[MikroTik-apparatuur] Ervaringen & Discussie

[Thralas]

WeaZuL schreef op donderdag 19 mei 2016 @ 16:07:
Interessant, nu zou het mogelijk moeten zijn om een standaard CRS config op te stellen, gebruik makende van de switch chip. Hier verschillende segmenten te definiëren, één voor IPTV en één voor LAN/WLAN. Vnvd maar eens aan gaan zitten, kijken of ik hier wat interessants van kan bakken.

Enige grote hiaat is dat KPN/Telfort & co. tegenwoordig TV routeert om zo extra services beschikbaar te maken. Dan schiet je niets op met aparte VLANs, en kun je het dus niet op de switchchip oplossen.

Verwijderd schreef op donderdag 19 mei 2016 @ 17:04:
Heb je hem van Interprojekt met UPS? Hoe snel had je hem binnen.

Twee werkdagen.

Mag ik vragen hoeveel er aan verzending, BTW en verdere kosten nog bijkwam?

Interprojekt rekent prijzen excl. 23% BTW, verzending kost 12,00 (eveneens excl.). Verdere kosten zijn er niet, Polen is een EU-land.

[WeaZuL]

Thralas schreef op donderdag 19 mei 2016 @ 18:49:
[...]


Enige grote hiaat is dat KPN/Telfort & co. tegenwoordig TV routeert om zo extra services beschikbaar te maken. Dan schiet je niets op met aparte VLANs, en kun je het dus niet op de switchchip oplossen.


[...]

Die begrijp ik niet, hoe kan het dan dat Tweaker BastiaanN het hier wel voor elkaar heeft gekregen? Ok, hij gebruikt niet de switchchip maar dat maakt in principe toch niet uit, of mis ik iets?

[enterz]

via interprojekt inderdaad. BTW in Polen is 23%. Import kosten zijn er niet (EU land)
13 mei eind van de middag besteld, via bank transfer m'n geld overgemaakt. (dag later bij hun binnen dus, met CC zou het er direct zijn, maar extra kosten en had net m'n CC opgezegd ivm hypotheek aanvraag)

Met UPS verzonden inderdaad, volgens mij voor Eur 13,50. Volgens track and trace hadden ze het gisteren willen afleveren, maar de trailer uit Duitsland had vertraging onderweg naar 1 van hun depots, dus is uiteindelijk vandaag geworden.

Heb goede vertrouwen in 't bedrijf al 2 maal eerder wat besteld, altijd snel geleverd. Ook met communicatie zijn ze vrij snel trouwens.

edit: Overigens zie je voordat je daadwerkelijk besteld de exacte kosten dus met BTW en transport

[ Voor 7% gewijzigd door enterz op 19-05-2016 19:31 ]

[Thralas]

WeaZuL schreef op donderdag 19 mei 2016 @ 19:26:
Die begrijp ik niet, hoe kan het dan dat Tweaker BastiaanN het hier wel voor elkaar heeft gekregen? Ok, hij gebruikt niet de switchchip maar dat maakt in principe toch niet uit, of mis ik iets?

Die opstelling (gerouteerd IPTV) kan dus niet met je VLANs enkel op de switchchip, dat was m'n punt.

Ik zie nu dat m'n post inderdaad niet geheel duidelijk was, ik doelde op de situatie waar je de STBs direct aan het IPTV VLAN bridged - dat kan wel met enkel de switchchip, maar is dus praktisch minder handig bij KPN/Telfort, etc.

[Verwijderd]

Interproject zijn goed, snel en betrouwbaar.

Gewoon geld overmaken op maandag ochtend, tegen eind van de week heb je het binnen. Soms zelfs donderdag al.... Dat is natuurlijk als zij het zelf ook op voorraad hebben.

[Verwijderd]

enterz schreef op donderdag 19 mei 2016 @ 19:28:
via interprojekt inderdaad. BTW in Polen is 23%. Import kosten zijn er niet (EU land)
13 mei eind van de middag besteld, via bank transfer m'n geld overgemaakt. (dag later bij hun binnen dus, met CC zou het er direct zijn, maar extra kosten en had net m'n CC opgezegd ivm hypotheek aanvraag)

Met UPS verzonden inderdaad, volgens mij voor Eur 13,50. Volgens track and trace hadden ze het gisteren willen afleveren, maar de trailer uit Duitsland had vertraging onderweg naar 1 van hun depots, dus is uiteindelijk vandaag geworden.

Heb goede vertrouwen in 't bedrijf al 2 maal eerder wat besteld, altijd snel geleverd. Ook met communicatie zijn ze vrij snel trouwens.

edit: Overigens zie je voordat je daadwerkelijk besteld de exacte kosten dus met BTW en transport

Bedankt voor de info. Wel een beetje raar dat ze een banner op de site zetten van Shipping promotion 19,50 Euros. Terwijl FedEx het voor 10,75 en UPS het voor 13,50 doet. Ze reken wel een hoge toeslag voor CC en Paypal. Betaal maar gewoon via de bank. Met IBAN is dat supersimpel.

[Verwijderd]

Thralas schreef op donderdag 19 mei 2016 @ 19:36:
[...]


Die opstelling (gerouteerd IPTV) kan dus niet met je VLANs enkel op de switchchip, dat was m'n punt.

Ik zie nu dat m'n post inderdaad niet geheel duidelijk was, ik doelde op de situatie waar je de STBs direct aan het IPTV VLAN bridged - dat kan wel met enkel de switchchip, maar is dus praktisch minder handig bij KPN/Telfort, etc.

Geldt dit ook bij XS4ALL?

[Verwijderd]

Die € 19,50 geldt voor een heel pallet.


Als jij 100 van die dingen gaat bestellen, dan gaat het via pallet vervoer.

[Verwijderd]

Net voor de middag een RB3011 en een wAP AC bested en via de bank besteld. Kreeg net een verzendbevesting en een "zending opgehaald" bericht van FedEx. Het blijkt dus als je een Eurobetaling doet bij de Rabo voor 15:00 deze dezelfde dag nog wordt verwerkt. Ik had het al voor 12:00 over gemaakt en was schijnbaar mooi op tijd of had gewoon geluk. Levering staat gepland voor dinsdag a.s.

[Verwijderd]

Ik heb een performance problemen met de hAP AC.

Ik heb een 40/4 abonnement welke op een Ubee modem router van Ziggo binnenkomt.

Hier zit een Asus router achter waar de hAP AC via eth1 op is aangesloten.

Sluit ik de kabel die in eth1 zit rechtstreeks op mijn laptop aan dan geeft speedtest netjes 40mbit down 4mbit up. Via de hAP AC krijg ik wireless op 2.4 GHz 4.66 en 3.57 mbit. Op 5 GHz krijg ik 30 en 3.7 mbit.
Schakel ik de radios van Asus router in dan krijg ik daarop zowel op 2.4 als 5 GHz 40/4 mbit.

Zit er nog een een foutje in de config van de hAP AC, er zit fw 3.30 op en RouterOS 6.35.

Wat zijn instellingen om te checken?

[Thralas]

Je kunt in Winbox onder Wireless > Registration dubbelklikken op een verbonden device, en dan de tabbladen 'Signal' en 'Statistics' bekijken.

Op het eerste tabblad zijn signal strength, CCQ en P-throughput interessant, op de tweede kun je exact zien wat de data rate, bandbreedte en antenneconfiguratie is (Tx/Rx rate).

Let er wel op dat je die waardes checkt bij belasting, anders is het aannemlijk dat een lagere rate wordt gebruikt tbv. power/airtime saving.

Ik neem aan dat je de hAP AC een ook zinnige radioconfig hebt meegegeven (i.e. 20 MHz op 2.4 GHz, 20/40/80 MHz op 5G) en al van kanalen hebt gewisseld?

Probeer het ook eens met een ander device aan de clientkant, om dat uit te sluiten.

[Verwijderd]

Ik heb 2.4 GHz op 20/40MHz Ce staan. Wat zijn eC en Ce eigenlijk? Dit is wlan1, daar ben ik mee verbonden.

Onder Registration zie ik 2 maal wlan1.
De eerste heft een Tx/Rx van 72.2 bij de ander zie ik 300 staan.

Bij een speedtest zie ik de Rx van 300 even naar 150 gaan, andere waardes blijven gelijk.

[allure]

C wil zeggen Center of channel en de e staat voor extention channel.

eC = 20/40MHz-ht-below
Ce = 20/40MHz-ht-above

Hoort bij ROS 6.35 niet firmware 3.33? Als je in Winbox op "system" klikt en vervolgens op "routerboard" kun je zien of er een nieuwere firmware beschikbaar is.

[ Voor 41% gewijzigd door allure op 21-05-2016 14:13 ]

[Verwijderd]

Na de update van de firmware, de router even rebooten, en een minuutje wachten. Anders wordt de firmware niet geactiveerd.

[zx9r_mario]

enterz schreef op donderdag 19 mei 2016 @ 19:28:
via interprojekt inderdaad. BTW in Polen is 23%. Import kosten zijn er niet (EU land)
13 mei eind van de middag besteld, via bank transfer m'n geld overgemaakt. (dag later bij hun binnen dus, met CC zou het er direct zijn, maar extra kosten en had net m'n CC opgezegd ivm hypotheek aanvraag)

Met UPS verzonden inderdaad, volgens mij voor Eur 13,50. Volgens track and trace hadden ze het gisteren willen afleveren, maar de trailer uit Duitsland had vertraging onderweg naar 1 van hun depots, dus is uiteindelijk vandaag geworden.

Heb goede vertrouwen in 't bedrijf al 2 maal eerder wat besteld, altijd snel geleverd. Ook met communicatie zijn ze vrij snel trouwens.

edit: Overigens zie je voordat je daadwerkelijk besteld de exacte kosten dus met BTW en transport

Ik heb 2 Hap lite routers bij hun besteld. 18 Mei s'avonds op naam van de zaak besteld (0% btw) en betaling via bank overschrijving gedaan. De 19e kreeg ik bericht dat de routers via UPS verzonden waren en komen maandag aan

Via Routershop had ik een CSR125 24 ports rackmount switch besteld. Deze ga ik gebruiken als kastswitch in het datacenter met vpn voor intern/management netwerk. Voorheen had ik nog nooit met een Mikrotik gewerkt, wel met andere bekende merken. Moet zeggen dat het instellen van een l2tp server een stuk sneller ging dan bij een Cisco of Zyxel USG firewall.

[ Voor 13% gewijzigd door zx9r_mario op 21-05-2016 17:43 ]

[Verwijderd]

Let wel, dat de routering van de CRS niet sterk is. Hij is meer bedoeld als L2 switch, met een beetje L3 functionaliteit. Maar de processor is zwak. Daarentegen doet hij switching met VLAN's op hardware (snelle) nivo.

De CCR nog wat... is beter heschikt voor routering. Je kan het ook eerst met een 2011 of 3011 proberen.... Maar ze de trunk op de SFP poort, en definieer de VLAN's op de switch chip. Deze werkt totaal anders dan bij de CRS.

[zx9r_mario]

De 3011 had net te weinig poorten, vandaar een CSR 24 ports.

Voor de servers doe ik alleen switching op 1GBit via de switching chip (public lan). De cpu gebruik ik alleen voor vpn & nat voor lokaal netwerk. De nat snelheid is ca 250 mbps

[ Voor 24% gewijzigd door zx9r_mario op 21-05-2016 21:46 ]

[Verwijderd]

klopt. Ik zit met hetzelfde probleem met de 2011.

Dan maar op Marktplaats een HP Procurve switch (24 poorts, managed, allemaal Gbit), en twee SFP poorten gekocht. Glasvezel module erin, andere glasvezel module in de RB2011, en klaar.

De 2011 routeert, de HP switched. Zoals het hoort....

[ Voor 10% gewijzigd door Verwijderd op 22-05-2016 00:09 ]

[zx9r_mario]

Heb de Hap Lite router binnen, NAT / firewall performance is ca 95mbps. Zeer netjes met 100MBit aansluiting.

Met L2TP vpn is de performance 10mbps en de cpu springt naar 90%

[Verwijderd]

Heb de RB3011 geinstalleerd en de hAP AC er als AP achter.

Als er nog 2 wAP ACs bijkomen, kunnen die dan seamless werken, zodat mijn iPad of laptop automatisch naar een andere AP overschakelt als er 1 buiten bereik is?

Is het zinvol om er een SFP module in te drukken en die dan als internet ingang te gebruiken. Moet er dan een en ander geconfigureert worden?

[nescafe]

Verwijderd schreef op woensdag 25 mei 2016 @ 17:05:
Als er nog 2 wAP ACs bijkomen, kunnen die dan seamless werken, zodat mijn iPad of laptop automatisch naar een andere AP overschakelt als er 1 buiten bereik is?

Nee, wel kun je de configuratie centraal managen met CAPsMAN.

Is het zinvol om er een SFP module in te drukken en die dan als internet ingang te gebruiken.

Dat is aan jezelf. Als je poorten tekort komt of je wilt een mediaconverter elimineren (of eigenlijk een extra voeding, een mediaconverter bevat ook gewoon een SFP-module) dan kan het zinvol zijn.

Anders zou ik het laten. De RB3011 heeft als nadeel dat de SFP-poort maar met één van beide cpu's is verbonden (zie block diagram). Met een beetje pech halveert je throughput.

Moet er dan een en ander geconfigureert worden?

Ja, overal waar je nu ether1 (of wat je uplink ook is) gebruikt zul je interface sfp1 moeten koppelen. Handig is om even een export te maken van je huidige config dan kun je zo terugvinden waar je ether1 allemaal hebt gebruikt.

[sebastiaanf]

Ik heb sinds enige tijd een Mikrotik RB2011 router die ik gebruik achter mijn ziggo modem (deze staat in bridge). Ik gebruik de WiFi niet van deze Mikrotik en heb verder geen exotische netwerk setup thuis. Ondanks dat ik geen echte netwerk skills heb is het me gelukt om alles te configureren. Echter zou ik het fijn vinden als iemand met wat meer skills eens een kijkje zou willen nemen naar mijn config. In het bijzonder de firewall rules. Ik heb nl het idee dat de ip adressen van bruteforcers via ftp/ssh niet toegevoegd worden aan de blacklist, terwijl dit wel mijn beoeling is. Als ik in mijn logs kijk zie ik soms wel 20 login failures achter elkaar van 1 ip-adres. Hier mijn config:

# may/25/2016 20:51:42 by RouterOS 6.34.2
# software id = SIWB-XPXH
#
/interface bridge
add name=bridge1
/interface ethernet
set [ find default-name=ether1 ] comment=WAN
set [ find default-name=ether2 ] comment=\
"LAN - Ports 2/3/4/5 are switched off ether2"
set [ find default-name=ether3 ] master-port=ether2
set [ find default-name=ether4 ] master-port=ether2
set [ find default-name=ether5 ] master-port=ether2
set [ find default-name=ether6 ] comment=\
"LAN - Ports 6/7/8/9/10 are switched off ether6"
set [ find default-name=ether7 ] master-port=ether6
set [ find default-name=ether8 ] master-port=ether6
set [ find default-name=ether9 ] master-port=ether6
set [ find default-name=ether10 ] master-port=ether6
set [ find default-name=sfp1 ] disabled=yes
/ip neighbor discovery
set ether1 comment=WAN
set ether2 comment="LAN - Ports 2/3/4/5 are switched off ether2"
set ether6 comment="LAN - Ports 6/7/8/9/10 are switched off ether6"
/interface ethernet switch port
set 6 vlan-mode=fallback
set 7 vlan-mode=fallback
set 8 vlan-mode=fallback
set 9 vlan-mode=fallback
set 10 vlan-mode=fallback
set 12 vlan-mode=fallback
/interface wireless security-profiles
add authentication-types=wpa-psk,wpa2-psk eap-methods="" management-protection=\
allowed mode=dynamic-keys name=WPA2 supplicant-identity="" \
wpa-pre-shared-key=******* wpa2-pre-shared-key=*******
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-Ce \
dfs-mode=no-radar-detect frequency=2432 hide-ssid=yes mode=ap-bridge \
security-profile=WPA2 ssid="*******" wireless-protocol=802.11
/ip ipsec proposal
set [ find default=yes ] enc-algorithms=aes-128-cbc
/ip pool
add name=dhcp_pool1 ranges=10.0.0.11-10.0.0.254
/ip dhcp-server
add address-pool=dhcp_pool1 disabled=no interface=bridge1 lease-time=3d name=\
dhcp1
/interface bridge port
add bridge=bridge1 interface=ether2
add bridge=bridge1 interface=wlan1
add bridge=bridge1 interface=ether6
/ip address
add address=10.0.0.1/24 comment="LAN IP subnet" interface=bridge1 network=\
10.0.0.0
/ip dhcp-client
add default-route-distance=0 dhcp-options=hostname,clientid disabled=no \
interface=ether1
/ip dhcp-server network
add address=10.0.0.0/24 dns-server=10.0.0.1 gateway=10.0.0.1
/ip dns
set allow-remote-requests=yes servers=208.67.222.222,208.67.220.220
/ip firewall address-list
add address=10.0.0.0/24 list=OurLocalLAN
/ip firewall filter
add chain=input comment=\
"Allow access to the router from the LAN using address list"
add action=drop chain=forward comment="Drop invalid connections" \
connection-state=invalid
add chain=forward comment="Allow connections from the LAN" connection-state=new \
in-interface=bridge1
add chain=forward comment="Allow established connections" connection-state=\
established
add chain=forward comment="Allow related connections" connection-state=related
add action=drop chain=forward comment=\
"Drop all other traffic through the router"
add chain=input comment="Allow established connections to the router" \
connection-state=established
add chain=input comment="Allow related connections to the router" \
connection-state=related
add action=drop chain=input comment="Drop all other traffic to the router"
add action=drop chain=input comment="drop ftp brute forcers" dst-port=21 \
protocol=tcp src-address-list=ftp_blacklist
add chain=output content="530 Login incorrect" dst-limit=1/1m,9,dst-address/1m \
protocol=tcp
add action=add-dst-to-address-list address-list=ftp_blacklist \
address-list-timeout=3h chain=output content="530 Login incorrect" \
protocol=tcp
add action=drop chain=input comment="drop ssh brute forcers" dst-port=22 \
protocol=tcp src-address-list=ssh_blacklist
add action=add-src-to-address-list address-list=ssh_blacklist \
address-list-timeout=1w3d chain=input connection-state=new dst-port=22 \
protocol=tcp src-address-list=ssh_stage3
add action=add-src-to-address-list address-list=ssh_stage3 \
address-list-timeout=1m chain=input connection-state=new dst-port=22 \
protocol=tcp src-address-list=ssh_stage2
add action=add-src-to-address-list address-list=ssh_stage2 \
address-list-timeout=1m chain=input connection-state=new dst-port=22 \
protocol=tcp src-address-list=ssh_stage1
add action=add-src-to-address-list address-list=ssh_stage1 \
address-list-timeout=1m chain=input connection-state=new dst-port=22 \
protocol=tcp
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1
/system clock
set time-zone-name=Europe/Amsterdam
/system ntp client
set enabled=yes primary-ntp=193.78.240.12 secondary-ntp=193.79.237.14

[nescafe]

sebastiaanf schreef op woensdag 25 mei 2016 @ 21:17:
Hier mijn config:

code:

/ip firewall filter
add chain=input comment=\
"Allow access to the router from the LAN using address list"

Je eerste regel laat alle traffic al toe; er is dus inderdaad geen reden om verdere filtering toe te passen

(Je bent address-list, address mask en/of interface vergeten)


Kijk daarnaast even goed naar de volgorde van statements.

code:

add action=drop chain=input comment="Drop all other traffic to the router"

Door deze regel zal alles gedropt worden, regels op je input chain na deze regel hebben dan geen nut meer.

Opmerkingen:
- je hebt je WiFi niet gedisabled maar de SSID verborgen (weet niet of dat de bedoeling is geweest?)
- je hebt geen fasttrack toegepast, kan nogal schelen in de performance
- als je gaat tweaken in je firewall rules, zet je RB dan even in safe mode (en/of connect via MAC) zodat de config wordt teruggedraaid als je jezelf buitensluit

[Zapp-it]

code:

/ip dns
 set allow-remote-requests=yes servers=208.67.222.222,208.67.220.220
 /ip firewall address-list

Die zou ik maar op set allow-remote-requests=no zetten, goede kans dat je anders een abuse krijgt, i.i.g. wel bij XS4ALL

[zx9r_mario]

Ik heb een vreemd probleem met dhcp en connectiviteit op een CRS125-24.

Ik heb een vlan aangemaakt met dhcp. Hier zitten ipmi's op. Als ik een windows laptop aansluit op de switch / vlan 10 kan ik de ipmi's en router pingen vanuit windows. Vanuit de router kan ik wel de windows laptop pingen, maar de ipmi's niet vreemd genoeg.

Daarna heb ik op de dhcp server het macadres van een ipmi ingesteld, maar de ipmi krijgt geen ipadres. In log de zie ik: dhcp1 offerering release 192.168.123.96 for 00:xx:xx:xx:xx without success. De windows laptop krijgt wel een ipadres.

[nescafe]

Zapp-it schreef op donderdag 26 mei 2016 @ 11:57:
[...]


Die zou ik maar op set allow-remote-requests=no zetten, goede kans dat je anders een abuse krijgt, i.i.g. wel bij XS4ALL

Uh, niet echt. Met een onvoorwaardelijke drop op je input chain is dat gevaar geweken. Verder wordt de DNS-server intern gewoon gebruikt ('allow-remote-requests' moet voor je LAN aangevinkt zijn).

code:

/ip dhcp-server network
add address=10.0.0.0/24 dns-server=10.0.0.1 gateway=10.0.0.1
#                       ^^^^^^^^^^^^^^^^^^^

[Zapp-it]

nescafe schreef op donderdag 26 mei 2016 @ 12:42:
[...]

Uh, niet echt. Met een onvoorwaardelijke drop op je input chain is dat gevaar geweken. Verder wordt de DNS-server intern gewoon gebruikt ('allow-remote-requests' moet voor je LAN aangevinkt zijn).

code:

/ip dhcp-server network
add address=10.0.0.0/24 dns-server=10.0.0.1 gateway=10.0.0.1
#                       ^^^^^^^^^^^^^^^^^^^

Yups, je hebt gelijk die regel had ik gemist, maar goed ik ben meer van de "paranoide" instellingen

[Verwijderd]

Is de default firewall config van de RB3011 al redelijk safe? Of moet er nog veel aan toegevoegd worden?

Zijn er ergens voorbeeld configs te vinden.

[Kanter]

Zo van de week de CCR1009-8G-1S-1S+PC binnengekregen Van het weekend eens mee spelen

[Verwijderd]

Ik heb iets raars met een Omnitik. Deze staat in verweggistan en werkt als een access point, en belt in bij mij in NL met een PPTP tunnel. Ik kan ook de Omnitik pingen (vanuit NL) en met Winbox erin komen.

Echter, ik kan bijna geen enkele host achter de Omnitik pingen (dus ook niet de router van de ADSL daar). Alle poorten van de Omnitik zijn in bridge, en alle apparaten zitten in dezelfde subnet.

Wat wel raar is, dat als ik ping VANUIT de Omnitik, dat de ping wél werkt (bv. ping 192.168.5.1 = ADSL modem), maar vanuit NL dus niet. Het lijkt erop dat de Omnitik een soort "eindpunt" is.

Ook raar, dat ik de twee switches RB260GS waarmee de Omnitik verbonden is wél kan pingen. Maar geen enkel ander apparaat.

Wat kan hier fout staan? Routes waarschijnlijk niet, want ik kan er gewoon komen en NAT staat als masquarade.

[rohaantje]

Verwijderd schreef op donderdag 26 mei 2016 @ 15:50:
Ik heb iets raars met een Omnitik. Deze staat in verweggistan en werkt als een access point, en belt in bij mij in NL met een PPTP tunnel. Ik kan ook de Omnitik pingen (vanuit NL) en met Winbox erin komen.

Echter, ik kan bijna geen enkele host achter de Omnitik pingen (dus ook niet de router van de ADSL daar). Alle poorten van de Omnitik zijn in bridge, en alle apparaten zitten in dezelfde subnet.

Wat wel raar is, dat als ik ping VANUIT de Omnitik, dat de ping wél werkt (bv. ping 192.168.5.1 = ADSL modem), maar vanuit NL dus niet. Het lijkt erop dat de Omnitik een soort "eindpunt" is.

Ook raar, dat ik de twee switches RB260GS waarmee de Omnitik verbonden is wél kan pingen. Maar geen enkel ander apparaat.

Wat kan hier fout staan? Routes waarschijnlijk niet, want ik kan er gewoon komen en NAT staat als masquarade.

Heb je de ping vanuit de omnitik al gedaan met verschillende interfaces? dus vanuit een 'interne' interface of vanuit de wan interface. daarmee zou je kunnen bepalen of het aan de nat ligt.

[Verwijderd]

Nou, de Omnitik heeft geen "wan" interface. Maar vanuit de Omnitik is er geen probleem. Het is vanuit Nederland niet mogelijk.

Schets:

NL --------------------------------------------------verweggistan
192.168.1.0/24 -----PPTP tunnel ----- 192.168.5.243/24 Omnitik---RB260GS---fibre---RB260GS--switch---ADSL modem

Aan die switch hangen 3 AP's van Ubiquity, WiFi controller, VOIP ATA en nog veel andere rommel.

De RB260 kan ik met webpage gewoon benaderen vanuit NL. ook de Omnitik met Winbox alsook Webfig. De rest van het netwerk pingt NIET vanuit NL, wél vanuit de Omnitik.

Raar?

[ Voor 8% gewijzigd door Verwijderd op 26-05-2016 16:18 ]

[Verwijderd]

Ik probeer RouterOS op mijn wAP AC te upgraden, maar krijd de melding: ERROR, could not resolve DNS name. Wat kan hier fout zijn?

Ik heb op dezelfde manier wel de RB3011 en hAP AC kunnen updaten.

[Verwijderd]

Kijk eens bij IP --> DNS. En vul daar de DNS van je provider in. Als je die niet weet, kan je ook 8.8.8.8 en 8.8.4.4 invullen. Werkt ook goed.

Je kan ook de files van RouterOS slepen naar "files" in Winbox. Daarna rebooten, en klaar. Handig als je alleen via MAC naar binnen kan.

[ Voor 8% gewijzigd door Verwijderd op 26-05-2016 16:29 ]

[Verwijderd]

Verwijderd schreef op donderdag 26 mei 2016 @ 16:28:
Kijk eens bij IP --> DNS. En vul daar de DNS van je provider in. Als je die niet weet, kan je ook 8.8.8.8 en 8.8.4.4 invullen. Werkt ook goed.

Je kan ook de files van RouterOS slepen naar "files" in Winbox. Daarna rebooten, en klaar. Handig als je alleen via MAC naar binnen kan.

Bij IP==DNS kan ik niks invullen. Het vakje Dynamic servers is leeg en grijs. Ook daar kan ik niks invullen. Bij de hAP AC staan daar mijn gateway en 2 DNS Adressen.

[nescafe]

Verwijderd schreef op donderdag 26 mei 2016 @ 17:26:
[...]


Bij IP==DNS kan ik niks invullen. Het vakje Dynamic servers is leeg en grijs. Ook daar kan ik niks invullen. Bij de hAP AC staan daar mijn gateway en 2 DNS Adressen.

Al geprobeerd om wat rond te klikken in dit scherm? Je kunt er echt static DNS-servers opgeven hoor
En als het met winbox niet lukt, wellicht wel via de CLI (IP/DNS)..

[_Hades_]

Verwijderd schreef op vrijdag 20 mei 2016 @ 20:10:
Ik heb een performance problemen met de hAP AC.

Ik heb een 40/4 abonnement welke op een Ubee modem router van Ziggo binnenkomt.

Hier zit een Asus router achter waar de hAP AC via eth1 op is aangesloten.

Sluit ik de kabel die in eth1 zit rechtstreeks op mijn laptop aan dan geeft speedtest netjes 40mbit down 4mbit up. Via de hAP AC krijg ik wireless op 2.4 GHz 4.66 en 3.57 mbit. Op 5 GHz krijg ik 30 en 3.7 mbit.
Schakel ik de radios van Asus router in dan krijg ik daarop zowel op 2.4 als 5 GHz 40/4 mbit.

Zit er nog een een foutje in de config van de hAP AC, er zit fw 3.30 op en RouterOS 6.35.

Wat zijn instellingen om te checken?

Heb je dit toevallig nog op kunnen lossen? Ik heb exact hetzelfde probleem met de hap ac. 5ghz werkt perfect, maar 2,4 is echt om te huilen. Bijvoorbeeld mijn tablet (heb met diverse apparaten getest en allemaal eigenlijk hetzelfde verhaal) connecteert op:

Tx Rate 130Mbps-20MHz/2S
Rx Rate 130Mbps-20MHz/2S
Tx Rate Set CCK:1-11 OFDM:6-54 BW:1x HT:0-15

Speedtest komt niet hoger dan 5mbit down en 3 . En tevens valt de verbinding vaak weg zelfs (internetverbinding is 50/50. Op 5ghz haal ik de max snelheid hiervan).

Ik heb een aantal mikrotik apparaten in een capsman configuratie, waarvan de hap ac de manager is, en de wifi interfaces gekoppeld zitten hieraan. Ik zit met deze interface op een vrij wifikanaal. Verder eigenlijk een vrij basis configuratie, kanaal, ssid/datapad en security (via capsman zijn immers niet echt veel custom settings in te stellen).

[ Voor 11% gewijzigd door _Hades_ op 28-05-2016 21:50 ]

[Verwijderd]

_Hades_ schreef op zaterdag 28 mei 2016 @ 21:44:
[...]


Heb je dit toevallig nog op kunnen lossen? Ik heb exact hetzelfde probleem met de hap ac. 5ghz werkt perfect, maar 2,4 is echt om te huilen. Bijvoorbeeld mijn tablet (heb met diverse apparaten getest en allemaal eigenlijk hetzelfde verhaal) connecteert op:

Tx Rate 130Mbps-20MHz/2S
Rx Rate 130Mbps-20MHz/2S
Tx Rate Set CCK:1-11 OFDM:6-54 BW:1x HT:0-15

Speedtest komt niet hoger dan 5mbit down en 3 . En tevens valt de verbinding vaak weg zelfs (internetverbinding is 50/50. Op 5ghz haal ik de max snelheid hiervan).

Ik heb een aantal mikrotik apparaten in een capsman configuratie, waarvan de hap ac de manager is, en de wifi interfaces gekoppeld zitten hieraan. Ik zit met deze interface op een vrij wifikanaal. Verder eigenlijk een vrij basis configuratie, kanaal, ssid/datapad en security (via capsman zijn immers niet echt veel custom settings in te stellen).

Ik heb vooral de raadgevingen van Thralas opgevolgd:

"Je kunt in Winbox onder Wireless > Registration dubbelklikken op een verbonden device, en dan de tabbladen 'Signal' en 'Statistics' bekijken.

Op het eerste tabblad zijn signal strength, CCQ en P-throughput interessant, op de tweede kun je exact zien wat de data rate, bandbreedte en antenneconfiguratie is (Tx/Rx rate).

Let er wel op dat je die waardes checkt bij belasting, anders is het aannemlijk dat een lagere rate wordt gebruikt tbv. power/airtime saving.

Ik neem aan dat je de hAP AC een ook zinnige radioconfig hebt meegegeven (i.e. 20 MHz op 2.4 GHz, 20/40/80 MHz op 5G) en al van kanalen hebt gewisseld?

Probeer het ook eens met een ander device aan de clientkant, om dat uit te sluiten"

Met name de laatste regels. Toen was het al een stuk beter.

[Verwijderd]

Een hAP AC en wAP AC zijn beide als AP op een RB3011 aangesloten op de RB3011 is ook een Gigabit switch aangesloten waar een Qnap NAS en unraid server zijn aangesloten. Mij Win10 laptop met Intel 7260AC connect volgens Win 10 met 866 Mbs.

File transfers naar NAS en unraid server gaan erg langzaam met maximal 4MB/s. Hoe kan ik checken waar de bottleneck zit en hoe is dit te verbeteren? Verbinden met de andere AP maakt niets uit.

[Thralas]

Dat is wel een beetje debugging 101. Genoeg zaken die je uit kunt sluiten om zo dichter tot de oorzaak te komen, je had er minstens 3 zelf kunnen bedenken uit onderstaande lijst:

- WiFi vs. bedraad
- Andere devices aan weerszijden
- ipv. met file transfers testen iperf gebruiken
- De keten verkorten (hang de NAS aan de hAP)

[_Hades_]

Verwijderd schreef op zaterdag 28 mei 2016 @ 21:56:
[...]


Ik heb vooral de raadgevingen van Thralas opgevolgd:

"Je kunt in Winbox onder Wireless > Registration dubbelklikken op een verbonden device, en dan de tabbladen 'Signal' en 'Statistics' bekijken.

Op het eerste tabblad zijn signal strength, CCQ en P-throughput interessant, op de tweede kun je exact zien wat de data rate, bandbreedte en antenneconfiguratie is (Tx/Rx rate).

Let er wel op dat je die waardes checkt bij belasting, anders is het aannemlijk dat een lagere rate wordt gebruikt tbv. power/airtime saving.

Ik neem aan dat je de hAP AC een ook zinnige radioconfig hebt meegegeven (i.e. 20 MHz op 2.4 GHz, 20/40/80 MHz op 5G) en al van kanalen hebt gewisseld?

Probeer het ook eens met een ander device aan de clientkant, om dat uit te sluiten"

Met name de laatste regels. Toen was het al een stuk beter.

Tnx dat helpt inderdaad een heel stuk in stabiliteit en snelheid. Wel vreemd dat je de 5ghz zowat op default kunt laten staan en al goede snelheden haalt en 2.4 na een hoop gepiel pas lekker werkt :-).. maargoed

[Petervanakelyen]

De 2.4GHz band zit tjokvol en met een kanaalbreedte van 40MHz gebruik je zowat de hele band. Tenzij je in een hutje op de hei woont zonder buren in de nabije 10km gebruik je i.v.m. interferentie beter een kanaalbreedte van 20MHz.

[WeaZuL]

Ik heb een MT CRS125-24G-15-2HND switch en wil vanwege dikke betonnen muren in ons nieuwbouwhuis een Wireless access point installeren op de eerste verdieping. Nou lees ik allerlei halleluja berichten over Ubiquiti AP´s qua ontvangst en bereik. Echter zou ik graag een Mikrotik variant AP willen implementeren welke 2.4 (N) en 5Ghz (AC) signaal plus roaming tussen de CRS en AP ondersteunt, te managen middels CAPsMAN?!. Welke AP raden jullie hiervoor aan, ik ben namelijk niet bekend met het Mikrotik AP aanbod.

Of is het verstandiger, als ik zo bovenstaande verhalen lees, om alsnog over te gaan op een Ubiquiti AP?

[ Voor 9% gewijzigd door WeaZuL op 03-06-2016 12:04 ]

[Thralas]

WeaZuL schreef op vrijdag 03 juni 2016 @ 11:57:
Welke AP raden jullie hiervoor aan, ik ben namelijk niet bekend met het Mikrotik AP aanbod.

MikroTik heeft pas sinds dit jaar dualband APs in hun assortiment. Klik en concludeer dat er maar 2 opties zijn, de hAP AC en de wAP AC - en als je de routerfunctionaliteit niet nodig hebt kom je al snel bij laatstgenoemde uit.

Of is het verstandiger, als ik zo bovenstaande verhalen lees, om alsnog over te gaan op een Ubiquiti AP?

Ik lees met name user error in bovenstaande verhalen (40 MHz kanaalbreedte op 2.4 GHz). Qua prestaties is er volgens mij niet zoveel verschil, zeker in een thuissituatie. De MikroTik heeft 3x3 AC op papier (vs. 2x2 van gelijkgeprijsde Unifi AC lite), maar of je daar werkelijk gebruik van kunt maken is maar de vraag wmb.

Moet ik wel zeggen dat ik geen ervaring heb met AP roaming, noch met Ubiquiti, noch CAPsMAN.

[Kadettilac]

Is het mogelijk om CAPsMAN op en WAP AC te installeren? En dan bedoel ik de server versie, niet de client, zodat 1 AP de andere managed bij een installatie van 2. In de wiki van CAPsMAN staat dat 'any device running RouterOS with a level 4 license' CAPsMAN kan draaien, maar er wordt niet gespecificeerd dat de server versie ook op een AP kan, alleen op routers.

Context van de vraag: Hier thuis is Vodafone glas met de gebrande Draytek en ik wil graag t wifi verbeteren. Na op het punt gestaan te hebben UBNT spul (2x AP AC lite of pro) te bestellen kwam ik Mikrotik tegen. De WAP AC laat zich nog het beste vergelijken met de Ubiquiti AP AC Pro (POE 48V, 3x3 AC, zelfs weather proof (al heeft dat in mn keuken weinig zin)) voor 2/3 van de prijs met CAPsMAn dat niet op een aparte machine hoeft te draaien (in tegenstelling tot de Unifi controller). Klinkt als win-win, maar wellicht zie ik wat over het hoofd.

De bedoeling is om t spul op een gs-1900 24hp Zyxel managed poe switch aan te sluiten want ik heb een paar poe camera's en de Draytek doet (max 4) vlans dus dat kan t geheel aansturen.

[Thralas]

Kadettilac schreef op maandag 06 juni 2016 @ 21:29:
In de wiki van CAPsMAN staat dat 'any device running RouterOS with a level 4 license' CAPsMAN kan draaien, maar er wordt niet gespecificeerd dat de server versie ook op een AP kan, alleen op routers.

Zover ik weet zijn de license levels inderdaad het enige onderscheid dat MikroTik maakt.

Dus ja, dan kun je inderdaad een wAP tot manager maken.

Disclaimer: geen concrete ervaring mee

[Kadettilac]

Thanks, wellicht check ik dat nog even op t forum van MikroTik maar t lijkt me ook.

Overigens kijk ik nu naar een CRS125 als router en switch om t geheel af te maken, dan kan de Draytek van Vodafone met pensioen en kan CAPsMAN op de CRS125. Jammer alleen dat ie geen POE doet, verder lijkt het de ideale optie voor m'n netwerk.

[ Voor 0% gewijzigd door Kadettilac op 09-06-2016 20:50 . Reden: typo ]

[Freekers]

Ik heb nu een kleine week m'n MikroTik hAP AC in bezit en twijfel of ik niet iets gekocht heb wat me boven de pet gaat. Ik probeer nu al een paar uur een simpele poort te forwarden maar zelfs dat wil niet lukken. Ik gebruik voor het gemak Winbox en heb verschillende tutorials gevolgd, deze vond ikzelf het duidelijkste: http://www.icafemenu.com/...rd-in-mikrotik-router.htm
Ik probeer de poort van de webinterface van mijn NAS (poort 1337 ) te forwarden zodat hij ook van buitenaf te bereiken is. Als ik dat doe zoals omschreven in die tutorial werkt het niet. Ik zie het aantal pakketjes wel wat toenemen, maar ik krijg toch een timeout.
Mijn Mikrotik staat achter mijn Ziggo Modemrouter waarbij de Ziggo modemrouter een DMZ heeft naar de Mikrotik. Mijn Mikrotik staat via Quickset ingesteld op Home AP Dual. Zie ik iets over het hoofd?

Verwijderd schreef op zaterdag 28 mei 2016 @ 21:56:
Ik neem aan dat je de hAP AC een ook zinnige radioconfig hebt meegegeven (i.e. 20 MHz op 2.4 GHz, 20/40/80 MHz op 5G) en al van kanalen hebt gewisseld?.

Welke van de 20/40/80Mhz settings raad je aan m.b.t. Ceee, eCeee etc?

Verwijderd schreef op donderdag 26 mei 2016 @ 13:14:
Is de default firewall config van de RB3011 al redelijk safe? Of moet er nog veel aan toegevoegd worden?

Zijn er ergens voorbeeld configs te vinden.

Dat is ook mijn vraag, kan iemand hier iets over vertellen?

[Thralas]

Freekers schreef op maandag 13 juni 2016 @ 13:40:
Ik zie het aantal pakketjes wel wat toenemen, maar ik krijg toch een timeout.

Dat is altijd een snelle manier om te controleren of je regel werkt. Dat doet 'ie dus.

Zie ik iets over het hoofd?

Volgens mij bevat de default firewall ruleset een regel om dstnat'ed traffic op de FORWARD chain toe te staan, maar check ook daar of je pakketjes niet sneuvelen. Maak waar nodig gebruik van LOG regels om je firewall te debuggen.

Een andere mogelijke catch is afhankelijk van hoe je de NAS denkt te kunnen benaderen, of dat momenteel probeert. Moet het ook vanaf je LAN werken als je het (externe) IP-adres gebruikt? Dan moet je een 'hairpin NAT'-regel toevoegen - zie de MikroTik-wiki.

Als je er nog niet uitkomt, post dan even je config, dan kunnen we meekijken.

Dat is ook mijn vraag, kan iemand hier iets over vertellen?

nescafe in "\[Ervaringen/discussie] MikroTik-apparatuur"
Thralas in "\[Ervaringen/discussie] MikroTik-apparatuur"

En zie de omliggende reacties voor wat handige tips mbt. firewalling.

[LightStar]

Thralas schreef op vrijdag 03 juni 2016 @ 12:32:
[...]


MikroTik heeft pas sinds dit jaar dualband APs in hun assortiment. Klik en concludeer dat er maar 2 opties zijn, de hAP AC en de wAP AC - en als je de routerfunctionaliteit niet nodig hebt kom je al snel bij laatstgenoemde uit

Die website iemand daar ervaring mee? prijzen zijn opzich wel intressant.

[Freekers]

Thralas schreef op maandag 13 juni 2016 @ 18:20:
Volgens mij bevat de default firewall ruleset een regel om dstnat'ed traffic op de FORWARD chain toe te staan, maar check ook daar of je pakketjes niet sneuvelen. Maak waar nodig gebruik van LOG regels om je firewall te debuggen.

Een andere mogelijke catch is afhankelijk van hoe je de NAS denkt te kunnen benaderen, of dat momenteel probeert. Moet het ook vanaf je LAN werken als je het (externe) IP-adres gebruikt? Dan moet je een 'hairpin NAT'-regel toevoegen - zie de MikroTik-wiki.

Als je er nog niet uitkomt, post dan even je config, dan kunnen we meekijken.

Bedankt voor je reactie

Er zit (volgens mij) idd een standaard regel om dstnat'ed traffic op de FORWARD chain toe te staan.
Ik heb de logging op mijn custom firewall rule ingeschakeld, met het volgende resultaat:

Hij ziet hem/het request dus wel binnenkomen..

Hieronder mijn config, is dit zo voldoende?

code:

[admin@MikroTik] > /ip address print detail
Flags: X - disabled, I - invalid, D - dynamic 
 0   ;;; Mikrotik LAN
     address=192.168.88.1/24 network=192.168.88.0 interface=ether2-master 
     actual-interface=bridge 

 1   ;;; Ziggo WAN
     address=192.168.0.200/24 network=192.168.0.0 interface=ether1 
     actual-interface=ether1 




[admin@MikroTik] > /ip route print detail 
Flags: X - disabled, A - active, D - dynamic, 
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
 0 A S  dst-address=0.0.0.0/0 gateway=192.168.0.1 
        gateway-status=192.168.0.1 reachable via  ether1 distance=1 scope=30 
        target-scope=10 

 1 ADC  dst-address=192.168.0.0/24 pref-src=192.168.0.200 gateway=ether1 
        gateway-status=ether1 reachable distance=0 scope=10 

 2 ADC  dst-address=192.168.88.0/24 pref-src=192.168.88.1 gateway=bridge 
        gateway-status=bridge reachable distance=0 scope=10 




[admin@MikroTik] > /ip firewall export 
# jun/14/2016 00:05:44 by RouterOS 6.35.2
# software id = X1KZ-JYM0
#
/ip firewall filter
add chain=input comment="defconf: accept ICMP" protocol=icmp
add chain=input comment="defconf: accept establieshed,related" \
    connection-state=established,related
add action=drop chain=input comment="defconf: drop all from WAN" in-interface=\
    ether1
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add chain=forward comment="defconf: accept established,related" \
    connection-state=established,related
add action=drop chain=forward comment="defconf: drop invalid" connection-state=\
    invalid
add action=drop chain=forward comment=\
    "defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface=ether1
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" out-interface=\
    ether1
add action=dst-nat chain=dstnat dst-port=1-65535 in-interface=ether1 protocol=\
    tcp to-addresses=192.168.88.123 to-ports=1-65535

De wiki van de hairpin is me nog niet helemaal duidelijk, die zal ik morgen nogmaals opnieuw lezen. Momenteel probeer ik via 4G, dus niet via mijn eigen WiFi netwerk, mijn NAS te bereiken.

Hartelijk dank!

[allure]

Ik zou even beginnen door je "drop" rules in je firewall even uit te zetten en zien wat er dan gebeurd...

[The Fatal]

Verwijderd schreef op donderdag 26 mei 2016 @ 16:12:
Nou, de Omnitik heeft geen "wan" interface. Maar vanuit de Omnitik is er geen probleem. Het is vanuit Nederland niet mogelijk.

Schets:

NL --------------------------------------------------verweggistan
192.168.1.0/24 -----PPTP tunnel ----- 192.168.5.243/24 Omnitik---RB260GS---fibre---RB260GS--switch---ADSL modem

Aan die switch hangen 3 AP's van Ubiquity, WiFi controller, VOIP ATA en nog veel andere rommel.

De RB260 kan ik met webpage gewoon benaderen vanuit NL. ook de Omnitik met Winbox alsook Webfig. De rest van het netwerk pingt NIET vanuit NL, wél vanuit de Omnitik.

Raar?

Dit al opgelost?

Klinkt namelijk als een route probleem of een masquarate route.

[Verwijderd]

nee, helaas niet.

De Mikrotik staat als een AP ingesteld, en onderhoudt alleen een VPN naar Nederland. Alle poorten zitten in de bridge, en ik kan ook de RB260 GS die erachter hangt wel bereiken (zowel met ping als met web). Er zijn geen NAT regels, en geen masquerade. Alles zit in één subnet. Anders zou ik ook de RB260 niet kunnen bereiken (zij hebben een vast IP).

Let wel: PING werkt wel vanuit de Mikrotik naar bv de modem (192.168.5.1). Vanuit huis (windows PC) werkt de ping VOORBIJ de RB260 dus niet! De Omnitik houdt het dus niet tegen.....

[maarud]

Dat de ping vanuit de Mikrotik werkt is nogal logisch, want die zit immers in het 192.168.5.0 netwerk. Jouw PC niet, tenzij hij ook een 192.168.5.x adres krijgt.

Je moet dus nog een route zien te krijgen zodat jouw PC weet dat hij voor het 192.168.5.0 netwerk bij de Mikrotik moet zijn.

Ik heb alleen PPTP verworpen i.v.m. de veiligheid, met OpenVPN heb je de keus uit tun en tap waarbij de één echt is alsof je in het netwerk zelf zit, misschien is dat wat?

[Verwijderd]

Maar ik kan vanuit mijn huis wél de Mikrotik bereiken, en de twee RB260 die erachter zitten.

Omnitik 192.168.5.243
RB260 GS: 192.168.5.240
RB260 GS: 192.168.5.241

Deze zijn bereikbaar. Zowel ping als web vanuit Nederland!

De rest (bv 192.168.5.1 = modem) niet. Ook de AP's van Ubiquity die op xxx.6 xxx.4 en xxx.5 zitten niet


Hoe kan dat?

[The Fatal]

Probeer eens een srcnat met als out interface de pptp adapter/verbinding.
En dan action masquarate

Voeg een handmatige route toe met destination ip via gateway van de pptp. BV
192.168.5.0/24 via 10.10.10.0

Zo heb ik bij mij een soort gelijk probleem opgelost

[Verwijderd]

Helaas. Werkt ook niet.

Op zich werkt NAT wel goed. Want ik kan gewoon met http op de Imnitik komen, de RB260 config doen etc.... Maar het lijkt dat er ook alleen maar deze drie IP's werken (.243 van de Omnitik en .240 en .241 van de RB260GS. De rest werkt NIET. Maar weer wel met een ping vanuit de Omnitik.....

[The Fatal]

Kan je loggen of monitoren of de Ping vanuit nl wel bij de omnitik uit komt?
Dan kan je hopelijk zien wat er mee gebeurd.

[Freekers]

allure schreef op dinsdag 14 juni 2016 @ 08:08:
Ik zou even beginnen door je "drop" rules in je firewall even uit te zetten en zien wat er dan gebeurd...

Ik heb alle 'drop' rules uitgezet maar dat maakt helaas geen verschil
Hoe kan ik dit probleem nog verder troubleshooten? Ik snap ook niet zo goed waarom het niet werkt, aangezien elke tutorial die ik vind een poort op dezelfde manier forward.

[Verwijderd]

Ik zie wel vanuit Nederland (command prompt) als ik een lange ping doe ping -t 192.168.5.1 .... dat er wel paketten weggaan, maar niet terugkomen. Als ik de Omnitik ping (192.168.5.243), dan komen er WEL paketten terug (en uiteraard xxx msec voor de ping....)

[The Fatal]

probeer eens vanuit de omnitik een route toe te voegen die het 192.168.5.0/24 verbind via de van tunnel.
moest bij mij aan de andere kant (was wel een synology) ook een route toevoegen om valide pings te krijgen en toegang te krijgen.

[allure]

Freekers schreef op dinsdag 14 juni 2016 @ 23:30:
[...]


Ik heb alle 'drop' rules uitgezet maar dat maakt helaas geen verschil
Hoe kan ik dit probleem nog verder troubleshooten? Ik snap ook niet zo goed waarom het niet werkt, aangezien elke tutorial die ik vind een poort op dezelfde manier forward.

Wacht even, ik zie dat je WAN-address in de 192.168.0.x/24 range valt, waarom?
Welk modem/router heb je van ziggo?

Je hebt nu waarschijnlijk een dubbel NAT in stelling.

[Thralas]

Freekers schreef op dinsdag 14 juni 2016 @ 00:07:
Hij ziet hem/het request dus wel binnenkomen..

Op welke chain zie die log rule? INPUT?

Je zou daar een herschreven adres moeten zien, met een out-interface=bridge. En dan op de FORWARD chain..

Wat er nu lijkt te gebeuren is dat er niets herschreven wordt,

En begin eventueel eens met een enkele poort, ik durf niet te zeggen of dit uberhaupt goed gaat met een hele reeks op deze manier.

De wiki van de hairpin is me nog niet helemaal duidelijk, die zal ik morgen nogmaals opnieuw lezen. Momenteel probeer ik via 4G, dus niet via mijn eigen WiFi netwerk, mijn NAS te bereiken.

Als je via 4G kunt testen zou ik hairpin even achterwege laten om het simpel te houden, dat kan later nog.

[Freekers]

allure schreef op woensdag 15 juni 2016 @ 14:00:
Wacht even, ik zie dat je WAN-address in de 192.168.0.x/24 range valt, waarom?
Welk modem/router heb je van ziggo?

Je hebt nu waarschijnlijk een dubbel NAT in stelling.

Dat is de standaard range van mijn Ziggo router, die heb ik niet aangepast. Ik heb een
Technicolor TC7200 (https://www.ziggo.nl/klan...modem/technicolor-tc7200/)

Zal ik de range van mijn Ziggo modem anders aanpassen naar iets anders?

Thralas schreef op woensdag 15 juni 2016 @ 18:11:

Op welke chain zie die log rule? INPUT?

Je zou daar een herschreven adres moeten zien, met een out-interface=bridge. En dan op de FORWARD chain..

Wat er nu lijkt te gebeuren is dat er niets herschreven wordt,

En begin eventueel eens met een enkele poort, ik durf niet te zeggen of dit uberhaupt goed gaat met een hele reeks op deze manier.

Als je via 4G kunt testen zou ik hairpin even achterwege laten om het simpel te houden, dat kan later nog.

Met de INPUT bedoel je de WAN poort? Dat is in mijn geval inderdaad ether1, dezelfde poort waarop de regel in de logging mee correspondeert inderdaad. Ik zie echter niks herschreven worden idd, geen out-interface=bridge etc.

Ik heb het ook al met een enkele poort geprobeerd (alleen poort 1337) maar dat maakt geen verschil. Ik probeerde nu een hele range om zeker te weten dat ik niet nog meer poorten nodig had/open moest zetten. Is puur en alleen voor debugging dus

Bedankt voor alle hulp dusver

[Thralas]

Freekers schreef op woensdag 15 juni 2016 @ 18:29:
Met de INPUT bedoel je de WAN poort?

Nee, sorry, ik geloof dat ik 'm snap. In je config export zie ik de log-actie niet terug, daardoor was ik even in de war. Als ik het goed begrijp heb je de log-actie op de daadwerkelijk NAT-rule toegevoegd?

Als die rule gehit wordt zit het daar goed, en dan zou ik evenwel wat logregels toevoegen in de firewall (filter table) op de forward chain, tot je daar je TCP SYN met herschreven adres ziet langskomen.

Aan je firewall zou het niet moeten liggen als ik je config mag geloven, maar dat betekent wel dat je de SYN zou moeten zien met een logregel die helemaal achteraan staat (omdat je nu nog een 'default accept' policy hebt).

Die Ziggo-router zou ik laten bridgen als je er verder geen WiFi van gebruikt, dan ben je van die dubbele NAT af en is je hAP de enige router. Zou voor deze kwestie verder niet uit moeten maken..

[Freekers]

Thralas schreef op woensdag 15 juni 2016 @ 18:58:
[...]


Nee, sorry, ik geloof dat ik 'm snap. In je config export zie ik de log-actie niet terug, daardoor was ik even in de war. Als ik het goed begrijp heb je de log-actie op de daadwerkelijk NAT-rule toegevoegd?

Als die rule gehit wordt zit het daar goed, en dan zou ik evenwel wat logregels toevoegen in de firewall (filter table) op de forward chain, tot je daar je TCP SYN met herschreven adres ziet langskomen.

Aan je firewall zou het niet moeten liggen als ik je config mag geloven, maar dat betekent wel dat je de SYN zou moeten zien met een logregel die helemaal achteraan staat (omdat je nu nog een 'default accept' policy hebt).

Die Ziggo-router zou ik laten bridgen als je er verder geen WiFi van gebruikt, dan ben je van die dubbele NAT af en is je hAP de enige router. Zou voor deze kwestie verder niet uit moeten maken..

Bedankt voor je reactie.

Ik heb de logging aangezet op alle firewall rules met 'forward' erin en op mn NAT rule. Dat ziet er dan zo uit als ik via 4G op mn telefoon mijn NAS Webinterface probeer aan te roepen:



Er zit een beetje vervuiling tussen denk ik, aangezien ik maar 1 logregel zie die echt over mn request naar mn synology gaat. Ik zie idd de TCP SYN regel, maar aankomen doet ie niet

Er zou geen sprake mogen zijn van een dubbele NAT omdat ik in de Ziggo router een DMZ heb opgezet naar het adres van mijn Mikrotik, maar ik kan hem ter test wel in Bridge zetten. Continue in bridge kan niet, ik heb met kabel nog direct wat apparaten op de Ziggo router hangen (o.a. m'n Playstation) en de Mikrotik staat in een andere kamer dan de Ziggo router waardoor ik die dus niet direct erop in kan pluggen.

[Thralas]

Ik zie daar geen log hit voor de inkomende TCP SYN op je filter chain.

[Freekers]

Thralas schreef op woensdag 15 juni 2016 @ 22:34:
Ik zie daar geen log hit voor de inkomende TCP SYN op je filter chain.

Ik ga m'n Ziggo modem morgen in Bridge zetten, hopenlijk lost dat het probleem op anders ben ik echt ten einde raad.

[Verwijderd]

The Fatal schreef op woensdag 15 juni 2016 @ 10:12:
probeer eens vanuit de omnitik een route toe te voegen die het 192.168.5.0/24 verbind via de van tunnel.
moest bij mij aan de andere kant (was wel een synology) ook een route toevoegen om valide pings te krijgen en toegang te krijgen.

Deze rule is er al. Dynamic toegevoegd door de Omnitik toen de VPN opkwam. Als ik hem met de hand nogmaals invoer, dan wordt de regel blauw.

[Freekers]

Thralas schreef op woensdag 15 juni 2016 @ 22:34:
Ik zie daar geen log hit voor de inkomende TCP SYN op je filter chain.

Ik heb mijn Ziggo modem in bridge modus gezet maar helaas, de rule werkt nog steeds niet.

Ik ben aan het eind van mijn latijn, wat nu

[nescafe]

Freekers schreef op donderdag 16 juni 2016 @ 22:08:
[...]


Ik heb mijn Ziggo modem in bridge modus gezet maar helaas, de rule werkt nog steeds niet.
[afbeelding]
Ik ben aan het eind van mijn latijn, wat nu

Het werkt nu nog slechter dan voorheen. In de eerste situatie (met modem in route mode) kreeg je al vrij snel een ACK, FIN terug van je Synology, hetgeen aangeeft dat de verbinding wordt verbroken. Lijkt dus niet aan de router te liggen maar aan de endpoint.

Wellicht dat er één of andere firewall actief is? Als je vanaf intern wel verbinding kunt maken, zou je (tijdelijk) masquerade op je nat chain met out-interface=bridge kunnen inschakelen. Dan lijkt het voor de Synology alsof de verbinding vanaf 192.168.88.1 komt.

Nu, in bridge mode, wordt er niet meer goed geNAT't naar je interne adres. Er komt dus logischerwijs geen reply van de Synology dus is je config nog niet helemaal in orde. Kun je deze nog even posten? Wellicht dat je dhcp-client niet helemaal goed werkt op je ether1-interface.

[Freekers]

nescafe schreef op donderdag 16 juni 2016 @ 23:10:
Het werkt nu nog slechter dan voorheen. In de eerste situatie (met modem in route mode) kreeg je al vrij snel een ACK, FIN terug van je Synology, hetgeen aangeeft dat de verbinding wordt verbroken. Lijkt dus niet aan de router te liggen maar aan de endpoint.

Wellicht dat er één of andere firewall actief is? Als je vanaf intern wel verbinding kunt maken, zou je (tijdelijk) masquerade op je nat chain met out-interface=bridge kunnen inschakelen. Dan lijkt het voor de Synology alsof de verbinding vanaf 192.168.88.1 komt.

Nu, in bridge mode, wordt er niet meer goed geNAT't naar je interne adres. Er komt dus logischerwijs geen reply van de Synology dus is je config nog niet helemaal in orde. Kun je deze nog even posten? Wellicht dat je dhcp-client niet helemaal goed werkt op je ether1-interface.

Thralas is zo lief geweest om mee te kijken via TeamViewer, hij was namelijk ook wel benieuwd wat er nou precies scheelde...en wat bleek; Het lag aan (een instelling van) mijn NAS! Ik ben recentelijk verhuisd en heb mijn NAS zo uit de verhuisdoos neergezet en aangesloten. Omdat hij over het interne netwerk gewoon werkte, heb ik er niet aan gedacht om te kijken naar de netwerk settings van m'n NAS. Daarin stond dus blijkbaar nog de oude (en nu dus verkeerde) standaardgateway
Oeps, sorry, foutje bedankt! Maar je zat iig in de juiste richting, dus kudos voor dat!

Iedereen hartelijk bedankt voor het meedenken en sorry dat ik jullie tijd verkwist heb met dit non-Mikrotik issue!

[allure]

Mooi dat het gefixt is, om dit soort problemen te voorkomen gebruik ik nergens een handmatig ipadres.
Ik bind gewoon het IP aan een mac in de router.

[maomanna]

Ik overweeg om van KPN over te stappen naar Tweak (1GBIT).
Zou de CRS125 met Fastpath die snelheid aan kunnen?

[Thralas]

En wat had je zelf gevonden?

Maar vooruit, het korte antwoord is: nee.

[ Voor 4% gewijzigd door Thralas op 17-06-2016 13:40 ]

[zx9r_mario]

maomanna schreef op vrijdag 17 juni 2016 @ 13:36:
Ik overweeg om van KPN over te stappen naar Tweak (1GBIT).
Zou de CRS125 met Fastpath die snelheid aan kunnen?

De performance is ca 300mbit/s.

[Thralas]

Dat moet met fasttrack nog wel iets sneller kunnen, maar dan loopt 'ie op z'n tenen.

[maomanna]

Dat zou betekenen dat de routing uit de crs moet en blijft zitten in het bijgeleverde modem en dat de crs alleen switched.

[Freekers]

Ben ik weer. Ik probeer mijn NAS te speed limiten/throttlen via mijn Mikrotik m.b.v. een Simple Queue. Je raadt het al; ook dit krijg ik niet aan de praat. Ik vraag me af wat ik nu weer fout doe.

Ik heb deze (vrij simple/straightforward) tutorial gevolgd: YouTube: Simple Way Limiting Bandwidth on Mikrotik Winbox
In principe is het niet meer dan het aanmaken van een Simple Queue, het target selecteren (in mijn geval heb ik zowel het IP als de interface geprobeerd) en bij target upload/download de limiten instellen. Klaar, aldus de tutorial, maar er veranderd niks. Ik zie ook geen traffic voorbij komen, dus dat laat bij mij al een belletje rinkelen dat er iets niet klopt. Ik heb nog gespeeld met het type queue in het tabje 'Total' maar ook dat maakt geen verschil.
Moet ik van te voren nog iets anders instellen voordat ik een Simple Queue kan aanmaken?

Alvast hartelijk dank.

EDIT: Opgelost! Als Fasttrack ingeschakeld is, wat hij standaard is, kun je geen Simple Queues gebruiken. Het is of/of.. "Fasttrack if for speeding up traffic. Queue is for slowing it down."
Bron: http://forum.mikrotik.com/viewtopic.php?t=98133

[ Voor 11% gewijzigd door Freekers op 27-06-2016 23:46 ]

[mbenjamins]

Ik heb sinds paar dagen een Mikrotik CRS109-8G-1S-2HnD-IN.
Nu komt de uitdaging om het te configureren, het wordt de eerste keer dat ik zo'n router instel.

Hebben jullie nog tips kwa instellingen?

[Verwijderd]

Wat wil je ermee doen? Een router van maken, VPN server? Firewall? ISP beginnen? etc....

Je kan met Quickset beginnen. Kom je best wel ver mee.

[ Voor 5% gewijzigd door Verwijderd op 29-06-2016 00:13 ]

[anboni]

Ik ben op zoek naar een oplossing om een site to site VPN op te zetten tussen mijn thuisnetwerk en bij m'n vriendin (doel: bij haar op de bank film kijken vanaf mijn media server). Nou is m'n oog gevallen op pricewatch: MikroTik RouterBoard RB941-2nD - hAP Lite waar ik er dan waarschijnlijk aan elke kant een van wil neerzetten - dit om config wellicht wat te vereenvoudigen en eventuele incompatilibiteit uit te sluiten (ik las al dat RouterOS mogelijk niet geheel standaard OpenVPN doet, dus zelfde device aan beide kanten scheelt mogelijk wat hoofdpijn).

Waar ik alleen nog over twijfel, en niet echt een onderbouwd antwoord op kan vinden, is wat voor performance ik mag verwachten. Kan ik erop rekenen dat ik met deze devices zonder constant bufferen een Full HD film kan kijken aan de andere kant van het VPN? Of moet ik dan toch naar een duurder model gaan kijken?

[Verwijderd]

Zeker. Full HD "trekt" ongeveer 8 á 15 Mbps. Je verliest ongeveer 50% voor de VPN encryptie, dus je "internet pijp" moet rond de 25 - 30 Mbps zijn. Dus OOK de UPLOAD van die internet. Want voor de plek waar de NAS / media server staat, is streamen een upload activiteit.

En dit is de goedkoopste routerboard. Op zich trekt hij goed 90 Mbps, echter niet als hij VPN moet gaan encrypten.

[anboni]

Dank, dan durf ik het wel aan. Zojuist twee besteld, volgens leverancier worden ze morgen bezorgd

[mbenjamins]

Verwijderd schreef op woensdag 29 juni 2016 @ 00:00:
Wat wil je ermee doen? Een router van maken, VPN server? Firewall? ISP beginnen? etc....

Je kan met Quickset beginnen. Kom je best wel ver mee.

Ik wil het gebruiken als een gewone router in de toekomt wil ik er misschien wel meer mee doen. Het ook puur dat ik wil leren hoe je ze het beste kunt instellen.

[mbenjamins]

Als ik mijn nieuwe router aansluit op de modem dan verliest de modem steeds de dsl verbinding.

Hieronder een printscreen van de Quick Set

Wij hebben een THOMSON ST546 modem als ik het goed heb.

[Verwijderd]

Je moet de kabel van de Thomson in poort Eth 1 van de Mikrotik doen. Alle andere PC's, mogen in poort 2 en verder. WiFi mag ook gewoon.

[mbenjamins]

Verwijderd schreef op woensdag 29 juni 2016 @ 23:51:
Je moet de kabel van de Thomson in poort Eth 1 van de Mikrotik doen. Alle andere PC's, mogen in poort 2 en verder. WiFi mag ook gewoon.

Dat heb ik ook gedaan. Daarom vindt ik het ook raar.

[Verwijderd]

Heb je de Mikrotik naar de laatste software versie gebracht? Het is nu 6.35.4.

[mbenjamins]

Verwijderd schreef op woensdag 29 juni 2016 @ 23:58:
Heb je de Mikrotik naar de laatste software versie gebracht? Het is nu 6.35.4.

Dat heb ik. Af en toe wil de verbinding weg en moest toen opnieuw beginnen maar het is gelukt.

[Verwijderd]

Check of je een stabiel netwerk hebt ZONDER de Mikrotik.

[The Fatal]

mbenjamins schreef op woensdag 29 juni 2016 @ 23:42:
Als ik mijn nieuwe router aansluit op de modem dan verliest de modem steeds de dsl verbinding.

Hieronder een printscreen van de Quick Set
[afbeelding]
Wij hebben een THOMSON ST546 modem als ik het goed heb.

Het lijkt er op dat he modem ook nog als router ingesteld staat. Je krijgt namelijk geen publiek ip adres van de modem maar een 192.168.2.x. Hierdoor kan je BV dubbele nat krijgen en dat kan problemen geven.
Kan je de router in bridge laten zetten? Weet niet of dat mogelijk is. Bij ziggo modems is dat BV wel mogelijk.

[Verwijderd]

Maar mbenjamins zegt dat de DSL modem de DSL verbinding verliest als hij de Mkrotik aansluit.

[mbenjamins]

Ik heb thuis nog een router staan die deelt 192.168.1.* ip adressen uit.
Als ik de Mikrotik van de modem afhaalt en de modem even uit en aan doe dan werkt het netwerk weer goed.
Ik zal proberen om vandaag een netwerk schema te maken van hoe ik het heb.

[Verwijderd]

Je mag maar één router hebben in een netwerk, die DHCP adressen uitdeelt. Dat mag ook de modem / router zijn van je internet provider. Maar het mag ook de Mikrotik zijn, die ACHTER de modem komt te staan. OK, even geen gezeik over dubbele NAT, daar gaat het niet over.

mbenjamins klaagt dat de modem de DSL verbinding verliest.


Wil je even een schema maken hoe alles is aangesloten?

[mbenjamins]

Hieronder het schema. Heb het even snel gemaakt.


Als de Mkrotik router goed werkt dan vervangt die nu op 192.168.1.* netwerk staat.

[zx9r_mario]

Verwijderd schreef op woensdag 29 juni 2016 @ 13:42:
Zeker. Full HD "trekt" ongeveer 8 á 15 Mbps. Je verliest ongeveer 50% voor de VPN encryptie, dus je "internet pijp" moet rond de 25 - 30 Mbps zijn. Dus OOK de UPLOAD van die internet. Want voor de plek waar de NAS / media server staat, is streamen een upload activiteit.

En dit is de goedkoopste routerboard. Op zich trekt hij goed 90 Mbps, echter niet als hij VPN moet gaan encrypten.

De snelheid van een l2tp vpn is ca 10Mbps

[Thralas]

mbenjamins schreef op donderdag 30 juni 2016 @ 10:34:
Hieronder het schema. Heb het even snel gemaakt.
[afbeelding]

Als de Mkrotik router goed werkt dan vervangt die nu op 192.168.1.* netwerk staat.

Lees nog even de overige reacties, die terecht de vraag stellen waarom je drie keer NAT doet binnen je netwerk. Heeft niet zo heel veel met dit probleem te maken als het goed is, maar dat oplossen voorkomt wel andere netwerkellende.

Verduidelijk daarna eens hoe je constateert dat je modem zijn verbinding verliest (hoe constateer je dat? screenshots?).

Hoewel je netwerksetup niet ideaal is, is er in die opstelling geen enkele reden waarom je modem z'n verbinding (!?) zou kunnen verliezen. Tenzij 'ie bang is voor NDP of IP-pakketjes.

[ Voor 7% gewijzigd door Thralas op 01-07-2016 15:02 ]

[mbenjamins]

Thralas schreef op vrijdag 01 juli 2016 @ 15:01:
[...]


Lees nog even de overige reacties, die terecht de vraag stellen waarom je drie keer NAT doet binnen je netwerk. Heeft niet zo heel veel met dit probleem te maken als het goed is, maar dat oplossen voorkomt wel andere netwerkellende.

Verduidelijk daarna eens hoe je constateert dat je modem zijn verbinding verliest (hoe constateer je dat? screenshots?).

Hoewel je netwerksetup niet ideaal is, is er in die opstelling geen enkele reden waarom je modem z'n verbinding (!?) zou kunnen verliezen. Tenzij 'ie bang is voor NDP of IP-pakketjes.

Hieronder een screenshot van de modem wat laat zien dat de modem de verbinding verliest. Dat gebeurt alleen als die router er aan zit.


En dat van het NAT dat weet ik zelf ook wel maar wil eerst dit goed voor elkaar hebben en ga daarna met NAT bezig.