TR-069 במיקרוטיק. בדיקת Freeacs כשרת תצורה אוטומטית עבור RouterOS

במאמר זה אנסה לתאר שלב אחר שלב את תהליך התקנת שרת בדיקה של פרויקט גדול freeacs למצב פונקציונלי מלא, ולהראות טכניקות מעשיות לעבודה עם mikrotik: תצורה באמצעות פרמטרים, ביצוע סקריפט, עדכון, התקנת מודולים נוספים וכו'.

מטרת הכתבה היא לדחוף עמיתים לסרב לנהל מכשירי רשת באמצעות מגרפות וקביים נוראיות, בצורת תסריטים בכתב עצמי, אחי, אנסיבל וכו'. ובהזדמנות זו לגרום לזיקוקים ושמחה המונית ב- ריבועים.

0. הבחירה

למה freeacs ולא genie-acs שהוזכרו ב mikrotik-wikiכמה יותר חי
כי יש פרסומים ספרדיים על genie-acs עם mikrotik. הנה הם PDF и וידאו מהאמא של השנה שעברה. קריקטורות אוטומטיות בשקופיות הן מגניבות, אבל הייתי רוצה להתרחק מהקונספט של כתיבת סקריפטים, להריץ סקריפטים, להפעיל סקריפטים...

1. התקנת Freeacs

נתקין ב-Centos7, ומכיוון שהמכשירים מעבירים הרבה נתונים, ו-ACS עובדת באופן פעיל עם מסד הנתונים, לא נהיה חמדנים במשאבים. לעבודה נוחה, נבחר 2 ליבות CPU, 4GB RAM ו-16GB של אחסון מהיר ssd raid10. אני אתקין freeacs במיכל Proxmox VE lxc, ותוכלו לעבוד בכל כלי שנוח לכם.
אל תשכח להגדיר את הזמן הנכון במכונה עם ACS.

המערכת תהיה בדיקה, אז בואו לא נהיה חכמים, ופשוט נשתמש בסקריפט ההתקנה המסופק באדיבות, כפי שהוא.

wget https://raw.githubusercontent.com/freeacs/freeacs/master/scripts/install_centos.sh
chmod +x install_centos.sh
./ install_centos.sh

ברגע שהסקריפט מסתיים, אתה יכול להיכנס מיד לממשק האינטרנט דרך ה-IP של המחשב, עם האישורים admin/freeacs

הנה ממשק מינימליסטי כל כך נחמד, וכמה הכל יצא מגניב ומהיר

2. הגדרה ראשונית של Freeacs

יחידת הבקרה הבסיסית עבור ACS היא היחידה או CPE (ציוד ביתי לקוח). והכי חשוב, מה שאנחנו צריכים כדי לנהל יחידות זה סוג היחידה שלהן, כלומר. מודל חומרה המגדיר קבוצה של פרמטרים הניתנים להגדרה עבור יחידה ותוכנה שלה. אבל עד שנדע איך להשיג סוג יחידה חדש בצורה נכונה, עדיף לשאול את היחידה עצמה על כך על ידי הפעלת מצב Discovery.

בייצור, מצב זה הוא בלתי אפשרי לחלוטין לשימוש, אבל אנחנו צריכים להפעיל את המנוע בהקדם האפשרי ולראות את היכולות של המערכת. כל ההגדרות הבסיסיות מאוחסנות ב-/opt/freeacs-*. לכן, אנחנו פותחים

 vi /opt/freeacs-tr069/config/application-config.conf 

, אנחנו מוצאים

discovery.mode = false

ולשנות ל

discovery.mode = true

בנוסף, נרצה להגדיל את גדלי הקבצים המקסימליים שאיתם nginx ו-mysql יעבדו. עבור mysql, הוסף את השורה אל /etc/my.cnf

max_allowed_packet=32M

, ועבור nginx, הוסף ל- /etc/nginx/nginx.conf

client_max_body_size 32m;

למדור http. אחרת, נוכל לעבוד עם קושחה של לא יותר מ-1M.

אנו מאתחלים, ואנחנו מוכנים לעבוד עם מכשירים.

ובתפקיד המכשיר (CPE) יהיה לנו תינוק מכור לעבודה hAP AC lite.

לפני חיבור בדיקה, רצוי להגדיר באופן ידני את ה-CPE לתצורת העבודה המינימלית כך שהפרמטרים שתרצו להגדיר בעתיד לא יהיו ריקים. עבור נתב, אתה יכול להפעיל באופן מינימלי לקוח dhcp ב-ether1, להתקין את חבילת tr-069client ולהגדיר סיסמאות.

3. חבר את מיקרוטיק

רצוי לחבר את כל היחידות באמצעות מספר סידורי חוקי ככניסה. אז הכל יהיה ברור לך ביומנים. מישהו ממליץ להשתמש ב-WAN MAC - אל תאמין. מישהו משתמש בזוג כניסה/מעבר משותף לכולם - עוקף אותם.

פתיחת יומן tr-069 למעקב אחר "משא ומתן"

tail -f /var/log/freeacs-tr069/tr069-conversation.log

פתח את Winbox, פריט בתפריט TR-069.
כתובת אתר AC: http://10.110.0.109/tr069/prov (החלף ב-IP שלך)
שם משתמש: 9249094C26CB (העתק סידורי ממערכת>ראוטרבורד)
סיסמה: 123456 (לא נחוצה לגילוי, אבל כדי להיות)
מרווח הודעות תקופתי איננו משתנים. אנו נפיק את ההגדרה הזו דרך ה-ACS שלנו

להלן ההגדרות לאתחול מרחוק של החיבור, אבל לא הצלחתי לגרום ל-mikrotik לעבוד איתו בסיבוב. למרות שבקשה מרחוק עובדת מחוץ לקופסה עם טלפונים. יצטרך להבין את זה.

לאחר לחיצה על כפתור Apply, הנתונים יוחלפו בטרמינל, ובממשק האינטרנט של Freeacs תוכלו לראות את הנתב שלנו עם סוג היחידה שנוצר באופן אוטומטי "hAPaclite".

הנתב מחובר. אתה יכול לבדוק את סוג היחידה שנוצר אוטומטית. אנחנו פותחים Easy Provisioning > Unit Type > Unit Type Overview > hAPaclite. מה אין! עד 928 פרמטרים (ריגלתי אחר הקליפה). הרבה או מעט - נבין את זה אחר כך, אבל לעת עתה רק נסתכל במהירות. זו המשמעות של סוג יחידה. זוהי רשימה של אפשרויות נתמכות עם מפתחות אך ללא ערכים. הערכים נקבעים ברמות למטה - פרופילים ויחידות.

4. הגדר את Mikrotik

זה הזמן להוריד מדריך ממשק אינטרנט מדריך 2011 זה הוא כמו בקבוק יין טוב ומיושן. בואו נפתח אותו וניתן לו לנשום.

ועצמנו, בממשק האינטרנט, לחץ על העיפרון שליד היחידה שלנו ונעבור למצב תצורת היחידה. זה נראה כמו זה:

בואו ננתח בקצרה מה מעניין בעמוד זה:

בלוק תצורת יחידה

• פרופיל: זהו הפרופיל בתוך סוג היחידה. ההיררכיה היא כזו: UnitType > Profile > Unit. כלומר, אנחנו יכולים ליצור, למשל, פרופילים hAPaclite > hotspot и hAPaclite > branch, אבל בתוך דגם המכשיר

חסום הקצאה עם כפתורים
רמזים מרמזים שכל הלחצנים בבלוק ההקצאה יכולים להחיל את התצורה באופן מיידי באמצעות ConnectionRequestURL. אבל, כפי שאמרתי לעיל, זה לא עובד, אז לאחר לחיצה על הכפתורים, תצטרך להפעיל מחדש את לקוח tr-069 ב-mikrotik כדי להתחיל באופן ידני את ההקצאה.

• Freq/Spread: כמה פעמים בשבוע לספק את התצורה ±% כדי להפחית את העומס על השרת וערוצי התקשורת. כברירת מחדל, זה עולה 7/20, כלומר. כל יום ± 20% ורמז איך זה בשניות. עד כה, אין טעם לשנות את תדירות המשלוח, כי. יהיה רעש נוסף ביומנים ולא תמיד צפוי יישום של הגדרות

חסימת היסטוריית הקצאה (48 השעות האחרונות)

• במראה, הסיפור הוא כמו סיפור, אבל בלחיצה על הכותרת מגיעים לכלי חיפוש נוח במסד נתונים עם regexp וטובים

בלוק פרמטרים

הבלוק הגדול והחשוב ביותר, שבו, למעשה, הפרמטרים של יחידה זו מוגדרים ונקראים. כעת אנו רואים רק את פרמטרי המערכת החשובים ביותר, שבלעדיהם ACS לא יכולה לעבוד עם היחידה. אבל אנחנו זוכרים שיש לנו אותם בסוג יחידה - 928. בואו נראה את כל הערכים, ונחליט עם מה מיקרוטיק אוכל.

4.1 קריאת הפרמטרים

בגוש ההקצאה, לחץ על הלחצן קרא הכל. לבלוק יש כיתוב אדום. עמודה תופיע בצד ימין ערך CPE (נוכחי).. שינה את מצב הקצאה ל-READALL בהגדרות המערכת.

ו... שום דבר לא יקרה מלבד הודעה ב-System.X_FREEACS-COM.IM.Message Kick failed at....

הפעל מחדש את לקוח TR-069 או הפעל מחדש את הנתב, והמשיכו לרענן את דף הדפדפן עד שתקבלו את הפרמטרים בתיבות האפורות העליזות בצד ימין
אם מישהו רוצה ללגום מהותיק הישן, מצב זה מתואר במדריך כמצב 10.2 בדיקה. זה נדלק ועובד קצת אחרת, אבל המהות מתוארת די

מצב ה-READALL יכבה את עצמו לאחר 15 דקות, וננסה להבין מה שימושי כאן, ומה ניתן לתקן תוך כדי תנועה בזמן שאנו במצב זה.

אתה יכול לשנות כתובות IP, להפעיל / להשבית ממשקים, חוקי חומת אש, שהם עם הערות (אחרת בלגן מוחלט), Wi-Fi וכו' דברים קטנים.

כלומר, עדיין לא ניתן להגדיר באופן שפוי את mikrotik באמצעות כלים של TR-069 בלבד. אבל אתה יכול לפקח טוב מאוד. יש סטטיסטיקה על ממשקים ומצבם, זיכרון פנוי וכו'.

4.2 מסירת פרמטרים

כעת ננסה להעביר את הפרמטרים לנתב, דרך tr-069, בצורה "טבעית". הקורבן הראשון יהיה Device.DeviceInfo.X_MIKROTIK_SystemIdentity. אנו מוצאים אותו בפרמטרים של יחידת הכל. כפי שאתה יכול לראות, זה לא מוגדר. המשמעות היא שלכל יחידה יכולה להיות בעצמה כל זהות. די לסבול את זה!
אנו תוקעים דאו בעמודת היצירה, מגדירים את השם Mr.White ונועצים את כפתור עדכן פרמטרים. מה יקרה אחר כך, כבר ניחשתם. בפגישת התקשורת הבאה עם המטה, על הנתב לשנות את זהותו.

אבל זה לא מספיק לנו. פרמטר כמו זהות טוב שיהיה תמיד בהישג יד כשמחפשים את היחידה המתאימה. אנו מחטטים את שם הפרמטר ומכניסים לשם את תיבות הסימון Display (D) ו-Searchable (S). מפתח הפרמטר משתנה ל-RWSD (זכור, שמות ומפתחות מוגדרים ברמת סוג היחידה הגבוהה ביותר)

הערך מוצג כעת לא רק ברשימת החיפוש הכללית, אלא גם זמין לחיפוש ב Support > Search > Advanced form

אנו יוזמים אספקה ​​ובוחנים את זהות. שלום מר ווייט! כעת לא תוכל לשנות את זהותך בעצמך בזמן ש-tr-069client פועל

4.3 ביצוע סקריפטים

מכיוון שגילינו שאין דרך בלעדיהם, בואו נגשים אותם.

אבל לפני שנתחיל לעבוד עם קבצים, עלינו לתקן את ההנחיה public.url בקובץ /opt/freeacs-tr069/config/application-config.conf
אחרי הכל, עדיין יש לנו תצורת בדיקה מותקנת עם סקריפט אחד. לא שכחת?

# --- Public url (used for download f. ex.) ---
public.url = "http://10.110.0.109"
public.url: ${?PUBLIC_URL}

הפעל מחדש את ה-ACS ופנה ישר אל Files & Scripts.

אבל מה שנפתח אצלנו עכשיו שייך ל-Unit Type, כלומר. בכל העולם לכל נתבי hAP ac lite, בין אם זה נתב סניף, נקודה חמה או capsman. אנחנו עדיין לא צריכים רמה כל כך גבוהה, לכן, לפני עבודה עם סקריפטים וקבצים, כדאי ליצור פרופיל. אתה יכול לקרוא לזה בעצמך, בתור "העמדה" של המכשיר.

בואו נהפוך את התינוק שלנו לשרת זמן. מיקום הגון עם חבילת תוכנה נפרדת ומספר קטן של פרמטרים. בוא נלך ל Easy Provisioning > Profile > Create Profile וצור פרופיל ב-Unit Type:hAPaclite שרת זמן. לא היו לנו פרמטרים בפרופיל ברירת המחדל, אז אין מה להעתיק העתק פרמטרים מ: "אל תעתיק..."

עדיין אין כאן פרמטרים בכלל, אבל אפשר יהיה להגדיר את אלו שנרצה לראות אחר כך בשרתי הזמן שלנו מעוצבים מ-hAPaclite. לדוגמה, הכתובות הכלליות של שרתי NTP.
בוא נלך לתצורת היחידה, ונעביר אותה לפרופיל שרת הזמן

לבסוף אנחנו הולכים ל Files & Scripts, הכינו תסריטים, והנה אנחנו מחכים ללחמניות נוחות להפליא.

על מנת לבצע סקריפט על יחידה, עלינו לבחור סוג:TR069_SCRIPT а שם и שם היעד חייבת להיות סיומת .alter
יחד עם זאת, עבור סקריפטים, בניגוד לתוכנה, אתה יכול להעלות קובץ מוגמר, או פשוט לכתוב / לערוך אותו בשדה תוֹכֶן. בוא ננסה לכתוב ממש שם.

וכדי שתוכלו לראות מיד את התוצאה - הוסיפו את הנתב vlan ל-ether1

/interface vlan
add interface=ether1 name=vlan1 vlan-id=1

אנחנו נוסעים, אנחנו לוחצים העלה ונגמר. התסריט שלנו vlan1.alter מחכה מאחורי הקלעים.

ובכן, בוא נלך? לא. אנחנו צריכים גם להוסיף קבוצה לפרופיל שלנו. קבוצות אינן נכללות בהיררכיית הציוד, אך נחוצות לחיפוש יחידות ב-UnitType או בפרופיל ונדרשות לביצוע סקריפט באמצעות הקצאה מתקדמת. בדרך כלל, קבוצות משויכות למיקומים, ויש להן מבנה מקונן. בואו נעשה קבוצת רוסיה.

תאר לעצמך שפשוט צמצמנו את החיפוש שלנו מ"כל שרתי הזמן בעולם ב-hAPaclite" ל"כל שרתי הזמן הרוסיים ב-hAPaclite". עדיין יש שכבה ענקית של כל מה שמעניין עם קבוצות, אבל אין לנו זמן. בואו ניכנס לתסריטים.

Advanced Provisioning > Job > Create Job

מכיוון שאנחנו במצב מתקדם, אחרי הכל, כאן אתה יכול לציין אוסף של תנאים שונים לתחילת המשימה, התנהגות שגיאה, חזרות ופסקי זמן. אני ממליץ לקרוא את כל זה במדריכים או לדון בזה מאוחר יותר בעת יישום זה בייצור. לעת עתה, בוא רק נגדיר את n1 ל-Stop rule כך שהמשימה תיעצר ברגע שהיא תושלם ביחידה הראשונה שלנו.

אנו ממלאים את הדרוש, ונותר רק להשיק!

לחץ על START והמתן. כעת המונה של המכשירים שנהרגו על ידי התסריט שפותח לא באגים יפעל בזריזות! ברור שלא. משימות כאלה ניתנות לאורך זמן, וזה ההבדל שלהן מתסריטים, Ansible וכו'. יחידות עצמן פונים למשימות על פי לוח זמנים או כפי שהן מופיעות ברשת, ACS עוקב אחרי אילו יחידות כבר קיבלו משימות, ואיך הן הסתיימו, וכותב את זה לפרמטרים של היחידה. יש יחידה אחת בקבוצה שלנו, ואם היו 1 כאלה, המנהל היה מתחיל את המשימה הזו ויוצא לדוג

בחייך. הפעל מחדש את הנתב כבר או הפעל מחדש את לקוח TR-069. הכל אמור לעבור בצורה חלקה ומר ווייט יקבל vlan חדש. ומשימת כלל העצירה שלנו תעבור למצב מושהה. כלומר, עדיין ניתן להפעיל אותו מחדש או לשנות אותו. אם תלחץ על FINISH, המשימה תימחק לארכיון

4.4 עדכון התוכנה

זוהי נקודה חשובה מאוד, שכן הקושחה של Mikrotik היא מודולרית, אך הוספת מודולים אינה משנה את הגרסה הכוללת של הקושחה של המכשיר. ה-ACS שלנו רגיל ולא רגיל לזה.
עכשיו נעשה את זה בסגנון של quick & dirty, ונדחוף את מודול ה-NTP לתוך הקושחה הכללית מיד, אבל ברגע שהגרסה תתעדכן במכשיר, לא נוכל להוסיף עוד מודול באותו אופן .
בייצור, עדיף לא להשתמש בטריק כזה, ולהתקין מודולים שהם אופציונליים עבור Unit Type רק עם סקריפטים.

לכן, הדבר הראשון שעלינו לעשות הוא להכין חבילות תוכנה של הגרסאות והארכיטקטורה הנדרשות, ולשים אותן בשרת אינטרנט זמין כלשהו. לבדיקה, כל מי שיכול להגיע ל- Mr.White שלנו ילך, ולצורך הפקה עדיף לבנות מראה מתעדכנת אוטומטית של התוכנה הדרושה, שלא מפחיד להעלות אותה לרשת
חָשׁוּב! אל תשכח לכלול תמיד את חבילת tr-069client בעדכונים!

כפי שהתברר, אורך הנתיב לחבילות חשוב מאוד! כשאני מנסה להשתמש במשהו כמו http://192.168.0.237/routeros/stable/mipsbe/routeros-mipsbe-6.45.6.npk, mikrotik נקלע לחיבור מחזורי עם המשאב, ושלח לוגי TRANSFERCOMPLETE חוזרים ונשנים אל tr-069. ובזבזתי כמה תאי עצב בניסיון להבין מה לא בסדר. לפיכך, בזמן שאנו שמים אותו בשורש, עד לבירור

אז, אמורים להיות לנו שלושה קבצי npk זמינים דרך http. קיבלתי את זה ככה

http://192.168.0.241/routeros-mipsbe-6.45.6.npk
http://192.168.0.241/routeros/stable/mipsbe/ntp-6.45.6-mipsbe.npk
http://192.168.0.241/routeros/stable/mipsbe/tr069-client-6.45.6-mipsbe.npk

כעת יש לעצב את זה לקובץ xml עם FileType = "תמונת שדרוג קושחה אחת", אותו נזין ל-Mikrotik. תן לשם להיות ros.xml

אנחנו עושים על פי ההנחיות מ mikrotik-wiki:

<upgrade version="1" type="links">
    <config />
    <links>
        <link>
            <url>http://192.168.0.241/routeros-mipsbe-6.45.6.npk</url>
        </link>
        <link>
            <url>http://192.168.0.241/ntp-6.45.6-mipsbe.npk</url>
        </link>
        <link>
            <url>http://192.168.0.241/tr069-client-6.45.6-mipsbe.npk</url>
        </link>
    </links>
</upgrade>

ניכר חוסר Username/Password כדי לגשת לשרת ההורדות. אתה יכול לנסות להזין אותו כמו בסעיף A.3.2.8 של פרוטוקול tr-069:

<link>
<url>http://192.168.0.237/routeros/stable/mipsbe/ntp-6.45.6-mipsbe.npk</url>
<Username>user</Username>
<Password>pass</Password>
</link>

או שאלו ישירות את פקידי Mikrotik, כמו גם לגבי אורך הנתיב המרבי ל-*.npk

אנחנו הולכים אל הידוע Files & Scripts, וצור שם קובץ SOFTWARE עם שֵׁם:ros.xml, שם יעד:ros.xml ו גִרְסָה:6.45.6
תשומת הלב! יש לציין כאן את הגרסה בדיוק בפורמט שבו היא מוצגת במכשיר ומועברת בפרמטר System.X_FREEACS-COM.Device.SoftwareVersion.

אנו בוחרים את קובץ ה-xm שלנו לטעינה וסיימת.

כעת יש לנו הרבה דרכים לעדכן את המכשיר. דרך ה-Wizard בתפריט הראשי, דרך Advanced Provisioning ומשימות עם סוג SOFTWARE, או פשוט עבור לתצורת היחידה ולחץ על Upgrade. בואו לבחור את הדרך הקלה ביותר, אחרת המאמר נפוח.

אנו לוחצים על הכפתור, מתחילים בהגשה וסיימת. תוכנית המבחן הושלמה. עכשיו אנחנו יכולים לעשות יותר עם mikrotik.

5. מסקנה

כשהתחלתי לכתוב, רציתי תחילה לתאר את החיבור של טלפון IP, ולהשתמש בדוגמה שלו כדי להסביר כמה מגניב זה יכול להיות כאשר tr-069 עובד בקלות וללא מאמץ. אבל אז, ככל שהתקדמתי והתעמקתי בחומרים, חשבתי שלמי שחיבר את המיקרוטיק, שום טלפון לא יפחיד ללימוד עצמי.

באופן עקרוני, Freeacs, שבדקנו, כבר יכולים לשמש בייצור, אבל בשביל זה אתה צריך להגדיר אבטחה, SSL, אתה צריך להגדיר מיקרוטיקה להגדרה אוטומטית לאחר איפוס, אתה צריך לנפות באגים בתוספת הנכונה של Unit Type, לפרק את עבודה של webservices ו-fusion shell, ועוד הרבה יותר. נסה, המציא וכתוב ספר המשך!

כולם, תודה על תשומת הלב! אשמח לתיקונים והערות!

רשימת חומרים משומשים וקישורים שימושיים:

שרשור בפורום שנתקלתי בו כשהתחלתי לחפש בנושא
TR-069 CPE WAN Management Protocol תיקון-6
freeacs ויקי
פרמטרים tr-069 במיקרוטיק, והתאמתם לפקודות מסוף

מקור: www.habr.com