Paco y Pepe, una vuelta de tuerca

Hola a todos después de una temporadilla desaparecido jejeje... El trabajo, los niños, las navidades, etc. Espero que me sepáis disculpar.

Hoy traigo una pequeña historia para ver si podemos arrojar algo de luz y saber si lo que ahí se cuenta es viable o alguien se está enfangado irremediablemente.

El caso trata de unos Paco y Pepe muy particulares.

Paco tiene en su casa contrado M. Pepe tiene V.

Paco en su día siguió uno de los manuales de este foro y tiene su router en monopuesto pero como está chapado a la antigua, sigue usando su teléfono fijo conectado al router de la operadora. También tiene el deco conectado a ese router. El resto de la red de su casa la administra desde un RB4011 y todos sus dispositivos los tiene conectados a un switch aparte. Con el paso del tiempo ha ido configurando sus cosillas y a día de hoy le da pereza reconfigurar su router para eliminar el de la operadora y dejarlo todo en su 4011 (internet, tv y voip). Tampoco tiene tiempo.

Pepe tiene un RB2011 detrás de una ONT, sin más.

Pero Pepe es un buen tío que le hace favores desinteresadamente a Paco (le echa una mano a cortar el césped, a cortar la leña, a pintar una verja, etc) y Paco quiere agradecerle de alguna manera todo eso.

Ahora viene la parte delicada:

Paco ha visto algún que otro manual de este foro y pretende hacer una mezcla. No tiene tiempo ni demasiadas ganas para ponerse a investigar y configurar túneles WG, EoIP, etc y le dice a Pepe que si él es capaz, que siga el método del gorrón y coloque un pequeño mikrotik para levantar un túnel y todo eso. Básicamente Paco no se quiere encargar del mantenimiento de este sistema pero le deja a Pepe cierta manga ancha para hacerlo.

Como premisa, quiere que Pepe tenga el menor acceso posible a su red, a la de Paco.

Entonces la idea de Pepe es la siguiente:

- Configurar un RB750gr3 basándose en el manual del amigo gorrón.

- Le pedirá a Paco que le abra un puerto en el RB4011 para que desde su casa tenga acceso vía Winbox al RB750 en caso de necesidad.

- El eth1 del RB750gr3 lo configurará con una ip estática dentro del rango del 4011 de Paco (192.168.20.0/24) y lo conectará por cable. Por ahí obtendrá la conexón a internet.

- En el resto de puertos creará un bridge y lo conectará al router del operador de Paco, por ejemplo en el eth2. Por ahí obtendrá lo que Paco le va a compartir. A este bridge le debería asignar una IP del rango del operador (que está por defecto, 192.168.1.1/24). ??

- Después configurará un túnel WG con EoIP hacia su propio mikrotik, un RB2011. En su equipo no tiene problema porque ya lo ha configurado en más ocasiones.

- Para dejarlo perfecto, le pedirá a Paco que le abra otro puerto en su mikrotik para hacer una comunicación bidireccional y mantener lo más estable posible el túnel WG.


Como todo esto así explicado es imposible de entender, Pepe ha hecho con prisas un pequeño esquema con lo que pretende (a la izquierda Paco, a la derecha Pepe).



Pepe no tiene acceso a un router como el de Paco para hacer sus pruebas sin molestarlo demasiado así que, si el conexionado es correcto, luego se encargaría desde la comodidad de su casa de ir probando hasta afinar la configuración.

Las premisas serían básicamente las comentadas: que el sistema interfiriese lo menos posible en la red que hay montada detrás del RB4011 y que Pepe tuviese la menos visibilidad posible de toda ella. Básicamente la salida a internet es para comunicar con el RB2011 de su casa y transportar el servicio de tv que sale del router del operador y donde sólo está conectado el cacharrito para la tele de Paco por lo que Pepe realmente no vería ningún dispositivo personal de Paco.

¿Cómo lo veis? Hay que decir que Pepe lleva una temporadilla alejado de equipos Mikrotik y tiene alguna cosa oxidada, de ahí las dudas.

Muchas gracias si habéis leído este tostón hasta aquí!

Es perfectamente posible @dremi, pero una burrada de libro, dando por hecho que Paco ya tiene un 4011, equipo más que de sobra para su red y lo que pretendes montar, en producción. Si me mandas un export de cómo está ese equipo ahora mismo; te devuelvo un script para que, con cuatro cambios, ese equipo tenga un segmento iptv propio, con bridge aparte si hace falta, tal que te brinde ese servicio.

Hay una nueva config para monopuesto que se lleva todos los servicios al Mikrotik, la publiqué hace nada. Basándome en esa, podemos montar la otra. A Paco le molestamos lo menos posible (backup, export/import y andando). Incluso le puedes comentar que, siguiendo esa nueva config, podría pinchar los descos en cualquier puerto que nazca del 4011 o del switch, si este último es compatible con igmp snooping. Todo esto manteniendo el HGU en monopuesto y el teléfono en él.

No obstante, si lo que buscas es independencia total de Paco y te puede abrir un puerto y conexionar el tema como dices, también se podría hacer. Es desperdiciar un equipo, pero también entiendo a Paco: si funciona, como estoy seguro de que hace el 4011 24x7 y sin el más mínimo contratiempo, da pereza tocarlo.

Saludos!

Hola @pokoyo! Siempre al quite jajaja

A ver es una mezcla de todo. Paco se ha ido currando la red de su casa a base de mucho esfuerzo y pelearse con manuales, tutoriales y ensayo y error. También es celosillo de su privacidad porque tiene toda la domótica ahí metida, cámaras, etc. A estas alturas no tiene demasiado tiempo para cacharrear y por eso prefiere delegar el montaje del sistema en Pepe así que en vez de darle acceso a su flamante RB4011 piensa que es mejor que Pepe se monte detrás de ese router uno que ya tenga tirado por casa y toda la config vaya ahí aparte.

Esto último, según los pensamientos de Paco, por si tiene que hacer pruebas y aislar cosas de la red, para él le es más cómodo desconectar un momento el RB750 que andar tirando túneles y demás, túneles que no ha configurado y no sabría muy bien dónde tocar. Y porque si el día de mañana la amistad entre Paco y Pepe se complica, pues Paco desconecta el cacharro y se lo devuelve gustosamente.

Es cierto que es matar moscas a cañonazos pero es el escenario que se presenta entre estos dos amigos jajaja


Por otro lado, y esto ya es por curiosidad personal (y porque a lo mejor insistiéndole un poco a Paco accede), le he estado echando un ojo a las configuraciones básicas que hay publicadas y sí vi la nueva solución que comentas que lleva todo al mikrotik. Pero mi duda es la telefonía. ¿Sigue funcionando el puerto de voz en el router original o hay que montar un ata detrás del mikrotik?

Es que nunca he tenido ocasión de cacharrear con un H*U, más allá de conectar cosas a él estando de fábrica.

Mil gracias por tu tiempo!

dremi dijo:

¿Sigue funcionando el puerto de voz en el router original o hay que montar un ata detrás del mikrotik?

Haz clic para expandir...

Funciona de las dos maneras. Sigue funcionando en el HGU, y al mismo tiempo puedes montar un teléfono IP colgado del Mikrotik.

Saludos!

Mmmmmm interesante... jejeje. Llegado el caso, Paco podría plantearse esa solución.

Si lo hiciese entiendo que estaríamos en un escenario equivalente al del manual original: En el extremo de Paco, un RB750gr3 en modo switch conectado a un router principal (sólo que en vez del de la operadora sería su RB4011) levantando un túnel WG con el EoIP para transportar el servicio a Pepe. Un solo cable del RB4011 al RB750gr3.

Si esto es correcto, entonces Paco perdería parte de su privacidad al poder conectar Pepe un pc en su RB2011 y estar en la LAN de Paco y ver sus dispositivos? Hasta donde Pepe sabe, Paco no tiene vlans.

Con el escenario del esquema del primer mensaje al menos se mantendría separada la red de casa de Paco y Pepe no podría ver nada de lo que Paco tiene conectado en casa?

Correcto, ese problema de privacidad lo tendrías.

Saludos!

Peeerfecto! Pues Pepe le va a comentar a Paco todas las opciones, que a Pepe le gusta que su amigo esté informado de todo (aunque luego le dé pereza y delegue en Pepe).

A ver si el próximo finde le va a echar una mano con algo y ya aprovecha para ir montando algo del escenario, aunque luego lo termine de configurar desde casa...


Y ahora fuera bromas. Mil gracias @pokoyo, por lo menos para poder tener un punto de partida claro y no ir a ciegas porque cuando esto falle (que fallará la primera vez, eso por descontado) tendremos la certeza de que hay que seguir insistiendo.

Intentaré contaros cómo acaba la historia, aunque Paco y Pepe a veces se toman su tiempo para poner sus cosas a funcionar (prefieren tomarse una cerveza después de cortar el césped en vez de meter comandos por consola jajaja).

dremi dijo:

Mmmmmm interesante... jejeje. Llegado el caso, Paco podría plantearse esa solución.

Si lo hiciese entiendo que estaríamos en un escenario equivalente al del manual original: En el extremo de Paco, un RB750gr3 en modo switch conectado a un router principal (sólo que en vez del de la operadora sería su RB4011) levantando un túnel WG con el EoIP para transportar el servicio a Pepe. Un solo cable del RB4011 al RB750gr3.

Si esto es correcto, entonces Paco perdería parte de su privacidad al poder conectar Pepe un pc en su RB2011 y estar en la LAN de Paco y ver sus dispositivos? Hasta donde Pepe sabe, Paco no tiene vlans.

Con el escenario del esquema del primer mensaje al menos se mantendría separada la red de casa de Paco y Pepe no podría ver nada de lo que Paco tiene conectado en casa?

Haz clic para expandir...

Hola, no se si es correcto o suficientemente correcto lo que voy a escribir, pero yo estuve (y estoy aun) en esta tesitura de la privacidad y lo que hice fue configurar el mikrotik en Bridge -> Filters una regla que denegara todo el acceso a todas las MAC excepto la MAC que yo quisiese en la interfaz que quería proteger, si conectaba otro dispositivo le denegaba el acceso sin ni siquiera otorgarle IP.

Seguramente haya otras formas más correctas de hacerlo, pero a mi y con las pruebas que hice, esto me sirvió. Un saludo!

Sí, esa es una de las opciones que se barajaba pero el problema aquí es que Pepe pondrá un cacharro en el extremo de Paco y será el propio Pepe quien lo gestione. Por lo que ese filtro por Mac lo puede poner, quitar, modificar o hacer lo que quiera con él sin que Paco lo sepa. Por eso se descartó.

De momento la opción más factible sigue siendo que el servicio de tv salga desde el hgu ya que ahí no hay nada de la red de Paco conectado salvo un deco.

Aunque con el mikrotik conectado en la lan para obtener Internet se puedan hacer cosas y acabar con la privacidad también, pero no sería tan rápido como enchufar un pc en el otro extremo del túnel