Mikrotik RouterOS + PHP скрипт на сайте. Расширение возможностей

Во времена ROS 5.x была потребность поднимать туннель к роутеру с белым динамическим адресом. В ROS 5 мы задавали не имя, а IP-адрес. Варианта 2: сервис DDNS, реализацию которого рассмотрим вкратце и второй о котором и будет рассказ.

Появилась идея сделать центр куда бы роутеры рапортовали свои адреса, и считывали адреса других. Решено было пойти путем наименьшего сопротивления – сайт на РНР.

На данный момент реализовано пару несложных вещей.

Оглашение своего адреса

Реализовано через запрос к скрипту с указанием своего (роутера) имени и пароля:

:local number "ROUTER_NUMBER";
:local pass "PASSWORD";
/tool fetch url="http://whoami.ho.ua/adr.php\?i=$number&p=$pass" mode=http

Имя и пароль нужны что бы никто не мог замаскироваться под вас и не инициировал подключение вашего роутера к своему или не мог считать адрес вашего роутера. Через утилиту fetch мы открываем нужный скрипт на сервере и через GET передаем имя и пароль. Скрипт же через $_SERVER['REMOTE_ADDR'] получает внешний адрес роутера и записывает его в БД.

Считывание чужого адреса

Опять же через ту же утилиту вызываем веб-скрипт:

:local number "ROUTER_NUMBER";
:local pass "PASSWORD";
/tool fetch url="http://whoami.ho.ua/getadr.php\?i=$number&p=$pass" mode=http dst-path="adr.txt" 
:global routeradr [/file get adr.txt contents]

dst-path=«adr.txt» – указываем что полученные данные сохранять в файл. На самой веб-странице у нас сугубо текст с адресом запрашиваемого роутера:

$query=«SELECT address FROM table_routers WHERE ((id='$_GET[i]') AND (password='$_GET[p]'))»;
$adr=mysql_query($query) or die (mysql_error());
$router=mysql_fetch_assoc($adr);
echo $router[address];

:global routeradr [/file get adr.txt contents] – глобальной переменной присваиваем значение содержимого файла. Потом эту переменную можно при менять по потребности и желанию.

Считывание скрипта из БД

:local number "ROUTER_NUMBER";
:local pass "PASSWORD";
/tool fetch url="http://whoami.ho.ua/getscript.php\?i=$number&p=$pass" mode=http dst-path="script.rsc" 
import file-name=script.rsc
/file remove script.rsc

Всё так же как в предыдущем скрипте, но файл мы импортируем в конфиг роутера, а потом удаляем этот файл.

Для чего это необходимо? Например, Вы по невнимательности обрезали себе доступ к роутеру в фаерволе. Тогда можно добавить на сайте скрипт для этого роутера с котором указываете исправленные правила фаервола. Роутер следуя расписанию конектится к сайту, там РНР смотрит есть ли в БД непереданные скрипты для этого роутера:

SELECT id FROM table_routers WHERE ((id='$_GET[i]') AND (password='$_GET[p]'))
$adr=mysql_query($query) or die (mysql_error());
$router=mysql_fetch_assoc($adr);
$query="SELECT script, id FROM table_scripts WHERE ((router='$router[id]') AND (executed='N')) ORDER BY id ASC LIMIT 1";

Сначала мы проверяем верно ли заданы пароль и номер роутера (чтобы никто другой не мог считать ваш скрипт, может вы там пароли в конфиге меняете), а потом смотрим какой скрипт стоит в очереди не переданных для этого роутера.

Этот метод не решает ВОЗНИКШИЕ проблемы, он помогает их предотвратить. То есть необходимо предварительно «подстелить соломки» и забить в scheduler раз в Х минут/часов проверку роутером наличия новых скриптов для него.

Так же этот метод хорош, когда роутер имеет серую айпишку, а доступ к нему надо получить из вне. Забиваем скрипт поднятия ВПН-туннеля к своей белой айпишке и через заданное время имеем доступ к устройству даже за 10-ю НАТами.

Вот такая вот коротенькая история. Буду раз замечаниям и идеям что еще можно прикрутить к такому сервису. В планах еще небольшая статистика – что бы роутер сливал в БД пару своих параметров, например температуру, загрузку процессора и прочие.

Как бонус кусок готовых скриптов, о которых я писал в начале, получения ip с имени хоста и добавления его в политику IPsec.

Плюс в том что работает в связке Mikrotik + мыльницы которые поддерживают ddns и ipsec (Dlink 804 на пример). Скрипт который достает из дднс имени удаленного пира IP адрес и вставляет его в нужную политику:

:local nname RHost1;
:log info  "start $nname";
:local newip [:resolve "rmotehost1.zapto.org"];
:local curip [/ip ipsec policy get [/ip ipsec policy find comment=$nname] sa-dst-address];
:log info "newip = $newip";
:log info "currentip = $curip";
:if ($newip != $curip) do={
:log info "ip $nname is $curip not $newip";
/ip ipsec policy set [/ip ipsec policy find comment=$nname] sa-dst-address=$newip;
:log info "end $nname";
}

И скрипт который подставляет на удаленной стороне текущий ip в политику ipsec:

:global lastip
:local wanip
:local wanif "pppoe-out1"

:if ([ :typeof $lastip ] = nil ) do={ :global lastip "0" }

:local wanip [ /ip address get [/ip address find interface=$wanif ] address ]

:if  ([ :typeof $wanip ] = nil ) do={
:log info ("WANIP: no ip address on $wanif  .")
} else= {

:for i from=( [:len $wanip] - 1) to=0 do={ 
:if ( [:pick $wanip $i] = "/") do={ 
:set wanip [:pick $wanip 0 $i];
:log info ("wan ip now is $wanip")
} 
}

:if ($wanip != $lastip) do={
:log info ("Renew ipsec Policy: $wanif -> $wanip")

#Подставляем в политику  ipsec

/ip ipsec policy set 0  sa-src-address=$wanip 
:global lastip $wanip
}
}