Sugestão para configuração de Bridges

Pessoal, aqui no provedor estamos tendo um problema que está nos atrapalhando muito.
Acontece, que em alguns casos (principalmente em instalações para condomínios), precisamos configurar o rádio cliente em modo bridge, para ser possível criar um discador PPPoE na máquina de cada usuário, fazendo com que seja possível vender uma assinatura para cada cliente. Se eu simplismente fizesse o rádio autenticar e os demais computadores navegarem através dele, eu terei um usuário só e não será possível criar planos individuais. Preciso disso, para ser possível bloquear apenas um cliente caso este nao pague, etc.

Pois bem, vamos ao problema.
Acontece que quando deixamos o rádio em bridge o IP dele fica totalmente disponível dentro da nossa rede, trazendo vários problemas de segurança, mas o principal problema é que se eu esquecer e configurar dois rádios em bridge com o mesmo IP, um vai ficar dando conflito no outro.

Eu gostaria de uma maneira de individualizar os meus clientes. Se eu colocar um IP 192.168.0.1 num cliente, gostaria que ele estivesse ligado a minha torre, de uma maneira exclusiva, de forma que, se eu configurar outro cliente com o mesmo IP, este não venha a gerar conflito, por estar em "outra rede".

Eu não sei se o que estou procurando fazer é VLAN, pois nem sei seu conceito corretamente.
Não sei se consegui ser claro. Agradeço qualquer ajuda.

Obrigado !

Gustavo, pode deixar o Mikrotik do prédio em modo router mesmo e criar um tunel EoIP até o concentrador. Desta forma terá transparência para o pppoe. Se quiser trabalhar com vlan o Mikrotik também aceita, mas terá que dar uma olhada na documentação.

Grande Sérgio. Muito obrigado pela resposta rápida.

Pois bem, o problema é que no cliente não estou usando Mikrotik. Estou usando rádinhos de plástico mesmo.... hehe

Eu lembro que vimos alguma coisa sobre EoIP no curso de MK, mas não lembro muito sobre.
Usando radinho, tenho como fazer isso? E VLAN entre o radinho e o MK da minha torre, tenho como fazer?

A maneira como estamos fazendo hoje, é realmente "tosca" ?

Ah, aproveitando. Teria algum material a respeito para recomendar ? Dei uma procurada, mas como não sei ao certo o que procurar, fiquei bem perdido.

Obrigado mais uma vez !

Citação:

Postado originalmente por gustavo_marcon

Grande Sérgio. Muito obrigado pela resposta rápida.

Pois bem, o problema é que no cliente não estou usando Mikrotik. Estou usando rádinhos de plástico mesmo.... hehe

Agora somos politicamente corretos... é transceptor de polietileno. hehehehehe

Citação:

Postado originalmente por gustavo_marcon

Eu lembro que vimos alguma coisa sobre EoIP no curso de MK, mas não lembro muito sobre.
Usando radinho, tenho como fazer isso? E VLAN entre o radinho e o MK da minha torre, tenho como fazer?

Tem não. EoIP é proprietário Mikrotik.

Citação:

Postado originalmente por gustavo_marcon

A maneira como estamos fazendo hoje, é realmente "tosca" ?

Não é que seja tosco, mas tem como melhorar.

Citação:

Postado originalmente por gustavo_marcon

Ah, aproveitando. Teria algum material a respeito para recomendar ? Dei uma procurada, mas como não sei ao certo o que procurar, fiquei bem perdido.

Obrigado mais uma vez !

Quanto a VLAN se o transceptor de polietileno aceitar, rola. Mas tem que ver no firm dele.

Dá uma pesquisa em Main Page - MikroTik Wiki no menu à esquerda vá em Special Pages e depois ALL Pages. Tem material e exemplos sobre VLAN. Mas primeiro veja o firm do cliente.

Qualquer coisa manda aqui.

ja penso wm wds?

Sérgio, mas estive olhando agora na apostila do curso e li que EoIP cria um túnel que faz com que o tráfego ocorra como se fosse feito uma bridge.
Pois bem, se na rede interna do meu cliente ele ligar um radio que esteja com um Servidor de DHCP ativo, por ser uma bridge, ele vai começar distribuir IP para minha rede inteira? Ou seja, vai romper a barreira da rede do cliente e vai ir para a minha?

É uma bridge realmente ?

Citação:

Postado originalmente por gustavo_marcon

Sérgio, mas estive olhando agora na apostila do curso e li que EoIP cria um túnel que faz com que o tráfego ocorra como se fosse feito uma bridge.
Pois bem, se na rede interna do meu cliente ele ligar um radio que esteja com um Servidor de DHCP ativo, por ser uma bridge, ele vai começar distribuir IP para minha rede inteira? Ou seja, vai romper a barreira da rede do cliente e vai ir para a minha?

É uma bridge realmente ?

Sim, mas para isso servem os filtros de bridge. Pensando bem, já que está usando bridge, pode usar esses filtros, e permitir apenas o pppoe-discovery e session. Assim evitaria os problemas de broadcast e outros mais.

Citação:

Postado originalmente por mascaraapj

ja penso wm wds?

Sim, já pensei e inclusive um dos clientes que está me dando problema esta em WDS, pois WDS cria uma bridge, e eu tenho que ficar cuidando pra não colocar IPs em outros clientes que batam com os IPs que o cara usa nas maquina da rede interna dele, senão, dá o problema de conflito que estou tentando resolver.

O que preciso, é fazer com que as coisas fiquem individuais.
Acredito que a saida vai ser realmente um túnel, mas já que o EoIP é proprietário não vai ser possível fazer, pois senão teria que sair trocando os equipamentos dos clientes.

Vou ver algo sobre VLAN, mas acredito também que o firmware do cliente não vai suportar.
Eu não sei o conceito de VLAN, então não sei se isso é o que preciso. Pesquisei um pouco na internet, mas não consegui entender muita coisa.

Citação:

Postado originalmente por sergio

Sim, mas para isso servem os filtros de bridge. Pensando bem, já que está usando bridge, pode usar esses filtros, e permitir apenas o pppoe-discovery e session. Assim evitaria os problemas de broadcast e outros mais.

Mas desta forma continuaria dando conflito de IP se dois usuarios que tem radios em bridge estiverem com o mesmo IP configurado não é?

Citação:

Postado originalmente por gustavo_marcon

Mas desta forma continuaria dando conflito de IP se dois usuarios que tem radios em bridge estiverem com o mesmo IP configurado não é?

hummm... esse lance do IP que é complicado. Mas porque esses usuários tem o mesmo IP se usa PPPoE?

Pois é, o discador PPPoE eu faço na máquina de cada assinante, assim posso controlá-los individualmente. Mas me refiro ao IP do rádio, as vezes coincide com o de outro rádio que também está em bridge. Eu poderia sair anotando, mas queria realmente uma forma de individualizar cada cliente.

Dai quando fui pesquisar me pareceu que o que eu precisava era VLAN, mas como não encontrei corretamente o seu conceito não sei se este é o caminho.

O que eu quero é mais ou menos assim : Imaginando que meus clientes são cabeados e que cada cabo chega no meu switch, eu queria que cada porta do switch não tivesse comunicação com as outras portas, só com meu gateway. Ou seja, cada porta deveria fingir ter só o cabo de cada cliente espetado no switch. No caso, o switch seria meu Mikrotik, e ao invez de cabo estou usando wireless. Penso que a idéia pode ser a mesma.

é... deste jeito só VLAN. Dê uma lida naquele link do wiki Mikrotik. Encontrará referência lá.

OK, vou dar uma olhada. Obrigado mesmo.

Alguém já utilizou algum rádio que de suporte a VLAN além do Mikrotik ?

Citação:

Postado originalmente por gustavo_marcon

OK, vou dar uma olhada. Obrigado mesmo.

Alguém já utilizou algum rádio que de suporte a VLAN além do Mikrotik ?

Tem que verificar estes firmwares alternativos. Creio que alguns suportam.

Citação:

Postado originalmente por sergio

Sim, mas para isso servem os filtros de bridge. Pensando bem, já que está usando bridge, pode usar esses filtros, e permitir apenas o pppoe-discovery e session. Assim evitaria os problemas de broadcast e outros mais.

Sérgio, quais portas eu deveria deixar liberada para que eu faça isso que voce sugeriu. Só deixar passar pppoe-discovery e session?

Esse filtro eu aplico o filtro de bridges da minha RB ou no radinho que tá em bridge no cliente?

Na regra eu nego tudo e libero só essas 2 portas?

Estou com o mesmo problema, minhas repetidoras estão interligadas todas em bridge. É broadcast pra todo lado e ainda tem o problema com o DHCP de um eventual cliente. Sem contar q se algum espertinho souber, ele adiciona um IP na maquina dele e na de outro assinante e fecham em rede usando a minha estrutura...

Se vc pude nos passar como configurar esses filtros...

Desde já agradeço a atenção.

As regras pro filtro da bridge sao esses...adapta ai pra voce.. creditos de uma postagem do terencerocha

/interface bridge filter
chain=input in-interface=sua_interface_real src-address=ip_liberado action=accept
chain=input in-interface=sua_interface mac-protocol=0x8863 action=accept
chain=input in-interface=sua_interface mac-protocol=0x8864 action=accept
chain=input in-interface=sua_interface action=drop

ja testei essa regra e funciona perfeitamente..só tem que adaptar na sua rede ae!

quanto aos problemas de ip duplicado numa bridge, eu tambem sofro disso. mas aqui nao utilizo pppoe. se eu utilizasse um concentrador e pppoe, ai nao teria problemas pois utilizo radius onde tenho pppoe e ele valida os ip's pra nao repetir.

ainda procuro uma forma de travar essa parada dos ip's, pois tambem quem coloca qualquer ip na rede, ela aparece pra mim, ai complica tudo!!

Citação:

Postado originalmente por sergio

Sim, mas para isso servem os filtros de bridge. Pensando bem, já que está usando bridge, pode usar esses filtros, e permitir apenas o pppoe-discovery e session. Assim evitaria os problemas de broadcast e outros mais.

Sergio, se eu fizer este filtro nas rb´s, eu perco a comunicação com elas via IP (winbox por exemplo), minhas rb´s possuem todas as suas interfaces em bridge, ai coloco um ip na bridge para eu poder acessar elas remotamente (todos clientes em pppoe), e eu permitir apenas pppoe eu teria que criar um client pppoe em cada rb para elas receberem um ip e permitir o winbox por uma session pppoe suponto que eu teria que sempre passar pelo servidor central para ele realizar o roteamento ? Se sim, imagine que o ptp "caia" e eu precise fazer um acesso la no pop me conectando por alguma antena (ex. Antenas-----RB--->PTP----- X -------PTP--->RB---SERVIDOR), neste caso a rb do pop estaria isolada e bloqueando qualquer acesso que não seja pppoe. Aff... que coisa não...:burnout:

4 Anexo(s)

Pensando um um pouco eu poderia colocar a primeira regra, permitir winbox (por protocolo ip e talvez por um determinado ip ou range também), permitir pppoe discovery/session e depois drop no resto, será que funciona ? Como seria uma regra(ou as regras, ex. tcp/udp...) de drop geral da bridge e qual chain utilizar no pppoe (forward para as rbs em bridge) ?

Testei as regras, pelo menos elas contabilizam, mas tenho medo de fazer (ainda não sei como fazer, más...) uma de bloqueio do resto e perder a comunicação com as rb´s.

Achei esta de dropar o broadcast IP bem legal, será que é funcional (esta em forward) ?
Obrigado

amigo, essas regras voce pode aplicar apenas nas portas da bridge que fazem comunicação com os clientes. não precisa ser na rede inteira;

Citação:

Postado originalmente por thenet

amigo, essas regras voce pode aplicar apenas nas portas da bridge que fazem comunicação com os clientes. não precisa ser na rede inteira;

Como eu devo proceder, primeiro a regra do winbox, depois do pppoe e bloqueio ? A minha maior dúvida é quais chains usar e a do bloqueio.

Obrigado

/interface bridge filter
chain=input in-interface=sua_interface_real src-address=ip_liberado action=accept
chain=input in-interface=sua_interface mac-protocol=0x8863 action=accept
chain=input in-interface=sua_interface mac-protocol=0x8864 action=accept
chain=input in-interface=sua_interface action=drop

na ordem, essas regras fazem o seguinte. a primeira libera algum ip/range para ter total acesso a tudo pela interface que voce escolheu.
a segunda libera algum dos 2 protocolos de pppoe e a terceira a mesma coisa (mas o outro protocolo).
a ultima regra, bloqueia tudo. e como as de liberação estão acima, ela só bloqueará tudo que não for correspondente à essas 3 primeiras regras.

A interfaceque voces escolheu, seria a de contato direto do cliente. Imagina a seguinte situação:
voce tem 3 interfaces em um mikrotik e todas estão na bridge:
LINK, CLIENTES1, LINK_REP2

voce vai colocar essas regras apenas para a interface CLIENTES1.

thenet, obrigado pela ajuda, mas quando a chain fica em input ela não contabiliza nada, ai coloquei em forward e funcionou, fiz da seguinte maneira: 1ª regra - liberar conexão entre os mks e o nat (uso cliente ntp, eles precisam sair para internet para acertar seus relógios). 2ª e 3ª regra - liberar pppoe discovery e session. 4ª regra descartar o restante com protocolo ip, se eu não especificar que é ip mesmo com a regra de liberar a rede do mk acima ele não deixa eu acessar os aps na rede, pois uma destas bridges é onde sai link para duas repetidoras, agora nas repetidoras somente as regras 2 a 4 nas interfaces dos clientes.

bridge principal:
Código :

/interface bridge filter add action=accept chain=forward comment="Permitir Mikrotik" disabled=no \ dst-address=192.168.70.0/24 in-bridge=bridge1 mac-protocol=ip out-bridge=\ bridge1 src-address=0.0.0.0/0 add action=accept chain=forward comment="" disabled=no dst-address=0.0.0.0/0 \ in-bridge=bridge1 mac-protocol=ip out-bridge=bridge1 src-address=\ 192.168.70.0/24 add action=accept chain=forward comment="Permitir PPPoE Discovery" disabled=\ no in-interface=wlan1 mac-protocol=pppoe-discovery add action=accept chain=forward comment="Permitir PPPoE Session" disabled=no \ in-interface=wlan1 mac-protocol=pppoe add action=drop chain=forward comment="Descarta o resto" disabled=no \ in-interface=wlan1 mac-protocol=ip
Mas vou refinar estas regras ainda de acordo com a minnha necessidade, depois eu posto o resultado.
Agora, eu fiquei perplexo com a quantidade de pacotes descartados fora das regras... meu Deus, a rede ficou beeeem melhor. Agora quanto a regra de bloqueio somente bloquear proto. IP, será que existe algo de nocivo para a rede em outros protocolos ?

Obrigado !!! :rock:

galera, essas regras só servem pra pppoe?

pois na minha rede uso pppoe e DHCP static

alguem pode me passar alguma coisa?

obrigado

Citação:

Postado originalmente por gustavo_marcon

Sim, já pensei e inclusive um dos clientes que está me dando problema esta em WDS, pois WDS cria uma bridge, e eu tenho que ficar cuidando pra não colocar IPs em outros clientes que batam com os IPs que o cara usa nas maquina da rede interna dele, senão, dá o problema de conflito que estou tentando resolver.

O que preciso, é fazer com que as coisas fiquem individuais.
Acredito que a saida vai ser realmente um túnel, mas já que o EoIP é proprietário não vai ser possível fazer, pois senão teria que sair trocando os equipamentos dos clientes.

Vou ver algo sobre VLAN, mas acredito também que o firmware do cliente não vai suportar.
Eu não sei o conceito de VLAN, então não sei se isso é o que preciso. Pesquisei um pouco na internet, mas não consegui entender muita coisa.

Mas tbm é possivel criar um WDS Sem Criar uma Bridge ou estou equivocado ..

agpnet..
realmente, as regras tem que ser em forward. uso elas aqui assim. é que tinha colado de quem me passou e tava com input não sei o porque.

quanto a outros protocoloes, teria que procurar, mas creio que apenas o IP ja alivia e muito.
vou implementar aqui regras para ip's, fazendo bloqueios de ip's para cada mac (pra ninguem clonar ip). vamos ver o que da e eu posto aqui.