MikroTik e Hotspot 2.0 (802.11u e/o Wi-Fi Certified Passpoint), guardate cosa ho scoperto!

MikroTik e Hotspot 2.0 (802.11u e/o Wi-Fi Certified Passpoint), guardate cosa ho scoperto!

Sicuramente conoscerete i nuovi standard Hotspot 2.0, Wi-Fi Certified Passpoint e 802.11u vero? Se non conoscete ancora le nuove specifiche, che descrivono gli hotspot del "futuro", vi invito a visionare i molti docs presenti su internet, alla fine di questo post ne metterò alcuni, in ogni caso sappiate che la maggior parte dei device client presenti sul mercato (sia Apple, Windows o Android) già supportano il "Wi-Fi Certified Passpoint" o Hotspot 2.0 che è una applicazione della WiFi Alliance che si basa sulle specifiche del protocollo 802.11u.

Per chi mi conosce sa che seguo, da sempre, gli sviluppi sia teorici che pratici degli hotspot WiFi, in particolare, sia le sue applicazioni attuali, sia gli sviluppi futuri. Quindi, è ovvio che seguo anche le novità introdotte dal protocollo 802.11u e dal Wi-Fi Certified Passpoint.

Essendo Trainer MikroTik, ogni volta che esce un nuovo firmware, cerco nei changelog qualcosa a riguardo i nuovi standard 802.11u o Hotspot 2.0, ma purtroppo, fino ad oggi, senza successo.

Pochi giorni fa però, girovagando per caso su un terminale di una Routerboard wireless mi è sfuggito un TAB di troppo e mi è apparso un menù mai visto fino ad oggi, il menù "interworking-profiles":

come potete notare, dentro wireless, da un po' di versioni (lo screenshoot è stato acquisito su una 6.33.3) abbiamo un nuovo sotto-menù non documentato. Infatti anche cercando sul wiki ufficiale di MikroTik ma non ho trovato alcuna documentazione in merito e questo mi fa pensare che MikroTik ci stia lavorando ma che non sia ancora pronta per annunciarne l'uscita.

Direi, senza ombra di dubbio, che questa sia un'ottima notizia. Temevo che MikroTik non si allineasse con i "big" degli hotspot (Rockuss, Aruba etc) ma rimanesse "indietro", ma anche questa volta MikroTik non ha deluso.

Come potete apprezzare si parla esplicitamente di hotspot20, ASRA, 3GPP... tutte voci che si leggono nei docs di altri brand ufficialmente compatibili con il nuovo standard hotspot 2.0, come ad esempio Aruba Networks:

http://www.arubanetworks.com/techdocs/ArubaOS_64_Web_Help/Content/ArubaFrameStyles/hotspot/predepoyment_overview.htm

Pagine: 1 | 2 | Single Page

Utilizzare GMail come SMTP per i device MikroTik (e non)

Utilizzare GMail come SMTP per i device MikroTik (e non)

WirelessGuru Mikrotik utilizzare SMTP GMailAvete un account GMail e volete utilizzarlo come server SMTP dei vostri apparati MikroTik?

Nessun problema basterà andare in Tools -> Email e configurare il server di invio con smtp.google.com, porta 587, TLS su yes e le vostre credenziali di GMail.

Mikrotik SMTP Gmail

a questo punto tramite il pulsante “Send Email” potrete testare l’invio della mail… funziona?

Pagine: First | 1 | 2 | 3 | Next → | Last | Single Page

Rilevata importante vulnerabilità apparati Ubiquiti.

Rilevata importante vulnerabilità apparati Ubiquiti.

Ubiquiti rilevato virus per AirOS

Per tutti gli utilizzatori di Ubiquiti, leggere con attenzione questo articolo.

In questi giorni è stata rilevata un’attività virale che riesce a rendere inutilizzabili i prodotti Ubiquiti con sistema operativo AirOS non aggiornato.

Nella maggioranza dei casi i device vengono resettati a factory default, in altri casi rimangono operanti ma inaccessibili (credenziali modificate).

Il virus utilizza un exploit HTTP/HTTPS per avere accesso agli apparati ed essendo un exploit non necessita di alcuna credenziale, quindi non stiamo parlando di password lasciate a default o poco sicure.

Avere quindi un apparato con AirOS non aggiornato ed esposto direttamente su internet tramite le porte standard (TCP/80 HTTP e TCP443/HTTPS) significa essere sensibili all’attacco.

Ad oggi ho molte segnalazioni di WISP e System Integrator che hanno subito tale attacco.

Cosa fare?

Se non siete stati ancora colpiti: aggiornate subito AirOS all’ultima versione, questa operazione è sufficiente a rendervi immuni all’attacco.

Se invece siete stati colpiti dal virus Ubiquiti ha prontamente creato un Removal Tool scaricabile a questo link:

Pagine: First | 1 | 2 | 3 | Next → | Last | Single Page

MikroTik Logging: inserire il nome utente nelle righe di log per gli Hotspot o PPPoE server

MikroTik Logging: inserire il nome utente nelle righe di log per gli Hotspot o PPPoE server

WirelessGuru-Mikrotik-Log-Hotspot-Connection-Part-2-username-add-on-every-log-lineAlzi la mano chi non ha mai desiderato avere direttamente fruibile l'username, che in molti casi si traduce nel numero di cellulare, in ogni riga di log generata dal nostro fido hotspot (o pppoe server) realizzato con MikroTik.

Come avete visto dal precedente articolo MikroTik Hotspot: Come loggare il traffico degli utenti (parte 1) si può realizzare in maniera molto efficace un logging, perfettamente a norma di legge, delle connessioni che transitano nella rete autenticata tramite hotspot (o pppoe server). Vi invito a leggerlo se non lo avete ancora visionato.

La totalità degli hotspot che mi è capitato di analizzare (e di realizzare) fino ad oggi utilizzavano quelle regole per attivare il logging. Però ogni qualvolta dovevano essere analizzati, per esempio a seguito di richiesta da parte della Polizia Postale, iniziava il "calvario" di ricercare quale username avesse quell'ip privato in quel momento. Ripeto, alzi la mano a chi non è capitato e non abbia pensato: come sarebbe grandioso avere subito l'username a portata di "mano".

Cosi' mi sono deciso di trovare una soluzione a questa problematica. Vediamo subito cosa sono riuscito a realizzare. Partiamo dal risultato:

WirelessGuru MikroTik Logging with Username in every row

Come ben vedete nel riquadro rosso abbiamo un numero di cellulare (mascherate per privacy le ultime cifre). Questo è il risultato che volevamo no? Adesso è molto semplice sapere chi alle 22:36 del 31 marzo 2916 è andato a visitare il sito web ospitato sul server 212.48.10.49.

Ma come ci siamo riusciti? Vediamolo assieme.

Regole di firewall custom ed un pizzico di scripting

Per riuscire ad inserire il nome utente nella riga di log dobbiamo utilizzare il campo "prefix" presente nella regola di firewall che genera il log, come spiegato nell' articolo precedente, quindi per ogni username ci vorrà una regola di firewall dedicata. Proprio cosi', a differenza di quello che abbiamo realizzato fino ad oggi, che con una potente ed unica regola generavamo il logging di un'intera rete, per avere regole customizzate dobbiamo obbligatoriamente avere almeno una regola per ogni username attivo nella macchina.

Ma come generiamo le regole? Ovviamente non manualmente. Ci dobbiamo avvalere di una features introdotta non da molto sul sistema operativo RouterOS. Sto parlando della possibilità di lanciare uno script per ogni utente che effettua il login e conseguentemente lanciare uno script diverso per ogni utente che effettua il logout.

Dove troviamo questa potente funzionalità? All'interno della sezione user-profile del nostro hotspot MikroTik (o pppoe server).

Per pulizia di pensiero e di lavoro creeremo una nuova catena di firewall, e la chiameremo "customlog".

All'interno dello script che viene chiamato ogni volta che l'utente fa login possiamo utilizzare delle variabili, a noi interessano per i nostri scopi le variabili $user e $address che contengono rispettivamente il nome utente e l'indirizzo io che gli è stato assegnato dal sistema.

Andremo a creare una semplice regola di firewall di questo tipo:

[syntax type="html|php|js|css"]

/ip firewall mangle add chain=customlog src-address=$address connection-state=new action=return log=yes log-prefix=$user comment=$user

[/syntax]

e la mettiamo nello script di "On login" della sezione Hotspot User Profile:

WirelessGuru-Regola-Log-Custom-In-User-Profile-1

Dopo aver inserito questa regola se proviamo a fare login nel nostro hotspot MikroTik vedremo che verrà creata una regola dinamica di firewall come dal seguente screenshoot (regola con id 1):

WirelessGuru-Hotspot-Logging-Dinamic-Firewall-Rulez

Pagine: First | 1 | 2 | 3 | Next → | Last | Single Page

MikroTik Hotspot: Come loggare il traffico degli utenti (parte 1)

MikroTik Hotspot: Come loggare il traffico degli utenti (parte 1)

WirelessGuru-Mikrotik-Log-Hotspot-Connection-Part-1

Realizzare delle reti Hotspot WiFi con MikroTik, a meno di non attribuire un ip pubblico per ogni utente, implica molto spesso di dover attivare un log del traffico degli utenti verso internet. Vediamo come possiamo con MikroTik attivare il logging del traffico degli utenti hotspot.

Generare i log

Grazie alla flessibilità e potenza del sistema operativo RouterOS possiamo in maniera molto semplice impostare alcune regole per tenere traccia delle attività relative agli utenti della rete wireless WiFi.

Per prima cosa andiamo nei settaggi relativi alle attività di Log ed abilitiamo il logging per hotspot e firewall:

[code]

/system logging add topics=firewall action=memory

/system loggin add topics=hotspot action=memory

[/code]

Attraverso queste due semplici regole diciamo al sistema di iniziare a tenere traccia delle attività relative all'hotspot (login, logout etc) e di "scrivere" nella RAM (memory) l'attività. Vedremo in seguito come veicolare in altri target questi log.

Adesso utilizzando il firewall andremo a creare una regola che permetta di "loggare" il traffico passante dal router:

[code]
/ip firewall mangle add chain=forward connection-state=new action=log
[/code]

Con questi semplici comandi abbiamo configurato il router MikroTik per "loggare" il traffico degli utenti, se infatti utilizziamo l'hotspot ed andiamo a vedere dentro "Log" troveremo sicuramente delle entry di questo tipo:

[code]
Feb 7 2016 20:17:59 firewall,info: in:bridge-hs out:ether1, src-mac 00:03:aa:dd:de:2c, proto TCP (SYN), 172.31.255.253:58523->64.233.166.188:5228, len 60
Feb 7 2016 20:20:16 firewall,info: in:bridge-hs out:ether1, src-mac 00:03:aa:dd:de:2c, proto TCP (SYN), 172.31.255.253:48072->64.233.167.192:7275, len 60
Feb 7 2016 20:22:59 firewall,info: in:bridge-hs out:ether1, src-mac 00:03:aa:dd:de:2c, proto TCP (SYN), 172.31.255.253:47049->64.233.184.188:5228, len 60
[/code]

ovviamente gli IP, le porte ed i mac-address varieranno dall'esempio sopra riportato!

Cosa abbiamo in queste entry? Andiamo ad analizzarle:

Feb 7 2016 10:17:59  Data ed ora del log

firewall,info  Chi ha generato il log (nel nostro caso il firewall)

in:bridge-hs out:ether1 Quali interfacce il pacchetto ha attraversato

src-mac 00:03:aa:dd:de:2c Il MAC ADDRESS del dispositivo in LAN

proto TCP (SYN) Il tipo di protocollo (TCP, UDP, etc)

172.31.255.253:58523->64.233.166.188:5228 L'ip sorgente e l'ip destinatario con le relative porte.

Come ben si nota con questa entry riesco a "loggare" il minimo indispensabile richiesto dalla normativa:

chi (ip sorgente)

dove (ip destinazione)

cosa (protocollo + porta di destinazione, ad esempio TCP/80 è una richiesta HTTP)

Pagine: First | 1 | 2 | 3 | Next → | Last | Single Page

MikroTik: DHCP server non autorizzato, come impostare un alert

MikroTik: DHCP server non autorizzato, come impostare un alert

WirelessGuru-Mikrotik-HowtoCome ben tutti noi System Administrator sappiamo il DHCP server in una LAN è diventato ormai un servizio necessario, soprattutto se forniamo connettività wireless WiFi. Ma cosa succede se nella LAN si attivano, per sbaglio, due server DHCP? Succede che la rete LAN si troverà ben presto con dei problemi e risulterà fuori controllo.

Se gestiamo una rete di un cliente, con apparati MikroTik, dobbiamo evitare nel modo più assoluto che qualcuno attivi a nostra insaputa un server DHCP, per esempio installando un router WiFi acquistato in qualche megastore.

E' possibile monitorare la rete LAN e far scattare un alert nel caso venga rilevato un server DHCP non autorizzato? Si', con MikroTik si può. Vediamo come.

Nel nostro router MikroTik dovremo andare a configurare, nella sezione DHCP server, un "alert" in caso di rilevazione server DHCP non autorizzato.

[code]

[admin@WirelessGuru] > /ip dhcp-server alert

[admin@WirelessGuru] /ip dhcp-server alert> add interface=ether1 valid-server=00:0C:42:8D:D1:30 alert-timeout=60 on-alert=":log info DHCP-ALERT" disabled=no

[/code]

Pagine: 1 | 2 | Single Page

Come effettuare su MikroTik un remote wireless scan delle frequenze

Come effettuare su MikroTik un remote wireless scan delle frequenze

Come effettuare con MikroTik uno scan remoto delle frequenzeMolto spesso amministrando una rete wireless realizzata con apparati MikroTik, capita di dover effettuare una scansione delle frequenze su apparati remoti. Come ben sapete se eseguiamo questa operazione l’apparato perde il suo link wireless e veniamo quindi disconessi senza riuscire a vedere il risultato.

E’ però possibile risolvere questa problematica grazie alla flessibilità del sistema operativo RouterOS di MikroTik.

Pagine: First | 1 | 2 | 3 | Next → | Last | Single Page

Come aggregare due o più connessioni internet con un router MikroTik

Come aggregare due o più connessioni internet con un router MikroTik

WirelessGuru-Mikrotik-HowtoTra gli scenari di rete che si possono realizzare utilizzando i router MikroTik, uno dei più richiesti è senza dubbio l'aggregazione di due o più collegamenti internet, come ad esempio ADSL via rame o via wireless.

RouterOS ci fornisce ottimi strumenti per riuscire in questo intento. Vediamo quindi quali sono le strade percorribili per aggregare due o più connessioni internet.

Il primo metodo è sicuramente utilizzando il "semplice" ECMP (Equal Cost Multi-Path). La configurazione ECMP consiste infatti nel mettere più di un destinatario come default gateway ed il nostro router utilizzando la metodologia Round-Robin invierà i pacchetti ethernet ai vari gateway in maniera "democratica".
Se ad esempio avessimo due connessioni ADSL raggiungibili tramite due router configurati con gli ip 172.23.0.1 e 10.0.0.1 basterà impostare il default gateway in questo modo:

[code]

/ip route dst-address=0.0.0.0/0 gateway=172.23.0.1,10.0.0.1

[/code]

Quindi come si può notare basterà aggiungere più gateway separati da una virgola per far sì che il nostro router aggreghi i due flussi. In pratica i pacchetti di rete verranno inviati il 50% al primo gateway ed il 50% al secondo gateway alternandoli uno ad uno in Round-Robin.

 

Se volessimo dare un peso maggiore alla prima connessione rispetto alla seconda potremmo dichiarare più volte un gateway:

[code] /ip route dst-address=0.0.0.0/0 gateway=172.23.0.1,172.23.0.1,172.23.0.1,10.0.0.1 [/code]

In questo esempio manderemmo il 75% dei pacchetti al router 172.23.0.1 ed il 25% al router 10.0.0.1

Questo scenario era molto in "voga" qualche anno fa quando le connessioni Web/HTTP erano più semplici e con meno controlli. Al giorno d'oggi, purtroppo, questo approccio risulta impercorribile in quanto, le moderne tecnologie di pubblicazione Web, fanno largo uso di tecnologie client side (come AJAX) che non permettono richieste "in sessione" da ip diversi. Implementare quindi un aggregazione di questo tipo, anche solo per il protocollo HTTP, risulterebbe disastroso.

E quindi niente aggregazione?

MikroTik per fortuna ha molti assi nella manica. Per aggregare in maniera funzionale due o più connettività possiamo utilizzare il firewall ed il suo "matcher" PCC (Per Connection Classifier).
Questo potente "matcher" permette di identificare i pacchetti appartenenti ad una "connessione" e di marchiarli in maniera diversa in base ad uno "scheduler".

In questo modo possiamo realizzare non tanto un bilanciamento di pacchetti, come per l'ECMP visto prima, ma un bilanciamento di connessioni.

Il flusso di lavoro che spiegherò in un prossimo articolo sarà:

Pagine: 1 | 2 | Single Page

RouterOS rilascio nuova versione 6.30

RouterOS rilascio nuova versione 6.30

WirelessGuru-Mikrotik-HowtoMikroTik ha da poco rilasciato la nuova versione di RouterOS. Per l'esattezza siamo arrivati alla release  6.30 di questo magnifico sistema operativo utilizzabile su router (con avanzate funzionalità quali OSPF, MPLS e BGP) ed apparati wireless sia a 5GHz, ad uso Punto-Punto o Punto-Multipunto, sia a 2.4GHz per essere utilizzati come Hotspot WiFi. Consiglio a tutti i WISP e System Integrator che hanno una rete MikroTik di allineare i firmware dei proprio apparati con quest'ultima versione al fine di risolvere alcuni bug rimasti aperti.

In attesa dell'imminente rilascio di RouterOS 7 ecco qui le modifiche implementate in questa versione:

Pagine: First | 1 | 2 | 3 | Next → | Last | Single Page

Come non farvi tracciare, tramite traceroute, i router Mikrotik della vostra rete dai clienti

Come non farvi tracciare, tramite traceroute, i router Mikrotik della vostra rete dai clienti

WirelessGuru-Mikrotik-HowtoSe siete dei WISP o degli ISP ed utilizzate apparati MikroTik o SICE Hiperlink per la vostra rete Layer 3, sia con rotte statiche, sia con protocolli dinamici quali OSPF, RIP o BGP, vi sarà capitato, spesso e a malincuore, di vedere "esposti" ad un banale comando traceroute tutti vostri nodi di rete. A livello di sicurezza far conoscere ai vostri clienti il network layout non è proprio il massimo, in quanto una volta identificati gli ip dei nodi di rete, è sempre possibile tentare di eseguire "attacchi" ai vari router. Per "attacchi" intendo sia azioni per guadagnare il controllo del router (attacchi di brute force sugli account ad esempio), sia azioni di DoS (Denial Of Service) per tentare di rallentare o compromettere un nodo.

Ad esempio, se facciamo un traceroute da un router MikroTik, potremmo avere un risultato di questo tipo:

[code gutter="false" highlight="3,4"][admin@WirelessGuru] > tool traceroute 8.8.8.8
# ADDRESS LOSS SENT LAST AVG BEST WORST
1 13.25.11.65 0% 11 12.7ms 14.2 4.3 31.3
2 13.25.11.1 0% 11 4.5ms 7.5 3.5 13.4
3 94.32.134.137 0% 11 7.4ms 9.8 4.6 20.6
4 213.205.31.150 0% 11 12ms 15.7 10.2 29.5
5 94.32.128.105 0% 11 13.6ms 15.9 10.5 30.3
6 94.32.135.161 0% 11 17ms 41.4 13.7 257.5
7 94.32.134.146 0% 11 22.5ms 19.5 12.3 29.5
8 66.249.95.73 0% 11 35.6ms 18.9 11.6 35.6
9 8.8.8.8 0% 11 11.8ms 13 10.8 20
[/code]

I due router MikroTik evidenziati (13.25.11.65 e 13.25.11.1) fanno parte della nostra rete Layer 3 che instrada il traffico dei client verso internet.

Se volessimo far sparire quei router dal risultato del traceroute basterà aggiungere su ognuno di loro questa semplice regola di Firewall Mangle:

Pagine: First | 1 | 2 | 3 | Next → | Last | Single Page

Corso di formazione Mikrotik MTCNA: programma, panoramica e considerazioni.

Corso di formazione Mikrotik MTCNA: programma, panoramica e considerazioni.

WirelessGuru-Mikrotik-HowtoMolte persone mi stanno chiedendo quali sono i programmi dei corsi Mikrotik, quindi ho deciso di scrivere un articolo per ogni corso in modo da cercare di chiarire ogni dubbio 🙂

Iniziamo con il corso che sta alla base di tutti gli altri denomitato MTCNA.

MTCNA è l'acronimo di MikroTik Certified Network Associate.

Questo corso è stato creato con l'intento di fornire tutti gli strumenti per lavorare professionalmente con i prodotti Mikrotik (e tutti quelli RouterOS based). Infatti questo, tra tutti è l'unico corso che affronta praticamente tutti gli argomenti presenti negli altri corsi. Si parla infatti sia di argomenti "base", quali l'uso di Winbox, indirizzamenti ip, accesso alla macchina, configurazione moduli radio, sia di argomenti avanzati quali Routing, Firewall, QoS, Tunnel.

Questo corso dovrebbe, a mio avviso essere obbligatoriamente seguito, prima di intraprendere qualsiasi attività lavorativa con gli apparati Mikrotik o RouterOS based, in quanto l'80% delle situazioni normali di configurazione di apparati Mikrotik viene affrontato in questo corso di formazione.

Se siete interessati a certificare Voi o la Vostra azienda attraverso il corso Mikrotik MTCNA compilate l'apposito modulo in fondo a questo articolo.

Mikrotik, per garantire trasparenza e ufficialità dei corsi, sul proprio sito web mette a disposizione un modulo di ricerca che permette di verificare se un tecnico è veramente certficato o meno. Potete controllare, ad esempio, le mie certificazioni inserendo Gianni Olivieri nel modulo presente su questo URL: http://www.mikrotik.com/certificateSearch

Gli altri corsi del percorso di certificazione Mikrotik sono utilissimi per approfondire meglio le tematiche realtive al mondo wireless e networking, ma ritengo che anche solo certificandosi al corso MTCNA si acquisiscono tranquillamente tutti gli strumenti fondamentali necessari per il lavoro quotidiano.

Il corso MTCNA, come tutti gli altri corsi del percorso formativo Mikrotik, è molto ben organizzato, alternando la teoria a prove pratiche di laboratorio. Ogni partecipante ha infatti a disposizione un apparato Mikrotik su cui testare e provare le varie configurazioni. Vengono create esercitazioni in cui i partecipanti interagiranno tra loro per testare le configurazioni. Si procede con il programma solo quando un laboratorio è stato superato con successo da tutti i partecipanti.

Alla fine del corso c'è l'esame online, eseguito direttamente sui server Mikrotik, per testare l'effettiva conoscenza del partecipante. Sono 25 domande scelte casualmente da un database. Le domande sono di varie tipologie: vero o falso, multiple con risposta singola, o multiple con risposta multipla.
Per superare con successo l'esame bisogna rispondere in maniera corretta almeno al 60% dei quesiti.

Ecco qui un'Infografica relativa ai Corsi Mikrotik, come vedete l'MTCNA è fondamentale per poter accedere a tutti gli altri e l'MTCRE è un prerequisito per poter accedere all'MTCINE:

Mikrotik-Corsi-Infografica-wirelessguru

Infografica delle certificazioni Mikrotik

 

Pagine: First | 1 | 2 | 3 | Next → | Last | Single Page