ISP bridge pro PPPoE xDSL - terminator

radeknekvasil

Dobrý den,
mám k dispozici terminator na DSL lince, ale potřeboval bych router, který vytočí VPN a vše předá na další interface. Router tedy nebude routovat, ale jen plnit funkci PPPoE klienta.
"Volný" máme mikrotik UAC 2011.

Ve standardním režimu, kdy mikrotik routuje mi internet funguje.
Potřebuji ale předat - zakončit veřejné IP adresy na jiných dvou routerech, které v režimu HA nemohou dělat PPPoE klienta.

K tomu jsem zapojil zatím počítač s 2x LAN interface pro testy.
Zapojení je tedy veřejný internet -> eth01, kde je ppoe klient a tagování VLAN 848
Eth04 a Eth05 jsou určeny pro dva routery cisco, nyní eth04 -> PC LAN2
PC LAN1 karta je v síti, kde mám internet, abych nemusel řešit na místě.

Od poskytovatele mám zakoupeny 3 veřejné IP. Jednu z nich využívá ppoe klient, druhá je nastavena na LAN počítače.

/interface vlan
add interface=ether1-ISP-cetin name=vlan-848 vlan-id=848
/interface pppoe-client
add disabled=no interface=vlan-848 max-mru=1492 max-mtu=1492 name=internet365-PPoE password=365internet user=365internet

následně jsem vytvořil bridge a do něj přidal port poskytovatele a počítače:

/interface bridge
add name=ISP-Bridge
/interface bridge port
add bridge=ISP-Bridge interface=ether1-ISP-cetin
add bridge=ISP-Bridge interface="ether4 - PC LAN1"

Dokázal by mi někdo poradit, kde dělám chybu ?

Děkuji

justme

radeknekvasil Jestli to chápu správně, neměl by být v tom bridge interface pppoe client a né fyzický port? Pak by to mělo fungovat jak popisujete ne? Jestli správně chápu

zdeneksvarc

Jestli do dobře chápu, tak existuje jedna WAN konektivita (VDSL přes 365internet). Dále jeden Cetin Terminátor připojený k této WAN konektivitě jednou stranou a do Routerboard UAC 2011 druhou stranou. Routerboard funguje jako bridge, který na jedné straně terminuje VLAN+PPPoE z WANu a na dvou LAN portech má připojeny Cisco routery (aktuálně ne, ale budou tam), přičemž tyto Cisco routery teprve budou routovat.

Dále, PPPoE účet má přiděleny tři veřejné IP adresy. Jedna je zamýšlená pro Routerboard a dvě pro Cisco routery.

Pokud to tak je, plyne z toho:

1) Redundace L3 na LAN, ale bez redundance do Internetu. Což je zvláštní případ, protože většinou se lidé v první řadě snaží o redundaci WAN linek.

2) Single point of failure je nejen jedna WAN konektivita, ale také Routerboard.

3) Fungovat to bude, ale je to kočkopes. Při hledání chyby, kterou jsi nijak nepopsal, určitě začni kontrolou ARP tabulek a případně na interfacech Routerboardu použij proxy-arp.

4) Jaký je přesný smysl těch dvou Cisco routerů (VRRP? OSPF?). Nedá se obejít bez nich a routovat redundantní L3 z LAN strany rovnou na Rotuerboard?

zajdee

Bridgovat VLAN 848 a LAN nedava smysl. Smysl by to davalo jen tehdy, pokud by PC v LAN fungovaly jako PPPoE klient. PPPoE spojeni na VDSL lince ale muze byt jen jedno.
Tri IP adresy jsou hodne zvlastni pocet. Jak presne to 365internet routuje?
Pokud jsou zarizeni v LAN hloupa, jsou dve, a chcete mit verejne IP primo na nich, potrebujete od 365internetu alespon osm naroutovanych adres (broadcast, adresu routeru, dve adresy pro zarizeni v LAN, "nultou adresu" site - to je pet adres, a nejblizsi vyssi mocnina dvojky je 8 adres). Naroutovany rozsah muzete pridat na LAN, nultou adresu preskocit, prvni pouzit pro router, druhou a treti pro zarizeni v LAN, ctvrtou az sestou nevyuzit, sedmou pouzit pro broadcast. Je pak na vas, jestli je budete konfigurovat staticky, nebo napr. pomoci DHCPv4.
Alternativni reseni samozrejme existuji, ale nevime, jestli je vsechna zarizeni podporuji (/31 site mezi routerem a kazdym zarizenim "v LAN", pripadne routovani /32 adres skrze privatni rozsahy).

radeknekvasil

zajdee ip adresy máme s maskou /32

radeknekvasil

@zdeneksvarc ano, jedna konektivita přes 365internet. Tento poskytovatel je zakončen terminátorem bez routování.
Za tímto terminátorem musím spojit PPPoE a tagovat.

ke stávajícím dvěma routerům cisco jsou připojeny další 2 konektivity jiných poskytovatelů. Obě konektivity jsou zakončeny veřejnou IP adresou od poskytovatelů na routerech cisco. A vlastně toho chci dosáhnout mikrotikem - předat na inferface v režimu bridge veřejnou IP, bohužel zde musí být ten PPPoE klient. Jinak bych tam mikrotik necpal.

Cílem je jednu ze stávajících bezdrátových konektivit odstranit a nahradit VDSL konektivitou. Do routerů cisco nevidím, měl bych předat pouze IP adresu do interface.

Routování, failover, loadbalancing řeší tyto 2 cisco routery + jeden firewall (taky cisco). Routery cisco jsou v režimu HA, který nepodporuje PPPoE klienta. V režimu standalone routery podporují PPPoE, ale to mi nepomůže.

Počítač v jednom portu mikrotik mám se statickou IP adresou, kterou máme od poskytovatele. Chybou je, že tento počítač nemá dostupnou DGW od poskytovatele - resp internet.

radeknekvasil

justme pokud nastavím port s PPPoE do bridge, přestane klient PPPoE fungovat s chybou "Client is on slave interface"

Puski

radeknekvasil ten client by měl být v ten moment šoupnut taky na bridge.

zajdee

PPPoE interface na bridge nepatri.
Tri IP adresy s maskou /32 jsou fakt zvlastni zpusob routovani adres.
Predpokladam, ze jednu z nich obdrzi to PPPoE rozhrani a dve jsou "ve vzduchu" - idealne routovane na to rozhrani.
Kdyz vytocite PPPoE a zkusite z internetu traceroute na prvni, na druhou resp. na treti adresu, jak ty tracerouty vypadaji?

Puski

zajdee samozřejmě že nepatří ve standardní situaci. Ale v momentě kdyby si ty 2 zařízení za tím Mikrotikem(včetně Mikrotiku) potřebovali taky vytočit PPPoE tak přesně takhle bys to musel udělat. Ale to není tento případ kdy kolega na těch routerech vytáčet pppoe nemuze. Na starší verzi Mikrotiku by mu to dokonce tu hlasku s chybou ani nenapsalo. Mikrotik nepředpokládá chybu mezi klávesnici a židlí. Jinak ten způsob naroutovani taky moc nechápu 🙂 ale proč to dělat jednoduše když to jde složite. ISP asi ví co dělá 🙂

zajdee

Jeste tu nepadlo, jak presne budete konfigurovat ta Cisca - pomoci DHCPv4 nebo staticky? Pokud staticky, podporuji masku /31?

zajdee

Puski tomu asi nerozumim. PPPoE vytvari interface, adresa je mu pridelena v ramci vyjednani spojeni s protistranou (koncentratorem). Jak by tohle melo v bridge fungovat? :-)
Pokud chci mit tri zarizeni a ze vsech tri vytacet (tri ruzna) PPPoE spojeni, aby kazde melo svou IP adresu, tak do bridge dam upstream rozhrani (vlan 848 na ethernetu z terminatoru) a l2 rozhrani k dalsim zarizenim (nejakou lokalni vlanu, nebo netagovany provoz, jak je libo) a pak v te VLAN vytacim PPPoE. S ceskym VDSL to nejde, no.

Spravny zpusob reseni jsem popsal v jednom z predchozich prispevku: jedna IP na PPPoE rozhrani a routovany IPv4 prefix o velikosti /29, ktery bude na L2 segmentu (mezi mikrotikem a cisco zarizenimi). Napr 192.0.2.64/29, pak:
192.0.2.65/29 mikrotik
192.0.2.66/29 cisco1
192.0.2.67/29 cisco2
(Konfigurace muze byt staticka, fungovat bude ovsem i DHCP se spravne nastavenym poolem a rezervacemi.)

Mikrotik pak bude v roli prosteho routeru (na provoz z routovaneho rozsahu se nesmi aplikovat NAT).

Puski

zajdee Asi myslíme oba to same. Jen jsem se asi špatně vyjádřil. A je to samozřejmě tak jak píšeš. Vstupní VLAN (třeba tady zrovna 848) vytvoříš na vstupní interface (třeba eth1). Uděláš Bridge a do něj hodíš tu vytvořenou VLAN a třeba ether 2 a 3 a na těch zařízeních co tam máš připojeno už rovnou vytáčíš (různé) pppoe. No a v případě že by si z nějakého důvodu (já to mám pro opravdu jednu specifickou situaci na síti) potřeboval vytočit PPPoE i na tom Mikrotiku tak toho clienta musís vytvořit na ten bridge interface. Jestli to lze takhle udělat i na VDSL nevim nikdy jsem VDSL neřešil a jestli ne tak se omlouvám. Tohle dělám pouze u sebe na síti vs náš pppoe koncentrátor. Já jsem pouze narážel na ten fakt že mu to hlásilo tu chybovou hlášku a proč jí to hlásí. Když si uděláš DHCP server na ethernet který je v bridgi dostáváš se do úplně stejně situace. Ale tohle je možná trochu off topic a sorry autorovi za něj 🙂