Concentrador PPPoE em rede roteada

Olá pessoal, estou procurando formas de criar concentradores PPPoE na minha sem ter que colocar todas as minhas torres em bridge, hoje tenho tudo roteado.

O problema é que o Mikrotik não tem pppoe-relay, a única forma que eu conheço é colocando tudo em bridge.

Para exemplicar minha rede está como na figura em anexo, tenho um servidor (PPPoE Server - autentica apenas alguns clientes por cabo) que é o gateway de três torres, o link é feito por rádio (esse está em bridge). Cada uma dessas torres tem 1 mikrotik que faz a autenticação PPPoE dos clientes conectados nas interfaces wireless e em uma delas faço link com outra torre (que também faz a autenticação PPPoE dos clientes).

Minha idéia é trazer a autenticação PPPoE de todas as torres para o concentrador PPPoE (PPPoE Server) como se (para o tráfego PPPoE) os clientes estivessem conectados direto no concentrador (linhas vermelhas na imagem), sem abrir mão do roteamento, não quero minha rede toda em bridge.

Alguém tem alguma luz? Alguém usa algo parecido? Será que é possível encaminhar o tráfego PPPoE com regras de firewall.

cara, voce faz esse roteamento com ospf?

estou planejando fazer isso e me sugeriram esse contato Cleinte - PPPoE Server com o Eoip Tunnel do MK.
voce faz na interface do MK que o cliente se conecta e faz na porta lan do pppoe server o eoip. teste isso e veja se fica 100%.

Citação:

---

Postado originalmente por thenet

cara, voce faz esse roteamento com ospf?

estou planejando fazer isso e me sugeriram esse contato Cleinte - PPPoE Server com o Eoip Tunnel do MK.
voce faz na interface do MK que o cliente se conecta e faz na porta lan do pppoe server o eoip. teste isso e veja se fica 100%.

---

Ainda não uso OSPF, a idéia é no futuro usar, porém ainda não tive coragem pois no caso de um link ficar ruim o OSPF vai continuar utilizando esse link, tenho receio que isso acabe prejudicando muito nossa rede.

Quanto a utilizar EoIP, já cheguei a pensar nessa possibilidade, mas pelo que sei terei que criar bridge entre as interfaces reais e do EoIP, e também a utilizando EoIP vou perder um pouco de largura de banda. Mas é uma coisa que tenho que testar.

Não quero deixar em bridge por que bridge só dá problema, rede fica mais lenta. Se bridge fosse bom as operadoras iam usar muito.

Citação:

---

Postado originalmente por nod3vic3

Não quero deixar em bridge por que bridge só dá problema, rede fica mais lenta. Se bridge fosse bom as operadoras iam usar muito.

---

Pode ate dar problema, mais conheço provedor com mais de mil clientes usando tudo em bridge. e esta 100%... Creio que estando bem configurado, com alguns filtros nas bridges não terá problemas...

pppoe com transparencia, use eoip, mais se for bridge, use bridge vlan, funciona perfeito vc pode continuar usando bridge sem problema = )

se for rede roteada, e quer usar pppoe no host distante de onde o cliente se conecte, use Eoip, se for rede em bridge, use vlan, e facil e simples : )

bridg4 e wds sem vai ter seus problemas isso e fato e devido a sua tecnologia , voce pode melhorar usando ospf, se quiser tb mpls-vpls-ospf. ou tunel eoip etc...

cara...bridge realmente é ruim. estou migrando uma rede grande de bridge pra rede roteada. irei usar ospf e eoip. quando tiver alguma coisa ja feita, eu posto pra dizer como que foi a performance e funcionalidade.

quanto a largura de banda diminuir, nunca senti isso em teste, vou verificar melhor.

Citação:

---

Postado originalmente por nod3vic3

Olá pessoal, estou procurando formas de criar concentradores PPPoE na minha sem ter que colocar todas as minhas torres em bridge, hoje tenho tudo roteado.

O problema é que o Mikrotik não tem pppoe-relay, a única forma que eu conheço é colocando tudo em bridge.

Para exemplicar minha rede está como na figura em anexo, tenho um servidor (PPPoE Server - autentica apenas alguns clientes por cabo) que é o gateway de três torres, o link é feito por rádio (esse está em bridge). Cada uma dessas torres tem 1 mikrotik que faz a autenticação PPPoE dos clientes conectados nas interfaces wireless e em uma delas faço link com outra torre (que também faz a autenticação PPPoE dos clientes).

Minha idéia é trazer a autenticação PPPoE de todas as torres para o concentrador PPPoE (PPPoE Server) como se (para o tráfego PPPoE) os clientes estivessem conectados direto no concentrador (linhas vermelhas na imagem), sem abrir mão do roteamento, não quero minha rede toda em bridge.

Alguém tem alguma luz? Alguém usa algo parecido? Será que é possível encaminhar o tráfego PPPoE com regras de firewall.

---

Cara, concentra só o seu Radius...
Crie uma faixa de IP só pra gerenciamento, dê um IP pra cada MK seu e o Radius também. E configure seu MK para usar o seu Radius externo normalmente.
Funciona que é uma beleza e não precisa colocar sua rede em Bridge.

Utilizará o melhor do PPPoE em rede Roteada. http://static3.under-linux.org/images/smilies/proud.gif

o resultado de uma rede Bridge Vlan e roteada e o mesmo, mais com vlan fica mais rapido, pois vai haver menos pontos de roteamento, com caracteristicas proximas a uma rede roteada. mais ja que sua rede e roteada, ja pensou em fazer os concentradores aonde o cliente se conecta ?? seria mais simples. = ) se for fazer remoto, use Eoip :P

Citação:

---

Postado originalmente por soviet

o resultado de uma rede Bridge Vlan e roteada e o mesmo, mais com vlan fica mais rapido, pois vai haver menos pontos de roteamento, com caracteristicas proximas a uma rede roteada. mais ja que sua rede e roteada, ja pensou em fazer os concentradores aonde o cliente se conecta ?? seria mais simples. = ) se for fazer remoto, use Eoip :P

---

Mas se sua VLan está em cima da rede roteada, como fica mais rapido, já que tem que rotear pra sua vlan passar?
Sua VLan é nada mais que um encapsulamento dos pacotes (com criptografia ou nao), sendo roteada na sua rede.

ele quer concentrar os clientes a um host distante do host aonde os clientes se conectam fisicamente, como o pessoal citou eoip seria uma boa alternativa, mais como citei, uma alternativa bacana e bridgiar a rede apenas o backbone( entre os roteadores), e colocar as interfaces dos clientes em vlan levando ate o concentrador, mesmo a rede sendo bridge, os clientes estariam em vlans separadas, sendo assim, vc nao teria problemas com sua bridge backbone. e o resultado e melhor q usando eoip. ao menos e minha opniao = )

Citação:

---

Postado originalmente por soviet

ele quer concentrar os clientes a um host distante do host aonde os clientes se conectam fisicamente, como o pessoal citou eoip seria uma boa alternativa, mais como citei, uma alternativa bacana e bridgiar a rede apenas o backbone( entre os roteadores), e colocar as interfaces dos clientes em vlan levando ate o concentrador, mesmo a rede sendo bridge, os clientes estariam em vlans separadas, sendo assim, vc nao teria problemas com sua bridge backbone. e o resultado e melhor q usando eoip. ao menos e minha opniao = )

---

Sim, acredito que ficaria melhor pra gerenciar e não precisar mudar muito a rede... mas não mais rápido.
E como a rede já é roteada, a melhor solução é realmente fazer PPPoE nos MKs e centralizar o Radius.

Vocês respondem como se tudo fosse apenas Mikrotik.
Nem todos os dispositivos wireless tem suporte a EoIP
Uma solução mais simples e funcional é usar o PPPoE-Relay, também conhecido como PPPoE Passthrough.

PPPoE-Relay realmente seria o mais fácil. Porém o mikrotik não suporta PPPoE-Relay.

Hoje a maioria dos POPs que tenho são Mikrotik e fazem a autenticação wireless e PPPoE do cliente, o login e senha estão em em servidor radius centralizada, uso controle de mac+wpa2+pppoe tudo com radius. Os POPs onde não tenho Mikrotik como AP é onde tenho poucos clientes (interiorzão), esses APs fazem link com o Mikrotik e é onde autentico o PPPoE. O motivo de querer concentrar a autenticação PPPoE em um servidor é por causa dos ips válidos e para facilitar a vida do suporte técnico.

Minha rede é grande, tenho mais de 50 POPs só com Mikrotik, autenticando o PPPoE em cada POP (como faço hoje) tenho que quebrar minhas classes de ip válido o que faz com que eu perca alguns endereços ips só na divisão de classes, sem contar que em 1 pop sobra ip e em outro falta.

Amigo você usa freeradius correto? queria saber qual seria a vantagens se eu teria desempenho maior, pois a vantagem que vejo somente, como curioso é o banco de dados mysql e os cadastro não é feito no mikrotik, fora essa terias outras?

Citação:

---

Postado originalmente por nod3vic3

PPPoE-Relay realmente seria o mais fácil. Porém o mikrotik não suporta PPPoE-Relay.

Hoje a maioria dos POPs que tenho são Mikrotik e fazem a autenticação wireless e PPPoE do cliente, o login e senha estão em em servidor radius centralizada, uso controle de mac+wpa2+pppoe tudo com radius. Os POPs onde não tenho Mikrotik como AP é onde tenho poucos clientes (interiorzão), esses APs fazem link com o Mikrotik e é onde autentico o PPPoE. O motivo de querer concentrar a autenticação PPPoE em um servidor é por causa dos ips válidos e para facilitar a vida do suporte técnico.

Minha rede é grande, tenho mais de 50 POPs só com Mikrotik, autenticando o PPPoE em cada POP (como faço hoje) tenho que quebrar minhas classes de ip válido o que faz com que eu perca alguns endereços ips só na divisão de classes, sem contar que em 1 pop sobra ip e em outro falta.

---

tanto com o concentrador PPPoE sendo separado ou centralizado, nao vejo por q nao usar radius, agora com o concentrador PPPoE centralizado fica melhor de gerenciar, pois vc tera apenas uma NAS, com uma rede grande( ja tenho 150 hosts mkt= 150 NAS ou mais dependendo da quantidades de saida dos roteadores) ja fica enjoado de gerenciar. fora caso vc queira ainda dar ip validos dinamicamente a seus clientes fica bem simples e economico, ja que vc nao vai precisar rachar as classes por roteador( sendo roteada a rede). use eoip ( sendo roteado) ou vlan ( sendo bridge). ambas funcionam muito bem, e vc ainda vai conseguir diminuir o trabalho de gerencia = ).

Uso freeradius sim. As vantagens que vejo são: apenas um lugar pra cadastrar os clientes (se o cliente muda de pop não preciso apagar o login num lugar e cadastrar em outro); no radius faço controle de mac+login (login xyz só conecta se o mac for abc), chave wpa2 para cada cliente; controle da velocidade dos planos; logins simultâneos; etc...

Tudo num único lugar, facilidade de gerenciamento não tem preço.

Quanto a minha questão inicial até agora parece que tudo se encaminha para utilizar EoIP. Vou ter que fazer alguns testes ainda pois não sei como funciona direito.

Bom dia,

Amigo se vc do cliente pinga seu servidor pppoe não importa q o MK não faça pppoe-relay, a não ser que vc queira fechar baseado em MAC. O tunel pppoe vai fechar sem problemas.
Agora com relação ao OSPF realmente é um ideia ótima pois nesta sua topologia vc poderia inclusive fazer links redundantes e aumentar a performance e a disponibilidade da estrutura.

Citação:

---

Postado originalmente por thenet

cara, voce faz esse roteamento com ospf?

estou planejando fazer isso e me sugeriram esse contato Cleinte - PPPoE Server com o Eoip Tunnel do MK.
voce faz na interface do MK que o cliente se conecta e faz na porta lan do pppoe server o eoip. teste isso e veja se fica 100%.

---

Amigo, baseado neste cenário que você está querendo fazer, concentrar PPPoE num servidor central, me surgiu uma dúvida a respeito a configuração do EoIP no MK onde o cliente conecta. Você faria uma Bridge no MKT onde o cliente conecta, entre a Wlan(Onde o Cliente associa) + Eth ou Wlan(Se ponto a ponto)+EoipTunnel ou somente entre a Wlan+Eoip?

To no mesmo dilema do autor do topico!

já virem essa opção

MPLS Lab Setup - MikroTik Wiki

Boa noite a todos,

A resolução é simples:

1 - Mkt Torre (POP) deve estar roteada até o "Mkt Concentrador" (PPPoE Server).
2 - Mkt Torre faz-se um tunnel EoIP que se conecta diretamente com o Mkt Concentrador.
3 - Mkt Concentrador faz-se um tunnel EoIP que se conecta diretamente com Mkt Torre.
4 - Mkt Torre faz-se uma bridge que contem a WLAN+EoIP, assim os pacotes aqui caem direto no Mkt Concentrador
5 - Mkt Concentrador cria-se um servidor PPPoE "ouvindo" na interface do tunnel EoIP ligado ao Mkt Torre.

No cliente, configura para autenticar por PPPoE, coloca o usuario e senha e voilá.
Obs: O radio (placa) do cliente nao precisa ter suporte a EoIP, pois quem vai "mexer" com o EoIP é o MKT da torre.

Devo ter esquecido de algo, só alguem perguntar.

solução profissional seria MPLS-VPLS-OSPF, mais exige um conhecimento pra não ter transtornos futuros, tenho rodando em varios clientes e usando rb 1000 como concentrador central trazendo a rede roteada e o mac do cliente.

Citação:

---

Postado originalmente por nod3vic3

Uso freeradius sim. As vantagens que vejo são: apenas um lugar pra cadastrar os clientes (se o cliente muda de pop não preciso apagar o login num lugar e cadastrar em outro); no radius faço controle de mac+login (login xyz só conecta se o mac for abc), chave wpa2 para cada cliente; controle da velocidade dos planos; logins simultâneos; etc...

Tudo num único lugar, facilidade de gerenciamento não tem preço.

Quanto a minha questão inicial até agora parece que tudo se encaminha para utilizar EoIP. Vou ter que fazer alguns testes ainda pois não sei como funciona direito.

---

Amigo você utiliza algum sistema que gerencia o Radius ou faz manualmente nele?
até então conheço o mk-auth que ja vem com o radius integrado.

Mas como transportar os Pools de IPs válidos pela rede? Usando OSPF é possível e testes o Radius entrega o IP para o cliente e o OSPF rotea até a borda. Mas com muitos clientes conectando e desconectando imagino que a quantidade de alterações na tabela de roteamento do OSPF pode crescer e começar a ter problemas?

Citação:

---

Postado originalmente por dimasters

Você tem que criar sub-redes e setar elas pra cara estação, ai sumariza essa rede assim fica show.
Agora se tiver apenas um concentrador centralizado não sei como pode fazer.

---

Dimasters voce trabalha com pppoe ou hotspot nos repetidores?

Caro Nod3vic3, voce conseguiu resolver este problema? Estou com a mesma duvida sendo que tenho varias rbs autenticando os clientes nos pops, e um servidor radius centralizando a administração, e gostaria de fazer exatamente o pppoe-relay, como dito que não tem essa função no mk eu gostaria de saber se deu certo o que o pessoal falou no decorrer do post. Obrigado

Olá pessoal! Acompanho o forum ha um bom tempo e hoje preciso postar uma duvida que tenho. Acho que o assunto é bem relacionado a este tópico.

Tenho uma rede toda em bridge, usando somente IPxMAC para controle dos clientes e de banda. Precisamos implementar PPPoE e rotear a rede das bordas (RBs433) até o concentrador PPPoE (RB1100).

Implementei o FreeRadius em um servidor linux (CentOS pois já estou acostumado) utilizando o banco de dados MySQL, configurei um PPPoE Server na RB1100 e consegui fazer funcionar certinho. Veja como ficou:

< FreeRadius >
|
192.168.254.100/24
|
|
|
192.168.254.99/24
|
< RB1100 >-(10.0.2.1/30)--------------(10.0.2.2/30)-< RB433 >

Configuro um cliente com PPPoE e conecto na interface wlan da RB433, e consigo navegar normalmente. Agora segue o problema.
Preciso implementar chave WPA/WPA2 e autenticar os MACs do Access-List da RB433 ambos atribuidos pelo Radius. Até onde eu consegui?
Configurei a RB433 para ter acesso ao FreeRadius e autenticação tipo Wireless. Cadastrei as informações do MAC no MySQ e vejo nos logs do radius que funciona a autenticação do MAC mas no momento em que eu digito a chave WPA2 no cliente, ele fica tentando verificar e acontece o timeout. Nesse momento nao mostra mais nada nos logs do Radius.

Alguem pode me ajudar com essa situação?

pode ser relacionado no protocolo psk eu utilizo dessa forma roda blza, porem o meu AP autentica tbm pra ter acesso a tabela de mac no Radius .

Citação:

---

Postado originalmente por guussnet

Olá pessoal! Acompanho o forum ha um bom tempo e hoje preciso postar uma duvida que tenho. Acho que o assunto é bem relacionado a este tópico.

Tenho uma rede toda em bridge, usando somente IPxMAC para controle dos clientes e de banda. Precisamos implementar PPPoE e rotear a rede das bordas (RBs433) até o concentrador PPPoE (RB1100).

Implementei o FreeRadius em um servidor linux (CentOS pois já estou acostumado) utilizando o banco de dados MySQL, configurei um PPPoE Server na RB1100 e consegui fazer funcionar certinho. Veja como ficou:

< FreeRadius >
|
192.168.254.100/24
|
|
|
192.168.254.99/24
|
< RB1100 >-(10.0.2.1/30)--------------(10.0.2.2/30)-< RB433 >

Configuro um cliente com PPPoE e conecto na interface wlan da RB433, e consigo navegar normalmente. Agora segue o problema.
Preciso implementar chave WPA/WPA2 e autenticar os MACs do Access-List da RB433 ambos atribuidos pelo Radius. Até onde eu consegui?
Configurei a RB433 para ter acesso ao FreeRadius e autenticação tipo Wireless. Cadastrei as informações do MAC no MySQ e vejo nos logs do radius que funciona a autenticação do MAC mas no momento em que eu digito a chave WPA2 no cliente, ele fica tentando verificar e acontece o timeout. Nesse momento nao mostra mais nada nos logs do Radius.

Alguem pode me ajudar com essa situação?

---

Amigo guussnet passei por esse problema tentando implementar a criptografia centralizada pelo radius e detectei um problema e que radios baseados no chipset 8186 tem dificuldades em fazer station wds com outros chipsets, consequentemente o repasse do mac nao vai corretamente prejudicando a a criptografia centralizada se vc utiliza nanos e outros equipamentos do mesmo chipset do ap funciona normal , eu utilizo como ap os R52H e quando utilizo o nano em station wds funciona quando e chipset rtl tenho que utilizar criptografia PSK no AP.

Citação:

---

Postado originalmente por aprinou

solução profissional seria MPLS-VPLS-OSPF, mais exige um conhecimento pra não ter transtornos futuros, tenho rodando em varios clientes e usando rb 1000 como concentrador central trazendo a rede roteada e o mac do cliente.

---

Amigo, teria como me ajudar com essas config? estou fazendo um lab aqui mais não obtive muito sucesso =/.. grato pela atenção

Realmente utiluizo essas Conf. MPLS-VPLS-OSPF , porém tudo é mikrotik no ap servidor concentrador e gateway, ficou muito bom!

Olá... tenho minha rede toda em bridge, em cada torre, instalei um switch com vlan... na minha torre principal fiz o mesmo, tenho rádios de distribuição e de enlaçe... os cabos descem até a sala dos servidores e, nela tenho dois switches com vlan... os dois estão cascateados e, liguei um na placa de rede que recebe o tráfegos dos clientes... queria separar os rádios de distribuição e dos enlaces em cado um deste switches que hoje estão cascateados então pensei em colocar uma RB450G, recebendo os cabos dos dois switches e ligando esta RB no meu concentrador. Fiz roteamento estático nela, pingo no meu concentrador mas, quando tento conectar um cliente PPPOE, não passa a requisição para o concentrador. Já tentei configurar EOIP mas, não funcionou mas, também não tenho muito conhecimento com EOIP... alguém poderia dar uma força?

Grato,

Luiz Antonio

Bem, passei estes dias quebrando cabeça mas não resolví... minha rede é toda em bridge, como te falei e, tenho em cada torre, um switch vlan mas, bridge vlan, não sei como seria pois, todos os meus POPs são com Bullet M2 ou Nano Station M2 em modo bridge, como faria esta bridge vlan?

Vlw.

Citação:

---

Postado originalmente por soviet

pppoe com transparencia, use eoip, mais se for bridge, use bridge vlan, funciona perfeito vc pode continuar usando bridge sem problema = )

---

Citação:

---

Postado originalmente por labrbomfim

Bem, passei estes dias quebrando cabeça mas não resolví... minha rede é toda em bridge, como te falei e, tenho em cada torre, um switch vlan mas, bridge vlan, não sei como seria pois, todos os meus POPs são com Bullet M2 ou Nano Station M2 em modo bridge, como faria esta bridge vlan?

Vlw.

---

Sr(a) Luiz Antonio
Pro pppoe conectar o ip e o mac do ap que atendi o cliente tem que estar aparecendo la tentativa de login no log do free radius.
Ou seja cada Vlan que vc criar tem que ter um ip dessa vlan no servidor radius pra funcionar tipo:
vlan1 ID 10 essa vlan tem que ser criada em cada segmento conectado ate o ap que atendi o cliente ou criado nas pontas e
trasnportado em bridge ate o ap que atendi o cliente. No ap vc coloca essa vlan em bridge com wlan0 do nano que e ap do cliente! Ou mais facil cria uma rede /24 e o radius fica nessa rede e todos os aps e os ponto a ponto fica numa rede diferente ai funciona rapido porem o broadcast e todos os pacotes serao enviados pra todos os APS.

Só quero - sou iniciante -, saber, por favor, como colocar - Com rb951g 2hnd em PPPoE -, um segundo roteador. Gostaria que o segundo router ficasse em modo Access Point? Obrigado.