PPPoE и IPoE — отличительные черты

Случилось чудо! Помните, в моем рассказе о том какой роутер выбрать, я говорил о том что его надо выбирать под провайдера, и многие сейчас стали использовать l2tp протокол, очень прожорливый на тарифах больше 50 Мбит/c, что требует роутер по мощности и энергопотреблению больше напоминающий ноутбук? Так вот, мой провайдер Билайн, как и многие другие по больнице, начал отказываться от ссаного l2tp в пользу нечто, что они гордо величают IPoE. Как же хорошо что я не купил новый роутер за много-много денег, потому что IPoE это не что иное как старое доброе DHCP, которое поддерживает любая ссанина купленная в конце 90-х годов. Для новой технологии IPoE вам наверняка начнут навязывать купить распиздатый брендированный роутер провайдера – не ведитесь! Вам подойдет абсолютно любой роутер с барахолки, и скорость он будет выдавать нормальную. Единственное что требуется – нормальная прокачка между портами. То есть все настройки теперь по сути живут на стороне провайдера, а пользователю достаточно выбрать автоматическое получение IP, то есть DHCP, и все. При первом подсоединении у вас попросят ввести логин и пароль, после чего попросят подождать минут 10. Такое есть не у всех провайдеров, но Билайн таким образом привязывает ваш роутер по MAC-адресу к вашему логину и паролю, и порту на их маршрутизаторе. Если MAC адрес изменится – ну например вы подключите другой роутер, или напрямую компьютер или ноутбук, то нужно будет пройти повторную привязку. Все. Больше не надо настраивать никакие маршруты, поднимать VPN, и заебывать техподдержку вопросами про L2TP. То есть снижение нагрузки на техподдержку, а также возможность установить более дешевые маршрутизаторы у провайдера и любую самую дешевую ссанину на конце пользователя – думаю основные причины отказа от l2tp в пользу отсутствия настроек. Я много думал о безопасности, в принципе реализация l2tp у большинства провайдеров подразумевала только аутентификацию, но никак не шифрацию траффика, поэтому любой ваш сосед Вася мог где-то за сутки легко взломать ваш пароль и начать тырить ваш инет. Сейчас жизнь этого Васи еще сильнее упростилась. Он просто разрезает кабель идущий от провайдера в вашу квартиру, дальше подключает кусок который от вас до дяди Васи себе в LAN порт роутера, считывает ваш MAC, тот самый который вы зарегистрировали, указывает этот же мак на WAN порте своего роутера, и подключает туда тот кусок провода который идет к провайдеру. Все. Теперь во врезке стоит роутер Васи, и он войдет в интернет под вашим MAC адресом без всяких паролей, потому что этот MAC уже привязан, а вы можете подключать любые устройства с любым маком, и ничего не заподозрить, потому что интернет вам по факту раздает уже дядя Вася, а не провайдер. Вася может вам напакостить – ну накачать ЦП и ругать президента в интернетах пользуясь на вас зарегистрированным соединением. То есть нужно учитывать этот риск, но он все же минимален, а экономия на оборудовании существенная, скорость гораздо выше, задержки меньше и настройка проще.

В последнее время очень популярна стала технология IPoE. Популярна настолько, что некоторые провайдеры решились внедрить её в существующую сеть. И ведь действительно, на первый взгляд сплошные плюсы. Приведу несколько плюсов на вскидку: в отличии, от PPPoE, не нужен дорогостоящий BRAS, не нужно тратиться на подсети внешних адресов, меньшая нагрузка на оборудование, за счет отсутствия тоннелей, нет необходимости гонять внутренний трафик через BRAS. Плюсов можно найти кучу, но, почему-то, мало кто задумался о минусах. На данную технологию даже нет RFC, не говоря уже о том, что многое дешевое оборудование, использующееся на доступе, не всегда корректно работает с options 82. Самый главный минус, на мой взгляд – безопасность конечных пользователей. Рассмотрим для примера metro ethernet сеть, в которой услуга предоставляется по технологии PPPoE (рис.1). рис.1 В данной схеме используется технология Q-in-Q. Если говорить грубо – виллан в виллане. На кольцо доступа выделяется один vlan для PPPoE. На коммутаторах в кольце доступа, куда включаются непосредственно абоненты, номера vlan’ов идет в зависимости от места коммутатора в кольце доступа и порта. Например:

• первый коммутатор 1 порт – vlan 101, 2 порт – vlan – 102;
• второй коммутатор 1 порт – vlan 201, 2 порт – vlan – 202.

Далее, на L3 коммутаторе агрегации, это собирается в C-Vlan вида 33290101, 33290102 итд. В таком виде, это отправляется к BRAS. Причем, оборудование, которое стоит на канале между BRAS и роутером в кольце агрегации может и не поддерживать Q-in-Q. При такой схеме, у каждого пользователя есть свой логин/пароль. И, даже если его украдет злоумышленник, то использовать он его сможет только с порта абонента. Если включится в другой порт, логин/пароль будет бесполезен. Теперь, рассмотрим ситуацию, Когда пришел начальник Ибрагим Аврамович и сказал – я хочу IPoE (рис.2). рис.2 Сказано – сделано. Вы перетрясли всю сеть. Сделали IPoE. В наиболее распространенном варианте, привязка будет идти к порту и маку коммутатора доступа. Завязали ваш dhcp сервер с биллингом, причем, вся завязка состоит в том, что биллинг отправляет куски конфига на dhcp сервер. Поставили NAT! Теперь можно давать хомячкам серые адреса и натить, экономия же! Ибрагим Аврамович доволен, но замечает, что можно выдавать и белые адреса особо ретивым пользователям, за отдельную плату конечно. Q-in-Q вы решили оставить, чтобы хоть как-то разделить пользователей. Вы все сделали – вы молодец. От пользователей теперь не требуется вбивать логин и пароль, тех. поддержка забыла про ошибки 691. Ибрагим Аврамович выбирает новый Лексус. Вам дали прtмию 2048 рублей. Все счастливы. Казалось бы, что может нарушить данную стройную идиллию? А нарушить её может схема, изображенная на рисунке 3. рис.3 Давайте посмотрим на неё внимательнее. Тетя Глаша из квартиры №1 честно платит за интернет. Для наглядности, у тети Глаши будет серый адрес. А её сосед – кулцхакер Василий, за интернет платить не хочет. Идёт в ближайший магазин и покупает:

• мыльницу-роутер (а-ля dir-100);
• несколько метров витой пары;
• обжимку, пару конекторов.

Пока, тетя Глаша и прочие жильцы на работе, Василий нагло врезается в кабель тети Глаши. Проводит кабель к себе домой. По 1,2,3,6 жиле, он будет сосать халявный интернет, а по оставшимся, он подключит тётю Глашу (что называется – по обратке), чтобы она ничего не заподозрила и не вызвала монтажника. Так как, никаких логин/паролей нет. Ничто не помешает Василию получить свой бесплатный интернет. А далее – дело техники. На роутере поднимается dhcp и NAT. Причем, при желании ip тете Глаше можно выдать из той же подсети, что использует провайдер, чтобы свести подозрения к минимуму. В случае, если серые ip выдаются не из пула, а существует жесткая привязка ip к порту, все ещё проще. И так, Вася получил халявный интернет. Тетя Глаша ничего не заметила, только стала удивляться столь частым взломам любимых однакласников и – «картинкидолгогрузятся». Послесловие: Согласен, что некоторые делают ещё и привязку к mac адресу абонента. Но, господа, вы создаете себе геморрой. А если у хомячка нет локалки/роутера, а компьютера два, три итд? А если сгорела сетевая? Каждый раз звонить в тех/ поддержку и диктовать mac. И хорошо, если хомячек не впадет в панику, при слове mac. К тому же, Васе mac узнать не составляет труда, а подменить ещё проще. К вопросу о СОРМЕ и кровавой Гэбне. Что мешает потомственному ваххабиту Ашоту прийти в любой подъезд, скрутить кабель, написать похабщины в интернете /накачать торрентов и скрыться не пойманным? Здесь не будет стопорных механизмов публичных wi-fi сетей. На какое-то серьёзное исследование по безопасности естественно не претендую, но, на мой взгляд, есть повод задуматься.

Руководство по настройке роутера D-link на IPoE

Подробности

Категория: Настройки

Опубликовано: 07 декабря 2016

В данной статье описан процесс настройки IPoE соединения, на роутерах компании D-Link.

• кабель провайдера 
• компьютер или ноутбук;
• роутер, который будет раздавать Интернет по Wi-Fi на ноутбук, телевизор с Wi-Fi, планшет или смартфон

Подключим оборудование следующим образом:

• блок питания включаем в разъем роутера «Power»;
• кабель Интернет-провайдера подключим в синий WAN порт роутера;
• компьютер подключим к роутеру с помощью сетевого кабеля в любой желтый LAN порт;
• остальные устройства (ноутбук, планшет, телевизор с Wi-Fi, смартфон) подключим по беспроводной связи Wi-Fi.

Переходим к настройке роутера.

Откройте браузер Internet Explorer и укажите адрес 192.168.1.1 или 192.168.0.1

В появившемся окне вводим имя пользователя admin и пароль admin.

Если по умолчанию меню настройки отображается у Вас на английском языке, Вы можете вырать язык в верхней части экрана, наведя курсор на знак британского флага.

Справа внизу выбираем «Расширенные настройки»

Далее в разделе «Сеть» выбираем ссылку «WAN»

В отобразившемся окне мы видим таблицу подключений, нажимаем кнопку «Добавить»

В следующем окне, в разделе «Главные настройки» выбираем «Тип подключения» — «Динамический IP»

Далее необходимо установить на роутере MAC адрес, совпадающий с вашим компьютером. В случае, если вы подключены к роутеру через кабель, достаточно нажать на кнопку «Клонирование MAC адреса»  

Далее сверьте все настройки и нажмите кнопку «Применить»

Напротив только что созданного подключения необходимо установить «шлюз по умолчанию»

На этом настройка роутера на новый тип подключения завершена.

Настройка безопасности WiFi соединения

Если вы желаете самостоятельно настроить парольна ваш WiFi, необходимо перейти в «Расширенные настройки» и в разделе WiFi выбрать «Настройки безопасности»

Далее выбираем метод сетевой аутентификации WPA2-PSK, новый пароль можно ввести в поле «Ключ шифрования PSK». Пароль должен состоять из минимум 8 символов в английской раскладке, дополнительные символы (*,/_:%») не допускаются.

Подключение ноутбука к WiFi роутеру

Подключение ноутбука к Интернету выполним по Wi-Fi.

Для этого в нижнем правом углу монитора выберем значек управления беспроводными сетями. После обновления списка беспроводных сетей, в нем должна появиться наша сеть. Выберем ее и нажмем кнопку «Подключить».

На следующем шаге введите пароль для подключения к роутеру D-Link по Wi-Fi.

Вводим пароль, который указали в поле PSK Password: в настройках роутера. После этого на ноутбуке появится Интернет.

Вы можете подключить к Wi-Fi роутеру D-Link устройства, которые поддерживают работу по Wi-Fi, например, телевизор, нетбук, планшет, смартфон. Для этого необходимо в устройстве выбрать точку доступа D-Link и ввести пароль.

Восстановление пароля для входа в настройки роутера D-Link  

Если Вы забыли пароль для входа в настройки роутера D-Link, можно восстановить заводские настройки и пароль.

Для этого с обратной стороны роутера зажмите на 8-10 секунд кнопку Reset.

После этого можно будет зайти в настройки роутера по адресу 192.168.1.1 или 192.168.0.1 со стандартным именем пользователя admin и паролем admin и выполнить настройку точки доступа.

Используемые источники:

• https://izzylaif.com/ru/настройка-ipoe-инструкция/
• https://habr.com/post/170371/
• https://www.lutacom.net/punkt-2/268-rukovodstvo-po-nastrojke-routera-d-link-na-ipoe.html