TR-069 кај Микротик. Тестирање на Freeacs како сервер за автоматска конфигурација за RouterOS

Во оваа статија, ќе се обидам чекор по чекор да го опишам процесот на инсталирање тест-сервер на одличен проект freeacs до целосно функционална состојба и прикажувајте практични техники за работа со mikrotik: конфигурација преку параметри, извршување на скрипта, ажурирање, инсталирање дополнителни модули итн.

Целта на статијата е да ги поттикне колегите да одбијат да управуваат со мрежните уреди користејќи ужасни гребла и патерици, во форма на само напишани скрипти, Dude, Ansible итн. И, во оваа прилика, да предизвикаат огномет и масовно радување на квадрати.

0. Избор

Зошто freeacs, а не genie-acs спомнати во mikrotik-wikiколку е пожив?
Затоа што има шпански публикации на genie-acs со mikrotik. Тука се PDF и видео од минатогодишната МАЈКА. Автоматските цртани на слајдови се одлични, но би сакал да побегнам од концептот на пишување скрипти, за извршување скрипти, за извршување скрипти…

1. Инсталација на Freeacs

Ќе инсталираме во Centos7 и бидејќи уредите пренесуваат многу податоци, а ACS активно работи со базата на податоци, нема да бидеме алчни со ресурсите. За удобна работа, ќе избереме 2 јадра на процесорот, 4 GB RAM и 16 GB брзо складирање ssd raid10. Ќе инсталирам freeacs во контејнерот Proxmox VE lxc и можете да работите во која било алатка што е погодна за вас.
Не заборавајте да го поставите точното време на машината со ACS.

Системот ќе биде тест, па да не бидеме паметни, и само да ја користиме љубезно дадената скрипта за инсталација, како што е.

wget https://raw.githubusercontent.com/freeacs/freeacs/master/scripts/install_centos.sh
chmod +x install_centos.sh
./ install_centos.sh

Веднаш штом ќе заврши скриптата, можете веднаш да влезете во веб-интерфејсот преку IP-а на машината, со ингеренциите за администратор/слободни корисници

Еве толку убав минималистички интерфејс и колку кул и брзо испадна сè

2. Почетно поставување на Freeacs

Основната единица за контрола на ACS е единицата или CPE (Customer Premises Equipment). И што е најважно, она што ни треба за управување со единиците е нивниот тип на единица, т.е. хардверски модел кој дефинира збир на параметри што може да се конфигурираат за единицата и нејзиниот софтвер. Но, додека не знаеме како правилно да добиеме нов тип на единица, најдобро би било да ја прашаме самата единица за ова со вклучување на режимот за откривање.

Во производството, овој режим е апсолутно невозможен за користење, но треба да го запалиме моторот што е можно поскоро и да ги видиме можностите на системот. Сите основни поставки се зачувани во /opt/freeacs-*. Затоа, отвораме

 vi /opt/freeacs-tr069/config/application-config.conf 

, ние најдовме

discovery.mode = false

и промена на

discovery.mode = true

Дополнително, би сакале да ги зголемиме максималните големини на датотеки со кои ќе работат nginx и mysql. За mysql, додајте ја линијата во /etc/my.cnf

max_allowed_packet=32M

, а за nginx, додадете во /etc/nginx/nginx.conf

client_max_body_size 32m;

до делот http. Во спротивно, ќе можеме да работиме со фирмвер не повеќе од 1M.

Се рестартираме и подготвени сме да работиме со уреди.

А во улога на апаратот (CPE) ќе имаме бебе кое е работохоликувано hAP AC lite.

Пред тестирање на врската, препорачливо е рачно да го конфигурирате CPE на минималната работна конфигурација, така што параметрите што сакате да ги конфигурирате во иднина да не се празни. За рутер, можете минимално да овозможите dhcp клиент на ether1, да го инсталирате пакетот tr-069client и да поставите лозинки.

3. Поврзете го Микротик

Пожелно е да се поврзат сите единици користејќи валиден сериски број како најава. Тогаш се ќе ви биде јасно во дневниците. Некој советува да користите WAN MAC - не верувајте во тоа. Некој користи заеднички пар за најавување/пропусница за секого - заобиколете ги.

Отворање на дневникот tr-069 за следење на „преговорите“

tail -f /var/log/freeacs-tr069/tr069-conversation.log

Отворете го winbox, ставка од менито TR-069.
AC URL: http://10.110.0.109/tr069/prov (заменете со вашата IP адреса)
Корисничко име: 9249094C26CB (копирајте сериски од систем>рутерборд)
Лозинка: 123456 (не е потребна за откривање, но за да биде)
Не го менуваме интервалот за периодично информирање. Ќе ја издадеме оваа поставка преку нашиот ACS

Подолу се поставките за далечинско иницијализација на конекцијата, но не можев да го натерам mikrotik да работи со него со помош. Иако далечинското барање работи надвор од кутијата со телефоните. Ќе мора да го сфати.

По притискање на копчето Примени, податоците ќе се разменуваат во терминалот, а во веб-интерфејсот на Freeacs можете да го видите нашиот рутер со автоматски креираниот тип на единица „hAPaclite“.

Рутерот е поврзан. Можете да погледнете во автоматски генерираниот тип на единица. Отвораме Easy Provisioning > Unit Type > Unit Type Overview > hAPaclite. Она што го нема! Дури 928 параметри (јас ја шпионирав школката). Многу или малку - ќе го сфатиме подоцна, но засега само ќе погледнеме набрзина. Тоа значи Unit Type. Ова е список на поддржани опции со клучеви, но без вредности. Вредностите се поставени во нивоата подолу - Профили и единици.

4. Конфигурирајте го Mikrotik

Време е за преземање водич за веб интерфејс Овој водич од 2011 година е како шише добро, старо вино. Ајде да го отвориме и да го оставиме да дише.

И самите, во веб-интерфејсот, кликнете на моливот до нашата единица и одете во режимот за конфигурација на единицата. Изгледа вака:

Ајде накратко да анализираме што е интересно на оваа страница:

Блок за конфигурација на единицата

• Профил: Ова е профилот во рамките на Тип на единица. Хиерархијата е вака: UnitType > Profile > Unit. Тоа е, можеме да создадеме, на пример, профили hAPaclite > hotspot и hAPaclite > branch, но во рамките на моделот на уредот

Блок обезбедување со копчиња
Советите укажуваат дека сите копчиња во блокот за обезбедување може веднаш да ја применат конфигурацијата преку ConnectionRequestURL. Но, како што реков погоре, ова не функционира, така што по притискање на копчињата, ќе треба да го рестартирате клиентот tr-069 на mikrotik за рачно да започне обезбедување.

• Freq/Spread: Колку пати неделно да се испорача конфигурацијата ± % за да се намали оптоварувањето на серверот и каналите за комуникација. Стандардно чини 7/20 т.е. секој ден ± 20% и навестете како е во секунди. Засега нема смисла да се менува фреквенцијата на испорака, бидејќи. ќе има дополнителна бучава во дневниците и не секогаш очекувана примена на поставките

Блок за историја на обезбедување (последните 48 часа)

• По изглед, приказната е како приказна, но со кликнување на насловот, доаѓате до удобна алатка за пребарување база на податоци со regexp и добрите

Блок параметри

Најголемиот и најважниот блок, каде што, всушност, се поставуваат и читаат параметрите за оваа единица. Сега ги гледаме само најважните системски параметри, без кои ACS не може да работи со единицата. Но, се сеќаваме дека ги имаме во Тип на единица - 928. Ајде да ги видиме сите вредности, и да одлучиме со што јаде Микротик.

4.1 Читање на параметрите

Во блокот за обезбедување, кликнете на копчето Прочитај ги сите. Блокот има црвен натпис. Колона ќе се појави десно CPE (тековна) вредност. Го смени ProvisioningMode во READALL во системските поставки.

И... ништо нема да се случи освен порака во System.X_FREEACS-COM.IM.Message Kick failed at....

Рестартирајте го клиентот TR-069 или рестартирајте го рутерот и продолжете да ја освежувате страницата на прелистувачот додека не ги добиете параметрите во веселите сиви полиња на десната страна
Ако некој сака да испие голтка од старото зачинето, овој режим е опишан во прирачникот како 10.2 режим на проверка. Се вклучува и работи малку поинаку, но суштината е сосема опишана

Режимот READALL ќе се исклучи по 15 минути, а ние ќе се обидеме да откриеме што е корисно овде и што може да се коригира додека сме во овој режим.

Можете да менувате IP адреси, да овозможите / оневозможите интерфејси, правила за заштитен ѕид, кои се со коментари (инаку целосен хаос), Wi-Fi и така натаму ситници.

Односно, сè уште не е можно разумно да се конфигурира mikrotik користејќи само алатки TR-069. Но, можете многу добро да следите. Достапни се статистики за интерфејсите и нивниот статус, бесплатна меморија итн.

4.2 Доставување параметри

Ајде сега да се обидеме да ги доставиме параметрите до рутерот, преку tr-069, на „природен“ начин. Првата жртва ќе биде Device.DeviceInfo.X_MIKROTIK_SystemIdentity. Го наоѓаме во параметрите на единицата Сите. Како што можете да видите, не е поставено. Ова значи дека секоја единица сама по себе може да има каков било идентитет. Доста е да го толерираме ова!
Ние ѕиркаме дамка во колоната за креирање, го поставуваме името Mr.White и го ѕиркаме копчето Ажурирај параметри. Што ќе се случи понатаму, веќе погодивте. На следната сесија за комуникација со седиштето, рутерот мора да го промени својот идентитет.

Но, ова не ни е доволно. Параметар како „Идентитет“ е добро секогаш да го имате при рака кога ја барате вистинската единица. Влегуваме во името на параметарот и ги ставаме полињата за избор Display (D) и Searchable (S) таму. Копчето за параметар е променето во RWSD (Запомнете, имињата и копчињата се поставени на највисокото ниво Тип на единица)

Вредноста сега не само што се прикажува во општата листа за пребарување, туку е достапна и за пребарување во Support > Search > Advanced form

Иницираме обезбедување и гледаме во Идентитет. Здраво г-дин Вајт! Сега нема да можете сами да го промените вашиот идентитет додека работи tr-069client

4.3 Извршување скрипти

Бидејќи дознавме дека нема начин без нив, да ги исполниме.

Но, пред да започнеме да работиме со датотеки, треба да ја поправиме директивата public.url во датотека /opt/freeacs-tr069/config/application-config.conf
На крајот на краиштата, сè уште имаме инсталирана тест-конфигурација со една скрипта. Не заборавивте?

# --- Public url (used for download f. ex.) ---
public.url = "http://10.110.0.109"
public.url: ${?PUBLIC_URL}

Рестартирајте го ACS и одете директно на Files & Scripts.

Но тоа што сега се отвора кај нас припаѓа на Unit Type, т.е. глобално за сите hAP ac lite рутери, било да е тоа гранка рутер, хотспот или капсмен. Сè уште не ни треба толку високо ниво, затоа, пред да работите со скрипти и датотеки, треба да креирате профил. Можете да го наречете сами, како „позиција“ на уредот.

Да го направиме нашето бебе сервер за време. Пристојна позиција со посебен софтверски пакет и мал број параметри. Ајде да одиме на Easy Provisioning > Profile > Create Profile и креирајте профил во Unit Type:hAPaclite тајмсервер. Немавме никакви параметри во стандардниот профил, така што нема што да се копира Копирај ги параметрите од: „не копирај...“

Тука сè уште нема параметри, но ќе биде можно да ги поставиме оние што подоцна сакаме да ги видиме на нашите временски сервери обликувани од hAPaclite. На пример, општите адреси на NTP серверите.
Ајде да одиме до конфигурацијата на единицата и да ја преместиме во профилот на серверот за време

Конечно одиме на Files & Scripts, направете скрипти и тука чекаме неверојатно удобни лепчиња.

За да извршиме скрипта на единица, треба да избереме Тип: TR069_SCRIPT а Име и име на целта мора да има екстензија .alter
Во исто време, за скрипти, за разлика од софтверот, можете или да поставите завршена датотека или едноставно да ја напишете / уредите во полето Содржина. Ајде да се обидеме да напишеме токму таму.

И за да можете веднаш да го видите резултатот - додадете го рутерот vlan во ether1

/interface vlan
add interface=ether1 name=vlan1 vlan-id=1

Возиме, притискаме Внеси и готово. Нашето сценарио vlan1.alter чекајќи во крилата.

Па, да одиме? Бр. Треба да додадеме и група за нашиот профил. Групите не се вклучени во хиерархијата на опремата, но се потребни за пребарување на единици во UnitType или Profile и се потребни за извршување на скрипта преку Напредно обезбедување. Обично, групите се поврзани со локации и имаат вгнездена структура. Ајде да направиме група Русија.

Замислете само што го намаливме нашето пребарување од „Сервери за сите светски временски услови на hAPaclite“ на „Сите руски временски сервери на hAPaclite“. Сè уште има огромен слој од се што е интересно со групи, но немаме време. Ајде да навлеземе во сценаријата.

Advanced Provisioning > Job > Create Job

Бидејќи сме во Напреден режим, на крајот на краиштата, овде можете да наведете куп различни услови за почеток на задачата, однесување на грешки, повторувања и тајмаути. Препорачувам да го прочитате сето ова во прирачниците или да разговарате за тоа подоцна кога ќе го имплементирате во производството. Засега, само да поставиме n1 на Стоп правила, така што задачата ќе престане веднаш штом ќе биде завршена на нашата 1-ва единица.

Го пополнуваме потребното, а останува само да започнеме!

Притиснете СТАРТ и почекајте. Сега бројачот на уреди убиени од недоволно дебагираната скрипта ќе работи брзо! Се разбира не. Ваквите задачи се даваат долго време, а тоа е нивната разлика од скриптите, Ansible итн. Самите единици аплицираат за задачи на распоред или како што се појавуваат на мрежата, ACS следи кои единици веќе добиле задачи и како завршиле, и го запишува ова на параметрите на единицата. Во нашата група има 1 единица, а ако ги има 1001, админот би ја започнал оваа задача и би одел на риболов

Ајде. Веќе рестартирајте го рутерот или рестартирајте го клиентот TR-069. Сè треба да оди без проблеми и Mr.White ќе добие нов Vlan. И нашата задача за правило Стоп ќе влезе во статус ПАУЗИРАНО. Тоа е, сè уште може да се рестартира или промени. Ако притиснете FINISH, задачата ќе биде отпишана во архивата

4.4 Ажурирање на софтверот

Ова е многу важна точка, бидејќи фирмверот на Mikrotik е модуларен, но додавањето модули не ја менува целокупната верзија на фирмверот на уредот. Нашиот ACS е нормален и не е навикнат на ова.
Сега ќе го направиме тоа во стилот на брзо и валкано и веднаш ќе го туркаме NTP модулот во општиот фирмвер, но штом верзијата се ажурира на уредот, нема да можеме да додадеме друг модул на ист начин .
Во производството, подобро е да не користите таков трик и да инсталирате модули кои се опционални за Unit Type само со скрипти.

Значи, првото нешто што треба да направиме е да подготвиме софтверски пакети од потребните верзии и архитектура и да ги ставиме на некој достапен веб-сервер. За тестот, секој што може да стигне до нашиот Mr.White ќе оди, а за производство, подобро е да се изгради огледало за автоматско ажурирање на потребниот софтвер, што не е страшно да се стави на интернет.
Важно! Не заборавајте секогаш да го вклучите пакетот tr-069client во ажурирањата!

Како што се испостави, должината на патеката до пакетите е многу важна! Кога се обидувам да користам нешто како http://192.168.0.237/routeros/stable/mipsbe/routeros-mipsbe-6.45.6.npk, mikrotik падна во циклична врска со ресурсот, испраќајќи повторени TRANSFERCOMPLETE логови на tr-069. И потрошив некои нервни клетки обидувајќи се да сфатам што не е во ред. Затоа, додека го ставаме во коренот, до разјаснување

Значи, треба да имаме три npk датотеки достапни преку http. Јас го добив вака

http://192.168.0.241/routeros-mipsbe-6.45.6.npk
http://192.168.0.241/routeros/stable/mipsbe/ntp-6.45.6-mipsbe.npk
http://192.168.0.241/routeros/stable/mipsbe/tr069-client-6.45.6-mipsbe.npk

Сега ова треба да се форматира во xml-датотека со FileType = „1 слика за надградба на фирмверот“, која ќе ја пренесеме на Mikrotik. Нека името е ros.xml

Правиме според упатствата од mikrotik-wiki:

<upgrade version="1" type="links">
    <config />
    <links>
        <link>
            <url>http://192.168.0.241/routeros-mipsbe-6.45.6.npk</url>
        </link>
        <link>
            <url>http://192.168.0.241/ntp-6.45.6-mipsbe.npk</url>
        </link>
        <link>
            <url>http://192.168.0.241/tr069-client-6.45.6-mipsbe.npk</url>
        </link>
    </links>
</upgrade>

Недостатокот е очигледен Username/Password за да пристапите до серверот за преземање. Може да се обидете да го внесете како во параграф А.3.2.8 од протоколот tr-069:

<link>
<url>http://192.168.0.237/routeros/stable/mipsbe/ntp-6.45.6-mipsbe.npk</url>
<Username>user</Username>
<Password>pass</Password>
</link>

Или директно прашајте ги службениците на Микротик, како и за максималната должина на патеката до * .npk

Одиме на познатото Files & Scripts, и креирајте СОФТВЕРСКА датотека таму со име:ros.xml, Име на целта:ros.xml и Верзија:6.45.6
Внимание! Верзијата мора да биде наведена овде точно во форматот во кој е прикажана на уредот и се пренесува во параметарот System.X_FREEACS-COM.Device.SoftwareVersion.

Ја избираме нашата xm-датотека за вчитување и ќе завршиш.

Сега имаме многу начини за ажурирање на уредот. Преку Волшебникот во главното мени, преку Напредно обезбедување и задачи со типот СОФТВЕР, или само одете до конфигурацијата на единицата и кликнете Надградба. Ајде да го избереме најлесниот начин, инаку написот е отечен.

Го притискаме копчето, иницираме обезбедување и ќе завршиш. Програмата за тестирање е завршена. Сега можеме да направиме повеќе со mikrotik.

5. Заклучок

Кога почнав да пишувам, сакав прво да ја опишам поврзаноста на ip-телефонот и да го искористам неговиот пример за да објаснам колку е кул кога tr-069 работи лесно и без напор. Но, потоа, како што напредував и копав во материјалите, мислев дека за оние што го поврзаа Микротик, ниту еден телефон нема да биде страшен за самостојно учење.

Во принцип, Freeacs, кој го тестиравме, веќе може да се користи во производството, но за ова треба да ја конфигурирате безбедноста, SSL, треба да ја конфигурирате микротиката за автоматска конфигурација по ресетирањето, треба да го дебагирате правилното додавање на Unit Type, расклопите работа на веб сервиси и фузија школка, и многу повеќе. Обидете се, измислите и напишете продолжение!

Сите, ви благодариме за вниманието! Ќе ми биде драго на корекции и коментари!

Список на користени материјали и корисни врски:

Форумска тема на која налетав кога почнав да барам на темава
TR-069 CPE WAN Протокол за управување со Амандман-6
freeacs вики
Параметрите tr-069 во Mikrotik и нивната кореспонденција со терминалните команди

Извор: www.habr.com