मेरा अधूरा प्रोजेक्ट। 200 मिक्रोटिक राउटर का नेटवर्क

नमस्ते। यह लेख उन लोगों के लिए अभिप्रेत है जिनके पास पार्क में बहुत सारे मिकरोटिक उपकरण हैं, और जो अधिकतम एकीकरण करना चाहते हैं ताकि प्रत्येक उपकरण को अलग से कनेक्ट न किया जा सके। इस लेख में, मैं एक ऐसी परियोजना का वर्णन करूंगा, जो दुर्भाग्य से, मानवीय कारकों के कारण युद्ध की स्थिति तक नहीं पहुंची। संक्षेप में: 200 से अधिक राउटर, त्वरित सेटअप और स्टाफ प्रशिक्षण, क्षेत्र द्वारा एकीकरण, फ़िल्टरिंग नेटवर्क और विशिष्ट होस्ट, सभी उपकरणों, लॉगिंग और अभिगम नियंत्रण में आसानी से नियम जोड़ने की क्षमता।

नीचे जो वर्णित किया गया है वह पहले से तैयार मामला होने का दावा नहीं करता है, लेकिन मुझे उम्मीद है कि यह आपके नेटवर्क की योजना बनाते समय और त्रुटियों को कम करते समय आपके लिए उपयोगी होगा। शायद कुछ बिंदु और निर्णय आपको बिल्कुल सही नहीं लगेंगे - यदि हां, तो टिप्पणियों में लिखें। इस मामले में आलोचना एक आम गुल्लक में एक अनुभव होगी। इसलिए, पाठक, टिप्पणियों में देखें, शायद लेखक ने एक बड़ी गलती की है - समुदाय मदद करेगा।

राउटर की संख्या 200-300 है, जो अलग-अलग शहरों में इंटरनेट कनेक्शन की अलग-अलग गुणवत्ता के साथ बिखरे हुए हैं। सब कुछ सुंदर बनाना और स्थानीय प्रशासकों को सुलभ तरीके से समझाना आवश्यक है कि सब कुछ कैसे काम करेगा।

तो हर प्रोजेक्ट कहाँ से शुरू होता है? बेशक, साथ टी.

1. ग्राहकों की आवश्यकताओं के अनुसार सभी शाखाओं के लिए एक नेटवर्क योजना का संगठन, नेटवर्क विभाजन (शाखाओं में 3 से 20 नेटवर्क, उपकरणों की संख्या के आधार पर)।
2. प्रत्येक शाखा में उपकरण स्थापित करें। विभिन्न कार्य परिस्थितियों में प्रदाता की वास्तविक बैंडविड्थ की जाँच करना।
3. डिवाइस सुरक्षा, श्वेतसूची नियंत्रण, एक निश्चित अवधि के लिए ऑटो-ब्लैकलिस्टिंग के साथ हमलों का स्वत: पता लगाना, नियंत्रण पहुंच और सेवा से इनकार करने के लिए उपयोग किए जाने वाले विभिन्न तकनीकी साधनों के उपयोग को कम करना।
4. ग्राहकों की आवश्यकताओं के अनुसार नेटवर्क फ़िल्टरिंग के साथ सुरक्षित वीपीएन कनेक्शन का संगठन। प्रत्येक शाखा से केंद्र तक कम से कम 3 वीपीएन कनेक्शन।
5. अंक 1, 2 के आधार पर। दोष-सहिष्णु वीपीएन बनाने के सर्वोत्तम तरीके चुनें। डायनेमिक रूटिंग तकनीक, सही औचित्य के साथ, ठेकेदार द्वारा चुनी जा सकती है।
6. ग्राहक द्वारा उपयोग किए जाने वाले प्रोटोकॉल, पोर्ट, होस्ट और अन्य विशिष्ट सेवाओं द्वारा ट्रैफ़िक प्राथमिकता का संगठन। (वीओआइपी, महत्वपूर्ण सेवाओं के साथ मेजबान)
7. तकनीकी सहायता कर्मचारियों की प्रतिक्रिया के लिए राउटर घटनाओं की निगरानी और लॉगिंग का संगठन।

जैसा कि हम समझते हैं, कुछ मामलों में, टीओआर को आवश्यकताओं से संकलित किया जाता है। मुख्य समस्याओं को सुनने के बाद मैंने इन आवश्यकताओं को स्वयं तैयार किया। उन्होंने इस संभावना को स्वीकार किया कि कोई और इन बिंदुओं के कार्यान्वयन का जिम्मा उठा सकता है।

इन आवश्यकताओं को पूरा करने के लिए कौन से टूल का उपयोग किया जाएगा:

1. ईएलके स्टैक (कुछ समय बाद, यह समझा गया कि लॉगस्टैश के बजाय धाराप्रवाह का उपयोग किया जाएगा)।
2. अन्सिबल। व्यवस्थापन में आसानी और पहुँच साझा करने के लिए, हम AWX का उपयोग करेंगे।
3. गिटलैब। यहाँ व्याख्या करने की आवश्यकता नहीं है। जहां हमारे कॉन्फ़िगरेशन के संस्करण नियंत्रण के बिना।
4. पावरशेल। कॉन्फ़िगरेशन की प्रारंभिक पीढ़ी के लिए एक साधारण स्क्रिप्ट होगी।
5. डोकू विकी, प्रलेखन और नियमावली लिखने के लिए। ऐसे में हम habr.com का इस्तेमाल करते हैं।
6. Zabbix के जरिए मॉनिटरिंग की जाएगी। सामान्य समझ के लिए एक कनेक्शन डायग्राम भी होगा।

ईएफके सेटअप बिंदु

पहले बिंदु पर, मैं केवल उस विचारधारा का वर्णन करूँगा जिस पर अनुक्रमणिकाएँ निर्मित होंगी। वहां कई हैं
mikrotik चलाने वाले उपकरणों से लॉग सेट करने और प्राप्त करने पर उत्कृष्ट लेख।

मैं कुछ बिंदुओं पर ध्यान केन्द्रित करूंगा:

1. योजना के अनुसार, विभिन्न स्थानों और विभिन्न बंदरगाहों से लॉग प्राप्त करने पर विचार करना उचित है। ऐसा करने के लिए, हम एक लॉग एग्रीगेटर का उपयोग करेंगे। हम एक्सेस साझा करने की क्षमता वाले सभी राउटर के लिए सार्वभौमिक ग्राफिक्स भी बनाना चाहते हैं। फिर हम निम्नानुसार इंडेक्स बनाते हैं:

यहाँ धाराप्रवाह के साथ विन्यास का एक टुकड़ा है Elasticsearch
logstash_format सच
अनुक्रमणिका_नाम mikrotiklogs.north
logstash_prefix mikrotiklogs.north
फ्लश_इंटरवल 10s
मेजबान Elasticsearch: 9200
पोर्ट 9200

इस प्रकार, हम राउटर और सेगमेंट को योजना के अनुसार जोड़ सकते हैं - mikrotiklogs.west, mikrotiklogs.south, mikrotiklogs.east। इसे इतना मुश्किल क्यों बनाया जाता है? हम समझते हैं कि हमारे पास 200 या अधिक डिवाइस होंगे। सब कुछ का पालन मत करो। लोचदार खोज के संस्करण 6.8 के बाद से, सुरक्षा सेटिंग्स हमारे लिए उपलब्ध हैं (बिना लाइसेंस खरीदे), इस प्रकार, हम तकनीकी सहायता कर्मचारियों या स्थानीय सिस्टम प्रशासकों के बीच देखने के अधिकार वितरित कर सकते हैं।
टेबल्स, ग्राफ़ - यहाँ आपको केवल सहमत होने की आवश्यकता है - या तो उसी का उपयोग करें, या हर कोई इसे करता है क्योंकि यह उसके लिए सुविधाजनक होगा।

2. लॉग इन करके। यदि हम फ़ायरवॉल नियमों में लॉग इन सक्षम करते हैं, तो हम बिना रिक्त स्थान के नाम बनाते हैं। यह देखा जा सकता है कि धाराप्रवाह में एक साधारण कॉन्फ़िगरेशन का उपयोग करके, हम डेटा को फ़िल्टर कर सकते हैं और सुविधाजनक पैनल बना सकते हैं। नीचे दी गई तस्वीर मेरे होम राउटर की है।

3. कब्जे वाले स्थान और लॉग के अनुसार। औसतन, प्रति घंटे 1000 संदेशों के साथ, लॉग प्रति दिन 2-3 एमबी लेते हैं, जो आप देखते हैं, इतना नहीं है। इलास्टिक्स खोज संस्करण 7.5।

Ansible.Awx

सौभाग्य से हमारे लिए, हमारे पास राउटरोस के लिए एक रेडी-मेड मॉड्यूल है
मैंने AWX के बारे में बताया, लेकिन नीचे दिए गए आदेश केवल अपने शुद्धतम रूप में ansible के बारे में हैं - मुझे लगता है कि जिन लोगों ने ansible के साथ काम किया है, उनके लिए gui के माध्यम से awx का उपयोग करने में कोई समस्या नहीं होगी।

ईमानदार होने के लिए, इससे पहले मैंने अन्य गाइडों को देखा जहां उन्होंने ssh का उपयोग किया था, और प्रतिक्रिया समय और अन्य समस्याओं का एक गुच्छा के साथ सभी को अलग-अलग समस्याएं थीं। मैं दोहराता हूं, यह लड़ाई में नहीं आया , इस जानकारी को एक प्रयोग के रूप में लें जो 20 राउटर के स्टैंड से आगे नहीं बढ़ी।

हमें प्रमाणपत्र या खाते का उपयोग करने की आवश्यकता है। यह आपको तय करना है, मैं प्रमाण पत्र के लिए हूं। अधिकारों पर कुछ सूक्ष्म बिंदु। मैं लिखने का अधिकार देता हूं - कम से कम "रीसेट कॉन्फ़िगरेशन" काम नहीं करेगा।

प्रमाणपत्र बनाने, कॉपी करने और आयात करने में कोई समस्या नहीं होनी चाहिए:

आदेशों की संक्षिप्त सूचीअपने पीसी पर
ssh-keygen -t RSA, प्रश्नों के उत्तर दें, कुंजी सहेजें।
मिक्रोटिक में कॉपी करें:
उपयोगकर्ता ssh-कुंजियाँ सार्वजनिक-कुंजी-फ़ाइल = id_mtx.pub उपयोगकर्ता = ansible आयात करती हैं
पहले आपको एक खाता बनाने और उसके अधिकार आवंटित करने की आवश्यकता है।
प्रमाण पत्र के साथ कनेक्शन की जाँच करना
एसएसएच-पी 49475 -आई /की/एमटीएक्स [ईमेल संरक्षित]

vi /etc/ansible/hosts लिखें
MT01 ansible_network_os=रूटरस ansible_ssh_port=49475 ansible_ssh_user= ansible
MT02 ansible_network_os=रूटरस ansible_ssh_port=49475 ansible_ssh_user= ansible
MT03 ansible_network_os=रूटरस ansible_ssh_port=49475 ansible_ssh_user= ansible
MT04 ansible_network_os=रूटरस ansible_ssh_port=49475 ansible_ssh_user= ansible

खैर, प्लेबुक का एक उदाहरण: नाम: add_work_sites
होस्ट: टेस्टएमटी
धारावाहिक: 1
कनेक्शन: network_cli
Remote_user: mikrotik.west
इकट्ठा_तथ्य: हाँ
कार्य:
नाम: वर्क_साइट्स जोड़ें
राऊटरोस_कमांड:
आदेश:
- /ip फ़ायरवॉल पता-सूची जोड़ें पता=gov.ru सूची=work_sites टिप्पणी=Ticket665436_Ochen_nado
- /आईपी फ़ायरवॉल पता-सूची जोड़ें पता=habr.com सूची=work_sites टिप्पणी=for_habr

जैसा कि आप उपरोक्त कॉन्फ़िगरेशन से देख सकते हैं, अपनी खुद की प्लेबुक को संकलित करना एक साधारण मामला है। क्लि मिकरोटिक में महारत हासिल करना काफी अच्छा है। ऐसी स्थिति की कल्पना करें जहां आपको सभी राउटर पर कुछ डेटा के साथ एड्रेस लिस्ट को हटाने की आवश्यकता हो, फिर:

ढूंढो और हटाओ/आईपी फ़ायरवॉल पता-सूची हटाएं [जहां सूची = "gov.ru" ढूंढें]

मैंने जानबूझकर यहां पूरी फ़ायरवॉल सूची शामिल नहीं की है। यह प्रत्येक परियोजना के लिए अलग-अलग होगा। लेकिन मैं एक बात जरूर कह सकता हूं, एड्रेस लिस्ट का ही इस्तेमाल करें।

गिटलैब के अनुसार, सब कुछ स्पष्ट है। मैं इस क्षण पर ध्यान नहीं दूंगा। व्यक्तिगत कार्यों, टेम्प्लेट, हैंडलर के मामले में सब कुछ सुंदर है।

Powershell

3 फाइलें होंगी। पॉवरशेल क्यों? कॉन्फ़िग जनरेट करने के टूल को कोई भी व्यक्ति चुन सकता है जो अधिक सुविधाजनक हो। इस मामले में, हर किसी के पास अपने पीसी पर खिड़कियां होती हैं, तो पावरहेल अधिक सुविधाजनक होने पर इसे बैश पर क्यों करें। कौन अधिक सहज है।

स्क्रिप्ट ही (सरल और समझने योग्य):[cmdletबाइंडिंग ()] परम (
[पैरामीटर(अनिवार्य=$true)] [स्ट्रिंग]$EXTERNALIPADDRESS,
[पैरामीटर (अनिवार्य = $ सत्य)] [स्ट्रिंग] $ बाहरी,
[पैरामीटर (अनिवार्य = $ सत्य)] [स्ट्रिंग] $ BWorknets,
[पैरामीटर (अनिवार्य = $ सत्य)] [स्ट्रिंग] $ CWorknets,
[पैरामीटर(अनिवार्य=$true)] [स्ट्रिंग]$BVoipNets,
[पैरामीटर(अनिवार्य=$true)] [स्ट्रिंग]$CVoipNets,
[पैरामीटर (अनिवार्य = $ सत्य)] [स्ट्रिंग] $ CClients,
[पैरामीटर(अनिवार्य=$true)] [स्ट्रिंग]$BVPNWORKs,
[पैरामीटर(अनिवार्य=$true)] [स्ट्रिंग]$CVPNWORKs,
[पैरामीटर (अनिवार्य = $ सत्य)] [स्ट्रिंग] $ BVPNCLIENTS,
[पैरामीटर (अनिवार्य = $ सत्य)] [स्ट्रिंग] $ cVPNCLIENTS,
[पैरामीटर(अनिवार्य=$true)] [स्ट्रिंग]$NAMEROUTER,
[पैरामीटर (अनिवार्य = $ सत्य)] [स्ट्रिंग] $ सर्वर प्रमाणपत्र,
[पैरामीटर (अनिवार्य = $ सत्य)] [स्ट्रिंग] $ infile,
[पैरामीटर (अनिवार्य = $ सत्य)] [स्ट्रिंग] $ outfile
)

सामग्री प्राप्त करें $infile | फ़ॉरच-ऑब्जेक्ट {$_.Replace("EXTERNIP", $EXTERNALIPADDRESS)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("EXTROUTE", $EXTERNALIPROUTE)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("BWorknet", $BWorknets)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("CWorknet", $CWorknets)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("BVoipNet", $BVoipNets)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("CVoipNet", $CVoipNets)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("CClients", $CClientss)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("BVPNWORK", $BVPNWORKs)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("CVPNWORK", $CVPNWORKs)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("BVPNCLIENTS", $BVPNCLIENTSs)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("CVPNCLIENTS", $cVPNCLIENTSs)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("MYNAMERROUTER", $NAMEROUTER)} |
फ़ॉरच-ऑब्जेक्ट {$_.Replace("ServerCertificate", $ServerCertificates)} | सेट-सामग्री $outfile

मैं क्षमा चाहता हूँ, मैं सभी नियमों को निर्धारित नहीं कर सकता। यह सुंदर नहीं होगा। सर्वोत्तम प्रथाओं द्वारा निर्देशित, आप स्वयं नियम बना सकते हैं।

उदाहरण के लिए, यहां उन लिंक्स की सूची दी गई है जिनके द्वारा मुझे निर्देशित किया गया था:wiki.mikrotik.com/wiki/Manual:अपने राउटर को सुरक्षित करना
wiki.mikrotik.com/wiki/Manual: आईपी/फ़ायरवॉल/फ़िल्टर
wiki.mikrotik.com/wiki/Manual: ओएसपीएफ-उदाहरण
wiki.mikrotik.com/wiki/Drop_port_scanners
wiki.mikrotik.com/wiki/Manual: विनबॉक्स
wiki.mikrotik.com/wiki/Manual:अपग्रेडिंग_राउटरओएस
wiki.mikrotik.com/wiki/Manual:आईपी/फास्टट्रैक - यहां आपको यह जानने की जरूरत है कि जब फास्टट्रैक सक्षम होता है, तो ट्रैफिक प्राथमिकता और आकार देने के नियम काम नहीं करेंगे - कमजोर उपकरणों के लिए उपयोगी।

परिवर्तनीय सम्मेलन:निम्नलिखित नेटवर्क को एक उदाहरण के रूप में लिया जाता है:
192.168.0.0/24 कार्यशील नेटवर्क
172.22.4.0/24 वीओआइपी नेटवर्क
LAN एक्सेस के बिना क्लाइंट के लिए 10.0.0.0/24 नेटवर्क
बड़ी शाखाओं के लिए 192.168.255.0/24 वीपीएन नेटवर्क
छोटे के लिए 172.19.255.0/24 वीपीएन नेटवर्क

नेटवर्क पते में 4 दशमलव संख्याएँ होती हैं, क्रमशः ABCD, प्रतिस्थापन उसी सिद्धांत के अनुसार काम करता है, यदि यह स्टार्टअप पर B से पूछता है, तो आपको नेटवर्क 192.168.0.0/24 के लिए नंबर 0 दर्ज करना होगा, और C = 0 के लिए .
$EXTERNALIPADDRESS - प्रदाता द्वारा आवंटित पता।
$EXTERNALIPROTE - नेटवर्क 0.0.0.0/0 के लिए डिफ़ॉल्ट मार्ग
$BWorknets - कार्यशील नेटवर्क, हमारे उदाहरण में 168 होंगे
$CWorknets - वर्क नेटवर्क, हमारे उदाहरण में यह 0 होगा
$BVoipNets - वीओआइपी नेटवर्क हमारे उदाहरण में यहाँ 22
$CVoipNets - हमारे उदाहरण में VOIP नेटवर्क यहाँ 4
$CClientss - ग्राहकों के लिए नेटवर्क - केवल इंटरनेट तक पहुंच, हमारे मामले में यहां 0
$BVPNWORKs - बड़ी शाखाओं के लिए VPN नेटवर्क, हमारे उदाहरण 20 में
$CVPNWORKs - बड़ी शाखाओं के लिए VPN नेटवर्क, हमारे उदाहरण 255 में
$BVPNCLIENTS - छोटी शाखाओं के लिए वीपीएन नेटवर्क, मतलब 19
$CVPNCLIENTS - छोटी शाखाओं के लिए वीपीएन नेटवर्क, मतलब 255
$NAMEROUTER - राउटर का नाम
$ServerCertificate - उस प्रमाणपत्र का नाम जिसे आप पहले आयात कर रहे हैं
$infile - उस फ़ाइल का पथ निर्दिष्ट करें जिससे हम कॉन्फ़िगरेशन पढ़ेंगे, उदाहरण के लिए D:config.txt (उद्धरण और रिक्त स्थान के बिना बेहतर अंग्रेज़ी पथ)
$outfile - सहेजने के लिए पथ निर्दिष्ट करें, उदाहरण के लिए D:MT-test.txt

मैंने स्पष्ट कारणों से जानबूझकर उदाहरणों में पते बदल दिए।

मैं हमलों और विषम व्यवहार का पता लगाने के बिंदु से चूक गया - यह एक अलग लेख का हकदार है। लेकिन यह ध्यान देने योग्य है कि इस श्रेणी में आप ज़ैबिक्स से निगरानी डेटा मूल्यों का उपयोग कर सकते हैं + इलास्टिक्स खोज से कर्ल डेटा पर काम कर सकते हैं।

किन बिंदुओं पर ध्यान दें:

1. नेटवर्क योजना। इसे पठनीय रूप में लिखना बेहतर है। एक्सेल काफी है। दुर्भाग्य से, मैं अक्सर देखता हूं कि नेटवर्क सिद्धांत के अनुसार संकलित किए गए हैं "एक नई शाखा दिखाई दी है, यहां /24 आपके लिए है।" कोई भी यह पता नहीं लगा पाता है कि किसी दिए गए स्थान पर कितने उपकरणों की उम्मीद है और क्या इसमें और वृद्धि होगी। उदाहरण के लिए, एक छोटा स्टोर खोला गया है, जिसमें यह शुरू में स्पष्ट है कि डिवाइस 10 से अधिक नहीं होगा, 24 आवंटित क्यों करें? बड़ी शाखाओं के लिए, इसके विपरीत, वे / 24 आवंटित करते हैं, और 500 डिवाइस हैं - आप केवल एक नेटवर्क जोड़ सकते हैं, लेकिन आप तुरंत सब कुछ सोचना चाहते हैं।
2. निसपादन नियम। यदि परियोजना मानती है कि नेटवर्क का पृथक्करण और अधिकतम विभाजन होगा। सर्वोत्तम अभ्यास समय के साथ बदलते हैं। पहले, वे एक पीसी नेटवर्क और एक प्रिंटर नेटवर्क साझा करते थे, अब इन नेटवर्कों को साझा नहीं करना काफी सामान्य है। यह सामान्य ज्ञान का उपयोग करने और कई सबनेट का उत्पादन नहीं करने के लायक है जहां उनकी आवश्यकता नहीं है और सभी उपकरणों को एक नेटवर्क में संयोजित नहीं करना है।
3. सभी राउटर पर "गोल्डन" सेटिंग्स। वे। यदि आपके पास कोई योजना है। यह एक बार में सब कुछ देखने लायक है और यह सुनिश्चित करने की कोशिश कर रहा है कि सभी सेटिंग्स समान हैं - केवल अलग-अलग पता सूची और आईपी पते हैं। समस्याओं के मामले में, डिबगिंग का समय कम होगा।
4. संगठनात्मक पहलू तकनीकी से कम महत्वपूर्ण नहीं हैं। अक्सर, आलसी कर्मचारी तैयार किए गए कॉन्फ़िगरेशन और स्क्रिप्ट का उपयोग किए बिना "मैन्युअल रूप से" इन सिफारिशों का पालन करते हैं, जो अंततः खरोंच से समस्याओं की ओर जाता है।

डायनेमिक रूटिंग द्वारा। ओएसपीएफ ज़ोनिंग के साथ इस्तेमाल किया गया था। लेकिन यह एक परीक्षण बेंच है, युद्ध की स्थिति में ऐसी चीजें स्थापित करना अधिक दिलचस्प है।

मुझे आशा है कि कोई भी इस बात से परेशान नहीं होगा कि मैंने राउटर्स के कॉन्फ़िगरेशन को पोस्ट नहीं किया। मुझे लगता है कि लिंक पर्याप्त होंगे, और फिर यह सब आवश्यकताओं पर निर्भर करता है। और निश्चित रूप से परीक्षण, अधिक परीक्षणों की आवश्यकता है।

मैं चाहता हूं कि हर कोई नए साल में अपनी परियोजनाओं को महसूस करे। दी गई पहुंच आपके साथ हो!!!

स्रोत: www.habr.com