От "точка-точка" к раздаче инета миллионам клиентов :-)

[chukcha]

Ну, может, не миллионам.. точнее, не сразу.. :-)

Короче, есть линк точка-точка, который, благодаря советам местных знатоков, успешно доставляет "эти ваши интернеты" в необходимом количестве в одну организацию.

Но вот пришла еще организация, с соседнего здания, и стала интересоваться, как бы им тоже получить немножко такого счастья.

Короче, надо делать "точка-многоточка", да? И как-то решать проблемы авторизации, нарезки канала, отказоустойчивости и пр. Потому что слух пойдет, и народ подтянется.

Как говорила Красная Шапочка, "А чего мне бояться? Линукс знаю, секс люблю!" :-)

Подсказывайте, куда рыть? Ориентир на 20 клиентов.

(1) Каждому клиенту -- свой пароль для подключения к вайфайной точке -- это надо радиус-сервер поднимать, не? Какие правильные слова гуглить?

(2) Для отказоустойчивости неплохо бы поднять вторую "раздающую" точку неподалеку от первой, чтобы клиент цеплялся к той, которая работает, или к менее загруженной (?), если работают обе.

(3) Надо подключить второй канал, от другого провайдера. И сделать так, чтобы клиенты, вне зависимости от того, как подключились, НАТились бы наружу через "свой" внешний канал, пока он работает. И только когда не работает -- через другой.

(4) Шейпинг нужен..

Биллинг не нужен. Мониторинг нужен, но тут я сам..

Пока из железа - две Локо М5. Раньше планировал купить еще одну в холодный резерв, но "по вновь открывшимся обстоятельствам" появилось сомнение.

Раздающую Локо менять в ближайшей перспективе не хочется. Так удачно замаскировал ее от вандалов натянутым сверху чучелом голубя... :-)

[Василий386]

Микротик 750GL за 1200 руб. умеет всё вышеперечисленное. Радиус ему не нужен. Учётки РРРоЕ, РРТР и т.д. можно создавать прямо на нём.

[chukcha]

1200р - это где так члены профсоюза затовариваются? Таки можно в личку..

Т.е. авторизация все равно WPA-PSK с одним на всех ключем, а дальше инет только через VPN?

WPA-PSK с индивидуальными ключами вообще бывает?

[Василий386]

Зачем шифровать радио, если для доступа клиентов в инет всё равно будете использовать авторизацию ?

Где купить Микротик задайте вопрос гуглу.

[unicorp99]

Зачем шифровать радио, если для доступа клиентов в инет всё равно будете использовать авторизацию ?

Где купить Микротик задайте вопрос гуглу.

Яндыкс маркет покажет почти ВСЕ микротики в продаже

[plyrvt]

Т.е. авторизация все равно WPA-PSK с одним на всех ключем, а дальше инет только через VPN?

если на клиентах твоё оборудование - можешь в DHCP аренду по MAC, а потом по этому айпи дальше рулить

[Василий386]

если на клиентах твоё оборудование - можешь в DHCP аренду по MAC, а потом по этому айпи дальше рулить

За одним клиентским наносом иногда ставят хаб, и вешают ещё несколько абонов.
Привязки по маку хороши в маленькой сети, когда раздаёшь инет соседям и каждый день ходишь к ним в гости.
А когда у тебя десятки/сотни/тысячи абонов, то каждый день к каждому из них уже не наездишься.

Поэтому, никаких привязок по маку настоятельно не советую. Опыт эксплуатации показывает, что абонские роутеры часто глючат. Техподдержка по телефону просит абона подключить напрямую. Если у вас будет привязка к маку, то сильно усложнится диагностика проблем по телефону.
Сделайте РРРоЕ. ТУПОМУ абону кроме логина и пароля больше ничего не нужно !

[plyrvt]

За одним клиентским наносом иногда ставят хаб, и вешают ещё несколько абонов.

в таком случае метод не катит

Опыт эксплуатации показывает, что абонские роутеры часто глючат. Техподдержка по телефону просит абона подключить напрямую.

если там Nanos/Loco M5 и он заглючил, то напрямую ничего не подключит клиент, потому что у него нету второй Loco/наноса.

Для разветвления за клиентскими наносами метод не подходит

[Василий386]

в таком случае метод не катит


если там Nanos/Loco M5 и он заглючил, то напрямую ничего не подключит клиент, потому что у него нету второй Loco/наноса.

Для разветвления за клиентскими наносами метод не подходит

Если заглючил Нанос -- то это проблемы провайдера, но это бывает крайне редко. Кроме того, нанос можно ребутнуть по удалёнке, а лучше вообще включить watchdog.
Если заглючил абонский роутер -- то это проблемы абона, которые случаются очень часто. И провайдер из-за этого к нему не поедет. Поэтому и просят для диагностики проблем, вынуть кабель из роутера и вставить напрямую в компьютер.
Граница раздела зон ответственности между провайдером и абоном -- кабель между наносом и оборудованием абона (роутером).

[chukcha]

Василий, вы имели в виду, что со стороны клиента стоят:

(а)Нанос (условно мой, клиент в настройки лезть не могёт)
(б)возможно, свич, если клиентов за Наносом больше одного
(в)у каждого клиента -- роутер (клиентский, изначально настраиваю я, но могут и сами крутить)

На этом клиентском роутере (в) прописаны PPPoE-логин/пароль. Либо роутера у клиента нет, тупо стоит один компьютер, и PPPoE поднимается прямо на нем.

Соответственно, я для клиентов пишу инструкцию по настройке PPPoE на роутере и в винде, каждому клиенту говорю логин-пароль.

Так?

PS: микротик в яндексмаркете сразу нашел, но дороже в два раза; в целом не принципиально, если нужен один штук..

[Василий386]

Василий, вы имели в виду, что со стороны клиента стоят:

(а)Нанос (условно мой, клиент в настройки лезть не могёт)
(б)возможно, свич, если клиентов за Наносом больше одного
(в)у каждого клиента -- роутер (клиентский, изначально настраиваю я, но могут и сами крутить)

На этом клиентском роутере (в) прописаны PPPoE-логин/пароль. Либо роутера у клиента нет, тупо стоит один компьютер, и PPPoE поднимается прямо на нем.

Соответственно, я для клиентов пишу инструкцию по настройке PPPoE на роутере и в винде, каждому клиенту говорю логин-пароль.

Так?

PS: микротик в яндексмаркете сразу нашел, но дороже в два раза; в целом не принципиально, если нужен один штук..

Всё точно так и есть ! Как я рад, что вы всё правильно поняли. :)

Нанос вы можете продавать абону, если он там один. Можете ставить нанос с хабом на клиентском здании за свой счёт, если клиентов там несколько - тогда вы сами решаете кого и когда к своему хабу подключать.
Оборудование настроено в режиме моста (WDS), авторизация осуществляется через РРРоЕ.

[Алексей]

Как же вы так искали та ?? я вот нашел за 2 секунды.
Ну если и это дорого то собирайте сами на х86 железе.

[chukcha]

Я слегка погуглил, и оказалось, что рекомендуемый уважаемым Василием RouterBoard 750GL содержит в своих недрах SoC Atheros AR7242 rev.1.

В то время, как уже имеющаяся Nanostation Loco M5 сделана на Atheros AR7240-AH1A.

Разница между этими чипами, которую мне удалось обаружить -- в периферии (PCI/PCIe и USB1.1/USB2.0). Есть результаты OpenWRT OpenSSK benchmark, там по два результата с железок на AR7242 и AR7240, и производительность гораздо больше коррелирует с версией OpenWRT, чем с вариантом чипа.

Так что пока идея - попытаться поднять rp-pppoe на наносе, посмотреть, какая будет загрузка проца, и городить микротик (или еще какую-то аналогичную железку), только если/когда это реально будет нужно.

[chukcha]

Там у меня еще были вопросы...

(2) Для отказоустойчивости неплохо бы поднять вторую "раздающую" точку неподалеку от первой, чтобы клиент цеплялся к той, которая работает, или к менее загруженной (?), если работают обе.

На эту тему есть следующая идея: подключить вторую "раздающую" точку на другом здании, к другому каналу. Скопировать настройки с первой точки, но поменять частоту. На первой раздающей она фиксирована, на второй раздающей тоже будет фиксированая, но другая. На клиентских точках прописать в список сканируемых две эти частоты, но в разном порядке.

При попытке подключения клиентская точка будет сканить первую по списку частоту и цепляться к своей основной "раздающей", если та не работает - цепляться к альтернативной.

Понятно, что нужно будет под это дело прописать некоторые костыли. Пока в голову пришли такие:
(K) нужно синхронно обновлять на раздающих точках базы PPPoE-авторизации
(L) нужно синхронно обновлять на раздающих точках конфиги DHCP-сервера, и списки прокинутых клиентских портов. Чтобы если клиенту перенаправляется внешний порт - он перенаправлялся в любом случае
(M) нужно выключать на раздающей точке радио, если она вдруг осталась без интернета
(N) клиентская точка, подключившаяся на "альтернативной" частоте, должна периодически пытаться вернуться на основную
(O) клиентам в методичку нужно будет вписать, что у них динамический внешний адрес

Ругайте, будьте любезны!

[unicorp99]

Я слегка погуглил, и оказалось, что рекомендуемый уважаемым Василием RouterBoard 750GL содержит в своих недрах SoC Atheros AR7242 rev.1.

В то время, как уже имеющаяся Nanostation Loco M5 сделана на Atheros AR7240-AH1A.

Разница между этими чипами, которую мне удалось обаружить -- в периферии (PCI/PCIe и USB1.1/USB2.0). Есть результаты OpenWRT OpenSSK benchmark, там по два результата с железок на AR7242 и AR7240, и производительность гораздо больше коррелирует с версией OpenWRT, чем с вариантом чипа.

Так что пока идея - попытаться поднять rp-pppoe на наносе, посмотреть, какая будет загрузка проца, и городить микротик (или еще какую-то аналогичную железку), только если/когда это реально будет нужно.

Что на чём сделано - это не значит, что места в прошивке Loco хватит на возможности микротика.. Максимум, что получится - это завести прошивку микротика путём припаивания к Loco M5 старой USB-флешки на 64 MB (или более) - но это всё планы..

Попытали сь, попытали сь, и не выпыта лись.. Вроде бы как сервер PPPoE совсем не сложно.. Если всё же получиться, будет круто..

Там у меня еще были вопросы...

На эту тему есть следующая идея: подключить вторую "раздающую" точку на другом здании, к другому каналу. Скопировать настройки с первой точки, но поменять частоту. На первой раздающей она фиксирована, на второй раздающей тоже будет фиксированая, но другая. На клиентских точках прописать в список сканируемых две эти частоты, но в разном порядке.

При попытке подключения клиентская точка будет сканить первую по списку частоту и цепляться к своей основной "раздающей", если та не работает - цепляться к альтернативной.

Понятно, что нужно будет под это дело прописать некоторые костыли. Пока в голову пришли такие:
(K) нужно синхронно обновлять на раздающих точках базы PPPoE-авторизации
(L) нужно синхронно обновлять на раздающих точках конфиги DHCP-сервера, и списки прокинутых клиентских портов. Чтобы если клиенту перенаправляется внешний порт - он перенаправлялся в любом случае
(M) нужно выключать на раздающей точке радио, если она вдруг осталась без интернета
(N) клиентская точка, подключившаяся на "альтернативной" частоте, должна периодически пытаться вернуться на основную
(O) клиентам в методичку нужно будет вписать, что у них динамический внешний адрес

Ругайте, будьте любезны!

Сначала хвалим за то, что предложенный вариант с двумя раздающими точками вполне уместен и количество клиентов на точку уменьшиться, и скорость для каждого увеличится. (Но реально обе точки нужно ставить так, чтобы они сами друг друга не видели, за преграды и ни в коем случае ни в одно место на одну мачту) - из-за помех друг для друга.

Сам просил ругать, так что:

Начинаем ругать за жадность:
K) L) если ДВЕ точки берут инет где-то - а это по-любасу свич, то вместо свича берём MikroTik RB951-2n или MikroTik RouterBOARD 750 и перестаём дурковать с синхронизацией PPPoe, DHCP и пр.

(M) нужно выключать на раздающей точке радио, если она вдруг осталась без интернета
легко - в точке настраивается watchdog на IP главного микротика (и точку без нета будет ребутить, в это время клиенты пососкакивают на вторую точку)
сама возможность достаточно важная, как правило линк к точке по ethernet выходит из строя во время гроз (не стоит говорить, что нужно всё качественно заземлять, а не мудрить..)

(N) клиентская точка, подключившаяся на "альтернативной" частоте, должна периодически пытаться вернуться на основную
эт никак без обрывов, тилька ребут (вариант с ватчдогом с адресом точки - не вариант, потому как:
1) если подключено через дополнительную - основная точка опять таки будет пинговаться по сети и переподключения не будет
2) в случае выхода из строя своей основной точки будет ребутить девайс до одури, хотя подключено будет через дополнительную..
как варианты А) проверяем скриптом который раз в достаточно большое время, на какой мы частоте - если не на той - то проверяем пингом свою основную точку (она будет доступна по ethernet между раздающими точками) и переподключаемся. (в случае отгорания wifi или слабого сигнала wifi на основной точке будут лишние постоянные обрывы связи)
Б) тупо ребутим точки не к тому подключённые вручную (смотря активность) (это же нужно будет делать достаточно редко, как правило после замены сгоревшей точки) - или сами клиенты их переподключат

(O) клиентам в методичку нужно будет вписать, что у них динамический внешний адрес
Хоть на лоб пиши - если клиента выбрасывает из танков во время боя или прерывается скайп - жуткая вонь будет обязательно.. А вот по поводу - если низкая скорость (в случае когда много жирных клиентов залипло на одну точку) - то перед звонком в техподдержку можно пояснить - чтобы выкл/вкл клиентской точки делали..

P.S.

Не забывай - клиент всегда прав!