Импортозамещение идёт полным ходом и очень часто встречаются вопросы как настроить PPPoE подключение на маршрутизаторах Eltex ESR. Рассмотрим на примере одного из моих товарищей, который стал обладателе маршрутизатора Eltex ESR-200.

Есть задача в рабочем офисе организовать работу локальной сети состоящей из парка вычислительной техники и различной оргтехника. Клиенты офиса должны иметь возможность выхода в Интернет через оптический кабель приходящего от интернет-провайдера.

Рассмотрим создание минимально необходимой базовой конфигурации, обеспечивающей решение поставленной задачи это настройка PPPoE соединения и DHCP сервера.

Обычно я не использую заводскую конфигурацию т.к. приходится изменять многие настройки для моего удобства. В нашем примере создадим собственную конфигурацию. Вопросы обновления прошивки, и подключения к консольному порту для последующего конфигурирования устройства в данном руководстве не рассматриваются.

1.      Удалим заводскую конфигурацию по умолчанию. Для полного удаления текущей конфигурации устройства необходимо выполнить следующую последовательность команд:

#copy system:default-config system:candidate-config

 

#commit

 

#confirm

 

2.      Создадим необходимую конфигурацию.

Опишем в конфигурации минимально необходимы объекты:

object-group service DHCP_SERVER

  description "DHCP_SERVER"

  port-range 67

exit

object-group service DHCP_CLIENT

  description "DHCP_CLIENT"

  port-range 68

exit

object-group service DNS

  port-range 53

exit

object-group service NTP

  description "NTP"

  port-range 123

exit

object-group service SSH

  description "SSH"

  port-range 22

exit

object-group service SNMP

  description "SNMP"

  port-range 161

exit

object-group network LOCAL_LAN

  description "LOCAL_LAN"

  ip prefix 192.168.1.0/24

exit

 

 

Определим зоны безопасности настройки правил Firewall, это зоны для локальной сети и сети Интернет.

security zone LOCAL_LAN

  description "LOCAL_LAN_NETWORK"

exit

security zone INTERNET

  description "INTERNET"

exit

 

Создадим интерфейс типа BRIDGE, и присвоим зону безопасности LOCAL_LAN. По умолчанию будем использовать VLAN=1. Если требуется использовать другой VLAN, то настройка интерфейсов может незначительно отличатся.

bridge 1

  description "LOCAL_LAN"

  vlan 1

  security-zone LOCAL_LAN

  ip address 192.168.1.1/24

  enable

exit

 

Определим назначение интерфейсов. Интерфейс Gi 1/0/1 будет использоваться для подключения к ISP, интерфейс Gi 1/0/2-4 для подключения к локальной сети предприятия.

interface gigabitethernet 1/0/1

  description "INTERNET"

  security-zone INTERNET

exit

 

interface gigabitethernet 1/0/2

  mode switchport

  security-zone LOCAL_LAN

  lldp transmit

  lldp receive

exit

 

interface gigabitethernet 1/0/3

  mode switchport

  security-zone LOCAL_LAN

  lldp transmit

  lldp receive

exit

 

interface gigabitethernet 1/0/4

  mode switchport

  security-zone LOCAL_LAN

  lldp transmit

  lldp receive

exit

 

Создадим PPPoE соединение которое будет работает с Интернет провайдером через интерфейс gigabitethernet 1/0/1. В некоторых случаях необходимо указать методы аутентификации, это зависит от настроек со стороны оборудования провайдера.

tunnel pppoe 1

  authentication method mschap

  authentication method mschap-v2

  authentication method eap

  authentication method pap

  interface gigabitethernet 1/0/1

  description "INTERNET_PPPOE"

  security-zone INTERNET

  ip tcp adjust-mss 1452

  username <LOGIN> password ascii-text <PASSWORD>

  enable

exit

 

Если планируете использовать SNMP необходимо включить и указать пароль для чтения и записи параметров.

snmp-server

snmp-server community public ro

snmp-server community private rw

 

Опишем правила прохождения трафика через Firewall маршрутизатора. На маршрутизаторах ESR, Firewall включён по умолчанию.

Разрешим прохождения трафика из зоны безопасности локальной сети в сеть Интернет без ограничений.

security zone-pair LOCAL_LAN INTERNET

  rule 10

    action permit

    enable

  exit

exit

 

Разрешим прохождения трафика без ограничений в зоне безопасности локальной сети.

security zone-pair LOCAL_LAN LOCAL_LAN

  rule 10

    action permit

    enable

  exit

exit

 

Разрешим прохождения трафика из зоны безопасности локальной сети (LOCAL_LAN) зону self (на всех маршрутизаторах создана по умолчанию зона безопасности self, к этой зоне относятся все IP-адреса маршрутизатора и внутренние сервисы. Трафик между self-зоной и любой другой по умолчанию разрешён).

security zone-pair LOCAL_LAN self

description "разрешим подключение к маршрутизатору по протоколу SSH"

  rule 10

    action permit

    match protocol tcp

    match destination-port SSH

    enable

  exit

  rule 20

description "разрешим прохождение icmp на настроенный BRIGE интерфейс с адресом 192.168.1.1"

    action permit

    match protocol icmp

    enable

  exit

  rule 30

description "разрешим прохождение DHCP запросов на DHCP сервер настроенный на ESR"

    action permit

    match protocol udp

    match source-port DHCP_CLIENT

    match destination-port DHCP_SERVER

    enable

  exit

  rule 40

description "разрешим синхронизацию NTP от внутреннего NTP сервера на ERS"

    action permit

    match protocol udp

    match destination-port NTP

    enable

  exit

  rule 50

description "разрешим доступ к маршрутизатору по SNMP"

    description "MONITORING SNMP"

    action permit

    match protocol udp

    match destination-port SNMP

    enable

  exit

exit

 

Разрешим прохождения трафика из сети Интернет в зону self.

security zone-pair INTERNET self

  rule 10

description "разрешим синхронизацию времени ESR"

    action permit

    match protocol udp

    match destination-port NTP

    enable

  exit

  rule 20

description "запретим ответы icmp на запросы из сети Интернет"

    action deny

    match protocol icmp

    enable

  exit

exit

 

Настроим трансляцию адресов

nat source

  ruleset INTERNET

    to tunnel pppoe 1

    rule 10

      description "ACCESS TO INTERNET"

      match source-address LOCAL_LAN

      action source-nat interface

      enable

    exit

  exit

exit

 

Настроим DHCP сервер на ESR. Желательно использовать DNS-сервера предоставляемые интернет-провайдером!

ip dhcp-server

ip dhcp-server pool LAN-POOL

  network 192.168.1.0/24

  address-range 192.168.1.10-192.168.1.254

  default-router 192.168.1.1

  dns-server 8.8.8.8

exit

 

Настроим статический маршрут в сеть Интернет

ip route 0.0.0.0/0 tunnel pppoe 1

 

Включим SSH сервер для удалённого подключения к маршрутизатору

ip ssh server

 

Включим протокол LLDP

lldp enable

 

Настроим протокол NTP для синхронизации времени.

clock timezone gmt +3

ntp enable

ntp broadcast-client enable

ntp server 132.163.96.1

  minpoll 4

exit

ntp server 194.190.168.1

  minpoll 4

exit

 

Часть рабочего файла конфигурации. Основанное отличие от примера настроек выше это использования VLAN=10.

hostname ESR

 

object-group service DHCP_SERVER

  description "DHCP_SERVER"

  port-range 67

exit

object-group service DHCP_CLIENT

  description "DHCP_CLIENT"

  port-range 68

exit

object-group service DNS

  port-range 53

exit

object-group service NTP

  description "NTP"

  port-range 123

exit

object-group service SSH

  description "SSH"

  port-range 22

exit

object-group service SNMP

  description "SNMP"

  port-range 161

exit

 

object-group network LOCAL_LAN

  description "LOCAL_LAN"

  ip prefix 192.168.1.0/24

exit

 

syslog max-files 3

syslog file-size 512

syslog file tmpsys:syslog/default

  severity info

exit

 

 

 

boot host auto-config

boot host auto-update

vlan 10

  name "LOCAL_LAN"

exit

 

no spanning-tree

 

domain lookup enable

domain name-server XXX.XXX.XXX.XXX

domain name-server XXX.XXX.XXX.XXX

 

security zone LOCAL_LAN

  description "LOCAL_LAN_NETWORK"

exit

security zone INTERNET

  description "INTERNET"

exit

 

 

bridge 1

  description "LOCAL_LAN"

  vlan 10

  security-zone LOCAL_LAN

  ip address 192.168.1.1/24

  no spanning-tree

  enable

exit

 

interface gigabitethernet 1/0/1

  description "INTERNET"

  security-zone INTERNET

exit

interface gigabitethernet 1/0/2

  mode switchport

  security-zone LOCAL_LAN

  switchport access vlan 10

  lldp transmit

  lldp receive

exit

interface gigabitethernet 1/0/3

  mode switchport

  security-zone LOCAL_LAN

  switchport access vlan 10

  lldp transmit

  lldp receive

exit

interface gigabitethernet 1/0/4

  mode switchport

  security-zone LOCAL_LAN

  switchport access vlan 10

  lldp transmit

  lldp receive

exit

 

tunnel pppoe 1

  authentication method mschap

  authentication method mschap-v2

  authentication method eap

  authentication method pap

  interface gigabitethernet 1/0/1

  description "INTERNET_PPPOE"

  security-zone INTERNET

  ip tcp adjust-mss 1452

  username <LOGIN> password ascii-text <PASSWORD>

exit

 

snmp-server

snmp-server community public ro

snmp-server community private rw

 

security zone-pair LOCAL_LAN INTERNET

  rule 10

    action permit

    enable

  exit

exit

security zone-pair LOCAL_LAN LOCAL_LAN

  rule 10

    action permit

    enable

  exit

exit

security zone-pair LOCAL_LAN self

  description "разрешим подключение к маршрутизатору по протоколу SSH"

  rule 10

    action permit

    match protocol tcp

    match source-port any

    match destination-port SSH

    enable

  exit

  rule 20

    description "разрешим прохождение icmp на настроенный BRIGE интерфейс с адресом 192.168.1.1"

    action permit

    match protocol icmp

    enable

  exit

  rule 30

    description "разрешим прохождение DHCP запросов на DHCP сервер настроенный на ESR"

    action permit

    match protocol udp

    match source-port DHCP_CLIENT

    match destination-port DHCP_SERVER

    enable

  exit

  rule 40

    description "разрешим синхронизацию NTP от внутреннего NTP сервера на ERS"

    action permit

    match protocol udp

    match destination-port NTP

    enable

  exit

  rule 50

    description "MONITORING SNMP"

    action permit

    match protocol udp

    match destination-port SNMP

    enable

  exit

exit

security zone-pair INTERNET self

  rule 10

    description "разрешим синхронизацию времени ESR"

    action permit

    match protocol udp

    match destination-port NTP

    enable

  exit

  rule 20

    description "запретим ответы icmp на запросы из сети Интернет"

    action deny

    match protocol icmp

    match source-port any

    match destination-port any

    enable

  exit

exit

 

security passwords default-expired

ip firewall screen dos-defense syn-flood 100 src-dst

ip firewall screen dos-defense icmp-threshold 100

ip firewall screen dos-defense land

ip firewall screen suspicious-packets icmp-fragment

ip firewall screen suspicious-packets large-icmp

ip firewall screen suspicious-packets unknown-protocols

ip firewall screen spy-blocking syn-fin

ip firewall screen spy-blocking fin-no-ack

ip firewall screen spy-blocking tcp-no-flag

ip firewall screen spy-blocking spoofing

ip firewall screen spy-blocking tcp-all-flags

 

nat source

  ruleset INTERNET

    to tunnel pppoe 1

    rule 10

      description "ACCESS TO INTERNET"

      match source-address LOCAL_LAN

      action source-nat interface

      enable

    exit

  exit

exit

 

ip dhcp-server

ip dhcp-server pool LAN-POOL

  network 192.168.1.0/24

  address-range 192.168.1.10-192.168.1.254

  default-router 192.168.1.1

  dns-server 8.8.8.8,192.168.1.1

exit

 

ip route 0.0.0.0/0 tunnel pppoe 1

 

ip ssh server

 

lldp enable

 

clock timezone gmt +7

 

ntp enable

ntp broadcast-client enable

ntp server 132.163.96.1

  minpoll 4

exit

ntp server 194.190.168.1

  minpoll 4

exit

 

Проверка работоспособности настройки на ESR:

ESR# show tunnels status

Tunnel             Admin   Link    MTU      Local IP           Remote IP          Last change

                   state   state

----------------   -----   -----   ------   ----------------   ----------------   -------------------------

pppoe 1            Up      Up      1492     XXX.XXX.XXX.XX     XX.XXX.XXX.X       1 minute and 21 seconds

ESR#

ESR# ping ya.ru

PING ya.ru (5.255.255.242) 56 bytes of data.

!!!!!

--- ya.ru ping statistics ---

5 packets transmitted, 5 received, 0% packet loss, time 4005ms

rtt min/avg/max/mdev = 45.634/47.485/49.124/1.206 ms

ESR#

 

Проверка с рабочей станции Windows.

C:\>ipconfig /all

 

Windows IP Configuration

 

   Host Name . . . . . . . . . . . . :

   Primary Dns Suffix  . . . . . . . :

   Node Type . . . . . . . . . . . . : Hybrid

   IP Routing Enabled. . . . . . . . : No

   WINS Proxy Enabled. . . . . . . . : No

 

Ethernet adapter Ethernet:

 

   Connection-specific DNS Suffix  . :

   Description . . . . . . . . . . . : Realtek PCIe GbE Family Controller

   Physical Address. . . . . . . . . : 04-D4-C4-E8-BE-DB

   DHCP Enabled. . . . . . . . . . . : Yes

   Autoconfiguration Enabled . . . . : Yes

   Link-local IPv6 Address . . . . . : fe80::a2a5:7dba:75df:8d8c%10(Preferred)

   IPv4 Address. . . . . . . . . . . : 192.168.1.170(Preferred)

   Subnet Mask . . . . . . . . . . . : 255.255.255.0

   Lease Obtained. . . . . . . . . . : 8 марта 2024 г. 21:42:55

   Lease Expires . . . . . . . . . . : 9 марта 2024 г. 11:04:14

   Default Gateway . . . . . . . . . : 192.168.1.1

   DHCP Server . . . . . . . . . . . : 192.168.1.1

   DHCPv6 IAID . . . . . . . . . . . : 168088772

   DHCPv6 Client DUID. . . . . . . . : 00-01-00-01-29-AD-E6-77-04-D4-C4-E8-BE-DB

   DNS Servers . . . . . . . . . . . : 192.168.1.1

                                       8.8.8.8

   NetBIOS over Tcpip. . . . . . . . : Enabled

 

C:\>ping ya.ru

 

Pinging ya.ru [5.255.255.242] with 32 bytes of data:

Reply from 5.255.255.242: bytes=32 time=46ms TTL=57

Reply from 5.255.255.242: bytes=32 time=48ms TTL=57

Reply from 5.255.255.242: bytes=32 time=46ms TTL=57

Reply from 5.255.255.242: bytes=32 time=47ms TTL=57

 

Ping statistics for 5.255.255.242:

    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

    Minimum = 46ms, Maximum = 48ms, Average = 46ms

C:\>