[MikroTik-apparatuur] Ervaringen & Discussie

[maarud]

Klik hier om naar het einde van de OP te springen

Inleiding Naar aanleiding van het verzameltopic Unifi/Meraki/Mikrotik is in overleg besloten om de huidige topics (een zooitje) te laten voor wat het is en voor eens en voor altijd duidelijke en normale topics de starten. Zo ook dit topic, waar ervaringen gedeeld kunnen worden of vragen gesteld kunnen worden over de apparatuur van MikroTik. Wired MikroTik maakt ontzettend veel routers (of RouterBOARDS). De populairste is de 2011-serie, die als RM (rackmount) of standalone kan worden gekocht. Daarnaast wordt het zgn. RouterOS beschreven. RB2011UiAS-IN CPU: Atheros AR9344 (600Mhz) Ethernet: 5x RJ-45 Gigabit Ethernet, 5x Fast Ethernet waarvan 1x PoE Geheugen: 128 MB RAM Console: 1 RJ-45 seriële consolepoort Overig: microUSB poort, LCD scherm, RouterOS L5 licentie, SFP cage. Inclusief L5-licentie. Prijs: +/- € 65 Multifunctionele router boordevol opties. De routers draaien op RouterOS, welke helemaal naar eigen smaak in te stellen is. Zo ook het LCD-paneel wat aanwezig is, hier kan allerlei soorten informatie op weergegeven worden. Denk aan snelheden, aangesloten apparaten, etc. RouterOS Meegeleverd op de routers, draait ook op PC (Linux-gebaseerd) Bereikbaar via WinBox, CLI, Telnet, SSH en Web Bevat: Firewall, routing, forwarding, MPLS, VPN, Wireless, Hotspot, QoS, Proxy, monitoring tools en meer Prijs: Aanwezig met licentie op de routers, werkt voor op een PC via een licentiemodel (zie PDF) Wireless RB2011UiAS-2HnD-IN CPU: Atheros AR9344 (600Mhz) Ethernet: 5x RJ-45 Gigabit Ethernet waarvan 1x PoE, 5x Fast Ethernet Geheugen: 128 MB RAM Console: 1 RJ-45 seriële consolepoort WiFi: 802.11b/g/n 2.4Ghz (tot 1W zendvermogen) Overig: microUSB poort, LCD scherm, RouterOS L5 licentie, SFP cage. Prijs: +/- € 65 Multifunctionele router boordevol opties. De routers draaien op RouterOS, welke helemaal naar eigen smaak in te stellen is. Zo ook het LCD-paneel wat aanwezig is, hier kan allerlei soorten informatie op weergegeven worden. Denk aan snelheden, aangesloten apparaten, etc. SXT Lite5 CPU: Atheros AR9344 600MHz Ethernet: 1x 10/100 Geheugen: 32MB DDR SDRAM WiFi: Onboard dual chain 5GHz 802.11a/n Atheros AR9344-BC2A wireless module Overig: Gevoed via PoE Inclusief L3-licentie. Prijs: -[/url] Device voor het outdoor opzetten van 5Ghz PtP verbindingen. Ook beschikbaar in een high-power versie (1250mW) Overige Een veelgenoemde webwinkel voor deze apparatuur is bijvoorbeeld www.interprojekt.com.pl. Deze prijzen (net als bovenstaande) zijn wel excl. BTW.

[maarud]

OP wordt op verzoek geüpdate met meer modellen of screenshots. Voor suggesties graag contact opnemen via DM

[moppentappers]

Ik zag een tijdje geleden alweer MikroTik Cloud Core routers en hoopte toen dat er een mogelijkheid in zat om bijvoorbeeld net zoals we dat nu al doen met Unifi accesspoints deze routers op een praktische manier op afstand te beheren, helaas lijkt dat niet wat wordt bedoeld met cloud.
Voor appartementencomplexen (5 á 6 appartementen per complex) gebruiken we nu eigenlijk voornamelijk een switch (als de eigenaar bereid is om voldoende te investeren managed) en Unifi accesspoints, alleen zouden we graag iets willen aanbieden om ook dingen zoals het in en uitschakelen van poorten op afstand te kunnen regelen zonder op de modem/router ervoor allerlei portforwarings e.d. in te hoeven stellen.
Is er iets te verzinnen waardoor dit kan met Mikrotik?

[ Voor 39% gewijzigd door moppentappers op 11-03-2014 01:24 ]

[CyBeR]

ehm, zorgen dat de router een publiek ip heeft?

[FatalError]

moppentappers schreef op dinsdag 11 maart 2014 @ 01:21:
Ik zag een tijdje geleden alweer MikroTik Cloud Core routers en hoopte toen dat er een mogelijkheid in zat om bijvoorbeeld net zoals we dat nu al doen met Unifi accesspoints deze routers op een praktische manier op afstand te beheren, helaas lijkt dat niet wat wordt bedoeld met cloud.

Mikrotik staat op het punt een accesspoint controller software package voor routeros uit te brengen. Eerst als beta, en op vrij korte termijn de final.

[ShadowBumble]

FatalError schreef op dinsdag 11 maart 2014 @ 08:06:
[...]


Mikrotik staat op het punt een accesspoint controller software package voor routeros uit te brengen. Eerst als beta, en op vrij korte termijn de final.

Sja ik mis nog wel een goed indoor Dual Band AP in hun assortiment ook die je ermee kan managen.

[FatalError]

Ik gebruik zelf al vele jaren Mikrotik apparatuur. Ik ben begonnen met een Routerboard RB600A en RouterOS 3.x.

Momenteel draai ik met wat buren een netwerkje welke voor een groot deel uit Mikrotik bestaat.
Het gaat nu om 3 woningen (worden er nog meer) welke via wireless met elkaar verbonden zijn. Alles is gerouteerd via OSPF en OSPFv3. Als internet van een van ons uitvalt gaat internet via de dichtstbijzijnde buurman.
Verder draait er VPLS zodat we bepaalde VLAN's makkelijk kunnen transporteren, bijvoorbeeld van IPTV.
Verder gebruiken we allemaal Mikrotik voor de Accesspoints in huis.

Momenteel draaien we de volgende Mikrotik spullen:
x86 bakje (Intel DN2800MT, met 3 wifi kaarten) met RouterOS
RB600A (gaat vervangen worden door een x86 bak zoals ^^)
RB1100Hx2
RB411???
RB912UAG-5HPnD
RB250G
De rest van de spullen bestaat o.a. uit Netgear GS108Tv2 en GS110TP managed switches en een Juniper SRX210HE2 router.

Op de plank:
2x RB450G
RB600A

De derde woning is nog in aanbouw qua netwerk en er komt nog een vierde woning aan die via Wifi verbonden gaat worden. Daarnaast gaan we nog minstens 2 woningen via VPN koppelen.
Ook gaan we komend jaar deels upgraden naar 802.11ac.

Het draait allemaal heel erg goed. De snelheden zijn hoog en de boel is stabiel, de beste verbinding haalt via Wifi meer dan 200 mbit/s. We hebben één keer wat vaags gehad met VPLS, maar ook dat draait weer goed.
Kortom, we zijn heel erg tevreden met Mikrotik

[ShadowBumble]

FatalError schreef op dinsdag 11 maart 2014 @ 08:21:
Ik gebruik zelf al vele jaren Mikrotik apparatuur. Ik ben begonnen met een Routerboard RB600A en RouterOS 3.x.

Momenteel draai ik met wat buren een netwerkje welke voor een groot deel uit Mikrotik bestaat.
Het gaat nu om 3 woningen (worden er nog meer) welke via wireless met elkaar verbonden zijn. Alles is gerouteerd via OSPF en OSPFv3. Als internet van een van ons uitvalt gaat internet via de dichtstbijzijnde buurman.
Verder draait er VPLS zodat we bepaalde VLAN's makkelijk kunnen transporteren, bijvoorbeeld van IPTV.
Verder gebruiken we allemaal Mikrotik voor de Accesspoints in huis.

Momenteel draaien we de volgende Mikrotik spullen:
x86 bakje (Intel DN2800MT, met 3 wifi kaarten) met RouterOS
RB600A (gaat vervangen worden door een x86 bak zoals ^^)
RB1100Hx2
RB411???
RB912UAG-5HPnD
RB250G
De rest van de spullen bestaat uit Netgear GS108Tv2 en GS110TP managed switches en een Juniper SRX210HE2 router.

Op de plank:
2x RB450G
RB600A

De derde woning is nog in aanbouw qua netwerk en er komt nog een vierde woning aan die via Wifi verbonden gaat worden. Daarnaast gaan we nog minstens 2 woningen via VPN koppelen.
Ook gaan we komend jaar deels upgraden naar 802.11ac.

Het draait allemaal heel erg goed. De snelheden zijn hoog en de boel is stabiel, de beste verbinding haalt via Wifi meer dan 200 mbit/s. We hebben één keer wat vaags gehad met VPLS, maar ook dat draait weer goed.
Kortom, we zijn heel erg tevreden met Mikrotik

Das inderdaad een hele leuke setup, ik heb nu een RB951G-2nHD staan i.c.m. een HP Procurve 1810-24G voor hier in het huis.

Ben wel heel benieuwd hoe je upgrade gaat naar 802.11ac want zoals ik al zei voor outdoor PtP wifi connecties hebben ze zat spul. Ik zelf heb nog niet echt kunnen stress testen ivm dat ik pas van het weekend de nieuwe kabels onder de grond heb gelegd.

[ElCondor]

Meld: Een RB750GL.
Fijn kastje. Destijds waren de switches nog niet zo wijd verbreid, dus heb toen voor twee HP procurve switches gekozen. Ik gebruik de MikroTik als default gateway. Hij krijgt van Tele2 netjes vijf publieke IP adressen die ik weer verdeel binnen mijn netwerkje.
Het ding heeft wel een stijle leercurve, maar als je eenmaal weet hoe de boel een beetje in elkaar zit, dan is het een beetje een fire and forget set-up. Gewoon inrichten en het doet wat hij moet doen.

Compliementen aan de makers voor de eenvoud van het dingetje. In dit geval is het echt waar: Less is more!

[Reley]

ook maar een RB2011UAS-2HnD-IN besteld.
Heb nu een Cisco 1841 draaien en mijn Ziggo Wifi Modem.
Tijd om die als domme modem te gaan gebruiken en de cisco de deur uit te schoppen...
Eindelijk WiFi bereik....

[Madcat]

Ik ben zelf een blije gebruiker van de RB2011UAS-2HnD-IN.
En kan nu prima met de router verbinding maken naar kpn en heb er een vpn server op draaien zodat ik van buitenaf bij mijn spulletjes kan.

Echter lukt mij het niet om een firewall regel te maken zodat er enkel een nat redirect plaatsvind voor vpn users. Zodat een willekeurige machine dus niet verbindig kan maken via bijvoorbeeld ssh naar een server aan de lan kant, maar wel als het met vpn is verbonden.

Het lijkt erop dat filteren op PPP op "in interface" niet werkt, als er al een verbinding is gemaakt dan zie ik wel een l2tp-user interface, maar deze kan je niet gebruiken om op te filteren omdat de regel ongeldig wordt als de verbinding is verbroken.
Daarnaast heeft filteren op source ip heeft geen nut, omdat dit nog een publiek ip is.

Het lijkt mij een regelijk gebruikelijke regel, is er iemand die dit al wel voor elkaar heeft?

[woutertje]

Kun je dat niet doen d.m.v. een l2tp server binding? (PPP -> Add new -> L2TP Server Binding). Ik geloof dat dat er in ieder geval iets mee te maken heeft.

Edit: ik heb overigens een RB2011UiAS-2HnD-IN i.c.m. KPN glasvezel

[ Voor 17% gewijzigd door woutertje op 13-03-2014 13:56 ]

[Madcat]

Ik heb ook de 2011UiAS-2HnD (firmware 3.1, Router OS 6.9) in combibatie met KPN glasvezel, het werkt echt super.
het duurde mij even voordat alles werkend was,maar dan is ook wel alles mogelijk, echt een tweakers router

Is het jou al gelukt om dit werkend te krijgen?
ik heb een l2tp server binding opgezet, en nu kan ik via firewall en nat rules deze gebruiken.
Het gaat ook netjes op actief als er een vpn verbinding is, en op inactive als er geen verbinding is.

Echter doe ik nog iets verkeerd.
de connectie wordt nog steeds geblokt, als ik de "in interface" verander van l2tp-Madcat naar "All PPP" dan werkt het wel.

Doe ik iets verkeerd of is het een bugje?

[Avenger 2.0]

Ik zit met een mikrotik netwerk vraag waar ik niet direct de oplossing voor vind. Ik gebruik momenteel een mikrotik routerboard met 2 ISP's als internet en een intern netwerk dat in VLANs is ingedeeld (aparte vlan voor wired/wireless/server). Nu haal ik echter geen gigabit snelheden tussen de vlans wat wel spijtig is (mikrotik kan niet snel genoeg tss de vlans routen). Ik heb mij nu een Ubiquiti Edgerouter Lite gehaald voor het inter vlan routen, maar zou nog graag mijn vertrouwde mikrotik blijven gebruiken om de internet connectie met 2 ISP's te blijven beheren. Hoe moet ik dit nu het beste instellen? Ik zit een wat vast wat ik op welke router moet configureren en hoe ik de interconnectie tussen beide moet aanpakken.

[Semper Fight]

De info bij de wireless routerboard klopt niet.
Link verwijst naar de niet wireless router.

Verder ben ik geinterreseerd in de RB2011UiAS-2HnD-IN.
Ben benieuwd naar gebruikerservaringen.

[ Voor 61% gewijzigd door Semper Fight op 14-03-2014 08:44 ]

[lier]

@Avenger: Kijk eens op de het forum van MikroTik zelf, daar zijn ze redelijk actief

@Electra: op GoT zijn een aantal gebruikers terug te vinden (inclusief een hele mooie review). Heb je specifieke vragen? Ik bezit zelf de RB951G-2HnD (praktisch hetzelfde alleen ander doosje en minder poorten) waar ik erg enthousiast over ben!

[ShadowBumble]

@Electra, Ook hier sinds een tijdje zeer tevreden gebruiker van de RB951G-2HnD kan je aangeven waarom je voorkeur bij de RB2011UiAS-2HnD-IN ligt ?

Het verschil tussen de RB2011UiAS-2HnD-IN & RB951G-2HnD zijn namelijk alleen dat je bij de RB2011 nog fastethernet interfaces extra hebt, een SFP slot en externe Wifi antenne's ( en een L5 license ipv L4 maar geloof me L4 is al way meer dan je werkelijk gebruikt ).

Overigens nog wel extreem aan het stoeien voor een fatsoenlijke ovpn setup voor op mijn mikrotik voor de ipad mini, heb er nu maar even een OpenVPN appliance in de ESXi geladen om remote toch wat te kunnen maar das wel zwaar onduidelijk vind ik.

[ Voor 68% gewijzigd door ShadowBumble op 20-03-2014 08:10 ]

[CyBeR]

Waarom openvpn? Mikrotik en iOS ondersteunen beide L2TP/IPSec.

[ShadowBumble]

CyBeR schreef op donderdag 20 maart 2014 @ 08:26:
Waarom openvpn? Mikrotik en iOS ondersteunen beide L2TP/IPSec.

Gewoonte vermoed ik L2TP/IPSec zou natuurlijk ook prima kunnen eens kijken of ik daar eens een leuk voorbeeld van kan vinden.

Toch maar eens kijken naar mijn firewall rules ook want dat is ook bagger Valt me net op ( Wel werkend maar niet de meest nette manier

code:

[admin@RB951G] /ip firewall> filter print
Flags: X - disabled, I - invalid, D - dynamic 
 0   ;;; Drop Invalid connections
     chain=input action=drop connection-state=invalid 
 1   ;;; Allow Established connections
     chain=input action=accept connection-state=established 
 2   ;;; Allow ICMP
     chain=input action=accept protocol=icmp 
 3   chain=input action=accept src-address=<vlansubnet1> in-interface=!Internet 
 4   chain=input action=accept src-address=<vlansubnet2> in-interface=!Internet 
 5   chain=input action=accept src-address=<vlansubnet3> in-interface=!Internet 
 6   chain=input action=accept src-address=<vlansubnet4> in-interface=!Internet 
 7   chain=input action=accept src-address=<vlansubnet5> in-interface=!Internet 
 8   chain=input action=accept src-address=<vlansubnet6> in-interface=!Internet 
 9   ;;; Drop everything else
     chain=input action=drop

Toch maar eens gaan zorgen voor wat intervlan blocks zoals wifi mag alleen naar internet en niet naar de andere netwerken, hmm much to do much to do.

[ Voor 66% gewijzigd door ShadowBumble op 20-03-2014 09:59 ]

[YoUNaS]

Hoe is de VPN (IPSEC) performance van die Microtik routers eigenlijk? De meeste redelijk betaalbare semi-pro (zoals Draytek 2950, Fritzbox etc) blijven meestal onder de 10mbit throughput. Dus is het een alternatief?

[Dred]

hangt af van het type router dat je hebt. De kleintjes doen +- 20mbit (hangt ook zwaar af welke vorm van encryptie je gebruikt AES128/AES256/3DES)
De RB1100AHx2 haalt +500mbit op AES128 volgens the interwebz, het enige dat ik daarover kan zeggen is dat hij inderdaad +120mbit haalt (dat is wat onze internetlijn aankan en wat we getest hebben tussen 2 RB1100's)

[Semper Fight]

ShadowBumble schreef op donderdag 20 maart 2014 @ 08:08:
@Electra, Ook hier sinds een tijdje zeer tevreden gebruiker van de RB951G-2HnD kan je aangeven waarom je voorkeur bij de RB2011UiAS-2HnD-IN ligt ?

Het verschil tussen de RB2011UiAS-2HnD-IN & RB951G-2HnD zijn namelijk alleen dat je bij de RB2011 nog fastethernet interfaces extra hebt, een SFP slot en externe Wifi antenne's ( en een L5 license ipv L4 maar geloof me L4 is al way meer dan je werkelijk gebruikt ).

Overigens nog wel extreem aan het stoeien voor een fatsoenlijke ovpn setup voor op mijn mikrotik voor de ipad mini, heb er nu maar even een OpenVPN appliance in de ESXi geladen om remote toch wat te kunnen maar das wel zwaar onduidelijk vind ik.

Sorry voor de late reactie.
Ik moet zeggen dat ik de RB951G-2HnD niet echt serieus heb bekeken.
De voornaamste reden voor de RB2011UiAS-2HnD-IN was dan ook de extra ethernet poorten.
Op dit moment zit ik op 6 ethernet aansluitingen, maar dit kunnen er 5 worden.
Ga me eens verdiepen in de RB951G-2HnD, bedankt voor de tips hier.

[maomanna]

Ik heb onlangs mijn RB2011 vervangen door een CRS125. Maar ondanks dat het lekker werkt, is de CRS wel een van een zwaarder caliber. Met name de extra poorten op 1gbit en vlan op mac adres hebben mij doen overtuigen om over te gaan tot aanschaf hiervan.

Het vlan op mac adres werkt nog niet, dat is nog een to-do. Heeft intern een hoge doorvoer aan data. gaat regelmatig tegen de 1100mbit aan.

Al met al een mooi en degelijk dingetje!

[ihre]

maomanna schreef op maandag 24 maart 2014 @ 15:32:
Ik heb onlangs mijn RB2011 vervangen door een CRS125. Maar ondanks dat het lekker werkt, is de CRS wel een van een zwaarder caliber. Met name de extra poorten op 1gbit en vlan op mac adres hebben mij doen overtuigen om over te gaan tot aanschaf hiervan.

Het vlan op mac adres werkt nog niet, dat is nog een to-do. Heeft intern een hoge doorvoer aan data. gaat regelmatig tegen de 1100mbit aan.

Al met al een mooi en degelijk dingetje!

Als ik de specs mag geloven verschillen de CRS125 en de RB2011 vrijwel niet qua hardware (aantal rj45 poorten en de usb poort laat ik achterwege). Je geeft aan dat de CRS van zwaarder caliber is, waar merk je dit aan?

http://i.mt.lv/routerboard/files/RB2011UAS_2HnD.pdf
http://i.mt.lv/routerboar...-2HnD-IN-131025130624.pdf

De RB951G heeft ook vergelijkbare hardware: http://i.mt.lv/routerboard/files/RB951G-2HnD.pdf

Het viel mij laatst op, dat als ik met nieuwsgroepen download (zo rond de 9,5MB/s), het CPU verbruik regelmatig richting de 100% spiked op mijn RB951G.

[ Voor 12% gewijzigd door ihre op 24-03-2014 15:44 ]

[Dred]

verschil RB2011 vs CRS125: de RB2011 doet in default config geen switch-chip op de gbit poorten als ik mij dat goed herinner. Dus als je dat vergeet aan te passen is dat een serieus verschil in snelheid.

Ik heb ook een RB951G, zowel thuis als op kantoor en ik merk niet dat die piekt op 100% wanneer de download vol gas geeft (hier ook naar 50mbit verbinding). Gebruikt je veel firewall regels/queues/dat soort spul? Hier zijn die zo ingesteld dat die eigenlijk heel weinig doen, het firewall/queue/natting/... gedoe gebeurt op een RB1100AHx2.
Heb je ook drops in snelheid als hij 100% CPU gebruikt?

Veronderstellingen: Het nieuwe ubiquity stuff zou significant sneller zijn dan het huidige mikrotik spul, dus als je echt problemen hebt kan je eventueel eens gaan kijken naar een ubiquity edgerouter + unify AP

[ihre]

Dred schreef op dinsdag 25 maart 2014 @ 09:51:
... Gebruikt je veel firewall regels/queues/dat soort spul? Hier zijn die zo ingesteld dat die eigenlijk heel weinig doen, het firewall/queue/natting/... gedoe gebeurt op een RB1100AHx2.
Heb je ook drops in snelheid als hij 100% CPU gebruikt?

Het aantal firewall rules valt wel mee, volgens mij. Queues gebruik ik niet, en doe ook geen spannende zaken mbt nat. Tevens merk ik ook geen speed drops wat dat betreft.

code:

[admin@MikroTik] > /ip fi e   
# mar/25/2014 12:18:42 by RouterOS 6.7
# software id = TWA4-HQKU
#
/ip firewall address-list
add address=192.168.2.0/24 comment="LAN Access" list=support
/ip firewall filter
add action=drop chain=input comment="Drop invalid connections" connection-state=invalid
add action=log chain=input comment="DNS WAN requests logging" disabled=yes dst-port=53 log-prefix=Drop protocol=udp src-address=!192.168.2.0/24 src-port=""
add action=add-src-to-address-list address-list=dns_wan address-list-timeout=2d chain=input comment="DNS WAN requests to list" dst-port=53 protocol=udp src-address=!192.168.2.0/24 src-port=""
add action=drop chain=input comment="Drop DNS WAN requests" dst-port=53 protocol=udp src-address=!192.168.2.0/24
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="Port scanners to list " protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="NMAP FIN Stealth scan" protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="SYN/FIN scan" protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="SYN/RST scan" protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="FIN/PSH/URG scan" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="ALL/ALL scan" protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="NMAP NULL scan" protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
add action=drop chain=input comment="Dropping port scanners" src-address-list="port scanners"
add action=jump chain=input comment="Jump for icmp input flow" jump-target=ICMP protocol=icmp
add action=drop chain=input comment="Block all access to the winbox - except to support list" dst-port=8291 protocol=tcp src-address-list=!support
add action=jump chain=forward comment="Jump for icmp forward flow" jump-target=ICMP protocol=icmp
add chain=input comment="Accept established connections" connection-state=established
add chain=input comment="Accept related connections" connection-state=related
add chain=input comment="Full access to SUPPORT address list" src-address-list=support
add chain=input comment=domain.nl src-address=v.p.s.ip
add chain=input comment=UDP disabled=yes protocol=udp
add action=log chain=input comment="Firewall logging" disabled=yes log-prefix=Drop
add action=drop chain=input comment="Drop everything else"
add chain=ICMP comment="Echo request - Avoiding Ping Flood" icmp-options=8:0 limit=1,5 protocol=icmp
add chain=ICMP comment="Echo reply" icmp-options=0:0 protocol=icmp
add chain=ICMP comment="Time Exceeded" icmp-options=11:0 protocol=icmp
add chain=ICMP comment="Destination unreachable" icmp-options=3:0-1 protocol=icmp
add chain=ICMP comment=PMTUD icmp-options=3:4 protocol=icmp
add action=drop chain=ICMP comment="Drop to the other ICMPs" protocol=icmp
add action=jump chain=output comment="Jump for icmp output" jump-target=ICMP protocol=icmp
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe src-address=192.168.0.0/16 to-addresses=0.0.0.0
add action=dst-nat chain=dstnat comment="RDP" dst-address=w.a.n.ip dst-port=4489 protocol=tcp to-addresses=192.168.2.115 to-ports=3389
add action=dst-nat chain=dstnat comment="OVPN Nas" dst-address=w.a.n.ip dst-port=1194 protocol=udp to-addresses=192.168.2.110 to-ports=1194
add action=dst-nat chain=dstnat comment="ruTorrent Nas" dst-address=w.a.n.ip dst-port=49163 protocol=tcp to-addresses=192.168.2.110 to-ports=49163
add action=dst-nat chain=dstnat comment="Zabbix Agent Nas" dst-address=w.a.n.ip dst-port=10050 protocol=tcp to-addresses=192.168.2.110 to-ports=10050
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes

[admin@MikroTik] > /ipv6 fi e
# mar/25/2014 12:19:20 by RouterOS 6.7
# software id = TWA4-HQKU
#
/ipv6 firewall filter
add chain=input comment="Allow established connections" connection-state=established
add chain=input comment="Allow related connections" connection-state=related
add chain=input comment="Allow limited ICMP" limit=50/5s,5 protocol=icmpv6
add chain=forward comment="Allow any ipv6 to internet" limit=50/5s,5 out-interface=sixxs
add chain=input comment="Allow UDP" disabled=yes protocol=udp
add chain=forward comment="Allow established connections" connection-state=established
add chain=forward comment="Allow related connections" connection-state=related
add action=drop chain=forward comment="Drop everything else"

[Dred]

Dan zou ik mij weinig zorgen maken.. Tenzij het frequent voorkomt dat die 100% staat. Kan ook RouterOS bugjes zijn, al eens een nieuwe versie erop gezet? (niet vergeten alles te backuppen en een export te doen van je gehele config)

T'is al weer eventjes geleden dat ik nog iets heb moeten doen op de mikrotiks, maar ik zie niets super raar in je config. Wel een paar interessante dingen die ik hier ook ga toevoegen, zelf uitgevonden or ergens vandaan gehaald die regeltjes?

[ihre]

Heb RouterOS 6.911 (gaat snel) er nog niet opgezet, maar zal het eens proberen. Ansich maak ik me er ook niet druk om maar vond het wel vreemd.

M'n firewall rules zijn bij elkaar gesprokkeld en zelf enigzins op verder geborduurd: http://wiki.mikrotik.com/...universal_firewall_script

[ Voor 3% gewijzigd door ihre op 25-03-2014 21:10 ]

[ElCondor]

Ja inderdaad. Die heb ik uiteindelijk ook gebruikt bij het configureren van mijn MikroTik. Nette service en uitgebreide uitleg wel op die Wiki zeg! Ik vind het een super product.

[maomanna]

ihre schreef op maandag 24 maart 2014 @ 15:40:
[...]


Als ik de specs mag geloven verschillen de CRS125 en de RB2011 vrijwel niet qua hardware (aantal rj45 poorten en de usb poort laat ik achterwege). Je geeft aan dat de CRS van zwaarder caliber is, waar merk je dit aan?

http://i.mt.lv/routerboard/files/RB2011UAS_2HnD.pdf
http://i.mt.lv/routerboar...-2HnD-IN-131025130624.pdf

De RB951G heeft ook vergelijkbare hardware: http://i.mt.lv/routerboard/files/RB951G-2HnD.pdf

Het viel mij laatst op, dat als ik met nieuwsgroepen download (zo rond de 9,5MB/s), het CPU verbruik regelmatig richting de 100% spiked op mijn RB951G.

Het zit m met name in de software. Deze is stukken uitgebreider dan de RB2011.
Ingress en egress vlans, vlan obv mac adressen, protocol based dingen.

De RB2011 handelt de VLANs schijnbaar af via de CPU en de CRS125 via de switchchip.
Met name de switchchip opties zijn stukken uitgebreider. Het is dan ook een L3 switch ipv een L2 switch.

[ihre]

maomanna schreef op dinsdag 25 maart 2014 @ 17:04:
[...]


Het zit m met name in de software. Deze is stukken uitgebreider dan de RB2011.
Ingress en egress vlans, vlan obv mac adressen, protocol based dingen.

De RB2011 handelt de VLANs schijnbaar af via de CPU en de CRS125 via de switchchip.
Met name de switchchip opties zijn stukken uitgebreider. Het is dan ook een L3 switch ipv een L2 switch.

Vond inderdaad deze link m.b.t. extra functionaliteit op de CSR's: http://wiki.mikrotik.com/wiki/Manual:CRS_features

Ziet er ontzettend intererssant uit (vooral MAC based VLAN's mis ik op mijn huidige RB951G), echter vraag ik me af of ik daadwerkelijk wel ~€170,-- neer wil leggen voor (o.a.) deze functionaliteit

[maomanna]

Mja als je een RB951G hebt en je moet daar een switch aanhangen, omdat je meer poorten moet hebben, moet je die kosten er ook bij optellen. Daarnaast het stroomverbruik. 2 apparaten verbruiken meer dan 1 (makes sense)

Op dit moment heb ik nog port based, iets wat ik ook met mn RB2011 had kunnen doen. Maar door het feit dat ik elke wal outlet altijd benaderbaar wil hebben, moest ik het aantal poorten uitbreiden. De mac based vlan is dan mooi meegenomen. Guest wifi op VLAN 6 wil ik nog wel wel proberen te bouwen, zodat gasten alleen op internet kunnen, zonder op mijn netwerk te komen. En als iemand zijn laptop inplugt, dat die met een voor de router onbekend macadres, wel op internet kan, maar wederom niet op mijn netwerk.

Mikrotik Mesh/WDS lijkt me ook erg interessant, maar dat is me nog niet gelukt. Zit ook nog in een verbouwing

[hanzer]

Ik ga nu als beginner overkomen, maar vraag me af waarom Mikrotik en Ubiquity steeds in 1 adem uitgesproken worden?
Zit hier 1 bedrijf achter? Mikrotik is toch Routerboard en Ubiquity is ..Ubiquity? :-)

En wat betreft verdelers: buiten interproject is er volgens mij nergens een degelijke leverancier?
Daarmee bedoel ik: lage prijzen, NL of BE en een webshop. Iemand?
//edit: ik zie nu http://www.wlanshop.be/mikrotik . Maar lage prijzen is niet het geval daar

Zelf ben ik trouwens al even in bezit van een Mikrotik RB2011UiAS-2HnD-IN. DIt omdat ik op zoek was naar een rock solid router (hier: Rock solid WiFi router), nadat mijn 3com Officeconnect de geest gaf.
Zeker tevreden van, maar van die 30dbm zendvermogen merk ik niets (ook niet op andere land instellingen)...

Na mijn ervaring, ben ik nu van plan om op het werk deze dingen te integreren: http://routerboard.com/RB2011UiAS-RM

[CyBeR]

hanzer schreef op woensdag 02 april 2014 @ 11:01:
Ik ga nu als beginner overkomen, maar vraag me af waarom Mikrotik en Ubiquity steeds in 1 adem uitgesproken worden?

Omdat ze beide interessante prijzen aanhouden.

Zit hier 1 bedrijf achter?

Nope.

Zeker tevreden van, maar van die 30dbm zendvermogen merk ik niets (ook niet op andere land instellingen)...

Daar heb je ook meestal niks aan, dat is marketinggelul en nog illegaal ook. WiFi gaat twee kanten op, weetjewel.

[ Voor 5% gewijzigd door CyBeR op 02-04-2014 11:06 ]

[maomanna]

dat wifi 30db is idd onzin, behalve als je 2x een Mikrotik hebt en aan elkaar koppelt met WDS.
Je laptop/telefoon kan namelijk niet terug roepen met dezelfde hoeveelheid. Wel zie je volle ontvangst, waar je met een andere router niks meer hebt. Wel wifi, maar geen/super langzaam internet/netwerk.

[babbelbox]

Ik heb thuis 2 maal een RB2011UAS-2HnD staan.
Inkomend op m'n Ziggo internet verbinding.
Deelt 2 netwerken, prive en gas toegang en tussen de 2 borden een trunk.
Ook beheer ik de nodige RB750UP/GL's
Ik vind die MikroTik RouterBoards echt goed spul met super veel mogelijkheden.
Merk alleen wel (ook wel op het MikroTik forum terug te vinden) dat MikroTik wat slordig omgaat met de updates de laatste tijd. De nadruk licht niet meer zo bij het oplossen van bugs en soms komen er alleen maar meer bij. Ik heb overigens niet zoveel verstand van het ontwikkelen van een Router OS.

[gooddaddy]

Ik heb vorige week een Mikrotik RB751U-2HnD via ebay voor 20 euro op de kop getikt. Ik wilde dat ik het nooit gedaan had. Constant Wifi-verbindingen kwijt. Schijnt een bekend probleem te zijn dat ze niet opgelost krijgen. Zelfs de tips die gegeven worden op het forum helpen bij mij niet.
Daarom ben ik nu aan het kijken voor voor de RB2011UAS-2HnD-IN

Waarom deze? Het is tenslotte maar voor thuis.
Omdat ik het geklooit met meedere draadloze routers en extenders in huis zat ben. De cisco's en D-link kunnen de vele draadloze apparaten bij ons blijkbaar niet aan. (5 tablets, vijf telefoons, 6 pc's). Om op zolder nog enigzins bereik te hebben, wil ik daarom een krachtige Wifi router hebben. Met de RB751U-2HnD was dat in ieder geval in orde. Mijn zoon had op zolder vol bereik (zolang als het wifi signaal werkte), terwijl het ding in de huiskamer stond. Dus wat dat betreft was ik wel positief.

[DennusB]

Ik heb nu RouterOS als VM draaien en wil graag een gasten VLAN en een "bekende-users" VLAN maken. Heeft iemand enig idee hoe ik known devices een vlan in kan laten schieten?

[Reloader]

ik wil een van de mikrotiks gaan gebruiken om een pand te voorzien van internet, in dit pand vind kleine horeca plaats waardoor er maximaal 3 kassa systemen op aangesloten worden, de administratie van het bedrijfje met 2 pc's en een uitgebreid audiosysteem is gekoppeld maar verbruikt nauwelijks data (alleen bij configuratie) en als klap op de vuurpijl wonen er 2 of 3 studenten in het pand...

nu staat er een Ubee van ziggo en een aantal range extenders, maar heel regelmatig geeft de Ubee het op en moet hij even herstart worden, het idee in de eerste instantie is om de ubee te laten bridgen en er een mikrotik aan te hangen om vervolgens 3 verschillende VLAN's te definieeren.

voldoet een RB951G-2HND? of loont het om gelijk een RB2011UiAS-2HnD te installeren?

4 of 5 Lan poorten zijn in principe genoeg aangezien er toch 100% zeker gewerkt moet gaan worden met switches, dus ik zie persoonlijk geen nadelen aan de RB951?

[lier]

Een "nadeel" van de RB951 is dat de antennes in de behuizing zitten. Het is dus niet mogelijk om antennes te richten (terwijl dit bij de RB2011 wel mogelijk is). Daarnaast heeft de(ze) RB2011 Poe op een poort, geen idee of dit voor jou interessant is?

Uiteindelijk lijkt het mij het makkelijkste om beide modellen met elkaar te vergelijken om op basis van de prijs/pret verhouding de voor jou beste keuze te maken.

[Pakjebakmeel]

Leuk om een Mikrotik topic te zien op Tweakers..

Draai zelf al tijden een rb493g, erg fijn apparaat wat betreft routing, firewalling en vlans. Ook de performance is een verademing over iedere consumenten router.

Echter heb ik het wireless gedeelte recentelijk vervangen voor een dlink 868l. Qua configuratie beviel het prima maar ik wilde toch wel iets meer performance P2P wireless schijnt echt helemaal top te zijn op Mikrotik's maar AP mode valt toch wel een beetje tegen. Kreeg na veel getweak en gepruts nooit meer dan 180Mbit/s door het AP.

Nog een zinvolle toevoeging aan het topic; ik heb Fail2Ban server ingericht om IP's toe te voegen aan een access list op het rb493g:
http://forum.mikrotik.com/viewtopic.php?f=9&t=54446

[Reloader]

lier schreef op woensdag 23 april 2014 @ 13:38:
Een "nadeel" van de RB951 is dat de antennes in de behuizing zitten. Het is dus niet mogelijk om antennes te richten (terwijl dit bij de RB2011 wel mogelijk is). Daarnaast heeft de(ze) RB2011 Poe op een poort, geen idee of dit voor jou interessant is?

Uiteindelijk lijkt het mij het makkelijkste om beide modellen met elkaar te vergelijken om op basis van de prijs/pret verhouding de voor jou beste keuze te maken.

bedankt voor je info,

gezien de hoogte van het pand weet ik ook al zeker dat er op de bovenste verdieping (studenten) gewerkt gaat worden met een apart accespoint, ik heb voldoende vertrouwen in het bereik van de wifi van de RB951 van wifi te voorzien en er zou eventueel gewerkt kunnen worden met een apart accespoint op de 1e verdieping. ik wil echter gaan schakelen naar een van deze 2 apparaten omdat de Ubee van ziggo het qua routing niet aan kan en dat denk dat belkin/sitecom/netgear/etc apparatuur ook net te kort gaat komen.
PoE gaat niet gebruikt worden in deze situatie dus is ook niet van toepassing

[PeterEs]

Sinds begin dit jaar heb ik een MikroTik RB2011UiAS-2HnD-IN draaien, als vervanging voor een Sitecom WLR-4001. De Sitecom moest ik meerdere malen per week restarten en dat werd ik een beetje zat.

Moet zeggen dat de Mikrotik het echt prima doet! Heb nog niet heel veel spannends ingesteld, alleen een paar poortjes forward. Binnenkort wil ik nog een VPN server gaan configureren zodat ik ook extern bij mijn netwerk kan komen.

Op kantoor hebben we nu nog een Zywall USG 100, maar deze kan de 200Mbit UPC verbinding niet aan. Gezien de goede prijs/kwaliteit verhouding van Mikrotik, ben ik mij nu aan het oriënteren op een nieuwe Mikrotik router voor op kantoor welke wel met de 200Mbit lijn overweg kan. Ook zou het heel prettig zijn als de Site-to-Site VPN die over deze verbinding loopt een stukje sneller zou worden. De max die ik nu haal is 20Mbit. Zou natuurlijk leuk zijn als dit 200Mbit zou worden (de andere kant kan dit aan).
Harde cijfers over VPN troughput kan ik echter niet echt vinden. Is er iemand die hiermee ervaring heeft en er iets over kan zeggen? Ik twijfel een beetje tussen de 1100AHx2 en de CCR1009-8G-1S, maar wellicht dat er nog andere mogelijkheden zijn?

[FatalError]

Misschien is de binnenkort te verschijnen RB850Gx2 interessant voor je. Er zijn helaas nog geen cijfers beschikbaar over de prestaties.

[PeterEs]

De RB850Gx2 is wel heel basic denk ik. Voorkeur gaat ook uit naar een 19" model.

[Reloader]

mijn RB951 is binnen

echter is er 1 ding waar ik niet helemaal uit kom,

op dit moment staat er een Ubee van ziggo, echter wil ik deze nog even laten staan tot ik de mikrotik goed geconfigureerd heb, maar ik krijg geen DMZ aangemaakt (of uberhaupt een werkende portforwarding rule..

wat ik gedaan heb is:
IP --> Firewall --> Nat

New Rule

Chain = DSTNAT
Protocol 6 = TCP
dst port = 8080

tab action
action = dst-nat
to address: Server adres
to port = 8080

ik zou zeggen dat ik dan een regeltje heb gemaakt om poort 8080 te forwarden echter werkt dit niet

verdere belangrijke toelichting:

op dit moment is de situatie als volgt:

Ubee = modem router
Mikrotik in de DMZ van de Ubee
Server aan de mikrotik

feitelijke vraag 1: kan dit (voordat ik de ubee in bridge mode laat zetten)
feitelijke vraag 2: doe ik portforwarding goed op deze manier & hoe maak ik een DMZ aan?

[ShadowAS1]

Ik zou gewoon ziggo bellen en je UBEE in bridge laten zetten en alles op die mikrotik gooien, scheelt pijn en moeite.

[babbelbox]

Je port-forward is niet geheel goed. Deze is niet specifiek genoeg.
Wat je nog moet doen is de in-interface=<interface naar ubee> specificeren.
En denk erom dat het alleen werkt van buiten af en niet als je vanaf je eigen interne netwerk probeert.
Tenzij je een haripin-nat regel maakt alleen is mij dat nog niet helemaal gelukt.

[Reloader]

dit is zomaar een testje, want deze mikrotik gaat eerdaags weer weg, dan bestel ik voor mezelf een RB2011 of misschien toch een 951

het werkt nog steeds niet, maar misschien ligt het toch nog aan de ubee die er tussen hangt...


okee dit is de blunder van de week... je moet natuurlijk wel ff op enable klikken ....


is het nu mogelijk om een DMZ aan te maken of in iedersgeval een reeks poorten op te geven?
anders ben ik nog een heleboel mappings aan het maken

[ Voor 81% gewijzigd door Reloader op 07-05-2014 13:05 ]

[babbelbox]

Reloader schreef op woensdag 07 mei 2014 @ 12:48:
dit is zomaar een testje, want deze mikrotik gaat eerdaags weer weg, dan bestel ik voor mezelf een RB2011 of misschien toch een 951

het werkt nog steeds niet, maar misschien ligt het toch nog aan de ubee die er tussen hangt...


okee dit is de blunder van de week... je moet natuurlijk wel ff op enable klikken ....


is het nu mogelijk om een DMZ aan te maken of in iedersgeval een reeks poorten op te geven?
anders ben ik nog een heleboel mappings aan het maken

Je kunt een reeks poorten opgeven. Zoals je nu 1 poort hebt gespecificeerd kun je ook invullen bijv 9000-9005
Let wel op dat je diezelfde reeks dan bij zowel dst-port als bij to-ports invult!

[Gusto]

Na de reacties hier, zelf een RB2011UiAS-2HnD-IN gekocht , wat een geweldige router, en z'n lage prijs
Wel even wennen aan routeros

[ Voor 45% gewijzigd door Gusto op 31-05-2014 02:42 ]

[Gusto]

Update: Na veel gekl**t, eindelijk alles werkende

[d--amo]

Gusto schreef op woensdag 28 mei 2014 @ 20:13:
Na de reacties hier, zelf een RB2011UiAS-2HnD-IN gekocht , wat een geweldige router, en z'n lage prijs
Wel even wennen aan routeros

Zou deze ook willen kopen. Waar heb je deze gehaald?

[Gusto]

Ik heb hem bij Inter Projekt S.A. besteld.

[ Voor 32% gewijzigd door Gusto op 31-05-2014 09:59 ]

[tyson69]

Net pakket van InterProjekt binnen, een MIKROTIK RouterBOARD RB2011UiAS-IN en 2x Unifi UAP voor 193 euro. Na een mailtje met hun sales team ging de prijs zo omlaag van 225,90

[M@rijn]

Hier ook al een tijdje aan het spelen met de RB2011UAS, wat een mooi spul dat mikrotik, als je enigzins bekend bent in netwerkland dan heb je dan ding in een zucht en een scheet geconfigureerd e.d. ik heb over de hele configuratie met PPPoE, VLAN's, DHCP per VLAN e.d. korter gedaan als een paar kleine wijzigingen aanbrengen in onze huidige Cisco Router.

Nu zijn we op het moment aangekomen om binnenkort te gaan migreren van de Cisco naar de Mikrotik, alleen loop ik tegen het punt aan dat mijn internetsnelheid niet hoger komt dan 20Mbit, ipv de gebruikelijk 50mbit, dit alles met 10 firewall regels en enkel een NAT tussen mijn KPN zakelijk fiber en de switch poorten.

Dat word nog even uitzoeken geblazen

Edit:

En fixed de Auto negotiation stond nog aan, deze las blijkbaar 10 mbit uit, dus whoop naar 1gbit, maar dat vond de SPF converter blijkbaar niet goed, en nu draait ie vrolijk zijn rondjes op 100mbit, internet is hier nog nooit zo snel geweest

[ Voor 15% gewijzigd door M@rijn op 08-06-2014 10:58 ]

[_-= Erikje =-_]

FatalError schreef op dinsdag 11 maart 2014 @ 08:06:
[...]


Mikrotik staat op het punt een accesspoint controller software package voor routeros uit te brengen. Eerst als beta, en op vrij korte termijn de final.

Is hier wat meer info over te vinden? Ik heb een RB2011UiAS-2HnD-IN, maar 5 GHz en meerder APs zou wel handig zijn ivm met de dekking in huis

[M@rijn]

Ik zag in de nieuwsbrief al wel wat voorbij komen van CAPsMAN, volgens mij is dat hetgene waar je op doelt?

http://wiki.mikrotik.com/wiki/Manual:CAPsMAN

[Gusto]

M@rijn schreef op zondag 08 juni 2014 @ 19:28:
Ik zag in de nieuwsbrief al wel wat voorbij komen van CAPsMAN, volgens mij is dat hetgene waar je op doelt?

http://wiki.mikrotik.com/wiki/Manual:CAPsMAN

Routeros 6.14 is beschikbaar + capsman

What's new in 6.14 (2014-Jun-06 15:34):

Quote:
*) sntp - 'mode' now is a read-only property, it is set to broadcast if no
server ip address is specified;
*) smb - fixed some SMB1 errors;
*) wireless-fp package is now included in routeros one (disabled by default);
*) webfig - fixed quickset, it didn't work with disabled wireless pacakge;
*) sstp - fixed problem where session was closed every 2min;
*) pptp,l2tp,pppoe - fixed problem where some of the static bindings
become dynamic interfaces;
*) eoip - lowered default MTU to avoid IP packet fragmentation;
*) eoip - added clamp-tcp-mss setting with default=yes for new tunnels to avoid
IP packet fragmentation;
*) fixed - bridge could sometimes get added without ~running~ flag;
*) fixed - simple queues could sometimes crash router;
*) fixed - simple queue stats freeze (empty winbox queue window);
*) ssh server - allow none cipher;
*) proxy - added 'anonymous' option which will skip adding X-* and Via headers;
*) dhcp server - added option use-framed-as-classless and
added support for DHCP-Classless-Static-Route RADIUS attribute;
*) quickset - fixed problem where address mode selection did not work in
bridge mode;
*) ipv6 address - fixed problem where changing advertise lost ipv6 connected route;

[M@rijn]

Hmmm dat word updaten geslagen voordat ik binnenkort de boel over ga zetten En direct voor hier nog een RouterBOARD RB2011UAS-RM bestellen zodat we er 1 op backup hebben, voor die 99 euro op ebay.

Dat ding in het rack klaar hebben liggen is goedkoper als 1 uur storing op kantoor

[Gusto]

This is a bugfix release, solving issues related to upgrade from v5 to v6.14.

We have made some interesting new features, including the new "ip cloud" menu, and general release of CAPsMAN:

What's new in 6.15 (2014-Jun-12 12:25):

*) fixed upgrade from v5 - on first boot all the optional packages were disabled;
*) fixed problem where sntp server could not be specified in winbox & webfig;
*) metarouter - make openwrt work on ppc metarouter again;

[maarud]

Misschien kan iemand met praktijkervaring mij vertellen of de MikroTik een geschikte router hiervoor is:

- fungeren als wifi-hotspot met landing page
- niet vastlopen met 15-30 gebruikers op de wifi
- weken, zo niet maanden ahctereen stabiel blijven draaien

Of dat ik dan beter naar UniFi kan kijken

[maomanna]

Dat kan eenn mikrotik zeker!

[CyBeR]

maar unifi ook. hoewel je bij unifi een computer nodig hebt voor die landing page.

[ Voor 69% gewijzigd door CyBeR op 20-06-2014 20:11 ]

[maomanna]

Hij vroeg specifiek of een Mikrotik het kan. ja dat kan het.

Je kunt ze ook combineren.

[maarud]

Jep, de computer wilde ik vermijden. Als de mikrotik lekker stabiel kan blijven draaien (als je een hotspot aanbiedt aan klanten is het geen stijl als ie niet werkt) dan wordt dat sowieso de basis van t netwerk, eventueel later nog als het aantal clients de bottleneck word een unifi erbij. Maar dat zal nog wel even duren

[lier]

Heb zelf ervaring met de RB951G-2HnD, kneiter stabiel, heel betrouwbaar. Configureren kost wel wat tijd, maar is heel veel info over te vinden op YouTube en het Mikrotik forum.

[pafdaddy]

Ik kan niet begrijpen dat er op de RB2011UiAS (ook) 5x fast ethernet poorten geplaatst zijn. Wat moet je daarmee? De enige reden die ik kan bedenken is dat 10x gigabit ethernet te duur was of zo.

[lier]

Voor alle devices die geen gigabit nodig hebben, zoals bijvoorbeeld tv's, media players, game consoles, enz. Zal inderdaad een kostenoverweging zijn...

[CyBeR]

Internetverbindingen… niet iedereen heeft meer dan 100mbps.

[pafdaddy]

Niet iedereen heeft meerdere internetverbindingen.

Elke poort kan dus als WAN aansluiting dienen?

Ik begrijp verder waarom er geen 10 Gigabit poorten toegepast zijn; die 5 fast ethernet poorten
zijn geïntegreerd in de processor en dus relatief goedkoop te faciliteren.

[ Voor 33% gewijzigd door pafdaddy op 21-06-2014 15:36 ]

[jimmy87]

Kan iemand mij vertellen hoe ik de running config opvraag zoals bij een hp?

[babbelbox]

Vanuit de cli: export

[Brummetje]

Zojuist ook een RB2011UiAS-2HnD-IN besteld voor mijn gister opgeleverde KPN glasvezel (100/100)... Na 1 dag was ik er al klaar mee dat er te veel dicht staat dus dan maar meteen goed oplossen. Moest sowieso nog een ander draadloos hebben en een router die VPN tunnel ondersteund.

Nu kan ik alleen nergens vinden wat de throughput is over de VPN en ik zag de vraag hier al eerder langs komen in het topic maar nog geen antwoord helaas. Is er toevallig al iemand die hier wat meer over kan vertellen of die dit zou kunnen testen?

Gister avond de config (linkje) files ingeladen om de router werkend te krijgen met het KPN glasvezel. Dit ging niet helemaal soepel omdat ik in het begin de melding kreeg dat bepaalde dingen al bestonde zoals de switch en de bridge. Deze zijn natuurlijk standaard op het apparaat aanwezig en kun je ook niet zomaar weg halen. De bestaande objecten hernoemen gaf ook niet het gewenste resultaat.

Uiteindelijk maar de router gereset en gezegd dat hij de config direct daarna moest inladen en hierna werkte het direct! Daarna nog even een extra IPTV poort toegevoegd zodat het er 2 zijn i.p.v. 1!

Voor het apparaat heb je zoals overal gezegd wel wat kennis nodig en mijn kennis van VLAN's is niet heel groot maar het was genoeg om het werkend te krijgen en het één en ander aan te passen. Vanavond even wat snelheidstests doen en bezig met de port-forwardings.

[ Voor 46% gewijzigd door Brummetje op 26-06-2014 09:04 ]

[maomanna]

Je hebt de IPTV poorten wel op de 100mbit's gezet toch?
Dan hou je de snelheid over waar je hem wel kan benutten, namelijk je pc's en ander bedraad spul.

[Pakjebakmeel]

Brummetje schreef op dinsdag 24 juni 2014 @ 13:47:
Zojuist ook een RB2011UiAS-2HnD-IN besteld voor mijn gister opgeleverde KPN glasvezel (100/100)... Na 1 dag was ik er al klaar mee dat er te veel dicht staat dus dan maar meteen goed oplossen. Moest sowieso nog een ander draadloos hebben en een router die VPN tunnel ondersteund.

Nu kan ik alleen nergens vinden wat de throughput is over de VPN en ik zag de vraag hier al eerder langs komen in het topic maar nog geen antwoord helaas. Is er toevallig al iemand die hier wat meer over kan vertellen of die dit zou kunnen testen?

Gister avond de config (linkje) files ingeladen om de router werkend te krijgen met het KPN glasvezel. Dit ging niet helemaal soepel omdat ik in het begin de melding kreeg dat bepaalde dingen al bestonde zoals de switch en de bridge. Deze zijn natuurlijk standaard op het apparaat aanwezig en kun je ook niet zomaar weg halen. De bestaande objecten hernoemen gaf ook niet het gewenste resultaat.

Uiteindelijk maar de router gereset en gezegd dat hij de config direct daarna moest inladen en hierna werkte het direct! Daarna nog even een extra IPTV poort toegevoegd zodat het er 2 zijn i.p.v. 1!

Voor het apparaat heb je zoals overal gezegd wel wat kennis nodig en mijn kennis van VLAN's is niet heel groot maar het was genoeg om het werkend te krijgen en het één en ander aan te passen. Vanavond even wat snelheidstests doen en bezig met de port-forwardings.

Qua VPN denk ik dat je moet rekenen op een Mbit of 20 tot 35 afhankelijk van welk soort VPN en voornamelijk de encryptie.

Encryptie is de bottleneck voor een routerboard zonder crypto acceleratie. (Dat heeft deze niet toch?)

Mijn rb493g deed 32mbit IPSec op aes256 en die is qua CPU redelijk vergelijkbaar.

edit:

IPSec/L2TP 30 Mbit blijkbaar:

http://forum.mikrotik.com/viewtopic.php?t=78034

Ik deed IPSec zonder L2TP dus daarom ietsje sneller maar dit is wel wat ik verwacht.

[ Voor 5% gewijzigd door Pakjebakmeel op 26-06-2014 18:19 ]

[deepbass909]

Ik zit op dit moment te kijken naar een RouterBOARD RB2011UiAS-2HnD-IN om in het (thuis)bedrijf van m'n zus te gaan plaatsen. Ze zit in IJsselstein pal onder de Gerbrandy-toren (zendmast van Lopik), waardoor er met "normaal" consumentenspul amper een stabiel wifi-netwerk is op te zetten. In haar tuin, +/- 15 meter van de huidige Sitecom router vandaan, wisselt de sterkte continu van maximaal naar minimaal. Een verdieping hoger is er helemaal geen signaal meer te ontvangen.

Ik heb inmiddels 4 verschillende routers daar geprobeerd, en geen enkele gaf een voldoende stabiel netwerk.

Lukt het met een RouterBOARD wel? Ik hoop dat het hogere zendvermogen een oplossing kan bieden namelijk.

[lier]

deepbass909 schreef op vrijdag 27 juni 2014 @ 11:27:
Lukt het met een RouterBOARD wel? Ik hoop dat het hogere zendvermogen een oplossing kan bieden namelijk.

Stabiliteit en zeker ook op het gebied van WiFi is erg goed bij de Mikrotiks. Laat het zendvermogen varen, dat gaat (eigenlijk) nooit helpen (twee partijen die zenden/ontvangen).

Weet je zeker dat het door die zendmast komt? Zijn er veel WiFi netwerken in de buurt?

[deepbass909]

Het aantal netwerken valt mee (minder dan in mijn eigen huis, waar ik omringd wordt door Ziggo accesspoints). Ik heb ook al talloze keren gespeeld met de beschikbare kanalen.

Punt is dat ze op nog geen kilometer van de sterkste radiozendmast van Nederland woont en die vaker voor kleine problemen heeft gezorgd. Op die mast staan bijv. ook de digitenne zenders, die qua frequentie de helft zijn van wifi (dus voor mooie interferentie kunnen zorgen).

Alleen in welke zin bedoel je stabiliteit in de Wifi? Stabiliteit in het in stand kunnen houden van een verbinding? Stabiliteit in de netwerkconnectie? Stabiliteit in het zendvermogen?

[lier]

Ja! Ja! Ja! Geen idee...

Komen hier veel verschillende devices over de vloer, echt nog nooit een device tegen gekomen met problemen. Maar: Resultaten uit het verleden bieden geen garantie voor de toekomst

[FreshMaker]

Na wat uitzoekwerk kom ik er niet echt uit, of de Mikrotik's dit kunnen ....

Ik zou graag de router ( CRS125 ) inzetten als een "all-in" punt op een KPN DSLverbinding, en de experia uitfaseren ( simpelweg in bridge )
Nu mijn 'wens'

Is het mogelijk dat er op mac-adres gerouteerd wordt ?
Dus dat de eigen pc's in huis gewoon één op één naar buiten gaan, via het KPN-ip, en de bedrijfs-devices bij aanmelden op het netwerk herkend worden als 'niet prive' en de verbinding opbouwt over een vpn -> bedrijf ( en dus direct extern aanmelden zonder tussenkomst van de gebruiker.

Ik ben al aan het spitten in VLANs maar kan het niet vinden.

[allure]

Bij mijn schoonouders is de draytek 2910 aan het overlijden, dus gelijk een rb951g-2hnd besteld en ik kon het niet laten om voor mijzelf een RB2011UiAS-2HnD-IN mee te bestellen in plaats van de huidige Draytek 2130.

[PeterEs]

FreshMaker schreef op zondag 29 juni 2014 @ 19:14:
Na wat uitzoekwerk kom ik er niet echt uit, of de Mikrotik's dit kunnen ....

Ik zou graag de router ( CRS125 ) inzetten als een "all-in" punt op een KPN DSLverbinding, en de experia uitfaseren ( simpelweg in bridge )
Nu mijn 'wens'

Is het mogelijk dat er op mac-adres gerouteerd wordt ?
Dus dat de eigen pc's in huis gewoon één op één naar buiten gaan, via het KPN-ip, en de bedrijfs-devices bij aanmelden op het netwerk herkend worden als 'niet prive' en de verbinding opbouwt over een vpn -> bedrijf ( en dus direct extern aanmelden zonder tussenkomst van de gebruiker.

Ik ben al aan het spitten in VLANs maar kan het niet vinden.

Nog geen ervaring mee (de CCR ligt op de plank, maar nog niet ingesteld...), maar volgens mij is dit zeker mogelijk. Wat je zoekt is een Mac based vlan. De mac's van de bedrijfsapparatuur stop je dan in een apart VLAN dat je over de VPN stuurt. http://wiki.mikrotik.com/...S_examples#MAC_Based_VLAN

[Brummetje]

maomanna schreef op donderdag 26 juni 2014 @ 11:49:
Je hebt de IPTV poorten wel op de 100mbit's gezet toch?
Dan hou je de snelheid over waar je hem wel kan benutten, namelijk je pc's en ander bedraad spul.

Uiteraard! had namelijk al gezien dat de 100Mbit vanuit de processor zelf gaat en de Gbit kant een gescheiden deel is. Dus iets wat geen 100Mbit nodig heeft hoeft niet op de Gbit... En naast dat zit er nog gewoon een 16 port Gigabit switch tussen de computers en de Mikrotik dus lokale data gaat sowieso niet over de Mikrotik. Deze moet zich lekker bezig houden met het internet verkeer en iet met lokaal verkeer.

Pakjebakmeel schreef op donderdag 26 juni 2014 @ 18:13:
[...]


Qua VPN denk ik dat je moet rekenen op een Mbit of 20 tot 35 afhankelijk van welk soort VPN en voornamelijk de encryptie.

Encryptie is de bottleneck voor een routerboard zonder crypto acceleratie. (Dat heeft deze niet toch?)

Mijn rb493g deed 32mbit IPSec op aes256 en die is qua CPU redelijk vergelijkbaar.

edit:

IPSec/L2TP 30 Mbit blijkbaar:

http://forum.mikrotik.com/viewtopic.php?t=78034

Ik deed IPSec zonder L2TP dus daarom ietsje sneller maar dit is wel wat ik verwacht.

Rond de 30Mbit voor een router met zoveel opties en deze prijs vind ik prima! Ga het toch niet gebruiken voor grote file transfers of zo. Is meer zodat mijn vader vanaf afstand overal bij kan en dan voornamelijk documenten en ander klein spul.

[allure]

Ik heb gisteravond een RB951 compleet en werkend geconfigureerd, toen ik klaar was heb ik de stroom eraf gehaald. Nu steek ik de stekker weer in het stopcontact en nu lijkt het ding niet eens meer te booten, een Factory reset werkt wel.

Moet je de config uiteindelijk nog naar een startup config kopieren ofzo? wat zie ik over het hoofd?
Zodra ik de router reboot, is hij zijn instellingen kwijt

[ Voor 8% gewijzigd door allure op 03-07-2014 19:56 ]

[Gusto]

Moet ik stroom er af gehaald lezen als stekker uit het stopcontact? Zo zet je je pc toch ook niet uit?
Update de software en firmware eens naar de laatste versies? (software 6.15 en firmware 3.16)

[The Executer]

Sinds gisteravond ook in het bezit van een Mikrotik. Het is de RB951G-2HND geworden via de welbekende webshop. Deze dient als vervanging voor het brakke Ubee modem. Zondag 29 juni besteld en afgelopen woensdag binnen. Configuratie was een klein probleempje. In eerste instantie plug en play, maar toen ik het lan IP-adres aanpaste had ik geen internet meer. Dns gecheckt enzo maar kon het probleem zo snel niet vinden. Eerst maar terug gezet naar default aangezien dat prima werkte. Vandaag geGoogeld, blijkt er bij de DHCP instellingen ook nog een DNS adres te zitten. Eerst zo maar gelaten aangezien het werkt, binnenkort config maar even op de schop. Tot nu toe erg tevreden, werkt prima en stabiel en pagina's/filmpjes laden voelt een stuk snapier aan :-).

[ihre]

Zou je default firewall eens willen posten?

in een terminal /ip fi fi ex en /ip fi nat ex

[allure]

Gusto schreef op donderdag 03 juli 2014 @ 21:28:
Moet ik stroom er af gehaald lezen als stekker uit het stopcontact? Zo zet je je pc toch ook niet uit?
Update de software en firmware eens naar de laatste versies? (software 6.15 en firmware 3.16)

De routers waar ik eerder mee gewerkt heb hadden geen functie om de router echt uit te zetten, heeft routerOS dit wel?

[ihre]

allure schreef op donderdag 03 juli 2014 @ 22:05:
[...]


De routers waar ik eerder mee gewerkt heb hadden geen functie om de router echt uit te zetten, heeft routerOS dit wel?

/system shutdown via terminal, of onder system via winbox/webfig. Ik kan mijn RB951G gewoon uit 't stroomnet trekken zonder dat instellingen verloren gaan trouwens.

[The Executer]

ihre schreef op donderdag 03 juli 2014 @ 21:49:
Zou je default firewall eens willen posten?

in een terminal /ip fi fi ex en /ip fi nat ex

Draai ik morgen even voor je. Zit nu op de smartphone te werken waarbij ik op de console geen tekst in kan voeren. Op zoek naar iets specifieks?

[ihre]

The Executer schreef op donderdag 03 juli 2014 @ 23:21:
[...]


Draai ik morgen even voor je. Zit nu op de smartphone te werken waarbij ik op de console geen tekst in kan voeren. Op zoek naar iets specifieks?

Nee, zelf heb ik een prima stel regels in mijn firewall staan. Heb mijn RB951G echter tweedehands gekocht, en vraag me gewoon af wat voor rules Mikrotik voor een default config definieert.

[ShadowBumble]

ihre schreef op donderdag 03 juli 2014 @ 23:30:
[...]


Nee, zelf heb ik een prima stel regels in mijn firewall staan. Heb mijn RB951G echter tweedehands gekocht, en vraag me gewoon af wat voor rules Mikrotik voor een default config definieert.

Ik heb er juist zeer weinig instaan tot op heden weinig nut voor gehad maar ook omdat ik nog een goede begin set zoek die doet wat ik wil ivm meerdere clans

[ihre]

ShadowBumble schreef op vrijdag 04 juli 2014 @ 00:35:
[...]


Ik heb er juist zeer weinig instaan tot op heden weinig nut voor gehad maar ook omdat ik nog een goede begin set zoek die doet wat ik wil ivm meerdere clans

Meerdere clans, bedoel je daarmee letterlijk gaming clans? Wat hebben die met firewall rules te maken?

Qua begin sets is er veel op de Mikrotik Wiki te vinden, de meeste van mijn rules heb ik samengesteld uit meerdere artikelen.

\[Ervaringen/discussie] MikroTik-apparatuur
http://wiki.mikrotik.com/wiki/Home_Firewall
http://wiki.mikrotik.com/...universal_firewall_script <-- Bij deze heeft WAN wel toegang tot de Webfig pagina, en DNS requests via je WAN interface worden uitgevoegd, dus heb ik het volgende er aan toegevoegd:

code:

add action=drop chain=input\
comment="Block all access to webfig - except to support list # DO NOT ENABLE THIS RULE BEFORE ADD YOUR SUBNET IN THE SUPPORT ADDRESS LIST"\
disabled=yes dst-port=80 protocol=tcp src-address-list=!support
add action=drop chain=input\
comment="Block all DNS requests -  except to support list # DO NOT ENABLE THIS RULE BEFORE ADD YOUR SUBNET IN THE SUPPORT ADDRESS LIST"\
disabled=yes dst-port=53 protocol=udp src-address-list=!support

Beide rules staan dus op disabled, en zul je zelf moeten aanzetten op het moment dat je firewall rules compleet zijn. Mocht je een Mikrotik als enige router gebruiken, met bvb KPN Glasvezel, raad ik eigenlijk aan om een goede firewall samen te stellen voordat je de router in gebruik gaat nemen.

[ Voor 18% gewijzigd door ihre op 04-07-2014 08:18 ]

[ShadowBumble]

ihre schreef op vrijdag 04 juli 2014 @ 08:15:
[...]


Meerdere clans, bedoel je daarmee letterlijk gaming clans? Wat hebben die met firewall rules te maken?

nee niet clans maar vlans kleine typo

Qua begin sets is er veel op de Mikrotik Wiki te vinden, de meeste van mijn rules heb ik samengesteld uit meerdere artikelen.

\[Ervaringen/discussie] MikroTik-apparatuur
http://wiki.mikrotik.com/wiki/Home_Firewall
http://wiki.mikrotik.com/...universal_firewall_script <-- Bij deze heeft WAN wel toegang tot de Webfig pagina, en DNS requests via je WAN interface worden uitgevoegd, dus heb ik het volgende er aan toegevoegd:

code:

add action=drop chain=input\
comment="Block all access to webfig - except to support list # DO NOT ENABLE THIS RULE BEFORE ADD YOUR SUBNET IN THE SUPPORT ADDRESS LIST"\
disabled=yes dst-port=80 protocol=tcp src-address-list=!support
add action=drop chain=input\
comment="Block all DNS requests -  except to support list # DO NOT ENABLE THIS RULE BEFORE ADD YOUR SUBNET IN THE SUPPORT ADDRESS LIST"\
disabled=yes dst-port=53 protocol=udp src-address-list=!support

Beide rules staan dus op disabled, en zul je zelf moeten aanzetten op het moment dat je firewall rules compleet zijn. Mocht je een Mikrotik als enige router gebruiken, met bvb KPN Glasvezel, raad ik eigenlijk aan om een goede firewall samen te stellen voordat je de router in gebruik gaat nemen.

Ja alles staat nu default dicht dus zo erg is het niet du8s echt heel basic met nat maar dat kan natuurlijk beter ik zal je rules eens doornemen en kijken of ik die goed kan aanpassen naar mijn setup.

[Gusto]

Ook ik heb met behulp van het mikrotik-forum, een firewall ingericht, vergeet niet bij elke regel een commentaar te zetten (doel van de regel) en test deze!
P.S. ben me nog aan aan het inlezen op routeros (RouterOS by Example - Stephen Discher)

[FreshMaker]

Deze man maakt goede tutorials
( lang, maar wel interessant )

http://gregsowell.com/?page_id=951

Ben al wel aan het 'oefenen' met een VM en DEMO license, maar dat is toch het nét niet ...

Nog in onderzoek wat ik wil gaan aanschaffen, ik neig naar een 2011 & 951 ( als AP ) om het geheel in een keer dekkend te hebben thuis.

Ik baal als een jutezak, zoveel storingen ik nu heb op mijn houtje-touwtje netwerk.
In de loop der jaren opgezet, en zonder echt onderzoek elke keer maar uitgebreid.
Nu de boel maar eens grondig aanpakken, met patchpunten en aansluitpunten in de slaapkamers.
De bedoeling is dat ik 2 gescheiden netwerken krijg, waar de éne groep altijd via VPN online gaat, en de andere via de normale DSL verbinding.

- ik zag net dat er ook fallback mogelijk is, ik heb toegang tot het ziggo-wifi netwerk, wat dan als failover mag dienen ...
opties, opties ..... keuze's keuze's ...
Maar eens met de buurman om tafel zitten of hij ook zo'n mikrotik wil gaan gebruiken ...

[allure]

Ik heb een script op de DDNS bij No-ip current te houden, en dit script werkt prima.
Nou, ben ik NAT entry's aan het aanmaken en nu houd ik bij destination address het ip van mijn WAN aan.
Maar dan staat dit ip dus hard ingevuld, als ik een ander WAN adres krijg moet ik alle NAT entry's gaan wijzigen, dit is natuurlijk niet dynamisch.

Hoe doen jullie dit?

[FreshMaker]

allure schreef op vrijdag 04 juli 2014 @ 22:09:
Ik heb een script op de DDNS bij No-ip current te houden, en dit script werkt prima.
Nou, ben ik NAT entry's aan het aanmaken en nu houd ik bij destination address het ip van mijn WAN aan.
Maar dan staat dit ip dus hard ingevuld, als ik een ander WAN adres krijg moet ik alle NAT entry's gaan wijzigen, dit is natuurlijk niet dynamisch.

Hoe doen jullie dit?

Volgens mij moet je dan 0.0.0.0 aanhouden, de binding die je aan je WAN hebt gehangen.
De dynamische dns is een externe service, die jou opzoekt adh van het ge-update adres.

update wan -> no-ip -> hostname <- externe bezoeker ...

[allure]

Yes! Dat zocht ik.

Edit:
Nu verstoort een NAT entry het normale internet verkeer, ik kan niet meer browsen zodra deze rule enabled is. Het is een rule naar poort 80, dus dat is wel te rijmen opzich.

Je hebt dus een script nodig welke controleert of het WAN ip nog overeen komt met het adres ingevuld bij de dst.address, zo niet dan zal dat script het verkeerde ip vervangen voor de juiste.
Nope, geen IP neerzetten bij Dst. address, maar de WAN interface kiezen bij In. interface does the trick.

[ Voor 120% gewijzigd door allure op 05-07-2014 10:09 ]