что такое dhcp relay в роутере mikrotik
Как настроить DHCP сервер на маршрутизаторе Mikrotik
Для того что бы устройства подключенные в локальную сеть могли получать ip адреса автоматически, необходимо настроить DHCP сервер.
Быстрая настройка
Подключаемся к маршрутизатору через winbox. Открываем вкладку IP->DHCP Server. В появившемся окне, во вкладке DHCP нажимаем кнопку DHCP Setup.
Нужно разобраться с MikroTik, но не определились с чего начать? В курсе «Настройка оборудования MikroTik» все по порядку. Подойдет и для начала работы с этим оборудованием, и для того, чтобы систематизировать знания. Это видеокурс из 162 уроков и 45 лабораторных работ, построен на официальной программе MTCNA. Проходить можно, когда удобно и пересматривать по необходимости – материалы курса выдаются бессрочно. Также есть 30 дней на личные консультации с автором. На пробу выдают 25 уроков бесплатно, заказать их можно на странице курса.
Откроется следующее окошко
Здесь мы выбираем локальный интерфейс, на котором будет работать ЛВС, если интерфейсы объединены в bridg то выбираем этот бридж.
Также если необходимо настроить сервер на vlan, то выбираем нужный vlan. После выбора интерфейса нажимаем Next. В следующем окне вводим нашу локальную сеть.
Прописываем шлюз по умолчанию который будет выдаваться клиентам.
На следующей странице прописываем DHCP Relay. Relay-это ip DHCP сервера, если бы у нас в качестве сервера выступал бы другой Микротик или отдельный компьютер, то здесь нужно было бы прописать его ip. У нас маршрутизатор Mikrotik является server, поэтому Relay нам не нужен и мы просто нажимаем стрелку вверх справа от окошка ввода.
Выбираем пул диапазона range ip адресов, которые будут выдаваться клиентам.
Здесь будут выдаваться ip с 10.10.10.2 по 10.10.10.254
В следующем окне вводим DNS сервера, если в Микротике настроено кэширование ДНС, то вводим ip роутера.
Или другие ДНС, для добавления ДНС нажмите стрелку вниз с левой стороны от окна ввода.
Нажимаем Next. Осталось указать время аренды ip адресов Lease Time.
В примере ip будут выдаваться на один день, т.е. 24 часа. Можно сделать аренду 72 часа, для этого введите строку 3d 00:00:00.
Нажимаем Next. Если все сделали правильно, то появится окошко.
После нажатия кнопки в списке DHCP появится созданный сервер, Если что, то настроено не правильно, строка будет гореть красным цветом.
Например, если на порту не настроен ip адрес.
На этом быстрая настройка сервера Микротик закончена. Таким образом, можно настроить несколько серверов для разных пулов. Например, настроить два DHCP, один будет выдавать адреса для пользователей, а другой для локальных ресурсов внутри сети.
Дополнительные настройки DHCP сервера.
Для дополнительных настроек кликните два раза по созданному серверу, в результате откроется окно где можно изменить или добавить дополнительные настройки.
Рассмотрим настраиваемые здесь опции.
Name-Любое имя
Interface – сетевой интерфейс на котором настроен сервер, может быть как физическим так и vlan или bridge.
Lease Time – Время аренды ip, по истечении которого сетевому устройству будет выдан новый.
Address Pool — диапазон из которого будут выдаваться ip для сетевых устройств, настраивается в IP->Pool.
Src.Address – используется если на интерфейсе настроено несколько ip, здесь прописываем рабочий DHCP.
authoritative принимает следующие параметры
yes — если клиент запросит IP, Микротик ему сразу же ответит. Причём если устройство ранее получало IP другого DHCP в сети, то Микротик пошлёт ему пакет DHCPNAK заставляющий обновить ему свой IP
No — если клиент ранее получавший IP с другого DHCP запросит адрес у Микротика то он его проигнорирует
After 2s delay — если клиент запросит IP недоступный на Mikrotik он будет его игнорировать 2 секунды, а далее пошлёт DHCPNAK и присвоит IP из своего диапазона. Своим клиентам Микротик отвечает мгновенно.
After 10s delay — если клиент запросит IP адрес недоступный на Mikrotik он будет его игнорировать 10 секунд, а далее пошлёт DHCPNAK и присвоит IP адрес из своего диапазона. Своим клиентам Микротик отвечает мгновенно.
Bootp Support – принимает значения
none — не реагировать на запросы BOOTP
static — предлагать только статические лизинг для BOOTP
dynamic — предлагать статическую и динамическую аренду для BOOTP
lease—script – в этом окне можно добавить исполняемый скрипт, например при подключении компьютера заносить всю информацию в лог.
add arp for leases — автоматически заполняет ARP таблицу, соответствием MAC — IP.
always broadcast — Всегда отправляйте широковещательные пакеты, даже если IP-адрес назначения известен. При включении этой опции возможна дополнительная нагрузка на сеть L2.
Use Radius — Указывает использовать ли RADIUS server для аккаунтинга и аренды адресов.
На Вкладке Networks, кликаем два раза по созданному серверу и рассмотрим опции.
Address – здесь все понятно, ip Микротика
Gateway – шлюз выдаваемый сетевым устройствам
Netmask – маска сети
DNS Servers – ДНС выдаваемые сетевым устройствам
Domain – Имя домена сети
Boot File Name – имя загрузочного файла, используется если включена загрузка по сети через tftp.
Options – дополнительные опции, как настроить рассмотрим ниже.
Привязка клиентов по MAC адресу
Если необходимо что бы клиент получал всегда один и тот же ip, то можно зарезервировать ip адрес за MAC адресом, для этого переходим во вкладку IP->DHCP Server, в открывшемся окне выбираем вкладку Leases, у нас откроется список клиентов.
Кликаем левой кнопкой мыши по нужной записи и нажимаем кнопку Make Static.
После этого буква D напротив этого клиента должна исчезнуть.
Теперь MAC клиента будет привязан к постоянному ip.
На этой вкладке также можно узнать и о статусе подключенных пользователей
waiting — пользователь не в сети, ожидается подключение.
testing — проверка использования этого адреса или нет (только для динамической аренды) путем опроса его с тайм-аутом 0,5 с
authorizing — ожидание ответа от сервера радиуса
busy — этот адрес назначается статически клиенту или уже существует в сети, поэтому он не может быть арендован, например если на компьютере настроить ip вручную.
offered — сервер предложил адрес пользователю, но не получил подтверждение от пользователя.
bound — адрес назначен пользователю и используется, будет освобожден по истечении времени аренды.
Настройка options
Если необходимо настроить опции, например option 82 использующаяся для привязки IP к порту, или option 66 указывающая ip tftp сервера.
Для настройки переходим на вкладку «Options» и жмем кнопку добавить (красный крест)
Заполняем поля открывшегося окошка.
Name-название, вводим любое имя
Code – код опции, 66, 82 и т.д.
Value – адрес ресурса, например tftp сервера
После нажатия кнопки Apply поле Raw Value заполнится автоматически, жмем OK, должна появится строчка нашей опции
Теперь переходим вкладку «Networks» и два раза кликаем по нужному серверу.
В открывшемся окне, в пункте Options, выбираем нужную нам опцию, созданную на первом шаге. После чего нажимаем кнопку ОК и настройка опции на этом закончена.
Обучающий курс по настройке MikroTik
Нужно разобраться с MikroTik, но не определились с чего начать? В курсе «Настройка оборудования MikroTik» все по порядку. Подойдет и для начала работы с этим оборудованием, и для того, чтобы систематизировать знания. Это видеокурс из 162 уроков и 45 лабораторных работ, построен на официальной программе MTCNA. Проходить можно, когда удобно и пересматривать по необходимости – материалы курса выдаются бессрочно. Также есть 30 дней на личные консультации с автором. На пробу выдают 25 уроков бесплатно, заказать их можно на странице курса.
Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.
MikroTik: Настройка DHCP Server. Примеры DHCP + ARP
В этой статье мы выполним настройку DHCP сервера на Mikrotik. Узнаем, как сделать привязку IP клиента к MAC-адресу и повысить безопасность сети используя связку DHCP + ARP с подробным описанием.
Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.
Для чего на Mikrotik настраивать DHCP Сервер
Современную инфраструктуру сети трудно представить без использования протокола DHCP, который позволяет хостам автоматически получать заданные настройки, для работы в локальной сети предприятия, исключая фактор человеческой ошибки. Принцип работы протокола прост и заключается в следующем:
Оборудование с помощью клиента DHCP посылает запрос на сервер DHCP, который отвечает клиенту, выдавая и присваивая необходимые параметры сетевому оборудованию (IP-адрес, маска сети, шлюз, DNS и т.д.).
Настройка DHCP Server на роутере Mikrotik
Есть два способа настройки DHCP Сервера на Mikrotik:
Mikrotik. Настройка DHCP сервера с помощью мастера настройки.
Этот способ подойдет новичкам. Позволяет настроить DHCP server на роутере Mikrotik для получения основных параметров сети. Для быстрой настройки требуется выполнить:
Выберем интерфейс, на котором будет работать DHCP-сервер:
Указываем адрес и маску подсети. Маску можно указать сокращенным видом (/24), либо полным адресом (255.255.255.0):
Задаем адрес шлюза сети по умолчанию (в нашем случае — это ip адрес Mikrotik):
Назначим диапазон, из которого хосты сети будут получать IP-адрес:
Зададим время, на которое DHCP Server будет предоставлять аренду настроек устройствам:
Установим это значение равное 5 дням. Если у вас кафе, то логично задать меньшее значение.
На этом быстрая настройка DHCP сервера Mikrotik закончена.
Mikrotik. Ручная настройка DHCP Server
Данный метод позволяет более детально настроить DHCP сервер на маршрутизаторе Mikrotik, назначая все параметры вручную.
Сперва создадим пул адресов:
Зададим имя и адресное пространство пула:
Далее переходим по вкладкам:
В следующем окне настроим основные параметры DHCP сервера:
Перейдем к настройке сетевых параметров, которые будет получать оборудование. Для этого откроем вкладку:
Дополнительные настройки DHCP-сервера на Mikrotik
Кроме основных параметров сети, Mikrotik позволяет настроить параметры DHCP более гибко. Рассмотрим несколько готовых решений.
Сетевая загрузка рабочих станций по PXE
Итак, у меня настроен LTSP сервер на Ubuntu. Я хочу, чтобы при загрузке тонкий клиент получал адрес TFTP сервера и скачивал образ ОС.
Для этого откроем сетевые настройки на вкладке Networks:
И укажем дополнительные параметры DHCP:
Привязка клиентов по MAC адресу
Устройства MikroTik позволяют назначить IP-адрес с привязкой по MAC-адресу. Это может понадобиться, когда определенный хост сети должен обладать неизменным IP-адресом. Например, видео-сервер, к которому выполняется удаленное подключение.
Для начала посмотрим все устройства, которые получили настройки на текущий момент.
Из графического интерфейса:
Из командной строки:
Находим устройство, IP-адрес которого хотим привязать по MAC, нажимаем правой кнопкой мыши:
Обратите внимание, что устройства, параметры которому присвоены динамически обозначены буквой «D» вначале. После того как мы назначим статический адрес, эта буква исчезнет.
Двойным нажатием левой кнопкой мыши по устройству откроем окно:
В строке “Address:” мы можем назначить нужный IP-адрес для хоста.
Из консоли:
add address=192.168.13.11 mac-address=XX:XX:XX:XX:XX:XX server=DHCP-LAN
Настройка DHCP options на Mikrotik
При помощи опций DHCP-сервер может сообщать клиенту дополнительные параметры сети. Полный список стандартных опций описан в RFC2132.
Разберем пример настройки DHCP опции с кодом 6 на Mikrotik. С помощью которой мы заменим адрес DNS сервера по умолчанию, на безопасный DNS сервер Яндекса у конкретного устройства или для всей сети компании.
Откроем вкладку “Options” и добавим значение:
Обратите внимание, что IP-адреса указываются в одинарных кавычках.
Если опций несколько, то их объединяют в наборы. Очень удобная функция. Для этого открываем вкладку “Option Sets”:
Чтобы применить созданный набор опций для конкретного клиента, перейдем во вкладку Leases и двойным нажатием левой кнопкой мыши на нужного клиента, откроем его настройки:
Чтобы установить набор опций для всей локальной сети компании, переходим на вкладку Networks и в настройках DHCP назначаем параметр:
ARP Таблицы
ARP протокол служит для определения MAC-адреса по заранее известному IP-адресу.
Работает ARP в следующих режимах:
Режим Reply-only увеличивает безопасность сети, за счет того, что хосты не смогут выйти в интернет с IP-адресом, отличным от указанного в ARP-таблице;
Режим Reply-only, рекомендуется использовать только для маленьких сетей, так как каждое новое устройство необходимо внести в таблицу ARP вручную.
Как настроить ARP записи в Mikrotik
По умолчанию ARP таблица заполняется динамически. Эти данные мы можем увидеть открыв:
А также можем статически привязать IP-адрес MAC нажав на нужную строку и выбрав пункт Make Static:
Таким образом, мы добавили ARP-запись.
Ручное добавление ARP записи Mikrotik
Если необходимо добавить ARP-запись вручную, то сделать это можно следующим образом:
В открывшемся окне зададим значения IP и MAC, указав интерфейс:
Добавляем ARP запись через DHCP на Mikrotik
Чтобы ARP-записи добавлялись при помощи DHCP, выполним следующую настройку:
На странице General отметим галочкой пункт Add ARP For Leases:
Теперь DHCP-сервер на маршрутизаторе Mikrotik будет добавлять ARP-записи в таблицу. Это может быть полезно для небольшой сети. Давайте рассмотрим на примере, как можно повысить безопасность сети, используя данную функцию.
DHCP + ARP в Mikrotik. Повышаем безопасность локальной сети
В данном “кейсе” мы модифицируем конфигурацию DHCP сервера, показанную в данной статье, таким образом, что IP-адреса будут выдаваться из существующих записей, добавляя ARP запись. И переведем ARP протокол для внутренней сети в режим Reply-only, чтобы маршрутизатор Mikrotik выполнял только ответы на ARP-запросы.
Для начала назначим статический IP для хоста в сети:
Нажатием правой кнопкой мыши по устройству, выбираем пункт Make Static:
Далее переходим на вкладку DHCP и двойным нажатием открываем свойства.
На странице General меняем настройки:
Следующим шагом настроим режим reply-only для ARP, на интерфейсе Bridge:
На этом настройка закончена. Теперь наш DHCP-Сервер выдает сетевые настройки только тем устройствам, MAC адрес которых присутствует в таблице. При этом заполняет ARP таблицу, запрещая хостам которых нет в таблице доступ в интернет.
Полезно будет ознакомиться со статьями:
Надеюсь, данная статья была вам полезна. Если возникли вопросы пишите в комментарии.
Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.
Записки IT специалиста
Технический блог специалистов ООО»Интерфейс»
Расширенная настройка DNS и DHCP в роутерах Mikrotik
Со службами DHCP и DNS знакомы, пожалуй все, ведь это базовые службы для сетей любого размера. Но их настройка обычно сводится к установке базовых параметров и затем о них забывают. Действительно, ну что может быть в них интересного, особенно если это неполноценные сервера, а службы роутера. Это так, если говорить о бытовых роутерах, где пользователю стараются не давать в руки лишних инструментов, но RouterOS рассчитана на иную аудиторию и предоставляет широкий спектр возможностей, которыми глупо не воспользоваться.
DNS (Domain Name System)
Как видим, Mikrotik использовал значение TTL из SOA-записей, ни о каких 7 днях речи не идет. Тогда для чего нужна эта настройка? Вы можете обновлять кеш чаще, чем это указано в TTL-домена. Если значение максимального TTL Mikrotik будет меньше, чем указанное в SOA-домена, то будет использоваться именно оно.
Это может быть полезным, если вы внесли какие-либо изменения во внешнюю зону и желаете быстрее обновить кеш. Как показывает практика, публичные сервера, такие как Google, OpenDNS или Яндекс тоже часто игнорируют TTL из SOA и обновляют свой кеш чаще.
Очистить кеш можно кнопкой Flush Cache в окне Cache или командой в терминале:
Поэтому, если у вас нет иных инструментов логирования и статистики, то изучение записей кеша вполне позволит получить картину сетевой активности ваших пользователей.
Проверим, как это работает. Выполним разрешение имени на клиенте:
Но имейте ввиду, работать такое разрешение имен будет только на Windows машинах, на Linux вы получите ошибку:
Но так как большинство сетей имеет преимущественно Windows ПК, то особых проблем плоские имена не доставят, и вы можете смело добавлять их записи на DNS Mikrotik вместо того, чтобы прописывать в hosts на каждой машине.
Так так, скажет внимательный читатель, это же можно использовать для блокировки нежелательных ресурсов и будет прав. Если мы не хотим, чтобы пользователи сидели в соцсетях, то добавим на сервер записи, который будут разрешать такие запросы в 127.0.0.1:
Проверим?
Вроде бы работает, но недостаток такого метода, что мы заблокировали только основной домен и пользователь легко сможет зайти через мобильный поддомен:
Чтобы этого избежать следует использовать регулярные выражения. К сожалению, в большинстве инструкций в интернете приводятся неправильные выражения, с которыми фильтр работать не будет, поэтому мы советуем использовать для создания и проверки регулярных выражений ресурс regex101.com. Это избавит вас от ошибок и вопросов в стиле «я сделал все как написано в статье, но ничего не работает».
Скажем, чтобы заблокировать домен vk.com со всеми поддоменами нам потребуется выражение:
Внесем его в соответствующее поле Mikrotik:
И проверим, теперь любое, даже заведомо не существующее имя в домене vk.com будет разрешаться в 127.0.0.1, что нам и требовалось.
Но это правило заблокирует также любые ресурсы, которые заканчиваются на vk.com, для того, чтобы этого избежать, нам потребуется более сложное выражение:
Потом создаем точно такое же правило для протокола tcp. Эти же самые действия можно быстро выполнить в терминале:
Теперь любые DNS-запросы от пользователей сети будут перенаправляться на наш DNS-сервер на роутере, что сделает любые попытки обойти локальный DNS бессмысленными.
Как видим, DNS-сервер роутера Mikrotik, несмотря на кажущуюся простоту, в общем не так уж и прост и дает в руки администратора достаточно широкие возможности.
DHCP (Dynamic Host Configuration Protocol)
Когда речь заходит о DHCP, то обычно имеют ввиду автоматическое присвоение сетевых параметров, таких как IP-адрес, маска, шлюз и DNS-сервера. Но на самом деле возможности протокола намного шире и позволяют настроить очень многие сетевые параметры. Все возможности протокола описаны в RFC 2132, но мы не будем забираться столь глубоко, а рассмотрим в качестве примера только несколько наиболее популярных опций.
Обратите внимание, что значение value берется в кавычки два раза, в двойные и одинарные.
Наборам желательно давать осмысленные названия, чтобы впоследствии вы легко могли понять для чего он предназначен. Теперь назначим его для применения на всю область DHCP-сервера. Перейдем на закладку DHCP и откроем запись нашего сервера, в поле DHCP Option Set укажем имя созданного нами набора.
Теперь обновим параметры DHCP и сразу увидим полученный DNS-суффикс:
После этого все плоские имена, которые вы добавили на DNS-сервер следует дополнить до FQDN, т.е. вместо HV-CORE-01 написать hv-core-01.interface31.lab (регистр записи значение не имеет).
Проверим:
Как видим, одной проблемой стало меньше, плоские имена нормально дополняются до FQDN и нормально разрешаются на нашем DNS вне зависимости от используемой ОС.
Также довольно часто используются опции: 42 (NTP Servers), 60, 66 (TFTP Server Name), 67 (Bootfile-Name). Имейте ввиду, что ОС Windows не запрашивает у DHCP-сервера опцию 42 и для нее установить таким образом сервер времени не удастся.
Отдельно коснемся того, как указывать IP-адреса. Протокол предусматривает передачу значений в шестнадцатеричном (Hex) формате, но RouterOS позволяет использовать и строковые значение, для этого значение Value должно содержать привычное написание адреса, взятое в одинарные кавычки:
или его шестнадцатеричное значение, которое должно начинаться с префикса 0х:
Если адресов несколько, то указываем каждый, взяв в одинарные кавычки, без пробелов между ними:
В шестнадцатеричном виде мы добавляем второе значение в конец строки, также без пробелов:
В терминале это будет выглядеть так:
Для перевода значений IP-адреса в шестнадцатеричное значение, можно использовать любой онлайн-калькулятор, мы при подготовке данного материала использовали этот.
Еще одна интересная возможность открывается в выдаче отдельным узлам своего набора опций. Следующий сценарий подойдет домашним пользователям, как достаточно простой и эффективный способ обеспечить безопасность ребенка в интернет.
Суть ее состоит в следующем: мы выборочно изменяем DNS-сервера детских сетевых устройств на безопасные DNS, например, Яндекс Семейный, SkyDNS, AdGuard и т.д. Тем, кто захочет реализовать этот сценарий в сети предприятия следует иметь ввиду, что в этом случае таким клиентам будут недоступны возможности собственного DNS-сервера, т.е. все то, о чем мы говорили в первой части статьи.
Итак, сначала создадим новую DHCP опцию с кодом 6 и укажем в значении сервера Яндекс Семейного:
Теперь создадим новый набор опций и добавим туда опцию YandexDNS.
Теперь перейдем на закладку Leases, где находится список выданных в аренду адресов и найдем там детское устройство, после чего откроем запись и выполним резервирование адреса, нажав Make Static:
Закроем и заново откроем эту запись и в поле DHCP Option Set укажем созданный нами набор с безопасными серверами:
Теперь проверим на клиенте, какие DNS-сервера он получил:
Все верно, это семейные сервера Яндекса. Попробуем посетить какой-нибудь сайт «для взрослых»:
Отлично, фильтрация работает, теперь можно гораздо меньше переживать, что ребенок увидит неподобающий контент, в тоже время взрослые члены семьи могут использовать интернет без ограничений.
Также можно быстро добавить нужные правила командой:
Напоследок рассмотрим опции 121 (Classless Static Routes) и 249 (MS Routes), которые предназначены для передачи статических маршрутов. Первая опция предусмотрена RFC 2132, вторая является «художественной самодеятельностью» Microsoft, поэтому следует указывать обе из них с одинаковым содержимым.
Во избежание ошибок мы советуем задавать маршруты в HEX-формате, синтаксис предусмотрен следующий:
Таким образом первый маршрут должен выглядеть так:
Итоговое значение будет (не забываем про 0x вначале):
Добавим опции командами:
или через графический интерфейс:
Обновим параметры DHCP и проверим таблицы маршрутизации на клиентах. Windows-клиент:
Linux-клиент:
В заключение хочется добавить, что данная статья не должна рассматриваться вами как догма, все пункты которой требуется обязательно применить. Данный материал имеет цель показать те скрытые возможности привычных сервисов, которые обычно не затрагиваются в руководствах по базовой настройке. После чего уже сам администратор должен решать, что он будет применять в своей сети и зачем. К сожалению, объем статьи не позволяет нам охватить все возможности DHCP, что-то из них мы отразим в будущих статьях, а что-то вам придется изучать самостоятельно. Но надеемся, что данный материал окажется вам полезен и даст дополнительный стимул к изучению всех возможностей используемых протоколов.
Дополнительные материалы:
Mikrotik
The Dude
Помогла статья? Поддержи автора и новые статьи будут выходить чаще:
Или подпишись на наш Телеграм-канал: 