Как настроить pppoe на роутере mikrotik

Overview

Point to Point over Ethernet (PPPoE) is simply a method of encapsulating PPP packets into Ethernet frames. PPPoE is an extension of the standard Point to Point Protocol (PPP) and it the successor of PPPoA. PPPoE standard is defined in RFC 2516. The PPPoE client and server work over any Layer2 Ethernet level interface on the router, for example, Wireless, Ethernet, EoIP, etc. Generally speaking, PPPoE is used to hand out IP addresses to clients based on authentication by username (and also if required, by workstation) as opposed to workstation only authentication where static IP addresses or DHCP are used. It is advised not to use static IP addresses or DHCP on the same interfaces as PPPoE for obvious security reasons.

Introduction

PPPoE provides the ability to connect a network of hosts over a simple bridging access device to a remote Access Concentrator.  

Supported connections:

• MikroTik RouterOS PPPoE client to any PPPoE server;
• MikroTik RouterOS server (access concentrator) to multiple PPPoE clients (clients are available for almost all operating systems and most routers);

PPPoE Operation

PPPoE has two distinct stages(phases):

1. Discovery phase;
2. Session phase;

Discovery phase

There are four steps to the Discovery stage. When it completes, both peers know the PPPoE SESSION_ID and the peer’s Ethernet address, which together define the PPPoE session uniquely:

1.  PPPoE Active Discovery Initialization (PADI) — The PPPoE client sends out a PADI packet to the broadcast address. This packet can also populate the «service-name» field if a service name has been entered in the dial-up networking properties of the PPPoE client. If a service name has not been entered, this field is not populated
2. PPPoE Active Discovery Offer (PADO) — The PPPoE server, or Access Concentrator, should respond to the PADI with a PADO if the Access Concentrator is able to service the «service-name» field that had been listed in the PADI packet. If no «service-name» field had been listed, the Access Concentrator will respond with a PADO packet that has the «service-name» field populated with the service names that the Access Concentrator can service. The PADO packet is sent to the unicast address of the PPPoE client
3. PPPoE Active Discovery Request (PADR) — When a PADO packet is received, the PPPoE client responds with a PADR packet. This packet is sent to the unicast address of the Access Concentrator. The client may receive multiple PADO packets, but the client responds to the first valid PADO that the client received. If the initial PADI packet had a blank «service-name» field filed, the client populates the «service-name» field of the PADR packet with the first service name that had been returned in the PADO packet.

4. PPPoE Active Discovery Session Confirmation (PADS) — When the PADR is received, the Access Concentrator generates a unique session identification (ID) for the Point-to-Point Protocol (PPP) session and returns this ID to the PPPoE client in the PADS packet. This packet is sent to the unicast address of the client.

PPPoE session termination:

• PPPoE Active Discovery Terminate (PADT) — Can be sent anytime after a session is established to indicate that a PPPoE session terminated. It can be sent by either server or client.

Session phase

When the discovery stage is completed, both peers know PPPoE Session ID and other peer’s Ethernet (MAC) address which together defines the PPPoE session. PPP frames are encapsulated in PPPoE session frames, which have Ethernet frame type 0x8864.
When a server sends confirmation and a client receives it, PPP Session is started that consists of the following stages:

1. LCP negotiation stage
2. Authentication (CHAP/PAP) stage
3. IPCP negotiation stage — where the client is assigned an IP address.

PPPoE server sends Echo-Request packets to the client to determine the state of the session, otherwise, the server will not be able to determine that session is terminated in cases when a client terminates session without sending Terminate-Request packet.

MTU

Typically, the largest Ethernet frame that can be transmitted without fragmentation is 1500 bytes. PPPoE adds another 6 bytes of overhead and the PPP field adds two more bytes, leaving 1492 bytes for IP datagram. Therefore max PPPoE MRU and MTU values must not be larger than 1492.

TCP stacks try to avoid fragmentation, so they use an MSS (Maximum Segment Size). By default, MSS is chosen as MTU of the outgoing interface minus the usual size of the TCP and IP headers (40 bytes), which results in 1460 bytes for an Ethernet interface. Unfortunately, there may be intermediate links with lower MTU which will cause fragmentation. In such a case TCP stack performs path MTU discovery. Routers that cannot forward the datagram without fragmentation are supposed to drop the packet and send ICMP-Fragmentation-Required to originating host. When a host receives such an ICMP packet, it tries to lower the MTU. This should work in the ideal world, however in the real world many routers do not generate fragmentation-required datagrams, also many firewalls drop all ICMP datagrams.

The workaround for this problem is to adjust MSS if it is too big. 

PPPoE Client

Properties

Status

Command /interface pppoe-client monitor will display current PPPoE status.

Available read only properties:

Scanner

PPPoE Scanner allows scanning all active PPPoE servers in the layer2 broadcast domain. Command to run scanner is as follows:

/interface pppoe-client scan [interface]

Available read only properties: 

PPPoE Server

There are two types of interface (tunnel) items in PPPoE server configuration — static users and dynamic connections. An interface is created for each tunnel established to the given server. Static interfaces are added administratively if there is a need to reference the particular interface name (in firewall rules or elsewhere) created for the particular user. Dynamic interfaces are added to this list automatically whenever a user is connected and its username does not match any existing static entry (or in case the entry is active already, as there can not be two separate tunnel interfaces referenced by the same name — set one-session-per-host value if this is a problem). Dynamic interfaces appear when a user connects and disappear once the user disconnects, so it is impossible to reference the tunnel created for that use in router configuration (for example, in firewall), so if you need a persistent rule for that user, create a static entry for him/her. Otherwise, it is safe to use a dynamic configuration. 

Access concentrator 

/interface pppoe-server server

Properties

The PPPoE server (access concentrator) supports multiple servers for each interface — with differing service names. The access concentrator name and PPPoE service name are used by clients to identify the access concentrator to register with. The access concentrator name is the same as the identity of the router displayed before the command prompt. The identity may be set within the /system identity submenu.

Specifying MRRU means enabling MP (Multilink PPP) over a single link. This protocol is used to split big packets into smaller ones.  Their MRRU is hardcoded to 1614. This setting is useful to overcome PathMTU discovery failures. The MP setting should be enabled on both peers.

Quick Example

PPPoE Client

To configure MikroTik RouterOS to be a PPPoE client, just add a PPPoE-client with the following parameters as in the example:

[admin@MikroTik] > interface pppoe-client add interface=ether2 password=StrongPass service-name=pppoeservice name=PPPoE-Out disabled=no user=MT-User
[admin@MikroTik] > interface pppoe-client print
Flags: X - disabled, I - invalid, R - running 
 0  R name="PPPoE-Out" max-mtu=auto max-mru=auto mrru=disabled interface=ether2 user="MT-User" 
      password="StrongPass" profile=default keepalive-timeout=10 service-name="pppoeservice" ac-name="" 
      add-default-route=no dial-on-demand=no use-peer-dns=no allow=pap,chap,mschap1,mschap2

PPPoE Server

To configure MikroTik RouterOS to be an Access Concentrator (PPPoE Server):

• add an IP address pool for the clients from 10.0.0.2-10.0.0.5;
• add PPP profile;
• add PPP secret (username/password);
• add the PPPoE server itself;

[admin@MikroTik] > /ip pool
add name=pppoe-pool ranges=10.0.0.2-10.0.0.5
[admin@MikroTik] > /ppp profile
add local-address=10.0.0.1 name=for-pppoe remote-address=pppoe-pool
[admin@MikroTik] > /ppp secret
add name=MT-User password=StrongPass profile=for-pppoe service=pppoe
[admin@MikroTik] > /interface pppoe-server server
add default-profile=for-pppoe disabled=no interface=ether3 service-name=pppoeservice

Если вам тяжело,  значит вы держите топ. Если у вас микротик — вы не ищете легких путей. Зато ищите качество и стабильную работу на втором и третьем уровне модели OSI. Многие, несмотря на приличный прайс, покупают роутеры этого вендора себе домой, поэтому есть необходимость рассказать про базовые mikrotik настройки на операционной системе RouterOS

Настройка РРРоЕ

Многие «домашние» интернет-провайдеры используют РРРоЕ в качестве основного протокола для передачи данных конечным пользователям (с авторизацией и выдачей IP на RADIUS-сервере, как у Ростелекома). Во всех роутерах Mikrotik клиент РРРоЕ, естественно, присутствует. Сейчас мы будем поднимать его для WAN-соединения на примере RouterOS v6.хх. Для этого вам потребуется логин и пароль для подключения, которые вам выдает провайдер

1. Вход в настройки

Все, кто сталкивался с настройкой Mikrotik по работе знают, что в настройки можно зайти либо через утилиту Winbox, либо по-стандарту через веб-интерфейс (192.168.88.1). Еще есть вариант настройки через Telnet, но это мы оставим матёрым системным администраторам. Давайте будем делать это через Winbox.  После запуска программы мы видим строчки connect to, где указан мак-адрес микротика, логин и пароль. Сразу определимся, что по умолчанию логин — admin, пароль — пустой.  Переходим во вкладку Neighbors, выбираем там верхнюю строчку (скорее всего будет единственная) и нажимаем Connect

2. Схема подключения

Что у нас с интерфейсами: ether1 будет подключен к провайдеру (WAN порт), Предположим, что к порту ether2 будет подсоединён свитч для подключения компьютеров локальной сети. Итого схема такая:

Т.е. для полноценной работы нам потребуются следующие шаги:

• Настройка клиента PPPoE. Интерфейс ether1 (WAN)
• Назначение шлюза LAN. Интерфейс ether2 для коммутатора (LAN с IP-блоком 192.168.10.0/24)
• Конфигурация DNS IP
• Конфигурация NAT. Компьютеры должны получать серый IP для выхода в интернет

3. Настройка PPPoE на интерфейсе WAN

Для настройки клиента необходимо зайти в пункт меню PPP и нажать кнопку Add (добавить) и в списке выбираем PPPoE Client

В главном окне указываем имя соединения (здесь лучше написать ether1) и выбираем одноименный порт ether1. В раскрывающимся меню «Interface» во вкладке Dial Out пишем логин и пароль от провайдера. Ставим галочки на пунктах «Dial On Demand» и «Use Peer DNS». В блоке Allow снимаем галочки с чекбоксов везде, кроме pap

4. Назначение шлюза LAN

Теперь соединим наш микротик с коммутатором, который будет раздавать интернет по локальный сети нашим компьютерам. Заходим в IP -> Addresses . Нажимаем добавить (add). Вводим айпишник нашего LAN-шлюза (192.168.10.1/24). В меню интерфейс выбираем ether2 и применяем ОК

5. Назначение IP-адреса DNS

Обычно провайдер уже предоставляет DNS-адреса, но мы модем прописать их и вручную на Mikrotik. Будем использовать стандартные гугловские — 8.8.8.8 или 8.8.4.4. Это можно сделать в меню IP -> DNS. Ставим отметку на чекбоксе «Allow Remote Request»

6. Настройка NAT

Последнее действие включение NAT, чтобы наши ПК смогли получить серые IP для выхода в интернет. Заходим в IP -> NAT. В открывшемся окне New NAT Rue из пункта Chain выбираем srcnat и в поле Src. Adderess вбиваем IP LAN (192.168.10.0/24), применяем и сохраняем.

Настройка Firewall

Чтобы избежать проблем с DDoS и низкой скорости внутри LAN необходимо: во-первых, обновить прошивку до актуальной (https://mikrotik.com/download), во-вторых, закрыть снаружи 53 порт для блокировки трафика на входящем интерфейсе (по UDP из WAN). Сделать это можно в настройках IP -> Firewall -> Filter Rules. Добавляем в него

/ip firewall filter

add chain=input action=drop protocol=udp in-interface=ISP1 dst-port=53

Настройка подключения для iPhone. Почему телефон отключается от Wi-Fi-сети?

Некоторые владельцы Apple iPhone жалуются на периодические дисконнекты по беспроводному соединению, при этом пользователи смартфонов на Android от такой проблемы избавлены. Можете не отключать режим энергосбережения на своих айфонах — проблема была не в этом. Недавно было найдено решение, хотя, это скорее костыль — увеличить параметр lease time (время «аренды» IP-адреса) в настройках DHCP server. Установите параметр на 1d (24 часа) и забудете проблемы с отключением.

Делается это так же через Winbox. Чтобы попасть в основные настройки сервера выберите IP->DHCP Server. Для дополнительных параметров два раз кликните по вашему DHCP-серверу. В этом окне и будет параметр lease time

Как вам статья?