Лучшие практики для сервера PPPoE

Тебе действительно стоит подумать о том, чтобы разместить RADIUS-сервер в отдельном VLAN (если у тебя управляемый коммутатор), а если управляемого коммутатора нет — использовать для этого другой интерфейс Mikrotik. Я бы также выделил отдельный VLAN (без IP-адреса на этом интерфейсе) для клиентов на объекте 1 и ещё один VLAN для PowerBeam. Моя рекомендация — настроить PowerBeam на объекте 1 в режиме роутера, чтобы избежать рассылки широковещательных пакетов пользователей по беспроводной линии. Routerboard 750 на объекте 2 не сможет работать с IP-адресами, которые ты использовал (нельзя назначать адреса из одного и того же подсети на два разных интерфейса). В целом способов настройки сети много, но вот держать всё в одной подсети — я бы очень не советовал. Если у меня найдётся время, могу на основе твоей схемы предложить вариант конфигурации твоей сети.

Это лучше, потому что сервер находится на отдельном интерфейсе и недоступен для клиентов. Без второго Mikrotik это единственный способ настроить сеть (потому что клиентам на сайте 2 нужен L2 доступ к PPPoE серверу).

Одно, что можно сделать, чтобы отделить UBNT от клиентов — создать VLAN 11, например, на LAN 2 routerboard, добавить 192.168.11.1/24 на этот VLAN и на обеих powerbeam включить опцию «use management VLAN», настроив там тоже VLAN 11. После этого назначить IP-адреса UBNT: 192.168.11.2/24 на первом, 192.168.11.3/24 на втором. Так управление powerbeam будет полностью отделено от пользователей (и можно использовать firewall на routerboard, чтобы разрешать доступ к ним только с вашего компьютера).

Я понимаю, что это усложняет вашу сеть, но при этом повышает безопасность, потому что у вас не будет IP-адреса на интерфейсе, где находится PPPoE сервер (а это важно, потому что кто-то может перехватить трафик, узнать ваш адрес и просто добавить статический адрес себе на ПК/роутер, пользуясь интернетом бесплатно). Ваши пользователи к управлению UBNT доступа не получат. Да, будет пароль, но кто-то может попытаться подобрать его перебором или устройство может заразиться одним из многих вирусов UBNT и создать вам проблемы (в последних версиях прошивки UBNT многие из этих уязвимостей уже закрыты, но кто знает, что появится завтра).

Конечно, безопасность всегда — это компромисс с удобством, и вы можете не внедрять всё это, если посчитаете слишком сложным для себя или коллег.

В этой конфигурации всё ещё остаётся проблема широковещательных пакетов, переходящих по беспроводной связи, но без второго Mikrotik иначе не обойтись.

Это будет настроено с помощью одного Mikrotik. Нужно добавить VLAN 11 на ether2 и назначить ему IP-адрес 192.168.11.1/24. Powerbeam 1 настраивается как Bridge, Access Point, а Powerbeam 2 — как Bridge, Station WDS. Также на обоих Powerbeam в разделе Network (в режиме простого управления) включите Management VLAN и установите для него значение 11 с адресами, указанными на схеме. http://imgur.com/gqMJOxE

Хмм, очень странная проблема, и честно говоря, я не понимаю, как предложенные мной изменения в конфигурации могли это вызвать. Это происходит на обоих сайтах или только на одном? Пробовали ли вы снимать трафик на интерфейсе с pppoe-сервером, чтобы точно понять, что происходит? Может быть, RADIUS не отвечает вовремя, возможно, где-то проблема с L2-перенаправлением. Если сейчас вернуться к старой конфигурации, проблема исчезает?

Можешь вносить изменения по одному и отслеживать логи клиентов? Например (если всё находится в одной сети: radius, клиенты и powerbeam, как в твоём изначальном проекте): Перенеси RADIUS на отдельный интерфейс. Появилась ли проблема с логированием клиентов? Если проблемы нет — переходи к пункту №2. Создай vlan 11 на ether2. Теперь возникла проблема? Добавь адрес для vlan 11. Проблемы появились? Настрой только первый PowerBeam на управляющем vlan (и не забудь назначить адрес на этом PowerBeam для vlan 11). Есть проблемы? Настрой второй PowerBeam на управляющем vlan. Проблемы появились? Отключи IP-адрес на ether2. Проблемы снова? Это можно сделать, потому что у тебя сравнительно простая сеть, и ты сможешь диагностировать шаг за шагом. Как только найдёшь изменение, вызывающее проблему, можно будет разобраться в причинах подробнее. Если после первого изменения появится проблема, проверь конфигурацию RADIUS на Mikrotik. Посмотри настройки самого RADIUS, логи RADIUS — может, там найдётся подсказка. Я подозреваю, что проблема связана с RADIUS (или, возможно, с STP на PowerBeam), но без деталей точно сказать нельзя.