Newsgroup: it.comp.reti.wireless
Titolo: Connettere 30 edifici : Mikrotik o Ubiquiti

Salve a tutti,
e naturalmente ... Auguri a tutti :)
 
Ho un progetto "quasi didattico" nel paesino dove abito. Devo mettere in 
rete delle sedi. Si parte da 5 sedi...che...se il tutto 
funziona...potrebbero arrivare a 30.
 
per la conformità del paese i client (sedi) sarebbero divise in 2 o 3 
gruppi che punterebbero con visibilità ottica perfetta le rispetive 2-3 
antenne collocate in collina. Distanze massime 1-3km.
 
Da tempo uso prodotti Ubiquiti (AirMax)...e con delle semplici 
Nanostation M5 si fa questo e' altro...
 
I miei dubbi sono :
 
1) il tutto deve essere autofinanziato...quindi spesa molto vicina allo 
zero...pero' molto efficiente...quindi se c'e' da spendere qualcosa in 
piu meglio farlo prima. Quindi..resto su Ubiquiti o Mikrotik ha qualcosa 
di interessante? Vedevo gli starter kit con una antenna a 90° e 5 client 
a 450 euro....
 
2) devo gestire la banda delle singole sedi (ed eventualmente 
disconnetterne una o piu) .... gli utenti sono quasi inesperti di 
internet...e quindi so che video su youtube e altre programmi 
"succhiabanda" arriveranno presto. Quindi....per non buttare giu tutta 
la rete e gestire le problematiche devo avere una sorta di pannello di 
controllo di tutta la rete. Non ho mai usato controller specifici (delle 
rispettive marche)...Qualche consiglio?....c'e' qualcosa di OpenSource?
 
Grazie mille...
Danilo
 
 

 .Qualche consiglio?....c'e' qualcosa di OpenSource?
scelta quasi obbligata: tutto mikrotik e The dude 
http://tinyurl.com/mswvr9h
 

Non conoscevo questo The dude....sembra simpatico :)
Vedevo pure le routerboard....anche le piccoline RB750GL...magari con 
queste gli limito la banda e faccio un po di firewalling.
chennedite?? :)
 
grazie ancora


 chennedite?? :)
 
chedipendedallastrutturadellarete :)

It was Tue, 30 Dec 2014 09:22:18 +0100 when

tra l'altro per firewalling, filtraggi vari e controllo di banda WAN
sarebbe opportuno centralizzare il tutto in modo da avere un unico
punto di controllo; ad esempio potresti valutare l'uso di alcuni box
con sopra pFSense 
https://www.pfsense.org/
 configurati in CARP in modo
da avere fault tolerance che fungano da gateway comune per tutti i
clients (ossia per tutti gli AP)
 
 

Per adesso siamo a livello di progetto...
immaginate un punto di partenza con una linea adsl e un server...da li 
si parte con la prima antenna che distribuisce la connettività a 3 
antenne poste in alto.
dal paese poi ci sono antennine direttive che puntano su una delle 3 
antenne.
Dovranno avere connetività web...per ora :)
 
Quindi a parte una grande Wlan...c'e' da mettere un paio di controlli 
per limitare i danni nel momento in cui uno dei computer inizi a 
saturare la banda con qualche programma o qualche malware.
 
Con RouterOS delle routerboard ho visto che si puo' limitare la banda 
per Ip con i Queque. Penso che 30 postazioni si gestiscano anche con 
qualcosa di piccolo.
 
Ripeto e' un progetto quasi didattico....si parla di dare connettività a 
qualche associazione e un paio di asili...zero soldi...molto ingegno :)


 qualche associazione e un paio di asili...zero soldi...molto ingegno :)
Scusa, ma che link ad Internet avete disponibile? Se si trattano di 5 
"clienti" leggeri, una ADSL a 7 Mbps va ancora bene; se stai pensando a 
30 "clienti", con l'ansia pure che si mettano a usare streaming o p2p, 
ci vuole poco a saturare quella linea. Non dico che sicuramente è un 
vostro progetto per condividere "a sbafo" una connessione ad Internet (e 
pagarne solo una), ma ammetto che è stata la prima cosa che mi è venuta 
in mente.
 
Io, per mia simpatia personale, utilizzerei per la parte radio Ubiquiti 
e per la parte "cablata" Mikrotik. Comprendo le tue necessità di 
"risparmio" e quindi è meglio che ti concentri ad usare solo Mikrotik.
Per il controllo della banda, da fare sul router più a monte, ti 
consiglierei di guardarti le queue tree e le code di tipo "PCQ", per 
poter impostare una coda "madre" con impostata la capacità del 
collegamento ad Internet e poi delle sottocode che, bene o male, 
suddividono equamente i flussi dei vari utenti.
Per vedere in maniera agevole quanta banda stanno utilizzando i tuoi 
"utenti" in un determinato momento, oltre a configurare i "Link" su The 
Dude, potresti impiegare delle connessioni tipo pppoe, l2tp o vlan che 
partono dalle antenne e terminano sul suddetto router principale e 
quindi guardarti cosa passa sulle singole interfacce.
 
Per un vero filtraggio dei contenuti e dei protocolli, puoi trovare su 
Internet qualcosa per il firewall L7, ma io non ci ho mai dato un'occhiata.

> Per un vero filtraggio dei contenuti e dei protocolli, puoi trovare su Internet qualcosa per il firewall L7, ma io non ci ho mai dato un'occhiata.
 
Ci sono grossi problemi normativi nel L7(il fatto che spacchetti una macchina e non una persona non conta),
e visto che e' una connessione usata da terzi eviterei..
 
Giulia
 
 

Il progetto e' tutt'altro che impostato allo sbafamento :)
 
Si tratta di condividere una connessione a internet (un'adsl 20 maga o 
similare) e un server con un software dentro.
I "clienti" sono un paio di asili/centri di aggregazione giovanile...e 
altri enti similari che non hanno la possibilità di permettersi una 
connessione.
Il computer utilizzati al loro interno dovranno "in teoria" solo 
controllare la posta, fare qualche ricerca didattica, e usare questo 
software (pagina web) presente su questo server.
 
Le mie paure di p2p e similari...e' data dall'esperienza...in ogni 
ufficio c'e' sempre il furbetto che si crede hacker che installa subito 
emule, torrent e cose simili.
 
Vorrei evitarmi di andare a girare tutta la rete computer per computer 
per capire chi e' il furbetto e chi sta saturando tutta la banda.
 
Io limiterei a 256-512kb/s la banda per ip/antenna "client" e male che 
vada il danno e' limitato.
 
Se trovo l'intrusio che "succhia troppo" so dove andare...e in caso di 
emergenza posso sconnetterlo fino a risoluzione del problema.
 
Guardando RouterOS di un piccolo routerband...vedo che con i Queque 
posso limitare per ip e vedere pure il traffico del singolo ip...quindi 
mi sa che fa proprio al caso mio.
 
Al massimo posso chiudere tutte le porte e lasciare aperta solo web e posta.
 
Quindi diciamo antenne a parte....a monte devo scegliere solo un "centro 
di controllo" che porebbe essere una Routerboard...o una distribuzione 
di linux (pfsense o similare) a costo zero su pc di recupero.
 
Ho sempre parlato di didattica perchè ancora si ragiona su carta...e' un 
progetto che partirà in piccolo (5 punti) ma se funziona potrebbe 
espandersi. Quindi non vorrei ricomprare tutto se da 5 
client...arriviamo a 20-30 (link permettendo).
 
Grazie mille per i preziosi consigli e auguri :)
 
 
Il 31/12/14 15:57, Claiudio ha scritto:


 che si crede hacker che installa subito emule, torrent e cose simili.
un hacker NON installa emule, un lamer SI

 e visto che e' una connessione usata da terzi eviterei..
Può essere che mi sbagli, ma non vedo moltissima differenza da un 
firewall L3 o L4, sempre che non si vada a ricercare pattern "troppo 
specifici".

 posta.
Anche, sì.

> Scusa, non avrei capito il significato di "spacchettare una macchina o una persoa".
 
Significa "INTERCETTARE",
limitati ad ip e porta e lascia perdere il contenuto , sono comunicazioni di terzi non
puoi "intercettarle".
 
Giulia
 


Dunque i proxy che alcuni provider installano per ridurre il consumo di 
banda sulle loro dorsali (penso per esempio a proxy per youtube e altre 
formedi streaming), che presumo richiedano l'intervento di router con 
capacità L7, non sono ammessi?
Di per se allora quando qualche provider limita il p2p in base agli 
orari della giornata sta rischiando grosso, ben di più che non il creare 
il disservizio ad un utente pagante.

 un utente pagante.
Premesso che ormai tutti i p2p hanno qualche forma di obfuscation/cifratura quindi niente L7, indirizzi-ip porte e protocolli(UDP/TCP), connessioni aperte, sono
sufficienti come informazioni per capire che tipo di attivita' sta facendo un cliente,senza entrare nel merito della comunicazione.
 
Giulia
 
 
 

 facendo un cliente,senza entrare nel merito della comunicazione.
Skype è crittato, eppure le regole per il suo matching le si trovano
 
http://wiki.mikrotik.com/wiki/Drop_IM_Using_L7
 
http://www.zeroshell.net/forum/viewtopic.php?p=5160&sid=795f559661a344f95be5699d1c3ee0ad
 
http://l7-filter.sourceforge.net/protocols
 

 
http://wiki.mikrotik.com/wiki/Drop_IM_Using_L7
 
 
Non sembra tanto crittato(guarda le espressioni regolari)!!
Forse c'e' ancora una parte in chiaro per compatibilita', se fosse crittato vedresti solo gli header tls o ssl
e basta , nulla potresti arguire del contenuto.
 
 
 
Giulia
 
 
 

 Non sembra tanto crittato(guarda le espressioni regolari)!!
Le vedo. E non mi sembra proprio che ci sia scritto "skype" o qualcosa 
del genere, quanto piuttosto la firma che, di solito, lascia.
C'è un utile commento riguardo "skypeout" sul progetto l7-filter:
http://l7-filter.sourceforge.net/layer7-protocols/protocols/skypeout.pat
 
"# This matches about %4 of random streams and 13% of printable random 
streams".
Lo paragonerei quasi come a una pesca a strascico.

 Significa "INTERCETTARE",
 
no; altrimenti non si dovrebbero più usare NAT, firewalls ed IDS