Mikrotik cloud не работает 2021

Mikrotik DDNS: подключаемся к роутеру с динамическим IP

Из этой статьи мы узнаем, как настроить MikroTik DDNS с помощью сервиса MikroTik Cloud, что позволит нам подключиться к Микротик с динамическим IP. Детально разберем принцип работы службы.

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Когда нужна настройка DDNS

Настройка DDNS требуется в случае, когда роутер получает “белый” динамический IP от провайдера интернет-услуг. Это означает, что с определенной периодичностью ваш адрес во Всемирной сети будет меняться на новый, после чего вы не сможете выполнить удаленное подключение до маршрутизатора.

Принцип сервиса DDNS на MikroTik заключается в том, чтобы присвоить устройству уникальное доменное имя, которое привязывается к текущему (динамическому) IP-адресу, назначенный интернет-провайдером.

В итоге мы получаем возможность выполнить удаленное подключение к маршрутизатору, а также сервисам “за ним”, если такие имеются, по уникальному DNS-имени независимо от текущего IP.

Как говорилось ранее, функция Динамический DNS на Микротике работает только с реальными (белыми) адресами глобальной сети. Бывает, что поставщик услуги интернет использует пул приватных (серых) адресов. То есть один белый IP, который назначается оборудованию провайдера, а всем абонентам этого сегмента сети присваиваются внутренние адреса, которые не видны извне. При этом работа службы DDNS невозможна.

Если у вас такая ситуация, то необходимо обратиться к поставщику интернет-услуги, с просьбой подключить белый IP-адрес.

Если у вас внешний IP-адрес, назначенный поставщиком интернет-услуг, является статическим (фиксированный), то настройка DDNS не требуется.

Включаем функцию MikroTik Cloud

Настроить MikroTik DDNS, используя фирменную утилиту Winbox, довольно просто. Для этого откроем пункт меню:

• IP => Cloud.

Появится окно “Cloud”, где активируем функцию DDNS Enabled:

После того, как мы применим данную настройку, увидим следующее:

• Public Address – текущий IP-адрес назначений провайдером;
• DNS Name – уникальное ДНС-имя присвоенное устройству, которое хранится на MikroTik Cloud.

Теперь служба Cloud DDNS проверяет каждые 60 секунд изменение исходящего IP-адреса и сопоставляет его с DNS-именем MikroTik. Благодаря этому мы можем осуществить удаленное подключение к маршрутизатору или получить доступ к внутренним ресурсам сети, используя DNS Name устройства.

Обновить доменное имя роутера вручную, можно нажатием кнопки “Force Update”:

Отключение службы DDNS на MikroTik, производится снятием “галочки”:

После чего устройство отправит команду серверу MikroTik Cloud на удаление присвоенного ДНС-имени.

Прописываем правило в Firewall

Следующим шагом рассмотрим примеры настройки firewall, чтобы подключаться к устройству по DNS-имени предоставленным MikroTik Cloud. По умолчанию конфигурация брандмауэра запрещает доступ к службам Winbox, WebFig и тому подобных из порта WAN.

Поэтому правило разрешающее подключение по порту 8291 (Winbox) должно выглядеть следующим образом:

А также перейдем:

• IP => Services;

Проверим, что доступ по Winbox неограничен “белым списком” адресов, а разрешен всем.

Подробнее о настройке брандмауэра и защите сервисов от различных атак вы можете, изучив статью Mikrotik настройка firewall.

Чтобы выполнить удаленное подключение к хостам, которые находятся во внутренней сети (например, у нас есть Терминальный сервер) используя уникальное имя, присвоенное MikroTik Cloud, нужно правильно прописать правило проброса портов:

Указывая WAN для In.Interface, а не Dst. Address.

На этом настройка MikroTik DDNS закончена. Надеюсь, данная статья была вам полезна. Если возникли вопросы, пишите в комментарии.

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Источник

Функция Cloud на Mikrotik

Что делать в ситуации, когда Вам в любой момент может потребоваться удаленный доступ к вашему микротику, а интернет-провайдер предоставляет динамический IP адрес? Смена адреса после перезагрузки оборудования – и Вы теряете соединение, не успев завершить необходимые настройки. Конечно, можно использовать сторонние сервисы (например, NoIP), но куда проще – добавленную разработчиками в версию RouterOS 6.14 функцию Cloud.

С помощью данной функции Вы можете назначить постоянное доменное имя Вашему микротику и подключаться к оборудованию, используя его.

Для этого необходимо включить функцию в разделе IP-Cloud, поставив галочку на Enabled. Mikrotik получит DNS Name формата ************.sn.mynetname.net (первые 12 символов являются серийным номером вашего микротика).

Второй параметр в меню Cloud – Update Time. По умолчанию эта опция уже включена и отвечает за синхронизацию времени. Лишней она в любом случае не будет, поэтому оставляем активированной.

Также не забываем добавить в фаервол микротика адреса, с которых вы будете подключаться на оборудование – чтобы у вас не был заблокирован доступ. Для этого нужно открыть раздел IP-Firewall, вкладку Filter Rules и там создать новое правило:

Во вкладке General указываем Chain: input, а в src. Address адрес, с которого вы будете подключаться:

Во вкладке Action выбираем accept, после чего жмем OK и поднимаем это правило наверх списка:

Или же создаем данное правило с помощью скрипта

/ip firewall filter add chain=input action=accept src-address=172.28.0.0/26 place-before 0

Где в src-address прописываете свою адресацию.

Теперь вы можете подключиться к вашему Mikrotik, используя вместо ip адреса DNS Name, назначенное оборудованию службой Cloud.

Источник

Как включить функцию MikroTik Cloud

Использование функции MikroTik Cloud для удаленного доступа к оборудованию MikroTik

Доступная в версии программного обеспечения MikroTik RouterOS 6.14 и выше функция Cloud заинтересует прежде всего пользователей, которым необходим постоянный удаленный доступ к оборудованию MikroTik.

Используя предварительно назначенное постоянное доменное имя, с MikroTik Cloud вы сможете удаленно подключаться к корпоративным или домашним устройствам MikroTik.

Чтобы включить в разделе IP функцию Cloud, поставьте галочку в поле DDNS Enabled. Mikrotik получит DNS Name в формате ************.sn.mynetname.net (первые 12 символов — это серийный номер вашего устройства MikroTik).

Update Time — второй параметр в меню Cloud. Эта опция отвечает за синхронизацию времени и по умолчанию уже включена.

Далее обязательно укажите в разделе Firewall адреса, с которых вы планируете подключаться к устройствам, иначе у вас заблокируется доступ. Откройте первую вкладку Filter Rules в разделе IP — Firewall, и там создайте свое правило:

Во вкладке General укажите Chain: input, а в Src. Address — адрес, с которого вы будете подключаться:

Во вкладке Action найдите accept, нажмите OK и поднимите это правило в начало списка:

Как вариант — создайте это правило с помощью скрипта

/ip firewall filter add chain=input action=accept src-address=172.28.0.0/26 place-before 0

Свой ip-адрес пропишите в src-address.

Теперь при подключении к вашим устройствам Mikrotik используйте вместо ip-адреса постоянное доменное имя, сформированное системой Cloud.

2 Комментария

Оставьте свой комментарий

Mikrotik подключается к Интернет через VPN , на VPN-соединение назначен шлюз по умолчанию. При включении функции Cloud на устройстве доменное имя ведет на белый айпи VPN-шлюза провайдера, а не на серый айпи микротика. Поскольку провайдеру нет дела до наших проблем, подключиться к микротику извне не получается.

Какие необходимы настройки, чтобы cloud-имя работало в локальной сети роутера? У меня настроен SIP сервер, при работе SIP клиента смартфона от мобильного интернета проблем нет, но стоит подключиться через wi-fi регистрация пропадает. Не вариант настроить vpn клиент на смартфоне и использовать в SIP клиенте локальный адрес сервера вместо cloud, т.к. при смене сетей происходит разрыв vpn туннеля.

Источник

Распространенные проблемы MikroTik

Распространенные проблемы MikroTik

Са­мая рас­простра­нен­ная проблема MikroTik (точнее жалоба) — «у меня ничего не работа­ет», при­чем чаще все­го это неп­равда. Если у бос­са не откры­вает­ся вло­жение в пись­ме с темой «вы выиг­рали мил­лион», потому что его заб­локиро­вал анти­вирус, то нас­тра­ивать роутер в этот день вряд ли при­дет­ся.

Поэто­му один из важ­ных навыков адми­на — это уме­ние вести диалог с поль­зовате­лем и выяс­нять, что имен­но и как не работа­ет. Увы, эта статья не будет посвящена данному вопросу, так что перехо­дим сра­зу к тех­ничес­кой час­ти.

Ресурсы

Пер­вое, на что обра­щает вни­мание любой сис­темный адми­нис­тра­тор, — пот­ребле­ние ресур­сов. Бла­го WinBox выводит эти дан­ные пря­мо в глав­ном окне. А если еще не выводит — сей­час же добав­ляй их туда. Это сэконо­мит мно­го вре­мени в будущем. Тебе нуж­но меню Dashboard → Add. И кста­ти, зеленый квад­ратик в пра­вой вер­хней час­ти — это не заг­рузка про­цес­сора. Не обра­щай на него вни­мания.

Ес­ли про­цес­сор пос­тоян­но заг­ружен боль­ше 80% (в зависи­мос­ти от усло­вий это зна­чение может менять­ся, но в сред­нем давай при­мем такое чис­ло), то что‑то нелад­но. В пер­вую оче­редь смот­рим на мес­тный «дис­петчер задач», меню Tools → Profile. Тут мы уви­дим, что имен­но наг­ружа­ет CPU, и пой­мем, как дей­ство­вать даль­ше.

Дли­тель­ную ста­тис­тику по наг­рузке CPU, тра­фику на интерфей­сах и дру­гим парамет­рам мож­но уви­деть в Tools → Graphing.

Объ­ясне­ние полей вы най­дете в вики. Наибо­лее час­то встре­чают­ся DNS, Encrypting и Firewall.

• Encrypting — роутер тра­тит мно­го ресур­сов на шиф­рование. Ско­рее все­го, у вас мно­го тун­нелей VPN и нет аппа­рат­ного чипа шиф­рования. Нуж­но поменять на желез­ку со спе­циаль­ным чипом или выб­рать более сла­бые алго­рит­мы.
• Firewall — пря­мое ука­зание, что вы не читали мои пре­дыду­щие статьи.
• DNS — а вот тут вас ждет кое‑что инте­рес­ное.

Сам по себе DNS-сер­вер поч­ти не наг­ружа­ет роутер в неболь­ших и сред­них сетях (до нес­коль­ких тысяч хос­тов). А исполь­зовать RouterOS в качес­тве DNS-сер­вера в боль­ших сетях не луч­шая идея. Так отку­да наг­рузка? Давай раз­бирать­ся. Если есть наг­рузка, зна­чит что‑то ее соз­дает. Веро­ятно, сер­веру DNS при­ходит­ся отве­чать на боль­шое количес­тво зап­росов. Про­верим, так ли это. Соз­дадим в фай­рво­ле пра­вило.

И теперь смот­рим в лог. Если наши пред­положе­ния вер­ны, то заметим мно­го сооб­щений с пре­фик­сом DNS. Уви­дим, с каких адре­сов и на какие интерфей­сы летят зап­росы. Ско­рее все­го, это будет интерфейс WAN. Но мы не хотим обра­баты­вать DNS-зап­росы, при­шед­шие к нам из интерне­та. Зак­роем UDP-порт 53 на интерфей­се WAN, помес­тим пра­вило в нуж­ном мес­те — и нас­лажда­емся сни­зив­шей­ся наг­рузкой. Поз­драв­ляю! Мы толь­ко что обна­ружи­ли, что были частью бот­нета, зак­рыли эту дыру и сде­лали интернет чуточ­ку чище. Подоб­ные ата­ки час­то про­водят­ся с при­мене­нием про­токо­лов, работа­ющих над UDP.

Firewall

Во­обще, уме­ние работать с фай­рво­лом несет в себе огромную силу. Пра­виль­но пос­тро­енное пра­вило ука­жет, как про­ходит пакет через сис­тему, в какой интерфейс попада­ет, из какого ухо­дит даль­ше и получа­ет ли ответный пакет. По одним толь­ко счет­чикам мож­но мно­гое узнать о сво­ей сети.

Counters

В стол­бцах Bytes и Packets отоб­ража­ются количес­тво бай­тов и пакетов, обра­ботан­ных пра­вилом. Кноп­ки Reset Counters сбра­сыва­ют эти счет­чики. Теперь мож­но наб­людать, попада­ет ли тра­фик в нуж­ное пра­вило или нет.

По­лез­ной час­то ока­зыва­ется вклад­ка Connections фай­рво­ла. Тут вид­но все потоки, про­ходя­щие через роутер: их сос­тояние, количес­тво про­шед­ших бай­тов, фла­ги потока (для получе­ния под­сказ­ки дос­таточ­но навес­ти на зна­чение в стол­бце). Для боль­шей наг­ляднос­ти нуж­но добавить поля Reply Dst. Address и Reply Src. Address. В этих полях вид­но, в какой и из какого адре­са был про­веден NAT.

Connections

Фай­рвол со все­ми его фичами поз­воля­ет деталь­но дебажить весь тра­фик, про­ходя­щий через роутер. Что­бы луч­ше понимать, что про­исхо­дит во всех этих вклад­ках, нуж­но изу­чить, как пакеты про­ходят через роутер. На кар­тинке упро­щен­ная вер­сия схе­мы. Бо­лее под­робная есть в докумен­тации.

Traffic Flow

Другие способы анализа трафика

Уви­деть сос­тояние потока, его адре­са, бай­ты и про­чее — хорошо. Но фай­рвол не поз­воля­ет удоб­но и из еди­ного мес­та убе­дить­ся, что мар­шру­тиза­ция кор­рек­тна. Что­бы узнать, в какой интерфейс вылета­ет пакет, дос­таточ­но вос­поль­зовать­ся инс­тру­мен­том Torch.

Torch

Torch мож­но вос­при­нимать как некое подобие tcpdump. Здесь мож­но уви­деть VLAN ID, source/destination address/port, DSCP, битовую и пакет­ную ско­рость. Есть удоб­ные филь­тры, которые поз­воля­ют делать точ­ные выбор­ки. Если дан­ные в окне меня­ются слиш­ком быс­тро, уве­личи­вай зна­чение Entry Timeout. К сожале­нию, в одном окне он может показы­вать толь­ко тра­фик на одном интерфей­се, но ник­то не меша­ет нажать New Window и наб­людать за нес­коль­кими интерфей­сами. Если Torch не показы­вает нуж­ного тра­фика на нуж­ном интерфей­се — налицо проб­лемы с мар­шру­тиза­цией.

Torch поз­воля­ет наб­людать за потока­ми тра­фика в реаль­ном вре­мени. Но в некото­рых слу­чаях нуж­ны более деталь­ные дан­ные о тра­фике. Их поз­воля­ет получить инс­тру­мент IP Sniffer.

С его помощью мож­но уви­деть парамет­ры тра­фика и даже содер­жимое пакета.

Но иног­да тре­бует­ся более деталь­ный ана­лиз — нап­ример, что­бы убе­дить­ся, что TCP handshake успешно про­шел и дан­ные переда­ются. В таком слу­чае в переда­ваемых пакетах дол­жен при­сутс­тво­вать флаг ACK. Но искать пакеты в скуд­ном интерфей­се «Вин­бокса» неудоб­но.

И тут на помощь при­ходит все­ми любимый Wireshark — мощ­ней­ший инс­тру­мент для ана­лиза сетево­го тра­фика. В Filter ука­зыва­ем нуж­ные парамет­ры, что­бы не сни­фать все под­ряд, в General выбира­ем Filename, жмем Apply и Start. Теперь в Files на роуте­ре мож­но най­ти наш дамп, переки­нуть его на компь­ютер и открыть «Шар­ком». О нем написа­но мно­го ста­тей, поэто­му даже не буду пытать­ся писать тут, как с ним работать.

Но это лишь начало. Мож­но в реаль­ном вре­мени наб­людать за тра­фиком из Wireshark. И без вся­ких опе­раций с фай­лами! Откры­ваем «Шарк», в филь­тре пишем udp. port == 37008 , на сниф­фере RouterOS во вклад­ке Streaming ста­вим галоч­ку Streaming Enabled и впи­сыва­ем IP-адрес компь­юте­ра с запущен­ным «Шар­ком». Мож­но пос­тавить галоч­ку Filter stream, что­бы лить в «Шарк» не весь тра­фик, а толь­ко выб­ранный.

Snif-stream Shark

Лить тра­фик в сниф­фер мож­но и из фай­рво­ла. За это отве­чает дей­ствие sniff-TZSP в таб­лице Mangle. Работа­ет это по ана­логии со Sniffer Streaming, но в фай­рво­ле мож­но сде­лать более точ­ную выбор­ку пакетов для сниф­фера.

Mangle-sniff

Wireless

Са­мая слож­ная часть диаг­ности­ки — это Wi-Fi. Он и сам по себе очень слож­ная тех­нология, к тому же сре­да переда­чи дан­ных общая и все сосед­ские роуте­ры меша­ют работать тво­ему, так же как и он им. О работе 802.11 написа­на не одна кни­га, перес­казывать их я не буду. Пос­мотрим толь­ко на инс­тру­мен­ты, которые могут помочь при диаг­ности­ке.

В RouterOS их нем­ного. Самый глав­ный — вклад­ка Registration в Wireless. Здесь вид­но всю информа­цию о под­клю­чен­ных кли­ентах: MAC, уро­вень сиг­нала, качес­тво сиг­нала.

Registration

Са­мые важ­ные поля:

• CCQ — Client Connection Quality. Чем бли­же к 100%, тем луч­ше. Ниже 60% озна­чает пло­хую связь;
• TX/RX Signal Strength — уро­вень сиг­нала. Отличное зна­чение — от 0 до –45, при­емле­мое — от –55 до –75. Все, что меж­ду, — хорошо. Ниже –75 мож­но счи­тать отсутс­тви­ем свя­зи. По край­ней мере, я ори­енти­руюсь на такие циф­ры.
• Signal to Noise — отно­шение сиг­нал/шум. Чем выше — тем луч­ше.

Вто­рой инс­тру­мент — логи. Собс­твен­но, этот инс­тру­мент дол­жен активно исполь­зовать­ся не толь­ко при диаг­ности­ке Wi-Fi. Если стан­дар­тных логов недос­таточ­но — прос­то вклю­чи рас­ширен­ные.

Log

Ping, Traceroute

Пер­вым инс­тру­мен­том диаг­ности­ки у сисад­мина всег­да был пинг. Но далеко не все зна­ют, сколь­ко воз­можнос­тей он в себе скры­вает.

Мно­гие стал­кивались с тем, что текст на сай­те отоб­ража­ется, а кар­тинки нет. Или скрип­ты не заг­рузились, и сайт «поехал». Это пер­вые приз­наки несог­ласован­ности MTU. С помощью пин­га мож­но про­верить этот вари­ант. Ста­вим галоч­ку Don’t fragment, выс­тавля­ем нуж­ный нам раз­мер пакета и смот­рим на резуль­тат. Если видим packet too large — MTU в канале ниже задан­ного нами зна­чения пакета. Умень­шаем его и про­веря­ем сно­ва. Таким обра­зом выяв­ляем мак­сималь­ный пакет, который про­ходит через сеть без фраг­мента­ции.

Ping

По умол­чанию пакет отправ­ляет­ся с роуте­ра с src address того интерфей­са, в который он вылета­ет. Быва­ет, что нуж­но его поменять. Нап­ример, при диаг­ности­ке мар­шру­тиза­ции внут­ри VPN или кор­рек­тнос­ти работы фай­рво­ла. Для это­го нуж­но запол­нить поле src address. Не забывай, что адрес дол­жен быть сущес­тву­ющим, что­бы ответный пакет вер­нулся.

При слож­ной мар­шру­тиза­ции необ­ходимо выб­рать нуж­ную Routing Table. Впро­чем, те, кто поль­зует­ся нес­коль­кими таб­лицами мар­шру­тиза­ции, и так это зна­ют.

Заключение

Не­воз­можно в одной статье и даже в нес­коль­ких кни­гах опи­сать все воз­можные проб­лемы и методы их диаг­ности­ки и решения. Для эффектив­ного дебага нуж­но понимать, как работа­ет сеть на каж­дом уров­не, ее осо­бен­ности в кон­крет­ной реали­зации — ведь не быва­ет двух оди­нако­вых сетей: рецеп­ты, работа­ющие в одной инфраструк­туре, будут бес­полез­ными для дру­гой.

Для дебага необ­ходимо понимать, как пакет про­ходит внут­ри RouterOS, а в осо­бо слож­ных слу­чаях — и знать осо­бен­ности вен­дора. И это отно­сит­ся не толь­ко к MikroTik. Луч­ший инс­тру­мент дебага — зна­ния и опыт!

Источник