标签：Mikrotik

Posted on
by

在使用了Mikrotik的RouterOS作为出口路由使用了相当一段时间之后，我彻底成为了ROS的粉丝，现在手里有一个x86的小机和一直RB750Gr3分别在家里和出租屋做出口路由。

虽然设备不多，管理员也就我一个，根本没有3A什么的出场的机会，只不过嘛，生命在于折腾，研究研究不是也很好嘛。

安装NAPS服务器并配置

首先，安装网络访问策略服务器（NAPS），这可以用来作为Radius服务器。通过服务器管理器添加角色与功能，一路下一步，在角色一页勾选上“网络策略与访问服务”，然后继续下一步直至安装完毕为止。我因为懒得卸掉重装，后面的就没继续截图了。

  • 添加角色与功能
  • 没啥的，下一步
  • 直接下一步
  • 选择服务器
  • 勾选“网络策略与访问服务”

安装完NPS之后，就可以开始配置。当然，首先，是添加用户组，并将用户添加到组，顺便确认一下用户的拨入属性由NAPS控制。

  • MikrotikAdmin用户组
  • 把用户添加到组
  • 用户的拨入属性由NAPS指定

然后，去网络策略服务器，添加radius客户端。允许ROS使用NPS作为radius服务器。IP地址写ROS使用的源地址，机密随意只要和ROS设备上一样即可。

  • 打开网络策略服务器
  • 添加Radius客户端

下一步是新建网络策略，填写策略名称之后，服务类型选择未指定。

  • 填写用户组

然后下一步里面，指定匹配那个Mikrotik管理员组；这时候可以限定NAS标识符或者限定被叫站ID（前者默认是ROS的system identity，后者默认是radius客户端的IP地址）。

  • 指定条件
  • 指定用户组
  • 只匹配MikrotikAdmin用户组
  • 限定NAS标识符
  • 匹配-Mikrotik-
  • 指定条件

选择匹配策略的授权访问。至于身份验证方法，暂时知道ROS使用的mschapv2，以后会不会改就不知道了。至于约束，默认下一步。

  • 选择授权访问
  • 认证方法
  • 指定约束

到了配置设置的一步，把默认的两个标准删掉，手动添加Service-Type，值为Login，虽然默认的似乎也能用。

  • 添加属性“Service-Type”，类型为Login
  • 只保留一个

然后就是精华所在：在“供应商特定”一项里面，手动添加一个属性，属性是Vendor-Specific，添加。添加一个属性，供应商为“14988”，符合RFC规格，然后配置属性。供应商分配的属性号为3，属性格式为字符串，属性值就是用户组的名字。系统默认最高权限的组的名字是full，我这里填的就是full。

  • 选择Vendor-Specific
  • 添加指定属性

然后禁用BAP（因为感觉没什么乱用，似乎不禁用也行），下一步，完成。Windows Server这边就OK了。

  • 引用BAP
  • 保存

配置ROS

首先，选好ROS的系统名称，保证能够匹配到NAPS上的那个过滤策略。

然后，在ROS上配置Radius客户端。Service选择login就行，address填NAPS的地址，Secret就是刚才在NAPS添加Radius客户端的机密，同时，建议指定一下源地址，特别是ROS有多个接口IP地址的时候。

下一步，在system-users中启用AAA登录，Default Group选择最低权限的一个，那就行了。

最后验证一下，大功告成！

Posted on
by

最近我家不知为啥，pppoe拨号基本上每天晚上都会断一次，而重连之后由于ip地址变更，6to4的tunnel就中断了，一次两次就算了，每天都一次的话就不能靠手动，等靠自动化来维护。

参考：

https://wiki.mikrotik.com/wiki/Manual:Scripting-examples

https://gist.github.com/pklaus/960672

最开始是打算看看RouterOS能不能在接口启动之后触发运行一次脚本，但是ppp的profile里面的那个up down的scripts触发并没有效果（或许是我用法不对？）于是只能换一种思路，定时检查ip有没有变更，如果变更了，就触发一次配置更新。

两个脚本大概是这样：

脚本check_ip_change：检查ip有没有出现变更：

:global currentIP;
:local newIP [/ip address get [find interface="wan"] address];
:if ($newIP != $currentIP) do={
 /system script run update_sit;
 :set currentIP $newIP;
}

脚本update_sit：执行更新interface属性以及向tunnelbroker通知客户端节点地址变更：

local ipaddr
local users "someuser"
local key "somekey"
local tunnelid "sometunnelid"
:set ipaddr [/ip address get [/ip address find interface=wan] address]
:set ipaddr [:pick $ipaddr 0 ([len $ipaddr] -3)]
/interface 6to4 set sit1 local-address=$ipaddr
/tool fetch url="https://$users:$key@ipv4.tunnelbroker.net/nic/update?hostname=$tunnelid&myip=$ipaddr" mode=https keep-result=no

然后定制每分钟执行一次check_ip_change，然后在下次ip地址变更之后，就可以在1分钟内完成自动修复了。

Posted on
by

参考：https://my.oschina.net/CandyMi/blog/500882

首先，你需要一个公网的ipv4地址，至少是能ping通的，那种能ping得到但是在防火墙后面的情况，我也没试过，这里就不多说。

以下是步骤：

1：前往https://www.tunnelbroker.net/注册一个账号，操作过程不详述；

2：登陆成功后在左侧选择新增一个tunnel

在ipv4的节点上填写你的ipv4地址，截图我是直接扒原博文的，看来他是已经搭好了tunnel再去访问的

根据你的链接速度来选择对应的服务器，选好后create tunnel就可以完成创建了。

3：完成tunnel的创建，接下来就是配置，在example configurations页可以选择大部分系统的配置命令，选择mikrotik的，可以直接给出配置的命令，方便的很。

到此，RouterOS已经能得到一个/64的地址块，可以用这个地址块来分ipv6给内网的设备了。

4：现在你手里已经有了一个/64的地址块，需要注意的是分配给你的地址块和tunnel的客户端地址不属于同一个/64地址块，tunnel的信息页面上有加粗标识，不要搞混了，Routed IPv6 Prefixes才是给子网用的。

在/ipv6/pool新增一个地址池，名字随便起一个，比如说sit，然后把你得到的这个/64地址块拷进去，保存。

5：然后就可以新增一个ipv6的dhcp服务器，pool选择sit，选好应用的接口，至此，RouterOS就可以承担dhcp服务器的作用了，给客户端分配公网的ipv6地址。

6：最后，在/ipv6/route中添加ipv6的默认路由，然后RouterOS以及下面的整个子网都可以访问ipv6网络了。