود.انتخاب ترتیب و بهترین مسیر توسط جدول روتینگ بر اساس ۲ شرط انجام می شود.۱.Longest Prefix : از نظر روتر، ترتیب بررسی مسیر ها بر اساس Subnet mask شبکه های مقصد یا Prefix آنها انجام می شود . هرچه سابنت بزرگتر باشد، روتر این مسیر را زودتر بررسی میکند. یعنی برای مثال، مسیر 192.168.1.0/30 زودتراز مسیر 192.168.2.0/24 برسی می شود چون Prefix بزرگتری دارد.۲. Distance : فاصله اولویت بندی بین دو مسیر برای یک مقصد است؛‌ Distance مقداری بین ۰ تا ۲۵۵ است . تمامی مسیر های Connected دارای فاصله ۰ هستند، Distance در مسیر های دستی بین ۱ تا ۲۵۵ می باشد. مسیرهایی که توسط پروتکل های مسیریابی ایجاد شوند همگی دارای Distance یکسان می باشند.برای ایجاد static route باید موارد زیر را تنظیم کنید:Dst.Address : آدرس سیستم یا شبکه مقصدGateway : آدرس روتری که از طریق آن می توانیم به شبکه مقصد دسترسی پیدا کنیم که آدرس پورت متصل به ما در روتر بعدی یا Next Hop استCheck Gateway : با فعال کردن این گزینه و قرار دادن آن روی حالت Ping روتر به صورت مداوم Ping آدرس Gateway این مسیر را میگیرد و در صورت عدم دریافت جواب، این مسیر را غیر فعال می کند.Distance : فاصله یا اولویت بین مسیر هایی که برای مقصد های یکسان استRouting Table : جدول مسیریابی این مسیرPref. Source : برای فعال کردن این گزینه، باید یکی از آدرس های روتر را در اینجا بنویسید تا آدرس فرستنده این بسته ها یا همان Src.IPبسته هایی که با این مسیر ارسال می شوند با این آدرس عوض شود . ( چیزی شبیه به NAT ) دو مفهوم دیگر در مسیرهای میکروتیک Scope و Target Scope هستند . هر نوع مسیر در میکروتیک Scope خاص خود را دارد که در لیست روبرو مشاهده میکنید .Scope ها به طور مستقیم برای ما موثر نیستند بلکه Target Scope است که برای ما مهم است.Target Scope مسیرهایی هستند که روتر برای پیدا کردن Gateway یک مسیر برسی می کند . ما از این کار برای نوشتن مسیر با Gateway از شبکه هایی که به ما متصل نیست استفاده می کنیم.با استفاده از Routing Mark میتوانیم تعیین کنیم چه افرادی از این مسیر استفاده کنند . برای استفاده از این قابلیت باید ابتدا بسته ها از طریق IP > Firewall < Mangle برچسب گذاری بشن و بعد از طریق این گزینه این برچسب ها خوانده شود.برچسب گذاری که توسط Mangle صورت میگیرد در Chain prerouting انجام می شود.در Packet Flow میکروتیک در باکس Routing اولین مرحله فرایند prerouting می باشد.برای استفاده از قابلیت Route Mark ابتدا باید یک جدول مسیریابی یا Routing Table تشکیل دهید تا بسته های برچسب دار مسیرهای متفاوتی در جدول های متفاوتی از جدول اصلی داشته باشندبرای این کار به منو Routing > Tables بروید. برای ایجاد منو جدید کافی است یک اسم انتخاب کنید و گزینه FIB را تیک بزنید.برای برچسب زدن به بسته ها به منو IP > Firewall > Mangle رجوع کنید .یک Mangle با Chain : prerouting ایجاد کنید . می توانید بسته هایی که مایل هستید از این جدول استفاده کنند را به روش های مختلفی انتخاب کنید .۱.Src. Address : توسط آدرس مبدا، مانند وقتی که قصد دارید به افرادی خاص یا یک سرور اینترنت خاص بدهید.۲.Dst. Address : توسط آدرس مقصد،‌ مانند وقتی که میخواهید تمامی ترافیک یک آدرس خاص از یک پورت اختصاصی ارسال شود.۳.Src. Address List : آدرس مبدا عضو یک آدرس لیست خاص باشد. مانند وقتی که قصد دارید به گروهی از آدرس ها یک آینترنت خاص بدهید۴.Dst. Address List : آدرس مقصد عضو یک آدرس لیست خاص باشد. مانند وقتی که قصد دارید تمامی ترافیک هایی که به سمت سرورها می روند از مسیر خاصی استفاده کنند.۵.Protocol : پروتکل محتویات بسته ۶.Src.Port فیلد پورت فرستنده در هدر لایه ۴ بسته ۷.Dst.Port فیلد پورت گیرنده در هدر لایه ۴ بسته۸. Any.Port : مقدار این قسمت برای هر دو فیلد فرستنده و گیرنده چک می شود.۹. In.Interface : پورت ورودی۱۰. Out.Interface : پورت خروجی ۱۱. In.Interface List : لیست پورت های ورودی۱۲. Out.Interface List : لیست پورت های خروجی ۱۳. PacketMark : برچسب بسته ۱۴.Connection Mark : برچسب ارتباط۱۵.Routing Mark : برچسب مسیر ۱۶.Routing Table : جدول مسیریابیدر بخش Mangle، در قسمت Action، گزینه mark routing را انتخاب کنید و جدول مورد نظرتان را انتخاب کنید.حالا می توانید Route ها را در جدول های مختلف ایجاد کنید و بسته ها برای مقاصد مشابه مسیر های متفاوتی داشته باشند.برای استفاده از Point-to-Point Addressing کافی است به روش زیر عمل کنید:آدرس روتر اول را در Address وارد کنید و Prefix /32 بدهید. به عنوان Network آدرس روتر مقابل را وارد کنید ؛ اینکار باعث می شود که Gateway آین آدرس تعیین شود.و دقیقا در روتر روبرو برعکس اینکار را انجام دهید . با انجام این کار تعداد بسیار کمتری آدرس استفاده می کنید .برای ارتباط از راه دور در روتر ها ۲ روش Tunneling و VPN وجود دارد. از تانل ها برای ارتباط بین روتر ها استفاده می کنیم و از VPN ها برای ارتباط کاربران با شبکه .هنگام استفاده از تانل، روتر ها باید در هر دو سمت آدرس ثابت داشته باشند و قادر باشند Ping یکدیگر را بگیرند.هنگام استفاده از VPN ها تنها کافی است یکی از طرفین که نقش Server را ایفا می کند آدرس ثابت داشته باشد . تنظیمات مربوط به VPN ها در منو PPP قرار دارد و تنظیمات مربوط به تانل ها در منو Interface۱.VPN : برای راه اندازی وی پی ان باید یکی از پروتکل های موجود را انتخاب و آن را تنظیم کنید اما ابتدا چند اقدام است که بین تمامی آنها مشترک است .۱.۱ IP > Pool : با استفاده از این منو باید یک ظرف آدرس برای کاربرانی که متصل میشوند ایجاد کنید . Profile : ایجاد یک پروفایل: " />۱.۲ PPP > Profile : ایجاد یک پروفایل: ۱.۲ PPP > Profile : ایجاد یک پروفایل:Name : اسم این پروفایلLocal Address : آدرسی که روتر بر روی اینترفیس VPN خود قرار می دهد که میتواند تک آدرس باشد یا یک Pool IPRemote Address : آدرسی است که به کاربر می دهیم؛ این آدرس می تواند یک آدرس باشد یا یک Pool IPDNS Server : آدرس DNS Server برای کاربرهادر تب Protocol گزینه Use Encryption را فعال کنید.در قسمت limit میتوانید بر روی ارتباطاتی که از طریق این پروفایل متصل شده اند محدودیت قرار دهید :Only One : در آن واحد، تنها یک کاربر از طریق این پروفایل می تواند متصل شودSession Timeout : بعد از مدت زمان مشخص از وصل شدن قطع شودIdle Timeout : بعد از یک مدت مشخص که ارسال و دریافت نداشت قطع شودRate Limit : محدودیت حجمی که به صورت آپلود / دانلود مشخص می شود برای مثل«10G/5G : 10G Download / 5G Upload»برای ایجاد یوزرنیم و پسورد برای کاربر های VPN به منو PPP > Secret مراجعه کنید و یک سکرت جدید ایجاد کنید .Name : همان Username کاربر می باشد Password : رمز کاربرService : پروتکل هایی که با رمز کاربر میتوان به آنها متصل شدCaller ID : آدرس دستگاه هایی که کاربر فقط می تواند با آن به سرور متصل شود. در کانکشن های PPPoE میتوانید در این قسمت مک آدرس وارد کنید.Profile : پروفایلی که رمز کاربر به آن متصل می شود و کاربرانی که با این رمز به سرور متصل شوند از آن پروفایل آدرس دریافت می کنند .Limit Byte In / Out : محدودیت حجم برای آپلود و دانلودتوجه کنید آدرس هایی که در Secret وارد می شوند نسبت به آدرس های Profile اولویت دارنددر قسمت Routes میتوانید یک روت به محض اتصال این یوزر در جدول مسیریابی ایجاد کنیدبرای راه اندازی VPN Server در میکروتیک در PPP > Interface پروتکل مورد نظر را فعال می کنیم .بهتر است برای امنیت، الگوریتم های pap و chap را غیر فعال کنیم .در L2tp میتوانید IPSec را نیز فعال کنید.SSTP بین دو دستگاه میکروتیک نیازی به سرتیفیکیت ندارد اما اگر کاربر غیر میکروتیکی باشد به سرتیفیکیت نیاز دارد.کاربرانی که به VPN Server متصل شده اند را میتوانید از طریق تب Active Connection مشاهده کنید .VPN هایی که در بالا مشاهده کردیم از نوع لایه ۳ ای هستند میکروتیک از VPN لایه ۲ ای نیز تحت پروتکل PPPoE پشتیبانی می کند.برای راه اندازی PPPoE سرور به منو PPP > PPPoE Server بروید و یک گزینه اد کنید :Service Name : اسم سرور Interface : پورت مورد نظری که سرویس را روی آن ارائه کنیمبرای ایجاد VPN Client در میکروتیک به Interface بروید و بر روی Add کلیک و پروتکل دلخواه را انتخاب کنید .در PPPoE Client ابتدا در General پورتی که سرویس را از آن دریافت می کنید انتخاب کنید سپس در Dial Out یوزرنیم و پسورد را انتخاب کنیددر بقیه پروتکل ها کافی است که در Dial Out آدرس سرور و یوزرنیم و پسورد را وارد کنید .توجه داشته باشید که در پروتکل L2tp ممکن است لازم باشد IPSec را نیز وارد کنید.برای راه اندازی PPPoE Client ابتدا باید در تب General پورت یا Interface ی که از طریق آن به سرور متصل هستید را انتخاب کنید.سپس در تب Dial Out در قسمت Connect To آدرس VPN Server را وارد کنید .User : در این قسمت Username را وارد میکنیدPassword : رمز را وارد کنید.Add Default Route : با انتخاب این گزینه بعد از اتصال به سرور یک Default Route به سمت سرور در جدول ایجاد می شودقسمت Allow رمزنگاری بسته های ارسال شده توسط VPN انتخاب می شود که باید گزینه های mschap1 و mschap2 را انتخاب کنید زیرا الگوریتم های Chap و Pap شکسته شده اندبرای اینکه اینترفیس سرور های VPN با هر بار قطع و وصل شدن کاربر از بین نرود و همیشه وجود داشته باشد باید از گزینه های Server Binding در Interface یا PPP استفاده کنید.برای راه اندازی VPN Client باید در تب Dial Out در قسمت Connect To آدرس VPN Server را وارد کنید .User : در این قسمت Username را وارد میکنیدPassword : رمز را وارد کنید.Add Default Route : با انتخاب این گزینه بعد از اتصال به سرور یک Default Route به سمت سرور در جدول ایجاد می شوددر PPTP و SSTP قسمت Allow رمزنگاری بسته های ارسال شده توسط VPN انتخاب می شود که باید گزینه های mschap1 و mschap2 را انتخاب کنید زیرا الگوریتم های Chap و Pap شکسته شده انددر L2tp Client در صورتی که سرور از IPSec استفاده کند با فعال کردن گزینه Use IPSec رمز را وارد کنید.برای راه اندازی تانل ها در میکروتیک ابتدا باید یک پروتکل انتخاب کنید؛‌ در Interface منو های مختلفی برای پروتکل های مختلف وجود دارد. پروتکل های موجود در میکروتیک ipip - GRE - EoIP و … هستند.برای راه اندازی تانل های مختلف ۲ مورد در تمامی آنها مشترک است؛‌ Local Address آدرس روتری است که در حال راه اندازی تانل در آن هستید و Remote Address که آدرس روتر روبرو است . توجه داشته باشید که تانل ها مانند VPN خودشان فرایند آدرس دهی را انجام نمی دهند بلکه باید خودتان بر روی Interface ها آدرس دهی انجام دهید .توجه داشته باشید که تانل های IPIP و GRE از نوع لایه ۳ هستند اما پروتکل EoIP که انحصاری میکروتیک است به صورت لایه ۲ای کار می کند.مهمترین تفاوت ipip و GRE در MTU آنها است. IPIP MTU = 1480 GRE MTU = 1476توجه داشته باشید که پروتکل IPSEC به دلیل رمزنگاری، ۵۰ واحد از MTU هر پروتکلی که به آن اضافه شود کم میکند.برای راه اندازی IPSec باید حتما گزینه Allow Fast PAth را غیرفعال کنید.برای راه اندازی EoIP باید در هر دو سمت Tunnel ID یکسان تنظیم کنید.در فرایند VLaning، در لایه ۲ پورت ها در ۲ وضعیت قرار دارند۱.Access : یک پورت را عضو یک VLAN می کند ولی تغییری در بسته ایجاد نمیکند. تنها تغییرات در جداول مک آدرس ایجاد می شوند۲.Trunk : این پورت می تواند ترافیک چند VLAN را همزمان جابجا کند که این کار را از طریق برچسب زدن به بسته ها انجام می دهد .به بسته ها برچسب Dot1Q زده میشود و هر پورتی که قرار است این بسته ها را دریافت کند باید تنظیمات برچسب هایی مشابه با سمت مقابل داشته باشد .VLAN ها با شماره ای بین ۱ تا ۴۰۹۴ مشخص می شوند و مهمترین قسمت برچسب Dot1Q همین شماره است .پورت های میکروتیک در وضعیت Trunk قرار دارند،‌ برای اینکه یک VLAN را بر روی یک پورت تنظیم کنیم، در منو Interface VLAN یک گزینه اضافه کنید .مهمترین قسمت این پنجره ۱.VLAN ID : شماره VLAN یا همان شماره برچسب Dot1q است. ۲.Interface : اینترفیسی که کابل ترانک به آن متصل است یا به هر صورت دیگری بسته های VLAN را دریافت می کندبرای اینکه یکی از پورت های میکروتیک را تبدیل به Access یکی از VLAN هایی بکنیم که از پورت دیگری دریافت کرده اید باید Interface آن VLAN را با آن پورتی که میخواهید Access کنید در یک Bridge قرار دهید.پروتکل های مسیریابی به دو روش تقسیم بندی می شوند، روش اول، از نظر داخلی یا خارجی بودن یا EGP و IGP. روش دوم، تقسیم بندی از نظر انتخاب بهترین مسیر است که Distance Vector نام دارد و یا پروتکل هایی که بر اساس تعداد روتر در مسیر یا Hop Count بهترین مسیر را انتخاب میکنند و یا Link state یا پروتکل هایی که بر اساس پایداری لینک بهترین مسیر را انتخاب میکنند و در آخر Hybrid ها که ترکیبی از اینها میباشد.روش کار پروتکل های مسیریابی به اینصورت است که هر روتر Connected Route های خودش را برای باقی روتر های داخل شبکه پروتکل منتشر می کند و وقتی که همگی این کار را کردند تمامی روتر ها مسیرها را به سمت روتر های دیگر یاد میگیرند.در پروتکل های مسیریابی Distance Vector هر روتر جدول مسیریابی خودش را هر ۳۰ ثانیه منتشر می کند که بار زیادی ایجاد می شود اما در پروتکل های Link State جداول فقط در زمان تغییر منتشر می شوند.IGP ها در شبکه های Lan اجرا می شوند و EGP ها در شبکه های Wan.یکی از پروتکل های دسته IGP که از نوع Distance Vector است Rip نام دارد که دو ورژن دارد.ورژن ۱ به صورت Classfull کار می کند یعنی برای هر شبکه Subnet Mask بر اساس کلاس های IP هستند پس از شبکه 192.168.1.0/16 نمی شود استفاده کرد.ورژن ۲ به صورت Classless کار می کند و هر شبکه ای که مدنظرتون باشد قابل استفاده است.در شبکه ی RIP نهایتا ۱۶ عدد روتر می شود استفاده کرد.خیلی متشکر که وقت گذاشتین و مطالعه کردین, امیدوارم براتون مفید بوده باشهبرای خوندن مطالب بیشتر و تماشای ویدئو های آموزشی/اطلاعات عمومی و دوره ها میتونین به لینک زیر مراجعه کنین .Shahin Vaseghiبا احترام, شاهین واثقی

جزوه میکروتیک / MIKROTIK MTCNA

شاهین واثقی — Sat, 23 Sep 2023 16:38:19 +0330

مرور مختصری بر میکروتیک - ام تی سی ان ای / MIKROTIK - MTCNA میکروتیک در سال 1996 در کشور لیتوانی تشکیل شده است.میکروتیک اولین محصول خود که یک سیستم عامل مبتنی بر لینوکس بود را تحت عنوان RouterOS در سال 1997 منتشر کرد.پس از آن در سال 2002 اولین محصول سخت افزاری خود را با نام RouterBoard معرفی کرد.محصولات میکروتیک در وب سایت MikroTik.com قابل مشاهده هستند.دوره ابتدایی میکروتیک که MTCNA نام دارد حدود 50 درصد از کار با RouterOS را به شما آموزش میدهد. و پس از آن دوره های تخصصی زیادی دارد:دوره MTCRE که مربوط به مباحث مسیریابی می باشددوره MTCWE که مباحث مربوط به تنظیمات ارتباطات بی سیم استدوره MTCTCE که مباحث مربوط به ترافیک کنترل می باشددوره MTCUME که مباحث مربوط به مدیریت یوزر ها می باشددوره MTCIPv6E که مباحث مربوط به تنظیمات IPv6 استدوره MTCSE که مباحث مربوط به امنیت می باشدشاید بتوان گفت که مهم ترین دلیل موفقیت RouterOS میکروتیک همه کاره بودن آن است.میکروتیک قادر است که به عنوان روتر صنعتی، روتر خانگی، اکسس پوینت، وایرلس و استیشن فعالیت کند.روتر میکروتیک همچنین قابلیت وی پی ان سرور شدن و وی پی ان کلاینت شدن را نیز داراست.روتر میکروتیک قادر است اقدامات فایروالی نیز هم به انجام برساند.همچنین می توانید از روتر میکروتیک برای مدیریت پهنای باند خود استفاده کنید.میکروتیک دارای کتاب مرجع رسمی نمی باشد اما در عوض در وب سایت خود داکیومنت های کاملی داردHelp.mikrotik.com Wiki.mikrotik.com MikroTik.com/downloadبخش نرم افزار وب سایت میکروتیک ورژن های مختلفی از RouterOS را به همراه دیگر نرم افزار های جانبی مانند WinBox دارد.MikroTik.com/downloadدر بخش سخت افزار سایت میکروتیک تجهیزات سخت افزاری در دسته بندی های بسیاری وجود دارند .روتر اترنت/Ethernet router :روتر هایی که فقط از کابل اترنت و فیبر نوری پشتیبانی میکنند و دارای کارت شبکه بی سیم نمی باشند.سوئیچ ها/Switches تجهیزات وایرلس بیرونی / Wireless Systemsمودم ها و روتر های خانگی و اداری به همراه کارت شبکه وایرلس/ Wireless Home And Officeتجهیزاتی که درگاه ورودی سیم کارت دارند/LTE/5G Productتجهیزات شبکه مربوط به هوشمند سازی/IoT Productتجهیزات وایرلس با کارت شبکه 60 گیگاهرتز/60GHz Productو ...برای نصب سیستم عامل میکروتیک روی مجازی ساز ها میتوانید نسخه رسمی سیستم عامل را از وب سایت رسمی میکروتیک بخش نرم افزار ها با گزینه ای که در روبرو مشخص شده است مطابق با معماری پردازنده X86 دانلود کنید.این نسخه دارای لایسنس لول 0 است و محدودیت های بسیاری دارد.از طرفی می توانید نسخه کرک شده مخصوص VMWare را در قالب OVA با لایسنس لول 6 دانلود کنید.زیرا سیستم عامل میکروتیک دارای تنظیمات پیش فرضی از شرکت است و از آنجا که ما در ماشین های مجازی از سیستم عامل کرک شده استفاده می کنیم و این سیستم عامل علاوه بر تنظیمات پیشفرض شرکت، تنظیمات وب سایتی که از آن دانلود کرده اید را نیز دارد پس حتما باید در اولین ارتباط سیستم عامل را "ریست بدون تنظیمات پیش فرض" کنید. برای این کار باید یکی از سه روش زیر را انجام دهید:1 - میتوانید این کار را از طریق WinBox در مسیر system/reset configuration با زدن تیک No Default انجام دهید2- از طریق cli با زدن دستور زیر[admin@Mik] > system/reset-configuration no-defaults=yes3- .1از طریق صفحه وب مسیر webfig/system/reset configurationبعد از این کار بهتر است یک نام مشخص برای روتر خود تنظیم کنید . توجه کنید که این اسم، نام خود دستگاه است مانند Computer Name در ویندوز و لینوکس و …برای انجام این کار سه روش زیر مقدور است:1- این کار را از طریق WinBox در مسیر system/identity با زدن تیک No Default میتوانید انجام دهید2- .1از طریق cli با زدن دستور زیر[admin@Mik] > system/identity/set name=Mikrotik3- .1از طریق صفحه وب مسیر webfig/system/identityبرای مشاهده تنظیمات پیش فرض میتوانید دستور زیر را در خط فرمان وارد کنید:system/default-configuration printپکیج های اضافی میکروتیک که شامل لیست روبرو می باشند به صورت پیشفرض بر روی روتر نصب نمی باشند و شما باید پکیج اضافی را دقیقا مطابق با نسخه سیستم عامل خود دانلود کنید و از طریق آپلود کردن داخل فایل و ریبوت کردن روتر آن را نصب کنید .برای ارتباط با دستگاه های میکروتیک سه روش وجود دارد :1- از طریق ارتباط کابلی با روتر و نرم افزار Winbox2- از طریق ارتباط کابلی با روتر و صفحه وب3- از طریق ارتباط کابلی با روتر و telnet یا sshبرای ارتباط با روتر قبل از ریست کردن دستگاه میتوانید از آدرس پیشفرض 192.168.88.1 استفاده کنید. نام کاربری admin بدون پسورد است .در راهنمای زیر روش استفاده و ورود به Winbox شرح داده شده است:1- آدرس ای پی یا مک آدرس دیوایسی که میخواهیم به آن متصل بشیم2- یوزرنیم 3. رمز عبور 4. دکمه ذخیره اطلاعات 5. آدرس های ذخیره شده6. همسایه های لایه ۲ ای که با آنها در یک برودکست دامین هستید . این کار طریق پروتکل MNDP که بر روی پورت UDP 5678 کار می کند انجام می شود.توجه کنید که در تنظیمات پیش فرض روتر های خانگی میکروتیک این پروتکل روی پورت ۱ روتر خاموش است و باید برای پیدا کردن روتر کابل را به پورت ۲ متصل کنید.همچنین این پروتکل در تنظیمات پیش فرض اکسس پوینت های میکروتیک روی پورت های Ethernet غیر فعال است و باید برای پیدا کردن روتر از طریق پورت های وایرلس متصل شوید.یک سری توضیح کلی راجع به منوهای Winbox :Quick Set : تنظیمات سریع برای کسانی که با روتر آشنایی ندارند . به هیچ عنوان از این گزینه استفاده نکنیدCAPsMAN : روش کنترل یکپارچه اکسس پوینت های میکروتیکInterfaces : لیست تمامی اینترفیس های فیزیکی و مجازی روتر مانند Vlan ، EoIP Tunnel و …Wireless : لیست اینترفیس های بی سیم و تنظیمات مربوط به آنهاWireGuard : لیست اینترفیس های وی پی ان وایرگارد و تنظیمات مربوط به آنهاBridge : لیست اینترفیس های بریج ، تنظیمات بریج ها و تنظیمات مربوط به پورت های بریج هاPPP : تنظیمات مربوط به وی پی ان هاSwitch : تنظیمات مربوط به عملکرد سوئیچینگMesh : تنظیمات مش وایرلسIP : تمامی تنظیمات مربوط به IPv4 مانند آدرس ها ، مسیریابی ، فایروال و ….IPv6 : تمامی تنظیمات مربوط به IPv6 مانند آدرس ها ، مسیریابی ، فایروال و ….MPLS : تنظیمات مربوط به اتصالات MPLS در روترRouting : تمامی تنظیمات مربوط به جداول مسیریابی ، پروتکل های مسیریابی و …System : تمامی تنظیمات مربوط به خود سیستم عامل مانند ساعت ، نام ، ریست کردن و ….Queues : تنظیمات مربوط به کنترل پهنای باند یا همان QOSFiles : محتویات هارد درایو سیستم عاملLog : تمامی لاگ های سیستم عاملRADIUS : تنظیمات مربوط به اتصال به AAA Server هاNew Terminal : صفحه ترمینال یا خط فرمان جدیدDot1X : تنظیمات مربوط به اتصال به سرور Dot1Xکلید Safe Mode در ‌Winbox : در مواقعی که ما به صورت از راه دور به یک روتر متصل هستیم و امکان قطع شدن اتصال وجود دارد و در صورت قطع اتصال، دسترسی به روتر غیرممکن می شود با فشردن این دکمه در صورتی که اتصال شما قطع شود روتر بین یک تا پنج صبر می کند و سپس تمامی تنظیمات به قبل از فشردن دکمه باز می گردد.در Winbox کلید + برای اضافه کردن است. کلید - برای پاک کردن، کلید تیک برای فعال کردن و ضربدر برای غیر فعال کردن است .برای دیدن پسورد ها در قسمت Setting نوار بالا تیک Hide Password را بردارید. برداشتن این تیک رمز عبور کاربر های خود سیستم عامل را نشان نمی دهد .دستوراتی که در ترمینال میکروتیک وارد میکنیم دقیقا همان مسیر دکمه های Winbox گرافیکی است .در مسیر IP/Neighbor تمامی همسایه هایی که روتر با آنها اتصال لایه 2 دارد را به همراه پورت واصل را در تصویر بالا مشاهده میکنید .در قسمت IP/Services تمامی روش های اتصال به سیستم عامل و پورت های مربوط به آنها را مشاهده می کنید .توجه کنید که گزینه های فعال، از روتر به اینترنت پورت های باز ایجاد می کنند که خطر حمله به روتر را افزایش می دهد ؛ پس حتما گزینه هایی که نیاز ندارید را غیر فعال کنید و پورت گزینه های مورد نیاز را تغییر بدهید که در اینترنت به سادگی قابل تشخیض نباشند .اطلاعات نوار بالایی Webfig :1.یوزری که با آن وارد شدید 2. ادرسی که با آن وارد شدید 3. روتر شناسایی / Identity Router4. نرم افزاری که با آن متصل شدید 5. نسخه سیستم عاملی که به آن متصل شدید6. معماری پردازندهبرای ایجاد یوزر جدید یا مدیریت یوزر ها به منو System Users مراجعه کنید.برای ایجاد یوزر جدید روی Add کلیک کنید و سپس اطلاعات زیر را وارد کنید:۱. نام یوزر۲. گروه دسترسی۳. آدرس های مجاز برای این یوزربرای تعویض پسورد یوزر های میتوانید روی یوزر کلیک راست کنید و گزینه Password را انتخاب کنید یا یوزر را باز کنید و در سمت راست بر روی کلید Password کلیک کنیددر قسمت گروه ها میتوانید گروه های مختلف با سطح دسترسی دلخواه خود اضافه کنید.برای مثال اگر فقط تیک Winbox را بزنید اعضا این گروه از طریق روش های دیگر مثل Webfig یا ssh نمیتوانند به روتر متصل شوند.برای به روزرسانی سیستم عامل میتوانید از دو روش استفاده کنید:.1به مسیر system/packages بروید گزینه check for updates رو بزنید و نسخه مورد نیاز خود انتخاب کنید.2مطابق با معماری پردازنده خود پکیج Main package را دانلود کنید ؛ پکیج را در فایل ها آپلود کنید و روتر را ریبوت کنید بعد از ریبوت روتر با سیستم عامل جدید لود می شودحتما توجه داشته باشید که در صورتی که میخواهید آپدیت را روی یک روتر سخت افزاری انجام دهید قبل از آپدیت سیستم عامل، Firmware برد روتر را آپگرید کنیداین کار را از مسیر System/RouterBOARD میتوانید انجام دهیدتوجه کنید برای آپدیت اینترنتی حتما نیاز به DNS Server داریم.همونطور که در تصویر روبرو میبینید ، سه روتر به یکدیگر متصل اند و به روتر ۳ یک سوئیچ متصل است .پس در تصویر روبرو چهار برودکست دامین متفاوت داریم . برای اتصال این شبکه ها به یکدیگر باید به پورت های روتر در رنج های متفاوت ای پی بدهیم .برای مثال می توانیم به شکل روبرو ای پی بدهیم . برای آدرس دادن ‌( IPv4 ) به پورت های میکروتیک باید به قسمت IP/Address بروی, در اینجا لیست آدرس های روتر را مشاهده میکنید .در قسمت Address باید IPv4 مورد نظرتان را وارد کنید . حتما توجه کنید که در انتهای آی پی Subnet Mask را به شکل Prefix مانند 24/ وارد کنید وگرنه آی پی بدون رنج و 30/ در نظر گرفته می شود .روتر میکروتیک قابلیت این را دارد که بر روی یک اینترفیس چندین آدرس تنظیم شده داشته باشد.در منو روبرو کلید Enable / Disable برای فعال و غیر فعال کردن این آدرس؛ Comment برای نوشتن توضیح برای این آدرس ؛ Copy برای ایجاد یک صفحه جدید و Remove برای حذف آدرس استفاده می شودروتر ها مانند تجهیزات EndPoint ما مثل گوشی ها و لپتاپ ها به صورت خودکار از DHCP Server آدرس دریافت نمی کنند و ما باید به صورت دستی این کار را انجام دهیم .برای انجام این کار در میکروتیک به منو IP > DHCP Client بروید و بر روی Add کلیک کنید.در صفحه جدیدی که باز می شود چند گزینه داریم :۱. اینترفیس : ما میدانیم که هر پورت روتر در برودکست متفاوتی کار می کند پس با انتخاب اینترفیس برای دریافت آدرس، برودکست مورد نظر خودتان را انتخاب میکنید۲. برای دریافت سرور DNS به همراه آدرس تیک گزینه Use Peer DNS را انتخاب کنید.۳. برای دریافت سرور تنظیم ساعت به همراه آدرس تیک گزینه Use Peer NTP را انتخاب کنید.۴. ما میدانیم که برای ارتباط با سیستم های غیر هم رنج باید از Default Gateway استفاده کنیم که در روتر ها به نام Default Route می باشد ؛ پس برای دریافت اینترنت این گزینه را روی Yes قرار دهید.۲. برای دریافت سرور DNS به همراه آدرس تیک گزینه Use Peer DNS را انتخاب کنید.۳. برای دریافت سرور تنظیم ساعت به همراه آدرس تیک گزینه Use Peer NTP را انتخاب کنید.۴. ما میدانیم که برای ارتباط با سیستم های غیر هم رنج باید از Default Gateway استفاده کنیم که در روتر ها به نام Default Route می باشد ؛ پس برای دریافت اینترنت این گزینه را روی Yes قرار دهید.۱. در قسمت Dst.Address مقدار 0.0.0.0/0 را وارد می کنیم که معنای "همه به غیر از شبکه های شناخته شده" برای روتر است.۲. آدرس گیت وی Gateway : آدرس Default Gateway مورد نظر .برای دیدن همسایه های لایه ۲ ای روتر به منو IP > Neighbur مراجعه کنید.توجه کنید که در این پنجره فقط دستگاه های لایه ۲ ای مثل سوییچ ها و لایه ۳ ای مثل روتر ها نمایش داده میشود.برای اینکه متوجه شوید از کدام پورت روتر به چه دستگاهی متصل هستید میتوانید از این پنجره استفاده کنید .برای تنظیم کردن DNS Server باید به منو IP > DNS بروید .در قسمت Server میتوانید سرور های DNS را ست کنید .در قسمت Dynamic Server میتوانید سرور هایی که به صورت خودکار تنظیم شده اند را مشاهده کنید.برای اینکه بتوانید از روتر میکروتیک به عنوان DNS Server دیگر دستگاه ها استفاده کنید حتما باید تیک گزینه Allow Remote Request را انتخاب کنید.برای اینکه بتوانید از روتر به دستگاه های دیگر اینترنت بدهید باید روی روتر خود یک Nat از نوع Masquerade ایجاد کنید.برای اینکار به منو IP > Firewall > NAT بروید و یک NAT جدید ایجاد کنید.گزینه Chain را روی srcnat قرار دهید و در منو Action گزینه Action را روی masquerade قرار دهید.توضیح در ادامهتوضیح در ادامهتوضیح در ادامهبرای دریافت فایل بک اپ به قسمت Files بروید و روی گزینه Backup کلیک کنید. باید برای این فایل یک اسم انتخاب کنید و اگر بخواهید میتوانید یک رمز هم انتخاب کنید.توجه داشته باشید که اگر برای فایل رمز بزارید موقع بازگردانی فایل به رمز نیاز خواهید داشت.این فایل با فرمت .backup ساخته می شود و هش شده می باشد و برای ما قابل خواندن نیست.در صورتی که یک فایل بک آپ قابل خواندن میخواهید باید با استفاده از ترمینال و دستور export میتوانید یک فایل .rsc دریافت کنید که برای شما قابل خواندن است.توجه داشته باشید که اگر میخواهید تنها از یک قسمت روتر پشتیبان بگیرید میتوانید از طریق ترمینال وارد آن منو شوید و فقط آن قسمت را پشتیبان بگیرید.برای اینکه بتوانیم از یک روتر به روتر دیگری اینترنت بدهیم باید ۲ شرط را برقرار کنیم :۱ . یکی از پورت های روتر باید به اینترنت متصل باشد و بر روی آن پورت به یکی از روش های آدرس دستی یا DHCP Client آی پی صحیح تنظیم شده باشد.۲.بر روی یکی از پورت های دیگر روتر یک آی پی از یک رنج متفاوت تنظیم شده باشد و با آدرس همرنج به سیستم یا روتر دیگر متصل باشد.برای اینکه بتوانیم سیستم روتر روبرو را تنظیم کنیم باز می توانیم از روش آدرس دستی استفاده کنیم یا بر روی روتر خود DHCP Server راه اندازی کنیمبرای این کار بر روی منو IP > DHCP Server رفته و بر روی گزینه DHCP Setup کلیک میکنید ؛ به ترتیب سوالات زیر پرسیده می شود:۱. DHCP Server Interface : همانطور که پیشتر اشاره کردیم DHCP تنها میتواند در یک برودکست دامین کار کند و هر پورت روتر در برادکست دامین متفاوتی کار میکند به همین علت باید پورتی که میخواهیم سرویس ارائه آدرس را انجام دهد انتخاب کنیم .. DHCP Address Space : آدرس رنجی که می خواهید آی پی ها را در آن توزیع کنید ( همان آدرس برودکست دامین ) .۳. Gateway for DHCP Network : آدرس Default Gateway یا همان Default Route مورد نظر که به Client ارائه می شود.۴. Address to Give Out :آدرس های قابل ارائه یا همان IP Pool که ظرف آدرس های یک DHCP Server است.در این بخش می توانید تک آدرس بدهید یا با علامت - به منظور از یک آدرس تا یک آدرس انتخاب کنید یا یک رنج آدرس بدهید۵.DNS Server : آدرس DNS Server مورد نظری که میخواهید به Client ها ارائه دهید۶. Lease Time : مدت زمان اشغال آدرس توسط کاربر است که بعد از تمام شدن زمان تا قطع شدن کارت شبکه کاربر از شبکه همچنان آدرس را نزد کاربر نگه می دارد.در DHCP Server تب Lease آدرس هایی که سرور ما ارائه کرده است قابل مشاهده و مدیریت است.با کلیک راست روی یک ردیف و انتخاب Make Static و یا باز کردن ردیف و انتخاب کلید Make Static میتوانید آن آدرس را برای مک مشخص شده ذخیره کنید یا آدرس دلخواهی برای این مک تنظیم کنید .برای مشاهده لیست یا تنظیم ARP دستی میتوانید به منو IP > ARP بروید.در منو Bridge روتر شما میتوانید یک اینترفیس مجازی لایه ۳ ای که نقش یک سوئیچ را اجرا کند ایجاد کنید . این اینترفیس مجازی به شما این قابلیت را می دهد که پورت های روتر را به آن اضافه کنید و پورت ها را به وضعیت لایه دو ببرید و یا حتی با چندتا از پورت های روتر یک سوئیچ در روتر ایجاد کنید.به مثال زیر توجه کنید :فرض کنید یک روتر ۵ پورت دارید ؛ دو بریج در روتر میسازید به نام های Bridge 1 و Bridge 2 . به Bridge 1 پورت های Ether 1 و Ether2 را اضافه میکنیم ؛‌ حالا انگار ما یک روتر ۴ پورت داریم که یکی از پورت ها به یک سوئیچ ۳ پورت متصل است .به Bridge 2 پورت Ether 3 را اضافه میکنیم . ما هنوز یک روتر ۴ پورت داریم با این تفاوت که پورت Ether 3 دیگر قابلیت دریافت تنظیمات لایه ۳ ای ندارد برای مثال نمیتوان روی این پورت DHCP Server راه اندازی کرد .برای اعمال تنظیمات لایه ۳ ای بر روی پورت هایی که عضو یک Bridge هستند باید تنظیمات را بر روی Bridge مربوطه که عضو آن هستند انجام دهیم .تصویر روبرو مربوط به Packet Flow در تجهیزات میکروتیک است . Packet Flow به معنی این است که وقتی یک بسته به روتر میرسد روتر چه تصمیمی درباره آن بسته می گیرد یا بهتر است بگوییم چه فرایندی برای تصمیم گیری در مورد بسته طی میکند .در تصویر روبرو ۴ باکس وجود دارد که به ترتیب انجام می شود:۱. تصمیمات بریج(پل) Bridge Decision : در صورتی که پورت دریافت کننده بسته عضو یک بریج باشد بسته وارد باکس Bridge Decision می شود.۲. تصمیمات ام پی ال اس/ MPLS Decision : در صورتی که پورت دریافت کننده بسته یک پورت مجازی MPLS باشد بسته وارد باکس MPLS Decision می شود .3.در صورتی که ۲ حالت بالا نباشد و بسته دریافت شده از نوع IP باشد بسته وارد باکس Routing Decision می شود .4.در صورتی که هیچ یک از حالات بالا نباشد مقصد بسته خود روتر است و روتر بسته را Encapsulation می کند.اولین مرحله تصمیم گیری در باکس Bridge Decision مرحله Bridge DST-NAT است . در منو Bridge تب Nat میتوانید قوانین Nat بر روی مک آدرس ها ایجاد کنید .تب DST NAT در بریج بسته هایی که با یک مک خاص کار دارند را به یک مک دیگر ارسال می کند.باکس بعدی USE IP Firewall است که برای فعال شدن آن باید به منو Bridge تب Bridge بروید و بر روی دکمه Setting کلیک کنید و گزینه Use IP Firewall را فعال کنید .در صورتی این گزینه را فعال کنید ترافیک لایه ۲ ای به سمت فایروال لایه ۳ ای روتر هدایت می شوددر منو Bridge تب Filter می توانید چیزی شبیه به فایروال برای بسته های لایه ۲ ایجاد کنید . باید توجه کنید که بسته ها در صورتی شامل این فیلتر ها می شوند که پورت ورودی بسته ها عضو یک Bridge باشد.مهمترین وظیفه تجهیزات لایه ۳ مسیریابی است . این عملکرد مطابق با جدول مسیریابی روتر انجام می شود.این جدول به ۳ روش تکمیل می شود :۱ . Connected Route : مسیر های متصل مسیر هایی هستند که به صورت اتومات هنگامی که به یکی از پورت های روتر آدرس می دهیم ایجاد می شوند و مسیر های متصل به روتر را مشخص میکنند ؛‌توجه داشته باشید که بالاترین اولویت در مسیریابی با مسیرهای متصل است . همانطور که در تصویر زیر میبینید برای هر آدرس یک مسیر متصل وجود دارد.۲. Static Route : مسیر های دستی مسیر هایی هستند که خود ادمین ایجاد می کند ؛ فرم کلی این مسیر ها به این صورت است که ابتدا شبکه مقصد را مشخص میکنید و سپس Gateway به سمت آن شبکه که عموما آدرس پورت روتر بعدی که نزدیکتر به شبکه مقصد است می باشد. به مثال زیر مسیر های متصل توجه کنید .۳. داینامیک/ Dynamic : این مسیر ها به صورت خودکار توسط روتینگ پروتکل ها یا DHCP Client ایجاد می شوند.اولویت در مسیر های روتر بنا بر Distance مسیر ها است که هرچی Distance کمتر باشد اولویت بالاتری دارد.مسیر های متصل Distance 0 دارند و مسیر های دستی بین ۱ تا ۲۵۵ به صورت دلخواه استاولویت بعدی را Longest Prefix یا بزرگ ترین Subnet تعیین میکند.در قسمت تجهیزات سخت افزاری سایت میکروتیک ۳ بخش برای تجهیزات وایرلس است .سیستم وایرلس/Wireless System که مربوط به تجهیزات بیرونی یا OutDoor است روترهای Wireless For Home and Office که عموما روتر های داخلی با قابلیت وایرلس هستند.تجهیزات 60GHz Products که تجهیزات وایرلس پهنای باند ۶۰ گیگاهرتز هستند.به تکرار سینوسی هر موج یا به اصطلاح از هر قله به قله بعد یا از هر دره تا دره بعد فرکانس می گویند.واحد شمارش فرکانس در ۱ ثانیه Hertz Hz است.به تعداد تکرار این سینوس در یک ثانیه تعداد فرکانس میگویند.مثلا در تصویر روبرو فرکانس ۳۰ هرتز است چون در یک ثانیه ۳۰ دفعه سینوس تکرار شده است.تجهیزات وایرلس در ۳ باند فرکانسی 2.4GHz و 5GHz و 60GHz فعالیت می کنند. لازم است بدانید هرچه فرکانس بالاتر میرود فاصله قابل پشتیبانی کم می شود و طول موج بالا می رود برای مثال باند ۶۰ گیگاهرتز تنها در مسافت ۱۰۰ متر عمل میکند.کمپانی IEEE استاندارد های بسیاری در مورد وایرلس دارند که با کد IEEE 802.11 شروع میشوند و اسامی با حروف مانند روبرو دارند.استاندارد های مختلف در سرعت ارتباط و مسافت ارتباط با هم تفاوت دارند.باند فرکانسی 2.4GHz دارای ۱۴ کانال ۲۲ مگاهرتزی است که در کشور های مختلف تعداد کانال مختلفی برای عموم قابل استفاده است . مثلا در آمریکا ۱۱ کانال قابل استفاده است ، در ایران ۱۳ کانال قابل استفاده است و در ژاپن هر ۱۴ کانال قابل استفاده است .تجهیزات مختلف این کانال ها را به شکل متفاوتی نشان میدهند ، مثلا مودم های خانگی با شماره ۱ تا ۱۴ نشان می دهند ولی روتر میکروتیک عدد بین کانال را در نظر میگیرد برای مثال کانال ۶ در روتر میکروتیک ۲۴۳۷ است.همانطور که میبینید در این ۱۴ کانال که بر روی هم قرار گرفته اند ۳ کانال کاملا مجزا از هم داریم که کانال های ۱ و ۶ و ۱۱ هستند .تنظیمات وایرلس در منو WIreless قرار دارد.در قسمت WIFI Interface میتوانید لیست کارت شبکه های وایرلس دستگاه را مشاهده کنید .در تب Registration میتوانید دستگاه های متصل به کارت شبکه را مشاهده کنید.در تب General تمام تنظیمات معمولی مربوط به تمام Interface ها قرار دارد.در تب Wireless تنظیمات مربوط به کارت شبکه بی سیم قرار دارد. استاتوس/Status وضعیت کارت شبکه است و در قسمت Traffic میتوانید ترافیک عبوری از کارت شبکه را مشاهده کنید .در سمت راست با گزینه Advanced Mode میتوانید تمام گزینه ها را مشاهده کنید . گزینه ها به ترتیب زیر هستند :۱. Mode : وضعیتی که کارت شبکه در آن قرار دارد مثل فرستنده و گیرنده ( Station , Access Point )۱.۱ alignment only : این وضعیت کارت شبکه را در حالتی مانند فایندر قرار می دهد که برای تنظیم پوینت تو پوینت ها استفاده می شود.۱.۲ ap bridge : کارت شبکه در وضعیت فرستنده قرار می گیرد و چندین گیرنده میتوانند به آن متصل شوند. مانند مودم های داخل منزل۱.۳ bridge : کارت شبکه در وضعیت فرستنده قرار می گیرد و تنها یک گیرنده میتواند به آن متصل شود. مانند ارتباطات P2P رادیویی۱.۴ station : وضعیت گیرنده لایه ۳ ای ( این کارت شبکه عضو یک Bridge نمی شود.)۱.۵ station bridge : تنها به فرستنده های میکروتیکی متصل می شود و می تواند عضو یک بریج باشد.۱.۶ station pseudobridge : گیرنده لایه ۲ ای با قابلیت اتصال به فرستنده غیر میکروتیکی و عضویت در بریج۱.۷ station pseudobridge clone : مانند وضعیت بالا است با این تفاوت که مک بسته ها موقع ارسال عوض نمی شوند۲. Band : همان استاندارد های وایرلس است مانند b , g , n که در سرعت ارتباط موثر است . توجه کنید که اگر بر روی گزینه های ترکیبی قرار دهید کمترین استانداردی که تمامی گیرنده های مشترک باشند انتخاب می شود.۳. Channel Width : عرض کانال است که هرچی بزرگتر باشد پهنای باند بیشتری دارد اما نویز بیشتری هم دریافت می کند.۴. Frequency : کانال های ارتباطی مانند ۱۴ کانال 2.4GHz و کانال های باند های دیگر . ۵. SSID : اسم وای فای۶. Radio Name : اسم کارت شبکه وایرلس ۷. Scan List : محدوده فرکانسی که در آن برای یافتن فرستنده جستجو می کند.۷. Security Wireless : پروفایل های امنیتی که همان پسورد وایفای است . چه در وضعیت فرستنده باشید چه گیرنده اینجا رمز را انتخاب میکنید۸. Frequency Mode : بازه فرکانسی و قدرت کارت شبکه را تعیین میکند۸.۱ regulatory-domain : بنا بر قوانین کشور ها است مثلا در ایران ۱۳ کانال باز می شود .۸.۲ superchannel : تمامی کانال ها باز است ولی توان رادیو محدود است .۸.۳ manual - txpower : تمامی کانال ها باز است و توان رادیو در حالت دستی قرار گرفته است که میتوانید از تب Tx Power آن را تغییر دهید.۹ . Country : کشور ۱۰ . Installation :‌ محیط نصب مثل داخلی یا خارجی که روی توان رادیو تاثیر میگذارد.۱۱. Default Authentication : همان مک فیلتر است که اگر این تیک را بردارید فقط با دستگاه هایی که در Access List يا Connect List قرار دارند می توانید ارتباط برقرار کنید.۱۲. Default Forward : در صورتی که این تیک را بردارید دستگاه هایی که گیرنده شما هستند دیگر با یکدیگر ارتباط ندارند و فقط با فرستنده ارتباط دارند.تب های دیگر وایرلس به شکل زیر هستند :۱. Access List : مک فیلتر برای روتری که در وضعیت فرستنده (ap) قرار دارد و گیرنده ها را محدود میکند .۲. Connect List : مک فیلتر برای روتری که در وضعیت گیرنده (station) قرار دارد و فرستنده را محدود می کند .۳. Security Profile : پروفایل های امنیتی که همان رمز وای فای ها هستند و به شکل زیر ایجاد می شوند:۳.۱ Name : اسم پروفایل ۳.۲ Mode : نوع پروفایل که روی گزینه dynamic keys قرار می دهید.۳.۳ Authentication Types : الگوریتم رمزنگاری کلید که روی WPA2 PSK قرار می دهید۳.۴ WPA2 Pre-Shared Key : رمز مورد نظرتوجه داشته باشید که در تجهیزات میکروتیک چه قصد داشته باشید بر روی یک وای فای رمز بگذارید چه بخواهید رمز یک وای فای را برای اتصال وارد کنید باید از این قسمت و به این شکل انجام دهید.برای دسترسی به فایروال میکروتیک میتوانید از منو IP > Firewall این کار را انجام دهید. میکروتیک می تواند نقش یک فایروال لایه ۳ ای را انجام دهد .تب های منو فایروال به ترتیب زیر هستند :۱. Filter Rules : از این تب برای ایجاد محدودیت در ارتباطات استفاده می کنیم .۲. NAT : این منو برای ایجاد سورس نت و دستینیشن نت ها استفاده می شود.۳. Mangle : این تب برای برچسب زدن به بسته ها استفاده می شود.۴. RAW : بسته هایی که شامل قوانین این قسمت بشوند به Connection Tracking روتر نمی روند۵. Service Port : لیست پورت های سرویس دهنده مشهور۶. Connection : جدول Connection Tracking۷. Address List : لیست های آدرس۸. Layer7 Protocol : لیست RegEx های لایه ۷ ایما در Filter Rule محدودیت هایی در ارتباطات ایجاد میکنیم .برای اینکار ابتدا در General یک سری شرط تعیین می کنیم که بنا بر آنها بسته هایی که باید شامل این فیلتر بشوند انتخاب می شوند سپس در Action اقدامی که باید بر روی این بسته ها اتفاق بیفتد را مشخص می کنید . قسمت های مختلف این منو به شرح زیر است:۱. Chain : در این منو ۳ گزینه وجود دارد : ۱.۱ Input : بسته هایی که مقصدشان خود روتر است ، ۱.۲ Forward : بسته هایی که از روتر عبور میکنند یعنی از یک پورت وارد می شوند و از پورت دیگری خارج می شوند۲. Src.Address : فیلد آدرس فرستنده هدر IP بسته ۳.. Dst.Address : فیلد آدرس گیرنده هدر IP بسته۴.Protocol : قسمت پروتکل هدر IP بسته که پروتکل کلی بسته را به ما نشان میدهد ( مثلا TCP / ICMP / FTP و ..)۵.Src.Port فیلد پورت فرستنده در هدر لایه ۴ بسته ۶.Src.Port فیلد پورت گیرنده در هدر لایه ۴ بسته۷. Any.Port : مقدار این قسمت برای هر دو فیلد فرستنده و گیرنده چک می شود. ۸. In.Interface : پورت ورودی۹. Out.Interface : پورت خروجی ۱۰. In.Interface List : لیست پورت های ورودی 11. Out.Interface List : لیست پورت های خروجی ۱۲. PacketMark : برچسب بسته ۱۳.Connection Mark : برچسب ارتباط۱۴.Routing Mark : برچسب مسیر ۱۵.Routing Table : جدول مسیریابیباکسی که کنار شروط است برای note یا غیر از این استفاده می شوداقداماتی که روی بسته قابل انجام است به شرح زیر است :۱.accept : پذیرفتن بسته ۲.add dst to address list : اضافه کردن آدرس گیرنده بسته به یک لیست۳.add src to address list : اضافه کردن آدرس فرستنده بسته به یک لیست ۴.drop : انداختن بسته۵.بسته را در لیست ارتباطات fast track قرار دادن ۶.jump : پریدن به نقطه مشخص شده از لیست فایروال ها۷. log : اطلاعات کامل از بسته را log میکند ۸. passthrough : یکی به امار بسته اضافه میکند۹.reject : انداختن بسته و ارسال یک پیام icmp به فرستنده ۱۰.return : بازگرداندن بسته به جایی که jump شده.۱۱ .tarpit : دریافت بسته و باز نگه داشتن ارتباط TCPدر بخش NAT فایروال میکروتیک عموم شروط و بسیاری از اقدامات با بخش فیلتر ها یکسان است در لیست زیر Chain ها و اقدامات متفاوت را شرح می دهیم :Chain :۱. dstnat : بسته هایی که قرار است عمل Dst-Nat بر روی آنها انجام شود۲.srcnat : بسته هایی که قرار است عمل Src-Nat بر روی آنها انجام شودAction :۱. dst-nat : آدرس گیرنده و پورت گیرنده بسته را با مقدار جدیدی عوض میکند۲.masquerade : آدرس فرستنده بسته را با آدرس پورت فرستنده بسته عوض میکند۳.src-nat : آدرس فرستنده بسته را با آدرس مشخص شده عوض میکند.برای مدیریت پهنای باند در میکروتیک از منو Queues استفاده می کنیم .در این بخش می توانیم دو عمل شکل دادن به ترافیک و اولویت بندی پهنای باند را انجام دهیم .MIR به معنی حداکثر پهنای باند کاربر است که در میکروتیک Max Limit نام داردCIR به معنی حداقل پهنای باند کاربر است که حتما باید داشته باشد در میکروتیک به آن Limit At می گویند.اولویت کاربر ها برای استفاده از پهنای باند مازاد در قسمت Priority تعیین می شود که از ۱ تا ۸ است و هرچه کمتر باشد اولویت بالاتری پیدا میکند.برای ارتباط از راه دور در روتر ها ۲ روش Tunneling و VPN وجود دارد . که از تانل ها برای ارتباط بین روتر ها استفاده می کنیم و از VPN ها برای ارتباط کاربران با شبکه .هنگام استفاده از تانل باید در هر دو سمت آدرس ثابت داشته باشند و بتوانند Ping یکدیگر را بگیرند .هنگام استفاده از VPN ها تنها کافی است یکی از طرف ها که نقش Server را ایفا می کند آدرس ثابت داشته باشد . تنظیمات مربوط به VPN ها در منو PPP قرار دارد و تنظیمات مربوط به تانل ها در منو Interface۱.VPN : برای راه اندازی وی پی ان باید یکی از پروتکل های موجود را انتخاب و آن را تنظیم کنید اما ابتدا چند اقدام است که بین تمامی آنها مشترک است .۱.۱ IP > Pool : با استفاده از این منو باید یک ظرف آدرس برای کاربرانی که متصل میشوند ایجاد کنید .۱.۲ PPP > Profile : ایجاد یک پروفایل:Name : اسم این پروفایلLocal Address : آدرسی که روتر بر روی اینترفیس VPN خود قرار می دهد که میتواند تک آدرس باشد یا یک Pool IPRemote Address : آدرسی است که به کاربر می دهیم ؛ این آدرس می تواند یک آدرس باشد یا یک Pool IPDNS Server : آدرس DNS Server برای کاربرهادر قسمت limit میتوانید بر روی ارتباطاتی که از طریق این پروفایل متصل شده اند محدودیت قرار دهید .برای ایجاد یوزرنیم و پسورد برای کاربر های VPN به منو PPP > Secret بروید و یک سکرت جدید ایجاد کنید .Name : همان Username کاربر می باشد Password : رمز کاربرService : پروتکل هایی که با رمز کاربر میتوان به آنها متصل شدCaller ID : آدرس دستگاه هایی که کاربر فقط می تواند با آن به سرور متصل شودProfile : پروفایلی که رمز کاربر به آن متصل می شود و کاربرانی که با این رمز به سرور متصل شوند از آن پروفایل آدرس دریافت می کنند .Limit Byte In / Out : محدودیت حجم برای آپلود و دانلودبرای راه اندازی VPN Server در میکروتیک در PPP > Interface پروتکل مورد نظر را فعال می کنیم .بهتر است برای امنیت الگوریتم های mschap1 و mschap2 را غیر فعال کنیم .در L2tp میتوانید IPSec را نیز فعال کنید.SSTP بین دو دستگاه میکروتیک نیازی به سرتیفیکیت ندارد اما اگر کاربر غیر میکروتیکی باشد به سرتیفیکیت نیاز دارد.کاربرانی که به VPN Server متصل شده اند را میتوانید از طریق تب Active Connection مشاهده کنید .وی پی ان/VPN هایی که در بالا مشاهده کردیم از نوع لایه ۳ ای هستند میکروتیک از VPN لایه ۲ ای نیز تحت پروتکل PPPoE پشتیبانی می کند.برای راه اندازی PPPoE سرور به منو PPP > PPPoE Server بروید و یک گزینه اد کنید :نام سرویس دهنده/Service Name : اسم سرور Interface : پورت مورد نظری که سرویس را روی آن ارائه کنیم.برای ایجاد VPN Client در میکروتیک به Interface بروید و بر روی Add کلیک و پروتکل دلخواه را انتخاب کنید .در PPPoE Client ابتدا در General پورتی که سرویس را از آن دریافت می کنید انتخاب کنید سپس در Dial Out یوزرنیم و پسورد را انتخاب کنیددر بقیه پروتکل ها کافی است که در Dial Out آدرس سرور و یوزرنیم و پسورد را وارد کنید .توجه داشته باشید که در پروتکل L2tp ممکن است لازم باشد IPSec را نیز وارد کنید.خیلی متشکر که وقت گذاشتین و مطالعه کردین, امیدوارم براتون مفید بوده باشه برای خوندن مطالب بیشتر و تماشای ویدئو های آموزشی/اطلاعات عمومی و دوره ها میتونین به لینک زیر مراجعه کنین .Shahin Vaseghiبا احترام, شاهین واثقی