MIKROTIK MUM Pablo de Chiara

Transcripción

1 MIKROTIK MUM 2009 Pablo de Chiara

2 Presentación Una historia común Llegada de Mikrotik VPNs y Caso de Éxito BGP Routing y Caso de Éxito Futuro con MPLS Valor de la Comunidad AGENDA

3 Pablo de Chiara 15 años en el mercado de IT (soporte, consultoría, etc.) 12 años como ISP Certificado en Mikrotik desde 2006 Certificado Cisco (CCNA, AWLF, CSE for SB) Microsoft MCP AMP Net Connect PRESENTACION

4 Áreas de trabajo IP Services IT Services PRESENTACION

5 Como empezar? Formación $$$$ UNA HISTORIA COMUN

6 Resignarse no era el camino. UNA HISTORIA COMUN

7 En que terminamos. Linux AP Antenas Cables SALUD Clientes UNA HISTORIA COMUN

8 De pronto la pregunta incómoda COMO SEGUIMOS? Que podemos hacer con esa estructura Que servicios podemos darle a nuestros clientes Que podemos garantizar Que burbuja explotaba primero????? Linux AP Antenas Cables SALUD Clientes UNA HISTORIA COMUN

9 Lo que encontramos en Mikrotik: Estabilidad Flexibilidad Herramientas Desarrollo continuo Compatibilidad RFC!!!! Precio / Calidad Soporte / Comunidad Un BOX que nos permitió mirar OUT of the BOX LLEGADA DE MIKROTIK

10 Donde esta Mikrotik en nuestra empresa hoy: Mikrotik IP Services IT Services LA LLEGADA DE MIKROTIK

11 VPN VPN: (Virtual Private Network) permite la extensión de una red local privada sobre una red publica no controlada. Expansión global: l mas de la mitad de las compañías con mas de 50 empleados tiene 1 o mas VPNs. En el mundo el mercado de las VPN se llevo U$S 24.4 billones en 2007 y se espera una escalada a U$S 36 billones para el El negocio en USA alcanza lo s U$S 5 billones. Tunneling: proceso en donde un paquete completo es puesto dentro de otro y enviado a la red. Ese paquete solo puede ser comprendido por los extremos del túnel. Autenticación: generalmente al inicio y después aleatoriamente durante la sesión dependiendo del tipo.

12 Múltiples soluciones con Mikrotik: PPtP: creado por US Robotics, Microsoft, 3Com, Ascent y ECI, soporta encriptación de 40 y 128bits y esquema de autentificación PPP. RAS Services. Basado en GRE (Generic Routing Encapsulation) L2tP: creado por los anteriores mas Cisco y la IETF, combina L2F(Cisco). Soporta IPSEC. L2tP: creado por los anteriores mas Cisco y la IETF, combina L2F(Cisco). Soporta IPSEC. IPSEC: remedia falencias de IP, provee confidencialidad, integridad, autenticidad y proteccion a repeticiones mediante dos protocolos Authentication Protocol (AH) y Encapsulated Security Payload (ESP) EoIP: Propietario de Mikrotik, encapsula tramas ethernet en paquetes GRE (como PPtP). Posibilidad de bridgerar LANs sobre Internet, sobre túneles encriptados o redes wireless ad hoc. VPN

13 Múltiples soluciones con Mikrotik (Cont.): Open VPN: Basada en SSL (Secure Socket tl Layer) / TLS (Transport tlayer Security). Una de las soluciones mas seguras, mas simple de configurar y con menos carga para los routers que IPSec por ejemplo. Cifrado asimétrico mediante clave publica y privada. Cliente GUI para Windows. CACert.org para crear certificados. En 2004 SANS titulo the SSL VPN Revolution p// g_ room/whitepapers/vpns/openvpn p / p / p p _ and_ the_ ssl_ vpn _ revolution_ 1459?s how=1459.php&cat=vpns VPN

14 IPsec OpenVPN Estándar de la tecnología VPN Aun desconocida y no compatible con IPsec Plataformas de hardware (dispositivos, aparatos) Tecnología conocida y probada Muchas interfaces gráficas disponibles Modificación compleja del stack IP Necesidad de modificaciones críticas al kernel Necesidad de permisos de administrador Diferentes implementaciones de distintos proveedores pueden ser incompatibles entre si Solo en computadoras, pero en todos los sistemas operativos disponibles Tecnología nueva y aun en crecimiento Sin interfaces gráficas profesionales, aunque ya existen algunos proyectos prometedores Tecnología sencilla Interfaces de red y paquetes estandarizados Ejecuta en el espacio del usuario y puede ser chroot ed Tecnologías de cifrado estandarizadas OVPN VS IPSE EC Configuración compleja y tecnología compleja Facilidad, buena estructuración, tecnología modular y facilidad de configuración Curva de aprendizaje muy pronunciada Fácil de aprender y éxito rápido para principiantes Necesidad de uso de muchos puertos y protocolos en el firewall Utiliza solo un puerto del firewall Problemas con direcciones dinámicas en ambas puntas Trabaja con servidores de nombres dinámicos como DynDNS o No IP con reconexiones rápidas y transparentes SSL/TLS como estándar de criptografía Control de tráfico (Traffic shaping) Velocidad (más de 20 Mbps en máquinas de 1Ghz) Compatibilidad con firewall y proxies Ningún problema con NAT (ambos lados puede ser redes NATeadas) Posibilidades para road warriors

15 Múltiples soluciones con Mikrotik (Cont.): VPLS: (Virtual LAN Pi Private Service) Permite ofrecer LANs transparentes. t Permite extender la red en L2. Es usada como un pseudo wire y puede funcionar sobre IP o MPLS, incluso sobre GRE. Permite conectividad multipunto. Sobre MPLS combina la simplicidad del un backbone ethernet y la seguridad y escalabilidad de MPLS. VPN

16 Cliente: Cadena de hoteles líder Ubicación: Cordoba, Buenos Aires, Mar del Plata, Resistencia, Catamarca, Villa Mercedes, San Luis, Iguazú Situacion: Sistemas descentralizados, alto costos en enlaces punto a punto, dispersión de información, algunos intentos de integración exponiendo servidores Objetivo: Centralizar sistema de información, información corporativa organizada, Implementación de intranet CASO DE EXITO: VPN

17 CASO DE EXITO: VPN

18 Solución: Dos accesos a internet de diferentes proveedores dedicado y de alta disponibilidad en el nodo central. Dimensionado de Internet en los puntos satélites analizando la criticidad y oferta en los sitios. Mikrotik en cada punta critica y túneles permanentes Accesos por discado desde las puntas secundarias Objetivos Secundarios: control de internet, aprovechamiento de ancho de banda por proveedores mas económicos, scripts para automatización ante caídas. HOTSPOT en el mismo BOX!!! CASO DE EXITO:VPN

19 BGP Protocolo de routeo entre sistemas autónomos. Dos routers (peers) se conectan via TCP (179) para intercambiar información de routeo. Inicialmente los peers intercambian todas sus rutas después updatean incrementalmente. No necesita refrescos completos de las rutas. Se envían mensajes Keep alive para asegurarse las conexiones. ebgp: Entre peers con AS diferente ibgp: vecinos en el mismo AS, no anuncia rutas aprendidas por ibgp BGP

20 Situación: Múltiples proveedores, problemas de ultima milla. Problemas que no dependen de soluciones propias Objetivo: Implementar BGP, direccionamiento IP propio, mantener lo heredado. Aprovechar los diferentes lugares donde los proveedores dan servicio. Ofrecer fault tolerance y balanceo de carga. Solución con Mikrotik: alto grado de compatibilidad con los proveedores que mayormente usan Cisco. Funcionamiento estable. Experiencia con routing test. OS V4.x! CASOS DE EXITO: BGP

21 Soluciones: Multihomed BGP para los proveedores externos. Prependeo. Balanceo de carga por tipo de trafico o seteando multiples next hop Implementación ibpg interno. Scriptingparacaídas para caídas de proveedores. Plan de contingencias CASOS DE EXITO: BGP

22 CASOS DE EXITO: BGP

23 MPLS: Multi Protocol Label Switching Layer 2.5 (o entre L2 y 3 para tecnologia basadas en frames. Campos VPI y VCI para ATM o tecnologia basada en celdas) Las decisiones de forwarding no están basadas en el encabezado IP o las tablas de routing sinoen el contenido de un label. Inserta labels (32 bits) en frames conteniendo información que indica a cada router como forwardearlo hacia el destino. Es mas rápido que ip porque combina lo mejor de L2 y 3 (intercambio de labels) Ademas cambia routing tables por forwarding tables. Su principal objetivo es crear redes flexibles y escalables incluyendo Ingeniería de Trafico, QoS con multiples Clases de Servicios (CoS) FUTURO: MPLS DEFINICIONES

24 IP ATM MPLS FUTURO: MPLS

25 MPLS HEADER

26 LDP: Protocolo de distribución de labels LSR: Label Switch Router: Router que conmuta etiquetas. LER: Label Edge Router: Es donde cada paquete es etiquetado y clasificado al ingreso y donde d se remueven las etiquetas t a la salida LSP: Camino o túnel MPLS establecido entre dos extremos. FEC: nombre que se le da al trafico que se encamina bajo una etiqueta. Son conjunto de paquetes pq que son tratados de la misma forma por el router. FUTURO: MPLS COMPONENTES BASICOS

27 MPLS

28 Network performance Traffic engineering g Soluciones de VPN L2, mas escalables, menos costos que alternativas como IPSec, ATM o Frame Relay ademas agrega QoS Calidad de Servicio Redundancia Failover BGP Se puede armar una red de transporte universal e integrar redes diversas FUTURO: MPLS SOLUCIONES

29 La conmutación basada en etiquetas debería ser mas rápida porque requiere menos procesamiento y es posible implementarla por hardware, pero el desarrollo de algunas tecnologías han hecho posible que la conmutación basada en IP pueda ser tan rápida como la basada en etiquetas. Según algunos tests MPLS es 2x mas rápido que ip forwarding y 60 % mas rápido que EoIP sobre una red routeada. Las VPNs basadas en MPLS suelen quedar confinadas a un solo proveedor que las soporte. Hoy casi todos los proveedores tienen o están implementando La alternativa es LSTPv3 que esta en draft: 42/presentations/ripe42 eofpseudowires2/sld001.html FUTURO: MPLS CONSIDERACIONES

30 Cisco has tons of experts, We (Mikrotik users) have a huge community isparg@googlegroups.com COMUNIDAD

31 FIN Muchas Gracias