راه‌اندازی CAPsMAN در میکروتیک

وقتی در یک ساختمان چند اکسس‌پوینت دارید، تنظیم تک‌تک آن‌ها هم وقت‌گیر است و هم خطاساز. CAPsMAN (Controlled Access Point system Manager) قابلیت میکروتیک برای مدیریت متمرکز وایرلس است: همهٔ اکسس‌پوینت‌ها از یک روتر تنظیم می‌گیرند، SSID و رمز یک‌جا عوض می‌شود و کاربران بین اکسس‌پوینت‌ها جابه‌جا می‌شوند بدون این‌که اتصالشان قطع شود.

در این مقاله، CAPsMAN را برای ۱۰ دستگاه cAP ax (وای‌فای ۶) در RouterOS 7 راه‌اندازی می‌کنیم و دو SSID می‌سازیم: یکی برای کارکنان و یکی برای مهمان‌ها. ترافیک هر SSID روی VLAN جداگانه از روتر میکروتیک، از طریق سوئیچ سیسکو، تا اکسس‌پوینت‌ها می‌رود؛ یعنی مهمان‌ها هیچ راهی به شبکهٔ داخلی ندارند.

نکتهٔ مهم: CAPsMAN قدیم یا جدید؟

میکروتیک دو CAPsMAN دارد و این‌جا بیشترین اشتباه رخ می‌دهد:

• CAPsMAN قدیمی (منوی /caps-man): برای دستگاه‌های قدیمی وای‌فای ۴ و ۵ با درایور wireless.
• CAPsMAN جدید (منوی /interface wifi capsman): برای دستگاه‌های جدید با درایور wifi، از جمله همهٔ دستگاه‌های وای‌فای ۶ مثل cAP ax.

cAP ax فقط با CAPsMAN جدید مدیریت می‌شود. دستورهای /caps-man در آموزش‌های قدیمی برای این دستگاه کاربرد ندارند.

سناریو و طرح VLAN

• روتر میکروتیک (مثلاً RB5009 یا یک CCR با RouterOS 7): مدیر CAPsMAN، Gateway و DHCP Server هر سه VLAN. پورت ether1 به اینترنت و پورت ether2 به سوئیچ سیسکو وصل است.
• سوئیچ سیسکو PoE (سری Catalyst): پورت Gi1/0/1 به روتر و پورت‌های Gi1/0/2 تا Gi1/0/11 به ده دستگاه cAP ax.
• ۱۰ دستگاه cAP ax که برق را از سوئیچ PoE می‌گیرند.

سه VLAN داریم:

• VLAN 10 (کارکنان): SSID به نام Company، شبکهٔ 192.168.10.0/24
• VLAN 20 (مهمان): SSID به نام Company-Guest، شبکهٔ 192.168.20.0/24، فقط دسترسی به اینترنت
• VLAN 99 (مدیریت اکسس‌پوینت‌ها): شبکهٔ 192.168.99.0/24؛ cAP ax از این شبکه آدرس می‌گیرد و با CAPsMAN ارتباط برقرار می‌کند

روی پورت‌های اکسس‌پوینت، VLAN 99 بدون تگ (Native) و VLAN 10 و 20 با تگ عبور می‌کنند. همهٔ دستگاه‌ها یک نسخهٔ RouterOS 7 داشته باشند و روی cAP ax پکیج wifi-qcom نصب باشد.

بخش اول: VLANها روی روتر میکروتیک

روتر با روش Router on a Stick کار می‌کند: سه اینترفیس VLAN روی پورت ether2 که به ترانک سوئیچ سیسکو وصل است.

۱. اینترفیس‌های VLAN و آدرس

/interface vlan add name=vlan10-staff interface=ether2 vlan-id=10
/interface vlan add name=vlan20-guest interface=ether2 vlan-id=20
/interface vlan add name=vlan99-mgmt interface=ether2 vlan-id=99
/ip address add address=192.168.10.1/24 interface=vlan10-staff
/ip address add address=192.168.20.1/24 interface=vlan20-guest
/ip address add address=192.168.99.1/24 interface=vlan99-mgmt

اگر ether2 عضو بریج پیش‌فرض است، اول آن را از بریج خارج کنید.

۲. DHCP برای هر VLAN

/ip pool add name=pool-staff ranges=192.168.10.100-192.168.10.250
/ip pool add name=pool-guest ranges=192.168.20.100-192.168.20.250
/ip pool add name=pool-mgmt ranges=192.168.99.100-192.168.99.150
/ip dhcp-server add name=dhcp-staff interface=vlan10-staff address-pool=pool-staff
/ip dhcp-server add name=dhcp-guest interface=vlan20-guest address-pool=pool-guest lease-time=2h
/ip dhcp-server add name=dhcp-mgmt interface=vlan99-mgmt address-pool=pool-mgmt
/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1
/ip dhcp-server network add address=192.168.99.0/24 gateway=192.168.99.1 dns-server=192.168.99.1

جزئیات بیشتر DHCP در مقالهٔ راه‌اندازی DHCP Server در MikroTik آمده است.

۳. جدا کردن مهمان‌ها با فایروال

مهمان فقط به اینترنت برود و به شبکه‌های داخلی و خود روتر (جز DNS و DHCP) دسترسی نداشته باشد. این قوانین را بالاتر از قوانین accept عمومی بگذارید:

/ip firewall filter add chain=input in-interface=vlan20-guest protocol=udp dst-port=53,67 action=accept comment="Guest: DNS and DHCP"
/ip firewall filter add chain=input in-interface=vlan20-guest protocol=tcp dst-port=53 action=accept comment="Guest: DNS over TCP"
/ip firewall filter add chain=input in-interface=vlan20-guest action=drop comment="Guest: no access to router"
/ip firewall filter add chain=forward in-interface=vlan20-guest out-interface=!ether1 action=drop comment="Guest: internet only"

قانون masquerade روی ether1 (اینترنت) برای هر سه VLAN کافی است.

بخش دوم: سوئیچ سیسکو

۱. ساخت VLANها

vlan 10
 name STAFF
vlan 20
 name GUEST
vlan 99
 name AP-MGMT

۲. پورت روتر (ترانک)

interface GigabitEthernet1/0/1
 description Uplink to MikroTik
 switchport mode trunk
 switchport trunk allowed vlan 10,20,99

۳. پورت‌های اکسس‌پوینت

VLAN 99 بدون تگ (Native) برای مدیریت cAP ax، و VLAN 10 و 20 با تگ برای دو SSID:

interface range GigabitEthernet1/0/2 - 11
 description cAP ax
 switchport mode trunk
 switchport trunk native vlan 99
 switchport trunk allowed vlan 10,20,99
 spanning-tree portfast trunk
 power inline auto

در برخی مدل‌های قدیمی‌تر Catalyst، قبل از switchport mode trunk باید switchport trunk encapsulation dot1q را هم بزنید.

پورت‌های کامپیوترهای سیمی کارکنان را Access در VLAN 10 بگذارید:

interface range GigabitEthernet1/0/12 - 24
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast

در پایان write memory را بزنید.

بخش سوم: تنظیم CAPsMAN روی روتر

همهٔ تنظیمات زیر در Winbox از منوی WiFi و زبانه‌های Channels، Security، Datapath، Configurations، Provisioning و CAPsMAN هم در دسترس است.

۱. پروفایل کانال

/interface wifi channel add name=ch-2g band=2ghz-ax width=20mhz frequency=2412,2437,2462
/interface wifi channel add name=ch-5g band=5ghz-ax width=20/40mhz

• در ۲٫۴ گیگاهرتز فقط کانال‌های ۱، ۶ و ۱۱ را مجاز کنید؛ این سه کانال با هم تداخل ندارند.
• در ۵ گیگاهرتز با ۱۰ اکسس‌پوینت در یک ساختمان، عرض ۴۰ مگاهرتز معمولاً از ۸۰ بهتر است.

۲. دو پروفایل امنیت

/interface wifi security add name=sec-staff authentication-types=wpa2-psk,wpa3-psk passphrase="Str0ng-Staff-Pass" ft=yes ft-over-ds=yes
/interface wifi security add name=sec-guest authentication-types=wpa2-psk,wpa3-psk passphrase="Guest-WiFi-Pass"

ft=yes استاندارد 802.11r را فعال می‌کند تا رومینگ کارکنان بین اکسس‌پوینت‌ها سریع باشد. رمزها را طولانی انتخاب کنید و نمونهٔ این مقاله را استفاده نکنید.

۳. دو Datapath؛ هر SSID روی VLAN خودش

مهم‌ترین تنظیم این بخش همین است: Datapath تعیین می‌کند ترافیک هر SSID با کدام VLAN ID از اکسس‌پوینت خارج شود.

/interface wifi datapath add name=dp-staff bridge=bridge vlan-id=10
/interface wifi datapath add name=dp-guest bridge=bridge vlan-id=20

bridge نام بریج روی cAP ax است (بخش چهارم). ترافیک به‌صورت محلی (Local Forwarding) از همان اکسس‌پوینت و با تگ VLAN وارد سوئیچ می‌شود و از روتر به‌عنوان Gateway همان VLAN عبور می‌کند.

۴. Configurationها

دو Configuration اصلی برای SSID کارکنان (هر باند یکی) و یک Configuration برای SSID مهمان:

/interface wifi configuration add name=cfg-staff-2g ssid="Company" country=Iran channel=ch-2g security=sec-staff datapath=dp-staff
/interface wifi configuration add name=cfg-staff-5g ssid="Company" country=Iran channel=ch-5g security=sec-staff datapath=dp-staff
/interface wifi configuration add name=cfg-guest ssid="Company-Guest" security=sec-guest datapath=dp-guest

مقدار country را کشور محل نصب بگذارید؛ کانال‌ها و توان مجاز بر اساس آن تعیین می‌شود. با زدن Tab در ترمینال، نام دقیق کشور را ببینید.

۵. فعال کردن CAPsMAN

/interface wifi capsman set enabled=yes interfaces=vlan99-mgmt upgrade-policy=suggest-same-version

CAPsMAN فقط از شبکهٔ مدیریت (VLAN 99) به اکسس‌پوینت‌ها جواب می‌دهد؛ نه از شبکهٔ کارکنان و نه از شبکهٔ مهمان.

۶. Provisioning

SSID کارکنان به‌عنوان Master و SSID مهمان به‌عنوان Slave (اینترفیس مجازی دوم روی همان رادیو):

/interface wifi provisioning add action=create-dynamic-enabled supported-bands=2ghz-ax master-configuration=cfg-staff-2g slave-configurations=cfg-guest
/interface wifi provisioning add action=create-dynamic-enabled supported-bands=5ghz-ax master-configuration=cfg-staff-5g slave-configurations=cfg-guest

با این دو قانون، هر cAP ax که به شبکه وصل شود، خودکار هر دو SSID را روی هر دو باند پخش می‌کند.

بخش چهارم: آماده‌سازی cAP ax

هر ۱۰ دستگاه باید در حالت CAP باشند و بریجشان VLAN Filtering داشته باشد تا ترافیک دو SSID با تگ درست به سوئیچ برسد. این تنظیم را با Winbox (اتصال از طریق MAC) یا کابل کنسول انجام دهید؛ با روشن کردن VLAN Filtering ممکن است اتصال IP لحظه‌ای قطع شود.

/interface bridge add name=bridge vlan-filtering=yes
/interface bridge port add bridge=bridge interface=ether1
/interface bridge vlan add bridge=bridge vlan-ids=10,20 tagged=ether1
/ip dhcp-client add interface=bridge
/interface wifi cap set enabled=yes discovery-interfaces=bridge
/system identity set name=cap-floor1-01

• ether1 پورتی است که به سوئیچ سیسکو وصل است.
• ترافیک بدون تگ پورت (VLAN 99 در سوئیچ) برای خود دستگاه است؛ cAP ax از DHCP شبکهٔ 192.168.99.0/24 آدرس می‌گیرد و CAPsMAN را پیدا می‌کند.
• VLAN 10 و 20 با تگ روی ether1 مجازند و رادیوها با VLAN ID تعیین‌شده در Datapath به همین بریج وصل می‌شوند.
• برای هر دستگاه یک نام مشخص بگذارید تا در فهرست CAPsMAN قابل شناسایی باشد.

اگر دستگاه‌ها تنظیم پیش‌فرض و آدرس 192.168.88.1 دارند، قبل از وصل کردن به شبکهٔ اصلی، آن‌ها را یکی‌یکی ریست کنید تا چند DHCP Server در شبکه درست نشود.

بخش پنجم: بررسی

روی روتر:

/interface wifi capsman remote-cap print
/interface wifi print
/interface wifi registration-table print
/ip dhcp-server lease print

• در remote-cap باید ۱۰ دستگاه با وضعیت Ok ببینید.
• برای هر دستگاه چهار اینترفیس پویا ساخته شده: دو رادیو و روی هر رادیو دو SSID.
• گوشی متصل به Company باید آدرس 192.168.10.x و گوشی متصل به Company-Guest آدرس 192.168.20.x بگیرد.

روی سوئیچ سیسکو:

show vlan brief
show interfaces trunk
show power inline

در show interfaces trunk پورت‌های Gi1/0/1 تا Gi1/0/11 باید با VLANهای 10، 20 و 99 دیده شوند و در show power inline هر cAP ax برق گرفته باشد.

در پایان از گوشی متصل به شبکهٔ مهمان، آدرس 192.168.10.1 را پینگ کنید؛ نباید جواب بدهد، اما اینترنت باید کار کند.

برنامه‌ریزی کانال و توان برای ۱۰ اکسس‌پوینت

• توان را کم کنید. توان کامل باعث می‌شود گوشی به اکسس‌پوینت دور بچسبد و رومینگ دیر انجام شود. با tx-power در Configuration، توان را کمتر از حداکثر بگذارید و در محل آزمایش کنید.
• اکسس‌پوینت‌های مجاور کانال یکسان نگیرند. اگر انتخاب خودکار نتیجهٔ خوبی نداد، برای هر اکسس‌پوینت کانال ثابت تعیین کنید.
• SSIDها را زیاد نکنید. هر SSID اضافه، روی هر رادیو بار مدیریتی می‌سازد؛ دو SSID برای بیشتر سازمان‌ها کافی است.
• جانمایی از تنظیم مهم‌تر است: اکسس‌پوینت را پشت ستون بتنی، داخل سقف کاذب فلزی یا کنار رک نگذارید.

عیب‌یابی

• cAP ax در remote-cap دیده نمی‌شود: Native VLAN پورت سیسکو 99 نیست، DHCP روی vlan99-mgmt کار نمی‌کند، یا CAPsMAN روی اینترفیس دیگری فعال شده است.
• SSID دیده می‌شود اما کاربر آدرس نمی‌گیرد: VLAN در switchport trunk allowed vlan پورت اکسس‌پوینت یا پورت روتر نیست، یا روی cAP ax در bridge vlan پورت ether1 تگ نشده است.
• کاربر کارکنان آدرس مهمان می‌گیرد یا برعکس: vlan-id دو Datapath جابه‌جا شده است.
• مهمان به شبکهٔ داخلی دسترسی دارد: قوانین فایروال مهمان زیر قوانین accept قرار گرفته‌اند؛ ترتیب را اصلاح کنید.
• اتصال به cAP بعد از فعال کردن VLAN Filtering قطع شد: با Winbox از طریق MAC وصل شوید و جدول bridge vlan را بررسی کنید.
• دستورها خطا می‌دهند: از منوی قدیمی /caps-man استفاده کرده‌اید یا نسخهٔ RouterOS قدیمی است.

با CAPsMAN جدید، ده دستگاه cAP ax یک‌جا مدیریت می‌شوند و دو SSID کارکنان و مهمان، هر کدام روی VLAN خودش، از اکسس‌پوینت تا سوئیچ سیسکو و روتر میکروتیک جدا می‌مانند. سه چیز باید با هم جور باشد: vlan-id در Datapath، VLANهای مجاز روی ترانک سیسکو و VLAN Filtering روی بریج cAP ax. نمونهٔ اجرای وایرلس مرکزی با میکروتیک را در پروژه‌های مرکز تصویربرداری گلرخ طب و ساختمان شرکت انرژی گستران متحد ببینید. برای تنظیم VLAN در سوئیچ سیسکو، مقالهٔ تنظیمات VLAN و VTP در سیسکو و برای امن کردن روتر، امنیت شبکه با میکروتیک را بخوانید.