Um túnel VPN conecta o SmartOLT à sua rede privada. Pelo túnel, o SmartOLT alcança suas OLTs e os IPs de gerenciamento das suas ONUs nos endereços privados.
Um túnel pode atender várias OLTs e todas as ONUs delas, se o roteador onde o túnel termina alcança esses equipamentos. Você pode criar quantos túneis precisar, por exemplo um para cada site.
O túnel termina em um roteador da sua rede que alcança suas OLTs e ONUs. Este roteador pode ser um MikroTik (WireGuard ou OpenVPN) ou um roteador IPsec como FortiGate, NE8000, Juniper ou Sophos.
Os exemplos deste guia usam estes valores:
| Valor | Exemplo |
|---|---|
| Sub-rede do túnel | 10.69.69.0/24 |
| Rede das OLTs | 192.168.50.0/24 |
| Rede de gerenciamento das ONUs | 10.50.61.0/24 |
1Crie o túnel
Acesse Settings → VPN & TR069, onde a aba VPN tunnels lista seus túneis. Clique em Create a new tunnel. A janela Create a new VPN tunnel abre com as configurações já preenchidas. Você pode mantê-las ou informar suas próprias sub-redes privadas em Tunnel routes. Clique em Add tunnel.
| Coluna | Conteúdo |
|---|---|
| Status | Mostra Connected quando o túnel está ativo. Tunnel IP é o endereço do seu MikroTik dentro do túnel. |
| Subnet | A rede privada dentro do túnel VPN, entre o SmartOLT e seu MikroTik, por exemplo 10.69.69.0/24. O SmartOLT tem um endereço nesta rede e seu MikroTik tem outro. O SmartOLT define esta rede para você, portanto você não precisa alterá-la. |
| Connected subnets | As redes que o SmartOLT alcança pelo túnel. Você as define em Tunnel routes quando edita o túnel. |
| Used by | As OLTs que usam o túnel. |
O campo Tunnel type da aba VPN tunnels define o protocolo de todos os túneis VPN. Selecione um tipo e clique em Apply. O link Compare protocols mostra a tabela abaixo.
| Tipo de túnel | Velocidade | CPU do roteador | Funciona em |
|---|---|---|---|
| WireGuard | A mais rápida | Baixa | RouterOS 7.12.1 ou mais recente |
| OpenVPN UDP | Média | Alta | RouterOS 7.12.1 ou mais recente |
| OpenVPN TCP | A mais lenta | Alta | RouterOS 6 ou mais recente |
| IPsec (IKEv2, chave pré-compartilhada) | Alta com aceleração por hardware | Baixa com aceleração por hardware, média sem ela | FortiGate, NE8000, Juniper, Sophos etc. |
Para um MikroTik com RouterOS 7.12.1 ou mais recente, recomendamos o WireGuard.
O tipo de túnel se aplica a todos os túneis VPN. Depois de alterá-lo, aplique o VPN setup novamente em todos os roteadores. Os roteadores que ficam no tipo antigo perdem a conexão.
2Aplique a configuração de VPN no roteador
Na linha do túnel, clique em VPN setup. Para um túnel MikroTik (WireGuard ou OpenVPN), a janela VPN setup mostra um script de configuração de VPN para RouterOS.
- Clique em Copy to clipboard.
- No MikroTik, abra New Terminal e cole o script.
- Mantenha a janela aberta até a configuração terminar, porque o script de configuração de VPN é válido apenas por um curto período, enquanto a janela de configuração do SmartOLT está aberta.
Se o RouterOS responde failure: not allowed by device-mode, siga a etapa 5.
3Adicione suas redes às rotas do túnel
O SmartOLT envia pelo túnel apenas o tráfego das redes que estão em Tunnel routes. Se o endereço de uma OLT ou de uma ONU não está em uma destas redes, o SmartOLT não alcança esse equipamento.
Na linha do túnel, clique em Edit. Na janela Edit tunnel, informe em Tunnel routes as sub-redes das suas OLTs e dos IPs de gerenciamento das ONUs, uma por linha. Depois clique em Save changes.
Neste exemplo, 192.168.50.0/24 é a rede das OLTs e 10.50.61.0/24 é a rede de gerenciamento das ONUs. Uma rota maior também funciona. Por exemplo, 10.0.0.0/8 inclui 10.50.61.0/24.
Abaixo do campo, Used by lista as OLTs e as sub-redes de ONU que já usam o túnel.
Cada túnel precisa de suas próprias rotas. Se você tem sites que não estão conectados entre si, crie um túnel para cada site e informe as redes desse site. Se as rotas de dois túneis se sobrepõem, os endereços da rota menor usam esse túnel e o restante usa o túnel com a rota maior.
O roteador não deve aplicar NAT ao tráfego entre o túnel e as redes das suas OLTs e ONUs. A configuração MikroTik gerada pelo SmartOLT já exclui o túnel do NAT.
4Verifique se o túnel está conectado
Recarregue a página VPN tunnels algumas vezes. Quando o túnel está ativo, Status mostra Connected, o endereço público do seu roteador e o Tunnel IP dele.
Para testar o túnel, clique no botão laranja com a lupa abaixo de Status. A janela VPN tunnel diagnosis mostra o estado do túnel e um botão Ping para o endereço do roteador.
Depois verifique um equipamento que está atrás do túnel. Por exemplo, adicione a OLT com seu endereço IP privado, como em Adicione a OLT.
5Se o túnel não conecta
Abra a janela VPN tunnel diagnosis, como na etapa 4. A janela mostra a causa que o SmartOLT encontrou. Estas são as causas mais comuns:
| O que você vê | O que fazer |
|---|---|
| No router ran the setup script for this tunnel recently, and no router connected to it. | Aplique novamente o VPN setup no roteador, como na etapa 2. |
O roteador responde failure: not allowed by device-mode. |
Altere o device-mode do MikroTik, como nas etapas abaixo. |
| O diagnóstico diz que o roteador não recebe as respostas do servidor. | Uma regra de firewall, uma regra de NAT ou um problema de MTU na sua rede descarta as respostas. Permita o tráfego dos endereços que a mensagem mostra. |
| Tunnel conflict detected | Dois roteadores usam o mesmo túnel. Use um túnel em um único roteador. Para um segundo roteador, crie um novo túnel. |
| Connected, mas o SmartOLT não alcança uma OLT ou uma ONU. | Verifique se a rede do equipamento está em Tunnel routes, como na etapa 3. Depois verifique se o roteador consegue fazer ping no equipamento. |
Se o RouterOS responde "failure: not allowed by device-mode"
Dispositivos MikroTik mais recentes iniciam em um device-mode restrito. Nesse modo, o RouterOS bloqueia alguns comandos necessários para o script de configuração de VPN, por exemplo /tool fetch. Assim, o terminal mostra failure: not allowed by device-mode, e o RouterOS não cria o túnel.
-
No terminal do MikroTik, execute:
/system/device-mode/update mode=advanced -
Dentro de 5 minutos, desconecte o roteador da energia e conecte-o novamente. O RouterOS aplica o novo modo apenas depois desse desligamento e religamento físico.
-
Verifique o modo:
/system/device-mode/printA saída deve mostrar
mode: advanced. -
No SmartOLT, abra VPN setup novamente, copie o script e cole-o no terminal do MikroTik. Faça isso enquanto a janela está aberta, porque o script de configuração de VPN é válido apenas por um curto período.
Uma reinicialização pelo terminal ou pelo Winbox não confirma a alteração. Você deve desconectar a energia e conectá-la novamente.
Próximas etapas
O túnel agora está conectado. Em seguida, adicione sua OLT com o endereço IP privado em Adicionar uma OLT e verificar seu status. Para gerenciar as ONUs por TR-069, siga Configurar TR-069.