Soluzione Gateway d'emergenza

 Negli ultimi giorni la rete internet era piuttosto lenta e a volte si interrompeva del tutto, tipico segnale di un peggioramento della qualità del "doppino". I test di banda in effetti non superavano mai i 4 Mbps ... quando il contratto in realtà sarebbe di 20 Mbps...
Abbiamo chiamato l'ISP facendogli presente la situazione il quale ha attivato la Telecom ... il nostro caro ex monopolista gestore dello stramaledetto ultimo miglio...
Risultato: 3 gg di down senza preavviso con la Telecom che si palleggiava i ticket di banda insufficiente o mancato collegamento!!
Ma ora, come far lavorare l'ufficio?????
Ho pensato che appoggiarsi qualche giorno su qualche WIFI aperta nei dintorni non sarebbe stato un infrazione così grande... Quindi mi sono messo a passeggiare in lungo e in largo per la sede con il telefono Android in modalità SCAN Wifi. Ad una delle estremità dell'ufficio c'era il miglior WIFI aperto con -80 dB di segnale (certo non un segnale forte). Dopo un rapido controllo fatto con il browser era evidente che fosse veramente aperto e privo di proxy di accesso, nonchè collegato a Internet. Ora si trattava di rendere questa risorsa sicura e disponibile per tutta la rete.

Ora passiamo alla realizzazione della soluzione, che in mezz'ora ci ha messo in grado di lavorare. Innanzitutto serviva un router WIFI professionale, era già disponibile l'oggetto perfetto per questa occorrenza: Mikrotik RB411AR + un'antenna omnidirezionale da ben 8 dB che avrebbe portato il livello del segnale a ben -72 dB.

Antenna 8dB con posizionamento di fortuna

I router General Porpuse Mikrotik sono oggetti molto potenti in mano ad utilizzatori professionali, certo non sono oggetti dotati di wizard WEB ...
Il primo passo è stato rendere accedibile questo Bridge router sull'area DMZ del Router Firewall aziendale in modo da rendere protetta l'azienda da questa connessione e piazzarla all'esterno del Firewall.


/ip address
add address=10.1.6.1/30 broadcast=10.1.6.3 comment="" disabled=no interface=ether1 network=10.1.6.0
In questo caso la subnet 10.1.6.0/30 identifica l'area DMZ.
Poi ho allineato la radio con il WIFI aperto e protetto il router con password "solida".

 /interface wireless
set 0 ack-timeout=dynamic adaptive-noise-immunity=none allow-sharedkey=no antenna-gain=0 antenna-mode=ant-a area="" arp=enabled band=2.4ghz-b/g basic-rates-a/g=6Mbps \
    basic-rates-b=1Mbps burst-time=disabled comment="" compression=no country=italy default-ap-tx-limit=0 default-authentication=yes default-client-tx-limit=0 \
    default-forwarding=yes dfs-mode=none disable-running-check=no disabled=no disconnect-timeout=3s frame-lifetime=0 frequency=2437 frequency-mode=manual-txpower \
    hide-ssid=no hw-retries=4 mac-address=00:0C:42:61:4C:BE max-station-count=2007 mode=station mtu=1500 name=wlan1 noise-floor-threshold=default on-fail-retry-time=\
    100ms periodic-calibration=default periodic-calibration-interval=60 preamble-mode=both proprietary-extensions=post-2.9.25 radio-name=000C42614CBE rate-set=default \
    scan-list=default security-profile=default ssid=TISCALI station-bridge-clone-mac=00:00:00:00:00:00 supported-rates-a/g=6Mbps,9Mbps supported-rates-b=1Mbps,2Mbps \
    tx-power-mode=default update-stats-interval=disabled wds-cost-range=50-150 wds-default-bridge=bridge1 wds-default-cost=100 wds-ignore-ssid=no wds-mode=disabled \
    wmm-support=disabled

Configurato il DHCP verso l'AP Wifi

/ip dhcp-client
add add-default-route=yes comment="" default-route-distance=0 disabled=no interface=wlan1 use-peer-dns=yes use-peer-ntp=yes

configurato il NAT per mascherare gli indirizzi in uscita dalla radio

/ip firewall nat
add action=masquerade chain=srcnat comment="" disabled=no out-interface=wlan1

e il gioco è fatto ;)


...in realtà il router della rete HOST era accessibile secondo i default reperiti su Internet per cui è stato facile (ma non esattamente immediato) guadagnarne l'amministrazione....
Questo è stato utile per poter continuare a fornire supporto aziendale a chi si trovasse in mobilità (VPN, FTP etc...) attraverso l'URL DDNS (DNS dinamico).
Non mi sembra il caso di andare avanti qui con le configurazioni eseguite.. :D

Dopo 3 giorni la nostra connessione è stata ripristinata e ho rimesso tutto a posto ... ;)

Risoluzione malfunzionamento Gateway aziendale

Ieri sono stato raggiunto da una chiamata di un collega mentre ero fuori. L'ufficio non riusciva più a raggiungere Internet. Alle 13 era tutto abbastanza lento e per non sapere ne leggere ne scrivere hanno resettato il modem ADSL PPPoE e il routerOS che fa da firewall gateway trasparent proxy virtualizzato su uno dei nostri server.
Loro non riuscivano ad uscire ma io riuscivo ad accedere dall'esterno sull'IP pubblico...
Stranamente la tabella delle configurazioni NAT era vuota.....
Riconfigurare 2 regole per le NAT sulle interfacce d'uscita è stato naturalmente un gioco da ragazzi...

/ip firewall nat
add action=masquerade chain=srcnat comment=Internet disabled=no \
    out-interface=pppoe-NGI
add action=masquerade chain=srcnat comment="ADSL modem subnet" disabled=no \
    out-interface=DMZ

parte delle informazioni riguardanti gli ultimi test bed accessibili da partner esterni in VPN erano lasciate documentate su Gmail (e quindi facilmente trovabili).
Inoltre c'era un backup abbastanza recente della configurazione dalla quale ho potuto estrarre la traccia per raggiungere la configurazione attuale.
In sostanza ho dovuto aggiungere un NAT per ogni interfaccia VPN in uscita (che utilizziamo per l'accesso di manutenzione presso i siti dei clienti)  e il mapping delle porte per l'FTP e gli altri socket proprietari che ricevono i dati dalle nostre centraline per la misurazione della qualità dell'aria.

e il gioco è fatto ;)

Banco di comunicazione embedded GPRS client / Server

Il banco è composto da un microcontrollore DSPIC che raccoglie, media e filtra i segnali molto amplificati (e quindi anche rumorosi) di sensori di misura dell'inquinamento dell'aria, un modulo GSM/GPRS con GPS integrato che collega ad internet il sistema embedded ed è in grado di tirare su autonomamente senza il PIC, connessioni TCP e UDP. In azienda era già presente un servizio server (daemon) scritto da me in dotNet che lavora senza interruzione da anni e riceve i dati dalle unità embedded mobili di vecchia generazione realizzate su piattaforma XP Embedded (sempre da me curata..).
Per realizzare un banco di primo test della connessione del modulo GSM abbiamo usato un software che realizza Socket general purpose sul PC dello sviluppatore PIC, poi ho programmato il router/firewall aziendale per mappare una porta sull'IP pubblico verso l'IP del PC. Successivamente lo sviluppatore PIC ha evoluto il protocollo di comunicazione rendendolo conforme alle regole dei client embedded di vecchia generazione e sono state fatte tutte le prove necessarie di interruzione della comunicazione, staccando la radio, lasciando il sistema in piedi per giorni e interrompendo il servizio in ascolto per minuti o per ore, al fine di riuscire a gestire tutte le casistiche e rendere il sistema a prova di bomba per lasciarlo sul campo, alimentato a batterie litio ricaricabili e/o pannelli solari.