In diesem Artikel werde ich Schritt für Schritt den Prozess der Installation eines Testservers für ein großartiges Projekt beschreiben bis zum vollständig funktionsfähigen Zustand und praktische Tipps für die Arbeit mit Mikrotik vorstellen: Konfiguration über Parameter, Ausführung von Skripten, Updates, Installation von zusätzlichen Modulen usw.
Das Ziel des Artikels ist es, Kollegen dazu zu bewegen, auf die Verwaltung von Netzwerkgeräten mit schrecklichen selbstgeschriebenen Skripten, Dude, Ansible usw. zu verzichten und damit Jubel und Freude in den Straßen zu entfachen.
0. Auswahl
Warum freeacs und nicht genie-acs, das in , als aktiver erwähnt wird?
Weil es zu genie-acs mit Mikrotik Veröffentlichungen von Spaniern gibt. Hier sind ihre und von der letzten MUM. Automatische Präsentationen in den Folien sind klasse, aber ich möchte die Konzeptschrift für das Ausführen von Skripten hinter mir lassen …
1. Installation von freeacs
Wir werden auf CentOS 7 installieren. Da die Geräte eine erhebliche Menge an Daten übertragen und das ACS aktiv mit der Datenbank arbeitet, werden wir nicht an Ressourcen sparen. Für einen reibungslosen Betrieb stellen wir 2 CPU-Kerne, 4 GB RAM und 16 GB schnelles SSD RAID10 bereit. Ich werde freeacs in einem LXC-Container auf Proxmox VE installieren, aber Sie können mit jedem für Sie passenden Tool arbeiten.
Vergessen Sie nicht, die Uhrzeit korrekt auf der Maschine mit ACS einzustellen.
Das System wird testweise eingerichtet, daher lassen wir es einfach angehen und verwenden das freundlicherweise bereitgestellte Installationsskript ohne Änderungen.
wget https://raw.githubusercontent.com/freeacs/freeacs/master/scripts/install_centos.sh
chmod +x install_centos.sh
./install_centos.shSobald das Skript abgeschlossen ist, können Sie sofort über die IP der Maschine auf die Weboberfläche zugreifen, mit den Zugangsdaten admin/freeacs.
So sieht die angenehme, minimalistische Oberfläche aus, und es ist großartig, wie schnell alles funktioniert hat.
2. Ersteinrichtung von freeacs
Die Basiseinheit für das Management von ACS ist ein Gerät oder CPE (Customer Premises Equipment). Das Wichtigste, was wir für die Verwaltung von Geräten benötigen, ist der Gerätesyp, also das Modell der Hardware, das eine Reihe konfigurierbarer Parameter des Geräts und seiner Software definiert. Da wir jedoch noch nicht wissen, wie man einen neuen Gerätesyp richtig eingibt, sollten wir am besten das Gerät selbst im Discovery-Modus fragen.
Im Produktionsumfeld sollte dieser Modus auf keinen Fall verwendet werden, aber wir müssen das System schnell starten und die Möglichkeiten prüfen. Alle grundlegenden Einstellungen befinden sich in /opt/freeacs-*. Daher öffnen wir
vi /opt/freeacs-tr069/config/application-config.conf , suchen nach
discovery.mode = falseund ändern zu
discovery.mode = trueZusätzlich sollten wir die maximalen Dateigrößen erhöhen, mit denen nginx und mysql arbeiten. Für mysql fügen wir in /etc/my.cnf die Zeile hinzu
max_allowed_packet=32M, und für nginx fügen wir in /etc/nginx/nginx.conf hinzu
client_max_body_size 32m;in den http-Bereich. Andernfalls können wir mit Firmwares von nicht mehr als 1M arbeiten.
Wir starten neu, und dann sind wir bereit, mit den Geräten zu arbeiten.
Und das Gerät (CPE) wird unser kleiner Arbeiter sein .
Bevor Sie mit dem Testzugang beginnen, sollten Sie das CPE manuell auf eine minimale Arbeitskonfiguration einstellen, damit die Parameter, die Sie künftig konfigurieren möchten, nicht leer sind. Für den Router können Sie minimal den DHCP-Client auf ether1 aktivieren, das Paket tr-069client installieren und Passwörter festlegen.
3. Mikrotik anschließen
Es ist ratsam, alle Einheiten zu verbinden, indem Sie eine gültige Seriennummer als Benutzername verwenden. So ist alles in den Protokollen nachvollziehbar. Manche empfehlen, die WAN MAC zu verwenden – glauben Sie ihnen nicht. Andere verwenden ein allgemeines Login-Passwort-Paar – meiden Sie diese.
Öffnen Sie das tr-069-Log zur Überwachung der "Verhandlungen"
tail -f /var/log/freeacs-tr069/tr069-conversation.logÖffnen Sie Winbox, Menüpunkt TR-069.
ACS URL: http://10.110.0.109/tr069/prov (ersetzen Sie mit Ihrer IP)
Benutzername: 9249094C26CB (kopieren Sie die Seriennummer aus system>routerboard)
Passwort: 123456 (für Discovery nicht erforderlich, aber notwendig)
Den Periodic inform interval ändern wir nicht. Diese Einstellung geben wir über unser ACS aus.
Im Folgenden sind die Einstellungen für die entfernte Initialisierung der Verbindung aufgeführt, aber ich konnte Mikrotik nicht einfach dazu bringen, damit zu arbeiten. Obwohl es mit Telefonen "out of the box" funktioniert. Hier muss ich mich noch weiter einarbeiten.
Nach dem Klicken auf die Schaltfläche Anwenden erfolgt der Datenaustausch im Terminal, und im Webinterface von Freeacs wird unser Router mit dem automatisch erstellten Gerätetyp „hAPaclite“ angezeigt.
Der Router ist verbunden. Schauen wir uns den automatisch erstellten Gerätetyp an. Öffnen wir: Einfache Bereitstellung > Gerätetyp > Übersicht über die Gerätetypen > hAPaclite. Was dort alles zu finden ist! Ganze 928 Parameter (ich habe im Shell nachgeschaut). Ob das viel oder wenig ist, klären wir später, aber schauen wir uns zunächst die Übersicht an. Das bedeutet Gerätetyp. Dies ist eine Liste der unterstützten Parameter mit Schlüsseln, aber ohne Werte. Die Werte werden in den niedrigeren Ebenen festgelegt – in Profilen und Einheiten.
4. Konfigurieren von Mikrotik
Es ist an der Zeit, das Dieses Handbuch stammt aus dem Jahr 2011 – wie eine Flasche guten, gereiften Weins. Lass uns es öffnen und atmen lassen.
Währenddessen klicken wir im Webinterface auf das Bleistiftsymbol neben unserer Einheit und wechseln in den Konfigurationsmodus der Einheit. So sieht das aus:
Lassen Sie uns kurz erläutern, was auf dieser Seite interessant ist:
Bereich zur Konfiguration der Einheit
- Profil: Dies ist das Profil innerhalb des Gerätetyps. Die Hierarchie ist wie folgt:
Gerätetyp > Profil > Einheit. Das heißt, wir können beispielsweise Profile anlegen wiehAPaclite > hotspotundhAPaclite > branch, aber innerhalb des Gerätemodells.
Bereich Provisioning mit Schaltflächen
Tooltips weisen darauf hin, dass alle Schaltflächen im Bereich Provisioning die Konfiguration sofort über ConnectionRequestURL anwenden können. Aber wie bereits erwähnt, funktioniert das nicht, daher muss nach dem Drücken der Schaltflächen der tr-069-Client auf dem Mikrotik neu gestartet werden, um die Bereitstellung manuell zu starten.
- Freq/Spread: Wie oft in der Woche die Konfiguration ± % geliefert werden soll, um die Last auf den Server und die Kommunikationskanäle zu reduzieren. Standardmäßig steht hier 7/20, d.h. jeden Tag ± 20 %, zusätzlich ein Hinweis, wie das in Sekunden aussieht. Momentan macht es keinen Sinn, die Lieferfrequenz zu ändern, da es überflüssigen Lärm in den Logs erzeugt und nicht immer die erwartete Anwendung der Einstellungen gewährleistet.
Bereich Provisioning-Historie (letzte 48 Stunden)
- Auf den ersten Blick sieht die Historie aus wie eine Geschichte, aber durch Klicken auf den Titel gelangt man zu einem praktischen Suchwerkzeug in der Datenbank, mit RegExp und zusätzlichen Funktionen.
Bereich Parameter
Der größte und wichtigste Bereich, in dem die Parameter für diese Einheit festgelegt und ausgelesen werden. Aktuell sehen wir nur die wichtigsten Systemparameter, ohne die eine Zusammenarbeit des ACS mit der Einheit nicht möglich ist. Aber wir wissen, dass wir in Unit Type insgesamt - 928. Schauen wir uns alle Werte an und sehen wir, wie es beim Mikrotik funktioniert.
4.1 Parameter auslesen
Im Bereich Provisioning klicken wir auf die Schaltfläche Alle lesen. Im Feld erscheint eine rote Nachricht. Rechts wird eine Spalte angezeigt. CPE (aktueller) Wert. Im Systemparameter ProvisioningMode wurde auf READALL umgeschaltet.
Und… es wird nichts geschehen, außer einer Nachricht in System.X_FREEACS-COM.IM.Message. Kick ist gescheitert bei....
Starten Sie den TR-069-Client neu oder starten Sie den Router neu und aktualisieren Sie die Browserseite, bis Sie die Parameter rechts in erfreulichen grauen Feldern erhalten.
Wer einen alten, gereiften Schluck genießen möchte – dieser Modus ist im Handbuch als 10.2 Inspektionsmodus beschrieben. Er wird aktiviert und funktioniert etwas anders, aber die Essenz ist durchaus beschrieben.
Der READALL-Modus schaltet sich nach 15 Minuten von selbst aus, und wir werden versuchen herauszufinden, was hier nützlich ist und was man „on-the-fly“ anpassen kann, während wir in diesem Modus sind.
Es ist möglich, IP-Adressen zu ändern, Schnittstellen ein- oder auszuschalten, Firewall-Regeln mit Kommentaren (sonst ist es ein völliges Durcheinander), WLAN und so weiter.
Das bedeutet, dass man Mikrotik nur mit TR-069 nicht vernünftig konfigurieren kann. Aber es ist durchaus möglich, gut zu überwachen. Statistiken zu Schnittstellen und deren Status, freiem Speicher usw. sind verfügbar.
4.2 Parameter liefern
Lassen Sie uns nun versuchen, die Parameter über tr-069 auf "natürliche" Weise an den Router zu übermitteln. Das erste Opfer wird Device.DeviceInfo.X_MIKROTIK_SystemIdentity sein. Wir finden es in den Unit-Parametern All. Wie zu sehen ist, ist es nicht festgelegt. Das bedeutet, dass jede Einheit einen beliebigen Identity haben kann. Genug davon!
Wir aktivieren das Kontrollkästchen in der Spalte 'create', vergeben den Namen Herr Weiß und klicken auf die Schaltfläche 'Update parameters'. Was als Nächstes passiert, können Sie sich bereits denken. Bei der nächsten Verbindungssitzung mit der Zentrale sollte der Router seine Identität ändern.
Aber das genügt uns nicht. Einen Parameter wie die Identität sollte man immer zur Hand haben, wenn man eine bestimmte Einheit sucht. Wir klicken auf den Parameternamen und aktivieren die Kontrollkästchen 'Display (D)' und 'Searchable (S)'. Der Schlüssel des Parameters ändert sich auf RWSD (Denken Sie daran, dass Namen und Schlüssel auf der höchsten Ebene des Unit-Typs festgelegt werden).
Der Wert wird nun nicht nur in der allgemeinen Suchliste angezeigt, sondern ist auch durchsuchbar in Support > Search > Advanced form
Wir initiieren das Provisioning und schauen nach der Identität. Hallo, Herr Weiß! Jetzt können Sie Ihre Identität nicht mehr selbst wechseln, solange der tr-069client aktiv ist.
4.3 Skripte ausführen
Da wir herausgefunden haben, dass wir nicht ohne sie auskommen, lassen Sie uns diese ausführen.
Aber bevor wir mit den Dateien arbeiten, müssen wir die Direktive anpassen. public.url in der Datei /opt/freeacs-tr069/config/application-config.conf
Wir haben immer noch eine Testkonfiguration, die mit einem Skript installiert wurde. Haben wir das nicht vergessen?
# --- Public url (used for download f. ex.) ---
public.url = "http://10.110.0.109"
public.url: ${?PUBLIC_URL}Wir starten die ACS neu und begeben uns direkt nach Dateien & Skripte.
Was sich jetzt öffnet, gehört zum Einheitstyp, also global zu allen hAP ac lite Routern, egal ob es sich um einen Filialrouter, Hotspot oder Capsman handelt. Ein so hohes Niveau benötigen wir derzeit nicht, deshalb sollten wir zuerst ein Profil erstellen, das wir als „Position“ des Geräts bezeichnen können.
Lassen Sie uns unser kleines Gerät zu einem Zeitserver machen. Eine angemessene Position mit einem separaten Softwarepaket und einer kleinen Anzahl von Parametern. Gehen wir zu Easy Provisioning > Profil > Profil erstellen und erstellen im Einheitstyp: hAPaclite ein Profil timeserver. Im Standardprofil hatten wir keine Parameter, also gibt es auch nichts zu kopieren. Parameter kopieren von: „nicht kopieren…“
Hier gibt es bisher überhaupt keine Parameter, aber wir können die festlegen, die wir später auf unseren Zeitservern, die aus hAPaclite bestehen, sehen möchten, zum Beispiel die allgemeinen Adressen der NTP-Server.
Lassen Sie uns in die Konfiguration der Einheit wechseln und sie in das Profil timeserver verschieben.
Endlich gehen wir zu Dateien & Skripte, um Skripte zu erstellen, und dort erwarten uns unglaublich nützliche Funktionen.
Um das Skript auf dem Unit auszuführen, müssen wir wählen Typ: TR069_SCRIPT Über 40.000 Kunden in mehr als 120 Ländern Name und Zielname müssen die Endung .alter haben
Dabei können für Skripte im Gegensatz zur Software sowohl fertige Dateien hochgeladen als auch direkt im Feld geschrieben / bearbeitet werden Inhalt. Lassen Sie uns versuchen, direkt dort zu schreiben.
Und um das Ergebnis sofort sichtbar zu machen – fügen wir dem Router VLAN auf ether1 hinzu.
/interface vlan
add interface=ether1 name=vlan1 vlan-id=1
Wir geben ein, drücken Hochladen und fertig. Unser Skript vlan1.alter wartet auf seinen Einsatz.
Nun, wollen wir starten? Nein. Wir müssen auch noch für unser Profil eine Gruppe hinzufügen. Gruppen gehören nicht zur Hierarchie der Geräte, sind aber notwendig für die Suche von Einheiten im UnitType oder Profil und verpflichtend zur Ausführung der Skripte über Advanced Provisioning. Üblicherweise sind Gruppen mit Standorten verbunden und haben eine verschachtelte Struktur. Lassen Sie uns die Gruppe Russland erstellen.
Stellen Sie sich vor, gerade haben wir die Suche von «Alle Zeitserver der Welt auf hAPaclite» auf «Alle Zeitserver Russlands auf hAPaclite» eingegrenzt. Es gibt noch viele interessante Aspekte mit Gruppen, aber wir haben keine Zeit. Lass uns mit den Skripten weitermachen.
Advanced Provisioning > Job > Job erstellen
Da wir uns im Advanced-Modus befinden, können hier zahlreiche verschiedene Bedingungen für den Auftragsbeginn, das Verhalten bei Fehlern, Wiederholungen und Timeouts festgelegt werden. Ich empfehle, dies alles in den Handbüchern zu lesen, oder wir besprechen es später während der Implementierung in die Produktion. Vorerst setzen wir n1 in den Stopp-Regeln, damit der Auftrag gestoppt wird, sobald er auf unserem 1. Gerät ausgeführt wird.
Wir füllen das Notwendige aus und sind nur noch einen Schritt davon entfernt, zu starten!
Wir klicken auf START und warten. Jetzt wird der Zähler für durch das unausgereifte Skript getötete Geräte schnell hochlaufen! Natürlich nicht. Solche Aufträge werden über einen langen Zeitraum bereitgestellt, und das unterscheidet sie von Skripten, Ansible und ähnlichem. Die Einheiten rufen die Aufträge nach Zeitplan oder wenn sie im Netzwerk erscheinen, ab. ACS verfolgt, welche Einheiten bereits Aufträge erhalten haben und wie diese abgeschlossen wurden, und speichert dies in den Parametern der Einheit. In unserer Gruppe gibt es 1 Einheit, aber wären es 1001, könnte der Admin diesen Auftrag starten und dann zum Angeln gehen.
Kommen Sie schon. Starten Sie den Router neu oder starten Sie den TR-069-Client neu. Alles sollte reibungslos verlaufen und Mr.White wird ein neues VLAN erhalten. Unser Auftrag nach der Stopp-Regel wechselt in den Status PAUSED. Das heißt, er kann noch einmal gestartet oder geändert werden. Wenn man auf FINISH klickt, wird der Auftrag archiviert.
4.4 Software aktualisieren
Dies ist ein sehr wichtiger Punkt, da die Firmware des Mikrotiks modular ist, aber das Hinzufügen von Modulen die Gesamtversion der Gerätfirmware nicht ändert. Unser ACS ist normal und so etwas sind wir nicht gewohnt.
Jetzt werden wir das im Stil von quick&dirty machen und das NTP-Modul direkt in die Gesamtfirmware integrieren, aber sobald die Geräteversion aktualisiert wird, können wir kein weiteres Modul auf dieselbe Weise hinzufügen.
Solche Tricks sollten besser nicht in der Produktion angewendet werden, und optionale Module für den Einheitstyp sollten nur über Skripte installiert werden.
Das erste, was wir tun müssen, ist, die Softwarepakete in den benötigten Versionen und Architekturen vorzubereiten und auf einen verfügbaren Webserver zu legen. Für Tests kann jeder Server verwendet werden, zu dem unser Mr. White Zugriff hat, aber für die Produktion ist es besser, ein automatisch aktualisierendes Spiegelbild der benötigten Software zu erstellen, das sicher im Web ausgestellt werden kann.
Wichtig! Vergessen Sie nicht, immer das Paket mit dem tr-069client in die Updates einzuschließen!
Wie sich herausstellte, ist die Länge des Pfades zu den Paketen sehr wichtig! Bei meinen Versuchen, etwas in der Art zu verwenden http://192.168.0.237/routeros/stable/mipsbe/routeros-mipsbe-6.45.6.npk, mikrotik fiel in eine zyklische Verbindung mit der Ressource und gab im tr-069-Log wiederholt TRANSFERCOMPLETE zurück. Ich habe eine Menge Nerven verloren, um herauszufinden, was nicht stimmt. Daher lassen wir es vorerst im Wurzelverzeichnis, bis wir mehr wissen.
Wir sollten also drei npk-Dateien haben, die über http verfügbar sind. So sieht es bei mir aus:
http://192.168.0.241/routeros-mipsbe-6.45.6.npk
http://192.168.0.241/routeros/stable/mipsbe/ntp-6.45.6-mipsbe.npk
http://192.168.0.241/routeros/stable/mipsbe/tr069-client-6.45.6-mipsbe.npkJetzt müssen wir das in eine xml-Datei mit FileType="1 Firmware Upgrade Image" umwandeln, die wir dem Mikrotik füttern. Nennen wir sie ros.xml.
Wir handeln nach der Anleitung aus :
http://192.168.0.241/routeros-mipsbe-6.45.6.npk
http://192.168.0.241/ntp-6.45.6-mipsbe.npk
http://192.168.0.241/tr069-client-6.45.6-mipsbe.npkEs fällt auf, dass es an Benutzername/Passwort für den Zugriff auf den Download-Server fehlt. Man kann entweder versuchen, dies wie im Punkt A.3.2.8 des tr-069-Protokolls einzugeben:
http://192.168.0.237/routeros/stable/mipsbe/ntp-6.45.6-mipsbe.npk
user
passOder direkt bei den offiziellen MikroTik-Ansprechpartnern nachfragen, wie auch zur maximalen Pfadlänge bis *.npk
Gehen wir zu den bekannten Seiten Dateien & Skripte, und erstellen dort eine Datei vom Typ SOFTWARE mit Name:ros.xml, Zielname:ros.xml und Version:6.45.6
Achtung! Die Version muss genau in dem Format angegeben werden, in dem sie auf dem Gerät angezeigt wird und im Parameter System.X_FREEACS-COM.Device.SoftwareVersion.
Wählen Sie unsere xm-Datei zum Herunterladen aus und fertig.
Nun haben wir zahlreiche Möglichkeiten, das Gerät zu aktualisieren. Über den Wizard im Hauptmenü, über Advanced Provisioning und Aufträge vom Typ SOFTWARE, oder einfach in die Konfiguration des Geräts gehen und auf Upgrade klicken. Wählen wir den einfachsten Weg, denn der Artikel ist schon lang genug.
Wir drücken die Taste, initiieren die Bereitstellung und fertig. Das Testprogramm ist abgeschlossen. Jetzt können wir mehr mit MikroTik machen.
5. Fazit
Als ich anfing zu schreiben, wollte ich zuerst die Verbindung eines IP-Telefons beschreiben und anhand dessen erklären, wie großartig es sein kann, wenn TR-069 problemlos und mühelos funktioniert. Doch während ich fortfuhr und in den Materialien grub, dachte ich, dass jeder, der einen MikroTik angeschlossen hat, vor keinem Telefon mehr Angst haben muss, um sich selbst einzuarbeiten.
Im Grunde genommen kann Freeacs, das wir getestet haben, bereits für die Produktion eingesetzt werden. Dazu müssen jedoch Sicherheitseinstellungen, SSL sowie die MikroTik-Konfiguration für die Autokonfiguration nach dem Reset eingerichtet werden. Außerdem muss das korrekte Hinzufügen des Einheitstyps und das Arbeiten mit Webservices und Fusion Shell optimiert werden. Probieren Sie es aus, experimentieren Sie und schreiben Sie die Fortsetzung!
Vielen Dank für Ihre Aufmerksamkeit! Ich freue mich über Anmerkungen und Kommentare!
Liste der verwendeten Materialien und nützliche Links:
Quelle: habr.com
