MikroTik PPPoE Server Kurulumu: Abonelere Hız Profiliyle Erişim Dağıtma

Kısa cevap: MikroTik’i PPPoE server yaparak her aboneye kullanıcı adı ve şifreyle oturum açtırır, hesap bazında hız profili, IP adresi ve oturum kontrolü dağıtırsınız. Kurulum dört yapı taşından oluşur: IP havuzu, PPP profile, PPPoE server instance ve abone secret’ları. Bu yazıda kurulumun tamamını, rate-limit mantığını ve “kaç aboneden sonra RADIUS” sorusunun cevabını anlatıyorum. Not: bu yazı sunucu tarafıdır; MikroTik’i operatör hattına PPPoE client olarak bağlamayı ayrı bir yazıda anlattım.

PPPoE server ne zaman doğru araç?

Her abonenin kimliğinin, hızının ve trafiğinin merkezden yönetilmesi gereken ağlarda. Sahada en sık üç senaryoda kuruyorum: site/apartman interneti, WISP abone ağı ve yurt/iş hanı dağıtımı. DHCP herkese aynı davranır; PPPoE her aboneye hesap açar ve o hesabı istediğiniz an yavaşlatır, keser veya raporlarsınız.

İhtiyaç	DHCP	Hotspot	PPPoE server
Kişi başı hız profili	Queue ile dolaylı	Var	Var (profil bazlı)
Kullanıcı adı/şifre	Yok	Tarayıcı login	Modem/router login
Oturumu anında kesme	Zor	Var	Var (/ppp active)
Abone izolasyonu	VLAN gerekir	Kısmi	Doğal (her oturum ayrı tünel)
Kalıcı abonelik modeli	Zayıf	Zayıf	Güçlü

Kısa karar kuralı: kullanıcı geçiciyse (kafe, misafir) Hotspot, aboneyse PPPoE, herkes aynı kurumun cihazıysa DHCP.

Kurulum: dört yapı taşı

Sıra önemli: önce IP havuzu, sonra profil, sonra server instance, en son secret’lar. Komut tarafı beş dakikalık iştir; asıl emek adres planına ve profil tasarımına gider. Örnekte abone ağı vlan60-abone interface’inde ve 10.60.0.0/22 bloğunda.

1. IP havuzu

/ip pool add name=abone-havuz ranges=10.60.0.2-10.60.3.254

Yaklaşık 1000 adreslik havuz. Havuz büyüklüğü toplam abone sayısına değil eşzamanlı oturum sayısına göre belirlenir; PPPoE’de adres yalnız oturum açıkken tahsis edilir.

2. PPP profile

/ppp profile add name=abone-50m \
  local-address=10.60.0.1 \
  remote-address=abone-havuz \
  dns-server=10.60.0.1 \
  rate-limit=20M/50M \
  only-one=yes

Satır satır:

• local-address: tüm abonelerin gateway olarak göreceği adres; her oturumda aynı kalabilir çünkü PPPoE noktadan noktaya çalışır.
• remote-address=abone-havuz: aboneye verilecek IP bu havuzdan gelir.
• rate-limit=20M/50M: 20 Mbps yükleme, 50 Mbps indirme (yön mantığı bir sonraki bölümde).
• only-one=yes: aynı kullanıcı adıyla ikinci oturumu reddeder.

3. PPPoE server instance

/interface pppoe-server server add \
  service-name=site-net \
  interface=vlan60-abone \
  default-profile=abone-50m \
  authentication=mschap2,chap \
  one-session-per-host=yes \
  max-mtu=1480 max-mru=1480 \
  disabled=no

• interface: abonelere bakan bridge veya VLAN. Buraya dikkat: WAN’a değil, iç ağa kurulur.
• authentication=mschap2,chap: pap şifreyi düz metin taşır, listeden çıkarıyorum.
• one-session-per-host=yes: aynı MAC’ten tek oturum.
• max-mtu/max-mru: resmi öneri, alttaki interface MTU’sunun 20 eksiği; 1500’lük Ethernet’te 1480 fragmentasyonu önler.

4. Abone secret’ları

/ppp secret add name=daire-12 password=GucluVeUzunSifre service=pppoe profile=abone-50m
/ppp secret print where service=pppoe

Her abone bir secret. service=pppoe şart; koymazsanız hesap L2TP gibi diğer PPP servislerinde de geçerli olur.

Hız profilleri: rate-limit nasıl çalışır?

Hız, profildeki rate-limit alanından gelir ve her oturum için otomatik bir dynamic queue oluşturur. Kritik nokta yöndür: değerler router perspektifinden yazılır. rx routerın aldığı trafik yani abonenin yüklemesi, tx routerın gönderdiği trafik yani abonenin indirmesidir. Tam biçim resmi dokümanda şöyle:

rx-rate[/tx-rate] [rx-burst-rate[/tx-burst-rate]
  [rx-burst-threshold[/tx-burst-threshold]
  [rx-burst-time[/tx-burst-time]]]]

Günlük kullanımda ilk iki değer yeter; burst alanları kısa süreli hız patlaması vermek isteyen WISP’lerde işe yarar. Paket ailesini ayrı profillerle kurun:

Paket	Profil	rate-limit	Abonenin gördüğü
Giriş	abone-25m	10M/25M	10 Mbps yükleme, 25 Mbps indirme
Standart	abone-50m	20M/50M	20 Mbps yükleme, 50 Mbps indirme
Üst	abone-100m	40M/100M	40 Mbps yükleme, 100 Mbps indirme

/ppp profile add name=abone-25m copy-from=abone-50m rate-limit=10M/25M
/ppp profile add name=abone-100m copy-from=abone-50m rate-limit=40M/100M

Önemli ayrıntı: /ppp secret üzerinde rate-limit alanı yoktur; hız her zaman profilden (veya RADIUS attribute’undan) gelir. Abonenin paketini yükseltmek profil değiştirmektir:

/ppp secret set [find name=daire-12] profile=abone-100m
/ppp active remove [find name=daire-12]

İkinci komut aktif oturumu düşürür; yeni hız bir sonraki bağlantıda devreye girer, oturumu kesmeden değişmez.

IP havuzu ve adres planında nelere dikkat etmeli?

PPPoE oturumları noktadan noktayadır: her abone kendi tünelinde yaşar, ortak broadcast domain yoktur. Bu, site ağlarında ARP karmaşası ve komşu trafiği koklama riskini kökten çözer. Adres planında üç pratik kural uyguluyorum:

1. Havuz bloğunu tek CIDR’da tutun (örnekte 10.60.0.0/22): NAT ve firewall kuralları tek satırda yazılır.
2. Sabit IP isteyen aboneye havuz yerine secret üzerinde adres verin: /ppp secret set daire-12 remote-address=10.60.0.10 (bu adresi havuz aralığının dışında tutun).
3. NAT’ı bloğa göre yazın:

/ip firewall nat add chain=srcnat src-address=10.60.0.0/22 \
  out-interface-list=WAN action=masquerade

Aboneler arası trafiği de kapatmak isterseniz forward zincirinde havuzdan havuza tek bir drop kuralı yeter; tünel modeli sayesinde L2 izolasyon zaten hazırdır.

Kaç aboneden sonra RADIUS veya User Manager?

Teknik sınır yok: local secret listesi binlerce kaydı sorunsuz taşır. Sınır operasyoneldir; kayıt sayısı değil, kim yönetiyor ve kaç router var sorusu belirler. Karar kutum şu:

Karar kutusu

• 50 aboneye kadar, tek router: local secret. Basit, yedeklemesi kolay (export ile), ek paket yok.
• 50–200 abone veya kota/raporlama ihtiyacı: User Manager. RouterOS 7’de ayrı paket olarak kurulur, router üzerinde RADIUS server çalıştırır; kullanıcı, profil ve limit kavramlarıyla PPP dahil servisleri besler.
• 200+ abone, birden fazla router (NAS) veya faturalandırma/CRM entegrasyonu: harici RADIUS (FreeRADIUS + billing yazılımı). Abone verisi routerdan çıkar, merkezi sisteme taşınır.

RADIUS’a geçiş RouterOS tarafında iki komuttur:

/radius add address=10.0.0.5 secret=RadiusOrtakSifre service=ppp
/ppp aaa set use-radius=yes accounting=yes interim-update=5m

Davranış şöyledir: kullanıcı önce local secret’ta aranır, bulunamazsa RADIUS’a sorulur. Yani geçiş kademeli yapılabilir; eski aboneler local’de kalırken yenileri RADIUS’tan açılır. İki uyarı: only-one RADIUS ile yok sayılır (eşzamanlılık kontrolü RADIUS’a taşınır) ve interim-update süresini çok kısaltmak yüzlerce abonede gereksiz yük üretir, 5 dakika iyi bir başlangıçtır.

Doğrulama ve günlük işletme

Kurulumdan sonra bir test abonesiyle bağlanıp üç şeyi kontrol edin: oturum açılıyor mu, doğru IP ve hız geliyor mu, oturum kesilebiliyor mu.

/ppp active print
/ppp active print detail where name=daire-12
/queue simple print where dynamic=yes
/ppp active remove [find name=daire-12]

• /ppp active print: kim bağlı, hangi IP, ne kadardır.
• Dynamic queue satırında profildeki rate-limit değerini görmelisiniz; görünmüyorsa abone yanlış profildedir.
• /interface pppoe-server print her aktif oturumu ayrı dinamik interface olarak listeler.

Kapasite tarafında: PPPoE şifreleme kullanmadığı için tünel başına yük düşüktür ama yüzlerce oturum ve queue toplamı CPU’yu zorlayabilir; belirti görürseniz CPU teşhis yazımdaki adımları uygulayın. Yeni kurulumda donanımı abone sayısına göre seçmek için model seçim rehberim var. Abonenin kendi tarafında oturumu açacak cihaz bir PPPoE client’tır; o tarafın kurulum mantığını operatör modemi köprüleme yazısında bulabilirsiniz.

Site ağı, yurt veya WISP için PPPoE altyapısı kuracaksanız, profil tasarımından RADIUS geçişine kadar MikroTik danışmanlık hizmetimden destek alabilirsiniz.