Интернет

Способы подключения к Интернету

Прежде всего интернет-центры Netcraze предназначены для подключения к Интернету разными способами — по Ethernet или оптоволоконной линии, по Wi-Fi или телефонной линии DSL, через мобильную сеть 3G/4G/LTE.

Возможно подключение к Интернету через предоставленный провайдером PON-терминал или модем с портом Ethernet.

Ниже представлен обзор различных способов подключения к Интернету, поддерживаемых интернет-центрами Netcraze.

Подключение по выделенной линии Ethernet

Все интернет-центры Netcraze предназначены прежде всего для надежного полнофункционального подключения к Интернету по выделенной линии Ethernet через провайдеров, использующих любые типы подключений: IPoE (самый распространенный тип подключения по технологии IPoE без логина и пароля для доступа в Интернет), PPPoE, PPTP, L2TP, 802.1x, VLAN 802.1q, IPv4/IPv6. Возможно совместное использование Netcraze и PON-терминала для расширения или дополнительной защиты домашней сети.

Подключение через модемы 3G/4G/LTE

Режим Wireless ISP (WISP)

Иногда вам может потребоваться подключить существующую домашнюю сеть к Интернету, предоставляемому по Wi-Fi. Это может быть провайдерский хот-спот Wi-Fi, сеть Wi-Fi вашего соседа, открытая сеть какого-то кафе находящегося поблизости или резервное подключение к мобильной точке доступа в смартфоне при сбое у основного провайдера.

Если вы путешествуете с множеством гаджетов, режим WISP будет удобен для подключения к сети Wi-Fi в гостинице. Ваш Netcraze подключается к Wi-Fi сети гостиницы, а все мобильные устройства к его предварительно настроенной, защищенной сети Wi-Fi.

Доступ по ADSL / VDSL

Интернет-центры Netcraze DSL (KN-2010), Duo (KN-2110), Hopper DSL (KN-3610), Skipper DSL (KN-2112), Ultra SE (KN-2510), Giga SE (KN-2410) и Launcher DSL (KN-2012) оснащены встроенным модемом ADSL2+/VDSL2, что позволяет подключить Интернет по технологиям DSL без участия внешних модемов и роутеров. К другим моделям Netcraze, имеющим USB-порт, можно подключить дополнительный USB-модуль Netcraze Plus DSL и дополнить интернет-центр функциями современного DSL-модема. Модуль подключается к интернет-центру по USB, управляется его операционной системой и не требует отдельного блока питания. Модем позволяет выходить в Интернет по технологии ADSL2+ на скорости до 24 Мбит/с или по VDSL2 на скорости до 100 Мбит/с. DSL-подключение можно использовать как основное или как резервное, включающееся автоматически при проблемах на основном канале доступа в Интернет.

Подключение к нескольким провайдерам одновременно (Multi-WAN)

С помощью интернет-центра Netcraze вы можете организовать множественные подключения к нескольким провайдерам одновременно (в сетевой терминологии эту функцию также называют Multi-WAN). Например, можно подключить одновременно два интернет-кабеля Ethernet от разных провайдеров и настроить резервирование основного подключения. При сбое в сети основного провайдера Netcraze автоматически переключится на работу с запасным каналом. Функцию Multi-WAN поддерживают все без исключения модели интернет-центров Netcraze.

Примечание

Перед подключением и настройкой интернет-центра нужно выяснить следующую информацию (узнать её можно в службе технической поддержки вашего интернет-провайдера или из договора):

Используется ли логин (имя пользователя) и пароль для доступа в Интернет;
Если используется логин и пароль, то какой протокол доступа используется — PPTP, L2TP или PPPoE;
При подключении через PPTP и L2TP нужно узнать IP-адрес или доменное имя VPN-сервера;
Какой IP-адрес вам предоставляет провайдер для работы в сети Интернет — постоянный публичный "белый" или частный "серый" IP-адрес;
Если используется постоянный публичный IP-адрес, нужно узнать этот адрес, а также другие параметры IP (маска подсети, основной шлюз и DNS-адреса провайдера);
Регистрирует ли ваш провайдер MAC-адрес устройства, с которого будет осуществляться доступ в Интернет; какой МАС-адрес зарегистрирован у провайдера; если в договоре с провайдером указан MAC-адрес другого устройства, например вашего компьютера, рекомендуем перед подключением сообщить провайдеру WAN MAC-адрес интернет‐центра, напечатанный на его этикетке, или же сменить MAC-адрес интернет‐центра в процессе настройки подключения.

Проводной

Подключение к Интернету по Ethernet

Интернет-центры Netcraze позволяют настроить подключение к Интернету по выделенной линии Ethernet через провайдеров, использующих любые типы подключений: IPoE, PPPoE, PPTP, L2TP, 802.1x, VLAN 802.1q, IPv4/IPv6.

Также возможно подключение к Интернету через предоставленный провайдером PON-терминал или модем с портом Ethernet.

Кабель выделенной линии Ethernet от провайдера, оканчивающийся стандартным 8-контактным коннектором RJ-45, должен быть проложен до места расположения интернет‐центра и подключен к его порту 0 (WAN/Интернет).

Важно

Если в договоре с интернет-провайдером указан MAC-адрес другого устройства, например вашего компьютера, перед подключением кабеля выделенной линии сообщите провайдеру WAN MAC-адрес интернет‐центра, напечатанный на его этикетке, или же смените MAC-адрес интернет‐центра в процессе настройки подключения (сделать это можно по инструкции "Смена WAN MAC-адреса").

Самый популярный и простой способ подключения к сети по технологии IPoE. При этом способе не потребуется логин и пароль для доступа в Интернет. Достаточно подключить кабель провайдера к порту 0 интернет-центра, а домашние устройства подключить к его сети Wi-Fi или кабелем Ethernet к свободным сетевым портам. Как правило, дополнительной настройки не требуется.

В случае если интернет-провайдер выделил вам постоянный публичный IP-адрес для работы в сети Интернет, его нужно указать в настройках интернет-центра. Для этого перейдите на страницу "Подключения к интернету по Ethernet-кабелю". В разделе "Параметры IPv4" в поле "Настройка IPv4" установите значение "Ручная".

Затем в поле "IPv4-адрес" впишите адрес, предоставленный провайдером.Если интернет-провайдер также предоставил другие параметры IP (маску подсети, адреса шлюза и DNS), укажите их в соответствующих полях. Например:

Смена WAN MAC-адреса

Некоторые провайдеры ограничивают доступ в Интернет только с одного устройства и регистрируют определенный MAC-адрес. Обычно, пользователь предоставляет провайдеру MAC-адрес сетевого адаптера компьютера. В этом случае доступ в Интернет будет возможен только с данного MAC-адреса.

Если это действительно так и вы знаете MAC-адрес, который зарегистрирован у вашего интернет-провайдера — это может быть адрес вашего предыдущего маршрутизатора, сетевого адаптера вашего ПК или МАC-адрес просто распечатывается в договоре, тогда можно заменить заводской МАС интернет-центра с необходимым MAC-адресом, которые ваш провайдер примет.

Подсказка

Если в договоре с провайдером указан MAC-адрес другого устройства, например вашего компьютера, перед подключением кабеля выделенной линии сообщите провайдеру WAN MAC-адрес интернет‐центра, напечатанный на его этикетке, или смените MAC-адрес интернет‐центра в процессе настройки подключения.

Клонирование MAC-адреса возможно только при подключении компьютера по Ethernet-кабелю!

На странице "Подключения к интернету по Ethernet-кабелю" в разделе "Требования провайдера" в поле "MAC-адрес" можно выбрать одно из значений:

"По умолчанию" — будет использоваться WAN MAC-адрес, указанный на наклейке интернет-центра;

"Взять с вашего ПК" — произойдет смена WAN MAC-адреса интернет-центра на MAC-адрес вашего компьютера;

"Вручную" — можно вручную указать MAC-адрес, который будет использоваться как WAN MAC-адрес.

Узнать MAC-адрес компьютера вы можете в операционной системе по инструкции "Как в Windows посмотреть настройки сетевой карты (IP-адрес, MAC-адрес и IP-адрес шлюза провайдера)?"

Подключение к Интернету по протоколу PPPoE

Протокол PPPoE обычно используется при подключении к Интернету по ADSL / VDSL (самый распространенный способ), но иногда такой тип подключения применяется и у провайдеров предоставляющих Интернет по выделенной линии Ethernet.

На странице Подключения к интернету по Ethernet-кабелю в разделе Аутентификация у провайдера (PPPoE / PPTP / L2TP) в поле Тип (протокол) укажите значение PPPoE.

Затем в полях Имя пользователя и Пароль введите соответственно логин и пароль, предоставленные провайдером для подключения к Интернету.

Примечание

Если вы забыли имя пользователя и пароль для PPPoE, вы можете автоматически перенести их с вашего прежнего роутера. Эта функция доступна при подключении по Ethernet и не поддерживает DSL-подключения.

Нажмите на Импорт настроек из прежнего маршрутизатора для начала переноса данных подключения.

Используйте кабель RJ-45 для соединения порта WAN вашего прежнего роутера и указанного порта на устройстве. Затем включите прежний роутер.

После завершения переноса имя пользователя и пароль с прежнего роутера появятся в соответствующих полях.

Нажмите Показать дополнительные настройки PPPoE для отображения полей с дополнительными параметрами.

Поля Имя сервиса и Имя концентратора являются необязательными, оставьте их пустыми, если ваш провайдер не предоставил дополнительной информации.

В поле Настройка IPv4 оставьте значение Авто, если IP-адрес для доступа в Интернет провайдер назначает автоматически.

Если провайдер предоставил вам постоянный (статический) IP-адрес, укажите в поле Настройка IPv4 значение Ручная и в появившихся полях IP-адрес и Удаленный IP-адрес укажите соответственно IP-адрес и адрес шлюза. Например:

Если ваш провайдер не выдает IP-адрес на внешний интерфейс интернет-центра и не требует его назначения, отключите режим автоматического получения IP-адреса по DHCP на WAN-порту. Для этого в разделе Параметры IPv4 в поле Настройка IPv4 укажите значение Не используется.

Подключение к интернету по протоколу PPTP или L2TP

Протоколы PPTP и L2TP достаточно часто используются в сетях интернет-провайдеров. Главным преимуществом этих протоколов является безопасность передачи данных в Интернет. Далее мы рассмотрим пример настройки подключения по протоколу PPTP, как наиболее распространенного. Подключение L2TP настраивается аналогично.

На странице Подключения к интернету по Ethernet-кабелю в разделе Аутентификация у провайдера (PPPoE / PPTP / L2TP) в поле Тип (протокол) укажите значение PPTP или L2TP, в зависимости от того, какой тип подключения вы хотите настроить. В поле Адрес сервера впишите IP-адрес или доменное имя PPTP- или L2TP-сервера. В поля Имя пользователя и Пароль введите соответственно логин и пароль, предоставленные провайдером для подключения к Интернету.

Нажмите Показать дополнительные настройки PPTP для отображения полей с дополнительными параметрами.

В поле Проверка подлинности по умолчанию установлено значение Авто. Если интернет-провайдер требует использования определенного метода аутентификации, выберите PAP, CHAP, MSCHAP или MSCHAP-V2.

Если для протокола PPTP используется шифрование данных (MPPE), включите соответствующую опцию.

В поле Настройка IPv4 оставьте значение Автоматическая, если IP-адрес для доступа в Интернет провайдер назначает автоматически.

Если провайдер предоставил вам постоянный (статический) IP-адрес, укажите в поле Настройка IP значение Ручная и в появившихся полях IP-адрес и Удаленный IP-адрес укажите соответственно IP-адрес и адрес шлюза. Например:

В поле Настройка IPv6 оставьте значение Автоматическая, если параметры IPv6 назначаются провайдером автоматически. Если провайдер предоставил вам статические настройки IPv6, укажите в поле Настройка IPv6 значение Ручная и в появившихся полях введите IPv6-адрес, IPv6-префикс и Основной шлюз IPv6. Например:

Чтобы отключить обработку IPv6 для этого подключения, выберите значение Не используется.

Настройка подключения IP-телевидения (IPTV)

В большинстве случаев, при использовании в интернет-центре Netcraze предустановленных заводских настроек, цифровое телевидение (IPTV) работает сразу же как на компьютерах, так и на приставках, без предварительной настройки.

Многоадресная рассылка используется для предоставления услуги IP-телевидения. Убедитесь, что в интернет-центре установлен компонент системы "Прокси-службы для IGMP и PPPoE", который транслирует сообщения IGMP/PPPoE между различными интерфейсами. Сделать это можно на странице "Общие настройки" в разделе "Обновления и компоненты NDMS", нажав на "Изменить набор компонентов".
Настройте подключение к Интернету и подключите приставку или компьютер, на котором вы планируете смотреть телевидение, к любому из сетевых (LAN) разъемов интернет-центра, предназначенных для домашней сети. Проверьте работоспособность IP-телевидения.
Некоторые провайдеры, при использовании регистрации MAC-адреса ТВ-приставки, требуют выделения специального ТВ-порта на роутере, к которому будет подключаться приставка. Такой порт напрямую, в режиме "прозрачного моста", соединяется с сетью провайдера, подключенной к Netcraze через WAN-порт Интернет и позволяет провайдеру видеть MAC-адрес приставки. Перевести один из сетевых разъемов для домашней сети в режим ТВ-порт можно следующим образом:
- Перейдите на страницу "Подключения к интернету по Ethernet-кабелю", в разделе "Порты и VLAN'ы" установите режим "ТВ-приставка" для того порта, к которому будет подключена приставка IPTV (в нашем примере приставка будет подключена к порту 3).
- Если провайдер предоставил вам номер VLAN для подключения к IP-телевидению, введите его в поле "IPTV". Если IP-телевидение предоставляется без VLAN, выбирать порт для приставки обычно не требуется.
Когда вы выполните указанные настройки, приставка будет подключена напрямую к сети провайдера через роутер. Подключите приставку IPTV к ТВ-порту и перезагрузите ее. Приставка должна получить IP-адрес из сети провайдера, и затем вы сможете принимать цифровое телевидение.
Указанных выше действий обычно достаточно, чтобы смотреть IP-телевидение.
Интернет-центр Netcraze также позволяет осуществлять более тонкие настройки, предназначенные для тех пользователей, кто использует нестандартную схему подключения, например с использованием другого интерфейса для приема IPTV.
Как было написано выше, необходимо, чтобы в интернет-центре был установлен компонент системы "Прокси-службы для IGMP и PPPoE". Служба IGMP proxy ретранслирует поток многоадресной рассылки от провайдера к устройствам домашней сети. Многоадресная рассылка используется для предоставления услуги IP-телевидения.
Перейдите на страницу "Домашняя сеть" в раздел "IGMP-прокси". Настройки по умолчанию на данной странице подходят для большинства провайдеров.
По умолчанию в поле "IPTV-подключение" указан интерфейс, который смотрит в сеть провайдера (в нашем примере это "Ethernet-подключение") и откуда будет приходить IP-телевидение.

Важно

Если вы используете Mesh Wi-Fi-систему и организовали расширение сети с помощью ретрансляторов, убедитесь что на них установлен компонент системы "Прокси-службы для IGMP и PPPoE", в противном случае ретрансляторы не смогут передавать поток многоадресной рассылки и значит не будет работать IPTV на устройствах подключенных к ретрансляторам.

Подсказка

Если указанные выше действия не привели к успеху, пожалуйста, проверьте работоспособность IPTV со стороны провайдера, подключив приставку или компьютер, на котором вы планируете смотреть телевидение, напрямую к кабелю провайдера, т.е. без использования Netcraze. Если в этом случае телевидение работает, а через Netcraze – нет, заведите обращение в нашу Службу поддержки. В обращении просим указать ваш город, название провайдера и тарифного плана, предоставить ссылку на инструкцию по настройке IPTV вашего провайдера для рекомендуемых им маршрутизаторов, а также приложить системный файл self-test роутера Netcraze.

Также обращаем ваше внимание, что межсетевые экраны (брандмауэры) и некоторые антивирусы, используемые в вашей сети или установленные на компьютере, могут блокировать мультикастовый трафик. Если у вас по какой-то причине не заработало IP-телевидение, как вариант, попробуйте временно отключить их.

Иногда возникают вопросы связанные с подключением и организацией IPTV по сети Wi-Fi. Некоторые способы подключения представлены в статье: "IPTV по Wi-Fii".

Mobile

Подключение к Интернету через модем 5G/4G/3G

Любой роутер Netcraze, у которого есть USB‑порт, позволяет настроить модемы 5G/4G/3G, LTE, CDMA для подключения к Интернету от оператора сотовой связи. Все устройства в домашней сети могут одновременно пользоваться Интернетом через один USB-модем.

Можно использовать 5G/4G/3G-модем для основного подключения к Интернету или для резервного в дополнение к подключению по выделенной линии Ethernet. Вы даже можете резервировать один модем другим: на интернет-центрах с двумя USB-портами подключая их непосредственно к портам на устройстве, а на моделях с одним USB-портом — через USB-хаб. В интернет-центре только нужно будет указать, в какой последовательности модемы должны сменять друг друга или страховать проводного провайдера (выполнять роль резервного подключения).

Для моделей Netcraze, которые не оснащены встроенным 5G/4G/3G-модемом, понадобится USB‐модем (приобретается отдельно) для подключения к интернету 5G/4G/3G. На данный момент поддерживается более 150 модемов.

Подсказка

Посмотрите список поддерживаемых USB-модемов и убедитесь, что ваш модем представлен в нем.

Современные USB-модемы 5G/4G/3G умеют работать в нескольких режимах: RAS, CDC-Ethernet, NDIS, QMI. Если модем входит в число поддерживаемых, будьте уверены, что интернет-центр запустит его в оптимальном скоростном режиме (то есть CDC-Ethernet или NDIS, а не RAS). Наши интернет-центры поддерживают модемы Yota согласно спецификации Yota Ready, когда интернет-центр инициализирует LTE-модем и начинает раздавать Интернет вообще без какой-либо настройки.

Подсказка

Расположите модем 5G/4G/3G вблизи окна и не загораживайте предметами, которые могут ослабить сигнал сотовой сети. При необходимости используйте небольшой USB‐удлинитель до 1 метра.

Перед установкой модема отключите на его SIM-карте запрос PIN-кода. Это можно сделать в меню сотового телефона, временно установив в него карту из модема, или с помощью утилиты модема, подключив модем к компьютеру.

В большинстве случаев подключение USB-модема к интернет-центру происходит по принципу — "Подключил и работай", то есть достаточно подключить модем с установленной SIM-картой к USB-порту Netcraze, и убедиться, что на интернет-центре загорелся индикатор (Интернет). Затем проверьте подключение к Интернету с компьютера или мобильного устройства, подключенного через Netcraze.

Примечание

Некоторым USB-модемам требуется до 30 секунд на подготовку к работе.

Посмотреть статус подключения можно на стартовой странице Системный монитор.

Информацию о качестве подключения вы найдете в статье Параметры качества сигнала LTE.

Примечание

В веб-конфигураторе на стартовой странице Системный монитор для некоторых моделей модемов могут не показываться параметры качества сигнала. Вывод этой информации зависит от типа модема и его возможностей. Для некоторых модемов такая возможность недоступна. Параметры качества сигнала отображаются только в том случае, когда сам модем передает их на Netcraze. Обычно информацию об уровне сигнала передают модемы класса NDIS , QMI и CdcEthernet, а не RAS. Эти параметры вы можете посмотреть в собственном интерфейсе USB-модема.

Дополнительную настройку USB-модема 3G/4G, LTE, CDMA можно выполнить в меню Mobile на странице Подключения к интернету через сотовую сеть. Для подключения можно создать расписание работы или включить функцию проверки доступности Интернета (Ping Check).

Важно

Интернет-центры Netcraze умеют управлять питанием USB-модемов. Дело в том, что многие современные модемы — это самостоятельные устройства, которые стартуют и работают независимо от интернет-центра. С одной стороны, это хорошо. Но с другой, многие компактные USB-модемы рассчитаны главным образом на эпизодическую работу в ноутбуке, но не на круглосуточную работу, от которой они, увы, могут сбоить или зависать. С помощью функции Ping Check интернет-центр Netcraze сам обнаружит, что Интернета по какой-то причине нет, и автоматически перезагрузит модем по питанию, чтобы связь появилась снова.

При возникновении трудностей в подключении или работе USB-модема, обратитесь к инструкции Рекомендации по диагностике 3G/4G-подключения.

Настройка резервирования интернета через 5G/4G/3G-модем

Для обеспечения отказоустойчивого доступа в интернет можно подключить интернет‑центр Netcraze одновременно к нескольким провайдерам (так называемый режим Multi-WAN). При сбое основного соединения интернет‑центр быстро переключится на работу с резервным.

Рассмотрим пример настройки резервирования основного соединения. В качестве основного соединения будем использовать подключение к провайдеру по Ethernet, а в качестве резервного канала — подключение к интернету мобильного оператора через 5G/4G/3G-модем.

Процесс настройки показан в видеоинструкции ниже:

Логика работы интернет-центра в нашей схеме будет следующей: Netcraze будет постоянно проверять доступность интернета на основном проводном подключении, и при отсутствии соединения интернет-центр автоматически перейдет на использование резервного подключения к интернету через 5G/4G/3G-модем к сети оператора мобильной связи. Затем, при появлении интернета на основном соединении, интернет‑центр вернется на работу с основным каналом.

Примечание

Некоторые модели Netcraze имеют встроенный 5G/4G/3G-модем для подключения к мобильному интернету. Используя эти модели вам не нужно покупать дополнительный USB-модем, достаточно вставить SIM-карту любого оператора в специальный слот на корпусе роутера. Для моделей Netcraze, которые не оснащены встроенным 5G/4G/3G-модемом, понадобится USB‐модем (приобретается отдельно) для подключения к интернету 5G/4G/3G. На данный момент поддерживается более 150 модемов. Посмотрите список поддерживаемых USB-модемов и убедитесь, что ваш модем представлен в нем.

Настройку данной схемы будем производить через веб-конфигуратор роутера. Сначала нужно выполнить подключение к основному и резервному каналам. В нашем примере в качестве основного соединения используется проводное подключение к провайдеру по кабелю Ethernet.

В качестве резервного канала будем использовать подключение к интернету оператора мобильной связи через 5G/4G/3G-модем. Если вы используете отдельный совместимый USB-модем 5G/4G/3G, подключите его к USB-разъему. Роутер должен определить модем и автоматически установить соединение. Дополнительную информацию по подключению USB-модема вы найдете в статье Подключение к Интернету через модем 5G/4G/3G.

Статус по подключению модема вы можете посмотреть на странице Системный монитор в разделе Интернет.

Таким образом будут созданы два соединения для подключения к разным провайдерам и по разным технологиям. По умолчанию активным будет основное соединение. В нашем примере Ethernet-подключение является основным, а подключение через 5G/4G/3G-модем резервным.

Далее в интернет-центре необходимо настроить функцию проверки доступности интернета Ping Сheck. Она определяет работоспособность подключения к интернету, выполняя опрос заданного сетевого узла. При сбое в сети основного провайдера интернет‑центр автоматически переключится на работу с запасным каналом.

Настройте данную функцию только для основного подключения.

На этом настройка резервирования основного соединения в роутере Netcraze завершена. Теперь Netcraze с помощью функции Ping Check будет постоянно проверять доступность интернета на основном соединении (в нашем примере на Ethernet-подключении), и при его отсутствии роутер автоматически перейдет на использование резервного подключения через 5G/4G/3G-модем для доступа в интернет. Затем, при появлении интернета на основном соединении, роутер автоматически вернется на работу с основным каналом.

Примечание

Начиная с версии NDMS 4.0 реализовано резервирование соединений в режиме По требованию. Подробную информацию вы найдете в инструкции Функция "По требованию" для резервных соединений.

Метрики LTE-сигнала

С версии ОС 3.7 реализовано графическое отображение уровня сигнала для встроенного и подключенных 4G/3G-модемов.

Перейдите в меню Интернет > Mobile и на странице Подключение к интернету через сотовую сеть нажмите кнопку Метрики сигнала.

В появившемся окне вы увидите графическое отображение текущих значений уровня сигнала LTE.

RSSI — отражает силу принимаемого сигнала. Значения ближе к 0 означают более высокую мощность;

SINR — характеризует пропускную способность канала. Более высокие значения означают лучшую производительность;

RSRP — указывает на силу канального сигнала. Значения ближе к 0 означают более высокую мощность;

RSRQ — представляет качество канального сигнала. Чем ближе к 0, тем лучше избирательность.

Дополнительную информацию, с подробным описанием указанных выше параметров, вы найдете в инструкции Параметры качества сигнала LTE.

Параметры качества сигнала LTE

Роутеры оснащенные встроенным 4G-модемом (модели Hero 4G, Runner 4G, Skipper 4G, Explorer 4G) или имеющие разъем USB для подключения внешних USB-модемов, позволяют настроить подключение к Интернету через сеть оператора сотовой связи.

На стартовой странице Системный монитор в разделе Интернет можно посмотреть текущее состояние LTE-подключения.

Для определения качества сигнала обратите внимание на значение Сигнал (CINR / RSSI). По этим значениям можно оценить качество сигнала 4G LTE.

CINR (Carrier to Interference + Noise Ratio) также называемый SINR (Signal to Interference + Noise Ratio) — отношение уровня полезного сигнала к уровню шума (или просто соотношение сигнал/шум). Значение CINR измеряется в дБ (dB).

Положительное значение CINR означает, что полезного сигнала больше, чем шума. Минимальное значение, приемлемое для стабильной работы в сети: CINR = 10 дБ.

Подсказка

Чем выше значение CINR, тем лучше качество сигнала.

Отрицательное значение CINR будет означать, что в принимаемом сигнале шума больше, чем полезного сигнала. При отрицательных или близких к нулю значениях LTE-подключение установить невозможно или оно будет крайне низким по скорости и качеству.

RSSI (Received Signal Strength Indicator) — индикатор уровня мощности принимаемого модемом сигнала. Значение измеряется в дБм (dBm). Минимальное значение, приемлемое для работы в сети: RSSI = -85 дБм.

Подсказка

Чем выше число RSSI, или чем оно менее отрицательное, тем сильнее уровень сигнала (например, значение -48 больше, чем -78). RSSI показывает уровень мощности принимаемого модемом сигнала, а не уровень мощности сигнала Базовой станции.

Ниже приведены примерные значения параметров CINR / RSSI и их оценка.

Отличные показатели: CINR от 30 и выше / RSSI до -65
Хорошие показатели: CINR от 20 до 30 / RSSI от -65 до -75
Удовлетворительные показатели: CINR от 10 до 20 / RSSI от -75 до -85
Плохие показатели: CINR от 10 и меньше / RSSI от -85 и меньше

Подсказка

Данные значения не являются абсолютными. Определение точных значений в данном случае невозможно, т.к. качество LTE-подключения зависит не только от рассматриваемых показателей, но и от ряда других факторов (от загруженности Базовой станции, от качества оборудования на БС, от погоды и др.). Оценка параметров носит условный (субъективный) характер и основан на нашем практическом опыте и данных, полученных от пользователей.

Параметры CINR и RSSI не связаны между собой напрямую, т.е. возможны случаи, когда одно из значений будет высоким, а другое крайне низким.

Важно

Для некоторых моделей USB модемов могут не показываться параметры качества сигнала. Вывод этой информации зависит от типа модема и его возможностей. Для некоторых модемов такая возможность недоступна. Параметры качества сигнала отображаются только в том случае, когда сам модем передает их на Netcraze. Обычно информацию об уровне сигнала передают модемы класса NDIS, QMI или CdcEthernet, а не RAS. Если вы не видите значения параметров сигнала в веб-конфигураторе Netcraze, посмотрите их в собственном интерфейсе USB-модема.

Начиная с релиза ОС 3.4.1 в веб-конфигураторе добавлено отображение уровня сигнала и типа сети 4G/3G для USB-модемов.

Значок качества сигнала в виде "лесенки" соотносится следующим образом со значением RSSI (дБм):

4 ступени: > -65 (отличный сигнал)
3 ступени: от -65 до -75 (хороший сигнал)
2 ступени: от -75 до -85 (средний сигнал)
1 ступень: от -85 до -90 (плохой сигнал)
0 ступеней: < -90 (отсутствует подключение)

В инструкции Как повысить уровень принимаемого сигнала и улучшить качество LTE-подключения? приведены рекомендации по улучшению качества 3G/4G-соединения.

Параметры качества сигнала в интерфейсе USB-модема

При использовании дополнительного USB-модема подключитесь к его собственному интерфейсу по IP-адресу, который ему был назначен интернет-центром Netcraze. В нашем примере интерфейс модема Huawei E3372 доступен по IP-адресу http://192.168.8.1

Вот краткое описание параметров, которые определяют качество сигнала LTE.

RSSI (Received Signal Strength Indicator) — индикатор уровня мощности принимаемого модемом сигнала. Дополнительное описание параметра было приведено выше.

RSRP (Reference Signal Received Power) – среднее значение мощности принятых пилотных сигналов (Reference Signal) или уровень принимаемого сигнала с Базовой Станции. Значение RSRP измеряется в дБм (dBm). При значениях RSRP= -120 дБм и ниже LTE-подключение может быть нестабильным или вообще не устанавливаться.

RSRQ (Reference Signal Received Quality) – характеризует качество принятых пилотных сигналов. Значение RSRQ измеряется в дБ (dB).

SINR (Signal Interference + Noise Ratio) также называемый CINR (Carrier to Interference + Noise Ratio) и в некоторых модемах Ec/Io – отношение уровня полезного сигнала к уровню шума (или просто соотношение сигнал/шум). Дополнительное описание параметра было приведено выше.

CQI (Channel Quality Indicator). Для каждой абонентской станции UE (User Equipment) и каждого частотного блока несущей формируются индикаторы качества канала CQI (Channel Quality Indicator). В зависимости от требуемой для UE скорости передачи данных базовой станцией принимается решение о количестве ресурсных блоков, выделяемых тому или иному пользователю, а какие именно частотные блоки выделять пользователям, зависит от индикатора CQI. Пользователям выделяются те ресурсные блоки, которые обладают наивысшим CQI, а значит, наилучшим соотношением сигнал/шум. Этот параметр может принимать значения от 0 до 15. Чем выше значение, тем лучше (тем выше скорость, которую может выделить базовая станция оператора LTE).

В следующей таблице показаны различные значения этих параметров, которые соответствуют очень плохому, плохому, хорошему и очень хорошему качеству сигнала LTE:

Таблица 1. Качество сигнала LTE

Качество сигнала	RSRP (`dBm`)	RSRQ (`dB`)	SINR/CINR (`dB`)
очень хорошее	>= -80	>= -10	>= 20
хорошее	от -80 до -90	от -10 до -15	от 10 до 20
плохое	от -90 до -100	от -15 до -20	от 0 до 10
очень плохое	<= -100	<= -20	<= 0

В нашем примере на скриншоте выше показан пример качественного сигнала в сети 4G (с параметрами SINR 20 дБ и RSRP -72 дБм).

Выбор частотных диапазонов 4G/3G

В моделях Netcraze со встроенными модемами 4G/3G и некоторыми поддерживаемыми внешними мобильными USB-модемами, вы можете выбрать или отключить определенные частотные диапазоны для 3G UMTS-FDD, 4G LTE-FDD и 4G LTE-TDD.

Каждый band (диапазон частот или кратко частота) можно включить и выключить. Из пула включённых частот интернет-центр автоматически выберет лучшую частоту в данный момент времени для подключения. В зависимости от изменения уровня принимаемого сигнала, окружающих шумов и загруженности базовой станции роутер автоматически может перейти на другую частоту.

В веб-интерфейсе перейдите на страницу Подключения к интернету через сотовую сеть и нажмите Показать частотные диапазоны в разделе Настройки подключения.

В появившемся списке диапазонов отметьте нужные.

Таблица 2. Частотные диапазоны:

Band	Duplex mode	Uplink (MHz)	Downlink (MHz)
1	FDD	1920–1980	2110–2170
3	FDD	1710–1785	1805–1880
7	FDD	2500–2570	2620–2690
8	FDD	880–915	925–960
20	FDD	832–862	791–821
38	TDD	2570–2620
39	TDD	1880–1920
40	TDD	2300–2400
41	TDD	2496–2690

FDD и TDD — это аббревиатура названий методов разделения каналов. FDD (Frequency-Division Duplex) — использует частотное разделение каналов, TDD (Time-Division Duplex ) — использует временное разделение каналов. Дополнительная информация https://ru.wikipedia.org/wiki/LTE.

Полная таблица всех частотных диапазонов LTE представлена в https://en.wikipedia.org/wiki/LTE_frequency_bands.

Важно

Чем выше частота, тем большая скорость передачи данных, но меньшая дальность распространения сигнала.

Механизм выбора частот даёт возможность подключиться к другому сектору базовой станции.

Примеры, когда это может быть полезно:

В случаях когда роутер находится на границе двух секторов и подключение постоянно переключается с одного сектора на другой (с одной частоты на другую). В момент переподключения отсутствует доступ в Интернет.
Подключение может быть с отличным уровнем сигнала, но на данной частоте может быть узкая ширина канала (к примеру 5 МГц). Принудительное подключение на другой частоте к базовой станции с худшим уровнем сигнала, но более широким каналом (к примеру 20 МГц), может дать в итоге более высокие скорости передачи данных.
Базовые станции могут быть перегружены трафиком и количеством подключившихся абонентов, а подключение к более удалённой базовой станции на другой частоте с худшим сигналом в итоге может дать прирост в скорости. Также стоит обращать внимание отдельно как на скорость приёма, так и на скорость отдачи.

Примечание

В интерфейсе командной строки (CLI) интернет-центра есть команда сканирования соседних базовых станций и поворотом антенны можно попробовать подключиться к ним.

Команда show interface cells покажет список базовых станций мобильных сетей..

Синтаксис команды:

(show)> interface <name> cells

<name> — полное имя интерфейса или псевдоним; список доступных интерфейсов можно увидеть с помощью команды interface [Tab]. Встроенный 4G/3G-модем в моделях Hero 4G (KN-2310) и Runner 4G (KN-2210) по умолчанию имеет имя интерфейса UsbQmi0. Другие модели внешних USB-модемов могут иметь другое название интерфейса — UsbLte0.

Пример вывода результатов работы команды:

(show)> interface UsbQmi0 cells
cells:
phy-id: 6f
rssi: -64

cells:
phy-id: 66
rssi: -76

Ввод AT-команд для 5G/4G-модемов

Начиная с версии ОС 3.9 была добавлена поддержка ввода AT-команд через интерфейс командной строки (CLI) роутера для 5G/4G-модемов в режимах NDIS (UsbLte) и QMI (UsbQmi).

Для ввода AT-команд используется следующий формат команд:

для UsbLte интерфейса:

interface UsbLte0 tty send <at-command>

для UsbQmi интерфейса:

interface UsbQmi0 tty send <at-command>

Полный синтаксис команды следующий:

interface {name} tty send {command} [expect] [timeout]

Пример. Показан ввод AT-команд для модема Quectel EP06-E с интерфейсом UsbQmi:

(config)> interface UsbQmi0 tty send ATI
ATI
Quectel
EP06
Revision: EP06ELAR03A08M4G
OK

Mobile::Interface: "UsbQmi0": got expected response.
(config)>

(config)> interface UsbQmi0 tty send AT+QTEMP
AT+QTEMP
+QTEMP: 29,29,29
OK

Mobile::Interface: "UsbQmi0": got expected response.
(config)>

(config)> interface UsbQmi0 tty send AT+QENG="servingcell"
AT+QENG="servingcell"
+QENG: "servingcell","NOCONN","LTE","FDD",250,02,BCCB07,123,2850,
7,5,5,261D,-113,-13,-80,10,10
OK

Mobile::Interface: "UsbQmi0": got expected response.
(config)>

Как повысить уровень принимаемого сигнала и улучшить качество LTE-подключения?

Рассмотрим действия, которые помогут повысить уровень принимаемого 3G/4G-сигнала и улучшить качество подключения:

Расположите 3G/4G-модем как можно ближе к окну (например, на подоконнике). Для подключения USB-модема к интернет-центру Netcraze используйте USB-удлинитель (например, существуют USB-удлинители с присоской для крепления на оконном стекле внутри помещения).
Рекомендуем приобрести качественный (экранированный) USB-удлинитель. Как правило, качественные кабели и удлинители USB имеют сечение провода не меньше толщины стандартного Ethernet-кабеля. Руководствуйтесь следующим принципом — "чем кабель толще, тем лучше", а также обращайте внимание на характеристики кабеля или удлинителя, в которых должно быть указано о наличии экранировки провода и разъема для снижения высокочастотных помех. Но, не используйте слишком длинный USB-удлинитель (более 3 метров), т.к. может произойти падение напряжения в кабеле, что негативно отразится на работе модема. Также желательно иметь на концах кабеля ферритовые кольца для подавления дифференциальных помех.
Антенны приобретаются отдельно. В нашем интернет-магазине вы можете приобрести внешнюю антенну:
- https://shop.keenetic.ru/product/shirokopolosnaya-2g3g4g-mimo-antenna-15-db-kaa15-7002700
- https://shop.keenetic.ru/product/shirokopolosnaya-3g4g-mimo-antenna-kaa15-17002700
Как вариант, попробуйте подключить USB-модем через концентратор USB c собственным адаптером питания (активный хаб). Особенно это актуально, если качество принимаемого сигнала 4G/LTE очень низкое.
Некоторые USB-модемы, когда находятся в зоне неуверенного приема, при поиске сигнала начинают потреблять значительно больше питания, чем это установлено стандартом. Во избежание такой ситуации можно подключить USB-модем через активный хаб.
Разместите USB-модем подальше от возможных источников высокочастотных помех для улучшения полезного сигнала и ослабления шумов. На модем 4G/LTE могут оказывать негативное влияние помехи от других устройств поблизости. Например, возможным источником помех может стать внешний жесткий диск, работающий по стандарту USB 3.0
Некоторые модемы (например, Yota 4G LTE, LU156, WLTUBA-107), помимо стандартного разъема/штекера USB, бывают оснащены дублирующим гнездом Micro/Mini USB, с помощью которого также можно подключить модем через удлинительный провод к интернет-центру. В этом случае, попробуйте подключить USB-модем к интернет-центру кабелем через гнездо Micro/Mini USB.

Описание типов подключений (RAS, CdcEthernet, NDIS, QMI) для 5G/4G/3G-модемов

3G/4G-модемы, подключаемые к интернет-центру Netcraze, могут работать в режимах: RAS, CdcEthernet, NDIS и QMI.

Для работы совместимых USB-модемов нужно в интернет-центре предварительно установить 4 компонента доступных компонента системы:

Последовательный интерфейс для 5G/4G/3G USB-модемов — поддержка режима RAS (UsbModem);
Интерфейс CDC Ethernet для 5G/4G/3G USB-модемов — поддержка режима CdcEthernet;
Интерфейс NDIS для 5G/4G/3G USB-модемов — поддержка режима NDIS (UsbLte);
Интерфейс QMI для 5G/4G/3G USB-модемов — поддержка режима QMI (UsbQmi).

Сделать это можно в веб-конфигураторе на странице Общие настройки системы в разделе Обновления и компоненты, нажав на Изменить набор компонентов. Выполните установку указанных компонентов (из раздела USB-модемы и модули расширения) или убедитесь, что они уже установлены.

Дополнительную информацию по установке компонентов системы интернет-центра Netcraze вы найдете в статье Установка/удаление компонентов.

Обычно USB-модемы, работающие в режимах CdcEthernet , QMI и NDIS, после подключения к интернет-центру будут работать автоматически, и для них не требуется дополнительная настройка. Для модемов в режиме RAS потребуется ручная настройка параметров подключения. Необходимо будет вручную указать оператора и проверить настройки подключения.

1. Режим RAS, эмулирующий последовательный порт RS-232

Режим RAS (Remote Access Service) предоставляет доступ в режиме модема. При подключении модема к интернет-центру в настройках автоматически создается интерфейс UsbModem. Для данного типа модемов требуется ручная настройка параметров подключения. В поле Оператор нужно вручную выбрать оператора сотовой связи, предоставляющего доступ в Интернет для вашего USB-модема. Остальные настройки параметров подключения к сетям различных операторов мобильного Интернета уже предустановлены в операционной системе Netcraze, и как правило, их не нужно менять.

Настройку модема можно выполнить в веб-конфигураторе в меню Mobile на странице Подключения к интернету через сотовую сеть.

2. Режим CdcEthernet, эмулирующий порт Ethernet

Некоторые операторы часто называют такой режим работы HiLink. В этом режиме USB-модем представляет отдельный роутер со своим собственным веб-интерфейсом. При подключении модема к интернет-центру в настройках автоматически создается интерфейс CdcEthernet. Эти модемы не требуют дополнительных настроек подключения и начинают работать сразу.

Если для USB-модема нужно произвести дополнительные настройки, сделать это можно подключив его к компьютеру, при помощи собственного ПО модема.

2.1. Режим CdcEthernet (эмулирующий порт Ethernet) со сменой IP-адреса домашней сети

Встречаются модемы, которые в режиме CdcEthernet выдают IP-адрес из подсети 192.168.1.0/24, совпадающий с IP-адресом домашней сети интернет-центра Netcraze (по умолчанию в интернет-центре предустановлен IP-адрес 192.168.1.1). В NDMS имеется функция предотвращения конфликтов IP-адресов на WAN- и LAN-интерфейсах. Функция включена по умолчанию для USB-модемов типа CdcEthernet. При подключении такого модема Netcraze обнаружит конфликт IP-адресов, автоматически поменяет IP-адрес своей домашней сети на 192.168.2.0/24 и перезагрузится. Чтобы не гадать, какой IP-адрес имеет интернет-центр Netcraze (192.168.1.1 по умолчанию или измененный после подключения такого USB-модема 192.168.2.1), целесообразно открывать веб-интерфейс интернет-центра, указывая в веб-браузере не IP-адрес, а предустановленное имя my.netcraze.net. Проверить, изменился ли IP-адрес, можно в веб-конфигураторе на странице Мои сети и Wi-Fi в разделе Параметры IP.

Важно

Если IP-адрес был изменен, рекомендуется физически отключить и заново подключить USB-модем к интернет-центру.

3. Режим NDIS (Network Driver Interface Specification)

В режиме NDIS происходит эмуляция виртуальной сетевой карты. Такие модемы выглядят со стороны Netcraze как дополнительная сетевая карта. При подключении модема к интернет-центру в настройках автоматически создается интерфейс UsbLte. Обычно такие модемы после подключения к интернет-центру будут работать автоматически, без дополнительных настроек в веб-конфигураторе. В режиме NDIS подключаются USB-модемы Yota. При необходимости дополнительную настройку модема можно выполнить на странице Подключения к интернету через сотовую сеть.

Примечание

Интернет-центры Netcraze Hero 4G+ (KN-2311), Skipper 4G (KN-2910) и Runner 4G (KN-2211) имеют встроенный LTE/4G/3G-модем, который работает в режиме RNDIS.

4. Режим QMI (Qualcomm MSM Interface)

Начиная с версии NDMS 3.4 реализована поддержка USB-модемов с интерфейсом QMI. Данный интерфейс используется для современных модемов на базе процессора Qualcomm.

Примечание

Интернет-центры Netcraze Hero 4G (KN-2310) и Netcraze Runner 4G (KN-2210) используют встроенный модем LTE/4G/3G от Qualcomm Snapdragon X5, который работает в режиме QMI.

При подключении модема к интернет-центру в настройках автоматически создается интерфейс UsbQmi. Дополнительную настройку модема можно выполнить на странице Подключения к интернету через сотовую сеть.

DSL-подключение

Подключение к Интернету через ADSL

Организовать подключение к интернету по телефонной линии с услугой ADSL можно с помощью интернет-центра Netcraze Orbiter 7 (NAP-730). Он оснащен встроенным модемом ADSL2+/VDSL2, что позволяет подключить интернет по технологии DSL без участия внешних модемов и роутеров. ADSL-подключение можно использовать как основное или как резервное, включающееся автоматически при проблемах на основном канале доступа в интернет.

Примечание

Интернет-центр Netcraze Orbiter 7 (NAP-730) имеет поддержку режима ADSL2+ Annex M. Данный режим является частью стандарта ADSL2+ и позволяет увеличить скорость исходящего потока (скорость передачи данных от абонента до провайдера). Данный режим ADSL2+ Annex M активируется автоматически, при условии, что он включен на стороне провайдера.

Подключите телефонную линию к разъему RJ-11 вашего интернет-центра. Обязательно используйте микрофильтры или сплиттеры DSL для подключения всех телефонных аппаратов к вашей телефонной линии, это изолирует модем от помех, создаваемых телефоном на линии, одновременно защищая телефонный аппарат от высокочастотных модемных сигналов. Микрофильтр и сплиттер не влияют на работу телефона, и при правильном подключении телефонный аппарат должен работать так же, как и до их установки.

Перейдите на страницу Подключение к интернету по VDSL/ADSL. В поле Технология DSL, выберите ADSL.

На этой же странице укажите параметры для подключения к интернету.

Важно

Значения VPI, VCI, а также имя пользователя и пароль для доступа в интернет обычно указываются в договоре, заключаемом между абонентом и провайдером.

В закладке Интернет обязательно нужно установить значения ADSL VPI, ADSL VCI и ADSL-инкапсуляция. В нашем примере используются значения VPI/VCI — 0/35 и Инкапсуляция — LLC.

Далее на этой же странице, в поле Настройка IPv4 и Настройка IPv6 выберите значение Не используется, так как на данном виртуальном канале назначение IP-адреса не требуется.

Для подключения к интернету будет использоваться авторизация по протоколу PPPoE. В разделе Аутентификация у провайдера (PPPoE/VPN) в поле Тип (протокол) укажите PPPoE, а в поля Имя пользователя и Пароль — значения, предоставленные провайдером для подключения к интернету.

Нажмите Показать дополнительные настройки PPPoE для отображения полей с дополнительными параметрами.

Подробную информацию о настройке PPPoE вы найдете в статье Подключение к Интернету по протоколу PPPoE.

Также ознакомьтесь с информацией:

Подключение к Интернету через VDSL

Организовать подключение к интернету по телефонной линии с услугой VDSL можно с помощью интернет-центра Netcraze Orbiter 7 (NAP-730). Он оснащен встроенным модемом ADSL2+/VDSL2, что позволяет подключить интернет по технологиям DSL без участия внешних модемов и роутеров. VDSL-подключение можно использовать как основное или как резервное, включающееся автоматически при проблемах на основном канале доступа в Интернет.

Важно

Интернет-центр Netcraze Orbiter 7 (NAP-730) поддерживает работу только в режиме клиента и не позволяют соединить друг с другом два интернет-центра по технологии VDSL.

Перейдите на страницу Подключение к интернету по VDSL/ADSL. В поле Технология DSL, выберите VDSL.

Далее на этой же странице в поле Настройка IPv4 и Настройка IPv6 выберите значение Не используется, так как на данном виртуальном канале назначение IP-адреса не требуется

Для подключения к интернету будет использоваться авторизация по протоколу PPPoE. В разделе Аутентификация у провайдера (PPPoE/VPN) в поле Тип (протокол) укажите PPPoE, а в поля Имя пользователя и Пароль значения предоставленные провайдером для подключения к интернету.

Важно

Имя пользователя и пароль для доступа в интернет обычно указываются в договоре, заключаемом между абонентом и провайдером.

Нажмите Показать дополнительные настройки PPPoE для отображения полей с дополнительными параметрами.

Подробную информацию о настройке PPPoE вы найдете в статье Подключение к Интернету по протоколу PPPoE.

Также ознакомьтесь с информацией:

Параметры VDSL-линии

Wireless ISP

Подключение роутера к Интернету через другую сеть Wi-Fi (Wireless ISP)

Иногда вам может потребоваться подключить домашнюю сеть к Интернету, предоставляемому по Wi-Fi. Это может быть провайдерский хот-спот Wi-Fi, сеть Wi-Fi вашего соседа, сеть какого-то кафе находящегося поблизости или подключение к мобильной точке доступа в смартфоне. Если вы путешествуете со множеством гаджетов, режим WISP (Wireless ISP) будет удобен для подключения к сети Wi-Fi в гостинице. Ваш Netcraze подключается к Wi-Fi сети гостиницы, а все мобильные устройства к его предварительно настроенной, защищенной сети Wi-Fi.

Подключение WISP можно использовать как основное или как резервное, включающееся автоматически при проблемах на основном канале доступа в Интернет.

Подключение к Интернету через беспроводную сеть Wi-Fi провайдера можно настроить на странице Wireless ISP (Подключение к интернету через публичную/соседнюю сеть Wi-Fi).

На странице Wireless ISP нажмите Обзор сетей для выбора нужной беспроводной сети.

В появившемся окне будут показаны доступные сети Wi-Fi, находящиеся в радиусе действия интернет-центра. Выберите нужную сеть (щелкните по ней мышкой).

Затем вы снова окажетесь на странице Wireless ISP (Подключение к интернету через публичную/соседнюю сеть Wi-Fi).

При выборе беспроводной сети автоматически устанавливаются значения полей Имя сети (SSID) и Защита сети. В поле Пароль нужно ввести пароль для доступа к выбранной сети Wi-Fi.

Подсказка

В ОС имеется возможность задать MAC-адрес точки доступа (BSSID) для подключения в режиме WISP. Эта возможность будет полезна, когда в радиоэфире присутствуют точки доступа с одинаковым именем (SSID). Вы можете выбрать определенную точку для подключения, указав вручную её MAC-адрес. Дополнительную информацию вы найдете в статье MAC-адрес точки доступа (BSSID) для WISP-подключения.

По умолчанию установлена автоматическая настройка Параметров IPv4, т.е. интернет-центр при подключении к вышестоящей точке доступа получит IP-адрес автоматически. Если вам нужно установить постоянный (статический) IP-адрес, IP-адрес шлюза и DNS-сервера, укажите их в соответствующих полях, выбрав в поле Настройка IPv4 значение Ручная. Например:

Подсказка

IP-адреса домашней сети интернет-центра (по умолчанию 192.168.1.x) и получаемые от интернет-провайдера или вышестоящей точки доступа должны принадлежать разным подсетям. Иначе возникнет конфликт IP-адресов и доступ в Интернет будет отсутствовать.

Для смены локального IP-адреса интернет-центра перейдите на страницу Домашняя сеть, и в разделе Параметры IP в поле IP-адрес введите частный IP-адрес, отличный от 192.168.1.1 (например, укажите IP-адрес 192.168.0.1).

Важно

После смены IP-адреса интернет-центра вы потеряете доступ к его веб-интерфейсу. Для возобновления доступа нужно обновить IP-адрес сетевого адаптера — достаточно отключить на минуту сетевой кабель из адаптера. Затем убедитесь, что IP-адрес на сетевом адаптере был назначен из новой подсети, и веб-интерфейс интернет-центра Netcraze станет доступен по новому локальному IP-адресу. Дополнительную информацию вы найдете в статье Как в Windows посмотреть настройки сетевой карты?

Для запуска подключения Wireless ISP переведите переключатель в состояние Включено.

После успешного подключения, на стартовой странице Системный монитор в разделе Интернет отобразится информация о текущем подключении.

Подключение Wireless ISP может быть определено как основное или резервное.

При использовании резервирования подключений, когда соединение Wireless ISP настроено в качестве основного, на этой же странице вы можете включить Проверка доступности Интернета (Ping Сheck). В этом случае, при сбое основного подключения интернет‑центр автоматически переключится на работу с резервным.

Важно

Если WISP-подключение не используется постоянно, его рекомендуется отключить. Если оставить WISP включенным на роутере и выключить точку доступа Wi-Fi, к которой устанавливалось подключение, роутер будет постоянно сканировать эфир в поисках указанной в настройках точки доступа. Этот процесс будет занимать время работы радиомодуля, что может оказывать негативное влияние на производительность сети Wi-Fi.

Примечание

С версии NDMS 3.8.2 добавлена новая опция Номер канала для подключения Wireless ISP, которая позволяет установить определенный номер канала вместо автоматического выбора канала на основе SSID. Этот параметр значительно сокращает время сканирования эфира клиентской частью роутера, оставляя больше ресурсов для раздачи Wi-Fi и работы служебного транспортного соединения Mesh Wi-Fi (backhaul). Используйте этот параметр для сценариев, когда обеспечивающая Интернет вышестоящая точка доступа имеет фиксированный номер канала Wi-Fi.

Точка доступа Wi-Fi на роутере и встроенный клиент WISP используют один радиомодуль (речь об одном диапазоне), и аппаратно невозможно заставить встроенный клиент WISP работать на разных каналах с точкой доступа Wi-Fi. Например, удаленная точка доступа провайдера работает на беспроводном канале 48; если вы установите вручную канал 149 на своей точке доступа Wi-Fi, то не сможете подключиться по WISP к точке доступа провайдера, которая работает на канале 48 (это возможно только в рамках разных диапазонов 2.4 и 5 ГГц, в этом случае используются разные радиомодули). Если вы установите режим Авто для выбора канала на точке доступа, то клиент WISP всегда будет следовать за удаленной точкой доступа Wi-Fi и станет "ведущим" для своей точки доступа. При этом точка доступа Wi-Fi на вашем роутере становится "ведомой" и также переключается на канал, который выставил клиент WISP.

MAC-адрес точки доступа (BSSID) для WISP-подключения

В NDMS имеется возможность задать MAC-адрес точки доступа (BSSID) для подключения в режиме Wireless ISP (WISP). Эта возможность будет полезна, когда в радиоэфире присутствуют несколько точек доступа с одинаковым именем (SSID). В этом случае вы можете выбрать определенную точку для подключения, указав вручную её MAC-адрес.

В веб-конфигураторе роутера данная настройка находится в меню Wireless ISP на странице Подключение к интернету через публичную/соседнюю сеть Wi-Fi. В двухдиапазонных моделях интернет-центров (2,4 / 5 ГГц) эта настройка доступна в обоих диапазонах.

Перейдите на страницу Подключение к интернету через публичную/соседнюю сеть Wi-Fi и в разделе Настройки беспроводного подключения нажмите Показать дополнительные настройки. В появившемся поле BSSID (MAC-адрес точки доступа) введите MAC-адрес точки доступа, к которой нужно подключиться.

Чтобы узнать точный MAC-адрес точки доступа Wi-Fi, который нужно вписать в поле BSSID, на вышестоящем устройстве Netcraze выполните команду для сети 2,4 ГГц:

show interface AccessPoint

или для сети 5 ГГц:

show interface AccessPoint_5G

Выполнить команду можно из веб-конфигуратора (web cli) или через telnet-подключение. Подробную информацию вы найдете в инструкции Интерфейс командной строки (CLI) интернет-центра.

Другие подключения

С помощью интернет-центра Netcraze при любом способе доступа в Интернет вы можете подключиться по VPN к публичному VPN-сервису, сети офиса, или другому интернет-центру Netcraze. Иногда еще встречаются провайдеры предоставляющие доступ в Интернет именно по технологии VPN.

С точки зрения совместимости, вы можете подключаться по PPTP, OpenVPN, L2TP/IPsec (L2TP over IPsec), SSTP, OpenConnect, IPsec с любого интернет-центра Netcraze.

Иметь такой универсальный VPN-клиент особенно полезно, если при соединении сетей (например, чтобы получить доступ из городского дома к дачному) на одной стороне (обычно на даче) нет публичного "белого" IP-адреса.

Помимо VPN-клиента, любая, даже самая младшая модель Netcraze имеет в арсенале аналогичные VPN-серверы: PPTP, OpenVPN, L2TP/IPsec, SSTP, OpenConnect, IPsec (Virtual IP).

На странице "Другие подключения" можно настроить VPN-подключения к удаленным сетям и VPN-серверам.

В разделе "VPN-подключения" нажмите "Добавить подключение".
В окне "Параметры VPN-подключения" в поле "Тип (протокол)" выберите нужный протокол и затем настройте это подключение.
Подробную информацию по настройке подключений вы найдете в статьях:
Подсказка
Если созданное подключение нужно использовать для выхода в Интернет, назначьте этому соединению самый высокий приоритет. Информацию о приоритетах вы найдете в статье "Приоритеты подключений".
Для создания IPsec VPN в разделе "IPsec-подключения сеть—сеть" нажмите "Добавить подключение".
Затем в окне "Настройка IPsec-подключения сеть—сеть" укажите параметры подключения.
Пример объединения двух локальных сетей через Интернет по протоколу IPsec вы найдете в статье "Настройка IPSec VPN между двумя интернет-центрами Netcraze".

Типы VPN-соединений в вашем устройстве

VPN (Virtual Private Network; виртуальная частная сеть) — обобщенное название технологий, позволяющих обеспечить одно или несколько сетевых соединений (туннелей) поверх другой сети (например Интернет).

Существует много причин для использования виртуальных частных сетей. Наиболее типичные из них — безопасность и конфиденциальность данных. С использованием средств защиты данных в виртуальных частных сетях гарантируется конфиденциальность исходных пользовательских данных.

Известно, что сети, использующие протокол IP (Internet Protocol), имеют "слабое место", обусловленное самой структурой протокола. Он не имеет средств защиты передаваемых данных и не может гарантировать, что отправитель является именно тем, за кого себя выдает. Данные в сети, использующей протокол IP, могут быть легко подделаны или перехвачены.

Если вы из Интернета подключаетесь к собственному домашнему серверу, файлам USB-накопителя, подключенного к роутеру, видеорегистратору или по протоколу RDP к рабочему столу компьютера, рекомендуем использовать VPN-соединение. В этом случае можно будет не волноваться о безопасности передаваемых данных, т.к. VPN-соединение между клиентом и сервером, как правило, зашифровано.

Интернет-центры Netcraze поддерживают следующие типы VPN-соединений:

PPTP/SSTP
L2TP over IPSec (L2TP/IPSec)
WireGuard
OpenVPN
IPSec
IKEv2
OpenConnect
GRE/IPIP/EoIP
IPSec Xauth PSK (Virtual IP)

С помощью интернет-центра Netcraze ваша домашняя сеть может быть подключена по VPN к публичному VPN-сервису, сети офиса или другого интернет-центра Netcraze при любом способе доступа в Интернет.

Во всех моделях Netcraze реализованы как VPN клиенты/серверы для безопасного доступа: PPTP, L2TP over IPSec, IKEv2, Wireguard, OpenVPN, SSTP, OpenConnect так и туннели для объединения сетей: Site-to-Site IPSec, EoIP (Ethernet over IP), GRE, IPIP (IP over IP).

В зависимости от применяемых протоколов и назначения, VPN может обеспечивать соединения разных сценариев: хост-хост, хост-сеть, хосты-сеть, клиент-сервер, клиенты-сервер, роутер-роутер, роутеры-роутер (vpn concentrator), сеть-сеть (site-to-site).

Если вы не знаете, какой тип VPN выбрать, приведенные ниже таблицы и рекомендации помогут в этом.

Тип VPN	Клиент	Сервер	Аппаратное ускорение `*`	Количество одновременных подключений
PPTP	+	+	-	Клиент: до 128 Сервер: до 100/150/200 в зависимости от модели `**`
SSTP	+	+	-	Клиент: до 128 Сервер: до 100/150/200 в зависимости от модели `**`
OpenConnect	+	+	-	Клиент: до 128 Сервер: до 100/150/200 в зависимости от модели `**`
L2TP over IPSec	+	+	+	Клиент: до 128 Сервер: ограничение отсутствует
WireGuard	+	+	-	до 32 `***`
IPSec	+	+	+	ограничение отсутствует `****`
IKEv2	+	+	+	до 32
GRE / IPIP / EoIP	+	+	-	до 128
OpenVPN	+	+	-	до 32 до 128
IPSec Xauth PSK	-	+	+	до 32

* — для моделей Runner 4G, Start, 4G, Lite, Omni, City, Air, Extra используется ускорение только работы алгоритма AES, а в моделях Viva, Ultra, Giga, Giant, Hero 4G, DUO, DSL, Peak, Hopper используется аппаратное ускорение всего протокола IPSec.

** — до 200 для Peak, Giant, Giga и Ultra; до 150 для DSL и Duo; до 100 для Start, 4G, Lite, Omni, City, Air, Extra.

*** — с версии NDMS 3.7 увеличено число подключений WireGuard для моделей на ARM-процессоре (KN-2710, KN-1811, KN-1012, KN-3811, KN-3812) до 128 и для KN-1011, KN-1810, KN-1912, KN-2311, KN-2610 и KN-3013 до 48.

**** — до версии NDMS 3.3 ограничение составляло до 10 подключений для Giga (KN-1011), Ultra (KN-1810) и до 5 для всех остальных моделей.

Важно

Для моделей Netcraze с индексом KN-1110, 1210, 1310, 1410, 1510, 1610, 1710, 1810, 1910 число клиентских подключений ограничивается выделенным служебным размером раздела памяти объемом 24 Кбайта для хранения VPN-конфигураций. Особенно это актуально для OpenVPN-соединений, т.к. суммарный размер их конфигураций не должен превышать 24 Кбайта.

Для современных моделей Netcraze увеличен размер хранилища, в которое помещаются в сжатом виде файл конфигурации startup-config и переменные окружения (в том числе ключи), и составляет от 260 Кбайт до 2 Мбайт (в зависимости от модели).

Тип VPN	Уровень сложности	Уровень защиты данных	Скорость`**`	Ресурсоемкость	Интеграция в ОС
PPTP	для обычных пользователей	низкий	средняя, высокая без MPPE	низкая	Windows, macOS, Linux, Android, iOS (до версии 9 вкл.)
SSTP	для обычных пользователей	высокий	средняя, низкая при работе через облако	средняя	Windows
OpenConnect	для обычных пользователей	высокий	средняя, низкая при работе через облако	средняя	отсутствует `*`
L2TP over IPSec	для обычных пользователей	высокий	высокая, средняя на младших моделях	высокая	Windows, macOS, Linux, Android, iOS
WireGuard	для опытных пользователей	очень высокий	высокая	низкая	отсутствует`*`
IPSec	для профессионалов	очень высокий	высокая	высокая	Windows, macOS, Linux, Android, iOS
IKEv2	для обычных пользователей	высокий	высокая	высокая	Windows, macOS, Linux, iOS
OpenVPN	для опытных пользователей	очень высокий	низкая	очень высокая	отсутствует`*`
IPSec Xauth PSK	для обычных пользователей	высокий	высокая	высокая	Android, iOS

* — для организации подключения понадобится установить дополнительное бесплатное ПО в операционных системах Windows, macOS, Linux, Android, iOS.

** — представлены относительные величины, а не конкретные цифры, т.к. скорости для VPN-подключений зависят от моделей и целого ряда факторов — типа используемых алгоритмов шифрования, числа одновременных подключений, типа подключения к Интернету и скорости интернет-канала, от загрузки интернет-канала, нагрузки на сервер и других факторов. Низкой будем называть скорость до 15 Мбит/с, средняя в районе 30 - 50 Мбит/с и высокая — свыше 70 Мбит/с.

Тип VPN	Плюсы	Минусы
PPTP	популярность, широкая совместимость с клиентами	невысокий уровень защиты данных, в сравнении с другими протоколами VPN
SSTP	возможность работы VPN-сервера при наличии "серого" IP для доступа в Интернет `*`, использование протокола HTTPS (TCP/443)	встроенный клиент только в ОС Windows, низкая скорость передачи данных при работе через облако
OpenConnect	возможность работы VPN-сервера при наличии "серого" IP для доступа в Интернет `*`, использование протокола HTTPS (TCP/IP 443)	не входит в состав современных ОС
L2TP over IPSec	безопасность, стабильность, широкая совместимость с клиентами, простая настройка	используются стандартные порты, что позволяет провайдеру или системному администратору заблокировать трафик
WireGuard	современные протоколы безопасности данных, низкая ресурсоемкость, высокая скорость передачи данных	не входит в состав современных ОС
IPSec	надежность, очень высокий уровень защиты данных	сложность настройки для обычных пользователей
IKEv2	надежность, высокий уровень защиты данных, простая настройка, поддержка на устройствах Blackberry	используются стандартные порты, что позволяет провайдеру или администратору блокировать трафик
OpenVPN	высокий уровень защиты данных, использование протокола HTTPS (TCP/443)	не входит в состав современных ОС, очень ресурсоемкий, невысокие скорости передачи данных
IPSec Xauth PSK	безопасность, входит в состав современных мобильных ОС	отсутствие поддержки клиентов в ОС для ПК

* — данная возможность реализована на нашем облачном сервере как специальное программное расширение и доступна только для пользователей интернет-центров Netcraze.

Для обычных пользователей для использования удаленных подключений клиенты-сервер мы рекомендуем:

L2TP over IPSec (L2TP/IPSec), PPTP, IPSec Xauth PSK, SSTP, OpenConnect

В ряде моделей Netcraze передача данных по IPSec (в том числе L2TP over IPSec и IKEv2) ускоряется аппаратно с помощью процессора устройства, что обеспечивает высокие скорости передачи данных. В таком туннеле можно абсолютно не волноваться о конфиденциальности IP-телефонии или потоков видеонаблюдения.

Если провайдер выдает вам публичный IP-адрес, рекомендуем обратить внимание на серверы IKEv2, L2TP over the IPSec server и на так называемый виртуальный сервер IPSec (Xauth PSK). Они замечательны тем, что обеспечивают абсолютно защищенный доступ к домашней сети со смартфона, планшета или компьютера с минимальной настройкой: в Android, iOS и Windows для этих типов VPN есть удобные встроенные клиенты. Для IKEv2 в ОС Android используйте бесплатный популярный VPN-клиент strongSwan.

В качестве самого оптимального универсального варианта можно считать IKEv2 и L2TP/IPSec.

Если же интернет-провайдер предоставляет вам только частный IP-адрес для работы в Интернете, и нет возможности получить публичный IP, вы всё-равно сможете организовать удаленный доступ к своей домашней сети, используя VPN-сервер SSTP или OpenConnect. Основным преимуществом туннелей SSTP и OpenConnect является способность работать через облако, т.е. он позволяет установить подключение между клиентом и сервером, даже при наличии "серых" IP-адресов с обеих сторон. Все остальные VPN-сервера требуют наличия публичного "белого" IP-адреса. Обращаем ваше внимание, что данная возможность реализована на нашем облачном сервере и доступно только для пользователей Netcraze.

Что касается туннельного протокола PPTP, он наиболее прост и удобен в настройке, но потенциально уязвим, в сравнении с другими типами VPN. Тем не менее лучше использовать его, чем не применять VPN вовсе.

Для опытных пользователей к этому списку можно добавить:

WireGuard, OpenVPN

OpenVPN очень популярен, но чрезвычайно ресурсоемкий и не имеет особых преимуществ против IPSec. В интернет-центре Netcraze для подключения OpenVPN реализованы такие возможности как режим TCP и UDP, аутентификация TLS, использование сертификатов и ключей шифрования для повышения уровня безопасности VPN-подключения.

Современный протокол WireGuard сделает работу с VPN проще и быстрее (в несколько раз в сравнении с OpenVPN) без наращивания мощности железа в устройстве.

Для мобильных устройств, и организации удаленного подключения к роутеру, используйте:

IKEv2

Клиент IKEv2 EAP (Логин/Пароль) является встроенным в Android, iOS, MacOS, Windows.

Для объединения сетей и организации Site-to-Site VPN используйте:

IPSec, L2TP over IP (L2TP/IPSec), WireGuard

Для решения специализированных задач по объединению сетей:

EoIP, GRE, IPIP

IPSec является одним из самых безопасных протоколов VPN за счет использования криптостойких алгоритмов шифрования. Он является идеальным вариантом для создания подключений типа Site-to-Site VPN для объединения сетей. Кроме этого для профессионалов и опытных пользователей имеется возможность создавать туннели IPIP, GRE, EoIP как в простом виде, так и в сочетании с туннелем IPSec, что позволит использовать для защиты этих туннелей стандарты безопасности IPSec VPN. Поддержка туннелей IPIP, GRE, EoIP позволяет установить VPN-соединение с аппаратными шлюзами, Linux-маршрутизаторами, компьютерами и серверами с ОС UNIX/Linux, а также с другим сетевым и телекоммуникационным оборудованием, имеющих поддержку указанных туннелей. Настройка туннелей данного типа доступна только в интерфейсе командной строки (CLI) интернет-центра.

Дополнительную информацию, по настройке разных типов VPN в интернет-центрах Netcraze, вы найдете в инструкциях:

WireGuard VPN

WireGuard — бесплатное программное приложение с открытым исходным кодом, протокол виртуальной частной сети (VPN) для передачи данных в зашифрованном виде и создания безопасных соединений точка-точка.

Важно

Поддержка WireGuard VPN реализована для актуальных моделей Netcraze, начиная с выпусков NDMS версии 3.3.

Отличия и преимущества протокола WireGuard в использовании современных, узкоспециализированных алгоритмов обработки данных. Кодовая база проекта написана с нуля и отличается компактностью исполнения.

WireGuard является частью модуля ядра системы. WireGuard-подключение ускоряется программно и является многопоточным, т.е. может стабильно работать и использовать ресурсы одного ядра.

Интернет-центр Netcraze может работать как VPN-сервер, так и VPN-клиент. В силу специфики протокола понятия "клиент" и "сервер" являются условными. Но обычно сервером называют устройство, которое ожидает подключения, а клиентом — устройство, которое инициирует подключение.

При подключении к VPN-серверу WireGuard на Netcraze в качестве VPN-клиента можно использовать: компьютер (на базе Windows, Linux, macOS), мобильное устройство (на базе Android и iOS) или интернет-центр Netcraze.

Используя VPN-клиент WireGuard на Netcraze можно подключиться к VPN-провайдеру, который предоставляет услугу VPN-подключения по протоколу WireGuard или к интернет-центру Netcraze, который работает в роли VPN-сервера и получить удаленный доступ к его локальной сети.

Важно

Если вы планируете настроить Netcraze в качестве VPN-сервера, начать необходимо с проверки того, что он имеет публичный IP-адрес, а при использовании сервиса CrazeDNS, что он работает в режиме Прямой доступ, для которого также требуется публичный IP-адрес. При несоблюдении любого из этих условий подключение к такому серверу из Интернета будет невозможно.

Для настройки защищенных туннелей по протоколу WireGuard в интернет-центре Netcraze нужно установить компонент системы WireGuard VPN. Сделать это можно в веб-конфигураторе на странице Общие настройки системы в разделе Обновление и компоненты NDMS, нажав на Изменить набор компонентов.

После этого раздел Wireguard появится на странице Другие подключения.

Для самостоятельной настройки WireGuard-интерфейса нажмите на Добавить подключение. В данной статье мы не будем рассматривать параметры настройки подключения, они подробно показаны в инструкции:

Настройка WireGuard VPN между двумя роутерами Netcraze (в этой статье представлен пример настройки VPN-сервера)

Помимо самостоятельной настройки подключения, вы можете импортировать настройки WireGuard-интерфейса из предварительно созданного файла конфигурации. Для этого нажмите на импортировать из файла и затем укажите путь к предварительно сконфигурированному файлу на компьютере.

Основные принципы работы WireGuard VPN

Каждый WireGuard-туннель представляет собой системный интерфейс, работающий на третьем (сетевом) уровне модели OSI. Трафик в него можно маршрутизировать, а также возможны настройки политик доступа IP (сетевой экран).
WireGuard-интерфейс имеет несколько основных конфигурационных параметров, а именно — пара частного и публичного ключа, адрес, порт прослушивания.
При создании WireGuard-интерфейса потребуется сформировать пару ключей шифрования — Приватный (Private / Закрытый) и Публичный (Public / Открытый) ключи, а также присвоить внутренний IP-адрес устройства в VPN-туннеле и на стороне VPN-сервера определить номер порта прослушивания.
Приватный и Публичный ключи используются для защиты подключения. С помощью ключей осуществляется аутентификация участников. Публичный и приватный ключ — это пара ключей, создание (генерация) которых осуществляется одновременно. Криптографические алгоритмы предполагают совместное использование такой пары ключей. Оба ключа должны "подходить" к зашифрованной части информации. Например, если шифрование осуществляется приватным ключом, расшифровка может быть осуществлена только публичным ключом.
Сформировать ключи шифрования нужно на двух сторонах VPN-туннеля. В процессе настройки подключения понадобятся только публичные ключи, которыми нужно будет обменяться на обеих сторонах VPN-туннеля.
Что касается внутреннего адреса интерфейса туннеля, это должен быть любой подходящий адрес из частного диапазона, но чтобы он не пересекался с другими подсетями на самом роутере. Этот IP-адрес указывается в формате IP/bitmask (например, 10.11.12.1/24). На VPN-клиенте и VPN-сервере должны быть установлены разные адреса, но из одной и той же подсети. Например, на сервере 172.16.82.1/24 и на клиенте 172.16.82.2/24
На стороне VPN-сервера потребуется указать номер порта прослушивания, который будет использоваться для работы входящих подключений на WireGuard-интерфейсе. Номер порта можно указать произвольный (например, 16632), главное чтобы он не блокировался интернет-провайдером и не совпадал с уже открытыми портами других сервисов на роутере.
Затем нужно добавить пир(ы). Пиром (Peer) называют участника или клиента данного соединения. В одном VPN-подключении можно создать несколько пиров, например, для подключения к VPN-серверу с разных компьютеров или мобильных устройств.
Каждый пир однозначно характеризуется публичным ключем удаленной стороны. В настройках пира нужно будет указать публичный (Public / Открытый) ключ от устройства с другой стороны VPN-туннеля, внутренний IP-адрес туннеля и разрешенные подсети.
Особенным параметром в настройках пира является набор разрешенных подсетей (Allowed IPs). Это адресные пространства, от которых данный пир может принимать трафик (IP-адреса источников), и к которым может трафик отправлять (IP-адреса назначений). Технологически эти адреса используются для непосредственно зашифровывания и декодирования трафика. Такая методика имеет название Crypto Routing и является фундаментальной особенностью WireGuard. Чтобы разрешить передачу на любые адреса, необходимо добавить подсеть 0.0.0.0/0
На стороне VPN-клиента обязательно нужно указать публичный "белый" IP-адрес или доменное имя VPN-сервера WireGuard, и порт прослушивания, на который будет устанавливать связь VPN-клиент (например, myrouter01.keenetic.pro:16632). На VPN-клиентах обычно это поле называют Remote Endpoint.
Также в настройках пира обязательно нужно указать интервал попыток проверки активности пира. Это внутренняя проверка доступности удаленной стороны соединения путем отправки в туннель пакетов keepalive. По умолчанию значение Проверки активности в настройках пира на Netcraze составляет 30 секунд, но обычно достаточно 10 или 15 секунд между проверками.
Важно
На стороне VPN-сервера параметр Persistent keepalive рекомендуется не использовать (оставьте пустое поле), чтобы после отключения клиента Wireguard-сервер не ожидал handshake'и с удаленным пиром.
На стороне клиента, параметр Persistent keepalive должен быть заполнен выбранным значением для корректной работы WireGuard VPN!
В WireGuard применяется концепция маршрутизации по ключам шифрования, которая использует привязку к каждому сетевому интерфейсу закрытого ключа. VPN-соединение инициализируется путем обмена публичными ключами и напоминает подход, применяемый в SSH.
Ключи шифрования назначаются списку IP-адресов VPN, разрешенных в туннеле. В сетевом интерфейсе разрешен доступ к списку IP-адресов. Когда сервер принимает и расшифровывает аутентифицированный пакет, проверяется его поле источника. Если оно соответствует тому, что указано в поле Разрешенные подсети (Allowed IPs) аутентифицированного пира, пакет принимается WireGuard-интерфейсом. При отправке исходящего пакета происходит проверка IP-адреса назначения, чтобы определить его легитимность, и на основании его выбирается соответствующий пир. Далее пакет подписывается своим ключом, шифруется ключом пира и отправляется на публичный адрес и порт пира (на Remote Endpoint). Все IP пакеты, приходящие на WireGuard-интерфейс инкапсулируются в UDP и безопасно доставляются другим пирам.
В WireGuard пользовательские данные защищены при помощи современных типов криптографии: Curve25519 для обмена ключами, ChaCha20 для шифрования, Poly1305 для аутентификации данных, SipHash для хеш-ключей и BLAKE2 для хеширования.
Процесс криптомаршрутизации (Crypto Routing) позволяет предоставить пользователю на выходе из интерфейса трафик, степень доверия к которому может достигать 100%, а также обеспечивает высокую безопасность и производительность.

Примеры настроек WireGuard-подключений

Подробная инструкция, в которой показаны настройки интернет-центра в роли VPN-сервера и VPN-клиента для объединения двух локальных сетей:

Настройка WireGuard VPN между двумя роутерами Netcraze

Для настройки подключения к VPN-провайдерам, которые предоставляют возможность работы с WireGuard, обратитесь к инструкции:

Доступ в Интернет через WireGuard-туннель

Для подключения к роутеру Netcraze по протоколу WireGuard можно использовать мобильные устройства на базе ОС Android и iOS:

Или компьютеры на базе ОС Windows, Linux, macOS:

В некоторых случаях нужно, чтобы клиенты, подключенные к роутеру Netcraze по WireGuard, получали через данный VPN-туннель доступ в Интернет. Для этого потребуется на роутере выполнить дополнительную настройку из статьи:

Доступ в Интернет через WireGuard-туннель

Клиент PPTP и L2TP

Для подключения к публичному VPN-сервису, сети офиса, или другому интернет-центру Netcraze можно использовать протокол PPTP (Point-to-Point Tunneling Protocol). PPTP может также использоваться для организации безопасного туннеля между двумя локальными сетями. Преимуществом туннеля PPTP является его простота настройки и доступность. PPTP обеспечивает безопасную передачу данных через Интернет со смартфона, планшета или компьютера. Для защиты данных PPTP-трафика может быть использован протокол MPPE.

Помимо PPTP-подключения в интернет-центре Netcraze можно настроить подключение по протоколу L2TP (Layer 2 Tunneling Protocol). В отличие от других протоколов VPN, L2TP не использует шифрование данных.

Далее мы рассмотрим пример PPTP-подключения. Настройка L2TP-подключения выполняется аналогично.

Для настройки PPTP-подключения перейдите на страницу "Другие подключения" и в разделе "VPN-подключения" нажмите "Добавить подключение". В окне "Параметры VPN-подключения" в поле "Тип (протокол)" выберите значение "PPTP".

Затем в поле "Имя подключения" впишите имя соединения, а в поле "Адрес сервера" укажите доменное имя или WAN IP-адрес PPTP-сервера. В полях "Имя пользователя" и "Пароль" соответственно укажите данные учетной записи, которой разрешен доступ в локальную сеть по протоколу PPTP.

Для настройки параметров IP, расписания работы или определения интерфейса, через который будет работать подключение, нажмите "Показать дополнительные настройки".

После создания подключения переведите переключатель в состояние Включено.

На этой же странице будет отображаться статус данного подключения.

Для проверки соединения с клиентского компьютера обратитесь к какому-нибудь ресурсу в удаленной сети или выполните пинг хоста удаленной сети (локальной сети сервера).

Настройка сервера PPTP в Netcraze подробно представлена в статье "VPN-сервер PPTP".

Подсказка

Если данное подключение нужно использовать для выхода в Интернет, назначьте этому соединению самый высокий приоритет. Информацию о приоритетах вы найдете в статье "Приоритеты подключений".

Клиент L2TP/IPsec

Для доступа к ресурсам домашней сети в интернет-центра Netcraze реализована возможность подключения к VPN-серверу по протоколу L2TP over IPsec (L2TP/IPsec).

В таком туннеле можно абсолютно не волноваться о конфиденциальности данных файлового сервера, IP-телефонии или потоков видеонаблюдения. L2TP/IPsec обеспечивает абсолютно защищенный доступ к домашней сети с компьютера с минимальной настройкой: в операционной системе Windows для этого типа VPN есть удобный встроенный клиент. К тому же, во многих моделях Netcraze передача данных по L2TP over IPsec ускоряется аппаратно.

Для настройки подключения L2TP/IPsec нужно установить компонент системы "IKEv1/IPsec и IKEv2/IPsec VPN-серверы, клиент L2TP/IPsec VPN, IPsec VPN сеть-сеть". Сделать это можно на странице "Общие настройки системы" в разделе "Обновления и компоненты", нажав "Изменить набор компонентов".

Для настройки подключения L2TP/IPsec перейдите на страницу "Другие подключения" и в разделе "VPN-подключения" нажмите "Добавить подключение". В окне "Параметры VPN-подключения" в поле "Тип (протокол)" выберите значение "L2TP/IPsec".

В поле "Имя подключения" впишите имя соединения, а в поле "Адрес сервера" укажите IP-адрес или доменное имя сервера. В полях "Имя пользователя" и "Пароль" соответственно укажите данные учетной записи, которой разрешен доступ в локальную сеть по протоколу L2TP/IPsec. В поле "Секретный ключ" укажите предварительно согласованный ключ, который установлен на сервере.

Для настройки параметров IP, расписания работы или определения интерфейса, через который будет осуществляться подключение, нажмите "Показать дополнительные настройки".

После создания подключения переведите переключатель в состояние Включено.

На этой же странице будет отображаться статус данного подключения.

Настройка сервера L2TP/IPsec в Netcraze подробно представлена в статье VPN-сервер L2TP/IPsec.

Подсказка

Если данное подключение нужно использовать для выхода в Интернет, назначьте этому соединению самый высокий приоритет. Информацию о приоритетах вы найдете в статье Приоритеты подключений.

Клиент и сервер OpenVPN

OpenVPN — один из самых популярных протоколов для организации VPN-соединения. С его помощью можно создать виртуальную частную сеть или объединять локальные сети. OpenVPN имеет открытый исходный код и бесплатно распространяется под лицензией GNU GPL. OpenVPN можно назвать одним из самых безопасных протоколов. Все передаваемые данные надежно защищены при помощи библиотеки шифрования OpenSSL и протоколов SSLv3/TLSv1, что обеспечивает высокую безопасность и анонимность.

В интернет-центре Netcraze для подключения OpenVPN реализованы такие возможности как режим TCP и UDP, аутентификация TLS, использование сертификатов и ключей шифрования для повышения уровня безопасности VPN-подключения.

Важно

Роутер Netcraze, на котором будет работать сервер OpenVPN, должен быть подключен к Интернету с публичным IP-адресом, а при использовании доменного имени CrazeDNS, оно должно быть настроено в режиме Прямой доступ, для которого также требуется публичный IP-адрес. При несоблюдении любого из этих условий подключение к такому серверу из Интернета будет невозможно.

Для настройки подключения OpenVPN обязательно нужно установить компонент системы Клиент и сервер OpenVPN. С этим компонентом роутер Netcraze можно использовать как клиент, так и сервер OpenVPN. Установить компонент системы можно на странице Общие настройки системы в разделе Обновления и компоненты NDMS, нажав Изменить набор компонентов.

Режим работы OpenVPN (клиент или сервер) в основном определяется его файлом конфигурации.

Важно

Требования к конфигурации OpenVPN для использования в Netcraze:

Конфигурация должна быть выполнена в виде одного файла.
Сертификаты, ключи и т.п. должны быть включены в этот файл.
В конфигурации необходимо использовать только опции, перечисленные в документе: OpenVPN 2.4 ManPage
Некоторые опции, из описанных по ссылке выше, могут не поддерживаться. Например, в нашей реализации OpenVPN не поддерживаются опции, относящиеся к IPv6.
Порядок следования опций и включенных сертификатов и ключей не имеет значения.
Ключи OpenSSL нужно задавать без пароля, т.к. в интерфейсе роутера нет опции для его ввода.
Файл конфигурации OpenVPN не сохраняется в резервной копии конфигурации устройства startup-config. Для получения резервной копии настроек интерфейса клиента OpenVPN его нужно сохранить отдельно.

Для моделей Keenetic с индексом KN-1110, 1210, 1310, 1410, 1510, 1610, 1710, 1810, 1910 число клиентских подключений ограничивается выделенным служебным размером раздела памяти объемом 24 Кбайта для хранения VPN-конфигураций. Особенно это актуально для OpenVPN-соединений, т.к. суммарный размер их конфигураций не должен превышать 24 Кбайта. Для современных моделей Keenetic с индексом KN-xxxx увеличен размер хранилища, в которое помещаются в сжатом виде файл конфигурации startup-config и переменные окружения (в том числе ключи), и составляет от 260 Кбайт до 2 Мбайт (в зависимости от модели).

Рассмотрим пример подключения OpenVPN типа "точка-точка" (site-to-site).

Будем подключать к серверу на Netcraze#1 (Home-сегмент 192.168.1.0/24, адрес конца туннеля: 10.1.0.1) клиент Netcraze#2 (Home-сегмент 192.168.2.0/24, адрес конца туннеля: 10.1.0.2).

Сначала рассмотрим самую простую конфигурацию с использованием общего секретного ключа (secret key).
1. Минимальная конфигурация OpenVPN-сервера для Netcraze#1:
```
dev tun
ifconfig 10.1.0.1 10.1.0.2
cipher AES-128-CBC
<secret>
  <--insert the secret key here
</secret>
verb 3
route 192.168.2.0 255.255.255.0
```
2. Минимальная конфигурация OpenVPN-клиента для Netcraze#2:
```
dev tun
remote KEENETIC-1.mykeenetic.net <-- server's domain name or IP address
ifconfig 10.1.0.2 10.1.0.1
cipher AES-128-CBC
<secret>
  <--insert the secret key here
</secret>
verb 3
route 192.168.1.0 255.255.255.0
or
redirect-gateway def1
or
route 0.0.0.0 0.0.0.0 <-- if it's neccessary to route all the traffic in the tunnel
```
3. Сгенерируйте общий секретный ключ. Для чего скачайте и установите OpenVPN отсюда: openvpn.net/downloads.html
  В нашем примере будем использовать версию 2.4.6-I602 для Windows.
  После установки ПО выполните перезагрузку компьютера.
  По умолчанию программа установится в папку C:\Program Files\OpenVPN.
  Запустите командную строку Windows от имени администратора. Зайдите в папку C:\Program Files\OpenVPN\bin и выполните команду:
```
openvpn.exe --genkey --secret static.key
```
4. Откройте сгенерированный файл static.key с общим секретным ключом в любом текстовом редакторе (например, в Блокноте), скопируйте его содержимое в буфер обмена (Ctrl-A, Ctrl-C) и вставьте (Ctrl-V) в соответствующие места файлов конфигурации клиента и сервера.
  Посмотрите примеры файлов конфигурации static-server.ovpn для Netcraze#1 и static-client.ovpn для Netcraze#2 с общим секретным ключом. В этих файлах есть и другие закомментированные (начинаются с символа ";") настройки OpenVPN, которые вы можете задействовать при необходимости позже. Можете использовать эти файлы конфигурации для проверки, заменив в static-client.ovpn доменное имя KEENETIC-1.mykeenetic.ru на доменное имя вашего Netcraze#1 или на его публичный белый IP-адрес, а наш общий секретный ключ на сгенерированный вами в обеих файлах.
5. Зайдите в веб-интерфейс Netcraze#1 на страницу Другие подключения и в разделе VPN-подключения нажмите Добавить подключение. В окне Параметры VPN-подключения в поле Тип (протокол) выберите значение OpenVPN.
  Затем в поле Имя подключения впишите имя соединения и в поле Конфигурация OpenVPN вставьте содержимое файла конфигурации static-server.ovpn. Сохраните настройки.
  Важно
  Начиная с версии ОС 3.4.1 сервер работает только при указании в поле Подключаться через значения Любое интернет-подключение.
6. По аналогии добавьте OpenVPN-соединение в веб-интерфейсе Netcraze#2, но с конфигурацией static-client.ovpn:
7. Дополнительно, на стороне Netcraze#1 (сервера), через интерфейс командной строки (CLI) роутера необходимо будет выполнить следующие команды:
```
interface OpenVPN0 no ip global
interface OpenVPN0 security-level private
```
  Чтобы разрешить трафик между интерфейсами Home и OpenVPN0, которые имеют уровень безопасности private, выполните команду:
```
no isolate-private
```
  Если планируете использовать этот сервер в том числе для выхода в Интернет клиента, то еще выполните команду:
```
ip nat 10.1.0.2 255.255.255.255
```
  и сохраните настройки командой:
```
system configuration save
```
8. И наконец, необходимо открыть порт для соединения OpenVPN. По умолчанию используется порт UDP/1194. Для этого на странице Межсетевой экран создайте правило для интерфейса Провайдер или для того интерфейса, который используется для доступа в Интернет (помимо Провайдер, им могут быть интерфейсы PPPoE, L2TP или PPTP).
  В правиле межсетевого экрана выберите в поле Действие значение Разрешить, в поле Протокол значение UDP и в поле Номер порта назначения значение Равен 1194.
  После создания подключения переведите переключатель в состояние Включено.
  На этом настройка туннеля OpenVPN завершена. На странице Другие подключения будет отображаться статус и статистика подключения.
  Для проверки попробуйте выполнить пинг обоих концов туннеля:
```
ping 10.1.0.1
ping 10.1.0.2
```
  а затем удаленные подсети:
```
ping 192.168.1.1
ping 192.168.2.1
```

Примечание

Конфигурация интерфейса OpenVPN не записывается в файл резервной копии настроек startup-config.txt. Для резервного копирования, рекомендуем сохранить настройки интерфейса OpenVPN в отдельном файле.
Если подключение клиента OpenVPN нужно использовать для выхода в Интернет, назначьте этому соединению самый высокий приоритет. Информацию о приоритетах вы найдете в статье Приоритеты подключений.
В некоторых случаях в конфигурации OpenVPN необходимо указать логин и пароль для авторизации при подключении VPN-туннеля. Для этого в файле конфигурации нужно добавить специальную секцию auth-user-pass, указав значения логина и пароля. Например:
```
<auth-user-pass>
vpnclient     # login
r3d23xs87     # password
</auth-user-pass>
```
Пример создания ключей и сертификатов на Windows, для подключения к серверу OpenVPN, показан в инструкции OpenVPN с использованием двусторонней TLS аутентификации.

Типовые ошибки и пути решения:

auth-user-pass without inline credentials data is not supported
Это означает, что в файле конфигурации осталась строка для онлайн ввода логина/пароля, который не поддерживается Netcraze. Ошибка в журнале Netcraze:
```
OpenVPN0 auth-user-pass without inline credentials data is not supported
OpenVPN0 Exiting due to fatal error
```
Удалите или закомментируйте все строки вида:
auth-user-pass
Ошибка опции block-outside-dns
block-outside-dns опция настраивается для OpenVPN-сервера, которая правильно обрабатывается только в Windows. В журнале Netcraze появляется следующее сообщение об ошибке:
```
OpenVPN0 Unrecognized option or missing or extra parameter(s) in configuration: (line X): block-outside-dns (2.4.4)
OpenVPN0 Exiting due to fatal error
```
Добавьте следующую строку в конфигурации OpenVPN-клиента:
pull-filter ignore "block-outside-dns"
Ошибка при соединении с серверами PrivateTunnel
При попытке соединения выдается ошибка:
```
OpenVPN0 Unrecognized option or missing or extra parameter(s) in configuration: (line 3): client-ip (2.4.4)
```
Добавьте в файл конфигурации клиента OpenVPN строку:
ignore-unknown-option client-ip block-ipv6
При использовании опции askpass /storage/key.txt возникает ошибка:
```
Error: private key password verification failed
```
Это ограничение текущей реализации OpenVPN в Netcraze. Можно использовать только ключ без пароля или с фиксированным паролем: "password".
После обновления роутера до версии ПО NDMS 3.9.1 может перестать устанавливаться VPN-туннель до серверов OpenVPN некоторых сервисов. В логе при этом можно увидеть следующие сообщения:
```
W [Dec 15 16:52:58] OpenVPN6: DEPRECATED OPTION: --cipher set to 'AES-128-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305). 
OpenVPN ignores --cipher for cipher negotiations.
Error: private key password verification failed
```
Дело в устаревшем формате шифрования BF-CBC, который не поддерживается начиная с версии клиента OpenVPN 2.5.0 (в версии NDMS 3.9 используется клиент OpenVPN 2.6.0).
Примечание
Из конфигурации по умолчанию убрана поддержка BF-CBC. В OpenVPN 2.5.0 по умолчанию теперь принимаются только шифры AES-256-GCM и AES-128-GCM. Изменить данное поведение можно при помощи опции data-ciphers, например, указав в настройках data-ciphers AES-256-GCM:AES-128-GCM:BF-CBC, а для поддержки очень старых узлов, не поддерживающих согласование шифров (режим "--cipher"), можно указать data-ciphers-fallback BF-CBC.
При обновлении до новой версии OpenVPN настройка "cipher BF-CBC" в старых файлах конфигурации будет преобразована в добавление BF-CBC к набору data-ciphers и включен режим data-ciphers-fallback.
Для успешной установки туннеля потребуется изменить директиву:
cipher AES-128-CBC на data-ciphers AES-128-CBC или data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305
Если не заработает, то тогда измените директиву:
cipher AES-128-CBC на data-ciphers-fallback AES-128-CBC
Для максимальной совместимости согласования шифров с удаленным сервером укажите директивы:
data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305
data-ciphers-fallback AES-128-CBC
или
data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305
data-ciphers-fallback AES-256-CBC
Важно
Шифрование зависит от удаленного OpenVPN-сервера. Перед изменением директивы cipher смотрите лог подключения.
Если в логе зафиксирована следующая ошибка размера ключа:
```
[E] Dec 16 19:01:38 OpenVPN0: Unrecognized option or missing or extra parameter(s) in configuration: (line 22): keysize (2.6_git)
[E] Dec 16 19:01:38 OpenVPN0: Exiting due to fatal error
[E] Dec 16 19:01:38 ndm: Service: "OpenVPN0": unexpectedly stopped.Error: private key password verification failed
```
То в конфигурации туннеля необходимо убрать директиву опции размера ключа keysize 256, которая устарела для обновленного клиента OpenVPN 2.6.0, после проверьте подключение туннеля.
Подробную информацию по опции "keysize" вы найдете по ссылке.

Рекомендуем ознакомиться со следующей информацией:

Клиент SSTP

Для удаленного подключения к локальной сети интернет-центра Netcraze можно использовать туннели SSTP (Secure Socket Tunnel Protocol).

Важно

Основным преимуществом VPN-туннеля SSTP является его способность работать через облако, что позволяет установить подключение между клиентом и сервером, даже при наличии частных IP-адресов.

Передача данных через Интернет в SSTP-туннеле происходит при помощи протокола HTTPS (данные передаются поверх криптографических протоколов SSL или TLS), что обеспечивает высокий уровень безопасности.

Для настройки SSTP-подключения обязательно нужно установить компонент системы "Клиент SSTP VPN". Сделать это можно на странице "Общие настройки системы" в разделе "Обновление и компоненты NDMS", нажав "Изменить набор компонентов".

После этого перейдите на страницу "Другие подключения" и в разделе "VPN-подключения" нажмите "Добавить подключение". В окне "Параметры VPN-подключения" в поле "Тип (протокол)" выберите значение "SSTP".

Затем в поле "Имя подключения" впишите имя соединения, а в поле "Адрес сервера" укажите доменное имя сервера (интернет-центра Netcraze). В полях "Имя пользователя" и "Пароль" соответственно укажите данные учетной записи, которой разрешен доступ в локальную сеть по протоколу SSTP.

Подсказка

После создания подключения переведите переключатель в состояние Включено.

На этой же странице будет отображаться статус данного подключения.

Настройка сервера SSTP в Netcraze представлена в статье "Сервер SSTP".

Подсказка

Клиенты IKEv1/IKEv2

Начиная с версии NDMS 3.5 добавлен IKE-клиент в виде отдельного компонента, который позволяет с интернет-центра устанавливать клиентские соединения по протоколам IKEv1 и IKEv2.

IKE (Internet Key Exchange) — протокол обмена ключами, входящий в набор протоколов IPsec. Он обеспечивает высокую безопасность данных, скорость, стабильность работы.

Для настройки защищенных подключений по протоколу IKEv1/IKEv2 в интернет-центре Netcraze нужно установить компонент системы "IKEv1/IPsec и IKEv2/IPsec VPN-клиенты". Сделать это можно в веб-конфигураторе на странице "Общие настройки системы" в разделе "Обновления и компоненты", нажав на "Изменить набор компонентов".

После этого на странице "Другие подключения" в разделе "VPN-подключения" нажмите "Добавить подключение" для создания и настройки IKE-клиента.

На экране "Параметры VPN-подключения" укажите регистрационные данные, выданные VPN-провайдером или администратором VPN-сервера.

Если данное подключение нужно использовать для выхода в Интернет, то включите соответствующую опцию.

В поле "Имя подключения" впишите любое имя для его идентификации, в поле "Тип (протокол)" установите значение "IKEv2" или "IKEv1", а также укажите адрес сервера, имя и пароль пользователя. В нашем примере используется VPN-подключение IKEv2.

Примечание

Клиент IKEv2 использует подключение IKEv2 EAP (Логин/Пароль).

После создания подключения переведите переключатель в состояние Включено.

На этой же странице будет отображаться статус данного подключения.

Настройка IKEv2-сервера в Netcraze представлена в статье "VPN-сервер IKEv2".

Подсказка

Если подключение используется для выхода в Интернет (например, вы подключаетесь через VPN-провайдера), назначьте этому соединению самый высокий приоритет. Перетащите созданный профиль VPN-подключения в начало списка.

Информацию о приоритетах вы найдете в статье "Приоритеты подключений".

OpenConnect VPN-клиент

Для удаленного и безопасного подключения к локальной сети интернет-центра Netcraze можно использовать OpenConnect VPN. В качестве клиента OpenConnect может выступать сам интернет-центр Netcraze. Начиная с версии ОС 4.2.1 добавлен сервер и клиент OpenConnect VPN.

Важно

Основным преимуществом туннеля OpenConnect VPN является его способность работать через облако, т.е. он позволяет установить подключение между клиентом и сервером, даже при наличии частных IP-адресов с обеих сторон. Передача данных через Интернет в OpenConnect VPN осуществляется с помощью HTTPS протокола (данные передаются с использованием криптографических SSL или TLS протоколов), обеспечивающий высокий уровень безопасности.

Для настройки подключения клиента OpenConnect нужно установить компонент системы OpenConnect VPN-клиент. Сделать это можно на странице Общие настройки в разделе Обновления и компоненты, нажав Изменить набор компонентов.

После этого перейдите на страницу Другие подключения и в разделе VPN-подключения нажмите Добавить подключение. В окне Параметры VPN-подключения в поле Тип (протокол) выберите значение OpenConnect. Затем в поле Имя подключения впишите имя соединения, а в поле Адрес сервера укажите доменное имя сервера (автоматически сгенерированное на интернет-центре Netcraze, который выполняет роль VPN-сервера). В полях Имя пользователя и Пароль соответственно укажите данные учетной записи, которой разрешен доступ к роутеру и в локальную сеть по протоколу OpenConnect.

Подсказка

Для настройки параметров IP, расписания работы или определения интерфейса, через который будет осуществляться подключение, нажмите Показать дополнительные настройки.

После создания подключения переведите переключатель в состояние Включено.

На этой же странице будет отображаться статус и статистика подключения.

Настройка сервера OpenConnect в Netcraze представлена в инструкции OpenConnect VPN-сервер.

Подсказка

Подключение к сети ZeroTier

ZeroTier позволяет персональным устройствам и сетевым маршрутизаторам получать доступ к вашей локальной сети через распределенное межсетевое соединение, которое автоматически выбирает оптимальный маршрут между узлами. Дизайн протокола обеспечивает простоту развертывания, централизованное управление, стабильную производительность и защиту данных. В результате соединения становятся безопасными, обеспечивая низкую задержку и высокую пропускную способность.

Чтобы настроить устройство Netcraze на подключение к вашей сети ZeroTier при помощи интерфейса командной строки (CLI), сначала создадим интерфейс подключения, выполнив соответствующую команду CLI.

      interface ZeroTier{X}

Где {X} — индекс нового интерфейса, выбранное по вашему усмотрению число.

Примечание

Команда interface изменяет контекст CLI на контекст указанного интерфейса. Последующие команды будут выполняться для указанного интерфейса до тех пор, пока не будет введена команда exit или другая команда, изменяющая контекст.

Затем укажем NETWORK ID вашей сети ZeroTier.

      zerotier network-id {network_ID}

Замените {network_ID} идентификатором NETWORK ID вашей сети ZeroTier без кавычек и скобок. Идентификатор сети можно найти в панели управления ZeroTier Central, как показано на рисунке.

Далее, включим прием адресов и маршрутов, рассылаемых в вашей сети ZeroTier.

zerotier accept-addresses
zerotier accept-routes

Затем, включаем интерфейс и сохраняем конфигурацию.

up
system configuration save

Полностью весь набор команд, перечисленных выше, должен выглядеть следующим образом.

(config)> interface ZeroTier0
Network::Interface::Repository: "ZeroTier0" interface created.
(config-if)> zerotier network-id 0123456789abcdef
ZeroTier::Interface: "ZeroTier0": set network ID to "0123456789abcdef".
(config-if)> zerotier accept-addresses
ZeroTier::Interface: "ZeroTier0": enabled addresses accept.
(config-if)> zerotier accept-routes
ZeroTier::Interface: "ZeroTier0": enabled routes accept.
(config-if)> up
Network::Interface::Base: "ZeroTier0": interface is up.
(config-if)> system configuration save
Core::System::StartupConfig: Saving (cli).

После ввода команд ваш узел Netcraze должен появиться на панели управления сетью ZeroTier Central. Чтобы упростить управление сетью, укажите имя и описание (Name/Description) устройства. Вам также может понадобиться авторизовать (Auth?) нового участника, если режим управления доступом Access Control в вашей сети установлен как Private (по умолчанию).

Вы можете использовать команду show для проверки состояния соединения на вашем устройстве Netcraze. Строка connected: yes означает, что состояние соединения — установлено.

(config)> show interface ZeroTier0
id: ZeroTier0
index: 0
interface-name: ZeroTier0
type: ZeroTier
description:
traits: Mac
traits: Ethernet
traits: Ip
traits: Ip6
traits: Supplicant
traits: EthernetIp
traits: ZeroTier
link: up
connected: yes <------
state: up
mtu: 2800
tx-queue-length: 1000
address: 172.26.81.177 <------
mask: 255.255.0.0
uptime: 312
global: no
security-level: public <------

ipv6:
addresses:
address: fe80::cc56:2aff:fed4:d8a3
prefix-length: 64
proto: KERNEL
valid-lifetime: infinite

mac: 32:dd:64:a3:fa:73
auth-type: none

zerotier:
via: GigabitEthernet1
local-id: 4aac294d2f
network-id: 0123456789abcdef
network-name:
status: OK

summary:
layer:
conf: running
link: running
ipv4: running
ipv6: disabled
ctrl: running

Отметим, что созданный интерфейс имеет параметр security-level: public. Это означает, что входящие соединения должны быть явно разрешены через Межсетевой экран. Принимая, что ваша сеть ZeroTier является доверенной, одного правила, разрешающего весь входящий трафик, будет достаточно. Добавим новое правило с действием Разрешить для созданного интерфейса ZeroTier, укажем в нем Протокол — IP и Любой в качестве Адреса источника и Адреса назначения, как показано на рисунке.

Подсказка

Чтобы другие устройства в сети ZeroTier узнавали о локальной сети за вашим новым узлом, создадим маршрут в разделе Advanced сетевых настроек. Укажите адрес Managed IPs (строка address: 172.26.81.177 в выводе выше) в качестве Via-адреса. Укажите адрес подсети локальной сети вашего маршрутизатора (по умолчанию 192.168.1.0/24) в поле Destination.

IPsec VPN клиент/сервер

В Netcraze реализована возможность использовать встроенный клиент/сервер IPsec VPN. Благодаря наличию этой функции существует возможность, в соответствии с самыми строгими требованиями к безопасности, объединить несколько интернет-центров в одну сеть по туннелю IPsec VPN.

В основном, IPsec VPN применяется для безопасного подключения к офисной сети (например, из домашней сети к корпоративному серверу) или для объединения сетей (например, двух удаленных офисов). С туннелем IPsec VPN можно абсолютно не волноваться о конфиденциальности данных файлового сервера, IP-телефонии или потоков видеонаблюдения. IPsec является одним из самых безопасных протоколов VPN за счет использования криптостойких алгоритмов шифрования.

Рассмотрим пример объединения двух локальных сетей (192.168.2.x и 192.168.0.x) через IPsec VPN.

Важно

Для построения туннеля IPsec VPN через глобальную сеть Интернет, хотя бы на одном из интернет-центров (на внешнем интерфейсе WAN) должен быть публичный "белый" IP-адрес. Для удобства рекомендуется использовать постоянный (статический) IP-адрес на WAN-интерфейсе, а также воспользоваться службой доменных имен CrazeDNS или DDNS для получения постоянного имени. Для работы IPsec-туннеля служба CrazeDNS должна работать только в режиме Прямой доступ на роутере, который будет ожидать подключения.

Адреса объединяемых сетей должны принадлежать разным подсетям. Не рекомендуется использовать одно адресное пространство в локальной и удаленной сети, т.к. это может привести к конфликту IP-адресов.

Для организации подключения IPsec VPN и объединения двух разных подсетей, понадобятся два интернет-центра Netcraze. Такой тип подключения называется "точка-точка" (site-to-site).

Один интернет-центр Netcraze будет выступать в роли ожидающего подключение IPsec (назовем его сервером), а другой Netcraze в роли инициатора подключения IPsec (назовем его клиентом).

Интернет-центр, выступающий в роли сервера IPsec, имеет постоянный публичный "белый" WAN IP-адрес для подключения к Интернету. Другой интернет-центр, выступающий в роли клиента IPsec, использует частный "серый" WAN IP-адрес.

Итак, перейдем непосредственно к настройке интернет-центров для организации между ними безопасного туннеля IPsec VPN для объединения двух сетей.

На интернет-центрах должен быть установлен компонент системы IPsec VPN сеть-сеть и клиент L2TP/IPsec VPN.

Сделать это можно на странице Общие настройки системы в разделе Обновления и компоненты, нажав Изменить набор компонентов.

Настройка Netcraze в роли сервера (ожидающего подключение IPsec).
На странице Другие подключения в разделе IPsec-подключения сеть-сеть нажмите Добавить подключение.
Откроется окно Настройка IPsec-подключения сеть-сеть.
В нашем случае этот Netcraze будет выполнять роль сервера, поэтому включите опцию Ждать подключения удаленного пира (в этом случае инициатором подключения будет выступать клиент, а сервер будет ожидать подключения).
Опция Nailed-up предназначена для поддержания соединения в активном состоянии и восстановления туннеля при разрыве (данный параметр достаточно включить на одном конце туннеля).
Опция Обнаружение неработающего пира DPD (Dead Peer Detection) предназначена для определения работоспособности туннеля.
В настройках Фазы 1 в поле Идентификатор локального шлюза вы можете использовать любой идентификатор: IP-адрес, FQDN (полное имя домена), DN (имя домена), E-mail (адрес эл. почты). В нашем примере используется идентификатор DN (имя домена) и в пустое поле идентификатора вписано произвольное имя.
Важно
Обратите внимание на идентификаторы локального и удаленного шлюзов в настройках 1-й фазы туннеля IPsec. Идентификаторы должны быть разными и указаны "крест-накрест" (крестообразно). Например, выбрав в качестве идентификатора значение DN, установите на сервере:
- Идентификатор локального шлюза: server
- Идентификатор удаленного шлюза: client
и на клиенте:
- Идентификатор локального шлюза: client
- Идентификатор удаленного шлюза: server
При множественных туннелях настройки локального и удаленного идентификаторов должны быть уникальны для каждого туннеля.
В настройках Фазы 2 в поле Локальные подсети нужно указать адрес локальной сети (в нашем примере 192.168.0.0), а в поле Удаленные подсети указать адрес удаленной сети, которая будет находиться за IPsec-туннелем (в нашем примере 192.168.2.0).
Важно
На обеих сторонах туннеля IPsec VPN настройки Фазы 1 и Фазы 2 обязательно должны совпадать. В противном случае туннель не будет установлен.
После создания IPsec-подключения переведите переключатель в состояние Включено.
Настройка Netcraze в роли клиента (инициатора подключения IPsec).
На странице Другие подключения в разделе IPsec-подключения сеть-сеть нажмите Добавить подключение.
Откроется окно Настройка IPsec-подключения сеть-сеть. В нашем случае этот Netcraze выполняет роль клиента, поэтому включите опцию Автоподключение (в этом случае инициатором подключения выступает клиент).
Опция Nailed-up предназначена для поддержания соединения в активном состоянии и восстановления туннеля при разрыве (данный параметр достаточно включить на одном конце туннеля).
Опция Обнаружение неработающего пира DPD (Dead Peer Detection) предназначена для определения работоспособности туннеля.
В поле Удаленный шлюз укажите публичный IP-адрес или доменное имя удаленного интернет-центра (это может быть имя CrazeDNS или DDNS).
Важно
В настройках Фазы 1 в полях Идентификатор локального шлюза и Идентификатор удаленного шлюза нужно указать те же идентификаторы, которые вы использовали на удаленном интернет-центре, но указаны они должны быть "крест-накрест" (крестообразно). Например, выбрав в качестве идентификатора значение DN установите на сервере:
- Идентификатор локального шлюза: server
- Идентификатор удаленного шлюза: client
и на клиенте:
- Идентификатор локального шлюза: client
- Идентификатор удаленного шлюза: server
При множественных туннелях настройки локального и удаленного идентификаторов должны быть уникальны для каждого туннеля.
В настройках Фазы 2 в поле Локальные подсети нужно указать адрес локальной сети интернет-центра (в нашем примере 192.168.2.0), а в поле Удаленные подсети указать адрес удаленной сети, которая будет находиться за установленным туннелем (в нашем примере 192.168.0.0).
Важно
На обеих сторонах туннеля IPsec VPN настройки Фазы 1 и Фазы 2 обязательно должны совпадать. В противном случае туннель не будет установлен.
После создания IPsec-подключения переведите переключатель в состояние Включено.
Проверка состояния IPsec-подключения.
Если настройки подключения были указаны верно на устройствах, то туннель IPsec VPN должен установиться между интернет-центрами.
На странице Другие подключения в разделе IPsec-подключения сеть-сеть будет показан статус подключения. При установке туннеля статус подключения будет Подключен.
Пример статуса туннеля на интернет-центре Netcraze (в роли клиента):
Пример статуса туннеля на интернет-центре Netcraze (в роли сервера):
Для проверки работоспособности туннеля выполните пинг интернет-центра или компьютера удаленной сети, находящегося за туннелем IPsec VPN.
Подсказка
Широковещательные broadcast-запросы (например, NetBIOS) не будут проходить через VPN-туннель, поэтому в сетевом окружении имена удаленных хостов не будут отображаться (доступ к ним возможен по IP-адресу, например \\192.168.2.27). Также каждый Netcraze должен быть основным шлюзом в своей сети, в случае несоблюдения данного условия, трафик пойдет мимо туннеля. В таком случае нужно добавлять на локальные хосты маршрут в удаленную сеть вручную или через DHCP-опции на маршрутизаторе, который является DHCP-сервером в такой схеме.
Если VPN-туннель IPsec был установлен, но пинг проходит только до удаленного интернет-центра и не проходит на хосты удаленной сети, то вероятнее всего на самих хостах блокирует пинг (icmp) Брандмауэр Windows или аналогичное ПО (Межсетевой экран или Firewall).
Также каждый Netcraze должен быть основным шлюзом в своей сети, в случае несоблюдения данного условия, трафик пойдет мимо туннеля. В таком случае нужно добавлять на локальные хосты маршрут в удаленную сеть вручную или через DHCP-опции на маршрутизаторе, который является DHCP-сервером в такой схеме.
Подсказка
Рекомендуем использовать версию протокола IKEv2. Версию IKEv1 используйте только в том случае, когда ваше устройство не поддерживает IKEv2.
Если наблюдаются разрывы VPN-подключения, попробуйте в интернет-центре Netcraze отключить опции Nailed-up и Обнаружение неработающего пира (DPD).

Настройка туннелей IPIP, GRE и EoIP

Общая информация

IPIP (IP в IP) — один из самых простых в настройке туннелей. Данный протокол инкапсулирует только unicast IPv4-трафик.

GRE (Generic Routing Encapsulation) позволяет инкапсулировать практически любые типы сетевых протоколов и поддерживает широковещательный трафик. Туннели GRE совместимы с аппаратными шлюзами безопасности, маршрутизаторами Mikrotik, Linux-роутерами, а также с оборудованием, которое умеет работать с GRE (например, Cisco, Juniper и др).

IPIP и GRE-туннели — это туннели сетевого уровня (L3) модели OSI, при создании которых доступны IP-адреса обеих сторон. Через них можно настраивать маршрутизацию (в том числе и маршруты по умолчанию) точно также, как и через любые другие интерфейсы.

EoIP-туннель (Ethernet over IP) — это туннель канального уровня (L2) модели OSI, поверх сетевого уровня (L3). Данные через EoIP-туннель передаются на уровне Ethernet-кадров. EoIP позволяет создать прозрачную сетевую среду, эмулирующую прямое Ethernet-подключение между сетями. При этом видны все MAC-адреса, и можно объединить две локальные сети на канальном уровне (L2) через Интернет при помощи этого типа туннеля. В качестве транспорта EoIP использует GRE. EoIP-туннель может работать поверх IPIP, Wireguard и любых других соединений, способных передавать IP-пакеты. Через него кроме IP можно передавать любой трафик, в том числе и ARP, DHCP, PPPoE, IPv6 и др. По умолчанию в туннеле будет работать сканирование подсети посредством ARP.

Важно

Туннели IPIP, GRE, EoIP относятся к типу "точка-точка" (point-to-point). Оба участника туннеля должны иметь публичные "белые" IP-адреса или находиться в одной сети (между ними не должно быть трансляции адресов NAT).

В простом виде, никаких механизмов безопасности для этих туннелей не предусмотрено (отсутствуют механизмы шифрования и аутентификации).

Туннели IPIP, GRE и EoIP работают без сохранения состояния соединения (их называют stateless или connectionless), то есть невозможно понять находится ли в работоспособном состоянии туннель или нет. Можно только настроить обе стороны и после этого проверить передачу данных.

Подготовка к настройке

Для возможности настройки подключения по протоколам IPIP, GRE и EoIP должны быть установлены компоненты VPN-туннели IP-IP, VPN-туннели GRE и VPN-туннели EoIP.

В качестве примера настройки подключений по протоколам IPIP, GRE и EoIP будут использоваться интерфейсы подключения к интернету с публичными IP-адресами на обеих сторонах настраиваемого туннеля.

Важно

При организации IPIP и GRE туннелей для объединения двух разных подсетей, необходимо, чтобы адреса этих подсетей не пересекались. Например, на одном конце туннеля должна быть подсеть 192.168.0.0/24, на другом 192.168.1.0/24.

Для корректной маршрутизации подсети в туннель на роутере эта подсеть не должна использоваться на каком-либо другом интерфейсе.

Пример настройки туннелей IPIP и GRE в простом виде

Туннели IPIP и GRE настраиваются идентично. Различие в том, что IPIP работает только через протокол IPv4, GRE может использовать и другие протоколы. Также GRE, наподобие TCP, может подтверждать получение пакетов.

Рассмотрим пример создания туннеля IPIP для одностороннего доступа между основными сегментами на двух роутерах. На локальном роутере основной сегмент имеет подсеть 192.168.0.0/24, на удаленном - 192.168.1.0/24.

На локальном роутере перейдите в раздел меню Интернет на страницу Другие подключения и под IP туннели нажмите на Добавить подключение.
Настройте туннель, указав в поле IP-адрес свободный адрес из диапазона частных "серых" IP-адресов. В нашем примере будет адрес 192.168.255.1. В поле Удаленная сторона укажите адрес внешнего интерфейса (публичный IP-адрес) удаленного роутера.
На удаленном роутере добавьте и настройте туннель, указав в поле IP-адрес свободный адрес из той же подсети частных IP-адресов, которую использовали на локальном роутере, например, 192.168.255.2. В поле Удаленная сторона укажите адрес внешнего интерфейса локального роутера.
На локальном роутере в разделе меню Сетевые правила на странице Маршрутизация добавьте маршрут по кнопке Добавить.
В маршруте укажите подсеть основного сегмента сети удаленного роутера (192.168.1.0, маска подсети 255.255.255.0). В поле Интерфейс выберите название настраиваемого туннеля. Поставьте галочку для опции Добавлять автоматически.
На удаленном роутере в разделе меню Сетевые правила на странице Межсетевой экран нажмите на Добавить правило.
В правиле выберите Интерфейс настраиваемого туннеля, а затем укажите IP-адрес назначения до подсети основного сегмента на этом роутере (192.168.1.0, маска подсети 255.255.255.0). Протокол для упрощения выберите IPV4 (ранее IP), который содержит необходимые для большинства задач протоколы: TCP, UDP, а также ICMP (Ping).
Включите созданные подключения IPIP или GRE на обеих сторонах, переведя переключатель в состояние Включено, и подождите некоторое время для установки подключения. Обычно это занимает меньше минуты.
Для проверки работы туннеля выполните отправку ICMP-пакетов (Ping) до клиента сети удаленного роутера.

Подсказка

Если нужен доступ в обе стороны между данными сегментами, то достаточно сделать зеркальные настройки маршрутизации и межсетевого экрана.

Пример настройки туннеля EoIP в простом виде

Главное применение EoIP — объединение подсетей в одну единую на канальном уровне (L2).

Рассмотрим пример объединения основных сегментов сети на двух роутерах.

В данном примере на локальном роутере в основном сегменте настроен IP-адрес 192.168.0.1. Основной сегмент удаленного роутера будет объединяться с сегментом локального роутера.

Важно

Поскольку сети соединяются на канальном уровне (L2), в объединяемых сегментах необходимо отключить DHCP-сервер на одном из роутеров. В противном случае, наличие двух активных DHCP-серверов приведёт к конфликтам IP-адресов и нестабильной работе сети.

Подсказка

Производить отключение DHCP-сервера и/или смену IP-адреса в сегменте рекомендуется при подключении к другому сегменту роутера или удаленно через CrazeDNS.

Отключение DHCP-сервера в сегменте, к которому подключено устройство, приведёт к потере доступа к веб-конфигуратору роутера на этом сегменте.

Чтобы возобновить доступ при отключенном DHCP-сервере, необходимо в сетевых настройках устройства вручную установить свободный IP-адрес из той же подсети.

На одном из роутеров установите свободный IP-адрес из подсети другого роутера, с которой происходит объединение и отключите DHCP-сервер. В данном примере устанавливается IP-адрес 192.168.0.2 и отключается DHCP-сервер на удаленном роутере. Изменить IP-адрес и отключить DHCP-сервер можно в разделе меню Мои сети и Wi-Fi на странице Сегменты в настройках конкретного сегмента.
На локальном роутере перейдите в раздел меню Интернет на страницу Другие подключения и под IP туннели нажмите на Добавить подключение.
Выберите протокол EoIP. В поле EoIP ID понадобится указать одинаковое значение на обеих сторонах туннеля. Поставьте галочку для опции Включить в сегмент и ниже выберите основной сегмент. В поле Удаленная сторона укажите адрес внешнего интерфейса (публичный IP-адрес) удаленного роутера.
На удаленном роутере сделайте аналогичную настройку туннеля, но в поле Удаленная сторона укажите адрес внешнего интерфейса локального роутера.
Включите созданные подключения EoIP на обоих роутерах, переведя переключатель в состояние Включено.

Если соединение установилось успешно, то в разделе меню Мои сети и Wi-Fi на странице Списки клиентов появятся устройства, которые подключены к основному сегменту удалённого роутера.

Добавление шифрования IPsec

На странице Другие подключения в разделе IP туннели нажмите на необходимый туннель IPIP, GRE или EoIP и в настройках туннеля поставьте галочку для опции Включить IPsec. Включать данную опцию нужно на обеих сторонах туннеля.

Примечание

При включении IPsec у туннеля должен уменьшиться Размер MTU. Если он был установлен вручную, то понадобится его скорректировать.

Значение в поле Общий ключ должно совпадать с обеих сторон.

Опция Форсировать UDP может понадобиться, если одна из сторон находится за NAT с настроенным пробросом портов для этой стороны. Если необходимо использовать данную опцию, то включена она должна быть с обеих сторон туннеля.

Включите IKEv2. Значение в поле ID интерфейса должно быть одинаковым на обеих сторонах.

Для корректной работы туннеля на одной из сторон включите опцию Ждать подключения удаленного пира. При включенном IPsec инициатором подключения должна быть только одна из сторон.

Примечание

Туннели на базе EoIP/IPsec и GRE/IPsec несовместимы с PPTP-подключениями из-за использования одного и того же протокола GRE. В этом случае остается использовать всего лишь один доступный вариант: IPIP/IPsec.

Настройка туннелей IPIP, GRE и EoIP через командную строку

Примечание

Для настройки через веб-конфигуратор см. статью Настройка туннелей IPIP, GRE и EoIP.

В интернет-центрах Netcraze имеется возможность создавать туннели IPIP (IP в IP), GRE (Generic Routing Encapsulation), EoIP (Ethernet over IP) как в простом виде, так и в сочетании с туннелем IPSec, что позволит использовать для защиты этих туннелей стандарты безопасности IPSec VPN.

Поддержка туннелей IPIP, GRE, EoIP в интернет-центрах Netcraze позволяет установить VPN-соединение с аппаратными шлюзами, Linux-маршрутизаторами, компьютерами и серверами c ОС UNIX/Linux, а также c другим сетевым и телекоммуникационным оборудованием, имеющих поддержку указанных туннелей.

Для работы с туннелями нужно в настройках интернет-центра дополнительно установить соответствующие компоненты системы NDMS:

Туннели EoIP (Позволяет создавать туннели Ethernet over IP);
Туннели GRE (Позволяет создавать туннели GRE);
Туннели IP-IP (Позволяет создавать туннели IP-over-IP).

Сделать это можно на странице "Общие настройки системы" в разделе "Обновления и компоненты", нажав на "Изменить набор компонентов".

Краткое описание

IPIP и GRE-туннели — это туннели сетевого уровня (L3) модели OSI, при создании которых доступны IP-адреса обеих сторон. Они представляются в системе в виде интерфейсов GreX и IPIPX, и через них можно настраивать маршрутизацию (в том числе и default route) точно также, как и через любые другие интерфейсы. Плюс ко всему для этих интерфейсов можно настроить уровень доступа security level — private, protected или public (информацию по описаниям уровней доступа можно найти в статье "Настройка правил межсетевого экрана из командного интерфейса").

IPIP (IP over IP) один из самых простых в настройке туннелей (инкапсулирует только unicast IPv4-трафик). Его можно настроить как на UNIX/Linux-системе, так и на различных маршрутизаторах (например, Cisco).

GRE (Generic Routing Encapsulation) туннель является одной из популярных разновидностей VPN. Туннели GRE совместимы с аппаратными шлюзами безопасности, маршрутизаторами Mikrotik, Linux-роутерами, а также с оборудованием, которое умеет работать с GRE (например, Cisco, Juniper и др).

EoIP-туннель (Ethernet over IP) — это туннель канального уровня (L2) модели OSI поверх сетевого уровня (L3). Данные через этот туннель передаются на уровне Ethernet-кадров. EoIP позволяет создать прозрачную сетевую среду, эмулирующую прямое Ethernet-подключение между сетями. При этом видны все MAC-адреса, и можно объединить две локальные сети на уровне L2 через Интернет при помощи этого типа туннеля. В качестве транспорта EoIP использует GRE. EoIP-туннель может работать поверх IPIP, PPTP и любых других соединений, способных передавать IP-пакеты. Через него кроме IP можно передавать любой трафик, в том числе и ARP, DHCP, PPPoE, IPv6 и др. По умолчанию в туннеле при смене security level на private/protected будет работать сканирование подсети посредством ARP. В системе представлен в виде интерфейса EoIPX.

EoIP разработан компанией MikroTik, потому присутствует совместимость с ними, а также с Linux-роутерами, которые умеют работать с EoIP.

Важно

Туннели IPIP, GRE, EoIP относятся к типу точка-точка. Оба участника туннеля должны иметь внешние IP-адреса (или находиться в одной сети) и между ними не должно быть никакой трансляции адресов NAT. Это необходимые условия для установки туннеля.

Туннели IPIP, GRE и EoIP работают без сохранения состояния соединения (их называют stateless или connectionless), то есть невозможно понять находится ли в работоспособном состоянии туннель или нет. Мы можем только настроить обе стороны и после этого проверить передачу данных.

При необходимости вы можете использовать механизм Ping Check на туннельных интерфейсах IPIP, GRE и EoIP.

Туннели IPIP, GRE и EoIP работают непосредственно поверх IPv4-протокола. IPIP использует номер IP-протокола 4, GRE и EoIP используют номер IP-протокола 47.

Примеры

Важно

Настройка туннелей IPIP, GRE и EoIP реализована как в веб-интерфейсе интернет-центра, так и в интерфейсе командной строки (CLI). Полный синтаксис указанных в статье команд вы найдете в справочнике командного интерфейса (CLI) в Центр загрузки.

В указанных ниже примерах приведены частные "серые" IP-адреса, которые можно использовать только в пределах локальной сети. Для создания туннелей через Интернет на двух концах туннелей должны быть публичные "белые" IP-адреса.

Для GRE имя интерфейса будет Gre0, для IPIP имя интерфейса IPIP0.

Настройка туннеля GRE/IPIP между двумя интернет-центрами Netcraze

Пример 1. Настройка на одном конце туннеля:
```
(config)> interface IPIP0
(config-if)> tunnel destination router1.example.com
(config-if)> ip address 192.168.100.1 255.255.255.0
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save
```
На другом конце туннеля задаются "зеркальные" настройки:
```
(config)> interface IPIP0
(config-if)> tunnel destination 8.6.5.4
(config-if)> ip address 192.168.100.2 255.255.255.0
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save
```
После этого можно попробовать пропинговать с любой из сторон адрес удаленной стороны в туннеле для проверки работоспособности туннеля.
Стоит обратить внимание, что в качестве destination можно указать как доменное имя (через Cloud-режим в CrazeDNS работать не будет!), так и IP-адрес удаленной стороны (WAN-интерфейса устройства).

Пример 2. Настройка на одном конце туннеля:

(config)> interface IPIP0
(config-if)> tunnel destination router1.example.com
(config-if)> ip address 192.168.100.1 255.255.255.0
(config-if)> up
(config-if)> exit
(config)> no isolate-private
(config)> ip route 10.10.2.0 255.255.255.0 IPIP0 /*static route to a remote private subnet 10.10.2.0/24 through the tunnel*/
(config)> system configuration save

На другом конце туннеля:

(config)> interface IPIP0
(config-if)> tunnel destination 8.6.5.4
(config-if)> ip address 192.168.100.2 255.255.255.0
(config-if)> up
(config-if)> exit
(config)> no isolate-private
(config)> ip route 10.10.1.0 255.255.255.0 IPIP0 /*static route to a remote private subnet 10.10.1.0/24 through the tunnel*/
(config)> system configuration save

Настройка туннеля EoIP между двумя интернет-центрами Netcraze

Для EoIP имя интерфейса будет EoIP0.

В случае с туннелем EoIP настройки будут абсолютно те же, кроме двух моментов:

можно задать MAC-адрес интерфейса;
необходимо задать EoIP tunnel ID, идентификатор туннеля (число в диапазоне от 1 до 65535), причем на обеих сторонах он должен совпадать.

Настройка на одном конце туннеля:

(config)> interface EoIP0
(config-if)> tunnel destination router1.example.com
(config-if)> tunnel eoip id 1500
(config-if)> ip address 192.168.100.1 255.255.255.0
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save

"Зеркальная" настройка на другом конце туннеля:

(config)> interface EoIP0
(config-if)> tunnel destination 8.6.5.4
(config-if)> tunnel eoip id 1500
(config-if)> ip address 192.168.100.2 255.255.255.0
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save

После этого можно попробовать пропинговать с любой из сторон адрес удаленной стороны в туннеле для проверки работоспособности туннеля.

Интерфейс EoIPx можно включить в Bridge для объединения локальных сетей. Для этого на обеих сторонах нужно настроить EoIP-интерфейс без IP-адреса, и затем включить в Bridge Home:

(config)> interface Home
(config-if)> include EoIP0
(config-if)> exit
(config)> system configuration save

Важно

Для интерфейсов туннелей IPIP, GRE и EoIP значение MTU автоматически вычисляется на основе интерфейса, через который будет проходить трафик, но также его можно и задать руками через команду interface ip mtu

При объединении локальных сетей с помощью туннеля EoIP рекомендуем на хостах использовать статические (постоянные) IP-адреса, указанные вручную. Если клиенты настроены на автоматическое получение IP-адресов от DHCP-сервера, то после установки туннеля могут возникнуть проблемы с присвоением IP-адресов, т.к. DHCP-запросы будут уходить в туннель, т.е. удаленную сеть.

Использование туннелей IPIP, GRE и EoIP совместно с IPSec

В случае установки специального компонента системы IPSec VPN появляется возможность защищать эти туннели при помощи стандартов безопасности IPSec, причем как в автоматическом, так и в полностью ручном режиме. Ручной режим мы описывать не будем, поскольку опытные пользователи самостоятельно могут настроить туннель IPSec с правильным режимом, а затем поверх IPSec поднять туннель. В случае автоматической настройки решается сразу несколько проблем ручного режима:

правильно выставляется значение MTU;
соединение становится connection-oriented, и нужно выбирать, кто из концов туннеля становится клиентом, а кто сервером;
автоматически решается проблема с проходом через NAT, поскольку используется IPSec NAT Traversal (NAT-T), при котором весь туннельный трафик превращается в поток UDP на порт 500/4500;
используется шифрование и проверка целостности данных.

Компонент IPSec VPN добавляет следующие настройки к туннелям:

interface ipsec preshared-key <key> — PSK для шифрования
interface ipsec encryption-level <level> — уровень шифрования, по умолчанию задан таким, чтобы охватывал максимально большое число устройств и ускорялся аппаратно. Можно не менять.

Поскольку IPSec разграничивает клиента и сервер, то теперь для настройки клиента (инициатора, той стороны, которая будет пытаться установить соединение) необходимо использовать команду interface tunnel destination, а для включения режима сервера (той стороны, которая будет отвечать на попытки установления соединения) необходимо использовать команду interface tunnel source.

Пример настройки туннеля EoIP с IPsec (в нашем примере сторона с WAN-адресом 8.6.5.4 является сервером):

Сервер:

(config)> interface EoIP0
(config-if)> tunnel source ISP
(config-if)> tunnel eoip id 1500
(config-if)> ipsec preshared-key mytestingkey
(config-if)> ip address 192.168.100.1 255.255.255.0
(config-if)> ipsec ikev2
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save

Клиент:

(config)> interface EoIP0
(config-if)> tunnel destination 8.6.5.4
(config-if)> tunnel eoip id 1500
(config-if)> ipsec preshared-key mytestingkey
(config-if)> ip address 192.168.100.2 255.255.255.0
(config-if)> ipsec ikev2
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save

Важно

Нужно, чтобы предварительно согласованный ключ IPSec PSK (preshared-key) совпадал на обеих сторонах туннеля.

В команде interface tunnel source можно указать как интерфейс-источник, так и IP-адрес, на котором будет ожидать подключения сервер. Однако предпочтение отдается интерфейсу, поскольку в данном случае вся перенастройка при смене адреса и прочих событиях будет происходить автоматически.

Примечание

Туннели на базе EoIP/IPSec и GRE/IPSec несовместимы с PPTP-подключениями из-за использования одного и того же протокола GRE. В этом случае остается использовать всего лишь один доступный вариант: IPIP/IPsec

Важно

Обращайте внимание на параметр isolate-private

Между интерфейсами private устанавливать соединение запрещено по умолчанию, но при необходимости, доступ можно разрешить. Если вам нужно разрешить соединения между интерфейсами типа private (т.е. не изолировать доступ), для этого выполните команду no isolate-private

Используйте команду system configuration save для сохранения настроек роутера.

Клиент прокси

Начиная с версии операционной системы NDMS 3.9 был добавлен компонент прокси-клиента, который будет полезен для сложных приложений туннелирования, а также в простой задаче подключения вашей сети к интернету через прокси-сервер. Данный функционал позволит настроить подключение через прокси-серверы с использованием протоколов HTTP, HTTPS и SOCKS5.

Для работы прокси-соединения нужно в роутере предварительно установить соответствующий компонент системы Клиент прокси. Сделать это можно в веб-интерфейсе на странице Общие настройки системы в разделе Обновления и компоненты, нажав на Изменить набор компонентов.

Для настройки доступа в Интернет через прокси перейдите в меню Другие подключения в раздел Прокси-подключения. Нажмите кнопку Добавить подключение.

Появятся поля для заполнения определенных параметров. Укажите регистрационные данные, предоставляемые администратором прокси-сервера.

Важно

Доступ к интернет-ресурсам через данное подключение может не работать корректно, если устройства не используют разрешение DNS-запросов при помощи протоколов DoT/DoH. Для уверенного доступа в Интернет через прокси включите DNS-over-TLS или DNS-over-HTTPS в настройках DNS вашего роутера.

После создания подключения переведите переключатель в состояние Включено.

Далее в меню Приоритеты подключений настройте выход в Интернет через созданное прокси-подключение. Перетащите его в начало списка, чтобы сделать основным подключением.

После этого все клиенты, подключенные напрямую к роутеру, будут выходить в Интернет через прокси-подключение. Если необходимо настроить доступ только для некоторых устройств, в этом случае нужно создать отдельный профиль и привязать к нему определенные устройства. Как это сделать показано в инструкции Приоритеты подключений.

Настройка завершена.

Для проверки можно воспользоваться любым публичным интернет-сервисом для определения IP-адреса и местоположение страны IP.

Приоритеты подключений

Подключения обеспечивают доступ во внешние сети — в интернет и все остальные по Ethernet, 3G/4G, ADSL / VDSL, Wi-Fi, VPN. Интернет-центры Netcraze поддерживают работу с несколькими одновременными подключениями (такую схему обычно называют Multi-WAN). В этом случае порядок использования подключений определяют приоритеты. Самый высокий приоритет делает подключение основным.

Процесс настройки показан в видеоинструкции ниже:

Примечание

При включении интернет-центра основным шлюзом по умолчанию становится шлюз подключения к интернету, имеющего больший приоритет. Если в интернет-центре используется несколько подключений, и произойдет сбой основного подключения, то шлюзом по умолчанию станет шлюз следующего по приоритету доступного подключения, имеющего выход в интернет.

Приоритет любого подключения можно повысить или понизить в веб-конфигураторе простым перетаскиванием названия в списке, а вдобавок к основной политике со всеми подключениями можно создавать дополнительные. Они могут включать только нужные подключения со своей расстановкой приоритетов и привязываться к определенным клиентам и сегментам сети. Иначе это называется функция политик маршрутизации Policy Based Routing (PBR).

На основную политику по умолчанию привязаны все незарегистрированные клиенты, входящие в базовые сегменты Домашняя сеть и Гостевая сеть. Также можно создать свои сегменты, например для устройств детей или техники "умного дома". Любой клиент можно зарегистрировать, тогда его отдельно можно привязывать к нужной политике. Привязка также осуществляется простым перетаскиванием клиента или сегмента на политику.

Домашние пользователи могут оценить PBR при решении следующей актуальной задачи: пускать определенные клиентские устройства в сети через VPN (например, игровые приставки), а остальные — через основной провайдерский интернет. Кроме того, это открывает возможности балансировки нагрузки при использовании 3G/4G-модемов с лимитированным трафиком. Ознакомьтесь с инструкцией Интернет доступ определенных устройств через разные подключения.

Настройка приоритетов подключений и политик доступа находится в веб-конфигураторе на странице Приоритеты подключений.

Рассмотрим пример, когда в интернет-центре Netcraze используется несколько подключений к интернету. Например, провайдер предоставляет основное подключение по выделенному кабелю, и дополнительно интернет-центр устанавливает VPN-подключение IKEv2, через которое также доступен интернет. Нужно настроить так, чтобы все домашние клиенты подключались в интернет через основное подключение, а отдельное устройство (хост с именем PS4pro) будет использовать VPN-соединение для подключения к внешней сети.

Нужно настроить отдельную Политику доступа в Интернет. На странице Приоритеты подключений на вкладке Политики доступа в интернет нужно нажать Добавить политику и указать имя новой политики. Здесь политика — это набор правил маршрутизации, которые применяются к трафику хостов, когда они обращаются в интернет.
Примечание
В NDMS можно создать не более 16 политик.
В нашем примере добавленная политика (GamePal) предназначена для предоставления доступа исключительно через подключение IKEv2-VPN.
В правой колонке Подключение нужно отметить только это подключение и сохранить настройки.
Здесь же, на странице Приоритеты подключений, перейдите на вкладку Применение политик. Опция Показать все объекты позволяет отобразить все зарегистрированные в локальных сегментах клиенты, и также сами настроенные на интернет-центре локальные сегменты сети.
При помощи мыши можно выбрать несколько объектов. В нашем примере требуется только один объект (хост PS4pro) переместить в добавленную ранее политику GamePal.
На этом настройка завершена. Следует убедиться в том, что используемое в политике подключение IKEv2-VPN включено и настроено на доступ в Интернет (включена опция Использовать для выхода в интернет). Это можно сделать на странице Другие подключения.
Теперь, когда хосту PS4pro потребуется подключиться к сети интернет, роутер отправит его запрос через подключение IKEv2-VPN. Все остальные клиенты локальной сети интернет-центра будут подключаться к интернету через основное подключение.
При необходимости, проверить и поменять политику доступа каждому устройству в сети интернет-центра можно на странице Список клиентов.
Примечание
В политику доступа добавляются DNS-серверы только тех интерфейсов, которые получены из добавленных в нем подключений. Это же актуально и для дополнительного DNS-сервера, который был добавлен вручную с указанием интерфейса. Если дополнительный DNS-сервер добавлен без указания интерфейса (в поле Подключение установлено значение Любое), он действуют для всех политик.
По умолчанию Netcraze запрещает пользоваться DNS-серверами, полученными на интерфейсе, который не включен в политику. Если одинаковый адрес DNS приходит на разные интерфейсы, он может быть использован только для основного подключения.

С механизмом приоритетов подключений также возможно Использование нескольких WAN-подключений в режиме балансировки (настройка через CLI).

Подсказка

В NDMS имеется возможность привязки интерфейса к определённой политике доступа. Это можно сделать через команду ip hotspot policy в интерфейсе командной строки (CLI) или Web CLI интернет-центра. Например, привязка может быть применена к интерфейсам Wireguard или Openvpn.

Приведем пример команд для привязки интерфейса Wireguard0 к политике Policy0:

ip hotspot policy Wireguard0 Policy0
system configuration save

Вместо Wireguard0 и Policy0 нужно указать интерфейс и политику доступа, которые используются в конфигурации вашего роутера. Конфигурацию можно посмотреть командой sh ru.

Если в роутере используется несколько WireGuard-подключений, первое из них будет иметь имя Wireguard0, а следующие — Wireguard1, Wireguard2 и т.д. То же самое относится и к именам политик доступа (Policy0, Policy1 и т.д.).

Подключение к нескольким провайдерам и резервирование интернет-канала

Интернет-центры Netcraze поддерживают работу с несколькими одновременными подключениями (такую схему обычно называют Multi-WAN). Например, к интернет-центру Netcraze можно подключить одновременно два интернет-кабеля Ethernet от разных провайдеров и настроить резервирование основного подключения, или в качестве основного Интернета использовать подключение по выделенной линии Ethernet, а подключение через USB-модем 3G/4G использовать для резервирования.

Multi-WAN поддерживают все без исключения модели интернет-центров Netcraze.

Важно

Механизм резервирования в интернет-центре Netcraze работает в следующих случаях:

При потере линка (физического соединения) на определенном интерфейсе;
При срабатывании функции Ping Check, которая определяет работоспособность подключения к Интернету;
При отключении интерфейса администратором устройства.

При выполнении одного из этих вариантов, шлюзом по умолчанию становится шлюз следующего по приоритету доступного соединения, имеющего выход в Интернет. Информацию о приоритетах вы найдете в статье "Приоритеты подключений".

Рассмотрим подробно пример подключения Netcraze к двум разным провайдерам по выделенной линии Ethernet и настройки резервирования основного интернет-канала.

Основной интернет-канал следует подключить к синему порту 0 (WAN/Интернет) интернет-центра, а кабель от резервного интернет-канала можно подключить к любому свободному желтому порту домашней сети.

Выполним настройку основного подключения к Интернету по инструкции "Подключение к Интернету по Ethernet". Например:
На основном подключении включен механизм проверки доступности Интернета (Ping Check). Ping Check определяет работоспособность подключения к Интернету. При сбое в сети основного подключения интернет‑центр Netcraze автоматически переключится на работу с запасным каналом, а при восстановлении работоспособности основного подключения, вернется на него. Рекомендуем включать Ping Check на основном подключении.
Выполнив настройку, убедитесь, что подключение к Интернету было установлено.
Перейдем к настройке резервного подключения.
В интернет-центре Netcraze можно изменить значение разъема домашней сети и настроить его для подключения интернет-кабеля провайдера (т.е. данный порт будет работать как синий порт 0 (WAN/Интернет).
Для одновременного подключения к нескольким провайдерам на странице "Подключение к интернету по Ethernet-кабелю" нажмите "+".
Затем настройте доступ к Интернету, в соответствии с условиями подключения провайдера.
Например, настройка резервного проводного подключения к Интернету:
Затем к интернет-центру подключите Ethernet-кабель второго (резервного) интернет-канала к указанному в настройках порту (в нашем примере к порту 1).
Если вы подключены к двум и более провайдерам, дополнительно можно настроить приоритеты подключений. Подробную информацию вы найдете в статье "Приоритеты подключений".
По умолчанию основному подключению устанавливается больший приоритет. Резервные подключения с меньшим приоритетом будут находиться в режиме ожидания (в резерве).
Итак, одновременное подключение двух Ethernet-кабелей от разных провайдеров и настройка резервирования основного интернет-канала завершены. На стартовой странице "Системный монитор" в разделе "Интернет" будет отображаться текущее активное подключение и резервное соединение.
Для проверки работоспособности просто отключим сетевой кабель основного провайдера из синего порта 0 (WAN/Интернет) интернет-центра.
При обнаружении отсутствия основного подключения, в интернет-центре Netcraze произойдет автоматическое переключение на резервный канал.
При восстановлении основного подключения, интернет-центр Netcraze автоматически вернется на основной канал.

При использовании Multi-WAN на роутере для балансировки нагрузки интернет-подключений можно настроить привязку определенных устройств к разным интернет-каналам с помощью политик маршрутизации Policy Based Routing (PBR). Дополнительную информацию вы найдете в инструкциях:

Интернет доступ определенных устройств через разные подключения

Предположим, что на Netcraze настроено два подключения к Интернету (Multi-WAN): основное — по выделенной линии и резервное — через 3G/4G USB-модем. И нужно настроить интернет-центр Netcraze так, чтобы Интернет раздавался всем домашним устройствам от основного подключения, а один компьютер имел доступ в Интернет через резервное соединение.

Данная задача решается с помощью политик маршрутизации Policy Based Routing (PBR) и настройки роутера в меню "Приоритеты подключений".

Процесс настройки кратко описать можно так:

В веб-конфигураторе роутера на странице "Приоритеты подключений" на вкладке "Политики доступа в интернет" добавьте новую политику и включите в неё только резервное подключение. Затем на вкладке "Применение политик" переместите нужное устройство из политики по умолчанию в новую созданную политику доступа. Теперь устройство добавленное в новую политику будет выходить в Интернет через резервное соединение, а остальные устройства (они находятся в основном политике по умолчанию) будут работать через основное.

Рассмотрим эту настройку подробно на конкретном примере.

Процесс настройки показан в видеоинструкции ниже:

На роутере используется 2 интернет-соединения: основное — через проводного провайдера и резервное — через сотовую сеть 3G/4G.

Перейдите на страницу "Приоритеты подключений". На вкладке "Политики доступа в интернет" вы увидите два интернет-соединения (в нашем примере это "Ethernet-подключение" и "Mobile Brodband"). Нажмите "+ Добавить политику".

Создайте новую политику доступа, укажите ей имя и нажмите Сохранить.

В новой созданной политике (в нашем примере это политика с именем "Backup") поставьте флажок для резервного подключения (у нас это "Mobile Broadband").

Перейдите на вкладку "Применение политик". Нажмите на "Политика по умолчанию", чтобы увидеть все устройства локальной сети, которые используются в этой политике доступа.

Нажмите на нужное устройство (в нашем примере компьютер с именем "PC"), в поле "Переместить в" выберите созданную новую политику доступа для резервного подключения (у нас это политика с именем "Backup") и нажмите "Подтвердить". Также это действие можно выполнить другим способом: просто перетащите мышкой устройство из правой колонки на название нужной политики в левой колонке.

Итак, мы добавили нужное устройство в новую созданную политику доступа, для которой используется только резервное подключение.

После выполненных настроек компьютер получит доступ в Интернет через резервное подключение (в нашем примере через сеть 3G/4G мобильного оператора), а все остальные устройства локальной сети будут работать через основное подключение (через провайдера предоставляющего доступ в Интернет по выделенной линии).

Многопутевая передача (суммирование пропускной способности нескольких интернет-соединений)

Начиная с версии ОС 3.9 реализована интеллектуальная балансировка трафика при использовании нескольких интернет-подключений. В роутере Netcraze этот механизм называется Многопутевой режим (Multipath mode).

В веб-конфигураторе роутера имеется возможность создания новой политики многопутевой передачи, которая позволит оптимизировать использование нескольких интернет-соединений, ускорить и сбалансировать трафик.

В режиме многопутевой маршрутизации, все включенные в политику подключения автоматически передают трафик. Этот режим можно использовать для суммирования пропускной способности каналов ваших провайдеров.

Примечание

Наиболее эффективно балансировка будет применяться для работы многопоточного трафика (соединений типа "точка — многоточка" или "один ко многим"), например, для torrent-трафика, P2P или других протоколов, которые открывают множество соединений не требующих сохранения адреса источника. В этом случае соединения будут распределяться по разным подключениям.

Для соединений типа "точка — точка" или "один к одному" балансировка не будет работать корректно, ведь большинство хостов отбросит пакеты одной сессии, если они придут с разных IP-адресов. Например, интернет-сайт или веб-сервис, работающий по протоколу https и открывающий множество сессий, может отказаться работать, т.к. если часть сессий будет идти по разным провайдерам, это вызовет срабатывание безопасности и ошибки для протокола https.

Многопутевая передача может работать в рамках только дополнительной политики (в Политике по умолчанию нельзя включить этот режим). Для настройки выполните следующие действия:

Подключите к роутеру несколько интернет-соединений (например, это могут быть как проводные подключения, так и подключения через 3G/4G-модемы);
Важно
Провайдеры должны выдавать роутеру Netcraze WAN IP-адреса из разных подсетей, чтобы не возникло конфликта.
На странице "Приоритеты подключений" добавьте новую политику. Включите опцию "Многопутевая передача".
Отметьте галочками нужные интернет-подключения.
Перенесите в эту политику устройство, на котором требуется получить суммированную скорость нескольких соединений.
Проверьте работу многопутевой передачи. Самый простой способ — на ПК запустите закачку файла через торрент-клиент. Устройство сможет использовать несколько подключений одновременно, если конечно оба провайдера не блокируют BitTorrent пиринговый сетевой протокол (в сетях мобильных операторов может не работать торрент-трафик или он будет искусственно ограничиваться по скорости).

Примечание

С версии ОС 3.9 число сессий распределяется не в соотношении приоритетов ip global, а в соотношении физических скоростей интерфейсов. Так при двух гигабитных подключениях сессии будут делиться пополам. А если первое подключение 1000 Мбит/с, а второе 100 Мбит/с, то в соотношении 10/1. Учитываются только скорости физических линков используемых портов. Не учитываются ограничения скорости шейпером провайдера согласно тарифному плану.

Важно понимать, что соотношение числа сессий не гарантирует соотношение скоростей. Эти соотношения приближаются друг к другу при большом числе однородных сессий. Если же основная загрузка создается одной сессией, она может произвольным образом установиться через любое подключение. В этом случае скорость будет определяться только скоростью одного этого подключения.

Еще одно нововведение версии ОС 3.9 это возможность распределения сессий по подключениям не только на основании пары ip-источника/ip-назначения, а еще и учитывая udp/tcp порт-источника/порт назначения. Новый режим распределения позволяет устанавливать сессии между двумя одинаковыми ip через разные подключения, что делает использование каналов более равномерным.

Например, для проверки суммирования пропускной способности в роутере используются два проводных интернет-соединения 100 Мбит/с (12.5 Мбайт/с) от разных провайдеров. Создадим политику с поддержкой многопутевого режима. Запустим закачку файла и в торрент-клиенте увидим, что скорость загрузки суммируется с двух интернет-каналов. В нашем примере получили скорость загрузки примерно до 179,2 Мбит/с (22,4 Мбайт/с).

Для архивных моделей роутеров с операционной системой NDMS 2.14 - 3.8 настройку подключений в режиме балансировки можно выполнить через интерфейс командной строки (CLI) роутера. Пример настройки показан в инструкции "Использование нескольких WAN-подключений в режиме балансировки (настройка через CLI)".

Управление полосой пропускания для Интернет-подключений

Начиная с версии ОС 3.8 в веб-конфигураторе роутера была добавлена настройка ограничения скорости для входящего и исходящего трафика в меню "Приоритеты подключений".

На этом экране можно настроить политики доступа и назначить их устройствам и сегментам сети. Для каждого подключения в политике можно указать индивидуальные приоритет обработки трафика и ограничения входящей и исходящей скорости. Обращаем внимание, что управление полосой пропускания недоступно для Политики по умолчанию, данная настройка возможна только для дополнительных политик, созданных вручную.

Важно

На данный момент управление полосой пропускания работает только для трафика IPv4.

Пример. На странице "Приоритеты подключений" на вкладке "Политики доступа в интернет" добавим новую политику с именем speedlimit-10mbit. В настройках управления полосой пропускания в полях "Управление входящим/исходящим трафиком" выберем значение "Вручную" и в полях "Ограничение скорости для входящих/исходящих данных" укажем значение скорости в кбит/с или Мбит/с. В нашем примере указано ограничение скорости в 10 Мбит/с:

На вкладке "Применение политик" добавим нужные устройства домашней сети в политику speedlimit-10mbit. Для этого политику доступа в левой колонке и затем перетащите устройства на название нужной политики в левой колонке.

Теперь для этих устройств будет применена политика доступа в Интернет с указанной полосой пропускания (в нашем примере с ограничением скорости 10 Мбит/с для входящего и исходящего трафика). Проверим работу ограничения скорости с помощью онлайн-сервиса Speedtest, запустив тестирование с компьютера, который был добавлен в политику доступа speedlimit-10mbit:

Дополнительную информацию вы можете найти в инструкции "Как измерить скорость интернет-канала?".

Также можно настроить управление полосой пропускания сразу для нескольких интернет-подключений. Например:

Учет трафика

Настройка Учет трафика реализована для моделей со встроенным 4G/3G-модемом и для внешних совместимых QMI-модемов. С её помощью возможно настроить предупреждение и ограничение по объему переданного в сети 4G/3G-трафика, согласно тарифному плану вашего провайдера.

Настройка выполняется в веб-конфигураторе устройства в разделе Интернет на странице Учет трафика. Для включения необходимо указать объем трафика по тарифу (бюджет) в поле Задать ограничение. Предустановленный порог предупреждения в процентах от значения бюджета можно изменить в поле Задать предупреждение. Также имеется режим помесячного учета, начиная с указанного дня. Для этого установите опцию Обнулять ежемесячно и укажите день месяца для автоматического сброса счетчика.

Важно

Учитывается как входящий, так и исходящий трафик. Поскольку измерения объема трафика выполняются на вашем устройстве Netcraze, результаты могут отличаться от данных вашего провайдера. При выборе значений ограничения и порога предупреждения, рекомендуем предусмотреть ситуации с возможным расхождением в цифрах и устанавливать порог и ограничение с некоторым запасом. Для работы функции Учет трафика требуется автоматическая синхронизация времени и корректно установленный часовой пояс.

В случае когда требуется подкорректировать объем учтенного трафика (например, SIM-карта использовалась в другом устройстве), предусмотрена возможность редактирования значения количества переданных данных. Нажмите Изменить и установите требуемое значение — учет продолжится с него.

Для удобства вы можете включить уведомления при достижении уровня предупреждения о перерасходе трафика и по достижении указанного уровня ограничения. Уведомления будут отправляться по SMS на телефон пользователя.

Важно

Отправка SMS выполняется согласно тарифному плану установленной SIM-карты сотового оператора. Выясните у оператора мобильной сети, присутствует ли в вашем тарифе возможность отправки SMS. Например тарифы Yota для модемов и роутеров не поддерживают передачу SMS. Также обращаем ваше внимание, что как правило отправка SMS является платной услугой для абонента.

Включив опцию Уведомление по SMS укажите телефон для отправки SMS-сообщений и текст сообщения, которое будет отправлено по наступлении события. Возможно указать максимум 3 номера сотовых телефонов.

Также вы можете активировать опцию Отключиться от сети, чтобы при достижении указанного предела объема трафика происходило отключение от сети провайдера (той сети, которая используется для передачи данных). В этом случае роутер не будет передавать трафик в сотовой сети, чтобы он не учитывался на стороне провайдера.

При выборе настройки Отключиться от сети, индикатор Сотовая сеть на корпусе будет переведен в режим мигания по достижении уровня ограничения.

Примечание

Отправка SMS-сообщений продолжит работать и при срабатывании опции Отключиться от сети. Передача данных через мобильную сеть в таком случае прекращается.

Если включена опция Обнулять ежемесячно, то в день начала периода учтенный трафик будет сброшен в ноль и сетевое соединение для подключения к Интернету будет восстановлено.

eSIM

Начиная с версии ОС 5.0 реализована поддержка Local Profile Assistant (LPA) и встроенного модуля идентификации абонента (eSIM; электронная SIM-карта) для модемных интерфейсов UsbLte и UsbQmi. Модуль eSIM может быть встроен в 5G/4G‑модем или доступен через внешний eSIM‑адаптер.

В веб-конфигураторе интернет-центра можно просматривать, добавлять и переключать eSIM-профили на поддерживаемых 5G/4G-модемах. Функция в настоящее время работает с внешними eSIM-модулями, доступ к которым осуществляется через физическую eSIM-карту, что позволяет активировать мобильных операторов, менять тарифные планы или управлять несколькими профилями прямо из браузера без использования дополнительных приложений или ручной настройки.

Подключитесь к веб-конфигуратору интернет-центра. Страница eSIM будет доступна для совместимых 5G/4G-модемов, а также для моделей интернет-центров Netcraze со встроенным модемом. Страница eSIM отображается только в основном режиме работы Роутер.

На каждой вкладке отображается следующая информация: Номер сим слота, его при необходимости можно поменять в меню Mobile на странице Подключения к интернету через сотовую сеть, EID для eSIM-устройства и кнопка Добавить профиль. Если ранее был добавлен хотя бы один профиль eSIM, то также отображается таблица профилей.

Для добавления профиля нажмите кнопку Добавить профиль, появится окно для загрузки нового профиля eSIM. В окне добавления профиля будет доступно два варианта: Добавление профиля через Код активации и Добавление профиля через QR-код.

В поле Код активации вручную укажите код или прикрепите файл с QR-кодом. Данный QR-код распознается веб-интерфейсом, и в результате код автоматически добавляется в текстовое поле Код активации.

Нажмите кнопку Установить профиль. Появится окно с процессом загрузки профиля. При желании можно отменить загрузку, нажав кнопку Остановить установку.

После успешного добавления профиля появится таблица eSIM-профилей, которая содержит текущий набор профилей, содержащий Имя профиля и ICCID. В таблице можно выполнить следующие действия: Включить/Выключить профиль; Переименовать профиль; Удалить профиль.

Важно

При наличии нескольких профилей, одновременно может быть активирован только один. Если какой-либо профиль активирован, то при активации другого профиля, текущий деактивируется.

После включения профиля убедитесь, что подключение через eSIM было установлено. Сделать это можно на странице Подключения к интернету через сотовую сеть или на стартовой странице Системный монитор.

SMS

Процесс настройки показан в видеоинструкции ниже:

Начиная с версии ОС 3.5.1 в веб-интерфейсе роутера реализована работа с SMS (Short Message Service, служба коротких сообщений; СМС) для совместимых QMI-модемов, а также для моделей со встроенным 4G/3G-модемом.

Управление сообщениями выполняется в веб-конфигураторе устройства в разделе Интернет на странице SMS.

При наличии новых сообщений в панели управления около пункта меню SMS появится значок-оповещение в виде конверта.

На странице SMS вы можете прочитать новые сообщения, посмотреть ранее сохраненные. Сообщения группируются в цепочку по отправителю.

Кроме этого, интерфейс позволяет переслать любое смс-сообщение на указанный номер и отправить новое.

Примечание

При создании длинного сообщения оно будет разбито на несколько смс, с допустимым количеством знаков. При использовании латинских символов длина одного смс составляет 160 символов, а при использовании кириллицы одно смс может содержать 70 символов.

Сообщения не записываются на SIM-карту. При использовании внешнего QMI USB-модема новые поступающие сообщения хранятся в памяти самого модема. Обычно она небольшого размера (например, позволяет сохранить не более 10 смс). А что касается отправленных сообщений, то они могут вообще не сохраняться.

А при использовании наших роутеров со встроенным QMI-модемом новые поступающие сообщения сохраняются в памяти роутера. Максимальное значение сохраненных входящих SMS-сообщений в памяти маршрутизатора — 128. Если память заполнена, самые старые SMS из памяти будут автоматически удаляться при получении нового SMS.

USSD

Начиная с версии NDMS 3.5 для совместимых QMI-модемов, а также для интернет-центров со встроенным 4G/3G-модемом, была добавлена возможность отправить USSD-запрос мобильному оператору.

USSD (Unstructured Supplementary Service Data) — стандартный сервис в мобильных сетях, позволяющий организовать интерактивное взаимодействие между абонентом сети и сервисным приложением в режиме передачи коротких сообщений. USSD обычно используется для запроса доступного баланса счёта и управления услугами.

В веб-интерфейсе в разделе меню Интернет нажмите на USSD. В поле Запрос введите USSD-команду (код запроса) и нажмите кнопку Отправить.

Важно

Коды для USSD-запросов различаются от оператора к оператору. Пожалуйста, сверьтесь с перечнем кодов, поддерживаемых вашим оператором.

Примечание

Отправка USSD-запросов может работать в режимах Авто и Только 3G, но не работает в режиме Только 4G. Это связано с ограничением технологии USSD и актуально для всех вендоров и операторов. Если в режиме Авто модем работает на 4G, то при отправке USSD в веб-интерфейсе можно наблюдать как роутер временно переходит с 4G на 3G и потом возвращается в 4G.

В интерфейсе командной строки (CLI) роутера для отправки USSD-запроса используется команда ussd send.

Полный синтаксис команды:

(config)> ussd {interface} send {request}

{interface} — полное имя интерфейса или псевдоним; список доступных интерфейсов можно увидеть с помощью команды interface [Tab]. Встроенный 4G/3G-модем по умолчанию имеет имя интерфейса UsbQmi0.

{request} — USSD-команда.

Пример выполнения USSD-запроса:

(config)> ussd UsbQmi0 send *100#

request: *100#
response: Your number: +1234567890
Available: 10 dol
4.01 / 5 GB

Принцип отправки USSD-запросов в диалоговом режиме такой:

Сначала отправляем USSD-запрос с возможностью выбора ответа. Например, запрос на отключение услуги Вам звонили у оператора МТС будет выглядеть так:
```
*111*38#
```

В ответ получаем:

Activate the service?
1>Activate
2>Disactivate
3>Info
0>Back

Далее во втором сообщении включаем изначальный запрос без # и добавляем к нему * и вариант ответа 2 (Disactivate) (2 (отключить)), заканчиваем сообщение #:
```
*111*38*2#
```
Получаем: Запрос отправлен, по факту регистрации Вы получите SMS
```
Request sent, upon registration you will receive an SMS
```

Варианты подключения для IPv6

Подключение к Интернету по протоколу IPv6

Для подключения роутера Netcraze к Интернету по протоколу IPv6 особых настроек не требуется. В большинстве случаев достаточно включить IPv6 в настройках внешнего интерфейса, через который будет осуществляться подключение.

Важно

Чтобы IPv6-подключение работало через роутер, провайдер должен назначать адрес с сетевым префиксом /48, /56 или /64, для возможности делегации префикса в домашнюю сеть. Иначе IPv6-подключение через роутер работать не будет.

Некоторые провайдеры предоставляют только один IPv6-адрес без делегации префикса. Такие параметры рассчитаны на подключение только одного хоста и работать через роутер не будут.

USB-модемы мобильных операторов не поддерживают делегирование префиксов. IPv6 через 3G/4G-модем будет работать только при подключении напрямую к компьютеру и только с одним хостом.

Информацию, о том как узнать был ли получен префикс, вы найдете в разделе Примечание в конце статьи.

Для настройки IPv6-подключения выполните следующие действия:

При простом доступе по IPoE с DHCP-сервером достаточно только включить использование протокола IPv6. Сделать это можно на странице Подключения к интернету по Ethernet-кабелю. В разделе Параметры IPv6 в поле Настройка IPv6 установите значение Автоматическая или Ручная. Для отключения IPv6 установите значение Не используется.
При использовании подключения с аутентификацией (PPPoE, PPTP или L2TP), перейдите на страницу Подключения к интернету по Ethernet-кабелю и в разделе Аутентификация у провайдера нажмите Показать дополнительные настройки.
В появившихся настройках в поле Настройка IPv6 установите значение Автоматическая или Ручная.
После выполнения вышеуказанных действий, интернет-центр должен автоматически получить IPv6-адрес и DNS-сервера от провайдера.
С компьютера проверьте, будут ли доступны интернет-ресурсы через протокол IPv6.
Например, в командной строке Windows выполните команду:
```
ping ipv6.google.com
```

Примечание

Посмотреть список текущих IPv6-префиксов можно в интерфейсе командой строки (CLI) роутера с помощью команды:

show ipv6 prefixes

Например:

(config)> show ipv6 prefixes

prefix:
 prefix: 2a02:2698:24::/64
 interface: PPPoE0
 valid-lifetime: 86349
 preferred-lifetime: 3549

Или в системном файле self-test.txt в подразделе show ipv6 prefixes. Например:

<!-- show ipv6 prefixes -->
 <prefix>
  <prefix>2a02:2698:24::/64</prefix>
  <interface>PPPoE0</interface>
  <valid-lifetime>86349</valid-lifetime>
  <preferred-lifetime>3549</preferred-lifetime>
 </prefix>

В нашем примере префикс /64 был делегирован провайдером. Префикс /64 позволяет использовать адреса IPv6 только в рамках одного сегмента (например, только для сегмента Домашняя сеть). Префикс /48 позволяет использовать адреса IPv6 в разных сегментах (например, в Домашняя сеть и Гостевая сеть, и дополнительных сегментах).

Получение адреса IPv6 на WAN-интерфейсе необязательно. Чтобы роутер мог работать с IPv6, провайдер должен предоставлять не IP-адрес, а префикс.

Ниже представлен пример параметров, когда от провайдера был получен только IPv6-адрес без префикса. В этом случае подключение через роутер не будет работать.

<!-- show ipv6 prefixes -->
 
<!-- show ipv6 addresses -->
 <address>
  <address>2a00:1370:8024::</address>
  <link-local>fe80::5a8b:f3ff::</link-local>
  <interface>ISP</interface>
  <valid-lifetime>infinite</valid-lifetime>
 </address>

IPv6 подключение к туннельному брокеру Hurricane Electric

Туннели IPv6 через IPv4 используются для доступа к интернет-ресурсам по протоколу IPv6, когда ваш публичный IP-адрес версии 4 (IPv4). Чтобы настроить подключение, зарегистрируйтесь на сайте виртуального провайдера IPv6 (туннельного брокера), работающего по технологии 6in4. Параметры подключения вы получите при регистрации.

Важно

Необходимыми условиями для подключения к туннельному брокеру IPv6 являются:

наличие выделенного (постоянного) публичного IP-адреса на внешнем интерфейсе;
должен быть разрешен пинг роутера со стороны Интернета: ваш провайдер не должен блокировать входящие ICMP-пакеты и в Netcraze нужно создать правило "Межсетевого экрана" для ответа на пинг-запросы.

Перейдите на страницу туннельного брокера Hurricane Electric.
Нажмите кнопку Register для регистрации на сервисе.
В окне IPv6 Tunnel Broker Registration укажите необходимую информацию для регистрации и нажмите кнопку Register.
Для создания туннеля нажмите по ссылке Create Regular Tunnel.
В окне Create New Tunnel в поле IPv4 Endpoint (Your side) укажите выделенный публичный WAN IP-адрес интернет-центра. Посмотреть его можно в веб-конфигураторе на странице "Системный монитор".
В таблице Available Tunnel Servers выберите туннельный сервер. Вы можете самостоятельно выбрать наиболее близкий к вам сервер по территориальному признаку или оставить тот, который был выбран автоматически. Для продолжения нажмите кнопку Create Tunnel.
Затем в разделе Configured Tunnels нажмите по ссылке созданного туннеля для получения подробной информации о туннеле IPv6.
В окне Tunnel Details на вкладке IPv6 представлена вся необходимая информация для настройки туннеля IPv6 через IPv4 в Netcraze.
В Routed /48 сразу не показывается информация о префиксе. Для получения префикса нажмите Assign.
Понадобится следующая информация:
- Server IPv4 Address (IPv4-адрес сервера)
- Client IPv6 Address (IPv6-адрес клиента)
- Routed /48 (Префикс IPv6)
Подключитесь к веб-конфигуратору интернет-центра.
Примечание
Для работы с протоколом IPv6 в NDMS версии 4.3 и ранее, должен быть установлен компонент системы IPv6 в устройстве Netcraze. Убедитесь, что он установлен. Сделать это можно на странице 'Общие настройки системы' в разделе Обновления и компоненты нажав на 'Изменить набор компонентов'.
Затем перейдите на страницу "Другие подключения" и в разделе "Подключения IPv6 через IPv4" нажмите кнопку "Добавить подключение".
В окне "Настройки подключения" обязательно включите опцию "Использовать для выхода в интернет". В поле "Имя подключения" укажите любое имя для описания подключения. В поле "IPv4-адрес" нужно вписать адрес сервера для подключения (он указан в панели управления брокера в "Server IPv4 Address"). В поле "IPv6-адрес" вставьте адрес клиента, указанный в панели управления в "Client IPv6 Address" (добавьте адрес без префикса /64). И в поле "Префикс IPv6" вставьте адрес из "Routed /48".
Нажмите "Сохранить" для записи конфигурации роутера.
На странице "Другие подключения" для активации туннеля переведите переключатель в состояние Включено.
Предупреждение
Начиная с версии NDMS 4.0 были внесены изменения в реализацию работы Подключений IPv6 через IPv4. Теперь для работы данного типа туннелей необходимо поднять приоритет IPv6-подключения, т.е. сделать его основным на странице "Приоритеты подключений" на вкладке "Политики доступа в интернет".Connection priorities
Для проверки подключения перейдите на страницу "Диагностика", в разделе "Проверка сетевого соединения" поставьте переключатель на "Ping IPv6" и нажмите кнопку "Запустить проверку".
При успешном соединении с туннельным брокером в результатах выполнения пинга должны отсутствовать потерянные пакеты (0% packet lost). Все пакеты должны быть отправлены (5 packets transmitted) на проверяемый хост и от него получены ответы (5 packets recieved).

Примечание

Полезные ссылки:

Подключение Netcraze к Интернету по протоколу IPv6

Дополнительные параметры конфигурации

Проверка доступности Интернета (Ping Сheck)

С помощью интернет-центра Netcraze вы можете организовать подключение к нескольким провайдерам одновременно (такое подключение называют термином Multi-WAN) и включить непрерывную проверку доступности Интернета (функцию Ping Check). Ping Check определяет работоспособность подключения к Интернету, выполняя опрос заданного сетевого узла. При сбое в сети основного провайдера интернет‑центр автоматически переключится на работу с запасным каналом.

Настроить проверку доступности Интернета можно для проводных подключений IPoE (в том числе с аутентификацией у провайдера по протоколам PPPoE, PPTP и L2TP), а также WISP, ADSL / VDSL. Но особенно функция Ping Check будет полезна при подключении к Интернету через USB-модем 3G/4G.

Важно

Интернет-центры Netcraze умеют управлять питанием USB-модемов без участия пользователя. Дело в том, что многие современные модемы — это самостоятельные устройства, которые стартуют и работают независимо от интернет-центра. С одной стороны, это хорошо. Но с другой, многие компактные USB-модемы рассчитаны главным образом на эпизодическую работу в ноутбуке, но не на круглосуточную работу, от которой они, увы, могут сбоить или зависать. С помощью функции Ping Check интернет-центр Netcraze сам обнаружит, что Интернета по какой-то причине нет, и автоматически перезагрузит модем по питанию, чтобы связь появилась снова.

Вам не нужно заботиться о настройке Ping Check. Достаточно подключить поддерживаемый USB-модем к интернет-центру и убедиться, что он определился и готов к работе (это можно сделать в веб-конфигураторе на странице Системный монитор). Функция Ping Сheck включается автоматически при подключении USB-модема к Netcraze. Ping Check в качестве метода проверки использует режим Автоматический.

Данный режим предназначен для упрощения настройки функции Ping Сheck обычными пользователями (тем, кто не хочет разбираться в дополнительных параметрах). В актуальных версиях ОС проверяется доступность узлов ya.ru, vk.com и dzen.ru по порту TCP/443 (HTTPS), в ранних версиях ОС проверялась доступность узлов google.com, facebook.com, yahoo.com. Порт TCP/443, как правило, не блокируется операторами связи. В случае отсутствия связи с узлами интернет-центр попытается восстановить подключение, при помощи перезапуска интерфейса модема, или при наличии резервного подключения выполнит автоматическое переключение на резервный канал.

Наряду с функциональностью по умолчанию, существует возможность самостоятельной настройки функции Ping Check. Кроме режима Автоматический доступны ещё 3 варианта: ICMP-запросы (Ping), TLS-проверка порта TCP и Проверка порта TCP. Подробности в инструкции Тонкая настройка Ping Check.

Тонкая настройка Ping Check

Важно

В этой статье представлена информация для опытных пользователей.

Реализация функции Ping Check в интернет-центре Netcraze позволяет пользователю самостоятельно выполнить гибкую настройку.

Важно

Рекомендуем использовать функцию Ping Check на основном подключении, приоритет которого выше, чем у резервного подключения. Как правило, нет необходимости дополнительно включать Ping Check на резервном подключении, потому что при восстановлении основного подключения на интернет-центре произойдет переключение шлюза по умолчанию по высшему приоритету.

Информацию о приоритетах вы найдете в статье Приоритеты подключений.

Настроить проверку доступности Интернета (Ping Check) можно для проводных подключений IPoE (в том числе с аутентификацией у провайдера по протоколам PPPoE, PPTP и L2TP), а также 3G/4G, WISP, ADSL / VDSL.

На странице подключения в разделе Проверка доступности Интернета (Ping Check) в поле Режим можно вручную указать при помощи каких запросов выполнять проверку — ICMP или TCP.

Доступно 5 вариантов:

Автоматический
ICMP-запросы (Ping)
TLS-проверка порта TCP
Проверка порта TCP
Не использовать

Режим "Автоматический"

Предназначен для упрощения настройки функции Ping Сheck обычными пользователями (тем, кто не хочет разбираться в дополнительных параметрах).

В актуальных версиях ОС проверяется доступность узлов ya.ru, vk.com и dzen.ru по порту TCP/443 (HTTPS), в ранних версиях ОС проверяется доступность google.com, facebook.com, yahoo.com. Порт TCP/443, как правило, не блокируется операторами связи. Интервал проверки — 10 секунд. Минимальное число успешных попыток для перехода из выключенного состояния во включенное — 5. Число неуспешных попыток для перехода из включенного состояния в выключенное — 5.

Важно

Для некоторых USB-модемов может потребоваться больше времени для установки подключения, чем это определено в профиле Автоматический. Если вы наблюдаете постоянную циклическую перезагрузку модема по питанию, попробуйте вручную настроить Ping Check, используя режим ICMP-запрос (Ping), TLS-проверка порта TCP или Проверка порта TCP, и подобрав нужное значение в поле Периодичность проверки.

Режим "ICMP-запросы (Ping)"

В полях Периодичность проверки (время в секундах между проверками) и Порог срабатывания (число неудачных проверок) по умолчанию установлены значения 10 и 5 соответственно.

Примечание

Для Ethernet-подключения оптимальными значениями Периодичность проверки и Порог срабатывания являются 5 и 3 соответственно.

В поле Проверять IP-адрес или домен впишите IP-адрес узла или его доменное имя, ответ от которого будет служить критерием наличия доступа к сети. Например, можно использовать адрес надежного отказоустойчивого сервера DNS (в нашем примере указан IP-адрес публичного DNS-сервера от Яндекса). Рекомендуется указывать IP-адрес для исключения проблем, связанных с DNS.

Важно

Переход на резервное подключение или перезагрузка 3G/4G-модема произойдет после превышения числа неудавшихся проверок, заданного в поле Порог срабатывания.

Подсказка

Некоторые провайдеры пропускают пинги (ICMP-запросы) до некоторых публичных DNS-серверов (например, до DNS-серверов от Google 8.8.8.8, 8.8.4.4) или собственных DNS-серверов, даже когда доступ в Интернет заблокирован. Рекомендуем указать IP-адрес (сервер), который постоянно доступен в Интернете и не отвечает на запросы только при отсутствии доступа в сеть.

При использовании режима ICMP-запросы (Ping) и при указании публичных серверов (сервисов) в качестве IP-адреса для проверки доступности Интернета, могут возникать задержки при ответе на пинг. Время ожидания ответа на запрос от проверяемого сервера составляет 10 секунд. Если по истечении этого времени ответ не пришел, интернет-центр считает этот запрос неудачным и отсылает следующий запрос. Данное значение является постоянным.

В поле Периодичность проверки указывается время между проверками. Точкой отсчета для второго и далее запроса считается время получения предыдущего ответа (или истечение времени ожидания ответа), а не время отправления предыдущего запроса. Например, 0 сек — отправлен первый запрос, через 3 сек — получен первый ответ (может ожидать до 10 сек), далее ожидание, указанное в поле Периодичность проверки (по умолчанию 10 сек), т.е. 3+10=13 сек — отправка второго запроса и т.д. Таким образом конфликта таймингов быть не может (когда запрос отправлен ранее, чем получен предыдущий ответ).

Если же с каким-то публичным сервером постоянно возникают задержки при ответе на пинг, не рекомендуется чрезмерно увеличивать значения периодичности проверки и порога срабатывания, т.к. это может привести к блокировке трафика на стороне сервера. Предпочтительно, выбрать адрес другого ресурса, постоянно доступный в сети Интернет, и с которым не будут возникать большие задержки при ответе на пинг.

Режим "TLS-проверка порта TCP"

Режим TLS-проверка порта TCP улучшает работу механизма Ping Check для обеспечения защиты от сбоев доступа в Интернет. Этот режим предотвратит ложноположительные результаты, в случае когда провайдер перенаправляет трафик на авторизованный портал, например, на свой биллинговый сервис.

Рекомендуется указывать IP-адрес для исключения проблем, связанных с DNS:

Режим "Проверка порта TCP"

В полях Периодичность проверки (время в секундах между проверками) и Порог срабатывания (число неудачных проверок) по умолчанию установлены значения 10 и 5 соответственно.

Примечание

В поле Проверять IP-адрес или домен впишите IP-адрес узла или его доменное имя, проверку доступности которого требуется выполнять. Например, можно использовать адрес сервера DNS (в нашем примере указан IP-адрес публичного DNS-сервера от Яндекса). Рекомендуется указывать IP-адрес для исключения проблем, связанных с DNS.

В поле Порт TCP укажите номер TCP-порта, по которому будет осуществляться проверка доступности Интернета. В нашем примере используется порт TCP/53 (DNS).

Режим "Не использовать"

Если нужно отключить механизм Ping Check, установите значение Не использовать в поле Режим.

Игнорировать DNS провайдера

Обычно интернет-провайдер автоматически предоставляет своим пользователям собственный доменный сервер (DNS), однако в некоторых случаях может потребоваться отказаться от использования этих серверов, заменив их адресами публичных DNS или VPN-провайдера.

Начиная с версии ОС 3.1 в веб-конфигураторе можно включить опцию для игнорирования (отключения) DNS-серверов, автоматически получаемых от провайдера. Данная возможность доступна для соединений на странице "Проводной" (включая PPPoE/PPTP/L2TP), "Wireless ISP", "DSL-подключение".

Рассмотрим пример. В веб-конфигураторе роутера на странице "Системный монитор" в панели "Интернет" в строке "DNS-серверы" отображаются адреса DNS, полученные автоматически от провайдера и дополнительные серверы, указанные вручную. В нашем примере, DNS-сервер 192.168.100.1 получен автоматически от провайдера, а адреса 8.8.8.8 и 8.8.4.4 добавлены вручную.

Включите опцию "Игнорировать DNSv4 интернет-провайдера". Она запрещает использовать адреса DNS-серверов полученные по DHCP для текущего соединения.

При использовании подключения IPoE (без авторизации) или с авторизацией по протоколу PPPoE/PPTP/L2TP данную настройку вы найдете на странице "Подключения к интернету по Ethernet-кабелю" в разделе "Параметры IPv4". Настройки для WISP- и ADSL-подключений находятся на соответствующих страницах "Wireless ISP" и "DSL-подключение".

Важно

После включения опции "Игнорировать DNS" и сохранении настроек, автоматически произойдет переподключение к провайдеру (отключение и включение интерфейса для выхода в Интернет).

После отключения DNS на странице "Системный монитор" в строке "DNS-серверы" уже не будут отображаться адреса, получаемые автоматически от провайдера.

Важно

Конфигурации сетей отличаются у различных Интернет-провайдеров. Отключение адресов DNS провайдера может привести к неработоспособности туннельных подключений (PPPoE/PPTP/L2TP), сбоям в работе дополнительных услуг и пр. Перед тем как игнорировать DNS, предоставленный вашим провайдером, убедитесь, что в настройках отсутствуют доменные имена серверов, авторизующих ваше подключение. Если в них присутствует адрес сервера в формате доменного имени, например tp.internet.beeline.ru, в этом случае нельзя отключать DNS на подключении, которое используется для соединения с сервером авторизации, — обычно это подключение "Проводной" (ISP), так как это может сделать невозможным определение адреса сервера, предоставляющего доступ к Интернет.

Подсказка

Если в настройках роутера включен один из интернет-фильтров (Яндекс.DNS, SkyDNS, AdGuard DNS), все DNS-запросы будут направляться на адреса сервиса. В этом случае не будут использоваться DNS-серверы провайдера и дополнительные, добавленные вручную.

Если в настройках роутера используются DoT/DoH-сервера, они не отображаются на странице "Системный монитор" в строке "DNS-серверы". Когда DNS провайдера отключены, будут использоваться адреса сервиса DoT/DoH.

Дополнительную информацию вы можете найти в статье "Использование публичных DNS-серверов".

Функция "По требованию" для резервных соединений

По умолчанию резервное соединение для доступа в Интернет всегда находится в подключенном состоянии к оператору. Тем самым достигается максимальная скорость перехода на резервный канал в случае падения основного канала.

Если пользователь предпочитает, чтобы интернет-центр инициировал подключение резервного канала к оператору только в случае когда на основном отсутствует доступ в Интернет, тогда нужно резервный канал перевести в режим Standby (По требованию) (доступен с версии ОС 4.0). В этом случае переход на резервный канал занимает больше времени, но есть и преимущества этого режима. Указанный режим доступен на подключениях к интернету через модем 5G/4G/3G (через сотовую сеть) и Wireless ISP (WISP).

Примеры, когда целесообразно использовать этот режим:

согласно определенным тарифам оператор сотовой сети может списывать финансовые средства с баланса пользователя за факт подключения к сети хотя бы раз в сутки на несколько секунд;
если резервный канал всегда в активном состоянии, то идет прием и передача служебного трафика и сотовые операторы могут тарифицировать абонента именно по трафику;
в режиме Standby (По требованию) меньшее энергопотребление модемов 5G/4G/3G;
в режиме WISP отключить постоянное сканирование эфира в поисках указанной точки доступа, что приведет к работе резервного подключения только при отсутствии основного соединения.

Режим Standby (По требованию) может быть настроен для резервных модемных подключений и WISP через веб-конфигуратор в секции Тип подключений, и проводных подключений (только через CLI).

Режим Standby (По требованию) не используется:

Включен режим Standby (По требованию):

Подсказка

В параметрах подключения Wireless ISP присутствует поле Таймаут попыток, в котором устанавливается таймер для попыток подключения к точке доступа Wi-Fi. По умолчанию предустановлено значение 600 секунд (10 минут). Подключение будет пытаться подняться по требованию, но если не сможет это сделать, за указанное время, оно переводится обратно в режим ожидания, до следующего изменения в конфигурации интернет-доступа.

В этом разделе:

Хотите оставить отзыв? Нажмите здесь, чтобы предложить правки.

Netcraze Orbiter 7 (NAP-730) Справочный центр