Curso Básico Mikrotik (9 y 10)

Curso Básico Mikrotik

Expositor Ruben Cabrera Neciosup Especialista Redes y Comunicaciones – IDAT Cisco CCNA v. 4.0 – IDAT Soporte Técnico – Comutel Peru Experiencia Mikrotik – 4 años

Presentación Personal § Por favor, presentarse a la clase: § Nombre y Empresa. § Experiencia en Mikrotik RouterOS. § Expectativa del Curso.

§ Cada alumno tendrá un ID propio donde permitirá realizar los laboratorios 172.16.ID.0/24, por favor apuntarlo.

Modelo de Referencia: TCP / IP APLICACIÓN

Proporcionan servicios a la aplicación que se ejecuta en una computadora. Define los servicios que las aplicaciones necesitan. Protocolos: HTTP, STMP, HTTPS, POP3, etc.

TRANSPORTE

Proporciona la comunicación entre un programa de aplicación y otro (comunicación punto a punto). Admite la comunicación entre los distintos dispositivos de diferentes redes. Protocolos: TCP y UDP.

INTERNET

La capa Internet maneja la comunicación de una máquina a otra. Determina la mejor ruta de acceso a través de la red. Protocolo: IP

ACCESO A LA RED

Direccionamiento Físico (MAC y LLC). Señal y transmisión binaria.

LAN q Interconecta dispositivos y usuarios dentro de un edificio o un campus y es de administración local. qSon instaladas en empresas, escuelas, edificios de gobierno y en casas.

WAN (Red Área Amplia) q Puede tener varios limites geográficos. Puede cubrir una ciudad, país, continentes o el mundo entero como por ejemplo.

Definición Switch y Router El funcionamiento de una red consiste en conectar computadoras y periféricos mediante dos partes del equipo: Switches y Routers. Estos dos elementos permiten a los dispositivo conectados a la red comunicarse con los demás y con otras redes.

Router

Switch

Switch Los Switches se utilizan para conectar varios dispositivos a través de la misma red dentro de un edificio u oficina. Ejemplo: Un switch puede conectar sus computadoras, impresoras y servidores, creando una red de recursos compartidos. Importante !!! Existen dos tipos básicos de switches: administrados y no administrados.

SW: No Administrados y Administrados q Los switches no administrado funcionan de forma automática y no permiten realizar cambios. q Los equipos en redes domésticas suelen utilizar switches no administrados.

qLos switches administrados permiten su programación. q Esto proporciona una gran flexibilidad porque el switch se puede supervisar y ajustar de forma local o remota para proporcionarle control sobre el desplazamiento del tráfico en la red y quién tiene acceso a la misma.

Router Los routers se utilizan para conectar varias redes. Por ejemplo: Un router puede conectar sus computadoras en red a Internet y de esta forma, compartir una conexión de Internet entre varios usuarios. El router actuará como distribuidor, seleccionado la mejor ruta de desplazamiento de la información para que la reciba rápidamente.

Direccionamiento IP Concepto oPara el funcionamiento de una red, todos los dispositivos requieren una dirección IP única y la dirección MAC. oEl sistema de direccionamiento IP consiste de números binarios de 32 bits. Estos números binarios, para su comprensión, están separados en 4 octetos (bytes) y se pueden representar también en forma decimal separados por puntos cada byte.

Las direcciones IP están construidas de dos partes: oEl identificador de red (ID network) y el identificador del dispositivo (ID host). oPor Host entenderemos que es cualquier dispositivo que tiene asignado una dirección IP.

Clase de direcciones IP Existen tres tipos de direcciones: Clase A, Clase B y Clase C.

Red Privada Concepto Las redes privadas son bastante comunes en esquemas de redes de área local (LAN) de oficina, debido a que muchas compañías no tienen la necesidad de usar direcciones IP públicas es sus dispositivos (PC, impresora, etc).

Mascara de Red

Mascara de Red

RouterOS Introducción Sistema Operativo RouterOS

RouterOS oMikroTik RouterOS es el sistema operativo del hardware MikroTik RouterBOARD, que tiene las características necesarias para un ISP: oFirewall, Router, MPLS, VPN, Wireless, HotSpot, Calidad de Servicio (QoS), etc. oRouterOS es un sistema operativo independiente basado en el kernel de Linux v3.3.5 que proporciona todas las funciones en una instalación rápida y sencilla, con una interfaz fácil de usar. oRouterOS puede instalarse en PCs y otros dispositivos de hardware compatibles con x86.

Características RouterOS Soporte de Hardware ◦ Compatible con arquitectura i386. ◦ Compatible con SMP (multi-core y multi-CPU). ◦ Requiere un mínimo de 32MB de RAM (reconoce hasta máximo 2GB, excepto en los dispositivos Cloud Core, donde no existe un máximo). ◦ Soporta los medios de almacenamiento IDE, SATA, USB y flash, con un mínimo de 64MB de espacio. Incluye HDDs, tarjetas CF y SD, y discos SDD.

Instalación ◦ Netinstall: Instalación basada en red desde una tarjeta de red habilitada con PXE o EtherBoot. ◦ Netinstall: Instalación a un drive secundario montado en Windows. ◦ Instalación basada en CD.

RouterBOARD Arquitectura y Nomenclatura

¿Qué es RouterBOARD? oEs una familia de soluciones de hardware con circuitos diseñados por MikroTik para responder a las necesidades de los clientes a nivel mundial. oTodas las placas RouterBOARD operan con el sistema operativo RouterOS. oEsta división de hardware se caracteriza por incluir su sistema operativo RouterOS y actualizaciones de por vida. oEstos dispositivos tienen la ventaja de tener una excelente relación costo/beneficio comparados con otras soluciones en el mercado.

Arquitecturas Soportadas

Soluciones Integradas o Estos productos se proporcionan completos con carcasas y adaptadores de corriente. o Listo para usar y pre configurados con la funcionalidad más básica. o Todo lo que necesitas hacer es conectarlo y conectarse a Internet o a una red corporativa.

Hardware Básicos Estos productos son integrales en categoría básica pero de buen desempeño y rendimiento en pequeñas soluciones de red.

Hap lite

RBCap2n

Map2n

RB750r2 / RB750Gr2

Hardware Intermedio Son equipos de recursos y características que están en labor de soportar mas trafico y clientes aprox. hasta 100 usuarios. RB100 AH X2

RB450G / 850GX2

RB3011UiAS-RM / 2011UIAS – RM

RB260GS

RB2011UIAS-2HND-IN

RBSXT LITE 5 Ghz /2 Ghz

RB750P-PBr2

Hardware: CCR y CRS Estos equipos son de alta gama, donde sus recursos y características están en las exigencias de topologías de redes de alta envergadura.

CCR1009-8G-1S-PC

CCR1072-1G-8S+

CCR1036-12G-4S

CRS125-24G-1S-IN

Interfaces y Accesorios Existen varios modelos de módulos Ethernet, puertos de fibra SFP, fuentes, antenas y tarjetas de radio, para expandir la funcionalidad de RouterBOARDs y PCs.

Nuevos Equipos (2017)





Nomenclatura Actualmente existen 3 tipos de nombres para RouterBOARDs: o3 números – Ejemplo: RB951 oUna palabra – Ejemplo: Omnitik, Groove, SXT, etc oNombre Excepcional – Ejemplo: RB1100, RB1200, RB2011 oEl nombre del router se designar en base a sus características: vCCR: Cloud Core Router. * S: Puerto SFP. vRB: RouterBOARD. * U: USB. v2,5: Radio 2.4 Ghz / 5Ghz. * i: PoE injector. vn: Radio 802.11n * G: Gigabit Ethernet. vD: Radio Dual Chain. * A: más memoria RAM. vH: Radio de alta potencia. * L: Versión ligth

Tabla de Equipos de Rendimiento MODELO

CPU

MEMORIA

CPU CORE

RB750R2/GR2

CAPC. USER

CAPAC. MB

Licencia

850 / 750MHz

64 MB

1

Aprox. 30

Aprox. 30 MB

4

RB951UI-2ND/G

600 MHz

128 MB

1

Aprox. 50

Aprox. 50 MB

4

RB450G

680 MHz

256 MB

1

Aprox. 80

Aprox. 60 MB

5

RB850GX2

533 MHz

512 MB

2

Aprox. 150

Aprox. 90 MB

5

RB3011UIAS-RM

1.4 Ghz

1 GB

2

Aprox. 200

Aprox. 150 MB

5

RB1100 AH X2

1 Ghz

2 GB

2

Aprox. 250

Aprox. 200 MB

6

CCR1009-8G-1s-pc

1.2 Ghz

2 GB

9

Aprox. 400

Aprox. 300 MB

6

CCR1016-12G

1.2 Ghz

2 GB

16

Aprox. 600

Aprox. 500 MB

6

Winbox Webfig Ingresando al Router Por Primera Vez

Ingreso Por Web Browser ◦ Este método de ingreso puede ser usado cuando el router ya tiene algunos parámetros previamente configurados. ◦ Proporciona una manera intuitiva de conectarse a un router, únicamente colocando en el navegador web la dirección IP asignada al router. ◦ Por defecto se utiliza 192.168.88.1.

Pasos para ingresar por Web browser: ◦ Conecte al router con un cable Ethernet y posteriormente a su tarjeta de red. ◦ Abra un navegador (Mozilla, Chrome, Internet Explorer, etc.). ◦ Escriba en el browser la dirección IP por default: 192.168.88.1. ◦ Si se le solicita, inicie sesión. Nombre de usuario es admin y la contraseña está en blanco por defecto.

Web browser: Al momento de ingresar se mostrara así:

¿Que es el Winbox? oWinBox es la interfaz propietaria de MikroTik RouterOS para acceder a los routers con RouterOS oSe puede descargar desde el sitio web de MikroTik o del router. oSe utiliza para acceder al router a través de IP (capa 3 OSI) o MAC (capa 2 OSI). oMientras está en el navegador, desplácese hacia abajo y haga clic en "cerrar sesión“. Entonces podrá ́ ver: ◦ Haga clic en WinBox ◦ Guardar winbox.exe

Utilizando Winbox ◦ Haga clic en el icono de WinBox, para abrir la aplicación y darle click en refresh. ◦ Escriba la dirección IP 192.168.88.1 ◦ Haga clic en Conectar ◦ Esperar a que se cargue la interfaz completa: ◦ Haga clic en OK

Descripción de botones de Winbox v Refresh: Descubre y muestra los dispositivos que están en la red (MikroTik Neighbor Discovery Protocol) o CDP (Cisco Discovery Protocol). v Connect: Conecta al router Mikrotik. v Add/Set: Guarda la dirección, el login, password y notas. v Connect To: Sirve para conectar el Mikrotik que tu desees, se coloca la MAC o la IP del router. v Login: Usuario (por defecto es "admin"). v Password: El password que tiene el usuario (por defecto esta vacío). v Keep Password: Si hacen check el password se grabara automáticamente. v Open in New Windows: Deja el cargador abierto en el fondo y abre nuevas ventanas para cada dispositivo al que se hace la conexión.

Interfaz de Winbox

Configuración Básica o en Blanco ? ◦ Puede o no tener una configuración básica cuando recién ha instalado el equipo, debido a que el equipo provee una configuración inicial, por defecto, para permitirle usar el equipo sin previa configuración definida por el usuario. ◦ Puede optar por no tomar la configuración básica por defecto, o dejar en blanco los equipos para poderlo configurar a gusto del cliente, usuario o administrador. Configuración Básica Dependiendo del hardware, se tendrá ́ una configuración por defecto que puede incluir: ◦ ◦ ◦ ◦ ◦ ◦

Puertos WAN. Puertos LAN. DHCP cliente (WAN) y servidor (LAN). Reglas básicas de Firewall. Reglas NAT. Direccionamiento LAN IP por defecto.

Configuración Por Defecto

Configuración en Blanco Puede ser utilizado en situaciones en las que no se requiere la configuración básica por defecto. ◦ No hay necesidad de Reglas de firewall por defecto. ◦ No hay necesidad de Reglas de NAT por defecto

Los pasos mínimos para configurar un acceso básico a Internet (si el router no tiene una configuración básica por defecto): ◦ ◦ ◦ ◦ ◦

Direcciones IP de LAN. Puerta de enlace predeterminada y servidor DNS. Dirección IP de la WAN. Regla de NA T (enmascaramiento). Cliente SNTP y la zona horaria.

Configuración en Blanco Para dejar en blanco el router sin ningún tipo de configuración se realiza el siguiente pasos:

Configuración en Blanco Para dejar en blanco el router sin ningún tipo de configuración se realiza el siguiente comandos:

Por que construir tu propio Router? oPuede ayudar a solucionar y cubrir una gran variedad de necesidades especificas que desea cubrir. oDependiendo del equipo router que use, puede tener muchas ranuras de Expansión muy útiles. ◦ Gran variedad de complementos. ◦ Configuración personalizable.

Configuracion Básica Configuración básica desde cero

Diagrama de Red Es un diagrama de red que es muy común en casa o oficina. Existen dos tipos de conexión de internet hoy en día que son: ADSL y HFC.

Diagrama de Red con Mikrotik Internet

Modo Router, que se encargara de los procesos a las peticiones de Internet.

.1 10.11.43.0/24

.ID

.1

172.16.ID.0/24

.2

Laboratorio 01 Conexión a Internet ◦ ◦ ◦ ◦

Realizar las conexiones de acuerdo al diagrama de red con Mikrotik. Configurar el puerto 1, con la dirección ID que se le asigno: 10.11.43.ID/24. Configurar el puerto 4, con la dirección de red que se le asigno: 172.16.ID.1/24. Configurar la tarjeta de red la computadora con la dirección IP que se le asigno: 172.16.ID.2/24. ◦ Configurar los DNS: 8.8.8.8 – 8.8.4.4. ◦ Configurar el NAT y aplicar la acción masquerade, se tiene como interface de salida Ether1. ◦ Configurar la ruta de salida por defecto.

Diagrama de Red con Mikrotik Internet

Modo Brigde, que se encargara entregar la conectividad de adsl al router Mikrotik.

Router, que se encargara de los procesos a las peticiones de Internet. o o

Adsl: PPPoE Cliente HFC: Dhcp Cliente

.1

172.16.ID.0/24

.2

Laboratorio 02 Conexión a Internet ◦ ◦ ◦ ◦

Realizar las conexiones de acuerdo al diagrama de red con Mikrotik. Configurar el puerto 1, DHCP Cliente o PPPoE Cliente. Configurar el puerto 4, con la dirección de red que se le asigno: 192.168.ID.1/24. Configurar la tarjeta de red la computadora con la dirección IP que se le asigno: 192.168.ID.2/24. ◦ Configurar el NAT y aplicar la acción masquerade.

Actualizando el Router Proceso de actualización del Router

Actualizando el Router Cuando realizar una Actualización Si el router MikroTik se encuentra desactualizado, podemos realizar en cualquier momento la actualización siempre y cuando intentemos mejorar o corregir lo siguiente: ◦ Corregir un error conocido. ◦ Cuando se necesita una nueva característica. ◦ Mejora del rendimiento. Antes de realizar una actualización Es importante saber la arquitectura soportada (mipsbe, ppc, x86, mipsle, tile) en la cual se va a realizar la actualización. Winbox indica la arquitectura del equipo.

Arquitectura del equipo (winbox)

Debe conocer qué ficheros se necesitan: o NPK: paquete de actualización de RouterOS (siempre que se realiza un upgrade). o ZIP: Paquetes adicionales (sobre la base de las necesidades). o Verificar los Cambios: proceso de verificación post-actualización que valida el cambio efectuado en su dispositivo y el correcto funcionamiento (siempre que se realiza un upgrade).

Como hacer un Upgrade Existen tres maneras ◦ Descargar archivos de la pagina web de Mikrotik y copiar en el router. ◦ Buscar actualizaciones (System -> Packages). ◦ Actualizaciones automáticas (System -> Automatic Updates).

Requisitos y sugerencias Cuando se utiliza un dispositivo RouterBOARD, siempre se sugiere actualizar el RouterBoot bootloader, después ya se podrá ́ actualizar el RouterOS. Para hacer esto, ejecutar el comando /system routerboard upgrade

Laboratorio 03 Descargando Archivos ◦ ◦ ◦ ◦ ◦

Ingresar a la pagina https://mikrotik.com/download Descargar el archivo de acuerdo a la arquitectura del router. Copiar los archivos en el router por medio de la ventana File. Reiniciar el equipo: system -> reboot. Comprobar que se realizó la actualización.

Nota: Para realizar este proceso lo principal que debemos hacer es tener descargado los paquetes de actualización que necesitamos.

Laboratorio 04 Buscando Actualizaciones

◦ A través del menú́ System / Packages. ◦ Presionar el botón Ckeck for Updates a continuación Download & Upgrade. ◦ Luego el equipo se reiniciará automáticamente . ◦ Verificamos la instalación de los paquetes y el estado del router.

Laboratorio 05 Actualización Automática ◦ Copie los archivos requeridos en uno de los routers para que sirva como fuente del archivo de actualización. ◦ Configurar todos los router para que apunten hacia el router interno.

Objetivos o Hacer un router como punto central de la red con las actualizaciones, que actualizará el RouterOS en otros routers. o Subir los paquetes RouterOS necesarios para este router. o Mostrar los paquetes disponibles. o Se selecciona y se descarga los paquetes deseados. o Reiniciar y luego verificar el estado del router.

Administración de usuarios Perfiles de usuarios (Full, Read, Write)

Administración de usuarios RouterOS ◦ La creación de diferentes usuarios para un sistema, o en este caso para el ingreso a un RouterBOARD, es algo fundamental para mantener nuestro sistema seguro, ya que podremos crear usuarios con diferentes prioridades. ◦ No todos los usuarios necesariamente deben ingresar a todas las operaciones que se puedan realizar en un Router.

Administración de usuarios RouterOS Cuentas de usuario oSe crean cuentas para: ◦ Definir acciones permitidas para cada usuario. ◦ Administrar los privilegios.

o Se crean grupos para: ◦ Tener una mayor flexibilidad cuando asignamos privilegios, ya que cuando tengamos una cierta cantidad de usuarios y que van a tener los mismos privilegios, podremos crear un grupo con los permisos que tienen y luego asignarle los usuarios pertenecientes a dicho grupo.

Administración de usuarios RouterOS Perfil de usuarios ◦ Full: Permite administrar con todo los privilegios del sistema operativo.

◦ Read: Permite administrar y tener privilegios el usuario de solo lectura en el sistema operativo.

◦ Write: Permite administrar y tener privilegios de solo escritorio en el sistema operativo.

Laboratorio 06 Cuentas de usuario ◦ Crear una cuenta de Todo los privilegios (Full). ◦ Crear una cuenta de solo lectura (Read). ◦ Crear una cuenta de solo escritura (write).

Administración de Servicios Administración de seguridad de servicios en RouterOS

Administración de Servicios en RouterOS Concepto ◦ En estas opciones encontraremos los protocolos y puertos usados por los RouterOS MikroTik. ◦ Ayuda a determinar a través de qué puertos escucha el router MikroTik, y lo que necesita para bloquear/permitir en caso de que se quiera controlar el acceso a los servicios determinados.

Servicios IP (IP Services) ◦ Administrar los servicios IP para limitar el uso de recursos (CPU, Memoria). ◦ Limitar las amenazas de seguridad (Puertos abiertos) o Cambiar el puertos TCP. ◦ Limitar las direcciones IP y subredes IP aceptadas.

Administración de Servicios en RouterOS Para controlar los servicios se debe ir al menú́ “IP -> Services”. Desactivar o Activar los servicios requeridos.

Laboratorio 07 Administración de servicios ◦ Modificar el puerto de winbox a 8295. ◦ Permitir acceso web solo a tu computadora y cambiar el puerto a 85. ◦ Deshabilitar los servicios: FTP, Telnet, SSH.

Administración de Respaldos Administración de respaldo de seguridad

Administración de Respaldos ◦ Los backup de configuración se pueden utilizar para realizar copias de seguridad de la configuración de un RouterOS, para uso futuro. ◦ La opción restore (restauración) se puede utilizar para recuperar la configuración del router, tal y como era en el momento de la creación de la copia de seguridad, a partir de un archivo de backup. ◦ La opción export puede utilizarse para volcar la configuración Mikrotik RouterOS completa o parcial a la pantalla de la consola o a un archivo de texto, que se puede descargar desde el router mediante el protocolo FTP.

Tipos de Backup Tipos de Backup: ◦ Backup Binario. ◦ Comando export.

Backup Binario ◦ Realiza un respaldo completo del sistema. ◦ Incluye contraseñas y usuarios. ◦ Los archivos de backup serán guardados por defecto en el mismo router. ◦ Se recomienda que el archivo backup se guarde en una PC o en una unidad externa ya que resultaría ilógico que se guarde en el mismo dispositivo.

Tipos de Backup Backup Binario

Backup Binario realizado por Winbox.

Backup Realizado por la consola de Mikrotik.

Tipos de Backup Comando export ◦ Se puede visualizar la configuración completa o parcial. ◦ Se usa el comando compact para mostrar la configuración no predeterminada. La sentencia print permite visualizar la configuración parcial o total. Si se ingresa en la pagina principal únicamente el comando export, entonces se respalda toda la configuración del router. /export file = nombre_del_archivo

Laboratorio 08 Backup Binario ◦ Realizar un backup Binario de la configuración. ◦ Extraer el backup en el escritorio de la computadora. ◦ Resetear el equipo para que no cargue ninguna configuración por defecto. ◦ Subir el backup a Files del equipo Mikrotik y restaurar. ◦ Verificar el equipo si ha cargado el backup.

Reparación con NetInstall Reinstalación de Sistema Operativo RouterOS

Procedimiento de NetInstall Es un programa que se ejecuta en una PC de Windows que permite instalar, reinstalar o restablecer RouterOS Mikrotik en un PC o en una RouterBOARD través de un cable Ethernet.

Procedimiento de NetInstall Configurar la dirección IP del programa Netinstall:

Procedimiento de Netinstall

Tener presionado el botón “Reset” y luego enchufar a corriente sin soltar el botón “Reset”. Soltar el botón hasta que aparezca el Modelo del equipo en el Software de NeInstall.

Procedimiento de NetInstall Como ultimo paso, es elegir o seleccionar el paquete que se va instalar en el equipo. Luego dar clic en el botón “install” y vamos a visualizar la transferencia que realiza el programa hacia el router. Nota: Antes que se cierre el programa, hay que verificar que en “status”, se visualice en “OK”.

Brigde Mikrotik Realizando brigde a interfaces ethernet y wireless.

Brigde Mikrotik Conceptos de Bridging ◦ El bridge trabaja en la capa 2 del modelo OSI. ◦ EL bridge Ethernet trabaja con el protocolo CSMA/CD, el cual le permite censar y escuchar la red antes de transmitir. ◦ Cuando algunos equipos al mismo tiempo transmiten, se generan colisiones que hacen que la red colapse.

Brigde Mikrotik Usando Bridges Por defecto, en los routers MikroTik, los puertos Ethernet están asociados (esclavos) a un puerto maestro. Ventajas: ◦ No necesita configuración previa. ◦ Conmutación rápida (a través de chip switch, no en software)

Desventajas: ◦ No se limita el numero de reenvíos mediante broadcast. ◦ Difícilmente escalable para redes muy grandes. ◦ El procesado y almacenamiento de datos introduce retardos.

Brigde Mikrotik Creando un Brigde:

Brigde Mikrotik Agregando puertos al bridge

◦ La adición de puertos deﬁnirá ́ cuales puertos van a pertenecer a la misma subred. ◦ Se puede agregar diferentes tecnologías, tales como una interfaz Wifi.

Laboratorio 08 Creando Brigde y unir puertos o Crear dos Brigde con los siguientes nombres: Soporte y LAN. o Unir puertos el 2 y 3 al Brigde LAN y el puerto 4 al Brigde Soporte. o Asignar Direcciones IP al Brigde LAN: 192.168.50.1/24 y Brigde Soporte: 192.168.55.1/24. o Asignar una dirección IP la computadora en el rango del brigde Soporte y comprobar si tienes servicio de internet. o Asignar una dirección IP la computadora en el rango del brigde LAN y comprobar si tienes servicio de internet.

Administración de la Red Herramientas administrativas y utilidades.

Herramientas de RouterOS o RouterOs, dispone de un paquete completo de herramientas avanzadas donde el administrador de red puede verificar y analizar el trafico de la red. o El Paquete esta disponible en advanced-tools.

Email – Correo Electrónico Es una herramienta donde el mikrotik se puede configurar como un cliente de e-mail, que permite enviar mensajes de correo electrónico desde el router como por ejemplo: backup.

Bandwidth test Permite verificar cuanto ancho de banda puedo enviar de un extremo a otro como es en los casos de un enlace Punto a Punto.

Punto A

Punto B

Graphing A través de esta herramienta de gráficos de RouterOS es posible graficar el trafico de las interfaces, simples queues y recursos del router.

Torch o El Torch es una herramienta de monitorización de trafico en tiempo real que se puede utilizar para monitorear el trafico a través de una interfaz. o A pesar de CLI es muy flexible, la interfaz del Torch en Winbox es muy intuitivo.

Utilidades de Administrador Configurar la hora y la fecha del RouterBoard.

Utilidades de Administrador Configurar la hora y la fecha del RouterBoard.

Utilidades de Administrador Configurar Email y enviar backup automático.

Dirección IP del Servidor Correo. Puerto de Seguridad del SRV Correo. Indicar la si es seguro el Servidor. Indicar la Cuenta de correo. Indicar el usuario de la cuenta. Escribir tu contraseña de la cuenta.

Utilidades de Administrador Configurar Email y enviar backup automático.

Utilidades de Administrador Realizar un reinicio programado del RouterBoard.

Amarre de IP y Mac Seguridad robusta de dirección IP y Mac

Amarre de IP y Mac oEl amarre IP/MAC por ARP es una de las medidas de seguridad más básicas que puede ofrecer el servidor MikroTik. oConsiste en tener una lista de relaciones IP/MAC registradas dentro del servidor. oSi un intruso con un IP, o MAC, o relación IP/MAC distinto a los ya registrados intentara tener internet, no tendrá respuesta alguna ya que no está en la lista de IP/MAC que registramos previamente.

Amarre IP y Mac

Amarre de IP y Mac

Dhcp Server Mikrotik Ejecutar el Servidor Dhcp y verificar sus aplicaciones.

DHCP Server q Entrega direcciones IP, se configura solo una instancia por cada interfaz del router. q Se configura de un asistente por consola o por pasos de gráficos:

DHCP Server Pasos por gráficos: q Elegir interface, dar clic en “Next”

q Nos indica la “puerta de enlace”, si todo esta conforme, clic en “Next”

q Verificar si la Dirección de Red, es la correcta, dar clic en “Next”.

DHCP Server q En esta opción, permite elegir el rango de direcciones Ips que va entrar el servidor DHCP, luego dar clic en “Next”. q En esta opción, permite configurar los Servidores DNS, luego dar clic en “Next”

q En esta opción, permite configurar el tiempo, que permanecerá esa IP al momento que se ah entregado. Luego dar clic en “Next”

DHCP Server q Como paso final, nos visualiza un mensaje que se ha completado satisfactoriamente, si todo esta conforme dar clic en “Next”.

v Comprobación: Vamos a visualizar en la pestaña “leases”, donde nos aparece las computadoras que han tomado IPs dinámicamente.

Firewall Mikrotik Aceptar, bloquear reglas de políticas de firewall

Firewall - Mikrotik Concepto Básico de Firewall o Un firewall es un dispositivo o sistema de seguridad de red que permite (en base a un conjunto de reglas) controlar el trafico que ingresa y sale a la red. o Generalmente un firewall crea una barrera entre una red que se considera segura (usualmente la red interna o LAN) y otra red que se asume no es segura (comúnmente red externa, y/o Internet). o El firewall MikroTik protege al equipo frente a ataques de Internet, contenidos Web peligrosos, análisis de puertos y otros comportamientos de naturaleza sospechosa.

Firewall - Mikrotik Como funciona un Firewall ? El Firewall opera usando reglas. Esta tiene 2 opciones: ◦ The matcher : Todas las condiciones tienes que ser verificadas y deben coincidir, para poder aplicar. ◦ The Action : Una vez que todos los parámetros coinciden y pasa la primera verificación, se procede con la acción.

El matcher analiza y compara estos siguientes parámetros: ◦ ◦ ◦ ◦ ◦ ◦

Source MAC address. IP addresses (network or list) and address types (broadcast, local, multicast, unicast). Port or port range. Protocol. Protocol options (ICMP type and code fields, TCP flags, IP options). Y Mucho mas…

Listado de Puertos Conocidos




Mapa de Protocolos

Firewall - Mikrotik RouterOS puede filtrar por: ◦ ◦ ◦ ◦

Dirección IP, rango de direcciones, puerto, rango de puertos. Protocolo IP, DSCP y otros parámetros. Soporta Listas de Direcciones estáticas y Dinámicas. Puede hacer match de paquetes por patrón en su contenido, especificado en Expresiones Regulares, conocido como Layer 7 matching.

Firewall – Mikrotik Cadenas de Firewall: ◦ INPUT: Procesa los paquetes enviados al router. ◦ OUTPUT: Procesa los paquetes enviados por el router. ◦ FORWARD: Procesa los paquetes enviados a través del router.

Diagrama de Flujo Firewall

Tácticas de Firewall Bloquear lo conocido y aceptar el resto INPUT

1

-----------

2

-----------

3

-----------

4

-----------

5

-----------

Tácticas de Firewall Aceptar lo conocido y bloquear el resto INPUT

1

-----------

2

-----------

3

-----------

4

-----------

5

-----------

Cadena INPUT Protegiendo tu Router

Ejemplo: El Administrador red requiere aplicar una regla que no permita dar PING al router Mikrotik desde la LAN y WAN.

Cadena Forward Bloqueando accesos a la red LAN.

Ejemplo: El Administrador red requiere aplicar una regla que no permita navegaciónón la red de Almacén, dado que la dirección de red es 192.168.50.0/24.

Laboratorio 09 Realizando filtrado en el Firewall ◦ Realizar una regla que permita bloquear el Ping desde la WAN, pero menos la LAN. ◦ Realizar una regla que bloquea la navegación a todos, pero excepto tu computadora.

Docente: ◦ Realizar el bloqueo de youtube. ◦ Realizar el bloqueo de Facebook.

Address-list (Listas de direcciones) Concepto ◦ address-list se usa para agrupar direcciones IP. ◦ Ayuda a simplificar la cantidad de reglas creadas en el router.

Pregunta: ¿Qué es mejor? Aplicar 10 reglas aplicadas a 10 IPs o aplicar 1 sola regla a un solo grupo de IPs.

Los grupos de address-list pueden representar: ◦ Grupo de administradores, departamentos. ◦ Hackers. ◦ Lo que sea que se dese clasificar.

Laboratorio 10 Realizar una regla que permite acceso total las direcciones IPs de gerencia, jefe de almacén, jefe de soporte, cuyas direcciones Ips son: ◦ 192.168.55.10 (Gerencia). ◦ 192.168.55.20 (Jefe de almacén). ◦ 192.168.55.50 (jefe de soporte). Realizar una regla que permite el acceso solo la pagina de sunat y resto bloquear.

QoS Mikrotik Limitar el ancho de banda por usuario o grupo de usuarios

¿Que es QoS? Las colas se utilizan para limitar y priorizar el trafico: q Limitar la velocidad para ciertas direcciones IP, subredes, protocolos, puertos y otros parámetros. q Limitar el tráfico de igual a igual. q Priorizar el flujo de algunos paquetes sobre otros. q La implementación de colas en RouterOS se base en HTB (Hierarchical Token Bucket). HTB permite crear una estructura de cola jerárquica y determina las relaciones entre las colas.

Simple Queues q Target: Dirección origen q Dst: Dirección destino q Max Limit: Máximo ancho de banda que puede transferir. q Limit At: Ancho de banda asegurado. q Colores de QueQue v Verde: 0% - 50% v Amarillo: 51% - 75% v Rojo: 76 – 100%

CIR y MIR Hay dos tipos de limites: q CIR (Committed information Rate) – en el peor caso, el flujo obtendrá lo asegurado (limit-at). q MIR (Maximal Information Rate) - en el mejor caso podemos llegar a la máxima velocidad (maxlimit). q CIR = Limit-At en Mikrotik RouterOS q MIR = Max-Limit en Mikrotik RouterOS

Simples Queues: Ejemplo Brindar un ancho de 5M (download) y 1M (Upload) dos redes: Soporte y LAN

Simples Queues: Ejemplo

Simples Queues: Ejemplo

Laboratorio 11 Realizar reglas simples de Queues: ◦ Realizar una regla simple queues a tu dirección IP de tu computadora de 1M de Subida y 3M de Descarga. ◦ Realizar la comprobación con el speedy test. ◦ Realizar una regla de simple queues a tu dirección IP y también de tu compañero de 1M de Subida y 3M de Descarga. ◦ Realizar la comprobación con el speedy test.

Wireless Mikrotik Acceso a red inalámbrica

Conexión Inalámbrica ◦ La comunicación inalámbrica (sin cables) es aquella en la que la que el emisor y el receptor no se encuentra unidos por un medio de propagación físico, sino que se utiliza la modulación de ondas electromagnéticas a través del espacio. ◦ El estándar IEEE 802.11 define el uso de los dos niveles inferiores de la arquitectura OSI (capas física y de enlace de datos), especificando sus normas de funcionamiento en una WLAN. Recuerde: El MikroTik RouterOS opera en 5GHz (802.11a/n/ac) y 2.4GHz (802.11b/g/n)

Conexión Inalámbrica 802.11b/g ◦ 2.4GHz, Ancho de Banda 22MHz, 54Mbps ◦ Rango de Frecuencia en Canales 1, 6 y 11 no se sobreponen o no se produce el efecto de overlapping.

Frecuencia 2.4 Ghz

Frecuencia 2.4 Ghz

Frecuencia 5Ghz 802.11a El estándar 802.11a utiliza el mismo juego de protocolos de base que el estándar original, opera en la banda de 5 GHz y utiliza la multiplicación por división de frecuencias (OFDM) con una velocidad máxima de 54 Mbit/s, lo que lo hace un estándar práctico para redes inalámbricas con velocidades reales de aproximadamente 20 Mbit/s.

Frecuencia 5Ghz

Configuración Básica de un AP Para configura un AP debemos conocer los siguientes parámetros ◦ Mode: AP bridge. ◦ band: Esta opción se seleccionará basada en la capacidad de los AP y clientes. Si el AP soporta múltiples bandas (ej. B/G/N) se debe seleccionar la que ofrece mejores características. ◦ frequency: Cualquiera que defina el instructor o habilitada para usarse (De este tema se hablara más adelante). ◦ ssid: El nombre del identificador de la red inalámbrica generada. ◦ wireless-protocol: Basado en los equipos (AP y clientes) usados. En este caso usaremos 802.11

Configuración Básica de un AP

Configuración de Seguridad: WPA - WPA2 POR FAVOR no olvidar configurar el security-profile. Ayudará a fomentar una mayor seguridad en nuestros equipos. No se recomienda usar por ningún motivo una conexión inalámbrica sin security-profile ya que deja la red propensa a un ataque o infiltración.

Para crear un security-profile ◦ ◦ ◦ ◦ ◦ ◦

Menu: Wireless Security Profile Click en Add (+) Name : nombre del profile Mode : Tipo de autenticación usada. Authentication types : Método de autenticación usada en la conexión Ciphers : Métodos de cifrado.

Security Profile

Configuración Modo: Estación (cliente) ◦ mode: station. ◦ Scan: Para buscar el AP donde nos vamos a conectar.

Configuración Modo: Estación (cliente)

Configuración Modo: Estación (cliente)

Protocolo Propietario Mikrotik NV2 NV2 (Nstreme Version 2) ◦ Protocolo propietario de MikroTik ◦ Funciona únicamente con chips inalámbricos Atheros 802.11. ◦ Este protocolo esta basado en TDMA (Time División Múltiple Access) lo que le permite abarcar mas estaciones en lugar de CSMA (Carrier Sense Múltiple Access) ◦ Se utiliza para mejorar el rendimiento a través de largas distancias

Beneficios Nv2 ◦ Aumento de la velocidad. ◦ Baja latencia. ◦ No hay limitaciones de distancia. ◦ Más conexiones de los clientes en entornos de PTM. Acepta mas clientes en ambientes punto a multi-punto (soporta hasta 511 clientes). ◦ Mayor control en latencia, logrando parámetros muy bajos. ◦ Reduce el retardo en Propagación. ◦ Soporte de anchos de canal de 5/10/20/40 MHz.

Herramienta de Monitoreo 1.- scan y frequency-usage: Ambas herramientas se basan en el “scan-list” para el barrido de frecuencias. Nota: La interface Wireless se deshabilita mientras se usan estas herramientas: ◦ Scan: muestra todo los APs basados en 802.11. ◦ Frequency-usage: muestra el porcentaje de uso de las frecuencias 802.11.

Herramienta de Monitoreo 2.- Wireless Snooper: Esta herramienta monitorea el uso de frecuencia, mostrando cuales dispositivos ocupan cada frecuencia. También está disponible por línea de comandos a través de la consola.

Diagrama de Red WISP NV2 LAN 192.168.1.0/24

Wan 1.1.1.2/32 PPPoE Client

LAN 192.168.2.0/24

NV2


PPPoE Server 1.1.1.0/24


LAN 192.168.4.0/24

LAN 192.168.3.0/24

HostPot Mikrotik Portal Cautivo, ingresando con un usuario y contraseña a acceso a internet

Introducción HostPot ◦ Permite de una forma autorizar a los usuarios a acceder a los recursos de red, a través de un usuario y contraseña. ◦ El sistema HotSpot está orientado a proporcionar autenticación dentro de una red local (para que los usuarios de la red local accedan a Internet). ◦ El cliente estará conectado por un limite de tiempo y se podrá asignar un ancho de banda para cada usuario que se conecte. ◦ Para iniciar sesión, los usuarios pueden utilizar casi cualquier navegador web (protocolo HTTP o HTTPS), por lo que no se requiere que instalen software adicional.

Características ◦ Permite la autenticación antes de acceder a una red. ◦ Solicita un usuario y contraseña. ◦ Se puede aplicar en una interface ethernet o inalámbrica. ◦ Se puede personalizar la pantalla de login (.html). ◦ Acceder a ciertas paginas sin autenticación. ◦ Contiene una base de datos local (routerboard). ◦ Permite la autenticación de servidor remoto RADIUS o Local.

Lugares de implementación y limitantes Lugares de Implementación

◦ Aeropuertos. ◦ Mall. ◦ Cafeterías. ◦ Hoteles. ◦ Escuelas o Universidades. ◦ Lugares Públicos.

Lugares de implementación y limitantes Limitantes por Licencias: ◦ Equipos Mikrotik con licencia nivel 4 nos permitirá tener 200 usuarios activos. ◦ Equipos Mikrotik con licencia nivel 5 nos permitirá tener 500 usuarios activos. ◦ Equipos Mikrotik con licencia nivel 6 nos permitirá tener un numero ilimitado de usuarios activos.

Características a Implementar Hotspot oConsiderar un equipo donde soporte la cantidad de usuarios que se estarían conectando a la red. oPoseer un buen ancho de banda para nuestra red. oTener una licencia adecuada en nuestro routerboard donde va a ser configurado el servidor de HotSpot.

Características de Configuración IP HotSpot: ◦ En este menú se puede manejar o ejecutar los servidores HotSpot en el router. ◦ Es posible configurar un HotSpot en las siguientes interfaces: ◦ Ethernet. ◦ Wireless. ◦ VLAN. ◦ Brigde. ◦ Solo un servidor HotSpot es permitido por interfaz.

Características de Configuración HotSpot Setup ◦ Se recomienda utilizar /ip hotspot setup para la configuración de un servidor hotspot. ◦ Antes de realizar la configuración del servidor HotSpot debemos tener en cuenta algunos detalles: ◦ El routerboard que se va configurar como servidor de HotSpot debe de tener salidad de internet. ◦ Debe tener asignada una dirección IP de valida a la interface donde va a configurar el servidor HotSpot. ◦ Considerar también en tener configurado los servidor de DNS. ◦ Los demás ajustes se deben realizar manualmente.

Hardware Mikrotik HotSpot RB450G RB750r2

RB1100 AHx2

Solución Wifi Integrada Mikrotik

RB951G-2HnD RBMetal 2SHPn

RBwAPG-5HacT2HnD

Escenario de HostPot

.1

.ID 10.11.43.0/24

o El hostpot se va ejecutar en la interface inalámbrica. o La tarjeta inalámbrica es wlan1.

Configuración: Ingresamos a nuestro routerboard:

Configuración: Configurar DHCP-Cliente en la interface ether1

Configuración: Comprobamos que tengamos internet en el routerboard, ir a New Terminal

Configuración: Configurar una Dirección IP Valida a la interface inalámbrica: ◦ La dirección IP que se configurara va asignada como puerta de enlace a los usuarios que van a ingresar al login.

Configuración: Como siguiente paso, iniciamos el hotSpot: ◦ IP -> HOTSPOT - > HotSpot Setup

Configuración: Seleccionamos la interface donde estará configurado el servidor HotSpot:

Configuración: Nos aparece la dirección IP de la red de forma automática y enmascaramos la red, click en next.

Configuración: Especificamos el pool de direcciones que va entregar al momento que el dispositivo se conecte, Click en next.

Configuración: Seleccionar certificado si vamos a utilizar el HTTPS como método de Login, click en Next.

Configuración: Especificamos la dirección IP servidor SMTP para gestión de notificaciones, Click next.

Configuración: Especificamos los servidores DNS que va entregar al usuario, Click en next

Configuración:

Especificamos el nombre de DNS para el login, click en next

Configuración: Creamos nuestro primer usuario para ingresar a login, click next

Configuración: Al finalizar nos saldrá una venta indicando que se ha creado satisfactoriamente el servidor HotSpot. Click en OK.

Reglas Automáticas Filter Rules

Reglas Automáticas NAT

Pantalla de Bienvenida HostPot En la pantalla de bienvenida ingresamos el usuario y contraseña creada anteriormente.

Configuraciones Adicionales Walled Garden ◦ Es una herramienta usada para dar acceso a ciertos servicios en la red sin la necesidad de una autenticación. ◦ Es posible que los usuarios pueden acceder a ciertas paginas web sin la necesidad de autenticación. Walled Garden IP ◦ Es una herramienta usada para dar acceso a ciertos servicios en la red sin la necesidad de una autenticación, mediante protocolo IP. IP Bindings ◦ Permite que ciertas direcciones IPs hagan un Bypass a la autenticación del Hotspot y también permite bloquear hosts específicos y subredes de una red HotSpot.

Laboratorio 12 HostPot ◦ Ejecutar el HostPot en la interface inalámbrica. ◦ Crear un usuario y contraseña, comprobar que se inicie sesión. ◦ Permite la pagina de mikrotik: www.mikrotik.com

VPN – Red Privada Virtual VPN de acceso remoto y Site to Site

¿Que es una VPN? o Una VPN (Virtual Private Network) es una tecnología de red que se utiliza para conectar una o más computadoras a una red privada utilizando Internet. o Crea un túnel en dos o mas sucursales agregando seguridad entre ellas.

VPN – Red Privada Virtual Tipos de VPN: ◦ VPN de Acceso Remoto: Es el modelo mas usado, donde el usuario finales tiene que tener acceso a internet para poder conectarse a la VPN con un usuario y contraseña proporcionado por el administrador red. ◦ VPN Punto a Punto: Este esquema es utilizado para poder conectar oficinas remotas con la sede central. Se crea un Servidor VPN donde debe de estar siempre conectado a internet.

VPN – Red Privada Virtual ¿Por qué utilizar VPN? ◦ Bajo costo ◦ Seguridad ◦ Interconexión ◦ Usuarios Móviles ◦ Administración ◦ Escalabilidad y Flexibilidad

Protocolos de VPN: L2TP y PPTP ◦ PPTP es un túnel seguro para el transporte de tráfico IP. ◦ PPTP encapsula PPP en las líneas virtuales que se ejecutan a través de IP. ◦ PPTP incorpora PPP y MPPE (Microsoft Punto a Punto de cifrado) para hacer enlaces cifrados de 128 Bits. ◦ El objetivo de este protocolo es hacer conexiones seguras bien administradas entre los routers, así como entre los routers y los clientes PPTP.

Protocolos de VPN: SSTP ◦ La configuración de un túnel SSTP es igual al de un Server PPTP o L2TP, la diferencia es que este túnel utiliza el puerto TCP 443. ◦ Ofrece mayor encriptación que PPTP y L2TP. ◦ Usa un puerto que nunca es bloqueado por los firewalls.

Servidor VPN SSTP

Cliente SSTP

VPN Server: PPTP, L2TP, SSTP En los tres servidores de VPN se crea de la misma manera. Solo hay que habilitarlo para que comienza a funcionar:

VPN Cliente: PPTP, L2TP, SSTP Se debe de especificar siempre la IP del servidor VPN, usuario y contraseña.

Escenario VPN de Laboratorio 12

10.11.43.0/24

.1 .1 10.11.43.0/24 .2

.ID

.1 192.168.ID.0/24

PING

.2

.ID 192.168.ID.0/24

.1

¿Dudas?

Muchas Gracias !!! CONTACTO: RUBEN CABRERA NECIOSUP 014801010 Anexo: 232 986 536 751 - 990011226 [email protected] [email protected]

Curso Básico Mikrotik (9 y 10)

Recommend Documents