Mikrotik rb4011 + Gpon uFiber nano g + tlf voIP + Wifi AP Nano HD

pokoyo dijo:

Buenos días @vorlander, y feliz Navidad!

Cuando quieras nos liamos con esto. Una pregunta, antes de empezar. La ONT, ¿ha de ir en ether10, de manera obligatoria? Lo pregunto por si lo tienes así montado por aprovechar el PoE-out del mikrotik y alimentar la ONT (no sé si son compatibles) o simplemente decidiste que la ONT iba en ese puerto. Lo digo porque la configuración por defecto te deja todo montado en ether1. No es problema alguno cambiarlo, pero va a resultar más sencillo si sigues el setup "estándar"

Saludos!

Haz clic para expandir...

vorlander dijo:

Buenos dias y feliz navidad para ti (y para todos) igualmente !!

No, la ONT puede ir en cualquier puerto que me digáis.
Está en la eth10 porque, efectivamente como indicas, quería aprovechar el PoE de ese puerto, lamentablemente no son compatibles, pero como ya la había puesto ahí, pues se así se quedó..

Haz clic para expandir...

• Modo de trabajo: router
• Internet: adquisición por PPPoE con su usuario y contraseña
• En local network: defines el detalle de tu rango de subred local. Por defecto, el mikrotik arranca en la 192.168.88.1/24, pero puedes poner ahí la que más te guste (creo que antes tenías la 192.168.1.1/24) definida.
• MAC Address: ignoras mi pantallazo, y respetas la que tú tengas ahí.
• Marcas las opciones del DHCP server y NAT. El rango del DHCP server, acorde con la subred LAN que hayas definido (si la cambias a la 192.168.1.1, el rango podría ser el 192.168.1.2-192.168.1.254)
• A tu elección: Marcas o no la pestaña de VPN para que genere dichos servidores (si no los vas a usar, no lo marques)
• Pon en ese momento una contraseña fuerte al usuario admin. Luego, en algún momento, puedes crear un usuario nuevo en System -> Users, darle permisos del grupo "full" y borrar el usuario admin.

vorlander dijo:

Bueno, ante todo muchas gracias ...... he podido hacer un poquito después de la comida navideña ...... vamos a por el voIP ??

Haz clic para expandir...

vorlander dijo:

p.d.: se me olvidaba comentar que tenemos Xbox en casa, habría que marear los puertos para que funcione bien la consola, o bien hacer UPNP para que se abran según los solicite la consola

Haz clic para expandir...

• Dar de alta la vlan 3 (ya sabes cómo se hace, igual que la 6)
• Crear un cliente dhcp para obtener una dirección para esa interfaz, sin ruta por defecto (enrutará por RIP)
• Establecer las prioridades del tráfico en reglas de postrouting en mangle
• Añadir la regla de firewall que permita el tráfico de entrada al router para la voip, y ponerla en el lugar adecuado.
• Natear (enmascarar) el tráfico voip, para que salga correctamente del router hacia internet
• Deshabilitar los helpers de los puertos del VoIP en Mikrotik, para evitar posibles problemas
• Añadir la nueva interfaz a RIP y levantar RIP sobre la red que se usará para VoIP, 10.0.0.0/8

# Dar de alta la vlans 3 para el voip
/interface vlan add interface=ether1 name=voip vlan-id=3

# Crear un cliente dhcp para la vlan 3 del teléfono voip.
/ip dhcp-client add add-default-route=no disabled=no interface=voip

# Establecer la prioridad de las conexiones en mangle
/ip firewall mangle
add action=set-priority chain=postrouting new-priority=4 out-interface=voip
add action=set-priority chain=postrouting new-priority=1 out-interface=pppoe-out1

# Aceptar el tráfico de entrada para la vlan3 en el firewall
/ip firewall filter
add action=accept chain=input comment="Acepta el trafico de la vlan del telefono" \
    in-interface=voip src-address=10.0.0.0/8 \
    place-before=[find where chain=input and comment="defconf: drop invalid"]

# Enmascarar el tráfico saliente de la vlan3, el voip.
/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" \
    out-interface=voip place-before=1

# Deshabilitar los puertos del servicio VoIP, que no nos den la lata
/ip firewall service-port
set sip disabled=yes ports=5060,5070

# Añadir la interfaz de la VoIP al protocolo RIP.
/routing rip interface
add interface=voip passive=yes receive=v2

# Indicar la red en la que correrá RIP.
/routing rip network
add network=10.0.0.0/8

pokoyo dijo:

Y? funciona? Porque es lo más importante.


Esto lo tienes detallado en los tips&tricks. Si sabes los puertos que quieres abrir, mejor ábrelos a mano y no uses UPnP.

Para el VoIP no me voy a parar tanto con pantallazos, creo que se entiende la idea. Los comandos no son más que lo mismo hecho directamente, lo cual puedes replicar por winbox buscando el menú correspondiente a dicho comando. Para dar de alta el VoIP, necesitamos:

• Dar de alta la vlan 3 (ya sabes cómo se hace, igual que la 6)
• Crear un cliente dhcp para obtener una dirección para esa interfaz, sin ruta por defecto (enrutará por RIP)
• Establecer las prioridades del tráfico en reglas de postrouting en mangle
• Añadir la regla de firewall que permita el tráfico de entrada al router para la voip, y ponerla en el lugar adecuado.
• Natear (enmascarar) el tráfico voip, para que salga correctamente del router hacia internet
• Deshabilitar los helpers de los puertos del VoIP en Mikrotik, para evitar posibles problemas
• Añadir la nueva interfaz a RIP y levantar RIP sobre la red que se usará para VoIP, 10.0.0.0/8

En esencia, punto por punto, estos comandos. Puedes ejecutarlos desde terminal o, como te comentaba antes, ir localizando sus menús y hacerlo a mano. Como prefieras, tú decides.

Código:

# Dar de alta la vlans 3 para el voip
/interface vlan add interface=ether1 name=voip vlan-id=3

# Crear un cliente dhcp para la vlan 3 del teléfono voip.
/ip dhcp-client add add-default-route=no disabled=no interface=voip

# Establecer la prioridad de las conexiones en mangle
/ip firewall mangle
add action=set-priority chain=postrouting new-priority=4 out-interface=voip
add action=set-priority chain=postrouting new-priority=1 out-interface=pppoe-out1

# Aceptar el tráfico de entrada para la vlan3 en el firewall
/ip firewall filter
add action=accept chain=input comment="Acepta el trafico de la vlan del telefono" \
    in-interface=voip src-address=10.0.0.0/8 \
    place-before=[find where chain=input and comment="defconf: drop invalid"]

# Enmascarar el tráfico saliente de la vlan3, el voip.
/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" \
    out-interface=voip place-before=1

# Deshabilitar los puertos del servicio VoIP, que no nos den la lata
/ip firewall service-port
set sip disabled=yes ports=5060,5070

# Añadir la interfaz de la VoIP al protocolo RIP.
/routing rip interface
add interface=voip passive=yes receive=v2

# Indicar la red en la que correrá RIP.
/routing rip network
add network=10.0.0.0/8

Saludos!

Haz clic para expandir...

pokoyo dijo:

Pues reset y a empezar desde el principio. Cuando confirmes que tienes internet con el primer paso, te metes con el segundo.

Las cámaras déjalas en dhcp y luego reserva las direcciones en los leases del mismo; no las pongas a manija estáticas.

Saludos!

Haz clic para expandir...

vorlander dijo:

La primera parte ha funcionado perfectamente .....MIL GRACIAS !!!!!


La parte del voIP no me queda clara ....... en que puerto deberé conectar el tlf para que reciba Y haga llamadas ?? ..... veo que creas una interface que se llama “voIP” , pero a que puerto ethX va asignada ?? .....no se si me explico .....

A ver si puedo dejarlo todo funcionando esta noche, porque hoy ha sido de locos en casa , sin poder probar nada, y con la angustia de haceros perder el tiempo a vosotros (sobre todo a pokoyo) y no conectarme a dar novedades .....las fechas no ayudan en absoluto xDDDD

Haz clic para expandir...

pokoyo dijo:

Para, por ejemplo, abrir el puerto 443 y exponer una web, a la cual tú puedas acceder desde dentro tu red con su dominio público, sin “secuestrar” dicho tráfico internamente (si pruebas a abrir el puerto 80 o 443 verás que la lías y secuestras tanto el tráfico de entrada como el de salida, y te quedas sin navegación).

El hairpinNAT, en otros router conocido también como “nat loopback”, es algo que suele venir implementado de serie, pero es tu decisión si lo aplicas o no en un mikrotik.

Lo bueno de esa regla es que, según está explicada en el manual, introduce una cosa interesante: el uso de una lista pública para hacer la trampa de resolver tu IP pública cuando es dinámica. Las reglas de NAT, cuando eres una entidad y tienes una IP estática, son relativamente sencillas. Pero con IP dinámica la cosa se complica. Si aplicas el hairpin NAT, como pasas a tener una lista “public-ip” que resuelve tu IP pública en cualquier momento, la puedes usar para que las reglas de mapeo de puertos sean más correctas, porque especificas en qué sentido va la regla (tráfico con cualquier origen y con destino tu IP pública), es decir, sentido internet -> red local. Si miras otros manuales, verás que la manera de abrir puertos es especificar el in-interface o similar, que no siempre se cumple. De la manera que está explicado en el manual, las reglas no fallan, ni tienes de regalo el tema del hairpin.

Saludos!

Haz clic para expandir...

vorlander dijo:

Yo tengo un dominio que pago anualmente (no es dyndns, ni nada), si hago eso puedo hacerme mis propios sub dominios internos, porque ejemplo plex.vorlander.es y redirigir las peticiones de esa web hacia IP y puertos concretos internos de mi LAN ??

Haz clic para expandir...

vorlander dijo:

Se me ocurre que podria tambien darme voIP en el movil cuando estoy fuera de casa ??..... pero sind ejar de funcionar el fijo cuando estoy dentro de la wifi de casa ??....o estoy diciendo tonterias ?

Haz clic para expandir...

pokoyo dijo:

Para eso no hace falta más que te conectes por VPN al router y ya tienes el fijo a mano desde cualquier app tipo Zoiper. Creo que @furny tiene algo así montado

Haz clic para expandir...