Escolar Documentos
Profissional Documentos
Cultura Documentos
NAS-HSM
RouterOS v6.36.0
Introduccin a
HotSpot con
MikroTik RouterOS
v6.36.0.01
Libro de Estudio
ABC Xperts
Network Xperts
Academy Xperts
Tabla de Contenido
Introduccin ......................................................................................................................................................... ii
Resumen .......................................................................................................................................................................... iii
Audiencia .......................................................................................................................................................................... iii
Convenciones usadas en este libro.................................................................................................................................. iii
Comentarios y preguntas ................................................................................................................................................. iii
Captulo 3 ........................................................................................................................................................... 13
Cookies........................................................................................................................................................................... 13
Walled Garden................................................................................................................................................................ 13
Laboratorio 3.1 ............................................................................................................................................................... 14
Walled Garden IP ................................................................................................................................................... 14
Laboratorio 3.2 ............................................................................................................................................................... 15
IP Bindings ............................................................................................................................................................. 15
Laboratorio 3.3 ....................................................................................................................................................... 16
Service Port ............................................................................................................................................................ 16
Captulo 4 ........................................................................................................................................................... 17
HotSpot Server ............................................................................................................................................................... 17
HotSpot Server Profile ............................................................................................................................................ 17
Directorio HTML ..................................................................................................................................................... 17
Servicios de Paginas de Servlet ............................................................................................................................. 19
Variables ................................................................................................................................................................. 19
Descargar archivo HotSpot .................................................................................................................................... 21
Posibles mensajes de error .................................................................................................................................... 22
Academy Xperts
Introduccin
MikroTik es una empresa que nace en Latvia (Letonia) en 1995 con el claro objetivo de proveer un sistema operativo de red
altamente robusto y eficiente al cual llam RouterOS en 1997. La evolucin del mismo llev a la creacin y lanzamiento al
mercado en el 2002 de un hardware que aprovechara al mximo sus grandes capacidades de multiprocesamiento simtrico
y multi-ncleo, este hardware es el RouterBOARD.
A lo largo de los aos a partir del nacimiento del Internet, los administradores de red hemos visto desfilar varios fabricantes
por nuestros racks, siendo Cisco el referente, sin embargo siempre haba representado un costo ms o menos importante a
la hora de implementar una solucin de red ruteada en especial si se trataba de un ISP/WISP.
No es sino hasta hace una dcada aproximadamente en que MikroTik se empieza a hacer conocer en Latinoamrica y varios
emprendedores, y por sobre entusiastas, se vuelcan a la implementacin de soluciones basadas en RouterOS y
RouterBOARD. Claro ejemplo de ello son nuestros grandes amigos de Index Mxico (Ezequiel Garca) y REICO Costa Rica
(Miguel Sols) quienes tomaron la iniciativa de confiar en los productos ofrecidos por MikroTik. Es muy interesante y
gratificante conversar con ellos y escuchar los relatos sobre los primeros pasos del fabricante letn en tierras americanas.
Estoy convencido de que MikroTik lleg no solo para quedarse sino para formar una parte muy importante en la historia del
networking y de las telecomunicaciones. De hecho, cientos de miles (quiz millones a esta fecha - Junio 2015) obtienen su
internet de banda ancha a un bajo costo a travs de una red ruteada gracias a que los proveedores de Internet, pequeos y
medianos, pueden estructurar e implementar redes sumamente complejas y completas usando los RouterBOARD.
Las soluciones en RouterOS y RouterBOARD no se han quedado estancadas en las empresas de Telecom pequeas, sino
que han ido escalando en credibilidad en las empresa medianas y grandes en Latinoamrica, rompiendo paradigmas de
fabricantes y costos de implementacin.
Este libro nace como un aporte a la comunidad tecnolgica de habla hispana y latinoamericana que ha decidido incursionar
en MikroTik y desea obtener un conocimiento formal. De igual manera queremos que esta gua constituya una fuente
importante de aprendizaje para quienes empiezan a realizar sus primeras configuraciones en RouterOS.
Mauro Escalante
CEO Academy Xperts
CEO Network Xperts
Academy Xperts
ii
Resumen
Este libro busca promover el conocimiento de HotSpot MikroTik basado en experiencias que hemos encontrado en los
diferentes pases donde participamos.
Cada mes hayamos que la implementacin de HotSpot se realiza de una forma incorrecta y en situaciones que no son las
adecuadas. Por este motivo queremos difundir y ampliar el conocimiento entre la comunidad tecnolgica de habla hispana.
La informacin aqu presentada
www.youtube.com/abcxperts
se
complementa
con
nuestros
recursos
en
www.abcxperts.com
Este libro no pretende reemplazar la interaccin face-to-face con un instructor ya que su experiencia y conocimiento es
invaluable y nicamente explotable a travs del contacto interpersonal de un curso de certificacin. Sin embargo, todo el
material de apoyo junto con los videos tutoriales, webinars, tips, etc., representan un importante aporte para aquellos colegas
que optan por leer un libro y estudiar a su propio ritmo.
Esta es la primera revisin dedicada a la versin 6.33.5. Las posteriores revisiones al material y a los nuevos releases de
RouterOS sern agregadas a esta edicin y estarn a disponibilidad de las personas que compren la suscripcin.
Tenemos una tarea inmensa por delante pero estamos muy claros en nuestro objetivo de hacer de este libro la mejor gua
de autoestudio MikroTik.
Audiencia
Las personas que leen este libro deben estar familiarizados con:
Ingenieros y Tcnicos en Redes, Telecomunicaciones y afines, que desea implementar y dar soporte a:
Redes Corporativas
Comentarios y preguntas
Puede enviar sus comentarios y preguntas sobre este libro por correo tradicional a la siguiente direccin:
Network Xperts S.A.
Av. Juan T. Marengo y J. Orrantia
Edificio Professional Center, Piso 5, Ofic. 507
Guayaquil, ECUADOR
+593-4-600-8590
+593-9-9535-2132
Academy Xperts
iii
A travs del sitio web y por medio de su usuario y contrasea, tendr acceso a las actualizaciones, ejemplos, e informacin
adicional:
http://cursos.abcxperts.com
Puede enviarnos sus comentarios o preguntas tcnicas sobre este libro envindonos un email a:
libro@abcxperts.com
Para ms informacin sobre libros, conferencias, centros de recursos, y la red educativa de Academy Xperts, visite nuestros
Websites y canal de YouTube
http://www.abcxperts.com
http://www.academyxperts.com
http://www.youtube.com/abcxperts
Academy Xperts
iv
Empresas Asociadas
Si eres Universidad o Instituto Superior que cuenta con el respectivo acuerdo ministerial de tu pas, puedes
optar por convertirte en una Academia MikroTik. Escrbenos a libro@abcxperts.com para darte ms informacin.
Si eres Trainer Partner y quieres explotar junto a tus alumnos nuestro material y portal de capacitacin, te
invitamos escribirnos a mescalante@academyxperts.com para proporcionarte los detalles.
Si deseas que organicemos cursos en tu ciudad/pas de residencia, escrbenos a cursos@academyxperts.com
Academy Xperts
Texto desarrollado por el Ing. Miguel Sols, a quien agradezco por su aporte histrico
sobre los inicios de MikroTik en Latinoamrica.
Academy Xperts
vi
Permite que se agreguen mltiples direcciones IP ya sea que ninguna o solo una est habilitada
address-list
- Hace que la opcin dynamic=yes sea de solo lectura (read-only)
arm
- Se agreg el soporte para el Dude Server
- Se corrigi una falla de kernel cuando se tiene baja memoria
arp
- Se agreg la opcin arp-timeout por interface
bonding
-
capsman
- Se corrigi un problema de cada cuando se ejecutaba sobre OVPN
certificate
- Se agreg un retardo de renovacin automtica scep despus del arranque para evitar todos los requerimientos de
acceso CA al mismo tiempo
- Se cancela la renovacin pendiente cuando el certificado vlido despus del cambio de fecha
- Se muestra el emisor y el asunto (subject) en una falla de chequeo
- No se sale despus de un card-verify
- Se fuerza la renovacin scep en las actualizaciones del reloj del sistema (system clock)
chr
- Se corrigi un problema en el CHR en el que estaba viendo su propio disco de sistema montado como un disco de
datos adicional
clock
- Se corrigi un problema de tiempo que tenan los equipos SXT ac, 911L, cAP, mAP lite, wAP
- Se graba el tiempo actual a la configuracin una vez por da, incluso si no hay ajustes de zona de tiempo (time zone)
pendientes
cloud
- Se corrigi el orden del export
console
- Se corrigi un problema en que obtena una funcin falsa
Academy Xperts
vii
Se corrigi un problema de falla de memoria cuando se configura la interface sin cambiar la configuracin
Se corrigi un problema de velocidad de enlace incorrecta en ether1 despus de hacer reboot en los routers de la
serie rb4xx
fastpath
-
Se corrigi un problema de falla del kernel cuando el fastpath maneja el paquete con multicast dst-address
fetch
-
firewall
-
gps
-
health
-
Se corrigi un problema de fbrica en la data de calibracin de voltaje para algunas tarjetas hAP ac
Se corrigi un problema de voltaje incorrecto despus de que se ejecutaba un reboot en un RB2011UAS
icmp
-
Se corrigi un problema de fallo en el kernel cuando el paquete icmp no poda procesarse cuando haba una alta
carga
ippool6
-
Se corrigi un problema de cada en la adquisicin cuando la longitud de prefijo es igual que la longitud de prefijo del
pool
ipsec
-
Academy Xperts
viii
Se corrigi un problema de desborde de route cache cuando se utiliza ipsec con el route cache deshabilitado
Se agreg la excepcin de deteccin del dead ph2 para Windows msgid que no es compatible con el rfc
Se agreg la deteccin de dead ph2 reply
No se registra temporalmente el ph2 en el dead list
Se corrigi un problema en el iniciador modecfg dynamics dns
Se corrigi el AH con SHA2
Se corrigi un problema en el chequeo antes de accesar a las opciones ph1 nat
Se corrigi un problema de chequeo en Windows msgid en dispositivos x86
Se muestra la direccin peer remota en los mensajes de error cuando sea posible
Se almacena el tipo de encapsulacin udp en proposal
kernel
-
Se corrigi un posible problema de punto muerto cuando se utiliza el modem Sierra USB
l2tp
-
Se corrigi un problema de cada cuando se hace reboot o se deshabilita el l2tp mientras hay todava conexiones
activas
lcd
-
license
-
log
-
lte
-
mesh
-
Se corrigi un problema de una cada cuando la conexin referencia a una red mesh pero que ya no est
disponinble
modem
-
nand
-
ovpn
-
pppoe
-
proxy
Academy Xperts
ix
queue
-
Se resetea el queue type en las interfaces en las cuales el default queue type cambia a no-queue despus del
upgrade
rb2011
-
Se corrigi el flapping ether6-ether10 cuando dos puertos de ambos switch chips estn en el mismo bridge
rb3011
-
route
-
sniffer
-
snmp
-
ssh
-
ssh-keygen
-
ssl
-
sstp
-
supout
-
switch
-
timezone
-
traffic-flow
-
tunnel
-
upnp
-
usb
-
El dongle usb hub/ethernet I-tec U3GLAN3HUB ahora se muestra correctamente como una interface ethernet
Se implement la posibilidad de reconocer los dongles usb hubs/ethernet (si los usb hubs/ethernet-dongles no son
reconocidos en esta versin, por favor enviar un archivo supout.rif)
userman
-
wap-ac
Academy Xperts
Se corrigen problemas de desempeo con wireless 2.4GHz (se requiere un reboot adicional despus de hacer el
upgrade)
webfig
-
No se permite presionar OK o Apply si los valores actuales de configuracin todava no se han cargado
Se reduce el tiempo de refresh de la tabla de registro wireless a 1 segundo
winbox
-
wireless
-
Se corrigi un problema en que mltiples paquetes wireless se habilitaban al mismo tiempo despus del upgrade
Se descontina wireless-fp. Es necesario que se desinstale/deshabilite antes de hacer el upgrade
wireless-rep
-
bonding
-
dhcpv6 client
-
disk
-
ethernet
-
Se corrigi un problema de falla de memoria cuando se configura la interface sin cambiar la configuracin
firewall
-
health
-
Se corrigi un problema de fbrica en la data de calibracin de voltaje para algunas tarjetas hAP ac
Se corrigi un problema de voltaje incorrecto despus de que se ejecutaba un reboot en un RB2011UAS
ipsec
-
lte
-
ovpn
-
rb3011
Academy Xperts
xi
firewall
-
log
-
queue
-
snmp
-
vrrp
-
Se corrigi un problema de interfaces vrrp perdidas despus de hacer un upgrade (se introdujo en v6.35.1)
ethernet
-
No se permite que el MTU sea ms alto que el L2MTU, y que el L2MTU sea ms alto que el MAX-L2MTU (se reduce
automticamente en el upgrade si es que estaba equivocado anteriormente)
log
-
LTE
-
winbox
-
wireless
-
Academy Xperts
xii
Captulo 1: Introduccin
Caractersticas, Limitantes, Mtodos Autenticacin
Sobre HotSpot
HotSpot es una manera para que usuarios autorizados puedan acceder a los recursos de alguna red, pero sin cifrado de
datos.
Para poder hacer Login el usuario debera tener un navegador web (cualquier protocolo HTTP o HTTPS). No se requerir
ninguna instalacin de software adicional. El cliente estar conectado por un lmite de tiempo y se le podr asignar un ancho
de banda para cada usuario que se conecte. El gateway contabiliza el tiempo de espera y la cantidad de trafico de cada
cliente que han usado. Y tambin puede enviar informacin a un servidor RADIUS. El sistema de HotSpot podra limitar la
tasa de bits, la cantidad total de trfico, tiempo de espera y entre otros parmetros para cada uno de los usuarios.
El Sistema HotSpot es dirigido para proveer autenticacin sin una red local (para los usuarios de la red local que desean
acceder a Internet), pero es usado para autorizar acceso desde redes exteriores y que puedan acceder a los recursos locales
(como autenticacin de gateway para que el mundo exterior accede a tu red).
Tiene caractersticas como:
Lugares de implementacin:
Lugares pblicos
Aeropuertos
Bibliotecas
Mall
Cafeteras
Hoteles
Escuelas
Empresas
Limitantes:
Debemos tener en cuanta una caracterstica muy importante al momento de querer implementar una red con hotspot:
Equipos MikroTik con licencia nivel 4 nos permitir tener 200 usuarios activos.
Equipos MikroTik con licencia nivel 5 nos permitir tener 500 usuarios activos.
Equipos MikroTik con licencia nivel 6 nos permitir tener un nmero ilimitado de usuarios activos.
Antes de la autenticacin
Cuando se habilitada HotSpot en la interfaz, el sistema automticamente establece todo lo que se necesita para mostrar la
pgina de login a todos los clientes que no estn conectados. Esto es hecho agregando una regla dinmica de destination
NAT, el cual se puede observar en el sistema de HotSpot que ese est trabajando. Estas reglas son necesarias para
redireccionar todos los requerimientos HTTP y HTTPS de usuarios no autorizados a la autenticacin proxy de HotSpot.
Academy Xperts
Entre los ajustes ms comunes, abrir cualquier pgina HTTP que traiga la pgina de login de server HotSpot (el cual puede
ser ampliamente personalizado). El comportamiento de un usuario normal es abrir pginas web por los nombres de DNS,
una configuracion valida de DNS debera ajustarse al gateway de HotSpot (es posible volver a configurar el gateway si este
no ser requerido en la configuracion de DNS local, pero como configuracion es poco prctico y no es muy recomendado).
La configuracin de hotspot crea de forma Automtica reglas dinmicas de dst-nat (destination nat). Estas reglas son
necesarias para re-direccionar a los usuarios que no estn autorizados.
Deniega las conexiones de usuarios no autorizados y denegara todo tipo de proceso hasta que el usuario se autentique en
el servidor HotSpot.
Todas las reglas de permitir o denegar que se crean en las opciones como Walled Garden IP sern agregadas a las reglas
de Filtros de Firewall.
Academy Xperts
de que es recibido por el router (esto es como NAT origen que se desempea en la ruta del paquete, siempre y cuando la
tabla de firewall mangle, la cual normalmente ve los que los paquetes recibidos estn inalterados, solo puede ver la
traduccin de direcciones).
Tener en cuenta que el modo arp debe estar habilitado en la interfaz que se est usando one-to-one NAT.
Walled Garden
Walled Garden es una herramienta usada para dar acceso a ciertos servicios en la red sin la necesidad de una autenticacin.
Configurando las caractersticas de Walled Garden, es posible permitir a los usuarios acceder a ciertas pginas web sin la
necesidad de una autenticacin.
No se requiere autorizacin para ciertos servicios (por ejemplo, permitir a los clientes acceso al servidor web de tu compaa
sin registrarse) o siempre que se requiera autorizacin solo a un numero de servicios (por ejemplo, para ciertos usuarios que
se le permita el acceso a un servidor de archivos interno u otras restricciones del rea). Esto se puede hacer estableciendo
el Sistema de Walled Garden.
Cuando no hay ningn requerimiento de que un usuario ha accedido a un servicio permitido en la configuracion de Walled
Garden, el HotSpot gateway no es interceptado o en el caso de HTTP simplemente redirecciona los requerimientos al destino
original. Otros requerimientos son redireccionados al server HotSpot (infraestructura de las pagina de login). Cuando un
usuario accedi, no tiene ningn efecto en la tabla.
En los requerimientos de HTTP de Walled Garden se usa un servidor proxy embebido (/ip proxy). Esto significa que todos
los parmetros de configuraciones del servidor proxy tambin sern efectivos para los clientes de Walled Garden (tanto como
para todos los clientes que tienen habilitado un proxy transparente).
Por ejemplo:
Mtodos de Autenticacin
Tenemos 6 mtodos, podemos usar uno o ms simultneamente:
HTTP PAP: mtodo simple, el cual muestra la pgina de login HotSpot y se espera obtener la informacin de
autenticacin (nombre de usuario y contrasea) en texto plano. Nota: las contraseas no son encriptadas cuando
transferidas en la red. Otro uso de este mtodo es la posibilidad de informacin de autenticacin no modificable en
la pgina de login de servlet simplemente creando el link apropiado.
HTTP CHAP: mtodo estndar, el cual incluye el CHAP en la pgina de login. El hash de CHAP MD5 es usado
junto con contraseas de usuarios para calcular el string el cual ser enviado al gateway HotSpot. El resultado de
(como una contrasea) junto con el nombre de usuario es enviado a travs de la red al servicio HotSpot (adems,
la contrasea nunca es enviada en texto plano a travs de la red IP). En el lado del cliente, el algoritmo de MD5
algoritmo es implementado en JavaScript applet, adems si el navegador no soporta JavaScript (como, por ejemplo,
Internet Explorer 2.0 o algunos navegadores PDA) o el JavaScript esta deshabilitado, esto no podr autenticar a
los usuarios. Tambin es posible permitir que se desencripte las contraseas para que sean aceptadas habilitando
el mtodo de autenticacin HTTP PAP, pero esto no es recomendado (debido a las consideraciones de seguridad)
usar esta caracterstica.
HTTPS: lo mismo como HTTP PAP, pero usando el protocolo SSL para transmisiones encriptadas. El usuario
HotSpot solo enva su contrasea sin ningn hashing adicional (nota: ya no es necesario preocuparse acerca de
las contraseas en texto plano expuestas en la red, la transmisin es encriptada). En otro caso, el mtodo HTTP
POST (si no es posible, luego de obtener el mtodo HTTP) es usado para enviar datos al gateway HotSpot.
HTTP cookie: despus de cada exitoso login, una cookie es enviada al navegador web y la misma cookie es
agregada para activar la lista de HTTP cookie. La prxima vez que el mismo usuario intente conectarse, el
navegador web enviara la cookie HTPP que se guard. Esta cookie ser comparada con la una que se almaceno
en el gateway HotSpot y solo si la direccin MAC origen y aleatoriamente genera un ID que la compara con la una
que esta almacenada en el gateway, el usuario automticamente se conectara usando la informacin de login
(nombre de usuario y contrasea) fue usado cuando la cookie fue la primera vez generada. De otra manera, el
usuario se conectar y en el caso de una autenticacin exitosa, la antigua cookie ser removida de la lista de cookie
active de HotSpot local y la nueva con diferente ID aleatorio y el tiempo de expiracin ser agregado a la lista y
enviado al navegador web. Esto es posible borrando la cookie en el usuario manualmente salido del login (no en
las pginas del servidor por defecto, pero puede modificarlo para tener un mejor desempeo). Este mtodo puede
solo ser usado junto con los mtodos de HTTP PAP, HTTP CHAP o HTTPS.
MAC address: para la autenticacin mediante la Mac address sin la necesidad de un username.
Trial: se les permite a los usuarios usar el servicio free de cargo por cierto periodo de tiempo de evaluacin, y es
requerido autenticarse solo despus que el periodo ha terminado. HotSpot puede ser configurado para permitir
cierta cantidad de tiempo por direccin MAC para que sea libremente usado sin limitaciones impuestas por el user
profile. En el caso que permanezca Ia direccin y tenga cierto tiempo de inactividad, la pgina de login contendr
el link para el rial login. El tiempo automticamente se resetea despus de configurar cierta cantidad de tiempo (por
ejemplo, cualquier direccin MAC puede usar 30 minutos al da sin la necesidad de registrarse).
Academy Xperts
MAC Cookie: es una nueva caracterstica de Hotspot diseada para los dispositivos como Smartphones, laptops y
gadgets.
HotSpot puede autenticar usuarios consultando usuarios de la base datos local o en el servidor RADIUS (la base de datos
local es primero consultada, luego al servidor RADIUS). En el caso de HTTP cookie la autenticacin va servidor RADIUS,
el router enviara la misma informacin al servidor que fue usado donde la cookie fue generada primero. Si la autenticacin
es hecha localmente, se usa el profile correspondiente a ese usuario, de otra manera (en el caso de RADIUS la contestacin
no contiene el grupo para el usuario) el profile por defecto es usado para ajustar los valores por defecto para los parmetros.
Autorizacin
Despus de la autenticacin, el usuario obtiene acceso a Internet y recibe algunas limitaciones (el cual es un profile de un
usuario especifico). HotSpot tambin utiliza one-to-one NAT para el cliente, adems un usuario en particular podra recibir
siempre la misma direccin IP de la PC que est trabajando.
El Sistema automticamente detecta y redirecciona los requerimientos a un servidor proxy, a un cliente que est usando al
servidor proxy que esta embebido en el router.
La autorizacin puede ser delegada a un servidor RADIUS, el cual entrega similares opciones de configuraciones como base
datos local. Para cualquier usuario que solicite autorizacin, un servidor RADIUS obtiene la primera consulta, y si no recibe
alguna respuesta, la base de datos local es examinada. El servidor RADIUS enva un requerimiento de cambio de
autorizacin acordando con los estndares para alterar los parmetros previamente aceptados.
Anuncios
El mismo proxy es usado para proveer a los clientes no autorizados para las facilidades de Walled-Garden, tambin es usado
para usuarios autorizados para mostrarles anuncios. El proxy transparente para usuarios autorizados permite monitorear
requerimientos http de clientes y toma varias acciones si se requiere. Esto habilita la posibilidad de abrir el status de la
pgina siempre si el cliente est conectado por direccin mac.
Cuando el tiempo ha llegado a mostrar el anuncio, el servidor redirecciona el navegador web del cliente al status de la pgina.
Solo los requerimientos, los cuales proveen contenido html, son redireccionados (imgenes y otros contenidos no se vern
afectados). El status de la pgina muestra el anuncio y el prximo intervalo del anuncio es usado para programar el prximo
anuncio. Si el status de la pgina esta deshabilitado para mostrar un anuncio para configurar el tiempo de espera empezando
desde ese momento, cuando el horario es mostrado, el acceso del cliente es bloqueado dentro de walled-garden (solo para
clientes que no son autorizados). El cliente es desbloqueado cuando el horario de la pgina muestra la finalizacin.
Mientras que el cliente es bloqueado, FTP y otros servicios no sern permitidos. Esto requiere que el cliente abra un anuncio
por cualquier actividad en internet no especializada permitido por Walled-Garden.
Cuentas
El Sistema HotSpot implementa la contabilizacin internamente, no se requiere hacer algo en especial para trabajar. La
informacin contabilizada por cada usuario es enviada al servidor RADIUS server.
Men de configuraciones
ip Hotspot: Servidores HotSpot en interfaces particulares (un servidor por interfaz). El servidor HotSpot debe ser
agregado en este men en orden para que el Sistema HotSpot trabaje en una interfaz.
Profile: lista dinmica de los hosts activos en la red en todas las interfaces HotSpot. Aqu tambin se puede
encontrar las direcciones ip bindings de one-to-one NAT.
Host: lista dinmica de los hosts activos en la red en todas las interfaces HotSpot. Aqu tambin se puede encontrar
las direcciones ip bindings de one-to-one NAT
Ip-Bindings: darle acceso a un host o Red a internet sin pasar por las reglas de Hotspot
Service-port: Helpers para one-to-one NAT
Walled-garden: reglas de Walled Garden para los niveles de HTTP (nombres de DNS, requerimientos de
substrings de HTTP)
Walled-garden-ip: reglas de Walled Garden a nivel de IP (direcciones IP, protocolos IP).
User: sistema de base de datos local
User profile: profiles de los usuarios del Sistema local de HotSpot (grupos de usuarios).
Active: lista dinmica de los usuarios hotspot autenticados.
Cookie: lista dinmica de todas las cookies HTTP validas
IP HotSpot
Este men es diseado para manejar los servidores HotSpot en el router. Es posible ejecutar un HotSpot en Ethernet,
wireless, VLAN e interfaces bridge. Solo un servidor HotSpot es permitido por interfaz.
HotSpot Setup
Usar /ip hotspot setup para la configuracin de un servidor hotspot, Recomendado!!
Todos los ajustes de configuracin pueden ser agregados manualmente.
Antes de realizar la configuracin del servidor HotSpot debemos tener en cuenta ciertos detalles como:
El dispositivo que vamos a configurar con servidor HotSpot debe tener salida a internet.
Debe tener configurada una IP valida en la interface donde se va a configurar el servidor de HotSpot.
Academy Xperts
HTTPS (read-only: flag): si el servicio de HTTPS est actualmente ejecutndose en la interfaz (por ejemplo,
establecer el profile del servidor, y un certificado valido es importado en el router).
address-pool (name | none; default: none): nombre del pool de direcciones IP para el desempeo de oneto-one NAT. Se puede escoger no utilizar one-to-one NAT.
o none no hacer funcionar one-to-one NAT para los clientes de las interfaces HotSpot.
addresses-per-mac (integer | unlimited; default: 2): nmeros de direcciones IP asignadas a ser
enlazadas con una direccin MAC en particular (esto es una oportunidad pequea de reducir los ataques de
denegacin de servicio basado en tomar el control de todas las direcciones IP en el pool de direcciones). No
disponible si el address-pool est en none
o unlimited nmero de direcciones IP por direcciones MAC no est limitada.
idle-timeout (time | none; default: 00:05:00): tiempo de espera de idle (periodo mximo de inactividad)
para clientes no autorizados. Este es usado para detectar, que clientes no estn usado en redes externas (Ejemplo:
Internet), i.e., ah no hay trafico viniendo desde que cliente y yendo a travs del router. Alcanzado el tiempo de
espera, el usuario deja la lista de host.
o none tiempo de espera de idle de los usuarios.
interface (name) interfaz en que se ejecuta HotSpot
ip-of-dns-name (read-only: IP address) direccin IP del DNS del gateway de HotSpot que se estableci
en la interfaz de HotSpot
keepalive-timeout (time | none; default: none) mantener el tiempo de espera para clientes no
autorizados. Usado para detectar, que la computadora del cliente sea alcanzable. Si la verificacin falla durante
este periodo, el usuario ser rechazado de la lista de host.
o none tiempo de espera de los usuarios inalcanzables.
profile (name; default: default) profile de HotSpot para la interfaz.
Nota
addresses-per-mac trabaja si el pool de direcciones est definido. Tambin tomar en cuenta de que, si se autentican
usuarios conectados a travs del router, que todas las direcciones Ip parecen haber venido desde una direccin MAC.
Ejemplo
Para agregar un sistema HotSpot en la interfaz local, permitiendo al Sistema hacer one-to-one NAT para cada cliente
(direcciones desde el pool de direcciones HS-real ser usado para el NAT):
[admin@MikroTik] ip hotspot> add interface=local address-pool=HS-real
[admin@MikroTik] ip hotspot> print
Flags: X - disabled, I - invalid, S - HTTPS
#
NAME
INTERFACE
ADDRESS-POOL PROFILE IDLE-TIMEOUT
Laboratorio 1
>>> Ir al Manual de Laboratorio
Academy Xperts
Captulo 2: Users
Users
En esta seccin de configuracin podremos encontrar la forma de generar usuarios para los distintos servidores hotspot que
tengamos configurados en nuestra red
Limit
Limit
Limit
Limit
Academy Xperts
Laboratorio 2.1
Monitoreo de usuarios
En esta opcin podremos ver todos los hosts que estn conectados o no autorizados en nuestra red.
En esta opcin podremos ver todos los hosts que estn conectados y autorizados en nuestra red.
Mtodos de autenticacin
Academy Xperts
Cookie
Trial
HTTPS
El uso del mtodo de HTTPS nos cifrara los datos a travs del protocolo SSL.
El certificado a user debe ser importado al Router.
Academy Xperts
Cookie
MAC-Address
Academy Xperts
Trial
Permite dar acceso a usuarios por un tiempo determinado, lo cuales podemos especificarlos en la opcin: Trial Uptime
Limit.
Laboratorio 2.2
Grupo de usuarios
La opcin de user profile es usada para clientes HotSpot. Los Profiles son como grupos de usuarios con los mismos ajustes
de rate-limit, filter chain name, etc.
Academy Xperts
10
Address-Pool, nombre del pool de las IPs que los usuarios obtendrn al conectarse a la red.
Session Timeout, el usuario se desconectar luego del tiempo estimado.
Keepalive Timeout, detecta si el cliente est activo.
Shared Users, permite logins simultneos con el mismo username.
Rate Limit (rx/tx), Limite de ancho de banda por cliente HotSpot.
Crea colas simples dinmicas
Sintaxis:
Advertencias
Academy Xperts
11
Advertise: Habilitar la opcin de advertencias. Despus la advertencia aparecer en una pgina web especfica a
los usuarios HotSpot.
Advertise URL: Listas de URLs que se mostraran como anuncios. Luego de que la ltima URL es usada, la lista
empezara desde el comienzo.
Advertise Interval: Ajustes de intervalo de tiempo entre las advertencias.
Advertise Timeout: cantidad de tiempo que la advertencia es mostrada, antes de bloquear el acceso a la red
para los clientes HotSpot.
Ejemplo
Configurar un profile con los siguientes datos:
Max-limit=1M/2M
Limit-at=512K/1M
Priority=3
Academy Xperts
12
Captulo 3
Cookies
Los Cookies guardan en una base local los datos de los usuarios que se conectan y se autentican. Permitiendo que el hotspot
ya no les pida en otra ocasin que ingresen los datos de autenticacin, ya que esta base compara los datos basados por la
MAC address.
Descripcin de la Propiedades
domain (read-only: text): nombre de dominio (si se dividi desde el nombre de usuario).
expires-in (read-only: time): por cuanto tiempo es vlida la cookie.
mac-address (read-only: MAC address): direccin MAC del usuario
user (read-only: name): nombre de usuario.
Nota
Puede ser varias cookies con la misma direccin MAC. Por ejemplo, ser una cookie separada por cada navegador web en
la misma computadora.
Las cookies pueden expirar, esa es la manera de cmo debe ser. La validacin de tiempo por defecto es de 3 das (72 horas),
pero puede cambiarse por cada profile individual del servidor HotSpot, por ejemplo:
/ip hotspot profile set default http-cookie-lifetime=1d
Ejemplo
Para obtener una lista de cookies:
/ip hotspot cookie print
# USER
DOMAIN
0 ex
/ip hotspot cookie
MAC-ADDRESS
EXPIRES-IN
01:23:45:67:89:AB 23h54m16s
Walled Garden
Walled Garden es una herramienta usada para dar acceso a ciertos servicios en la red sin la necesidad de una autenticacin,
mediante protocolo HTTP.
Para los requerimientos de HTTP utiliza un servidor proxy incorporado. Esto significa que todos los parmetros configurados
de ese servidor proxy se aplicaran para los clientes Walled Garden (as como para todos los clientes que tienen habilitada
la opcin de proxy transparente).
Academy Xperts
13
Por ejemplo:
Nota
Propiedades de Wildcard (dst-host and dst-path) compara un string completo (no se comparar "example.com" si se
estableci "example"). Las wildcards son '*' (compara cualquier nmero de cualquier carcter) y '?' (compara un carcter).
Expresiones regulares son tambin aceptadas aqu, pero las propiedades pueden ser tratadas como expresiones regulares,
debera de comenzar con dos puntos (':').
Pequeos hits usando en expresiones regulares:
Se puede usar la propiedad path para requerimientos HTTPS de como el router no puede (que no debera el protocolo
HTTPS protocolo fue hecho para esto) des-encriptar el requerimiento.
Ejemplo
Para permitir requerimientos no autorizados a la pgina www.example.com domain's /paynow.html:
/ip hotspot walled-garden add path="/paynow.html" dst-host="www.example.com"
/ip hotspot walled-garden print detail
Flags: X - disabled, D - dynamic
0
dst-host="www.example.com" path="/paynow.html" action=allow
Laboratorio 3.1
Walled Garden IP
Walled Garden IP es una herramienta usada para dar acceso a ciertos servicios en la red sin la necesidad de una
autenticacin, mediante protocolo IP.
Por ejemplo:
Academy Xperts
14
Laboratorio 3.2
IP Bindings
Permite aceptar cualquier direccin IP que este configurada en el cliente forzando un NAT 1:1. Tambin es posible hacer
traducciones NAT estticas en base a: IP origen, IP de red, MAC del cliente. Adems, es posible permitir que ciertas
direcciones hagan un Bypass a la autenticacin del Hotspot y tambin permite bloquear hosts especficos y subredes de
una red HotSpot.
Notas
Esta es una lista ordenada, donde se puede poner entradas ms especficas en el tope de la lista para sobrescribirlos las
reglas ms comunes que aparecen abajo. Se puede poner siempre una entrada con direccin 0.0.0.0/0 al final de la lista
para hacer la accin por defecto deseada para esas direcciones que no coincidirn con otras entradas.
Escenario Tpico
1.
2.
Cuando agregamos una nueva red en la misma interfaz y queremos que esa nueva red no pase por el Hotspot.
cuando en la misma red hotspot tenemos dispositivos como: cmaras, impresoras entre otros, y no tienen forma de
poderse autenticar, le hacemos un Bypass
Academy Xperts
15
Laboratorio 3.3
Service Port
Solo para el clsico NAT, el HotSpot creado, rompe ciertos protocolos que son incompatibles con la traduccin de direcciones
one-to-one NAT. Para dejara estos protocolos estn consistentes, los mdulos de ayuda deberan ser usados. Para el oneto-one NAT solo un mdulo es para el protocolo FTP.
Descripcin de las Propiedades
Ejemplo
Para establecer el protocolo FTP protocol use ambos puertos Tcp 20 y 21 TCP:
/ip hotspot service-port> print
Flags: X - disabled
#
NAME
0
ftp
/ip hotspot service-port> set ftp ports=20,21
/ip hotspot service-port> print
Flags: X - disabled
#
NAME
0
ftp
Academy Xperts
PORTS
21
PORTS
20
21
16
Captulo 4
HotSpot Server
Permite configurar un Servidor HotSpot especificando de manera ms detalla las configuraciones del mismo. Servers,
muestra toda la lista de servidores hotspot
DNS name, nombre del servidor DNS del HotSpot. Este es el nombre DNS usado como el nombre del servidor
HotSpot (este aparece como la localizacin de la pgina de login). Este nombre automticamente ser agregado
como una entrada de DNS esttica en la cache de DNS.
Rate limit, especificar un lmite de ancho de banda para las entradas en el servidor hotspot
HTTP proxy, configurar un proxy transparente.
SMTP server, para re-direccionar correos.
Directorio HTML
Se localiza los archivos en el servidor hotspot, en la opcin de File en el RouterOS. Para descargarlos podemos ingresar va
FTP o dando clic derecho Download en el directorio HotSpot en el file.
Academy Xperts
17
Se puede crear un conjunto completamente diferente de las pginas para cada servidor HotSpot que se tenga, especificando
el directorio donde ser almacenado en las propiedades de html-directory del profile del servidor HotSpot (/ip hotspot
profile). Las pginas de servidor por defecto son copiadas en el directorio de nuestra eleccin despus de crear el profile.
Este directorio puede ser accedido conectando el router con un cliente FTP. Se puede modificar las paginas como ms nos
agrade usando la informacin de esta seccin del manual.
Nota: se sugiere editar los archivos manualmente, como herramientas automatizadas de edicin de HTML ya puede daar
las pginas mediante la eliminacin de las variables u otras partes.
Paginas disponibles
Principales pginas HTML, que se muestran al usuario:
rlogin.html - pagina, la cual redirecciona los clientes desde otras URL a la pgina de login, si se requiere autorizacin
del cliente para acceder a la URL.
rstatus.html - similar a rlogin.html, solo en caso si el cliente esta aun autenticado y la URL original no es conocido.
radvert.html redirecciona al cliente a los anuncios que fueron programados.
flogin.html se muestra en lugar de login.html, si un error ha pasado (nombre de usuario invalido o contrasea)
Academy Xperts
18
2.
3.
4.
5.
Nota: si no es posible satisfacer una solicitud utilizando las pginas almacenadas en el servidor FTP del router, Error 404 es
visualizado.
Hay muchas posibilidades para personalizar la pgina de autenticacin de HotSpot:
La pgina es fcilmente modificable. Estn almacenadas se almacenan en el servidor FTP del router en el directorio
que uno escoja para el perfil del servidor HotSpot.
Cambiando las variables, el cual el cliente enva al servlet HotSpot, es posible reducir el nmero de palabra clave
para una (nombre de usuario o contrasea; por ejemplo, direcciona MAC del cliente podra ser usada como otro
valor) o siempre a cero (acuerdo de la licencia, los valores generales predefinidos o la direccin MAC del cliente
puede ser usada como nombre de usuario y contrasea).
El registro puede ocurrir en un servidor diferente (por ejemplo, en un servidor que pueda cobrar tarjetas de crdito).
La direccin MAC del cliente puede ser pasadas a el servidor, esa informacin necesita ser escribida manualmente.
Despus del registro, el servidor debera cambiar la base de datos del servidor RADIUS habilitando al cliente para
cargar cierta cantidad de tiempo.
Para insertar una variable en cierto lugar en el archive HTML, la $(var_name) sintaxis es usada, donde el the "var_name" es
el nombre de la variable (sin comillas). Esta construccin puede ser usada en cualquier archivo de acceso de HotSpot HTML
como as '/', '/login', '/status' o '/logout', como cualquier otro texto o HTML (.txt, .htm o .html) archive almacenado en servidor
HotSpot (con la excepcin de contadores de trfico, el cual est disponible solo en el estado de la pgina). Por ejemplo, para
mostrar un link en la pgina de login, siguiendo la construccin puede ser usada:
<a href="$(link-login)">login</a>
Variables
Todas las pginas del Servlet HTML usan variables para mostrar al usuario valores especficos. Nombres de variables
aparecen solo en el origen de HTML de la pgina del servlet ellos son automticamente reemplazados con los valores
respectivos por el servlet HotSpot. Para las dems variables es un Ejemplo de los posibles valores incluidos en parntesis.
Todas las variables descritas son vlidas en todas las pginas de servlet, pero algunas de ellas solo estn vacas en el
tiempo que son accedidas (por ejemplo, sin tiempo de actividad antes de que un usuario se ha conectado).
Academy Xperts
19
Academy Xperts
20
RADIUS-related variables
o radius<id> - mostrar el atributo identificado con <id> forma de cadena de texto (en caso de autenticacin
RADIUS fuera usada; de otra manera "")
o radius<id>u - mostrar el atributo identificado <id> en forma de entero sin signo (en caso de autenticacin
RADIUS fuera usada; de otra manera "0")
o radius<id>-<vnd-id> - muestra el atributo identificado con <id> and vendor ID <vnd-id> en la cadena de
texto (en caso de autenticacin RADIUS fuera usada; de otra manera "")
o radius<id>-<vnd-id>u - muestra el atributo identificado con <id> and vendor ID <vnd-id> en forma de entero
sin signo (en caso de autenticacin RADIUS fuera usada; de otra manera "0")
Una vez que guardamos la carpeta en nuestra PC, abrimos la carpeta y localizamos dos archivos:
Ejemplo
Modificar la pgina de Login de hotspot:
Archivo Login.html
Abrimos el archivo y modificamos lo siguiente:
Antes
Academy Xperts
21
Despus
Archivo Alogin.html
Abrimos el archivo y modificamos lo siguiente:
Antes
Despus
You are not logged in intenta accede a la pgina de estado o de log off mientras no est conectado. Solucin:
conectarse
already authorizing, retry later autorizacin en progreso. Cliente ya ha emitido una solicitud de
autorizacin que an no se ha completado. Solucin: esperar a que la solicitud actual para ser completado y, a
continuacin, intentarlo de nuevo.
chap-missing = web browser did not send challenge response (try again, enable JavaScript)
intentar conectarse con el mtodo HTTP-CHAP usando MD5 hash, pero el servidor HotSpot no conoce sabe el reto
utilizado para el hash. Esto puede suceder si utiliza los botones traseros en el navegador; si JavaScript no est
habilitado en el navegador web; si la pgina de login.html no es vlida; o si el valor de autenticacin ha caducado
en el servidor (ms de una inactividad). Solucin: instrucciones del navegador para volver a cargar (actualizar) la
pgina de inicio de sesin por lo general ayuda si JavaScript est habilitado y la pagina es login.html.
invalid username ($(username)): esta direccin MAC address no es nuestra intentando conectarse usando
la direccin MAC del nombre de un usuario diferente de esa MAC. Solucin: no hay usuarios con nombres de
usuario que se parecen a una direccin MAC (ejemplo., 12:34:56:78:9a:bc) slo se puede acceder desde la
direccin MAC especificada como su nombre de usuario.
Academy Xperts
22
session limit reached ($(error-orig)) - dependiendo del nmero de licencia de clientes activos HotSpot se
limita a algunos nmeros, slo se puede acceder desde la direccin MAC especificada como su nombre de usuario.
El error se muestra cuando se alcanza este lmite. Solucin: tratar de conectarse en otro momento en que no habr
sesiones de usuario menos concurrentes, o comprar otra licencia que permite ms sesiones simultneas.
hotspot service is shutting down - RouterOS actualmente est siendo reiniciado o apagado. Solucin:
esperar hasta que el servicio est disponible de nuevo.
internal error ($(error-orig)) esto nunca debera pasar. Si esto pasa, la pgina de error mostrar un
mensaje de error (error-orig describir que ha pasado). Solucin: corregir el reporte del error.
configuration error ($(error-orig)) el servidor HotSpot server no est configurado correctamente (errororig describir que ha pasado). Solucin: corregir el reporte del error.
cannot assign ip address - no more free addresses from deshabilitado la obtencin de direcciones IP
address desde un pool IP, porque no hay ms direcciones IP libres en el pool. Solucin: estar seguro que hay
suficiente cantidad de direcciones IP libre en el pool IP.
invalid username or password el servidor RADIUS ha rechazado el nombre de usuario y contrasea enviada
sin especificar una razn. Causa: ya sea el nombre de usuario y contrasea incorrecta u otro error. Solucin: debera
ser aclarado en los archivos del servidor RADIUS.
<error_message_sent_by_radius_server> - esto podra ser cualquier mensaje (cualquier cadena de texto)
enviar de regreso al servidor RADIUS. Consulta con el servidor RADIUS la documentacin para informacin
adicional.
Academy Xperts
23
Captulo 5: Training
Certificaciones, MTCNA, MTCTCE, MTCWE, MTCUME, MTCRE, MTCINE
MTCNA
MTCNA es la primera certificacin del portafolio que ofrece MikroTik para su sistema operativo RouterOS.
Este curso representa una gua completa para administradores de red y usuarios que desean iniciar sus conocimientos en
configuracin de equipos MikroTik RouterOS, como tambin para aquellos que desean afianzar su expertise y orientarse
hacia un estudio formal de las principales funciones del Sistema Operativo RouterOS.
Contenido
1.
2.
3.
4.
5.
6.
7.
8.
9.
Introduccin
ARP, DHCP
Ruteo
Bridge
Wireless
Firewall
QoS
Tneles
Herramientas de RouterOS
MTCTCE
MTCTCE es una de las cinco certificaciones avanzadas de MikroTik RouterOS.
Este curso cubre los principales temas relacionados con la optimizacin del trfico en una red LAN/WAN/Wireless, no solo
concentrndose en la correcta implementacin de la Calidad de Servicio (QoS) sino tambin prestando especial importancia
al trfico que en pequeas proporciones puede ocasionar un flujo notable a travs de canales de comunicacin de baja
velocidad o en conexiones de internet restringidas.
Contenido
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
DNS
DHCP
Firewall Filter
Firewall Chain Input
Firewall Chain Forward
Bogon IPs
Firewall NAT
Firewall Mangle
HTB
Queue Tree
Burst
Web Proxy
TTL
Balanceo de carga
Academy Xperts
24
MTCWE
MTCWE es una de las cinco certificaciones avanzadas de MikroTik RouterOS.
Este curso realiza un revisin profunda a los parmetros de configuracin wireless de RouterOS. Los laboratorios han sido
desarrollados de tal manera que arrojen resultados que sern lo ms cercanos a los ambientes reales y tpicos en produccin.
Para la ejecucin de los mismos se deben trabajar con estadsticas obtenidas de las prcticas anotando dichos resultados
en tablas que podrn ser evaluadas a lo largo de los dems laboratorios.
Contenido
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
MTCUME
MTCUME es una de las cinco certificaciones avanzadas de MikroTik RouterOS
Este curso permitir al estudiante obtener todos los conocimientos necesarios para comprender el funcionamiento del
paquete User Manager en un RouterOS MikroTik, asociado con los servicios Login(router), Wireless, DHCP, HotSpot, PPP
Contenido
1.
2.
3.
4.
5.
6.
7.
PPP
PPTP/L2TP
PPPoE
PPP Bridging
IPSec
Hotspot
RADIUS
MTCRE
MTCRE es una de las cinco certificaciones avanzadas de Mikrotik RouterOS
Este curso permite obtener el expertise necesario para entender el funcionamiento del ruteo esttico aplicando diferentes
parmetros de distancia, routing mark, o haciendo uno de ECMP, llegando a la conclusin de que estas tcnicas por si solas
no son suficientes para proveer funciones como un Failover confiable
Contenido
1.
2.
3.
4.
5.
Ruteo Esttico
Direccionamiento punto a punto
VPN
OSPF
VRRP
MTCINE
MTCINE es el TOP de las certificaciones avanzadas de MikroTik RouterOS
Es el curso estrella del sistema operativo MikroTik RouterOS y centra su estudio en los protocolos BGP y MPLS
El estudiante podr entender y fortalecer conceptos como sistemas Autnomos, Algoritmo Path vector, transporte y tipos de
paquetes BGP, iBGP & eBGP, distribucin de rutas, loopbacks, atributos de prefijos, reflectores de rutas y confederaciones
BGP.
Contenido
1.
2.
3.
4.
BGP
Multicast
MPLS
Ingeniera de trafico
Academy Xperts
25