add arp for leases mikrotik что это
Записки IT специалиста
Технический блог специалистов ООО»Интерфейс»
Используем режим ARP reply-only для повышения безопасности сети на оборудовании Mikrotik
Поэтому у многих администраторов есть запрос на то, чтобы нормально функционировать в пределах сети могли только доверенные устройства, а остальные, даже физически подключившись к ней, были бы крайне ограничены в сетевых возможностях. Аналогичная потребность есть и в учебных заведениях, но там несколько иная подоплека, заключающаяся в защите детей от информации, причиняющей вред их здоровью и развитию. Если перевести это с официального на русский, то ни при каких обстоятельствах устройство, подключенное в сеть учебного заведения не должно получить выход в интернет без многочисленной фильтрации запрашиваемого контента.
Протокол достаточно прост, узел, который хочет узнать MAC-адрес другого узла отправляет широковещательный запрос «у кого адрес 192.168.0.х ответьте 192.168.0.y«, этот запрос получают все узлы, но отвечает только обладатель адреса «я 192.168.0.х, мой адрес 00:11:22:33:44:55«.
Получив ответ на ARP-запрос узел помещает его в специальную таблицу, чтобы повторно не запрашивать при каждом обращении и формирует Ethernet-кадр для указанного MAC-адреса.
Кроме того, DHCP-сервер Mikrotik имеет режим, в котором адреса будут выдаваться только тем узлам, для которых включено резервирование, т.е. прописано явное соответствие между MAC-адресом и выдаваемым IP. Сочетание этих двух возможностей позволяет значительно повысить безопасность небольших сетей, не теряя при этом удобства администрирования.
Итак, сеть настроена, подключенные устройства отображаются в указанных выше таблицах. Это хорошо. Для чего мы так поступили? Чтобы не заполнять руками данные для привязки устройств к DHCP-серверу и таблице ARP. Начнем с DHCP, выбираем нужный нам узел и в меню правой кнопки мыши нажимаем Make Static.
Выполнив эти действия, перейдем в свойства интерфейса, смотрящего в локальную сеть, скорее всего это будет сетевой мост (bridge), и изменим опцию ARP на reply-only.
Обратите внимание, как изменилась после этого ARP-таблица, из нее пропали все динамические записи для данного интерфейса.
Как на это отреагирует сеть? Для тех устройств, которые мы прописали, не изменится ничего, а вот все остальные теперь просто не смогут получить IP-адрес, но это полбеды, а если кто-то введет его вручную? Да пусть вводит, так как запись об этом узле отсутствует в ARP-таблице, то роутер не будет ему отвечать, даже пропинговать его не удастся.
Как видим, достаточно простые настройки позволили нам существенно поднять безопасность сети, но как быть, если появится новый узел? Вам придется вручную добавить записи для него на DHCP-сервер и в ARP-таблицу.
Либо можно включить опцию Add ARP For Leases в настройках DHCP-сервера и тогда ARP-таблица будет заполняться автоматически для выданных адресов.
Помогла статья? Поддержи автора и новые статьи будут выходить чаще:
Или подпишись на наш Телеграм-канал: 
Как настроить DHCP сервер на маршрутизаторе Mikrotik
Для того что бы устройства подключенные в локальную сеть могли получать ip адреса автоматически, необходимо настроить DHCP сервер.
Быстрая настройка
Подключаемся к маршрутизатору через winbox. Открываем вкладку IP->DHCP Server. В появившемся окне, во вкладке DHCP нажимаем кнопку DHCP Setup.
Нужно разобраться с MikroTik, но не определились с чего начать? В курсе «Настройка оборудования MikroTik» все по порядку. Подойдет и для начала работы с этим оборудованием, и для того, чтобы систематизировать знания. Это видеокурс из 162 уроков и 45 лабораторных работ, построен на официальной программе MTCNA. Проходить можно, когда удобно и пересматривать по необходимости – материалы курса выдаются бессрочно. Также есть 30 дней на личные консультации с автором. На пробу выдают 25 уроков бесплатно, заказать их можно на странице курса.
Откроется следующее окошко
Здесь мы выбираем локальный интерфейс, на котором будет работать ЛВС, если интерфейсы объединены в bridg то выбираем этот бридж.
Также если необходимо настроить сервер на vlan, то выбираем нужный vlan. После выбора интерфейса нажимаем Next. В следующем окне вводим нашу локальную сеть.
Прописываем шлюз по умолчанию который будет выдаваться клиентам.
На следующей странице прописываем DHCP Relay. Relay-это ip DHCP сервера, если бы у нас в качестве сервера выступал бы другой Микротик или отдельный компьютер, то здесь нужно было бы прописать его ip. У нас маршрутизатор Mikrotik является server, поэтому Relay нам не нужен и мы просто нажимаем стрелку вверх справа от окошка ввода.
Выбираем пул диапазона range ip адресов, которые будут выдаваться клиентам.
Здесь будут выдаваться ip с 10.10.10.2 по 10.10.10.254
В следующем окне вводим DNS сервера, если в Микротике настроено кэширование ДНС, то вводим ip роутера.
Или другие ДНС, для добавления ДНС нажмите стрелку вниз с левой стороны от окна ввода.
Нажимаем Next. Осталось указать время аренды ip адресов Lease Time.
В примере ip будут выдаваться на один день, т.е. 24 часа. Можно сделать аренду 72 часа, для этого введите строку 3d 00:00:00.
Нажимаем Next. Если все сделали правильно, то появится окошко.
После нажатия кнопки в списке DHCP появится созданный сервер, Если что, то настроено не правильно, строка будет гореть красным цветом.
Например, если на порту не настроен ip адрес.
На этом быстрая настройка сервера Микротик закончена. Таким образом, можно настроить несколько серверов для разных пулов. Например, настроить два DHCP, один будет выдавать адреса для пользователей, а другой для локальных ресурсов внутри сети.
Дополнительные настройки DHCP сервера.
Для дополнительных настроек кликните два раза по созданному серверу, в результате откроется окно где можно изменить или добавить дополнительные настройки.
Рассмотрим настраиваемые здесь опции.
Name-Любое имя
Interface – сетевой интерфейс на котором настроен сервер, может быть как физическим так и vlan или bridge.
Lease Time – Время аренды ip, по истечении которого сетевому устройству будет выдан новый.
Address Pool — диапазон из которого будут выдаваться ip для сетевых устройств, настраивается в IP->Pool.
Src.Address – используется если на интерфейсе настроено несколько ip, здесь прописываем рабочий DHCP.
authoritative принимает следующие параметры
yes — если клиент запросит IP, Микротик ему сразу же ответит. Причём если устройство ранее получало IP другого DHCP в сети, то Микротик пошлёт ему пакет DHCPNAK заставляющий обновить ему свой IP
No — если клиент ранее получавший IP с другого DHCP запросит адрес у Микротика то он его проигнорирует
After 2s delay — если клиент запросит IP недоступный на Mikrotik он будет его игнорировать 2 секунды, а далее пошлёт DHCPNAK и присвоит IP из своего диапазона. Своим клиентам Микротик отвечает мгновенно.
After 10s delay — если клиент запросит IP адрес недоступный на Mikrotik он будет его игнорировать 10 секунд, а далее пошлёт DHCPNAK и присвоит IP адрес из своего диапазона. Своим клиентам Микротик отвечает мгновенно.
Bootp Support – принимает значения
none — не реагировать на запросы BOOTP
static — предлагать только статические лизинг для BOOTP
dynamic — предлагать статическую и динамическую аренду для BOOTP
lease—script – в этом окне можно добавить исполняемый скрипт, например при подключении компьютера заносить всю информацию в лог.
add arp for leases — автоматически заполняет ARP таблицу, соответствием MAC — IP.
always broadcast — Всегда отправляйте широковещательные пакеты, даже если IP-адрес назначения известен. При включении этой опции возможна дополнительная нагрузка на сеть L2.
Use Radius — Указывает использовать ли RADIUS server для аккаунтинга и аренды адресов.
На Вкладке Networks, кликаем два раза по созданному серверу и рассмотрим опции.
Address – здесь все понятно, ip Микротика
Gateway – шлюз выдаваемый сетевым устройствам
Netmask – маска сети
DNS Servers – ДНС выдаваемые сетевым устройствам
Domain – Имя домена сети
Boot File Name – имя загрузочного файла, используется если включена загрузка по сети через tftp.
Options – дополнительные опции, как настроить рассмотрим ниже.
Привязка клиентов по MAC адресу
Если необходимо что бы клиент получал всегда один и тот же ip, то можно зарезервировать ip адрес за MAC адресом, для этого переходим во вкладку IP->DHCP Server, в открывшемся окне выбираем вкладку Leases, у нас откроется список клиентов.
Кликаем левой кнопкой мыши по нужной записи и нажимаем кнопку Make Static.
После этого буква D напротив этого клиента должна исчезнуть.
Теперь MAC клиента будет привязан к постоянному ip.
На этой вкладке также можно узнать и о статусе подключенных пользователей
waiting — пользователь не в сети, ожидается подключение.
testing — проверка использования этого адреса или нет (только для динамической аренды) путем опроса его с тайм-аутом 0,5 с
authorizing — ожидание ответа от сервера радиуса
busy — этот адрес назначается статически клиенту или уже существует в сети, поэтому он не может быть арендован, например если на компьютере настроить ip вручную.
offered — сервер предложил адрес пользователю, но не получил подтверждение от пользователя.
bound — адрес назначен пользователю и используется, будет освобожден по истечении времени аренды.
Настройка options
Если необходимо настроить опции, например option 82 использующаяся для привязки IP к порту, или option 66 указывающая ip tftp сервера.
Для настройки переходим на вкладку «Options» и жмем кнопку добавить (красный крест)
Заполняем поля открывшегося окошка.
Name-название, вводим любое имя
Code – код опции, 66, 82 и т.д.
Value – адрес ресурса, например tftp сервера
После нажатия кнопки Apply поле Raw Value заполнится автоматически, жмем OK, должна появится строчка нашей опции
Теперь переходим вкладку «Networks» и два раза кликаем по нужному серверу.
В открывшемся окне, в пункте Options, выбираем нужную нам опцию, созданную на первом шаге. После чего нажимаем кнопку ОК и настройка опции на этом закончена.
Обучающий курс по настройке MikroTik
Нужно разобраться с MikroTik, но не определились с чего начать? В курсе «Настройка оборудования MikroTik» все по порядку. Подойдет и для начала работы с этим оборудованием, и для того, чтобы систематизировать знания. Это видеокурс из 162 уроков и 45 лабораторных работ, построен на официальной программе MTCNA. Проходить можно, когда удобно и пересматривать по необходимости – материалы курса выдаются бессрочно. Также есть 30 дней на личные консультации с автором. На пробу выдают 25 уроков бесплатно, заказать их можно на странице курса.
Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.
Инструкции по настройке MikroTik
Настройка MikroTik ARP, запрет использования статического IP адреса
Зачем блокировать статический IP адрес
Предположим, что в сети появляются устройства, которые не имеют административного контроля и управляются не сетевыми администратором. Это может быть:
Жизненные ситуации, которые имеют место быть:
Из примеров видно, что этот инструментарий добавляет больше административных рычагов, для фильтрации попыток злоумышленников взломать сеть, а также подключению к сети устройств, которые находятся вне контроля сетевого инженера.
Стоит также отметить, что данный фильтр отрабатывает на уровне L2 и не пересекается с правилами Firewall. Фильтрация происходит без использования процессора(CPU) маршрутизатора(роутера), что является полезным функционалом для внедрения в больших сетях
Нужно настроить запрет на использование статических IP адресов в MikroTik?
Мы поможем настроить: маршрутизатор(роутер), точку доступа или коммутатор.
Как настроить ARP записи в MikroTik
Эта настройка будет состоять из следующей логики: все источники трафика проходящие через интерфейс, должны иметь соответствующие записи в таблице ARP:
Динамические клиенты будут вноситься через параметр DHCP сервера;
Статические клиенты – через ручное добавление записи в таблицу ARP.
Использовать только ARP записи маршрутизатора
Настройка находится Bridge→Bridge Interface-ARP
Добавлять ARP запись через DHCP сервер
Настройка находится IP→DHCP Server→DHCP→Add ARP For Leases
Поддержи автора статьи, сделай клик по рекламе ↓↓↓
Ручное добавление ARP записи
Настройка находится IP→ARP
Есть вопросы или предложения по настройке ARP ограничений для использования статического IP MikroTik? Активно предлагай свой вариант настройки! Оставить комментарий →
Add arp for leases mikrotik что это
Что можно делать встроенным DHCP сервером Mikrotik? Вот не полный список того что он позволяет: осуществлять привязку MAC адреса узла к IP адресу, совместно с настройками ARP организовывать MAC фильтрацию пользователей, раздавать WINS, NTP, WEB, SMTP, IRC, POP3 сервера, индивидуально каждому клиенту устанавливать время ареды, выполнять скрипты при обнаружении не авторизованного DHCP в сети, выступать в сети авторизованным/дополнительным сервером раздачи адресов, раздавать параметры для компьютеров загружаемых с сети, добавлять IP пользователей в списки firewall, распространять статические маршруты, передавать многие другие настройки через Option. Сегодня раскажу на что влияют некоторые параметры в настройках DHCP сервера всеми нами любимого маршрутизатора Mikrotik.
Итак произведём ручную настройку DHCP сервера Mikrotik и рассмотрим возможности заложенные в нём. Создадим пул IP адресов которые будут присваиваться клиентам, для этого зайдём в IP/Pool и плюсиком создадим интервал 10.24.3.162-10.24.3.190:
Создадим сам DHCP сервер AlenNet на интерфейсе AlenaNet нажав плюсик в окне IP/DHCP server/DHCP:
Authoritative может быть:
Перейдём на вкладку Networks и создадим список клиентов 10.24.3.160/27 для которого будут раздаваться все остальные настройки. Интересно то что вы можете отдельно каждому клиенту раздавать настройки указав его IP в строке Address:
Перейдём на вкладку Leases (Аренды)
Здесь можно сопоставить раздаваемые клиентам IP адреса с их MAC. Щёлкаем для этого по клиенту и нажимаем кнопку Make Static. Дополнительно можно выбрать список firewall в который нужно добавить клиента запросившего адрес у DHCP. Для этого выбираем в Address List нужный вам список IP адресов.
Отдельного внимания заслуживает наборы Options где вы можете указать дополнительные параметры раздаваемые c помощью DHCP:
В раделе Alerts указываются скрипты выполняемые микротиком в случае если в сети обнаружится неавторизованный DHCP
Mikrotik DHCP. Поднять за 5 минут.
До чего дошел прогресс! Раньше, чтобы поднять DHCP, требовалось править кучу конфигов в текстовом редакторе. Теперь все делается в несколько кликов мышкой. И настройка DHCP-сервера на Mikrotik — яркое тому подтверждение. И вполне возможно, что прочтение данной статьи займет у вас даже больше времени, чем непосредственная настройка сервера.
Добавим DHCP сервер
Опишем подсети, в которых будем раздавать адреса. Для этого перейдем на следующую вкладку «Networks», нажмем «+».
В данном примере я добавляю описания сразу для двух диапазонов одной подсети вместо всей 192.168.33.0./24 Я хочу, чтобы настройки первой половины хостов с адресами 192.168.33.2-192.168.33.127 отличались от настроек второй половины в диапазоне 192.168.33.129-192.168.33.254. Когда это может пригодиться? Например, у вас в сети половина хостов — это терминальные станции, которым требуется загрузка по сети. Другая половина — обычные ПК. Или вам надо указать разные серверы ДНС хостам в пределах вашей подсети. На последнем примере я и остановлюсь.
Сервер добавлен, сеть описана, осталось добавить записи об аренде адресов. Переходим на следующую вкладку Leases и привычно жмем «+».
Здесь от нас требуется по-минимуму: ввести IP-адрес ( Address ), который мы хотим присвоить хосту с MAC-адресом ( MAC Address ), который указывается во второй строке. Затем выбрать сервер ( Server ), который мы только что настроили.
В даном примере я добавляю в аренду два адреса из первого и второго сегментов моей подсети 192.138.33.0/24. Клиент с адресом 192.168.33.2 будет видеть весь интернет, второй клиент будет ограничен ДНСом Яндекса. При этом оба хоста будут находиться в пределах одной подсети 192.168.33.0/24 и прекрасно общаться друг с другом.
Options и Option Sets в данной статье я так же не рассматриваю ввиду отсутствия необходимости их использования при базовой настройке.
Если у вас сеть офиса (мало ли там умников), то рекомендую добавить алерт на вкладке Alerts. Микротик будет «слушать» указанный вами Interface (в данном случае указывайте интерфейс, на котором подняли DHCP) на предмет появления в вашей сети «левых» DHCP-серверов. Для домашней сети с одним роутером это неактуально.
Официальный полный манул по DHCP от Mikrotik тут.