brinet VIGOR 2500, VIGOR 2500WE User Manual [pl]

Download

Page 1

Podręcznik użytkownika routerów Vigor z serii 2500

Router ADSL

Vigor 2500/2500We

Podręcznik użytkownika

www.draytek.pl www.brinet.com.pl

2004 BRINET Sp. z o. o.

Page 2

Podręcznik użytkownika routerów Vigor z serii 2500

WPROWADZENIE .................................................................................... 4

Słowo od firmy BRINET ....................................................................

Prawa autorskie ...................................................................................

Wersja dokumentu i data wydania ...................................................... 5

Znaki handlowe .................................................................................. 5

Uwagi odnośnie bezpieczeństwa ........................................................ 5

Gwarancja ........................................................................................... 6

Zgodność z normami Unii Europejskiej ............................................. 6

Gdzie znaleźć oprogramowanie i informacje na temat sprzętu .......... 6

Kontakt handlowy i pomoc techniczna .............................................. 7

ROUTERY VIGOR Z SERII 2500 ........................................................... 8

Porównanie modeli ............................................................................. 8

Vigor 2500 – specyfika modelu, opis diod i gniazd ...........................

Vigor 2500We – specyfika modelu, opis diod i gniazd ...............

Szczegółowe parametry techniczne .................................................... 16

INSTALACJA I URUCHOMIENIE ........................................................ 18

Rozpakowanie i podłączenie zasilania ............................................... 18

Podłączenie i konfiguracja komputerów ............................................ 19

Podłączenie linii ADSL (zastosowanie filtru/splittera) ...................... 24

Oprogramowania narzędziowe Router Tools ..................................... 28

Wstęp do konfiguracji ........................................................................ 35

USTAWIENIA PODSTAWOWE ............................................................. 38

Hasło administratora ........................................................................... 38

TCP/IP i DHCP ……................…………………………………….. 39

Bezprzewodowy LAN (WLAN) ........................................................ 47

DOSTĘP DO INTERNETU ....................................................................... 56

Konfiguracja dostępu ADSL ............................................................. 65

Automatyczne wykrywanie ustawień ADSL ..................................... 67

Testowanie połączenia z Internetem ................................................... 70

USTAWIENIA ZAAWANSOWANE ....................................................... 73

Dynamiczny DNS ............................................................................... 73

Harmonogram połączeń ...................................................................... 78

NAT/Multi-NAT ................................................................................ 80

RADIUS ............................................................................................. 90

Trasy statyczne i trasa domyślna ........................................................ 91

Filtr/Firewall ....................................................................................... 98

Zdalny dostęp VPN ............................................................................ 114

UPnP ................................................................................................... 132

VLAN/Sterowanie przepływem ......................................................... 139

ZARZĄDZANIE ......................................................................................... 152

Status routera ...................................................................................... 152

4 4

2004 BRINET Sp. z o. o.

Page 3

Podręcznik użytkownika routerów Vigor z serii 2500

Zarządzanie połączeniami VPN ......................................................... 155

Zapis/odczyt plików konfiguracyjnych .............................................. 157

SysLog ................................................................................................ 159

Zegar systemowy ................................................................................ 169

Zarządzanie dostępem administratora ................................................ 171

Narzędzia diagnostyczne .................................................................... 175

Ponowne uruchomienie ...................................................................... 181

Aktualizacja oprogramowania ............................................................ 183

KOMENDY TELNET ................................................................................ 189

PRZYKŁADY PRAKTYCZNE ................................................................ 200

Jak skonfigurować usługę Neostrada ................................................. 200

Dynamiczny DNS dla usług typu Neostrada ..................................... 203

Stosowanie profili czasowych ............................................................ 210

2004 BRINET Sp. z o. o.

Page 4

Podręcznik użytkownika routerów Vigor z serii 2500

WPROWADZENIE

Słowo od firmy BRINET

Niniejszy materiał jest autorskim projektem firmy BRINET – dystrybutora urządzeń DrayTek w Polsce. Został przygotowany za zgodą oraz w porozumieniu z firmą DrayTek, jednak nie stanowi bezpośredniego przekładu oryginalnej, anglojęzycznej instrukcji użytkownika. Intencją firmy BRINET było bowiem wyjście naprzeciw oczekiwaniom klientów poprzez stworzenie rodzaju podręcznika, dostarczającego możliwie szerokiego opisu funkcji urządzenia oraz ich praktycznego wykorzystania. Konieczne było zatem, poza oryginalną instrukcją angielską, sięgnięcie do innych źródeł i materiałów udostępnionych przez producenta, oraz po części do doświadczeń zdobytych podczas pracy nad wdrażaniem urządzeń na polski rynek i rozwiązywaniem technicznych problemów klientów.

Mamy świadomość, że nasze opracowanie nie jest pozbawione wad i braków. Z uwagą oczekujemy jednak sugestii użytkowników, które postaramy się uwzględniać w kolejnych wydaniach, wzbogacając je o nowe przykłady i korygując powstałe błędy.

Podręcznik ma służyć przeciętnemu użytkownikowi, który niekoniecznie dysponuje zaawansowaną wiedzą techniczną, stąd osobom doświadczonym niektóre opisy wydadzą się zbędne. Mimo to charakter pewnych funkcji oferowanych przez router Vigor wymaga sięgnięcia po język bardziej hermetyczny, który z kolei nie dla każdego będzie przystępny. Mamy jednak nadzieję, iż każdy cierpliwy posiadacz Vigora poradzi sobie z zainstalowaniem routera i uruchomieniem dostępu ADSL, np. popularnej Neostrady.

Prawa autorskie

Copyright  2004 BRINET Sp. z o. o. – wszelkie prawa zastrzeżone. Dokument został przygotowany przez firmę BRINET Sp. z o. o. za zgodą DrayTek Corporation, i jako taki stanowi własność firmy BRINET Sp. z o. o. Bez zgody właściciela żaden fragment niniejszego opracowania nie może być publikowany, powielany elektronicznie lub w jakikolwiek inny sposób, jak również przesyłany czy magazynowany przy wykorzystaniu jakichkolwiek narzędzi i metod dla takich celów przewidzianych.

2004 BRINET Sp. z o. o.

Page 5

Podręcznik użytkownika routerów Vigor z serii 2500

Wersja dokumentu i data wydania

1.1 (26.04.2004)

Znaki handlowe

Dokument zawiera następujące zastrzeżone nazwy i znaki handlowe:

- Microsoft jest zarejestrowanym znakiem handlowym firmy Microsoft Corporation

- Windows, Windows 95, 98, ME, NT, 2000, XP stanowią zastrzeżone symbole handlowe firmy Microsoft Corporation

- Cisco Systems stanowi znak handlowy należący do firmy Cisco

- Wszelkie inne znaki i symbole handlowe, oznaczające rozwiązania czy produkty konkretnego producenta, stanowią jego własność

Uwagi odnośnie bezpieczeństwa

- Przed przystąpieniem do instalacji prosimy zapoznać się z rozdziałem

Instalacja i uruchomienie

- Router jest skomplikowanym urządzeniem elektronicznym, wrażliwym na uszkodzenia mechaniczne (wstrząsy, uderzenia itp.), w związku z czym może być naprawiany tylko przez specjalnie przeszkolony personel. Pod żadnym pozorem nie należy otwierać obudowy i ingerować w wewnętrzną strukturę urządzenia

- Nie wolno umieszczać routera w miejscach o dużej wilgotności i temperaturze otoczenia (np. w łazience)

- Router powinien pracować wyłącznie w pomieszczeniach zamkniętych, w których panuje temperatura z przedziału od +5 do +40 st. C

- Nie wolno narażać urządzenia na bezpośrednie działanie promieni słonecznych lub źródeł intensywnego ciepła, gdyż stanowi to zagrożenie dla funkcjonowania elementów elektronicznych zlokalizowanych w jego wnętrzu

- Zaleca się przechowywać opakowanie z dala od dzieci

- W razie podjęcia decyzji o pozbyciu się urządzenia (np. w skutek dokonania jego trwałego zniszczenia), należy postępować zgodnie z lokalnymi przepisami odnośnie ochrony środowiska naturalnego

2004 BRINET Sp. z o. o.

Page 6

Podręcznik użytkownika routerów Vigor z serii 2500

Gwarancja

Firma BRINET w porozumieniu z DrayTek Corporation udziela gwarancji na okres dwóch (2) lat od daty zakupu urządzenia. Deklarujemy, że w rzeczonym okresie zakupione urządzenie będzie wolne od wad materiałowych i funkcjonalnych, uniemożliwiających jego normalną pracę. Prosimy jednocześnie o zachowanie dowodu zakupu urządzenia, wraz z oryginalnym opakowaniem i wszystkimi zawartymi w nim elementami w bezpiecznym miejscu. W razie ujawnienia się wady technologicznej egzemplarza podczas jego poprawnego użytkowania, zapewniamy w ramach gwarancji wymianę na nowy lub naprawę wadliwego egzemplarza. Szczegółowe warunki gwarancji oraz termin realizacji reklamacji opisuje karta gwarancyjna dołączona do opakowania.

Producent jak i dystrybutor nie obejmują gwarancją przypadków uszkodzeń, wynikających z rażącego naruszenia zasad użytkowania urządzenia (a więc jego podłączenia niezgodnie z przeznaczeniem poszczególnych portów, narażenia na pracę w szkodliwych warunkach, itp.).

Zgodność z normami Unii Europejskiej

DrayTek Corp. deklaruje, iż urządzenie jest zgodne z normami Unii Europejskiej określonymi Dyrektywą R&TTE nr 99/5/EC oraz pomyślnie przeszło odpowiednie testy weryfikacyjne.

Aktualizacja oprogramowania i informacje na temat sprzętu

Najnowsze oprogramowanie systemowe i narzędziowe oraz bieżące informacje i porady dotyczące sprzętu DrayTek są dostępne w następujących serwisach:

- Tajwan: http://www.draytek.com.tw

- Europa: http://www.draytek.com

- Polska: http://www.draytek.pl

i ftp://ftp.draytek.pl

i ftp://ftp.draytek.com.tw

i ftp://ftp.draytek.com

Kontakt handlowy

Na mocy specjalnej Umowy Dystrybucyjnej firma BRINET Sp. z o. o. została mianowana oficjalnym przedstawicielem DrayTek Corporation w Polsce. Urządzenia są dostępne bezpośrednio w oddziałach BRINET oraz u partnerów

2004 BRINET Sp. z o. o.

Page 7

Podręcznik użytkownika routerów Vigor z serii 2500

BRINET w ramach sieci dystrybucyjnej. Tylko egzemplarze, które zostały zakupione w firmie BRINET lub u legalnego partnera BRINET będą objęte gwarancją oraz wsparciem technicznym. Konieczne jest w tym celu przedstawienie dowodu zakupu oraz numeru seryjnego.

Wszelkie informacje handlowe, ceny detaliczne i partnerskie oraz promocyjne można uzyskać zwracając się pod jeden z poniższych adresów:

ul. Karolewska 1, 90-560 Łódź Telefon handlowy: (042) 6892252

[email protected]

ul. Arciszewskiego 7A, 60-267 Poznań Telefon handlowy: (061) 8638920

[email protected]

Ponadto na www.draytek.pl można znaleźć bezpośredni kontakt do osób z Działu Handlowego, gotowych udzielić Państwu stosownej informacji i przyjąć zamówienie.

2004 BRINET Sp. z o. o.

Page 8

Podręcznik użytkownika routerów Vigor z serii 2500

ROUTERY VIGOR Z SERII 2500

Poniższa tabela zawiera porównanie poszczególnych modeli routerów Vigor z serii 2500. Wszystkie modele dysponują takim samym, zintegrowanym przełącznikiem Ethernet z czterema portami 10/100 Mbit/s, oraz interfejsem WAN (ADSL). Różnice natomiast dotyczą występowania bądź braku interfejsu bezprzewodowej sieci LAN (WLAN):

------ Vigor 2500 Vigor 2500We

ADSL

Aneks A/Aneks B

WLAN

Aneks A i B dotyczy rodzaju interfejsu ADSL. Litera A oznacza możliwość obsługi dostępu ADSL realizowanego wraz z tradycyjną, analogową usługą POTS (ang. ADSL over POTS). Litera B odpowiada obsłudze dostępu ADSL w warunkach, gdy w tej samej linii abonenckiej obecny jest sygnał ISDN BRA (ang. ADSL over ISDN). Dostęp ISDN angażuje więcej pasma w łączu fizycznym, stąd chodzi głównie o ulokowanie widma sygnału ADSL w obszarze wyższych częstotliwości, niż w przypadku dostępu POTS.

W dalszej części rozdziału zamieszczono prezentację wszystkich modeli z serii 2500 z naciskiem na opis diod, przycisków i interfejsów fizycznych. Dodano też komentarze ilustrujące najbardziej typowe zastosowanie danego modelu. Należy jednak podkreślić, że nie wyczerpują one całego bogactwa możliwości urządzenia. Szczegółowy opis można znaleźć dopiero w rozdziałach poświęconych konfiguracji.

tak tak

tak/tak tak/tak

nie tak, 802.11b

Vigor 2500 – specyfika modelu, opis diod i gniazd

Router Vigor 2500 komunikuje się z dostawcą usług (operatorem) poprzez standardowy interfejs ADSL, zaś użytkownikowi oferuje interfejs LAN w postaci 4 portów przełącznika Ethernet 10/100 Mbit/s. Bezpośrednio za pomocą kabli można podłączyć do 4 komputerów, jednak możliwe jest wykorzystanie danego portu/portów do komunikacji z innym routerem czy przełącznikiem. Dlatego liczba obsługiwanych stacji jest teoretycznie nieograniczona. Względy praktyczne każą tylko zwrócić uwagę na spadek pasma oferowanego komputerowi, jeżeli wskutek użycia dodatkowego koncentratora jest on jednym z

2004 BRINET Sp. z o. o.

Page 9

Podręcznik użytkownika routerów Vigor z serii 2500

wielu maszyn współdzielących ten sam port. Aby w pełni wykorzystać oferowaną prędkość 100 Mbit/s, dodatkowy koncentrator powinien być również przełącznikiem (ang. Switch) pracującym w trybie pełnego dupleksu (ang. Full Duplex - FDX) z prędkością 100 Mbit/s. Należy odradzić używanie tzw. hubów, które zwykle nie posiadają wymienionych zalet i powodują poważny spadek efektywności wykorzystania pasma. Powyższe uwagi dotyczące interfejsu Ethernet odnoszą się do wszystkich modeli z serii 2500.

Następny schemat ilustruje typowe wykorzystanie routera Vigor 2500. Dzięki wbudowanemu przełącznikowi możliwe jest łatwe uruchomienie lokalnej sieci LAN. Komputery w sieci, oprócz komunikacji wzajemnej, mają zapewniony bezpieczny dostęp do Internetu (NAT+Firewall). Wykorzystując funkcję VLAN (ang. Virtual LAN) można wyodrębnić do 4 osobnych segmentów LAN (każdy port w innym segmencie), ograniczając tym samym możliwość komunikacji pomiędzy komputerami. Każdy z 4 portów posiada jednocześnie zdolność limitowania szybkości transmisji ramek na poziomie warstwy drugiej (Ethernet).

Możliwość dokonania trwałego rozkładu pasma ADSL pomiędzy poszczególne porty, w połączeniu z ich dodatkowym odseparowaniem, czynią z routera Vigor 2500 urządzenie idealne dla podzielenia dostępu ADSL pomiędzy kilku użytkowników czy też grup użytkowników (dodatkowe switche). Pasmo może być bowiem przyznawane indywidualnie, np. proporcjonalnie do opłaty wnoszonej przez użytkownika.

2004 BRINET Sp. z o. o.

Page 10

Podręcznik użytkownika routerów Vigor z serii 2500

Brama VPN (Vigor 2500)

LAN1 (biuro, dom)

ADSL

Internet

ISPISP

ADSL

Serwer VPN

(np. Vigor 2600)

LAN2 (centrala)

Vigor 2500 może też zapewnić lokalnym komputerom bezpieczny dostęp do odległej sieci, zestawiając tunel VPN poprzez Internet. Po drugiej stronie połączenia, np. w centrali firmy, powinien się znajdować serwer VPN. Może to być np. router Vigor 2600, router Cisco 1700/2500 czy komputer PC z systemem Windows 2000 Server.

Po pomyślnej weryfikacji przez serwer praw dostępu, obie sieci LAN są połączone szyfrowanym tunelem, umożliwiając komputerom po obu stronach korzystanie z wzajemnie posiadanych zasobów (np. plików). Połączenia VPN są bezpieczne dzięki złożonym mechanizmom ochrony danych (protokoły IPSec, L2TP, PPTP) i pozwalają firmom wykorzystać wykupione dostępy do Internetu bez ponoszenia dodatkowych wydatków na osobne łącza dedykowane. Zapewnienie wybranym pracownikom zdalnego dostępu do sieci firmowej (np. z domu) może prowadzić do obniżenia kosztów (dojazd do biura, powierzchnia biurowa) i podniesienia efektywności pracy. Bezpieczny dostęp z domu do firmowej bazy danych umożliwia bowiem ciągłą pracę wielu osób nad wspólnym projektem.

Vigor 2500 – panel czołowy i tylny:

2004 BRINET Sp. z o. o.

Page 11

Podręcznik użytkownika routerów Vigor z serii 2500

Diody LED Znaczenie sygnalizacji

ACT

LINE

ADSL

DATA

Link

LAN 1-4

100M

VPN

Pulsuje w czasie normalnej (bezawaryjnej) pracy routera – ok. 1 raz/sek Świeci w odpowiedzi na poprawne podłączenie linii DSL i uzyskanie synchronizacji na poziomie warstwy fizycznej (m.in. modulacja) Pulsuje w fazie ustanawiania połączenia i negocjowania jego parametrów przez protokół transmisyjny (tzw. hanshaking). W następstwie udanej konfiguracji łącza emitowany jest sygnał ciągły – gotowość do transmisji pakietów danych na poziomie IP. Świecenie danej diody oznacza, że poprawnie podłączono interfejs sieciowy do odpowiedniego portu przełącznika. Sygnał pulsujący informuje o zachodzącej właśnie transmisji. Świeci jeżeli router wykryje, że podłączony interfejs działa w trybie 100 Mbit/s. Jeżeli jest to 10 Mbit/s, świeci tylko dioda Link (powyżej). Sygnalizuje aktywne połączenie VPN

Panel tylny Opis

PWR

DC 5V

P1,P2,P3,P4

ADSL

Factory Reset

Włączanie (pozycja ON) i wyłączanie (pozycja OFF) zasilania routera Gniazdo zasilania zewnętrznego (dopuszcza się używanie wyłącznie oryginalnego zasilacza dostarczanego wraz z urządzeniem) Cztery porty przełącznika Ethernet 10/100 Mbit/s FDX, do których można bezpośrednio podłączać stacje robocze (komputery), dodatkowe koncentratory LAN czy też inne routery. W każdym przypadku można użyć tego samego kabla „prostego” (ang. straight-through). Żaden z portów nie jest trwale dedykowanym portem typu „Uplink”, gdyż każdy potrafi automatycznie rozpoznać typ podłączonego urządzenia i przeprowadzić autokonfigurację, eliminując konieczność użycia kabla „krzyżowego” (ang. cross-over). Gniazdo RJ-11 lub RJ-45 do podłączenia linii ADSL operatora. Można podłączyć kabel bezpośrednio do gniazdka telekomunikacyjnego, bez stosowania filtru czy rozgałęźnika (splittera). Jednak chcąc zachować możliwość korzystania z usługi podstawowej (np. telefonowania), sygnał z gniazdka telefonicznego należy rozdzielić w rozgałęźniku, i odfiltrować szum DSL w gałęzi prowadzącej do telefonu. Przycisk resetowania routera do ustawień fabrycznych. W czasie normalnej pracy routera (pulsująca dioda ACT), należy wcisnąć przycisk i przytrzymać na dłużej niż 5 sekund, aż dioda ACT zacznie intensywnie pulsować. Następnie przycisk należy zwolnić, co spowoduje ponowne załadowanie oprogramowania wraz ze zbiorem ustawień domyślnych.

2004 BRINET Sp. z o. o.

Page 12

Podręcznik użytkownika routerów Vigor z serii 2500

Vigor 2500We – specyfika, opis diod i gniazd

Modele oznaczone literą „W” również dysponują interfejsem ADSL, przez co posiadają takie same jak model 2500 zdolności komunikacji na odległość (WAN). Możliwy jest zatem dostęp do Internetu z wykorzystaniem linii ADSL, w połączeniu z rozdziałem pasma pomiędzy użytkowników lokalnych przy ich ewentualnej wzajemnej separacji (VLAN). Również funkcje obejmujące zdalny dostęp VPN są identyczne. Ich opis zostanie więc tutaj pominięty (należy się zapoznać z prezentacją modelu 2500).

Zachowując wszystkie cechy modelu 2500, routery 2500We posiadają dodatkowo udoskonaloną komunikację lokalną – w postaci wbudowanego modułu koncentratora radiowego dla sieci LAN. Koncentrator pracuje według standardu IEEE 802.11b, oferując prędkość 11Mbit/s i gwarantuje zasięg w przybliżeniu wystarczający do objęcia kilku sąsiadujących pomieszczeń, ewentualnie, w zależności od warunków propagacyjnych, całego piętra. W terenie otwartym zasięg może sięgać 200 m i więcej.

2004 BRINET Sp. z o. o.

Page 13

Podręcznik użytkownika routerów Vigor z serii 2500

Brama VPN (Vigor 2500We)

LAN1 (biuro, dom)

ADSL

Internet

ISPISP

ADSL

Serwer VPN

(np. Vigor 2600)

LAN2 (centrala)

Podane wartości 11Mbit/s i 22Mbit/s oznaczają maksymalną przepustowość, dostępną dla stacji w łączu bezprzewodowym. Wartość ta maleje co prawda wraz ze wzrostem odległości od routera, jak i na skutek przybywania kolejnych użytkowników w kanale radiowym, lecz i tak utrzymuje się na poziomie wystarczającym do swobodnej komunikacji z Internetem czy z innymi stacjami. Należy bowiem zwrócić uwagę na proporcje, jakie zachodzą pomiędzy łączem ADSL i LAN pod względem dostępnego pasma: zwykle całe pasmo oferowane przez linię ADSL jest dużo mniejsze niż to, jakim lokalnie dysponuje pojedynczy komputer. Dlatego nawet spadek przepustowości w łączu radiowym do 1 Mbit/s nie będzie stanowił przeszkody spowalniającej dostęp do Internetu. Komfort związany z przenośnym dostępem do Sieci pozostaje zatem niezakłócony.

Sieć WLAN (ang. Wireless LAN) nie powinna być tutaj traktowana jako oddzielna sieć lokalna. Koncentrator radiowy stanowi rozszerzenie możliwości oferowanych przez zintegrowany przełącznik 10/100 Mbit/s. Komputery należą do tej samej sieci LAN, niezależnie od tego czy używają bezprzewodowego interfejsu WLAN czy są podłączone kablem. I chociaż może występować zróżnicowanie pod względem prędkości transmisji, to jednak dla potrzeb komunikacyjnych router identyfikuje stacje wyłącznie na podstawie adresów protokołowych (MAC i IP). Trzeba tutaj zaznaczyć, iż koncentrator radiowy nie stanowi odrębnej sieci VLAN, tzn. możliwa jest komunikacja pomiędzy stacją bezprzewodową a dowolną inną stacją należącą do któregokolwiek segmentu VLAN.

Dostęp radiowy jest chroniony przez bogaty zbiór zabezpieczeń: kontrola dostępu (MAC), szyfrowanie WEP, ochrona przed przechwyceniem parametrów sieci WLAN przez obce stacje, autoryzacja 802.11X, wsparcie VPN dla WLAN.

2004 BRINET Sp. z o. o.

Page 14

Podręcznik użytkownika routerów Vigor z serii 2500

Router 2500We może pracować jako jeden z wielu tzw. punktów dostępu (ang. Access Point). Celem może być pokrycie zasięgiem większego obszaru, czy też zapewnienie większej pojemności w sensie liczby obsługiwanych stacji:

- Piętro 2 -

100 Base -T

- Piętro 1 -

100 Base -T

- Parter -

ADSL

ISP

Internet

Vigor 2500We – panel czołowy i tylny:

2004 BRINET Sp. z o. o.

Page 15

Podręcznik użytkownika routerów Vigor z serii 2500

Diody LED Znaczenie sygnalizacji

ACT

LINE

ADSL

DATA

Link

LAN 1-4

100M

VPN

Panel tylny Opis

PWR

DC 5V

P1,P2,P3,P4

ADSL

Factory Reset

2004 BRINET Sp. z o. o.

Page 16

Podręcznik użytkownika routerów Vigor z serii 2500

Szczegółowe parametry techniczne

Poniżej zestawiono szczegółowe parametry techniczne routerów Vigor z serii

2500. Jak widać, poza wyjątkiem WLAN wszystkie modele dysponują tym samym zestawem zaawansowanych funkcji i protokołów:

Charakterystyka funkcjonalna modelu 2500 We

Interfejs ADSL z fizycznym gniazdem RJ-11 (Aneks A) lub RJ-45

(Aneks B). Rodzaje modulacji G.DMT (Aneks A lub B), G.Lite, T1.413 (ANSI), Multimode (negocjowanie trybu modulacji). Prędkość do 8 Mbit/s „w dół” i do 1 Mbit/s „w górę”. Protokoły ADSL: PPP over ATM (RFC 2364), PPP over Ethernet (RFC 2516), MPoA (RFC 1483/2684 Bridge/Routed Ethernet over ATM), Multi-PVC (do 8 kanałów PVC). Automatyczna detekcja podstawowych parametrów linii ADSL.. 4-portowy switch 10/100 Base-TX (FDX), detekcja prędkości i trybu pracy urządzeń podłączanych do portów, automatyczna wewnętrzna konfiguracja portów (auto-uplink) bez konieczności użycia specjalnego kabla cross-over, funkcja VLAN oparta na portach switcha (do 4 wirtualnych segmentów LAN), funkcja Rate Control – limitowanie pasma dla obu kierunków transmisji ramek (z dokładnością do 32kbit/s, niezależnie na każdym porcie). Koncentrator WLAN IEEE 802.11 b, pasmo 2.4 GHz, prędkość 11 Mbit/s, zasięg 50 – 200 m, obsługa do kilkudziesięciu stacji, szyfrowanie WEP 64/128 bitów, limitowanie dostępu na podstawie MAC, uwierzytelnianie 802.11x, ukrywanie SSID, obsługa VPN over WLAN, profile czasowe dla aktywności koncentratora, świadectwo zgodności z normami Unii Europejskiej (certyfikat EN60950/55024/301489-17/ETSI

300328), kompatybilność z urządzeniami innych producentów (AP, karty WLAN). Protokół IPv4, do 8 adresów IP na interfejsie WAN (ADSL), 2 niezależne podsieci IP w ranach LAN. Routing statyczny (definiowanie tras) oraz dynamiczny (RIPv2) na wszystkich interfejsach. Serwery DHCP dla obu podsieci IP z możliwością kojarzenia MAC-IP, opcja agenta DHCP, klient DHCP/negocjacja IPCP lub stały adres od strony interfejsu WAN, Proxy DNS i DNS Cache. Dynamiczny DNS dla zmiennego adresu IP - 3 konta klienta DDNS dla obsługi stałych nazw w różnych domenach, opcja MX (Mail Extender) oraz MX Backup. Współpraca z serwerami 8 dostawców usługi DDNS. Programowanie profili czasowych dla sterowania dostępem do Internetu, dostępem VPN oraz aktywnością koncentratora WLAN. NAT/Multi-NAT – translacja adresów dla potrzeb podsieci prywatnej, przekierowanie/otwieranie portów i DMZ z użyciem wielu (do 8) adresów publicznych routera, NAT pass-through dla popularnych aplikacji (VPN, VoIP, Net Meeting, MSN Messenger, ICQ, GG, gry Quake, Starcraft itp). Obsługa standardu UPnP (Universal Plug and Play) – automatyczne otwieranie portów na żądanie aplikacji stosujących protokół UPnP i monitorowanie stanu łącza Internetowego w środowisku MS Windows XP Firewall: filtrowanie ruchu IP/ICMP/TCP/UDP na podstawie adresów i numerów portów, filtrowanie dynamiczne SPI (Statefull Packet Inspection), ochrona przed atakami typu DoS/DDoS, filtrowanie zawartości na poziomie aplikacji (content filtering), szczegółowe logowanie zdarzeń (pakiety przepuszczone/zablokowane, ataki DoS).

tak

Tak

tak

nie

tak

tak tak

tak

Tak

tak

802.11b

11 Mbit/s

tak

2004 BRINET Sp. z o. o.

Page 17

Podręcznik użytkownika routerów Vigor z serii 2500

Klient VPN (brama do innych sieci) – zapewnienie lokalnym hostom

bezpiecznego dostępu do odległej sieci (serwera VPN) poprzez Internet. Obsługa do 2 jednoczesnych tuneli LAN-to-LAN. Protokoły PPTP, IPSEC i L2TP z opcją IPSec. Szyfrowanie MPPE dla PPTP, tryb AH (SHA-1/MD-5) i tryb ESP (DES/3DES/AES) dla IPSec, protokół IKE dla zarządzania parametrami IPSec. Routing statyczny lub RIPv2 wewnątrz tunelu LAN-to-LAN, sterowanie czasem połączeń VPN (połączenia trwałe lub zestawiane na żądanie i rozłączane). Synchronizacja czasu z serwerem NTP (wbudowany klient NTP).

Zarządzanie lokalne oraz na odległość: konfiguracja (serwery http i telnet), aktualizacja oprogramowania (serwery TFTP i FTP),

zachowywanie konfiguracji do pliku i jej przywracanie, funkcja SysLog (szczegółowy monitoring z możliwością automatycznego rejestrowania zdarzeń typu log w pliku), Hasło administratora i ograniczanie dostępu do konfiguracji do wybranych adresów IP. Obsługa protokołu SNMP i wbudowany pakiet narzędzi diagnostycznych dla ADSL, Firewall, VPN i połączeń z Internetem.. Oprogramowanie DrayTek Router Tools do zarządzania routerem. Dołączony zasilacz DC 9V/140 mA (pobór mocy: 7.75 W).

Wymiary: 21.8cm×15.8cm×3.6 cm.

tak

tak tak

tak

tak tak

tak

2004 BRINET Sp. z o. o.

Page 18

Podręcznik użytkownika routerów Vigor z serii 2500

INSTALACJA I URUCHOMIENIE

Niniejszy rozdział stanowi formę przewodnika w procesie przygotowania urządzenia do pracy, począwszy od wyjęcia egzemplarza z opakowania, poprzez podłączenie kabli i uzyskanie komunikacji pomiędzy routerem a komputerem.

Oryginalne opakowanie zawiera następujące elementy:

1. Jeden egzemplarz routera Vigor 2500/2500We.

2. Zasilacz AC 220V/DC 9V (140 mA).

3. Kabel w kolorze czarnym do podłączenia linii ADSL, z wtykiem RJ-11 dla ADSL over POTS (Aneks A) lub RJ-45 dla linii ADSL over ISDN (Aneks B).

4. Kabel kategorii 5 w kolorze niebieskim (3 m), służący do podłączenia pojedynczego urządzenia Ethernet (komputera, switcha czy innego routera) do interfejsu LAN.

5. W przypadku modeli 2500We: pojedyncza antena, którą należy przykręcić do odpowiedniej końcówki

6. Dwa kołki mocujące z wkrętami dla ewentualnego przymocowania urządzenia do ściany

7. Płyta CD zawierająca m.in. wszelkie oprogramowanie dostarczane przez producenta, instrukcję obsługi oraz inne materiały informacyjne.

8. Skrócona instrukcja w języku angielskim w formie papierowej, zawierająca podstawowe informacje na temat urządzenia.

9. Karta gwarancyjna.

Po rozpakowaniu routera należy sprawdzić czy przełącznik zasilania znajdujący się w tylnym panelu jest ustawiony w pozycji OFF (wyłączony). Jeżeli tak, można podłączyć wtyk zasilacza do gniazda DC routera, oraz włączyć zasilacz do gniazda zasilania AC 220V. W przypadku modelu 2500We należy jeszcze zamontować antenę, przykręcając ją do końcówki znajdującej się w tylnym panelu. Po podłączeniu zasilacza można włączyć zasilanie (przełącznik w pozycji ON). Rozpocznie się proces inicjalizacji oprogramowania, który może potrwać około minuty.

Po zainicjowaniu routera dioda ACT powinna pulsować w tempie około 1 raz na sekundę, co oznacza gotowość do pracy:

2004 BRINET Sp. z o. o.

Page 19

Podręcznik użytkownika routerów Vigor z serii 2500

Kolejnym krokiem będzie podłączenie komputera i jego konfiguracja do współpracy z routerem. Wykorzystując niebieski kabel Ethernet z końcówkami RJ-45, łączymy kartę sieciową komputera z interfejsem LAN routera. Komputer można podłączyć do dowolnego spośród portów P1-P4:

Uwagi

1. Jeżeli komputer nie dysponuje sieciową kartą Ethernet, należy ją zakupić i poprawnie zainstalować. Dopiero wówczas możliwa będzie komunikacja z routerem.

2. Do routera można bezpośrednio podłączyć do 4 komputerów PC, co wszakże nie oznacza, że istnieje limit odnośnie liczby komputerów pracujących w sieci LAN. Do gniazda P1, P2, P3 lub P4 można bowiem podłączyć osobny koncentrator o dowolnej liczbie portów (np. 4, 8, 16 czy

24). Rzeczywiste ograniczenie liczby komputerów jest wyznaczone maską podsieci (patrz rozdział Ustawienia podstawowe). Na przykład używając domyślnej maski 24-bitowej (255.255.255.0) można zaadresować do 252 komputerów (oraz interfejs routera).

3. Zarówno karta sieciowa, jak i ewentualny koncentrator powinny pracować z prędkością 100 Mbit/s, gdyż pozwoli to w pełni wykorzystać lokalne pasmo oferowane przez zintegrowany przełącznik 10/100 Base-T. W

2004 BRINET Sp. z o. o.

Page 20

Podręcznik użytkownika routerów Vigor z serii 2500

przypadku podłączania koncentratora czy routera nie istnieje konieczność używania tzw. kabla z przeplotem (cross-over), jako że wszystkie porty potrafią przeprowadzić wewnętrzną rekonfigurację, przyporządkowując sygnały do właściwych par przewodów (pinów).

Dalszy opis zakłada, że komputer jest uruchomiony oraz karta sieciowa funkcjonuje prawidłowo.

Po podłączeniu kabla, dioda Link dla danego portu powinna się zapalić. Jeżeli dołączono kartę 100 Mbit/s, zapali się dodatkowo dioda 100M. Można teraz dokonać konfiguracji połączenia sieciowego komputer – router. W środowisku Windows rozpoczynamy od przejścia do Panelu Sterowania:

W panelu wybieramy opcję Połączenia sieciowe:

2004 BRINET Sp. z o. o.

Page 21

Podręcznik użytkownika routerów Vigor z serii 2500

Otworzy się okno zarządzania aktualnie dostępnymi połączeniami. Jeżeli karta sieciowa została poprawnie zainstalowana w systemie, w oknie obecne będzie zbudowane na jej bazie połączenie sieciowe (domyślna nazwa Połączenie lokalne). Klikamy prawym klawiszem myszy na jego ikonę, wybierając następnie opcję Właściwości:

Otworzy się okno, w którym dostępne są m.in. elementy oprogramowania protokołów. Konfiguracji wymaga tutaj wyłącznie protokół TCP/IP, dlatego zaznaczamy właściwy składnik i wybieramy Właściwości (jak na rysunku).

W obszarze właściwości protokołu TCP/IP wybieramy opcję automatycznego pozyskiwania adresu IP oraz adresów serwerów DNS (domyślna konfiguracja będzie miała taką właśnie postać i wówczas nic nie trzeba zmieniać). Następnie klikamy OK (nie Anuluj!) i następuje powrót do okna właściwości połączenia. Warto przed jego opuszczeniem zaznaczyć opcję Pokaż ikonę w obszarze powiadomień podczas połączenia, dzięki czemu możliwe będzie monitorowanie funkcjonowania połączenia (na pasku u dołu ekranu pojawi się ikona jego stanu). Zatwierdzamy ostatecznie wszystkie zmiany klikając OK.

2004 BRINET Sp. z o. o.

Page 22

Podręcznik użytkownika routerów Vigor z serii 2500

2004 BRINET Sp. z o. o.

Page 23

Podręcznik użytkownika routerów Vigor z serii 2500

Ikona stanu połączenia po prawej stronie w dolnej części pulpitu wskazuje prędkość na odcinku komputer – router:

Jeżeli ikona ma postać inną niż na rysunku (przekreślenie na czerwono), oznacza to problem o charakterze fizycznym (brak prawidłowego połączenia kablowego). Należy wówczas sprawdzić czy router został włączony oraz zwrócić uwagę na kabel łączący go z komputerem.

Ostatni krok to wymuszenie automatycznej konfiguracji parametrów IP przez wysłanie odpowiedniego żądania do serwera DHCP zlokalizowanego w routerze. Wykonuje się to komendą ipconfig z parametrem renew wydaną z wiersza poleceń. Aby wejść do trybu poleceń systemu Windows, należy kliknąć

Start

→

Uruchom. Otworzy się poniższe okno, w którym należy wpisać polecenie

cmd i potwierdzić OK:

Następnie w oknie trybu poleceń wpisujemy ipconfig /renew i naciskamy Enter. Poprawna odpowiedź będzie zawierać parametry IP przyznane przez serwer DHCP (podobnie jak na rysunku, choć adres IP nie musi być identyczny). Można wówczas wykonać komendę ping dla sprawdzenia komunikacji IP. Uzyskanie odpowiedzi będzie ostatecznym potwierdzeniem, że połączenie sieciowe funkcjonuje poprawnie.

2004 BRINET Sp. z o. o.

Page 24

Podręcznik użytkownika routerów Vigor z serii 2500

Jeżeli w odpowiedzi na komendę ipconfig /renew zamiast parametrów IP otrzymamy komunikat o nieosiągalności serwera DHCP, może to oznaczać że nie został on włączony w routerze, lub że nie działa połączenie kablowe z routerem. Najpierw należy sprawdzić kabel lub ewentualnie użyć innego. Jeżeli po ponownym wydaniu komendy efekt jest ten sam, rozsądnie będzie przywołać domyśle ustawienia routera przyciskiem reset (należy go przytrzymać przez około 5 sekund, aż dioda ACT zacznie pulsować szybciej i następnie zwolnić). Po odczekaniu kilku minut (inicjalizacja) ponownie wykonujemy komendę ipconfig /renew.

Pomyślny przebieg zdarzeń (odpowiedź serwera) został zilustrowany poniżej:

Zilustrowana sytuacja odpowiada domyślnym ustawieniom TCP/IP. Adres

192.168.1.1 to adres własny routera Vigor. Jest on przydzielany lokalnym komputerom w charakterze adresu bramy domyślnej, prowadzącej do Internetu. Pierwszy podłączony komputer otrzymuje do własnej dyspozycji adres

192.168.1.10, następny otrzyma 192.168.1.11 itd.

Po stwierdzeniu, że komunikacja komputer-router działa bez zarzutów, można przystąpić do uruchomienia dostępu do Internetu. Przed podłączeniem linii należy zwrócić uwagę na rodzaj interfejsu ADSL. Routery Vigor z serii 2500 występują bowiem w wersjach oznaczanych jako Aneks A oraz Aneks B. Pierwsza wersja routera (Aneks A) przeznaczona jest do pracy na linii ADSL, w której przesyłany jest dodatkowo sygnał analogowy (np. rozmowa telefoniczna).

2004 BRINET Sp. z o. o.

Page 25

Podręcznik użytkownika routerów Vigor z serii 2500

Natomiast wersja druga (Aneks B) potrafi obsłużyć dostęp ADSL na linii przenoszącej dodatkowo sygnał ISDN 2B+D. Wersję routera można odczytać z etykiety naklejonej od spodu obudowy. Jest ona także w oczywisty sposób reprezentowana przez typ gniazda dla linii ADSL: mniejsze (RJ-11) dla wersji Aneks A, oraz większe (RJ-45) dla wersji Aneks B:

RJ-11

RJ-45

Rozróżnienie to jest istotne przede wszystkim w momencie zakupu routera w wersji właściwej dla posiadanego dostępu, ale także na etapie instalacji. Chodzi tutaj o dobranie odpowiedniego kabla dla gniazda ADSL (końcówka RJ-11 lub RJ-45).

Chcąc zachować możliwość korzystania z podstawowej usługi POTS czy ISDN, należy rozdzielić sygnał na dwa tory, usuwając szum DSL z gałęzi prowadzącej do urządzenia końcowego (telefonu lub NT). Można to zrobić na dwa sposoby, uwzględniając dostępne na rynku elementy opisane poniżej.

Opcja 1:

Do rozdzielenia toru posługujemy się tzw. rozgałęziaczem, natomiast filtrowanie realizujemy za pomocą specjalnego filtru (tzw. mikrofiltr). Poprawne rozmieszczenie elementów okablowania prezentuje szkic. Sygnał dostępny w linii abonenckiej (kolor zielony) jest rozprowadzany za pomocą rozgałęźnika w dwóch kierunkach. Jedna z gałęzi nie wymaga filtrowania, jako że sygnał POTS czy ISDN nie emituje zakłóceń szkodliwych dla pasma ADSL. Dlatego do połączenia gniazda rozgałęźnika z portem ADSL routera wystarczy użyć zwykłego kabla (z odpowiednią końcówką RJ-11 lub RJ-45 od strony routera). W drugiej gałęzi wpinamy mikrofiltr, który wytłumi sygnał DSL, aby do odbiornika (telefonu czy NT) docierał wyłącznie czysty sygnał telefoniczny (kolor żółty).

Opcja 2:

Stosujemy element o nazwie splitter, integrujący m.in. funkcję rozgałęziacza i mikrofiltru. Sygnał zbiorczy ADSL+POTS/ISDN (kolor zielony) jest rozdzielany na sygnał ADSL (kolor niebieski) i sygnał POTS/ISDN (kolor żółty). Odfiltrowany sygnał POTS można ewentualnie powielić na więcej urządzeń, stosując rozgałęziacz. Sytuacja taka ma miejsce na szkicu.

2004 BRINET Sp. z o. o.

Page 26

Podręcznik użytkownika routerów Vigor z serii 2500

Opcja 1:

Opcja 2:

2004 BRINET Sp. z o. o.

Page 27

Podręcznik użytkownika routerów Vigor z serii 2500

Uwagi odnośnie elementów okablowania

1. Warto zauważyć, że z punktu widzenia routera stosowanie konstrukcji rozgałęziacz+filtr czy splitter jest zbędne – dla poprawnej komunikacji ADSL wystarczy bezpośrednie podłączenie linii operatora do portu ADSL. Elementy te są jednak niezbędne, aby dodatkowo wyodrębnić i spożytkować usługę podstawową, a więc razem z dostępem do Internetu zachować możliwość telefonowania czy realizacji połączeń ISDN. Wynika to z faktu, iż operacje wykonywane w paśmie ADSL powodują emisję zakłóceń szumowych dla pasma zajmowanego przez POTS i ISDN, uniemożliwiając poprawną wymianę wiadomości sygnalizacyjnych i zestawianie połączeń.

2. Mikrofiltr czy splitter musi być odpowiedni dla danego dostępu, tzn. uwzględniać szerokość pasma dla POTS lub ISDN (inny filtr będzie obowiązywał dla Aneksu A, inny dla Aneksu B).

3. Filtr i rozgałęźnik oraz splitter nie wchodzą w skład standardowego wyposażenia routera. Jak bowiem wyjaśniono, nie są potrzebne do jego poprawnej pracy. Dlatego należy się w nie zaopatrzyć osobno, dokonując stosownego zakupu.

4. W przypadku opcji 1 jest rzeczą bardzo ważną, aby filtr był zainstalowany we właściwym miejscu względem rozgałęźnika (dokładnie jak na rysunku). Jego wpięcie w tor przed rozgałęźnikiem (patrząc od strony operatora) będzie błędem, gdyż spowoduje odfiltrowanie sygnału ADSL w obu gałęziach. Nie dotrze on zatem również do routera.

Po podłączeniu linii można rozpocząć konfigurację dostępu ADSL w routerze. Niezbędne będą parametry techniczne dostępu, które należy pozyskać od operatora. Szczegóły procesu konfiguracji można znaleźć w rozdziale Dostęp do Internetu (patrz także rozdział Przykłady praktyczne).

2004 BRINET Sp. z o. o.

Page 28

Podręcznik użytkownika routerów Vigor z serii 2500

Oprogramowanie Router Tools

Na płycie CD, pośród innych użytecznych aplikacji znajduje się pakiet oprogramowania narzędziowego o nazwie Router Tools. Niektóre jego elementy są opisane w innych rozdziałach, przy okazji omawiania różnych funkcji routera. W niniejszym rozdziale przedstawiony zostanie opis procesu instalacji pakietu oraz jego ogólna charakterystyka.

Instalacja rozpoczyna się od zlokalizowania katalogu o nazwie RTOOL, i uruchomieniu aplikacji instalatora (Setup), po czym pojawi się pytanie o kontynuację:

Klikamy Tak. W następujących kolejno czterech oknach wybieramy Next (patrz ilustracje dalej). W oknie drugim można wskazać własny folder docelowy dla plików, w oknie trzecim wskazać miejsce ulokowania dla grupy skrótów w ramach Menu Start, zaś w kolejnym – zdecydować o umieszczeniu dodatkowego skrótu na pulpicie i pasku zadań.

2004 BRINET Sp. z o. o.

Page 29

Podręcznik użytkownika routerów Vigor z serii 2500

2004 BRINET Sp. z o. o.

Page 30

Podręcznik użytkownika routerów Vigor z serii 2500

2004 BRINET Sp. z o. o.

Page 31

Podręcznik użytkownika routerów Vigor z serii 2500

W ostatnim oknie wybieramy Finish:

W Menu Start pojawia się poniższa grupa:

Visit DrayTek Web Site stanowi zachętę do odwiedzenia internetowego serwisu producenta: www.draytek.com.tw

. Aplikacja Firmware Upgrade Utility służy do

aktualizacji oprogramowania systemowego firmware. Jej użycie w charakterze klienta TFTP powoduje automatyczne uruchomienie serwera TFTP w routerze, a więc nie trzeba wydawać stosownej komendy telnet czy wchodzić w konfigurator http. Jest też opcja automatycznego wykrywania adresu IP routera. Użycie programu zostało opisane w rozdziale Zarządzanie→Aktualizacja oprogramowania. W innym miejscu można znaleźć opis programu SysLog, służącego do gromadzenia i analizy szczegółowych informacji diagnostycznych m.in. na odległość (patrz Zarządzanie→SysLog).

2004 BRINET Sp. z o. o.

Page 32

Podręcznik użytkownika routerów Vigor z serii 2500

Ostatnie narzędzie – program Quick Start Wizard, zostanie omówiony tutaj. Służy on bowiem do nawiązywania łączności z routerem i wykonywania podstawowych operacji konfiguracyjnych. Po uruchomieniu, aplikacja rozpoczyna proces automatycznego poszukiwania dostępnych routerów Vigor. Poszukiwania obejmują segment LAN, do którego należy komputer. Jeżeli router zostanie znaleziony, może się pojawić pytanie o hasło administratora, chroniące dostęp do ustawień:

Po jego podaniu uruchamia się okno z elementarnymi ustawieniami routera. Jeżeli router posiada ustawienia domyślne (co oznacza, że hasło nie jest zdefiniowane), zalogowanie nastąpi automatycznie:

po czym odczytane zostaną podstawowe ustawienia, których modyfikacja jest możliwa z użyciem programu:

Stan okna po odczytaniu ustawień pokazano na następnym rysunku.

2004 BRINET Sp. z o. o.

Page 33

Podręcznik użytkownika routerów Vigor z serii 2500

Program Quick Start Wizard oddaje bieżący stan wybranych parametrów oraz pozwala zmienić ich wartość bez wchodzenia w tryb szczegółowej konfiguracji. Są to następujące elementy (ich szczegółowy opis znajduje się w rozdziałach poświęconych konfiguracji):

Router IP Address – bieżący adres IP interfejsu LAN Subnet Mask – maska podsieci dla interfejsu LAN (w pewnych warunkach

router może zostać odnaleziony przez program nawet jeżeli używa maski innej niż interfejs komputera)

DHCP Server – serwer DHCP:

Enable – włączenie serwera Start IP – pierwszy adres z puli serwera IP Count – liczba adresów w puli Gateway – adres bramy dla komputerów DNS1/DNS2 – adresy serwerów DNS dla komputerów

DHCP Relay Agent/Relay to – ustawienia dla trybu agenta DHCP PPP Usage – ustawienia PPP dla połączenia z Internetem (PPPoE/PPPoA):

2004 BRINET Sp. z o. o.

Page 34

Podręcznik użytkownika routerów Vigor z serii 2500

ID: nazwa użytkownika Password: hasło Fixed IP/Subnet Mask/Gateway – adres IP, maska podsieci oraz adres bramy

dla interfejsu WAN (ADSL)

ADSL Setting – parametry dostępu ADSL (patrz rozdział Dostęp do Internetu) Set Router Password – pozwala zdefiniować nowe hasło administratora,

chroniące dostęp do ustawień:

Load Factory Default – przywrócenie ustawień domyślnych Web Configurator – pozwala przejść do trybu konfiguracji szczegółowej z

wykorzystaniem serwera http (uruchamia przeglądarkę internetową)

Exit – wyjście z programu Apply – kliknięcie tutaj po wprowadzeniu zmian spowoduje ich zastosowanie w

routerze

Narzędzie Quick Start Wizard będzie przydatne między innymi do szybkiego „odkrycia” routerów obecnych w sieci, zwłaszcza jeżeli ich adresy IP nie są znane. Po zalogowaniu można szybko zmienić niektóre ustawienia, np. TCP/IP, a w razie konieczności przejść do trybu konfiguracji szczegółowej routera (klikając opcję Web Configurator).

Zagadnienia konfiguracyjne w połączeniu z opisem konfigurowanych funkcji zostały przedstawione w kolejnych rozdziałach niniejszego opracowania. Dołączono ponadto rozdział ilustrujący praktyczne wykorzystanie możliwości routera.

2004 BRINET Sp. z o. o.

Page 35

Podręcznik użytkownika routerów Vigor z serii 2500

Wstęp do konfiguracji

Szczegółową konfigurację funkcji routera można przeprowadzić na dwa sposoby. Pierwszy polega na wykorzystaniu wbudowanego w router serwera http, osiągalnego pod adresem własnym routera. Serwer oferuje skrypt, w którym zdefiniowany jest wygodny w użyciu interfejs użytkownika (tzw. WUI – Web User Interface). Proces konfiguracji polega zatem na uruchomieniu dowolnej przeglądarki internetowej i podaniu adresu routera (patrz dalej).

Drugi sposób jest adresowany do bardziej zaawansowanych użytkowników, i wykorzystuje serwer telnet, również wbudowany w router. Metoda ta jest opisana w rozdziale Komendy telnet.

Oba serwery mogą być dostępne zarówno lokalnie (z wnętrza sieci LAN), jak i zdalnie – poprzez Internet. Można całkowicie uniemożliwić zdalną konfigurację, lub określić listę zaufanych adresów źródłowych, które są uprawnione do nawiązywania sesji (patrz rozdział Zarządzanie).

Dalej znajdują się informacje niezbędne do rozpoczęcia procesu konfiguracji metodą podstawową. Aby wejść do ustawień routera, należy uruchomić przeglądarkę internetową i w oknie adresu wpisać następujący adres URL:

http://adres_routera:numer_portu

przy czym:

adres_routera – adres IP interfejsu LAN lub WAN (ADSL) routera numer_portu – numer portu serwera (jeżeli domyślna wartość 80 nie została

zmieniona, parametr można pominąć)

Dla domyślnych ustawień routera (np. bezpośrednio po wyjęciu z opakowania), prawidłowy ciąg URL będzie miał składnię:

http://192.168.1.1:80

Po wpisaniu adresu URL i naciśnięciu Enter następuje połączenie z serwerem. Jeżeli to nie nastąpi (komunikat o braku możliwości załadowania strony), warto sprawdzić czy użyty adres routera odpowiada rzeczywistemu. Można np. wykonać komendę ping z argumentem w postaci adresu routera. Jeżeli adres routera nie jest znany, pomocne może być opisane w poprzednim rozdziale

(można kliknąć na ten link)

2004 BRINET Sp. z o. o.

Page 36

Podręcznik użytkownika routerów Vigor z serii 2500

narzędzie Quick Start Wizard, które pozwala odszukać router w segmencie sieci i oferuje możliwość przejścia do konfiguratora http bądź zmiany adresu IP.

Warto też pamiętać, że nie znając adresu routera i/lub hasła administratora można zrealizować powrót do ustawień domyślnych (przycisk reset). Mamy wówczas pewność, że adres ma postać 192.168.1.1 zaś hasło nie jest określone (puste). Jeżeli podano właściwy adres/port, pojawi się monit o hasło dostępu:

Domyślnie (użytkownik i hasło puste) wystarczy kiknąć OK, po czym nastąpi wczytanie głównej strony www konfiguratora WUI (następny rysunek).

Na rysunku zaprezentowano postać konfiguratora dla modelu Vigor 2500We. W przypadku modelu 2500 nieobecny będzie link dla ustawień WLAN – patrz rozdział poświęcony opisowi poszczególnych modeli i ich interfejsów. W przypadku starszej wersji oprogramowania firmware niedostępne będzie też menu VLAN/Sterowanie przepływem (w ramach Ustawień zaawansowanych).

Na stronie głównej u góry dostępne są następujące informacje:

Model: - model routera Vigor Wer. oprogr.: - aktualna wersja oprogramowania systemowego firmware Data/czas rewizji: - data/czas ostatniej aktualizacji oprogramowania Adres MAC: - adres fizyczny interfejsu LAN

2004 BRINET Sp. z o. o.

Page 37

Podręcznik użytkownika routerów Vigor z serii 2500

Aby przejść do wybranych ustawień, należy kliknąć odpowiednie łącze na stronie głównej. Dalsze rozdziały opisują kolejne obszary ustawień, zachowując nazwy łączy występujące na głównej stronie powyżej.

2004 BRINET Sp. z o. o.

Page 38

Podręcznik użytkownika routerów Vigor z serii 2500

USTAWIENIA PODSTAWOWE

W grupie menu określonej mianem Ustawień podstawowych istnieje możliwość zdefiniowania parametrów dostępu do konfiguracji routera, parametrów IP dla interfejsu LAN, ustawień serwerów DHCP oraz konfiguracji bezprzewodowej części sieci LAN (WLAN).

Hasło Administratora

Definiowanie hasła chroniącego konfigurację urządzenia przed zmianami, które mogłyby być wprowadzone przez nieuprawnione osoby. W pole Stare hasło należy wpisać aktualnie obowiązujące hasło, zaś nowe hasło w odpowiednie pola poniżej. OK służy zatwierdzeniu zmian:

Uwaga: Domyślnie hasło jest puste (brak jakichkolwiek znaków), i należy je koniecznie zdefiniować. Sytuacja taka występuje bezpośrednio po zakupie nowego routera bądź po przywróceniu ustawień fabrycznych, co można osiągnąć na kilka sposobów (patrz Zarządzanie→Ponowne uruchomienie i Aktualizacja oprogramowania). Stąd definiując hasło po raz pierwszy, pole Stare hasło należy pozostawić puste. Hasło administratora jest zawsze wspólne dla konfiguratora

2004 BRINET Sp. z o. o.

Page 39

Podręcznik użytkownika routerów Vigor z serii 2500

WUI oraz telnet, przy czym aby uzyskać dostęp do WUI należy dodatkowo podać nazwę użytkownika (niezmiennie jest to słowo admin). Hasło powinno się składać co najmniej z 8 znaków oraz zawierać małe i duże litery, cyfry i znaki specjalne (!@#^* itp). Tak zbudowane hasło utrudnia włamanie za pomocą klasycznych ataków słownikowych, gdyż radykalnie (wykładniczo) zwiększa liczbę kombinacji koniecznych do sprawdzenia. Należy więc unikać używania łatwego do zapamiętania słowa typu imię, nazwa itp. Zamiast easypass dużo bezpieczniejsze będzie E@sy_pAss?12. Hasło nie powinno też być nigdzie jawnie zapisywane. Od czasu do czasu warto dokonywać jego zmiany.

TCP/IP i DHCP

Ustawienia TCP/IP i DHCP dla sieci LAN. Fizycznie interfejs LAN jest dostępny w postaci 4 portów przełącznika 10/100 Base-T, a w modelach 2500We dodatkowo rozszerzony o koncentrator WLAN. Na poziomie protokołu IP interfejs jest wyposażony w dwa niezależne zbiory ustawień. Taka implementacja pozwala na funkcjonowanie w ramach sieci lokalnej hostów należących do dwóch różnych logicznych podsieci. Ma to na celu zwiększenie funkcjonalności urządzenia – zgodnie z dalszym opisem, każda z podsieci IP jest obsługiwana przez router Vigor w odmienny sposób.

1 IP: 192.168.1.1/24

2 IP: 84.12.43.73/29

192.168.1.13

84.12.43.76

Internet

192.168.1.10

84.12.43.74

NAT

dodatkowy switch

192.168.1.11

VLAN 1

84.12.43.75 192.168.1.12

2004 BRINET Sp. z o. o.

VLAN 2

Page 40

Podręcznik użytkownika routerów Vigor z serii 2500

Podsieć 1 umożliwia komunikację z wykorzystaniem prywatnych adresów IP

zdefiniowanych w RFC 1918, w połączeniu z mechanizmem NAT (ang. Network Address Translation). Kiedy pakiet opuszcza podsieć, proces NAT w polu jego

adresu źródłowego umieszcza specjalny adres, którym dysponuje router. Adres ten należy zwykle do grupy adresów publicznych, przydzielonych przez operatora. W skrajnym przypadku wiele hostów zaadresowanych prywatnie może komunikować się z maszynami w sieci publicznej, wykorzystując jeden adres IP uzyskany od ISP. Aby obsłużyć wiele niezależnych procesów komunikacji na raz, stosuje się odwzorowywanie portów źródłowych na tzw. pseudo-porty, wybierane przez router z określonego zakresu (patrz Ustawienia zaawansowane

→ NAT, Zarządzanie → Narzędzia diagnostyczne → NAT – aktywne sesje). W podsieci 1 można przyjąć koncepcję statycznego przydziału adresów dla hostów (konfiguracja ręczna), bądź zastosować mechanizm DHCP (ang. Dynamic Host Configuration Protocol). Można też połączyć oba rozwiązania, przydzielając wybranym maszynom (np. lokalnym serwerom) adresy stałe wybrane spoza puli używanej przez serwer DHCP (patrz dalej – konfiguracja DHCP).

Podsieć 2, zgodnie z intencją producenta, przeznaczona została do realizacji

klasycznego routingu IP. Dlatego wszelki ruch wychodzący z tej podsieci jest obsługiwany przy zachowaniu oryginalnych adresów źródłowych oraz numerów portów. Jeżeli więc zachodzi potrzeba przypisania wybranym maszynom (np. serwerom) publicznych adresów IP, dostarczonych przez operatora, można wykorzystać właśnie podsieć 2. Jeden z adresów trzeba przydzielić samemu routerowi jako adres bramy dla hostów. Może on też pełnić rolę adresu NAT dla komputerów z podsieci 1, łącząc je z siecią publiczną. Na rysunku dla przykładu założono posiadanie publicznej podsieci 84.12.43.72/255.255.255.248 (użyteczne adresy w tej podsieci to 84.12.43.73-78). Naturalnie w podsieci 2 można także stosować adresację prywatną. Jednak pamiętać trzeba o nieobecności mechanizmu translacji adresów, przez co bezpośrednia komunikacja z Internetem nie będzie możliwa, nawet jeżeli od strony interfejsu ADSL przydzielono adres publiczny. Można sobie jednak wyobrazić router Vigor, który pracuje jako jeden z wielu routerów w sieci Intranet, i pełni rolę bramy VPN do odległych sieci LAN. Wówczas za pomocą ustawień podsieci 2 możliwa jest integracja z innymi routerami poprzez zarówno routing statyczny, jak i dynamiczny. Podobnie jak w podsieci 1, i tu możliwa jest automatyczna konfiguracja hostów. Mechanizm DHCP dla drugiej podsieci konfiguruje się jednak nieco inaczej (patrz dalej).

Komputery można też grupować w osobne segmenty VLAN, co odbywa się niezależnie od podziału na podsieci IP (patrz opis VLAN/Sterowanie przepływem).

2004 BRINET Sp. z o. o.

Page 41

Podręcznik użytkownika routerów Vigor z serii 2500

Dla potrzeb NAT – ustawienia Podsieci 1 (korzystającej z mechanizmu NAT): Pierwszy adres IP – pierwszy adres IP interfejsu LAN (domyślnie jest to

192.168.1.1)

Maska podsieci – maska dla pierwszej podsieci (domyślnie 255.255.255.0)

Dla potrzeb trasowania – ustawienia Podsieci 2, przeznaczonej dla celów

klasycznego routingu (brak translacji adresów): Włącz – należy zaznaczyć aby włączyć obsługę podsieci 2 (obsługa podsieci 1 jest zawsze aktywna, zaś podsieć 2 jest traktowana jako opcjonalna). Wyłącz – w każdej chwili podsieć 2 może zostać wyłączona. Komputery posiadające adresy IP oraz maski należące do podsieci 2 będą się mogły komunikować wyłącznie pomiędzy sobą – w ramach segmentu LAN, lecz z pominięciem routera. Routing do innych sieci będzie nieaktywny. Dotyczy to także podsieci 1, nawet jeżeli komputery są podłączone do wspólnego koncentratora. Drugi adres IP - drugi adres IP interfejsu LAN (domyślnie 192.168.2.1). Jeżeli będzie to adres publiczny (jak na rysunku), można go wykorzystać w mechanizmie NAT obsługującym podsieć 1. Maska podsieci – maska dla drugiej podsieci (domyślnie 255.255.255.0)

2004 BRINET Sp. z o. o.

Page 42

Podręcznik użytkownika routerów Vigor z serii 2500

RIP – włączanie/wyłączanie popularnego protokołu routingu dynamicznego RIP

(ang. Routing Information Protocol) w wersji 2 dla jednej z podsieci – RIPv2 jest kompatybilny również ze starszą, pierwszą wersją RIP.

Wyłącz – protokół RIP nieaktywny, co oznacza routing statyczny w obu podsieciach IP (patrz rozdział Ustawienia Zaawansowane

→

Trasy Statyczne)

Pierwsza podsieć – router w stałych odstępach czasu wysyła informacje o znanych mu podsieciach do innych routerów należących do podsieci 1 (broadcast RIP w podsieci 1). Druga podsieć – pakiety RIP będą wysyłane do routerów należących do podsieci 2

. Podsieć 1 nie bierze wówczas udziału w routingu dynamicznym (pakiety RIP

nie są w niej rozgłaszane).

Domyślnie protokół RIP jest wyłączony, a decyzja o jego użyciu powinna być świadoma i konkretnie umotywowana. Korzyści wynikające z zastosowania RIP ujawniają się w większych, złożonych sieciach, gdzie istnieje np. podział na wiele sieci LAN i do ich łączenia stosuje się wiele routerów. Aby router Vigor mógł sprawnie funkcjonować także w takich sieciach, zaimplementowano w nim obsługę RIP. Jednak nieuzasadnione włączenie RIP powoduje niepotrzebne obciążanie zasobów sprzętowych routera (dodatkowe obliczenia), jak i zmniejszenie efektywnego pasma w sieci lokalnej (rozgłaszanie dodatkowych pakietów), co przy dużym ruchu może się okazać nie bez znaczenia. Należy także rozważyć względy bezpieczeństwa – jeżeli nie jest to konieczne, informacje o danej podsieci nie powinny być propagowane w innych sieciach, nawet wewnątrz Intranetu. W typowych zastosowaniach domowych - jak współdzielenie dostępu do Internetu - zaleca się pozostawienie sugerowanych ustawień domyślnych (RIP wyłączony). Warto tutaj dodać, że protokół RIP można wykorzystać także podczas łączenia sieci w technologii VPN. Jednak metoda routingu dla połączeń VPN (statyczny lub RIP) jest określana w ramach oddzielnych ustawień (zobacz

Ustawienia zaawansowane

→

Zdalny dostęp VPN→Profile LAN-to-LAN).

Konfiguracja serwerów DHCP

Włącz serwer – uaktywnienie mechanizmu DHCP dla podsieci 1 Początkowy adres IP – pierwszy z puli adresów, które mają być przydzielane w

odpowiedzi na żądania DHCP wysyłane przez urządzenia (domyślnie

192.168.1.10). Adres ten musi należeć do podsieci 1, zgodnie z wybraną maską podsieci. Pula adresów – liczba kolejnych adresów IP w puli, łącznie z adresem początkowym (domyślnie 50).

2004 BRINET Sp. z o. o.

Page 43

Podręcznik użytkownika routerów Vigor z serii 2500

Adres bramy (gateway) – adres routera, który będzie wspólną bramą domyślną

dla konfigurowanych hostów. Zwykle będzie to pierwszy adres IP interfejsu LAN, gdyż Vigor stanie się wtedy dla hostów bramą do Internetu (NAT). Jednak nie jest konieczne, aby był to adres routera Vigor – np. część hostów można skonfigurować statycznie, zaś tym dołączanym dynamicznie można wskazywać inną bramę (drugi router) dla rozdzielenia obciążenia. Co więcej, ponieważ Vigor 2500 realizuje mechanizm proxy ARP, bramą dla hostów może być nawet router należący do innej podsieci. Ważne jest tylko, aby zapewnić routerowi Vigor osiągalność bramy (np. przez trwały wpis w tablicy routingu – zobacz rozdział

Ustawienia Zaawansowane

→

Trasy Statyczne).

Wyłącz serwer – wyłączenie serwera DHCP. Należy wówczas samodzielnie skonfigurować parametry IP na każdym komputerze w ramach podsieci 1 i 2. Nieaktywny będzie bowiem również serwer dla podsieci 2. Relay Agent – po zaznaczeniu tej opcji router Vigor nie będzie serwerem, ale agentem przekazującym żądania i odpowiedzi protokołu DHCP pomiędzy hostami i serwerami, które nie należą do tej samej podsieci. Na przykład maszyny w podsieci 1 mogą być dzięki temu konfigurowane przez odległy serwer. Router odegra rolę proxy DHCP, przekazując żądanie do właściwego serwera, i udzielając w jego imieniu odpowiedzi. Vigor może więc pracować w złożonej sieci, obsługiwanej przez jeden centralny serwer DHCP, który ułatwia administratorowi zarządzanie przydziałem adresów w poszczególnych podsieciach. Adres serwera DHCP dla Relay Agent – adres właściwego serwera DHCP dla opcji agenta. Jeżeli Vigor ma pracować jako agent DHCP, musi „znać” adres rzeczywistego serwera, do którego będzie się odwoływał i w którego imieniu będzie występował wobec lokalnych hostów. Zwykle adres ten będzie należał do innej podsieci – w innym wypadku wybór opcji agenta nie ma sensu praktycznego.

Serwer DHCP dla podsieci 2 – konfiguracja serwera DHCP dla podsieci 2 (otwiera się okno pokazane na następnym rysunku). Część kolejnych adresów IP w ramach podsieci 2 może być zarezerwowana i wykorzystana do dynamicznej konfiguracji hostów. Wystarczy podać adres początkowy oraz określić ile kolejnych adresów serwer DHCP ma do dyspozycji, wskazując jednocześnie urządzenia, które mają otrzymywać dane od serwera: Początkowy adres IP – początkowy adres IP dla puli adresów przydzielanych dynamicznie. Oczywiście musi to być adres należący do podsieci 2 (według zastosowanej dla tej podsieci maski) Pula adresów – liczba kolejnych adresów, którymi będzie dysponował serwer (maksymalnie 10, włączając adres początkowy).

2004 BRINET Sp. z o. o.

Page 44

Podręcznik użytkownika routerów Vigor z serii 2500

Nr – numer kolejnego wpisu Adres MAC – adres fizyczny interfejsu sieciowego (karty sieciowej) urzadzenia,

które ma być konfigurowane przez serwer DHCP w ramach drugiej podsieci. Jeżeli komputer został ustawiony w tryb klienta DHCP, a jego adres MAC nie znajduje się na liście, będzie on zawsze konfigurowany przez serwer DHCP dla pierwszej podsieci. Przydzielony adres IP – w tej pozycji router pokazuje adres IP, który został aktualnie przydzielony do urządzenia o określonym adresie MAC Pole poniżej służy do wprowadzania zmian na liście:

Adres MAC – tutaj podaje się adres MAC który ma się znaleźć na liście Dodaj – umieszczenie nowego wpisu na liście Usuń – usunięcie wybranego wpisu Edytuj – zmiana (edycja) wybranego wpisu Anuluj – anulowanie dokonanych zmian Zamknij – zamknięcie okna konfiguracji serwera DHCP Wyczyść wszystko – usunięcie wszystkich wpisów z listy

2004 BRINET Sp. z o. o.

Page 45

Podręcznik użytkownika routerów Vigor z serii 2500

Warunkiem działania serwera dla podsieci 2 jest włączenie serwera dla podsieci 1. Można zatem uaktywnić oba serwery lub tylko pierwszy.

Zalety dynamicznej konfiguracji parametrów IP są oczywiste, zarówno dla użytkownika sieci jak i administratora. Po pierwsze, użytkownik często przenoszący swój komputer (np. klasy notebook) i podłączający się do różnych sieci może za każdym razem ograniczyć swoje działania do podłączenia kabla sieciowego lub włączenia interfejsu dla sieci bezprzewodowej. Ustawienia IP konieczne do pracy w danej sieci zostaną automatycznie przydzielone przez serwer, i komputer stanie się jej członkiem. Po drugie, podsieć 2 została przeznaczona szczególnie do używania adresów publicznych (patrz wcześniejszy opis). Te zaś, jak wiadomo, stały się zasobem bardzo cennym i drogim, stąd należy je wykorzystywać jak najefektywniej. Nietrudno wskazać sytuację, w której grupa komputerów wymaga adresów publicznych (np. stanowiska wideokonferencyjne i multimedialne, wybrane stanowiska w pracowniach szkolnych). Jeżeli wszystkie maszyny nie muszą pracować jednocześnie, dynamiczne gospodarowanie małą liczbą adresów pozwoli obsłużyć wiele stanowisk. Przydzielanie adresów statycznych byłoby tutaj niekorzystne, przynajmniej z punktu widzenia efektywności ich wykorzystania.

Należy pamiętać, że w ogólności dynamiczna konfiguracja nie gwarantuje przydzielenia komputerowi za każdym razem tego samego adresu IP, gdyż np. może on być aktualnie zajęty. Nie jest to poważny problem, kiedy z DHCP współpracuje dodatkowo serwer nazw – komputer może, pomimo zmiany IP, pozostać dostępny dla innych maszyn pod stałą nazwą, co dla wielu aplikacji jest wystarczające. Aby jednak zapobiec ewentualnym niekorzystnym skutkom wymiany adresów, serwery DHCP dla podsieci 1 i 2 wyposażono w zdolność rezerwowania adresów IP dla wybranych hostów na podstawie ich adresów sprzętowych MAC. Możliwe jest stworzenie do 10 trwałych powiązań typu adres IP-adres MAC. Wykonuje się to wyłącznie z poziomu sesji terminalowej telnet za pomocą komendy srv dhcp fixip add ‹IP Address› ‹MAC Address› ‹HostID› – patrz rozdział Komendy telnet. Zdefiniowanie konkretnego powiązania spowoduje, że za każdym razem host wyposażony w interfejs sieciowy o danym adresie MAC otrzyma podany adres IP. Jeżeli jednak karta sieciowa zostanie zainstalowana w innym urządzeniu, wówczas to ono będzie otrzymywać podany adres. Poza tym im więcej adresów IP zostanie na stałe zarezerwowane dla konkretnych urządzeń, tym mniej efektywnie mogą być one wykorzystywane jako grupa adresów współdzielonych, zwłaszcza gdy urządzenia te nie pracują w trybie ciągłym (jak serwer) lecz są używane sporadycznie (stanowisko komputerowe z adresem publicznym). Użycie w podsieci 2 adresów prywatnych (np. domyślnego 192.168.2.0/24 oferującego 253 użyteczne adresy) pozwala

2004 BRINET Sp. z o. o.

Page 46

Podręcznik użytkownika routerów Vigor z serii 2500

oczywiście zaniedbać powyższe uwagi odnośnie efektywności gospodarowania przydziałem. Wyklucza to jednak bezpośrednią komunikację z siecią publiczną, do jakiej podsieć 2 została głównie przeznaczona.

Za pomocą wspomnianej komendy dla konkretnego adresu MAC można zarezerwować adres IP z podsieci 1 lub z podsieci 2 (np. publiczny). W drugim przypadku skojarzenie zadziała tylko wówczas jeżeli dany adres MAC i IP nie występują na liście serwera DHCP (patrz wcześniej). Najlepiej zadbać o to przed użyciem komendy, usuwając adres z listy.

Również konfiguracja mechanizmu DNS w routerze Vigor jest częścią ustawień DHCP, ponieważ adresy serwerów DNS są przyznawane w ramach procesu automatycznej konfiguracji hostów. System nazw domen (ang. Domain Name System) rozwinięto w celu wprowadzenia łatwych do zapamiętania nazw, np.

www.brinet.com.pl

, zamiast złożonych i trudnych do rozróżnienia adresów IP. Ponieważ maszyny w globalnej komunikacji wykorzystują adresy protokołu IP, komputer musi dokonać zamiany wprowadzonej przez użytkownika nazwy na rzeczywisty adres odległej maszyny. Serwery DNS tworzą hierarchię, która w odpowiedzi na przesłaną nazwę odsyła odpowiedni adres IP. Aplikacja (np. przeglądarka www) wysyła na adres znanego sobie serwera DNS nazwę

www.brinet.com.pl

serwisu www.brinet.com.pl

wpisaną przez użytkownika. W odpowiedzi poznaje adres IP

i nawiązuje sesję wymiany danych z serwerem.

Adresy serwerów DNS: Podstawowy – adres IP podstawowego serwera DNS Dodatkowy – adres IP dodatkowego serwera DNS

Otrzymując od routera Vigor powyższe dwa adresy, hosty będą kierować żądania DNS bezpośrednio z sieci lokalnej do serwera podstawowego. Jeżeli nie otrzymają odpowiedzi, np. z powodu awarii lub przeciążenia serwera, wykorzystają adres serwera dodatkowego.

Tryb Proxy DNS

Jeżeli oba pola pozostaną puste, router przydzieli hostom własny adres IP jako adres serwera DNS i będzie działał jako serwer proxy DNS. Żądania hostów będą przekazywane do serwerów udostępnionych przez operatora (ISP). Jednocześnie w pamięci podręcznej (ang. cache) będą zapamiętywane poznane nazwy i odpowiednie adresy IP. Jeżeli nastąpi ponowna prośba o adres dla danej nazwy, router odpowie natychmiast, bez odwoływania się do odległych serwerów DNS. Pamięć podręczna zwiększa efektywność mechanizmu DNS dla lokalnych hostów, skracając średni czas odpowiedzi.

2004 BRINET Sp. z o. o.

Page 47

Podręcznik użytkownika routerów Vigor z serii 2500

Wymuś ręczną konfigurację DNS – serwer DHCP nie przydzieli hostom

adresów serwer DNS (należy je wówczas wpisać ręcznie w każdym komputerze)

Bezprzewodowy LAN (WLAN)

Konfiguracja interfejsu bezprzewodowego w modelu 2500We.

Nie dotyczy modelu 2500, który nie posiadają interfejsu WLAN – patrz rozdział poświęcony ogólnemu opisowi poszczególnych modeli.

Modele oznaczone literą „We” dysponują trwale zintegrowanym koncentratorem radiowym, pracującym zgodnie ze standardem IEEE 802.11b. Jest to coraz popularniejszy i ciągle udoskonalany zbiór protokołów, definiujących pracę bezprzewodowej sieci LAN w paśmie 2.4 GHz (Europa). Komputer wyposażony w bezprzewodową kartę sieciową kompatybilną z 802.11b może stać się takim samym członkiem sieci jak maszyny podłączone kablami do portów switcha (patrz rysunek na początku rozdziału dla ustawień TCP/IP i DHCP). Takie rozwiązanie jest szczególnie zalecane użytkownikom komputerów przenośnych, które należy zaopatrzyć w dostępne na rynku bezprzewodowe karty PCMCIA. Będzie to oznaczać możliwość przenoszenia notebooka przy zachowaniu połączenia z Internetem i innymi lokalnymi hostami. W komputerach PC można instalować karty sieciowe 802.11 w wersji PCI, bądź posłużyć się adapterami PCI/PCMCIA (tzw. „przejściówka”).

Okno Sieć WLAN zawiera bieżące, podstawowe informacje:

Adres MAC – adres fizyczny interfejsu radiowego. Standard 802.11 stosuje nieco inny algorytm przydziału zasobów niż Ethernet (dostosowany do charakteru medium). Jednak format ramki na poziomie MAC/LLC i adresowanie są kompatybilne. Komputery są rozróżniane przez router na podstawie adresów MAC i IP, niezależnie od sposobu ich fizycznej obecności w sieci LAN (porty switcha czy łącze radiowe). Region – wykorzystywane w danym regionie pasmo częstotliwości. Ponieważ dla standardu 802.11b w poszczególnych regionach świata zarezerwowano różne pasma radiowe, istotne jest aby router obsługiwał wymagane pasmo (w Polsce obowiązuje pasmo określone dla Europy).

2004 BRINET Sp. z o. o.

Page 48

Podręcznik użytkownika routerów Vigor z serii 2500

Ustawienia ogólne – otwiera się okno pokazane na rysunku następnym, które

oferuje dostęp do podstawowych ustawień sieci bezprzewodowej.

Aby włączyć koncentrator radiowy, należy zaznaczyć Włącz punkt dostępu WLAN. W polu Harmonogram (1-15) można określić złożony profil czasowy dla aktywności koncentratora, wybierając maksymalnie 4 spośród 15 reguł zdefiniowanych w menu Harmonogram połączeń (tworzenie reguł czasowych opisano w rozdziale Ustawienia zaawansowane → Harmonogram połączeń). Pamiętać trzeba, że dana reguła czasowa (np. wyłączanie dostępu radiowego w określonych godzinach) będzie oddziaływać tak samo na wszystkich użytkowników WLAN.

Pamiętać trzeba, że dana reguła czasowa (np. wyłączanie dostępu radiowego w określonych godzinach) będzie oddziaływać tak samo na wszystkich użytkowników WLAN.

Włącz 802.1X – uruchomienie mechanizmu uwierzytelniania stacji według standardu IEEE 802.1X. Jest to rodzaj uwierzytelniania użytkowników wobec urządzeń sieciowych na poziomie warstwy łącza danych. Podobnie jak dzięki uwierzytelnianiu użytkowników typu dial-up za pomocą serwerów RADIUS, i tutaj uzyskano scentralizowane, niezależne od stosowanej technologii sieciowej zarządzanie prawami dostępu i przydziałem zasobów dla poszczególnych stacji.

2004 BRINET Sp. z o. o.

Page 49

Podręcznik użytkownika routerów Vigor z serii 2500

Zarządzanie użytkownikami zgodne z IEEE 802.11X wymaga uruchomienia serwera RADIUS, który będzie pełnił rolę jednostki zarządzającej kontami i przeprowadzającej proces autoryzacji stacji na podstawie stworzonych dla nich kont. Dzięki takiemu podejściu, mechanizmy kontroli dostępu mogą ewoluować niezależnie od technologii w jakiej realizowany jest sam dostęp - można np. modyfikować usługę świadczoną przez serwer RADIUS bez ingerencji w oprogramowanie sterowników kart sieciowych.

SSID – oznacza ciąg znaków (bitów), który w środowisku bezprzewodowym będzie identyfikował punkt dostępu (koncentrator radiowy) i właściwe dla niego

2004 BRINET Sp. z o. o.

Page 50

Podręcznik użytkownika routerów Vigor z serii 2500

ustawienia. SSID (ang. Service Set ID) jest np. związany z wykorzystywanym kanałem radiowym. Może to być informacja istotna szczególnie w środowisku gdzie pracuje kilka punktów dostępu. Parametr ten zapewnia również kontrolę dostępu – aby nawiązać komunikację, w oprogramowaniu karty sieciowej należy wpisać poprawną wartość SSID (domyślnie będzie to słowo default).

Kanał – w ramach obsługiwanego przez router pasma użytkownik może wybrać kanał radiowy, który ma być wykorzystywany przez router. Jest to ważne zwłaszcza gdy konieczne jest planowanie pokrycia radiowego dla złożonej infrastruktury bezprzewodowej.

Ukryj SSID – możliwość ukrycia parametru SSID, który normalnie jest obecny i przesyłany w formie jawnej. Potrzeba ukrycia SSID, np. po poprawnym skonfigurowaniu sieci bezprzewodowej, może być podyktowana względami bezpieczeństwa.

Ustawienia WEP – ustawienia parametrów szyfrowania dla komunikacji bezprzewodowej. Aby utrudnić podsłuchiwanie transmisji radiowej osobom niepowołanym, można użyć zaimplementowano w routerze protokołu WEP (ang. Wired Equivalent Privacy). Otwiera się okno pokazane na kolejnym rysunku.

W polu Szyfrowanie WEP można wybrać:

Wyłącz – szyfrowanie wyłączone WEP 128 bitów – każda ramka przesyłana w kanale radiowym będzie

szyfrowana za pomocą algorytmu RC-4 z użyciem 104 bitowego tajnego klucza (w komputerze należy wpisać klucz identyczny z tym, jakiego używa router). WEP 64 bity – jak wyżej, z tym, że długość klucza wynosi 40 bitów (mniejsze obciążenie jednostki obliczeniowej routera w warunkach intensywnej wymiany danych przez wiele maszyn jednocześnie, za cenę zmniejszonego bezpieczeństwa). Poziom bezpieczeństwa wystarczający dla typowych zastosowań domowych.

Pola Klucz 1 – Klucz 4 pozwalają na zapamiętanie czterech różnych kluczy, przy czym tylko jeden z nich może być aktywny (wykorzystywany do szyfrowania danych).

2004 BRINET Sp. z o. o.

Page 51

Podręcznik użytkownika routerów Vigor z serii 2500

Klucze należy podawać zgodnie z następującym formatem:

 dla szyfrowania WEP 128 bit klucz ma format 13 znaków ASCII (np.

ABCDEFGHIJKLM) albo 26 cyfr heksadecymalnych poprzedzonych 0x (np. 0x0123456789ABCDE01234567890)

 dla szyfrowania WEP 64 bit podaje się 5 znaków ASCII (np. ABCDE) lub 10

cyfr szesnastkowych poprzedzonych 0x (np. 0x0123ABCD01)

Uwaga: WEP wykorzystuje algorytm szyfrowania RC-4 opracowany dla kluczy o rozmiarze 128 i 64 bity (stąd te wartości w nazwie metody). Jednak z przyczyn technicznych rzeczywista długość kluczy została w WEP skrócona o 24 bity, dlatego podaje się odpowiednio 13 i 5 ośmiobitowych znaków ASCII.

2004 BRINET Sp. z o. o.

Page 52

Podręcznik użytkownika routerów Vigor z serii 2500

Ważną opcją koncentratora radiowego jest możliwość filtrowania ruchu na podstawie adresów MAC. Pozwala to na selektywny wybór adresów sprzętowych, identyfikujących maszyny, które mają być obsługiwane. Dostęp dla wszystkich innych komputerów będzie zabroniony.

Ograniczenia dostępu – ustawienia kontroli dostępu na podstawie adresów sprzętowych (rysunek):

Włącz ograniczenia dostępu – zaznaczenie tego pola spowoduje włączenie kontroli dostępu. Obsługiwane będą wyłącznie hosty reprezentowane przez adresy fizyczne umieszczone na liście.

2004 BRINET Sp. z o. o.

Page 53

Podręcznik użytkownika routerów Vigor z serii 2500

Nr – numer porządkowy identyfikujący pozycję na liście. Musi używać VPN – oznacza że dana stacja może uzyskać dostęp wyłącznie w

charakterze klienta VPN (do serwera VPN over WLAN, który musi być obecny w sieci). Adres MAC – umieszczony na liście adres sprzętowy interfejsu sieciowego. Aby umieścić nowy adres MAC na liście dostępu, należy go wpisać w podzielone na 6 fragmentów pole Adres MAC (po dwa znaki szesnastkowe naraz, np. 00:06:ab:00:d7:90). W następnym kroku klikamy Dodaj, zaznaczając dodatkowo czy wymagany jest dostęp poprzez VPN.

Dodaj – dodanie kolejnego adresu MAC Usuń – usunięcie z listy zaznaczonego wpisu Edytuj – edytowanie zaznaczonego wpisu Anuluj – anulowanie edycji Wyczyść wszystko – usunięcie wszystkich wpisów OK – zatwierdzenie zmian Adres serwera VPN dla WLAN – adres IP maszyny, która realizuje na żądania

klientów połączenia VPN poprzez WLAN (ustanawianie połączeń, enkapsulacja, szyfrowanie, uwierzytelnianie). VPN znacznie podnosi poziom bezpieczeństwa komunikacji w łączu radiowym.

Kontrola dostępu odnosi się wyłącznie do adresów MAC urządzeń bezprzewodowych. Należy też pamiętać, że samo włączenie kontroli dostępu bez podania adresów MAC (pusta lista) spowoduje zamknięcie dostępu wszystkim komputerom. Jeżeli zachodzi potrzeba odcięcia całej komunikacji bezprzewodowej, lepszym rozwiązaniem jest wyłączenie koncentratora radiowego. Pozwala to zminimalizować liczbę zbędnych operacji wykonywanych przez router (odbiór i przetwarzanie ramek).

Router Vigor jako pojedynczy punkt dostępu zapewnia pokrycie sygnałem radiowym obszaru w promieniu do kilkuset metrów (50-200m). Ten maksymalny zasięg wymaga jednak zachowania bezpośredniej widoczności radiowej, co uzyskuje się tylko w terenie otwartym lub w dużej hali. W środowisku biurowo – mieszkalnym urządzenie potrafi obsłużyć maszyny oddalone na odległość do kilkudziesięciu metrów, co w przybliżeniu oznacza pojedyncze piętro budynku.

Niestety, nie jest możliwe podanie liczb jednoznacznie definiujących zasięg wewnątrz budynków, gdyż skuteczność pokonywania przeszkód przez fale elektromagnetyczne w paśmie kilku GHz zależy od czynników lokalnych. Istotna jest konstrukcja ścian i innych przeszkód oraz ich rozmieszczenie. Niekiedy niewielkie przemieszczenie anteny routera względem określonych przedmiotów może wpłynąć na zasięg w innych pomieszczeniach ze względu na zjawisko

2004 BRINET Sp. z o. o.

Page 54

Podręcznik użytkownika routerów Vigor z serii 2500

interferencji połączonej z tzw. wielodrogowością. Nie bez znaczenia będzie też pojawienie się zakłóceń emitowanych przez inne urządzenia (np. niskiej jakości kuchenka mikrofalowa, pracująca zwykle w podobnym paśmie). Wraz z pogorszeniem się warunków propagacyjnych połączenie radiowe zostaje zachowane, jednak jego prędkość może zmaleć. Jeżeli użytkownik oddali się na znaczną odległość, może nadal zachować łączność, ale np. na poziomie 1Mbit/s. Należy zauważyć, że jest to zupełnie wystarczające do swobodnej komunikacji z Internetem, zatem niekoniecznie musi być uciążliwe. Maksymalna prędkość transmisji na łączu komputer – koncentrator radiowy wynosi 11 Mbit/s. Wartość ta maleje również gdy przybywa użytkowników korzystających z tego samego kanału radiowego. Teoretycznie standard 802.11b może obsłużyć bardzo wielu użytkowników, jednak w praktyce ich liczba nie powinna przekraczać kilkudziesięciu na jeden koncentrator.

W sytuacji kiedy obszar lub liczba użytkowników przekracza możliwości jednego koncentratora radiowego, można zbudować sieć złożoną z kilku punktów dostępowych:

Internet

100 Base-T

Kanał: 3 SSID: north

Kanał: 1 SSID: wes

Kanał: 5 SSID: eas

2004 BRINET Sp. z o. o.

Page 55

Podręcznik użytkownika routerów Vigor z serii 2500

W takiej sieci router Vigor, ze względu na bogactwo funkcji może pełnić rolę bezpiecznej bramy do Internetu (NAT+Firewall), oraz serwera DHCP dla lokalnej sieci czy bramy VPN do sieci odległych. Będzie też pierwszym, podstawowym punktem dostępu radiowego. Natomiast dalsze poszerzanie zasięgu radiowego można zrealizować zakupując „czyste” koncentratory radiowe WLAN 802.11b/b+. Powinny one posiadać interfejs Ethernet 100 Mbit/s, lecz niekoniecznie funkcje routera (aby uniknąć zbędnych kosztów). Łącząc je kablami z istniejącą siecią LAN i odpowiednio rozmieszczając, można stworzyć rozbudowaną sieć radiową – np. obejmującą wiele pięter czy rozległe zespoły halowe. Istotnego znaczenia nabierze wtedy odpowiednia lokalizacja urządzeń, wybór kanałów radiowych oraz przede wszystkim skonfigurowanie zasad zabezpieczeń.

Zasadniczą zaletą sieci radiowej jest komfort jej użytkowników. W budynkach nie posiadających struktury okablowania sieciowego czy też zbyt cennych zabytkowo, budowa takiej sieci może przynieść także korzyści ekonomiczne.

Innym zastosowaniem może być zachęcanie klientów do korzystania z oferowanych usług przez zorganizowanie dostępu do Internetu na terenach takich jak stacje benzynowe, pomieszczenia bankowe czy inne miejsca odwiedzane przez klientów biznesowych (tzw. hot spots). Dla osoby posiadającej osobisty komputer przenośny możliwość skorzystania z Internetu będzie stanowić pozytywne zaskoczenie i wpłynie na ocenę jakości obsługi. Potencjalne zyski mogą zrekompensować koszty budowy sieci.

2004 BRINET Sp. z o. o.

Page 56

Podręcznik użytkownika routerów Vigor z serii 2500

DOSTĘP DO INTERNETU

Podstawowym zadaniem routera jest realizacja wymiany informacji pomiędzy sieciami (czyli tzw. routing). Routery pozwalają nadać sieci lokalnej złożoną strukturę, łącząc w całość wiele jej segmentów i odpowiednio kierując wymianą pakietów pomiędzy segmentami. Podział dużej sieci LAN na segmenty i podsieci prowadzi do ograniczenia skali niepotrzebnych transmisji rozgłoszeniowych, a w konsekwencji do zwiększenia dostępnego pasma. Do tego dochodzi możliwość filtrowania ruchu i cały wachlarz innych funkcji i udogodnień, oferowanych przez routery.

Szczególną grupą routerów są tzw. routery dostępowe. Zadaniem routera dostępowego jest połączenie sieci lokalnej z rozległą siecią publiczną, taką jak Internet, i umożliwienie bezpiecznego korzystania z jej zasobów. Vigor 2500 jest szerokopasmowym routerem dostępowym ADSL, dlatego konfiguracja menu Dostęp do Internetu stanowi istotny krok w procesie przygotowywania urządzenia do pracy. Dopiero w dalszej kolejności możliwe będzie wykorzystanie wielu innych funkcji.

Ponieważ routery z serii 2500 realizują procesy właściwe warstwie fizycznej (zintegrowany modem ADSL), konieczny będzie przede wszystkim wybór rodzaju modulacji. Inne istotne parametry to protokół i właściwa metoda enkapsulacji. Wszelkich niezbędnych informacji należy tutaj oczekiwać od dostawcy usługi ADSL (dostarczona dokumentacja, infolinia).

2004 BRINET Sp. z o. o.

Page 57

Podręcznik użytkownika routerów Vigor z serii 2500

Łącza ADSL oferują znaczne prędkości transmisji w kierunku „do użytkownika” (sięgające 8 Mbit/s), stąd ich potencjalne zastosowanie nie sprowadza się tylko do obsługi dostępu do Internetu (protokół IP). Aby jednak operator mógł w dostępnym paśmie oferować wiele niezależnych usług (np. dodatkowy przesył obrazu i dźwięku), konieczne jest wybranie uniwersalnej metody transmisji. Takie uniwersalne cechy posiada protokół ATM (ang. Asynchronous Transfer Mode), który pozwala w ramach wspólnego medium określić wiele tzw. kanałów wirtualnych. Każdy kanał jest niezależnym połączeniem logicznym, zdolnym do transmisji danych według uzgodnionych parametrów QoS (ang. Quality Of Service). Poza tym, ponieważ ATM jest wykorzystywany w istniejących sieciach szkieletowych, jego implementacja w łączach dostępowych prowadzi do powstania jednolitej, elastycznej platformy usługowej.

Jeżeli w łączu ADSL realizowany jest wyłącznie dostęp do Internetu, na poziomie ATM zestawia się pojedyncze, stałe połączenie wirtualne (PVC) pomiędzy urządzeniem końcowym użytkownika a modułem dostępowym operatora. Ponieważ jest to zwykle połączenie punkt-punkt, można w nim dodatkowo zastosować protokół PPP. Taki tryb dostępu funkcjonuje pod nazwą PPPoA (PPP over ATM). W niektórych rozwiązaniach do realizacji połączeń dwupunktowych zamiast PPPoA stosuje się metodę PPPoE. Podstawową jednostką dla przenoszenia sesji PPP jest wówczas ramka Ethernet/IEEE 802.3, transportowana w kanale PVC.

Wreszcie istnieje złożony standard, definiujący uniwersalne sposoby przenoszenia różnych typów danych (a więc i pakietów IP) w kanale ATM. MPoA (ang. Multi-Protocol over ATM) przewiduje między innymi przenoszenie jednostek wielu protokołów we wspólnym kanale wirtualnym (enkapsulacja LLC), bądź ulokowanie poszczególnych protokołów w oddzielnych kanałach (enkapsulacja VC-MUX). Odpowiednia enkapsulacja pozwala też wykorzystać kanał ATM w charakterze pomostu realizowanego pomiędzy mediami (tzw. bridge mode), bądź bezpośrednio do przenoszenia „czystych” pakietów IP (routed mode).

Zarówno standard MPoA, jak i wymienione wcześniej PPPoE/PPPoA są obsługiwane przez router Vigor. Zasadniczą czynnością będzie wybór właściwego trybu, a następnie jego odpowiednie skonfigurowanie. Ze względu na znaczną objętość oraz stopień złożoności zagadnień takich jak enkapsulacja czy modulacja, ich dokładne omówienie nie jest tutaj możliwe. Nie jest też celowe, ponieważ wartości tych parametrów można uzyskać od operatora i zastosować nie dysponując szczegółową wiedzą na ich temat. Bardzo pomocna może też być opcja automatycznej detekcji parametrów ADSL (patrz opis dalej).

2004 BRINET Sp. z o. o.

Page 58

Podręcznik użytkownika routerów Vigor z serii 2500

Użytkownikom zainteresowanym szczegółami transmisji wypada polecić dokumenty RFC dostępne pod adresem http://www.rfc-editor.org

(RFC 1661 –

PPP, RFC 2516 – PPPoE, RFC 2364 – PPPoA, RFC 1483 i 2684 – MPoA). Niezależnie od dokumentów RFC, miarodajnym źródłem wiedzy na temat obowiązujących standardów są dokumenty publikowane w ramach ATM Forum i ADSL Forum.

Uwaga

Dostęp do konfiguracji danego trybu (PPPoE/PPPoA czy MPoA) może wymagać określenia minimum jednego kanału PVC, zgodnego z tym trybem (menu Multi- PVC). Jeżeli odpowiedni kanał nie został zdefiniowany, pojawi się komunikat:

Należy wówczas potwierdzić komunikat (OK) i skorzystać z menu Multi-PVC. Konfiguracja tego menu jest opisana nieco dalej. Po pomyślnej konfiguracji kanału PVC można przystąpić do uruchomienia dostępu ADSL.

PPPoE/PPPoA

Tryb dostępu do Internetu z wykorzystaniem protokołu PPP (ang. Point-to-Point Protocol). Protokół PPP, zaprojektowany dla łącz szeregowych i stosowany w

połączeniach typu dial-up, jest równie chętnie wykorzystywany w dostępie szerokopasmowym. PPP nie narzuca bowiem ograniczenia na prędkość transmisji ramek, pozwala za to operatorowi na kontrolę dostępu w oparciu o nazwę użytkownika i hasło. Istotna jest też opcja negocjowania adresów IP w fazie ustanawiania połączenia PPP (protokół IPCP).

Włącz/Wyłącz – włączenie/wyłączenie obsługi dostępu w trybie PPPoE/PPPoA

Ustawienia modemu DSL - obejmują podstawowe parametry łącza ADSL, które

należy pozyskać od operatora:

2004 BRINET Sp. z o. o.

Page 59

Podręcznik użytkownika routerów Vigor z serii 2500

Modulacja – należy określić konkretną technikę modulacji, stosowaną przez

operatora. Obsługiwane są standardy:

- G.DMT (Aneks A dla linii analogowej POTS i Aneks B dla linii ISDN)

- G.Lite („uboższa” wersja G.DMT oferująca maks. 1.5 Mbit/s)

- T1.413 (amerykański standard ANSI – odpowiednik G.DMT)

Można także wybrać złożoną opcję Multimode. Tryb modulacji będzie wówczas negocjowany z modułem DSLAM operatora. Jeżeli w module tym ustawiono któryś z powyższych standardów, negocjacja sprowadza się do narzucenia routerowi tego właśnie trybu, co z punktu widzenia użytkownika stanowi rodzaj automatycznej detekcji trybu modulacji.

2004 BRINET Sp. z o. o.

Page 60

Podręcznik użytkownika routerów Vigor z serii 2500

VPI – identyfikator ścieżki wirtualnej (ang. Virtual Path Identifier) VCI – identyfikator kanału wirtualnego (ang. Virtual Channel Identifier)

Numery VPI i VCI wspólnie definiują tzw. trwałe połączenie wirtualne ATM, określane mianem PVC (ang. Permanent Virtual Circuit).

Protokół – określa sposób realizacji połączeń PPP w łączu ADSL: PPPoA – transmisja ramek PPP w połączeniu wirtualnym ATM (PPP over

ATM). PPPoE – transmisja ramek PPP wewnątrz ramek Ethernet z uwzględnieniem adresów MAC (PPP over Ethernet). Operator może wymagać podania oczekiwanego adresu MAC (patrz odpowiedni opis dalej). Enkapsulacja – metoda identyfikacji i odwzorowania ramek PPP w kanale PVC, realizowana w warstwie adaptacji protokołu ATM (AAL5): LLC/SNAP – do identyfikacji ramek PPP spośród innych przesyłanych w kanale PVC stosuje się znany z technologii sieci lokalnych nagłówek IEEE

802.2(LLC)/802.1(SNAP) VC-MUX – nagłówek LLC/SNAP nie jest stosowany, gdyż protokół PPP jest tu jedynym protokołem przenoszonym w kanale PVC (tzw. Virtual Channel Multiplexing)

Multi-PVC – możliwe jest wybranie jednego spośród kanałów wirtualnych uprzednio zdefiniowanych w menu Multi-PVC (należy wskazać numer kanału). Definicja kanału obejmuje również protokół oraz sposób enkapsulacji (patrz menu Multi-PVC i jego opis dalej).

PPPoE Pass-through – Przez niektórych operatorów stosowana jest koncepcja niezależnego uwierzytelniania poszczególnych urządzeń użytkownika, zaś protokół PPPoE dysponuje mechanizmami stworzonymi specjalnie do takich celów (RFC 2516). Wybór tej opcji sprawi, że router stanie się „przezroczysty” dla połączeń PPPoE. Wówczas sesje PPP mogą być inicjowane przez poszczególne urządzenia w sieci lokalnej (tradycyjnej – kablowej, i/lub

bezprzewodowej).

Konto u ISP – parametry autoryzacji PPP: Nazwa ISP – dowolny ciąg znaków opisujący operatora (np. My_ISP). Nazwa użytkownika, Hasło – parametry autoryzacji dla sesji protokołu PPP.

Dane te są podawane przez operatora i stanowią podstawową kontrolę dostępu do usługi. Należy zwrócić uwagę na znaki specjalne oraz wielkość liter.

Uwierzytelnianie – wybór strategii uwierzytelniania dla sesji PPP:

2004 BRINET Sp. z o. o.

Page 61

Podręcznik użytkownika routerów Vigor z serii 2500

PAP – stosowany będzie protokół PAP (ang. Password Authentication Protocol).

Jest to prosty mechanizm, polegający na wysyłaniu parametrów autoryzacji w postaci jawnej, i oczekiwaniu na odpowiedź pozytywną bądź odrzucenie przez odległy system. PAP lub CHAP – jako pierwszy zostanie użyty bezpieczniejszy protokół CHAP (ang. Challenge-Handshake Authentication Protocol), który utrudnia przechwycenie parametrów autoryzacji dzięki ich szyfrowaniu. Są one oprócz tego wysyłane w losowych odstępach czasu na żądanie strony zdalnej, wielokrotnie podczas trwania sesji PPP. Jeżeli druga strona (operator) nie obsługuje metody CHAP, router użyje protokołu PAP.

Nieaktywne rozłącz po – router potrafi automatycznie rozłączyć logiczne połączenie (sesję) PPP, jeżeli przez określony czas żadna aplikacja na komputerze w sieci lokalnej nie komunikuje się z Internetem. Czas nieaktywności, po jakim ma nastąpić rozłączenie podaje się w sekundach (domyślnie 180 s). Zaznaczenie opcji Zawsze aktywne spowoduje, że połączenie będzie utrzymywane przez cały czas.

Adres MAC – adres wirtualnego interfejsu Ethernet, generowanego przez klienta PPPoE. Niektórzy operatorzy PPPoE realizują identyfikację urządzeń końcowych na podstawie ich adresu MAC. Dlatego w ramach tego menu Vigor oferuje opcję zmiany domyślnego adresu sprzętowego na adres oczekiwany przez operatora. Nowy adres należy wpisywać stosując po dwie cyfry heksadecymalne.

Harmonogram połączeń – pozwala określić profil czasowy dla aktywności połączenia, dzięki czemu istnieje możliwość określenia w jakie dni i w jakich godzinach dostęp do Internetu będzie możliwy. Spośród reguł o numerach od 1 do 15 można wybrać do czterech, i wpisać ich numery w pola. Reguły definiuje się w menu Ustawienia zaawansowane → Harmonogram połączeń. W przypadku nie wpisania żadnej cyfry, nawiązanie połączenia będzie możliwe w dowolnym momencie (stały dostęp o każdej porze).

Obok profilu czasowego można także określić które komputery/aplikacje mają prawo korzystać z łącza do Internetu (Patrz Ustawienia zaawansowane → Firewall).

Przyznawanie adresu IP Router Vigor w ramach dostępu ADSL realizuje proces translacji adresów. W dostępie PPPoE/PPPoA adres NAT może być przypisany do interfejsu ADSL na trwałe lub przydzielany dynamicznie z wykorzystaniem mechanizmu IPCP.

2004 BRINET Sp. z o. o.

Page 62

Podręcznik użytkownika routerów Vigor z serii 2500

Stały adres IP: Tak – pozwala w sposób trwały przypisać adres NAT do połączenia PPP (adres należy wówczas podać w polu Stały adres IP) Nie (dynamiczny) – router za pomocą protokołu IPCP poinformuje serwer

dostępowy, iż oczekuje na przydzielenie adresu IP, który następnie będzie mógł wykorzystać w charakterze adresu NAT.

Alias IP – jeżeli Użytkownik dysponuje dodatkową grupą publicznych adresów IP, można je w tym miejscu przypisać do interfejsu ADSL i wykorzystać dla celów mechanizmu NAT. Stosowny opis znajduje się w rozdziale Ustawienia zaawansowane→NAT (patrz funkcja Multi-NAT).

MPoA

Tryb dostępu oparty na mechanizmach opisanych w RFC 1483/2684. MPoA nie przewiduje dwupunktowych sesji PPP (te bowiem są realizowane w trybie PPPoE lub PPPoA). Istnieje za to szeroki wachlarz metod enkapsulacji pakietów IP w strumieniu ATM, z których każda została zoptymalizowana pod kątem określonych założeń. Ze względów podanych na wstępie szczegóły enkapsulacji nie będą omawiane – należy pozyskać informację o realizowanej przez operatora metodzie i zastosować ją podczas konfiguracji.

Włącz/Wyłącz – włączenie/wyłączenie obsługi dostępu w trybie MPoA

Ustawienia modemu DSL – obejmują podstawowe parametry łącza ADSL,

które należy pozyskać od operatora: Modulacja – należy określić konkretną technikę modulacji, stosowaną przez operatora. Obsługiwane są standardy:

- G.DMT (Aneks A dla linii analogowej POTS i Aneks B dla linii ISDN)

- G.Lite („uboższa” wersja G.DMT oferująca maks. 1.5 Mbit/s)

- T1.413 (amerykański standard ANSI – odpowiednik G.DMT)

Można także wybrać złożoną opcję Multimode. Tryb modulacji będzie wówczas negocjowany z modułem DSLAM. Jeżeli w module tym ustawiono któryś z powyższych standardów, negocjacja sprowadza się do narzucenia routerowi tego właśnie trybu, co z punktu widzenia użytkownika stanowi rodzaj automatycznej detekcji trybu modulacji.

2004 BRINET Sp. z o. o.

Page 63

Podręcznik użytkownika routerów Vigor z serii 2500

Multi-PVC - konieczne jest wybranie jednego spośród kanałów wirtualnych

uprzednio zdefiniowanych w menu Multi-PVC. Definicja kanału obejmuje numery VPI/VCI, metodę enkapsulacji pakietów oraz wskaźnik jakości usługi QoS (patrz opis menu Multi-PVC).

VPI – identyfikator ścieżki wirtualnej (ang. Virtual Path Identifier) VCI – identyfikator kanału wirtualnego (ang. Virtual Channel Identifier)

Numery VPI i VCI wspólnie definiują trwałe połączenie wirtualne PVC i zostają określone wraz ze wskazaniem konkretnego kanału w polu Multi-PVC. Można jednak tutaj zmienić te wartości.

Włącz RIP – zaznaczenie tego pola spowoduje, że router będzie realizował routing dynamiczny od strony interfejsu ADSL. Można to na przykład wykorzystać w sytuacji kiedy w danym kanale PVC operator realizuje usługę VPN (łączenie oddalonych sieci lokalnych za pomocą ATM). Są to jednak

2004 BRINET Sp. z o. o.

Page 64

Podręcznik użytkownika routerów Vigor z serii 2500

sytuacje wyjątkowe. Jeżeli operator nie stawia wyraźnego wymagania w tym względzie, włączanie RIP w tym miejscu jest niewskazane. Chodzi przede wszystkim o bezpieczeństwo – należy unikać rozgłaszania w sieci publicznej informacji o sieci lokalnej. Jeżeli połączenie VPN jest realizowane przez sam router (tunel na poziomie protokołu IP), routing dynamiczny wewnątrz tunelu uruchamia się w ramach konfiguracji połączenia VPN (patrz Ustawienia zaawansowane → Zdalny dostęp ISDN i VPN→Profile LAN-to-LAN).

Ustawienia interfejsu WAN – dotyczy adresów protokołowych dla interfejsu ADSL (a więc adresów „widzianych” od strony sieci rozległej): Uzyskaj adres IP automatycznie – w trybie MPoA przewiduje się automatyczną konfigurację parametrów IP z wykorzystaniem protokołu DHCP. Wraz z zaznaczeniem tej opcji zostaje uruchomiony klient DHCP, który będzie wysyłał żądania przyznania parametrów IP. Nazwa routera/Nazwa domeny – jeżeli operator korzysta z autoryzacji bazującej na hierarchicznym nazywaniu urządzeń końcowych, należy tutaj podać właściwy prefix/sufix DNS. Są one przydzielone przez operatora. Podanie odpowiedniej nazwy może być warunkiem otrzymania adresu IP od serwera DHCP. Ustaw adres IP – w sytuacji kiedy operator stosuje statyczne adresowanie urządzeń końcowych, użytkownik otrzymuje przynajmniej jeden adres IP należący do konkretnej podsieci, oraz adres IP następnego routera w sieci operatora:

Adres IP – w tym polu należy wpisać adres trwale przydzielony przez operatora Maska podsieci – konieczne jest podanie poprawnej maski dla podsieci, do

której należy przydzielony adres (maskę podaje operator) Alias IP – jeżeli operator przydzielił podsieć złożoną z kilku użytecznych adresów IP, można je również trwale przypisać do interfejsu ADSL. Adresy te mogą być następnie wykorzystywane przez mechanizm NAT. Odpowiedni opis znajduje się w rozdziale Ustawienia zaawansowane→NAT (patrz funkcja Multi- NAT).

Adres bramy (gateway) – adres ten identyfikuje konkretny router pracujący wewnątrz sieci operatora. Stanowi on dla routera Vigor domyślną bramę, przejmującą cały ruch pochodzący od użytkownika i realizującą właściwy routing w ramach sieci rozległej (Internet). Wskazany przez operatora adres bramy może należeć do pewnej odległej podsieci, różnej od tej wydzielonej lokalnie dla potrzeb routera.

Adres MAC – adres wirtualnego interfejsu Ethernet, generowanego przez niektóre tryby enkapsulacji MPoA. Jeżeli enkapsulacja zakłada przenoszenie

2004 BRINET Sp. z o. o.

Page 65

Podręcznik użytkownika routerów Vigor z serii 2500

całych ramek Ethernet z zachowaniem adresów MAC, można to wykorzystać do zdalnej identyfikacji urządzeń końcowych użytkownika. Normalnie w takich wypadkach router Vigor używa domyślnego adresu MAC „widzianego” od strony interfejsu ADSL. Jeżeli operator dopuszcza wyłącznie ramki zawierające określony adres źródłowy MAC, i zachodzi potrzeba zamiany pojedynczego komputera na router w celu współdzielenia dostępu, można zmienić adres domyślny na dotychczasowy adres karty sieciowej (tolerowany przez operatora).

Multi-PVC

Menu to skupia definicje kanałów ATM, niezbędne zarówno w dostępie PPPoA/PPPoE jak i w MPoA. W oknie precyzuje się parametry połączeń wirtualnych PVC, z uwzględnieniem protokołu transmisyjnego, rodzaju enkapsulacji oraz trybu obsługi połączenia (QoS). Odpowiedni dobór parametrów, odpowiadający rzeczywistej konfiguracji po stronie operatora, stanowi podstawową definicję połączenia wykorzystywaną podczas konfiguracji dostępu ADSL.

Kanał – numer konkretnej definicji kanału. Numery 1-8 mają wyłącznie lokalne znaczenie administracyjne, i są wykorzystywane podczas wyboru połączenia PVC (wskazanie numeru kanału w polu Multi-PVC). Nie należy ich mylić z parametrami VPI/VCI, które rzeczywiście określają połączenie PVC realizowane w sieci ATM.

Włącz – należy zaznaczyć, jeżeli kanał ma być globalnie dostępny (w ramach konfiguracji poszczególnych trybów dostępu do Internetu)

VPI – identyfikator ścieżki wirtualnej (ang. Virtual Path Identifier) VCI – identyfikator kanału wirtualnego (ang. Virtual Channel Identifier)

Numery VPI i VCI w terminologii ATM definiują trwałe połączenie wirtualne PVC (ang. Permanent Virtual Circuit). Kanał PVC to skonfigurowany przez operatora logiczny strumień komunikacyjny realizowany w sieci ATM. Odpowiednie wartości VPI/VCI podaje operator.

2004 BRINET Sp. z o. o.

Page 66

Podręcznik użytkownika routerów Vigor z serii 2500

Typ QoS – w tym miejscu podaje się realizowany w kanale PVC typ obsługi

strumienia danych. W kanałach ATM można obsługiwać ruch wymagający zachowania określonych zestawów parametrów na poziomie uzgodnionym z operatorem. Odpowiedni dobór wartości parametrów krytycznych tworzy tzw. wskaźnik jakości obsługi QoS (ang. Quality of Service). Typ wskaźnika QoS jest informacją dostarczaną przez operatora. W kanale PVC realizującym dostęp do Internetu stosuje się zwykle typ obsługi UBR (ang. Unconditioned Bit Rate), co oznacza brak gwarantowanej przepływności w kanale ATM (w przeciwieństwie do CBR – ang. Commited Bit Rate). Tryb UBR dopuszcza chwilowe ograniczenie przepływności w momencie dużego obciążenia sieci szkieletowej operatora. Wówczas, pomimo iż na odcinku dostępowym DSL możliwa byłaby określona prędkość transmisji, może nastąpić jej ograniczenie na skutek kumulacji wielu strumieni PVC w łączach szkieletowych ATM. Od operatora stosującego tryb UBR należy zatem oczekiwać takiej rozbudowy sieci szkieletowej, aby opisana sytuacja występowała co najwyżej sporadycznie. Jest to istotne zwłaszcza gdy

2004 BRINET Sp. z o. o.

Page 67

Podręcznik użytkownika routerów Vigor z serii 2500

trwa proces intensywnej rozbudowy sieci dostępowej (dołączanie kolejnych użytkowników do wyposażeń DSLAM).

Protokół – w tym miejscu należy wskazać ogólny sposób przenoszenia pakietów IP realizowany w kanale PVC (PPPoE, PPPoA lub MPoA). Tak zdefiniowany kanał będzie aktywny w ramach konfiguracji odpowiedniego trybu dostępu do Internetu.

Enkapsulacja – dla każdego protokołu dostępne będą określone metody enkapsulacji pakietów. Należy wybrać właściwą metodę, stosowaną przez operatora.

Automatyczne wykrywanie ustawień ADSL

Ponieważ konfiguracja parametrów ADSL i ATM może stanowić trudność dla przeciętnego użytkownika, w routerze Vigor zaimplementowano dodatkowo opcję automatycznej konfiguracji parametrów łącza. Zaleca się skorzystać z tej opcji także w sytuacji kiedy użytkownik nie jest pewien niektórych parametrów, jak np. modulacja stosowana przez operatora.

Automatyzacja polega na podjęciu przez router serii prób zsynchronizowania (porozumienia) się z modułem dostępowym. W każdej z prób jest wykorzystywana inna modulacja, aż do skutku. Po uzyskaniu synchronizacji następuje próba dopasowania ustawień ATM (poszukiwanie kanału PVC, dobór protokołów). Ze względu na testowaną liczbę kombinacji cały proces może potrwać nawet wiele minut. Należy jednak pamiętać, że automatyczna konfiguracja nie musi się skończyć całkowitym sukcesem (np. zostanie prawidłowo wykryty tylko tryb modulacji). Poza tym nawet w sytuacji kiedy nastąpi pełna konfiguracja, konieczne może być podanie dodatkowych parametrów wymaganych przez operatora. Dotyczy to parametrów takich jak nazwa użytkownika i hasło PPP (tryb PPPoE/PPPoA) czy też wymagany adres MAC/nazwa routera (patrz konfiguracja trybów PPPoE/PPPoA i MPoA).

Aby rozpocząć autokonfigurację, należy w menu Dostęp do Internetu wybrać pole Wykryj ustawienia ATM/DSL:

2004 BRINET Sp. z o. o.

Page 68

Podręcznik użytkownika routerów Vigor z serii 2500

po czym pojawi się następujący komunikat:

Jeżeli użytkownik posiada stały adres IP przyznany przez operatora, należy wybrać OK. W przeciwnym razie (np. w przypadku usługi Neostrada) wybieramy Anuluj.

Kolejny krok zależy od dokonanego wyboru:

1. W następstwie „OK” pojawi się okno:

w którym należy podać: Adres IP – użytkownik otrzymuje od operatora przynajmniej jeden użyteczny adres IP należący do konkretnej podsieci. Jeżeli operator przydzielił kilka adresów, należy podać jeden z nich. Maskę podsieci – określa podsieć wydzieloną przez operatora (np.

255.255.255.248) Adres bramy – adres bramy domyślnej podawany przez operatora

i zatwierdzić wpisy za pomocą OK.

2. Po wybraniu opcji Anuluj pojawi się pytanie o kraj, w którym jest świadczona usługa. W przypadku Polski brak jest specyficznych ustawień,

2004 BRINET Sp. z o. o.

Page 69

Podręcznik użytkownika routerów Vigor z serii 2500

stąd dla osiągnięcia potencjalnie jak największej zgodności należy wybrać pozycję Wszystkie:

i zatwierdzić wybór za pomocą OK.

Rozpocznie się wykrywanie ustawień, które może potrwać nawet kilkadziesiąt minut. W każdej chwili można jednak wymusić jego przerwanie:

Po zakończeniu procesu detekcji można obejrzeć jego bezpośrednie rezultaty. Należy przejść do menu Zarządzanie→ Status routera:

Najpierw warto zwrócić uwagę na dolne pole Status ADSL. Jeżeli modulacja została rozpoznana, jej parametry będą wyświetlone na zielono (

SHOWTIME

oznacza uzyskanie stanu synchronizacji).

2004 BRINET Sp. z o. o.

Page 70

Podręcznik użytkownika routerów Vigor z serii 2500

Kolejny krok to sprawdzenie pola Statystyka ATM. Jeżeli liczba bloków wysłanych oraz odebranych jest niezerowa oraz wyświetlona na zielono, transmisja w poziomie ATM działa prawidłowo.

Krok trzeci to odczytanie trybu dostępu. Dostęp PPPoA/PPPoE wymaga podania dodatkowo nazwy użytkownika i hasła. Należy to zrobić „ręcznie” w menu PPPoA/PPPoE przed automatyczną detekcją lub zaraz po jej zakończeniu. Dopiero wówczas w polu Status WAN pojawi się nazwa trybu (PPPoA lub

PPPoE). Analogicznie, dostęp MPoA może wymagać „ręcznego” podania nazwy

routera czy właściwego adresu MAC dla uzyskania parametrów IP. Ewentualne wymagania tego typu określa operator (ISP).

Podsumowując – wszystkie niezbędne parametry, które nie zostały wykryte automatycznie należy uzupełnić „ręcznie” wchodząc w dany tryb konfiguracji. Niektóre pola wewnątrz menu mogą już posiadać poprawnie określone wartości i nie należy ich zmieniać. Jeżeli np. pola Status ADSL i Status ATM wskazują poprawne funkcjonowanie warstwy ADSL/ATM (patrz komentarz wcześniej), parametry takie jak modulacja i VPI/VCI zostały już poprawnie wykryte.

Ostatecznym potwierdzeniem poprawnego funkcjonowania dostępu do Internetu będzie pojawienie się niezerowych wartości w polach Pakiety wysłane/Pakiety otrzymane. Udana transmisja na poziomie protokołu IP oznacza bowiem poprawną konfigurację parametrów IP łącza (adres IP, adres bramy, maska podsieci).

Testowanie połączenia z Internetem

Funkcjonowanie łącza dostępowego można sprawdzić w prosty sposób używając narzędzia ping. Użycie argumentu w postaci nazwy hosta zamiast jego adresu IP pozwoli dodatkowo przetestować obsługę DNS. Na dowolnym komputerze w sieci lokalnej należy uruchomić wiersz poleceń. W przypadku Windows 2000/XP klikamy Start→Uruchom:

2004 BRINET Sp. z o. o.

Page 71

Podręcznik użytkownika routerów Vigor z serii 2500

Następnie w oknie Uruchamianie wpisujemy polecenie cmd lub command i zatwierdzamy OK, jak na rysunku:

W efekcie powinno pojawić się okno trybu poleceń, pokazane poniżej. W oknie tym wydajemy polecenie:

ping nazwa

gdzie nazwa jest globalną nazwą DNS dowolnego komputera. Najlepiej wybrać powszechnie znaną nazwę serwera, np. www.wp.pl, www.onet.pl czy inne. Po wciśnięciu <Enter> rozpoczyna się badanie. Jeżeli odpowiedź programu ma postać taką jak na rysunku (Odpowiedź z adres_IP ...), oznacza to że łącze do Internetu funkcjonuje poprawnie. Ewentualne problemy na poziomie popularnych aplikacji (np. kłopoty z wyświetlaniem stron www lub pocztą) nie dotyczą wówczas routera i należy ich poszukiwać w samej aplikacji na komputerze lub na serwerze (przy założeniu, że domyślne ustawienia Firewall i NAT w routerze nie były modyfikowane).

Jeżeli natomiast program ping zwraca komunikat typu: Host docelowy jest nieosiągalny lub Nieznany host, dostęp do Internetu nie funkcjonuje poprawnie. Należy wówczas sprawdzić status routera (patrz opis wcześniej), i usunąć ewentualne błędy w konfiguracji (np. błędne hasło PPP). Warto też pamiętać, że odpowiadanie na pakiety ping jest często dla bezpieczeństwa wyłączane przez administratorów serwerów, stąd nie należy się sugerować jednym nieudanym badaniem i podjąć wiele różnych prób z użyciem różnych nazw.

2004 BRINET Sp. z o. o.

Page 72

Podręcznik użytkownika routerów Vigor z serii 2500

Niestety, nie sposób ująć tutaj wszystkich potencjalnych problemów związanych z dostępem do Internetu oraz ich diagnozowania. Jeżeli powyższe wskazówki nie przyniosą rezultatu, pozostaje skorzystanie z pomocy technicznej osób posiadających stosowne kwalifikacje. Można też skorzystać z informacji udzielanych przez operatora (infolinia), zwłaszcza kiedy nie ma się pewności co do stosowanych przez niego parametrów dostępu.

2004 BRINET Sp. z o. o.

Page 73

Podręcznik użytkownika routerów Vigor z serii 2500

USTAWIENIA ZAAWANSOWANE

W tym miejscu użytkownik otrzymuje do dyspozycji dodatkowe, zaawansowane możliwości, którym poświęcony jest niniejszy rozdział.

Prezentowana grupa funkcji jest adresowana do użytkowników dysponujących pewną wiedzą z zakresu komunikacji sieciowej. Większość podstawowych operacji, jak konfiguracja dostępu do Internetu czy uruchomienie sieci LAN/WLAN, nie wymaga ingerowania w ten obszar – wystarczy pozostawić tutaj stan domyślny.

Dynamiczny DNS

W warunkach, kiedy operator (ISP) stosuje politykę przydziału adresu IP na zasadzie jego okresowej dzierżawy (DHCP, IPCP), adres ten ulega zmianie. Zwykle nowo przydzielony adres należy do tej samej, zdefiniowanej przez operatora puli czy podsieci, nie mniej może się zmieniać skutkiem wymuszanej celowo rotacji. Router od strony interfejsu ADSL może zatem posiadać publiczny adres IP, lecz będzie to adres inny niż np. kilka dni wcześniej. Następstwa, w zależności od kierunku połączeń, będą mniej lub bardziej dotkliwe.

Dla połączeń wychodzących (ściślej – sesji nawiązywanych z podsieci 1 na zewnątrz poprzez NAT) nie zmienia się prawie nic. Nadal możliwy jest dostęp do Internetu inicjowany przez lokalne hosty, które po zmianie „prezentują się” w Sieci nowym adresem NAT. Zmiana adresu może tutaj stwarzać problem jedynie

2004 BRINET Sp. z o. o.

Page 74

(

Nowy

)

Podręcznik użytkownika routerów Vigor z serii 2500

w przypadku, kiedy dostęp do danego zasobu publicznego jest autoryzowany na podstawie źródłowego adresu IP. Sytuacja taka może mieć miejsce przy próbie dostępu do serwera VPN w celu zestawienia bezpiecznego połączenia. Serwer taki (np. odległy router Vigor 2600) nie powinien wymagać autoryzacji źródłowego adresu IP, aby klient (lokalny router Vigor 2500) mógł zawsze nawiązać połączenie VPN. W konfiguracji VPN LAN-to-LAN odpowiada to rezygnacji z opcji Określ stronę zdalną (jeżeli serwerem VPN jest np. Vigor

2600).

Rotacja publicznego adresu IP staje się zasadniczym problemem dla połączeń przychodzących na router z sieci publicznej. Udostępnienie jakiegokolwiek zasobu czy usługi na zewnątrz wymaga jednoznacznej obecności w Sieci pod publicznym adresem IP (przynajmniej jednym – patrz dalej opis ustawień NAT).

Jednak oprócz adresów IP, większość aplikacji i usług jako argument przyjmuje nazwę zasobu, zamieniając ją dopiero na adres za pomocą usług DNS. Dlatego koncentrując się na utrzymaniu niezmiennej, globalnie rozróżnialnej nazwy, można ominąć kłopoty związane z rotacją adresu. Wbudowany w router klient DDNS (ang. Dynamic DNS), skonfigurowany do współpracy z odpowiednim serwerem tej usługi, pozwala osiągnąć ten właśnie cel. Informacja o każdorazowej zmianie adresu IP jest zgłaszana przez klienta i odnotowywana w dynamicznym rekordzie serwera. Tym samym z przechowywaną przez serwer DDNS globalną nazwą jest kojarzony nowy adres IP. Od tej chwili tym właśnie adresem odpowie hierarchia serwerów DNS na każde żądanie hosta. Mechanizm ten został zilustrowany poniżej:

np. 192.168.1.1

LAN

np. 192.168.1.0/24

← Serwer www

np. 192.168.1.2

NAT)

IP (uaktualnienie

IP ← DHCP/IPCP

ISP

Internet

np. mojafirma.dyndns.org

IP↔nazwa

Serwer

DDNS

Jak pokazuje rysunek, możliwe będzie między innymi uruchomienie w sieci prywatnej serwera usług publicznych. W tym celu należy skonfigurować odpowiednie opcje NAT (patrz dalej – opis ustawień NAT).

2004 BRINET Sp. z o. o.

Page 75

Podręcznik użytkownika routerów Vigor z serii 2500

Konfiguracja DDNS

Router Vigor pozwala na uaktywnienie do trzech klientów DDNS. Mogą one współpracować z serwerami następujących usługodawców: dyndns.org (www.dyndns.org changeip.com (www.changeip.com

), no-ip.com (www.no-ip.com), dtdns.com (www.dtdns.com),

), dynamic-nameserver.com (www.dynamic-

nameserver.com). Przed przystąpieniem do konfiguracji DDNS w routerze

konieczne jest założenie konta u wybranego dostawcy. Można tego dokonać korzystając z jego serwisu www, w którym znajdują się wszystkie niezbędne informacje.

Włącz DynDNS – uruchomienie obsługi mechanizmu DDNS Konta – możliwe jest obsłużenie do trzech niezależnych procesów DDNS klient

– serwer. Każdy klient to oddzielny zbiór ustawień.

Nazwa domeny – wyświetla nazwę domeny, dla której działa dany klient DDNS Aktywność – informuje czy klient jest aktywny czy został wyłączony

Posiadając aktywne konto na serwerze DDNS, należy stworzyć i uaktywnić na routerze Vigor odpowiednie konto dla klienta, klikając na jeden z trzech numerów (1, 2 lub 3). Otwiera się okno Ustawienia konta:

2004 BRINET Sp. z o. o.

Page 76

Podręcznik użytkownika routerów Vigor z serii 2500

Włącz konto DynDNS – uaktywnienie klienta DDNS Dostawca usługi – wybór dostawcy usługi DDNS, np. serwer dyndns.org Typ usługi – precyzuje charakter usługi DDNS Nazwa domeny – wymaga podania nazwy DNS, związanej z tym kontem

Nazwa użytkownika i Hasło – parametry dostępu do serwera DDNS określone

przez usługodawcę (serwer DDNS).

Uwaga: opcje Wildcards oraz Backup MX nie są obsługiwane przez wszystkich dostawców usługi DDNS – stosowne informacje znajdują się w ich serwisach www. Wymuś aktualizację – na żądanie użytkownika router wyśle żądania aktualizacji do serwerów DDNS (aktywne konta). Rezultat można następnie obejrzeć otwierając Dziennik zdarzeń, który jest zapisem przebiegu komunikacji klienta z serwerem i ujawnia ewentualne nieprawidłowości.

2004 BRINET Sp. z o. o.

Page 77

Podręcznik użytkownika routerów Vigor z serii 2500

Diagnostyka DDNS

Aby upewnić się, że mechanizm DDNS funkcjonuje prawidłowo, zaleca się wykonanie prostego testu:

1. Wybieramy Wymuś aktualizację (opcjonalnie).

2. Z dowolnego komputera podłączonego do Internetu badamy osiągalność własnej nazwy. Przykładowo, dla hipotetycznej nazwy mojafirma.dyndns.org w wierszu poleceń wpisujemy komendę: ping mojafirma.dyndns.org.

3. Uzyskujemy Odpowiedź z: A.B.C.D, gdzie A.B.C.D to adres IP

4. Z menu Status routera możemy odczytać aktualny adres interfejsu WAN (ADSL). Powinien to być ten sam adres, który był zawarty w odpowiedzi programu ping. Będzie to oznaczało, że serwer DDNS dysponuje powiązaniem naszej nazwy z aktualnym adresem IP, czyli że klient DDNS działa prawidłowo:

Poniżej pokazano przykładową zawartość Dziennika zdarzeń:

A – nazwa użytkownika (dla dostępu do serwera DDNS) H – nazwa domenowa (nazwa hosta - z pominięciem sufiksu DNS) Return Code= good 61.230.170.145 – serwer zwraca kod potwierdzający

uaktualnienie adresu IP do postaci 61.230.170.145 (adres jest przykładowy).

Obok ping, systemy MS Windows oferują złożone narzędzie nslookup, przeznaczone specjalnie do diagnostyki systemu nazw DNS – możliwe jest na przykład bezpośrednie przeglądanie rekordów serwerów DNS. Opis składni znaleźć można w dokumentacji systemu operacyjnego (klawisz funkcyjny

F1→Index→wpisujemy nslookup).

2004 BRINET Sp. z o. o.

Page 78

Podręcznik użytkownika routerów Vigor z serii 2500

Harmonogram połączeń

W tym miejscu definiuje się reguły, z których następnie można budować złożone profile czasowe dla niektórych rodzajów aktywności routera.

Możliwe jest stworzenie i globalne uaktywnienie 15 reguł, choć dany profil będzie wykorzystywał maksymalnie 4 z nich – np. do wyznaczenia czasu w którym pozwala się na wykonanie połączenia z Internetem, połączenia VPN czy określenia okresów aktywności koncentratora radiowego.

Nr i Status – numer identyfikujący stworzoną regułę oraz jej aktualny status (dostępna bądź niedostępna). Typowa reguła przyjmuje następującą postać:

Włącz regułę – globalne uaktywnienie danej reguły Data rozpoczęcia – dzień, z którym reguła zaczyna obowiązywać Czas rozpoczęcia – godzina i minuta rozpoczęcia akcji Czas trwania – liczba godzin i minut obowiązywania akcji Akcja – precyzuje rodzaj akcji dla reguły:

2004 BRINET Sp. z o. o.

Page 79

Podręcznik użytkownika routerów Vigor z serii 2500

Wymuś połączenie – nastąpi nawiązanie połączenia, po czym pozostanie ono

stale aktywne w zdefiniowanym odcinku czasowym Wymuś rozłączenie – połączenie zostanie natychmiast rozłączone, i stan taki utrzyma się w zdefiniowanym odcinku czasowym Zezwalaj na połączenie na żądanie – w zdefiniowanym czasie połączenie będzie nawiązywane tylko w momencie wystąpienia zapotrzebowania na takie połączenie (np. host odwołuje się do zasobów Internetu). Wyłącz połączenie na żądanie – jeżeli reguła zaczyna obowiązywać w momencie kiedy połączenie jest aktywne, rozłączenie nie nastąpi natychmiast, tylko po pierwszym stwierdzeniu upłynięcia wyznaczonego poniżej czasu nieaktywności. W czasie obowiązywania reguły nie będzie możliwości ponownego automatycznego połączenia na żądanie.

Nieaktywne rozłącz po – czas nieaktywności, po jakim nastąpi automatyczne rozłączenie połączenia (dotyczy obu akcji związanych z połączeniem na żądanie).

2004 BRINET Sp. z o. o.

Page 80

Podręcznik użytkownika routerów Vigor z serii 2500

Częstotliwość – zgodnie z opisem w oknie, reguła może mieć zastosowanie

jednorazowe (w dniu powyżej podanym), lub obowiązywać cyklicznie w wybrane dni tygodnia

Anuluj – rezygnacja z zatwierdzenia ustawień Wyczyść – anulowanie wyboru

Wszędzie tam, gdzie przewidziano możliwość sterowania czasem aktywności funkcji (np. Dostęp do Internetu, VPN, działanie koncentratora WLAN), występuje pole Harmonogram połączeń:

W polu tym podaje się numery co najwyżej czterech reguł, tworząc w ten sposób złożony profil czasowy (każda reguła powinna określać inny odcinek czasu i rodzaj akcji). Pozostawienie pustych okien sprawi, że router nie będzie stosował regulacji czasowej przewidzianej funkcją Harmonogram.

NAT

Jak wspomniano przy okazji omawiania podstawowych ustawień TCP/IP – podsieć pierwsza ma umożliwić korzystanie z tzw. prywatnych adresów IP. Są to grupy (przestrzenie) adresów wydzielone w ramach klas adresów A, B i C, które nie są obsługiwane przez urządzenia publicznej Sieci. Mogą za to być wielokrotnie wykorzystywane w lokalnych, zamkniętych sieciach różnych organizacji (tzw. Intranetach), a ich użycie jest dowolne i nie wymaga uzyskania oficjalnego zezwolenia czy przydziału. Pomysł ten zrodził się jako jeden z środków zaradczych wobec kurczenia się puli adresów IP w latach intensywnego rozwoju Internetu. Został następnie wykorzystany przez producentów urządzeń, którzy opracowali sposób na dostęp do Internetu dla maszyn zaadresowanych z puli prywatnej – translację adresów. NAT (ang. Network Address Translation) pozwala na wykorzystanie jednego bądź kilku adresów publicznych do obsłużenia wielu połączeń z publiczną Siecią. Wychodzące pakiety IP otrzymują nowy adres źródłowy (globalnie routowalny), dzięki czemu możliwa jest odpowiedź systemu zdalnego. Poza zamianą adresów, urządzenie realizujące NAT dokonuje odwzorowania portów protokołowych, aby każda maszyna w sieci lokalnej mogła korzystać z wielu niezależnych sesji wymiany danych (patrz Zarządzanie → Narzędzie diagnostyczne → NAT - aktywne sesje). Jest to warunek konieczny do swobodnego korzystania z wielu aplikacji.

2004 BRINET Sp. z o. o.

Page 81

Podręcznik użytkownika routerów Vigor z serii 2500

Główne okno (poprzedni rysunek) oferuje dostęp do czterech grup ustawień opisanych dalej, oraz podaje zakresy prywatnych adresów IP klasy A, B i C (według dokumentu RFC 1918).

Przekierowywanie portów (NAPT- Network Address – Port Translation)

Ustawienia te dotyczą ruchu przychodzącego od strony sieci publicznej, zaadresowanego na określony numer portu protokołu TCP bądź UDP. Istnieje tutaj możliwość skierowania takiego ruchu na ten sam bądź inny port docelowy funkcjonujący na wybranej maszynie należącej do sieci prywatnej. Możliwe jest zatem publiczne udostępnianie różnych usług, działających na tym samym bądź różnych serwerach w sieci LAN. Warto zauważyć, że wystarczy do tego jeden publiczny adres IP przydzielony od strony interfejsu ADSL. Istotną zaletą jest też bezpieczeństwo – wewnętrzny rozkład ruchu i rzeczywista struktura sieci są ukryte przez mechanizm NAT:

Nr – numer przekierowania (1-10) Nazwa usługi – dowolny komentarz administratora, np. www, ftp. Protokół – należy wybrać protokół, który ma być przekierowany (TCP lub UDP)

2004 BRINET Sp. z o. o.

Page 82

Podręcznik użytkownika routerów Vigor z serii 2500

Port zewnętrzny – oryginalny numer portu, oczekiwany dla danej usługi (np. 80,

23, 25, 21 itd). Należy pamiętać, że pewne usługi korzystają z więcej niż jednego portu. Jeżeli w grę wchodzą całe grupy portów można wykorzystać opcję Sterowanie portami (patrz dalej). Adres lokalny – prywatny adres maszyny-serwera w sieci lokalnej, na który zostanie skierowany ruch Port wewnętrzny – rzeczywisty numer portu, na którym funkcjonuje usługa (niekoniecznie standardowy, jeżeli serwer pozwala użyć innego i na takim porcie oczekuje na zgłoszenia klientów). Aktywne – włączenie danego przekierowania

Analogicznie możliwe jest też przekierowywanie portów wewnętrznych, tzn. realizacja odwzorowania portów pomiędzy dwoma adresami IP z sieci prywatnej, np. dla ukrycia rzeczywistego adresu/portu serwera obsługującego lokalnych użytkowników.

2004 BRINET Sp. z o. o.

Page 83

Podręcznik użytkownika routerów Vigor z serii 2500

Host DMZ

Funkcja ta pozwala na nadanie wybranej maszynie w sieci lokalnej statusu tzw. strefy zdemilitaryzowanej (ang. DMZ - Demilitarized Zone). Komputer taki nie jest osłonięty mechanizmem NAT w tym sensie, że następuje proste przekierowanie wszystkich możliwych portów na ten właśnie adres IP. Od strony sieci publicznej host taki jest zatem dostępny tak samo jak gdyby to on posiadał publiczny adres IP – w rzeczywistości przypisany do interfejsu routera. Istotne jest jednak to, że router nadal zapewnia ochronę za pomocą reguł filtrowania ruchu i alarmowania o różnego rodzaju podejrzanej aktywności od strony Internetu (patrz dalej Filtr/Firewall). DMZ może służyć do zastosowań generujących duży ruch i korzystających z wielu portów – np. wielofunkcyjne komunikatory typu NetMeeting, gry internetowe typu Quake, Starcraft itp.

Włącz – uruchomienie strefy zdemilitaryzowanej dla danego adresu IP IP hosta lokalnego – adres IP można wybrać z listy bądź wpisać w odpowiednie

pola w oknie.

Sterowanie portami

Ta opcja NAT pozwala przeadresować ruch dla pewnego ciągłego zakresu portów, wysyłając go na określony prywatny adres IP. Można to wykorzystać na przykład do upublicznienia usług korzystających z kilku kolejnych portów, czy też odsłonięcia wybranego, niestandardowego zakresu portów na danym hoście w celach szczególnych – np. do testowania własnych aplikacji sieciowych.

2004 BRINET Sp. z o. o.

Page 84

Podręcznik użytkownika routerów Vigor z serii 2500

W oknie głównym wyświetlane są stany bieżących profili:

Nr – numer reguły (1-10) Komentarz – pomocniczy ciąg znaków wprowadzony dla opisu Adres lokalnego hosta – adres IP hosta, na który skierowano ruch Status – pozycja aktywna bądź nie Anuluj – rezygnacja z zatwierdzenia zmian i wyjście z menu Wyczyść wszystko – sprowadzenie wszystkich wpisów do stanu wyjściowego,

równoznaczne z usunięciem zdefiniowanych przekierowań

Po kliknięciu na wybraną cyfrę otwiera się okno definicji przekierowania:

Włącz profil – uaktywnienie danego przekierowania Komentarz – dowolny komentarz administratora Host lokalny – docelowy adres IP można wybrać z listy bądź wpisać w

odpowiednie pola w oknie Możliwe jest wybranie do 10 zakresów portów dla protokołów TCP jak i UDP:

Protokół – protokół transportowy (TCP lub UDP) Port początkowy/Port końcowy – pierwszy/ostatni port definiowanego zakresu

2004 BRINET Sp. z o. o.

Page 85

Podręcznik użytkownika routerów Vigor z serii 2500

Anuluj – rezygnacja z zatwierdzenia zmian i wyjście z menu Wyczyść wszystko – sprowadzenie wszystkich wpisów do stanu wyjściowego,

równoznaczne z usunięciem zdefiniowanych przekierowań

Warto zwrócić uwagę na fakt, iż nie ma tutaj możliwości odwzorowania oryginalnych portów wyznaczonych ruchem przychodzącym na inne, niestandardowe. Dokonuje się raczej otwarcia zakresu portów na danym hoście lokalnym. Wspomnianą możliwość oferuje tylko funkcja Przekierowanie portów (patrz opis wcześniej), przez co trzeba ją uznać za nieco bezpieczniejszą. Dlatego jeżeli celem jest przekierowanie pojedynczego portu – np. dla udostępnienia usługi www – zaleca się skorzystać z funcji Przekierowanie portów.

Dla uniknięcia niejednoznaczności wszystkie funkcje związane z przeadresowywaniem ruchu przychodzącego ustawione są według przyznanych im priorytetów ważności. Układ priorytetów jest niezmienny i wygląda następująco:

Przekierowywanie portów → Sterowanie portami → Host DMZ

2004 BRINET Sp. z o. o.

Page 86

Podręcznik użytkownika routerów Vigor z serii 2500

W konsekwencji, dla danego pakietu przychodzącego jako pierwsze brane są pod uwagę ustawienia funkcji Przekierowanie portów i następuje obsługa pakietu zgodnie z zawartą tam regułą. Jeżeli dla pakietu nie istnieje tam żadna reguła, następuje przejście do funkcji Sterowanie portami. Jeżeli żadna z reguł tej funkcji nie pasuje do odebranego pakietu, zaczyna się poszukiwanie adresu IP Hosta DMZ. Jeżeli tylko jest on aktywny, pakiet zostanie wysłany na jego adres (niezależnie od numeru portu docelowego – patrz opis DMZ). Jeżeli strefa DMZ nie została uruchomiona, pakiet zostanie odrzucony.

Popularne aplikacje i usługi

Producent dołączył również użyteczną informację w postaci listy standardowych portów używanych przez popularne usługi sieciowe:

Multi-NAT (wielokrotny NAT)

Do interfejsu ADSL routera Vigor, oprócz podstawowego adresu IP przydzielanego statycznie bądź dynamicznie przez operatora, można przypisać kilka zakupionych dodatkowo adresów stałych. Będą to tak zwane aliasy IP, czyli swego rodzaju adresy dodatkowe, traktowane przez router podobnie jak adres podstawowy. Ich obecność poszerza możliwości komunikacyjne, co widać szczególnie w przypadku funkcji NAT (patrz opis dalej).

Dodatkowe adresy przypisuje się w tym samym menu co adres podstawowy – przy konfiguracji Dostępu do Internetu poprzez ADSL. Należy wybrać pole Alias IP interfejsu WAN, pokazane na rysunku dla dostępu MPoA. To samo pole jest dostępne również w opcji PPPoE/PPPoA (patrz Dostęp do Internetu):

2004 BRINET Sp. z o. o.

Page 87

Podręcznik użytkownika routerów Vigor z serii 2500

Po kliknięciu na wskazane pole otwiera się okno, w którym można zarządzać dodatkowymi adresami IP:

Nr – numer porządkowy Włącz – zaznaczenie tego pola i wpisanie adresu powoduje jego wystąpienie na

interfejsie WAN obok adresów już tam obecnych, tzn. umożliwia kierowanie ruchu również na ten adres routera. Dodatkowy adres – tutaj należy wpisać posiadany adres dodatkowy

2004 BRINET Sp. z o. o.

Page 88

Podręcznik użytkownika routerów Vigor z serii 2500

Włącz do puli NAT – po zaznaczeniu tego pola adres staje się dostępny dla

potrzeb translacji adresów, w przeciwnym razie będzie on używany wyłącznie w klasycznym routingu (np. z wykorzystaniem drugiej podsieci LAN, nie stosującej NAT).

Pierwszy adres na liście (adres podstawowy) staje się tam obecny w sposób automatyczny po poprawnej konfiguracji połączenia z Internetem, i automatycznie staje się adresem NAT. Kolejne adresy – aliasy należy wprowadzić „ręcznie”. Adresy dodatkowe muszą należeć do wspólnej podsieci

– właściwej dla adresu podstawowego. Jeżeli wystąpi niezgodność z maską podsieci, router nie przyjmie dodatkowego wpisu.

Dzięki większej liczbie adresów NAT można realizować przekierowanie ruchu w zależności od tego, na który z adresów WAN routera został on wysłany. W praktyce otwiera to możliwość wyznaczenia wielu stref DMZ, czy też uruchomienia w sieci prywatnej kilku publicznych serwerów tej samej usługi. Oba przypadki pokazano na przykładzie. Bazuje on na założeniu, że operator przydzielił publiczną podsieć 80.55.79.88/29, przy czym do dyspozycji użytkownika pozostają adresy 80.55.79.90-94. Adres pierwszy posłużył jako podstawowy, i został na trwałe przypisany do interfejsu WAN. Następnie dodano jeszcze adresy 80.55.79.91 i 92 jako aliasy. W efekcie w ramach funkcji DMZ możliwy jest wybór różnych hostów:

2004 BRINET Sp. z o. o.

Page 89

Podręcznik użytkownika routerów Vigor z serii 2500

Analogicznie, po wejściu w menu Sterowanie portami widać, jak router poszerzył swoją ofertę o dodatkowe adresy publiczne jako potencjalne adresy, na które można kierować ruch z zewnątrz:

2004 BRINET Sp. z o. o.

Page 90

Podręcznik użytkownika routerów Vigor z serii 2500

Prezentowany przykład zawiera propozycję uruchomienia pod adresem

80.55.79.90 (w rzeczywistości 192.168.1.7) pary serwerów www i ftp. Jednocześnie pod adresem 80.55.79.91 (191.168.1.9) następuje udostępnienie oddzielnej pary serwerów (patrz ilustracja dalej). W rezultacie można by tutaj uruchomić serwisy o przykładowych nazwach ftp.firma.com i www.firma.com jak również ftp.prywftep.pl i www.mojastrona.pl.

W opcji Przekierowania portów wykorzystuje się wyłącznie podstawowy adres IP interfejsu WAN, tzn. nie jest możliwe przeadresowanie portów dla ruchu przychodzącego na dodatkowe adresy – aliasy. Byłoby to funkcjonalnie

zbędne i zbyt uciążliwe obliczeniowo dla routera (opcja ta wymaga głębszej analizy ruchu niż DMZ i Sterowanie portami).

RADIUS

Router Vigor, dzięki wbudowanej funkcji klienta RADIUS, potrafi współpracować z serwerem tej usługi. Remote Authentication for Dial-In User Service, czyli usługa zdalnej autentykacji użytkownika „wdzwanianego”, jest popularnym standardem oferującym scentralizowane zarządzanie kontami, hasłami i całym procesem uwierzytelniania. Jest stosowana na przykład przez operatorów (ISP), obsługujących dostęp dla wielu użytkowników zdalnych dysponujących łączem modemowym.

W przypadku routera Vigor, posiadającego de facto funkcje serwera zdalnego dostępu, obecność klienta RADIUS pozwala na uruchomienie w sieci lokalnej serwera zarządzającego zdalnym dostępem do jej zasobów. Wówczas niezależnie od obsługiwanych przez router opcji zabezpieczeń (konto użytkownika, autoryzacja na podstawie numeru CLID/adresu IP, szyfrowanie i tunel VPN), można skorzystać z protokołu RADIUS. Oznacza to wprowadzenie centralnie zarządzanych kont i procedur kontroli dostępu, którym zostaje poddany odległy użytkownik. Dla dużej liczby kont zwiększa to wydajność i bezpieczeństwo. Proces kontroli dostępu do zasobów staje się niezależny od obsługi samego dostępu: można np. dokonywać ciągłych zmian i modernizacji zasad zabezpieczeń w ramach serwera RADIUS.

Włącz – włączenie współpracy z serwerem Adres IP serwera – adres serwera RADIUS (dla bezpieczeństwa powinien on

być zlokalizowany w sieci lokalnej)

2004 BRINET Sp. z o. o.

Page 91

Podręcznik użytkownika routerów Vigor z serii 2500

Port docelowy – numer portu UDP, na którym pracuje usługa RADIUS

(domyślnie według RFC 2138 jest to port 1812, chyba że serwer został skonfigurowany inaczej) Hasło/Wpisz ponownie hasło – należy wpisać i potwierdzić hasło dla dostępu do serwera RADIUS. Jest to dodatkowe zabezpieczenie, pozwalające na korzystanie z usługi wyłącznie autoryzowanym klientom, np. routerowi Vigor.

Anuluj – rezygnacja z zatwierdzenia zmian i wyjście Wyczyść – anulowanie dokonanych ustawień OK – zatwierdzenie zmian

Trasy Statyczne

Będąc wielofunkcyjnym urządzeniem dostępowym, Vigor pozostaje również klasycznym routerem. Mieści się w tym realizacja zarówno routingu dynamicznego (RIP), jak i statycznego. Urządzenie buduje typową tablicę routingu, zawierającą definicje rozkładu ruchu wychodzącego przez poszczególne interfejsy (LAN/ADSL/VPN). Wpis w tablicy routingu mówi w którym kierunku (poprzez który interfejs i na jaki adres IP następnego węzła) najlepiej wysłać pakiet, żeby dotarł pod ostateczny adres docelowej podsieci.

W każdym routerze, a tym bardziej w routerze dostępowym, obok tras określonych trwale i wyznaczanych dynamicznie kluczowe znaczenie ma trasa

2004 BRINET Sp. z o. o.

Page 92

Podręcznik użytkownika routerów Vigor z serii 2500

domyślna. Jeżeli router dla danego adresu docelowego nie posiada jednoznacznie określonego wpisu, odwołuje się do trasy domyślnej. Użycie tej trasy zakłada, że kolejne systemy (routery) będą w stanie odnaleźć właściwą trasę. Koncepcja trasy domyślnej upraszcza routing na kierunku sieć LAN – Internet, gdyż realizuje tzw. agregację wszystkich możliwych tras. Internet rozrasta się i zmienia, dlatego poznanie przez router wszystkich tras nie byłoby możliwe. Możliwe jest jednak przeniesienie tego zadania na duże systemy szkieletu operatora – wystarczy domyślnie skierować w tę właśnie stronę cały ruch odwołujący się do publicznych zasobów. Router Vigor automatycznie wybiera trasę domyślną. Z wymienionych powodów pokrywa się ona zawsze z łączem dostępu do Internetu. I tak, po skonfigurowaniu dostępu szerokopasmowego, w tablicy routingu pojawia się wpis wskazujący na interfejs ADSL (IF3).

Definiowanie trasy do konkretnej podsieci

Dla zapewnienia komunikacji z innymi lokalnymi podsieciami IP konieczne będzie zadbanie o to, aby ruch adresowany do takiej podsieci rzeczywiście do niej trafił. Nie zawsze kierunek taki będzie odpowiadał trasie domyślnej, zwłaszcza kiedy prowadzi ona do sieci publicznej. W takim przypadku należy skorzystać z możliwości precyzyjnego określenia kierunku – czyli tzw. trasy statycznej. Jak widać, router potrafi zapamiętać 10 definicji tras, pozwalających dotrzeć przez dowolny interfejs do 10 różnych podsieci IP:

2004 BRINET Sp. z o. o.

Page 93

Podręcznik użytkownika routerów Vigor z serii 2500

Definicja trasy statycznej wygląda następująco:

Status/Akcja – służy do dodawania i usuwania, oraz włączania i deaktywacji trasy - należy wybrać zamierzoną pozycję Adres docelowy – adres IP docelowej podsieci

. Nie podaje się adresu pojedynczego hosta, lecz całej podsieci, gdyż normalnie i tak wszystkie hosty należące do tej podsieci będą osiągalne przez ostatni router na trasie. Ewentualne ograniczenia dla wybranych hostów można nałożyć wykorzystując funkcję filtrowania ruchu (patrz opis menu Filtr/Firewall).

Maska podsieci – maska właściwa dla docelowej podsieci (format dziesiętny) Adres bramy – adres IP następnego routera, który pełni funkcję bramy do

określonej podsieci, stanowiąc tzw. router następnego skoku (ang. next hop router). Należy zauważyć, że z danym interfejsem (zwłaszcza Ethernet) może

być połączonych kilka routerów, i mogą one prowadzić do różnych podsieci. Dlatego wybranie właściwej bramy jest istotne dla wyznaczenia jednoznacznej trasy do podsieci docelowej (zobacz przykład dalej). Interfejs sieciowy – kluczowy parametr wskazujący fizyczny interfejs routera, przez który będzie wysłany pakiet mający dotrzeć do podsieci docelowej: LAN – taki wybór oznacza, że router wyśle pakiet poprzez odpowiedni port switcha, tak aby dotarł on na adres MAC odpowiadający IP bramy (bądź hosta docelowego, jeżeli znajduje się on w lokalnej sieci LAN).

2004 BRINET Sp. z o. o.

Page 94

Podręcznik użytkownika routerów Vigor z serii 2500

WAN – pakiet zostanie wysłany poprzez interfejs ADSL. Bramą będzie zwykle

konkretny router w sieci szkieletowej operatora (po drugiej stronie dwupunktowego łącza PPPoE/PPPoA/MPoA). Zwykle operator i tak podaje tylko jeden adres bramy, i zostaje on użyty w kreowanej automatycznie definicji trasy domyślnej, dlatego rzadko tworzenie statycznej trasy ze wskazaniem na interfejs ADSL będzie miało sens praktyczny. Nie mniej możliwość taka istnieje i można ją wykorzystać, kierując ruch do danej sieci przez konkretny router.

Definiowanie trasy domyślnej

W pewnych sytuacjach może wystąpić potrzeba skierowania trasy domyślnej do innego routera, pracującego w sieci LAN. Wykonuje się to z poziomu sesji terminalowej za pomocą komendy ip route add (patrz rozdział Komendy Telnet). Dokonując wpisu należy zachować następującą konwencję:

ip route add 0.0.0.0 0.0.0.0 brama IF0 S

gdzie brama to adres IP następnego routera na trasie. Przykładowo będzie to adres właściwej bramy do Internetu w sytuacji, kiedy Vigor nie ma pełnić tej funkcji. IF0 to symbol interfejsu LAN, zaś S zwraca uwagę na fakt że trasa domyślna jest szczególną formą trasy statycznej. Wartość 0.0.0.0 oznacza tutaj każdy możliwy adres docelowy i maskę podsieci:

2004 BRINET Sp. z o. o.

Page 95

Podręcznik użytkownika routerów Vigor z serii 2500

Okno ukazuje podstawowe czynności, wykonane po zalogowaniu do routera: wyświetlenie tablicy routingu, zdefiniowanie trasy domyślnej prowadzącej przez bramę 192.168.1.32, oraz ponowne wyświetlenie tablicy w celu weryfikacji zmian. Jak widać, na czele listy pojawiła się nowa informacja. Sama pozycja na liście o niczym nie przesądza. Wpisana trasa domyślna zostanie uwzględniona przez router dopiero w momencie stwierdzenia, że żaden inny wpis nie daje konkretnej informacji o tym jak osiągnąć sieć docelową.

Tabela routingu w routerze Vigor

Dostęp do bieżącej tablicy routingu znajduje się również w głównym oknie menu Trasy statyczne. Należy wybrać Pokaż tabelę routingu, po czym otwiera się poniższe okno. Prezentowana zawartość tablicy jest typowa i odpowiada rzeczywistym warunkom pracy routera:

Wpisy w tabeli są opatrzone stosownym komentarzem:

* – oznacza trasę domyślną C – sieć dołączona bezpośrednio do interfejsu routera R – informacja dostarczona przez protokół RIP S – trasa zdefiniowana statycznie

2004 BRINET Sp. z o. o.

Page 96

Podręcznik użytkownika routerów Vigor z serii 2500

~ – występuje dodatkowo kiedy sieć docelowa stosuje adresy prywatne

Ponadto tabela posługuje się następującymi symbolami interfejsów:

IF0 – interfejs LAN IF3 – interfejs WAN (ADSL) IF4 – IF5 – logiczny interfejs oznaczający aktywny tunel VPN

Vigor 2500 może obsłużyć do 2 jednoczesnych połączeń VPN do innych podsieci. Połączeniom odpowiadają wirtualne interfejsy IF4-IF5 pozwalające realizować routing statyczny bądź dynamiczny do tych podsieci (patrz Zdalny dostęp VPN). Zgodnie z powyższymi uwagami, wpis postaci:

R ~ 192.168.2.248 /255.255.255.248 via 192.168.2.173, IF4 (2/120000)

mówi, że protokół RIP dostarczył informację o istnieniu prywatnej podsieci o adresie 192.168.2.248 i masce 255.255.255.248, osiągalnej poprzez tunel VPN (IF4) za pośrednictwem bramy 192.168.2.173. Na końcu podana jest metryka trasy obliczona przez protokół RIP (tzw. koszt osiągnięcia sieci, który ma znaczenie w sytuacji gdy do danej sieci prowadzi wiele tras i konieczny jest wybór optymalnej).

Przykład zastosowania trasy statycznej:

Internet

Vigor

ADSL

192.168.10.0/24

192.168.1.2

192.168.1.1

192.168.1.0/24

192.168.1.3

Do odległej podsieci

211.100.88.0/28

Załóżmy, że dostęp do Internetu został skonfigurowany i funkcjonuje poprawnie, oraz że router Vigor używa adresu 192.168.1.0/24 jako adresu pierwszej podsieci (patrz rozdział Ustawienia podstawowe). Adres własny routera (192.168.1.1) jest

2004 BRINET Sp. z o. o.

Page 97

Podręcznik użytkownika routerów Vigor z serii 2500

bramą do Internetu dla lokalnych hostów. Dodatkowo w sieci LAN pracuje router R2 o adresie 192.168.1.2. Przez niego prowadzi trasa do podsieci

192.168.10.0/24, dla której Vigor ma być również bramą do Internetu. Wiadomo też, że pewna odległa podsieć publiczna 211.100.88.0/28 jest osiągalna przez router R3 o adresie IP 192.168.1.3. Opisaną sytuację ilustruje rysunek.

Oczywiście nie ma konieczności, aby wszystkie routery pochodziły od jednego producenta: Vigor będzie współpracował z każdym poprawnie zainstalowanym routerem obsługującym protokół IPv4. Dlatego szczegóły konfiguracji routerów R2 i R3 zostaną pominięte – wystarczy założyć, że pozwalają one na definiowanie tras statycznych i domyślnych.

W efekcie uruchomienia dostępu ADSL Vigor dysponuje trasą domyślną prowadzącą do Internetu. Oznacza to, że router skieruje tam cały ruch, dla którego w tablicy routingu nie istnieje konkretna trasa alternatywna. Chcąc zatem zrealizować opisane założenia, konieczne jest określenie dodatkowych tras:

1. Trasa statyczna do podsieci 192.168.10.0/24 poprzez bramę 192.168.1.2:

Komunikacja między podsieciami będzie możliwa tylko przy zapewnieniu przepływu pakietów w obie strony. Aby komputery w podsieci 192.168.10.0/24 miały dostęp do Internetu poprzez łącze ADSL, w routerze R2 należy ustawić trasę domyślną z routerem Vigor (192.168.1.1) w roli bramy.

2. Trasa statyczna do podsieci 211.100.88.0/28 poprzez bramę 192.168.1.3:

2004 BRINET Sp. z o. o.

Page 98

Podręcznik użytkownika routerów Vigor z serii 2500

Fizyczna lokalizacja podsieci 211.100.88.0/28 nie jest istotna – może być ona geograficznie bardzo odległa. Z punktu widzenia routera Vigor kluczowa jest jednak informacja, że jest ona osiągalna poprzez bramę 192.168.1.3 i tam należy wysyłać ruch zaadresowany do tej podsieci. Oddzielnym zadaniem będzie zadbanie o to, aby możliwy był przepływ pakietów z podsieci 211.100.88.0/28 do podsieci 192.168.1.0/24 (nie musi on korzystać z tej samej trasy fizycznej, lecz musi być możliwy). Dlatego między innymi w routerze R3 konieczne będzie ustawienie trasy statycznej do podsieci 192.168.10/24 poprzez bramę

192.168.1.2. Wypada też zwrócić uwagę, że do komunikacji z podsiecią

211.100.88.0/28 niezbędne będzie zastosowanie mechanizmu NAT (gdzieś w punkcie styku z siecią publiczną, niekoniecznie w routerze R3).

Filtr/Firewall

Pojęcie „firewall” (z ang. ściana/zapora ogniowa) nawiązuje do stosowanych w budownictwie ognioodpornych przegród, mających w razie pożaru zatrzymać jego ekspansję na sąsiednie pomieszczenia.

W parze z rozwojem technologii dostępu do Internetu powstała określona liczba sprawdzonych metod zabezpieczania sieci lokalnych przed niepożądanym dostępem osób trzecich (przejęcie danych), nieuzasadnionym korzystaniem przez użytkowników z łącza dostępowego, czy wreszcie przed zamierzonym atakiem mającym na celu paraliż funkcjonalny lokalnych systemów (np. ważnych serwerów). W dzisiejszej terminologii sieciowej firewall oznacza urządzenie lub grupę urządzeń, które pracują na styku sieci lokalnej z publiczną i których zadaniem jest wieloraka ochrona lokalnych zasobów. Kryje się za tym głównie złożona kontrola ruchu (filtracja) i detekcja stanów nietypowych, wskazujących na określony rodzaj zagrożenia.

Problem bezpieczeństwa sieci jest wielowymiarowy i sprowadzenie go wyłącznie do koncepcji elektronicznej zapory byłoby uproszczeniem. W rzeczywistości firewall stanowi bardzo ważny element tzw. polityki bezpieczeństwa, jednak nie jedyny, zwłaszcza w przypadku sieci firmowej z której korzysta wielu pracowników. Dla równowagi konieczna jest też wewnętrzna kontrola dostępu za pomocą haseł, zdefiniowanie uprawnień poszczególnych osób, ich przeszkolenie w zakresie postępowania z hasłami itd.

Router Vigor oferuje bogaty zestaw możliwości, odpowiadający nowoczesnej koncepcji firewall na poziomie wymagań użytkownika prywatnego czy też

2004 BRINET Sp. z o. o.

Page 99

połą

Podręcznik użytkownika routerów Vigor z serii 2500

niedużej firmy. Istnieje możliwość określenia do jakich miejsc/usług Internetowych może mieć dostęp dany użytkownik, oraz zablokowania przepływu określonych dokumentów czy plików. Można odrzucić określony ruchu przychodzący, tak aby nie dostał się on do sieci LAN, oraz rejestrować i blokować wzorce ruchu rozpoznane przez router jako określony rodzaj ataku.

Architektura filtru pakietów w routerze Vigor

W centrum oferowanej przez router Vigor funkcji firewall znajduje się filtr pakietów. Jest to narzędzie pozwalające precyzyjnie ustalić które pakiety IP będą wpuszczone do sieci lokalnej, oraz które mogą ją opuścić. Pakiety mogą być rozpoznawane na podstawie źródłowych i docelowych adresów IP, opcji zawartych w nagłówku (np. fragmentacja), oraz przenoszonych protokołów. Przede wszystkim określa się rodzaj protokołu i ustala zakres portów dla TCP i UDP. Do budowy filtru można użyć wielu oddzielnie zdefiniowanych reguł. Poprzez ich łączenie w logiczną całość uzyskuje się zamierzony cel – odrzucenie bądź akceptację praktycznie dowolnego rodzaju ruchu (przychodzącego bądź wychodzącego z sieci lokalnej). Innym ważnym aspektem filtru jest możliwość określenia jakie pakiety/aplikacje mogą pobudzać router do zainicjowania połączenia wychodzącego do Internetu.

Domyślnie kontrola ruchu odbywa się poprzez dwa zestawy reguł: Filtr Połączeń (ang. Call Filter), oraz Filtr Danych (ang. Data Filter) według schematu pokazanego na rysunku:

Łącze

aktywne?

nie

Filtr

Połączeń

czenie

Interfejs LAN

tak

odrzucenie

Interfejs WAN

Filtr Danych

odrzucenie

Każdy pakiet IP jest traktowany oddzielnie. Jeżeli z tabeli routingu wynika konieczność jego wysłania poprzez interfejs WAN (ADSL), router bada aktualny

2004 BRINET Sp. z o. o.

Page 100

Podręcznik użytkownika routerów Vigor z serii 2500

stan łącza. Jeżeli łącze jest nieaktywne, pakiet zostaje przekazany do Filtru Połączeń. Filtr ten decyduje o tym czy dany pakiet może być powodem nawiązania połączenia, czy też nie. Jeżeli pakiet nie zostanie odrzucony przez żadną z reguł filtru – następuje nawiązanie połączenia i wysłanie pakietu. Natomiast jeżeli w danym momencie łącze WAN jest aktywne, pakiet jest poddawany rygorom Filtru Danych. Dotyczy to także pakietów napływających od strony sieci publicznej poprzez aktywne połączenie WAN – są one również filtrowane przez Filtr Danych, celem określenia czy mają zostać przekazane do sieci lokalnej poprzez interfejs LAN (switch).

Jak widać, Filtr Połączeń koncentruje się tylko na ruchu wychodzącym na zewnątrz. Z kolei Filtr Danych musi posiadać dodatkowo oddzielne reguły dla ruchu przychodzącego (zobacz dalej – szczegóły konfiguracji reguł – kierunek).

Konfiguracja Firewall

Główne okno pokazane na rysunku oferuje dostęp do poszczególnych elementów Firewall:

100

2004 BRINET Sp. z o. o.