[MikroTik-apparatuur] Ervaringen & Discussie

[Newjersey]

Ik wil mijn Mikrotik devices 2x een RB951G-2HnD (in gebruik als accesspoint) graag vervangen door iets met 5 GHz. Welke Mikrotik device raden jullie mij aan? Hij moet eigenlijk alleen basaal accesspoint doen. Een extra lan poort is meegenomen maar niet strikt noodzakelijk.

Daarnaast gebruik ik CAPman voor mijn huidige inrichting.

[Out.of.Control]

De WAP ac bevalt mij prima.

[Petervanakelyen]

De opvolger van de RB951G-2HnD is eigenlijk de hAP ac (zelfde formfactor en featureset) maar als je ze enkel als Access Point gebruikt zou ik inderdaad kijken naar de wAP ac. Iets compacter en scheelt toch ook weer wat in prijs

[WeaZuL]

Vandaag zag ik dat er een update beschikbaar was naar v6.39.1 van RouterOS, ik kwam van 6.38.x. Kom ik erachter dat ze de webinterface behoorlijk onderhanden genomen hebben. Dus ik kijk naar de lijst van changes, kom ik erachter dat het een behoorlijke lijst is. Ze zitten echt niet stil daar bij MT

[ Voor 8% gewijzigd door WeaZuL op 19-05-2017 10:58 ]

[Zaffo]

Ze hebben het hele Quick Set goed gescheiden van de rest. Een stuk logischer. De eerste indruk is nu wat minder overweldigend, en als je Quick Set niet gebruikt wordt je er ook niet door lastig gevallen.

Sowieso zijn ze goed bezig met het bijhouden van changelogs. Ik heb 1 apparaat (mAP lite) waar ik de betas op gebruik (aangeduid als release candidates) om een beetje te zien waar ze allemaal mee bezig zijn. Toch leuk om een apparaat van 25 euro te hebben waar zoveel updates voor komen. Dat is met een 400 euro consumer router meestal wel anders.

[SanderH_]

Ik zou mijn netwerk (200/20 verbinding) willen upgraden en ben momenteel wat aan het kijken naar de verschillende opties:

1. MikroTik router + AP('s)
2. Ubiquiti EdgeRouter Lite + UniFi AC Lite
3. pfSense op een apu2 bordje + TBD

Uiteraard zou ik het hier graag over #1 hebben.

Qua router lees ik erg mooie dingen over de RB750Gr3 - hEX. Blijkbaar is de opvolger (RB960PGS ook net geïntroduceerd? Mijn 200/20 verbinding voltrekken zal denk ik geen probleem mogen zijn. Qua VPN snelheden heb ik geen idee welke snelheden ik kan verwachten.

Aangezien alle netwerkinfrastructuur op een nogal ongelukkige plek binnenkomt (zolder) ga ik werken met 1 of meerdere AP's om de WiFi te voorzien. Ik heb ethernet aansluitingen op ongeveer 10m zitten van de toestellen die van WiFi gebruik maken. Ik zie echter het bos door de bomen niet meer, gezien de vele verschillende soorten, waarvan sommige blijkbaar specifiek op outdoor gebruik gericht zijn?

• cAP (voor aan het plafond)
• wAP
• wAP ac
• mAP
• mAP Lite
• ...

Wat raden jullie aan voor mijn specifieke use case? Ik denk dat een mAP lite op elk verdiep geen slecht idee is? Of sla ik de bal verkeerd?

[ Voor 6% gewijzigd door SanderH_ op 26-05-2017 20:24 ]

[rohaantje]

De RB960PGS is interessante in combinatie met één of meerdere wAP (ac)'s. Aangezien de router dan de AP's kan voeden via POE.

De mAP serie zou ik afraden aangezien deze niet de meest optimale wireless performance hebben.
Dus is de keuze wAP met of zonder ac. Ik zou dan kiezen voor de versie met ac.

[SanderH_]

Presteert die mAP serie zo karig dan? Het gaat om een afstand van circa 10 meter (geen nieuwbouw woning).
Die wAP ac is een beetje de MikroTik equivalent van die UniFi AC's neem ik aan?

En de RB960PGS is dus een goede keuze?

[Petervanakelyen]

De mAP's zijn voornamelijk bedoeld als travel router. Zowel de mAP als de mAP lite passen dan ook gewoon in je handpalm De wAP ac kan je inderdaad goed vergelijken met de Unifi AC's. De RB960PGS is niet de opvolger van de RB750Gr3, die laatste gebruikt een andere SoC en is sneller (zie de testresultaten onderaan de specs).

[ Voor 21% gewijzigd door Petervanakelyen op 26-05-2017 21:27 ]

[Thralas]

SanderH_ schreef op vrijdag 26 mei 2017 @ 21:18:
Presteert die mAP serie zo karig dan? Het gaat om een afstand van circa 10 meter (geen nieuwbouw woning).
Die wAP ac is een beetje de MikroTik equivalent van die UniFi AC's neem ik aan?

Als je enkel 2.4 GHz wilt gebruiken zou je nog hAP lite kunnen overwegen. Die laatste is de helft goedkoper. Of een hAP of wAP (al genoemd).

En ik zou zelf de voorkeur geven aan een degelijke aanpak: mét 802.11ac dus. Dus een wAP AC of hAP AC. Moet je daar wel de juiste clients voor hebben natuurlijk.

En de RB960PGS is dus een goede keuze?

Alleen als je de PoE-out wilt gebruiken. Het is zeker geen opvolger (ook al genoemd). MikroTik zet een hoop producten in de markt, waarbij de verschillen soms maar klein zijn. De selling point van deze is PoE.

Volgens de benchmarks is hij zelfs ietsje langzamer dan de 750Gr3 (en heeft ook geen IPsec-acceleratie, als dat nog een overweging was).

[SpikeHome]

Even een vraagje.
Ik heb 2 rb2011 routers 1 staat in de meterkast en werkt als router.
De 2e staat boven en werkt daar als ap en switch.
Nu is mijn rb2011 dhcp server en krijgt de rb2011 van boven een ip adres.
Deze heb ik dan op static dmv het mac adres.
Maar als ik de rb2011 van boven reboot is het mac adres steeds anders.
Bij een command /interface ethernet print zie ik het mac adres er dan ook niet bij staan die ik zie binnen komen op de rb2011 van de meterkast.
wat doe ik nu verkeerd?
(hopelijk een beetje duidelijk uitgelegd)

[hans_lenze]

SpikeHome schreef op dinsdag 6 juni 2017 @ 09:18:
Even een vraagje.
Ik heb 2 rb2011 routers 1 staat in de meterkast en werkt als router.
De 2e staat boven en werkt daar als ap en switch.
Nu is mijn rb2011 dhcp server en krijgt de rb2011 van boven een ip adres.
Deze heb ik dan op static dmv het mac adres.
Maar als ik de rb2011 van boven reboot is het mac adres steeds anders.
Bij een command /interface ethernet print zie ik het mac adres er dan ook niet bij staan die ik zie binnen komen op de rb2011 van de meterkast.
wat doe ik nu verkeerd?
(hopelijk een beetje duidelijk uitgelegd)

Het zou helpen als je ze een naampje zou geven, rb2011-beneden en rb-2011-boven ofzo. Kun je de config van beide apparaten plaatsen? Dat scheelt een hoop raden.

[SpikeHome]

hans_lenze schreef op dinsdag 6 juni 2017 @ 09:21:
[...]


Het zou helpen als je ze een naampje zou geven, rb2011-beneden en rb-2011-boven ofzo. Kun je de config van beide apparaten plaatsen? Dat scheelt een hoop raden.

hmm de hele config file staan natuurlijk wachtwoorden ip's en alles in.

[hans_lenze]

SpikeHome schreef op dinsdag 6 juni 2017 @ 09:46:
[...]

hmm de hele config file staan natuurlijk wachtwoorden ip's en alles in.

Dan klik je bovenaan in Winbox op "settings - hide passwords". De IP adressen zijn natuurlijk niet relevant en kun je prima vervangen door x'jes ofzo.

[SpikeHome]

hans_lenze schreef op dinsdag 6 juni 2017 @ 09:53:
[...]


Dan klik je bovenaan in Winbox op "settings - hide passwords". De IP adressen zijn natuurlijk niet relevant en kun je prima vervangen door x'jes ofzo.

Hierbij de files(enkele dingen veranderd natuurlijk)
rb2011-beneden

code:

# jun/06/2017 09:33:22 by RouterOS 6.39.1
# software id = S62Z-5GTT
#
rest deleted

rb2011-boven

code:

# jun/06/2017 09:31:47 by RouterOS 6.39.1
# software id = NSH6-AS8S
#
/interface bridge
add fast-forward=no name=bridge
/interface ethernet
set [ find default-name=ether1 ] mac-address=E4:8D:8C:24:62:6E name=\
    ether1-uplink
set [ find default-name=ether2 ] master-port=ether1-uplink
set [ find default-name=ether3 ] master-port=ether1-uplink
set [ find default-name=ether4 ] master-port=ether1-uplink
set [ find default-name=ether5 ] master-port=ether1-uplink
set [ find default-name=ether6 ] name=ether6-master
set [ find default-name=ether7 ] master-port=ether6-master
set [ find default-name=ether8 ] master-port=ether6-master
set [ find default-name=ether9 ] master-port=ether6-master
set [ find default-name=ether10 ] master-port=ether6-master
rest deleted

[ Voor 92% gewijzigd door SpikeHome op 06-06-2017 12:01 ]

[nescafe]

Stel een admin-mac op je bridge in, zonder admin-mac randomized hij inderdaad het mac-adres.

code:

/interface bridge
add admin-mac=xx:xx:xx:xx:xx:xx auto-mac=no

In Winbox kun je het makkelijkst het huidige mac-adres naar admin-mac kopiëren.

hans_lenze schreef op dinsdag 6 juni 2017 @ 09:53:
[...]


Dan klik je bovenaan in Winbox op "settings - hide passwords". De IP adressen zijn natuurlijk niet relevant en kun je prima vervangen door x'jes ofzo.

Settings > Hide Passwords in Winbox heeft geen gevolgen voor exports. Wel is daarvoor het volgende commando beschikbaar:

code:

/export hide-sensitive

[SpikeHome]

nescafe schreef op dinsdag 6 juni 2017 @ 10:16:
Stel een admin-mac op je bridge in, zonder admin-mac randomized hij inderdaad het mac-adres.

code:

/interface bridge
add admin-mac=xx:xx:xx:xx:xx:xx auto-mac=no

In Winbox kun je het makkelijkst het huidige mac-adres naar admin-mac kopiëren.


[...]


Settings > Hide Passwords in Winbox heeft geen gevolgen voor exports. Wel is daarvoor het volgende commando beschikbaar:

code:

/export hide-sensitive

ik krijg dan een 2e bridge nadat commando.
En zie ik hem na een reboot nog steeds een ander ip krijgen.
edit.
daarmee bedoel ik de rb2011-boven die reboot ik dan.

[ Voor 4% gewijzigd door SpikeHome op 06-06-2017 11:07 ]

[nescafe]

SpikeHome schreef op dinsdag 6 juni 2017 @ 10:57:
[...]

ik krijg dan een 2e bridge nadat commando.
En zie ik hem na een reboot nog steeds een ander ip krijgen.
edit.
daarmee bedoel ik de rb2011-boven die reboot ik dan.

Logisch, er staat ook 'add' in het commando

In Winbox kun je het makkelijkst het huidige mac-adres naar admin-mac kopiëren.

Als je via de cli de huidige bridge wilt aanpassen:

code:

/interface bridge
set 0 auto-mac=no admin-mac=xx:xx:xx:xx:xx:xx

[SpikeHome]

nescafe schreef op dinsdag 6 juni 2017 @ 11:40:
[...]

Logisch, er staat ook 'add' in het commando

In Winbox kun je het makkelijkst het huidige mac-adres naar admin-mac kopiëren.

Als je via de cli de huidige bridge wilt aanpassen:

code:

/interface bridge
set 0 auto-mac=no admin-mac=xx:xx:xx:xx:xx:xx

tnx dat was het dus.
Het werkt nu.

[Verwijderd]

Nieuwe versie van Router OS is uit.

v. 6.39.2.

Hieronder de wijzigingen.

https://forum.mikrotik.co...t=122322&p=601875#p601875

[SpikeHome]

Verwijderd schreef op woensdag 7 juni 2017 @ 13:00:
Nieuwe versie van Router OS is uit.

v. 6.39.2.

Hieronder de wijzigingen.

https://forum.mikrotik.co...t=122322&p=601875#p601875

ok tnx.
Zie dat iemand de 2011 al gedaan heeft.
Dus ik ga ze ook maar updaten nu.

edit:
en done

[WeaZuL]

Als het een btje meezit heb ik binnenkort een WAP ac en wil deze via capsman inregelen. Hoe kan ik daar het beste mee beginnen? Ik heb daar namelijk nog niet mee gewerkt. Ik heb mijn CRS125 enkel via de cmdline geconfigureerd.

[rohaantje]

Een vraag:
Wij hebben hier ons internet via een PPPoE over een P2P verbinding via een lokale internet boer ([sarcasm]Beste klanten service ooit!! Super snelle reactie tijden!! Overweldigende kennis van zaken!![/sarcasm] echt GE-WEL-DIG K*T).

De setup is op dit moment als volgt.

• Router: RB2011uias-in
• [list]
• (eth1-5 LAN)(eth6-8 N/A)
• (eth9 KPN adsl backup)
• (eth10 POE-out naar Sextant, PPPoE)
• [/list]
• Wireless client: RBSEXTANTG5HPnD(niet in mijn beheer)

Tussen de RB2011 en de RBSEXTANT zit ongeveer 70M kabel.
Router en thuisnetwerk draait allemaal rOS v6.39.2
RBSEXTANT draait v6.28

Nu draaide dit voorheen altijd soepel. We konden van ons abbo(20/20 down/up) constant zo'n 20/10 halen.
Nu hebben we laatst de RB2011 verplaatst deze stond eerst op 25M UTP afstand van de antenne.
Maar omdat wij aan het verbouwen gaan moet de rb2011 op 70M utp afstand van de antenne.
Op zich geen probleem. UTP aan elkaar geknoopt, router verplaatst en gaan.
Alles leek oke, tot op een gegeven moment de internface 'no link' aangaf.

Na de kabel te hebben doorgemeten bleek de kabel te 'hoppen' in signaal op ongeveer 55M. (paar 1 open, shorted, normal, paar 2 open, shorted.... enz.)
Ik heb daarop dus de rj45 opnieuw aangezet. Koppelstuk gecontroleerd. kabel doormeten en meet goed.
Opnieuw zelfde probleem. Toen merkte ik dat het stuk kabel naar de antenne vochtig was van binnen.
Die kabel heb ik vervangen en sindsdien is het signaal aanzienlijk verbeterd.

Maar op een toch hele specifiek situatie gaat de eth10 interface weer aan het hoppen. En dat is wanneer ik heftig aan het uploaden ben. Ik heb hier een ander POE device aan gehangen en deze blijft stabiel onder up en download(geen PPPoE maar mikrotik bandwidthtest). Kan dit nog een kabelfout zijn of is dit een fout in de apparatuur. Hierbij meenement dat wij nog nooit een upload hebben kunnen halen van 20mb.

TL;DR:
70M UTP in 2 stukken gekoppeld. WAN interface op router hopt link/no link bij het uploaden.
Download is 100% stabiel. Upload geeft instant nolink-link-nolink.
Kabel is vervangen en doorgemeten en meet goed.
Upload is nog nooit volledig geweest. P2P signaal moet goed zijn volgens leverancier.
Kabelfout of apparatuur fout?

[lier]

Welke kabel heb je gebruikt. Op GoT is een heel topic gewijd aan netwerkkabels, daar staat een hoop informatie (bijvoorbeeld dat CCA op lange afstand enorm veel problemen kan geven):
Pas op voor slechte/inferieure Cat5e/6 netwerkkabels

[dovo]

rohaantje schreef op woensdag 14 juni 2017 @ 13:30:
TL;DR:
70M UTP in 2 stukken gekoppeld. WAN interface op router hopt link/no link bij het uploaden.
Download is 100% stabiel. Upload geeft instant nolink-link-nolink.
Kabel is vervangen en doorgemeten en meet goed.
Upload is nog nooit volledig geweest. P2P signaal moet goed zijn volgens leverancier.
Kabelfout of apparatuur fout?

Is je kabel van echte koper en niet copper clad aluminium (goedkope variant)?
Ook: passieve power over ethernet kan maximaal 50 meter? Ik ga er dus vanuit dat je net voor je P2P uplink een POE injector hebt zitten en deze niet 70M vanaf je RB2011uias-in voedt, dat gaat namelijk nooit deftig werken.

[rohaantje]

dovo schreef op woensdag 14 juni 2017 @ 13:54:
[...]


Is je kabel van echte koper en niet copper clad aluminium (goedkope variant)?
Ook: passieve power over ethernet kan maximaal 50 meter? Ik ga er dus vanuit dat je net voor je P2P uplink een POE injector hebt zitten en deze niet 70M vanaf je RB2011uias-in voedt, dat gaat namelijk nooit deftig werken.

Type kabels:
55 Meter STP 24 AWG EN50173 vaste kern, merkloos maar lijk volledig koper(geen zilverkleurige kernen te bekennen)
25 Meter UTP Belden 1583e 100% koper vaste kern.

(ik heb speciale rj45 steentjes gebruikt voor de vaste kern)

PoE over lange afstand:
Zoals ik aangaf gaat er op dit moment passive PoE over 70M vanuit de RB2011.
Passive PoE kan over 100M.
Ik heb op 25M een PoE injector geplaatst. Om dit uit te sluiten. Het probleem blijft bestaan.

[nescafe]

100M is wel vrij veel voor PoE. Kun je eens kijken wat voor voltage (/system health print) je overhoudt na 50M? Je geeft aan dat dit niet het probleem is, maar ben toch wel benieuwd wat de voltage drop is (zou ook iets over de kabel kunnen zeggen).

[rohaantje]

nescafe schreef op woensdag 14 juni 2017 @ 14:54:
100M is wel vrij veel voor PoE. Kun je eens kijken wat voor voltage (/system health print) je overhoudt na 50M? Je geeft aan dat dit niet het probleem is, maar ben toch wel benieuwd wat de voltage drop is (zou ook iets over de kabel kunnen zeggen).

Ik had graag die optie gehad. Helaas heb ik de sextant niet in beheer en kan ik dat dus niet bekijken.

rohaantje schreef op woensdag 14 juni 2017 @ 14:46:
55 Meter STP 24 AWG EN50173 vaste kern, merkloos maar lijk volledig koper(geen zilverkleurige kernen te bekennen)

Merkloze kabel zonder specs zat me toch niet lekker.
Ik heb er nu een stuk belden 1583e naast getrokken.
Ik krijg nu in ieder geval geen instant drop bij een upload speedtest.
Dat is dus vooruitgang. ik ga het in de gaten houden komende tijd.

[Verwijderd]

Toevallig CCA / CCS kabel?

[rohaantje]

Verwijderd schreef op woensdag 14 juni 2017 @ 20:49:
Toevallig CCA / CCS kabel?

Alle paren CCA vermoed ik(niet magnetisch)..

[WeaZuL]

WeaZuL schreef op woensdag 7 juni 2017 @ 15:33:
Als het een btje meezit heb ik binnenkort een WAP ac en wil deze via capsman inregelen. Hoe kan ik daar het beste mee beginnen? Ik heb daar namelijk nog niet mee gewerkt. Ik heb mijn CRS125 enkel via de cmdline geconfigureerd.

Ik ben al een tijdje bezig met met wAP-ac te configureren icm de crs125 als CAPsMAN. Ik wil graag dat de WLAN netwerken op basis van VLAN's worden gerouteerd. Nu heb ik een bridge aangemaakt met daarin de vlan interface en de verschillende caps als port. DHCP server op de bridge interface gezet en dhcp pool aangemaakt. Op de CAPsMAN router heb ik bij switch -> VLAN opgegeven dat op poort 24 vlan12 zit en dat VLAN tag 12 op poort 24 zit. Ik heb in CAPsMAN onder Datapaths aangegeven VLAN mode "usetag" en VLANID "12".

Echter, ik kan succesvol authenticeren en connecten met het wlan netwerk, krijg een ip toegewezen van de DHCP server maar kan vervolgens niet pingen naar het IP adres van VLAN12. Wat doe ik verkeerd?

Moet ik op beide apparaten, de wAP-AC en de CRS125 (CAPsMAN) VLAN12 aanmaken en deze beiden een uniek IP adres geven of denk ik nu helemaal verkeerd

edit, ik krijg nu een ping response wanneer ik de interface van VLAN12 wijzig naar WLAN1 op de CRS125. hmmm

[ Voor 10% gewijzigd door WeaZuL op 23-06-2017 22:59 ]

[Thralas]

Heeft iemand al met de nieuwe RCs gespeeld? Sinds v6.40rc36 (we zitten nu op v6.40rc38) heeft men het master/slave-concept voor interfaces op de schop gedaan.

Dat bestaat niet meer en is in de bridge-functionaliteit gemerged. Hiernaast zijn bridges vlan-aware geworden (en kun je vlan filtering daarop doen ipv. in het switch chip menu).

Maar, de meest nuttige feature is wmb. igmp snooping. Je hebt dus geen bridge filter workarounds meer nodig.

Zolang het de hardware snooping van de switch chip niet gebruikt schiet je er qua performance weinig mee op, maar het is fijn dat zo'n basale feature er nu eindelijk inzit.

quote: https://mikrotik.com/down...se-candidate-release-tree

RouterOS v6.40rc36 contains new bridge implementation that supports hardware offloading (hw-offload).
This update will convert all interface "master-port" configuration into new bridge configuration, and eliminate "master-port" option as such.
Bridge will handle all Layer2 forwarding and the use of switch-chip (hw-offload) will be automatically turned on based on appropriate conditions.

!) bridge - implemented software based "igmp-snooping" (untested, undocumented, CLI only);
!) bridge - implemented software based MSTP (untested, undocumented, CLI only);
!) bridge - implemented software based vlan-aware bridges;
!) switch - "master-port" conversion into a bridge with hardware offload "hw" option (undocumented, CLI only);

Op de wiki staan nog wat voorbeelden. Zie ook het forumtopic en de waarschuwing voordat je update.

[Zaffo]

Dit is het andere relevante stukje in de wiki, over het nieuwe VLAN filtering.

Ik ben twee weken geleden aan de slag gegaan om VLANs in te stellen op de switch chip van een 750Gr2, dus via het "Switch"-menu. Deze draait als switch met ether1 als master poort voor de andere poorten.

Deze config heb ik ook op een andere 750Gr2 en de update naar de laatste RC uitgevoerd. Dan wordt er inderdaad een bridge gemaakt waarin alle ethernet poorten hangen, met hw-offload. De VLAN instellingen in het "Switch"-menu waren onveranderd. Deze heb ik allemaal verwijderd met het idee ze via de bridge opnieuw te implementeren, maar hier ben ik nog niet aan te gekomen.

Edit: URL fix

Ohja, in rc38 werkt export naar file (export file=blabla) niet. Dat je het vast weet.

[ Voor 7% gewijzigd door Zaffo op 16-07-2017 15:53 ]

[Zaffo]

De bridge hw-offload is er weer uit in 6.40rc41.

What's new in 6.40rc41 (2017-Jul-17 09:03):

!) bridge hw-offload implementation reverted back to pre-6.40rc36 state (testing will continue in v6.41rc);
!) wireless - added Nv2 AP synchronization feature "nv2-modes" and "nv2-sync-secret" option;
*) bonding - fixed 802.3ad mode on RB1100AHx4;
*) export - fixed export to a file (introduced in v6.40rc39);
*) hotspot - added "address-list" support in "walled-garden" IP section;
*) hotspot - fixed firewall accept rules created by "/ip hotspot walled garden ip" (introduced in v6.40rc18);
*) ike1 - create tunnel policy when no split net provided;
*) ike1 - wait for cfg set reply before ph2 creation with xAuth;
*) ipsec - allow to specify chain in "firewall" peer option;
*) ppp - fixed non-standard PAP or CHAP packet handling;
*) pppoe-server - fixed situation when some of 100+ pppoe-servers can become invalid on reboot;
*) routerboard - added "caps-mode" option for "reset-configuration";
*) sfp - fixed invalid temperature reporting when ambient temperature is less than 0;
*) winbox - make IPSec policies table an order list;
*) winbox - show "/interface wireless cap print" warnings;

Export to a file is gefixed.

[Yarisken]

Gewoon zalig. Ik had een span poort nodig voor wat te testen. Koop mij een mikrotik met volledig router os, span poort, switch en wifi voor rond de 120 euro :-).
Soms is het leven oneerlijk ... al die sukkels met openwrt, tomato etc... .

[Ome Ernst]

Maar je kan ook mensen in hun waarde laten. Mikrotik met z´n bijbehorende
steile leercurve is niet voor iedereen. Sterker nog, ik denk dat velen veiliger zijn met
een simpelere router die ze wel begrijpen en kunnen instellen, dan een met 3 duizend
opties en door de bomen het bos niet meer zien.

[ Voor 43% gewijzigd door Ome Ernst op 18-07-2017 16:46 ]

[Yarisken]

Ome Ernst schreef op dinsdag 18 juli 2017 @ 16:44:
Maar je kan ook mensen in hun waarde laten. Mikrotik met z´n bijbehorende
steile leercurve is niet voor iedereen. Sterker nog, ik denk dat velen veiliger zijn met
een simpelere router die ze wel begrijpen en kunnen instellen, dan een met 3 duizend
opties en door de bomen het bos niet meer zien.

Ik heb ook jaren met openwrt gepruld :-). Bedoel het dus zeker niet slecht -p.
Ben blij dat ik het ben tegengekomen.

[Zaffo]

RouterOS v6.40 is released als nieuwe current. Er is nu o.a. een default IPv6 firewall (en een update voor de default IPv4 firewall).

De bridge hardware offloading ontwikkeling die even in v6.40rc zat is weer aanwezig in v6.41rc.

[Verwijderd]

Ja, net erop gezet. Op RB 2011, 951, Omnitik, geen probleem.

[WeaZuL]

Ik ga mijn firmware ook maar eens vernieuwen. Wat mij zo stoort aan alle veel howto's, behalve de MT wiki, is dat alles met screenshots (winbox) wordt gedocumenteerd . CMD line is toch zoveel makkelijker? Zijn er dan zoveel mensen cmdline schuw

[ Voor 4% gewijzigd door WeaZuL op 26-07-2017 16:07 ]

[Verwijderd]

Voor het "gros" van het volk zijn screenshots veel zeggender.

Klopt, commandline is makkelijk (copy / paste).

Het is waarmee je bent "opgegroeid" (of wat je als eerste geleerd hebt).

Voorbeeld: In Nederland is alles metrisch, behalve in de luchtvaart. Daar gebruikt men voeten voor hoogte. Ik heb aan parachutespringen gedaan, en daar worden alle hoogtes in voeten afgeroepen en aangehouden. Ga het maar niet in je hoofd halen om die voeten om te zetten in meters, want het heeft geen nut.

Dus gewoon voeten aangeleerd in een metrisch land.

[ Voor 66% gewijzigd door Verwijderd op 26-07-2017 22:12 ]

[Keiichi]

Verwijderd schreef op woensdag 26 juli 2017 @ 22:10:
Voorbeeld: In Nederland is alles metrisch, behalve in de luchtvaart. Daar gebruikt men voeten voor hoogte. Ik heb aan parachutespringen gedaan, en daar worden alle hoogtes in voeten afgeroepen en aangehouden. Ga het maar niet in je hoofd halen om die voeten om te zetten in meters, want het heeft geen nut.

Dus gewoon voeten aangeleerd in een metrisch land.

In de zweefvliegtuigen waar ik in vlieg, is de hoogtemeter gewoon in meters.

[Raymond P]

Naar mijn mening zijn de screenshots van Winbox vrij eenvoudig te vertalen naar command line.

Andersom lijkt mij lastiger.

[WeaZuL]

Ik heb momenteel twee wapAC's waarvan de behuizing zwart is. Is het mogelijk om ergens witte kunststof behuizingen los te bestellen?

[Verwijderd]

Even eraf halen, en met een witte spuitbus eroverheen spuiten? Let weel dat de lak geen metaaldeeltjes bevat (opvragen bij fabrikant).

[lier]

Zwarte verkopen en een stel witte kopen?

[M@rijn]

Ik zit hier met iets waar ik niet helemaal lekker uit kom. We hebben hier 100/100 glas liggen welke ook echt 100/100 is als ik mijn laptop erop aansluit (1GB auto negotiate).
Nu hebben we al een tijdje de RB211UAS-2HnD draaien (Versie 6.33.3) en hier krijg ik maar met moeite 53Mbit down en 86Mbit up uit getrokken.

De bridge die ik gebruik voor inkomend en uitgaand is ether2-master-local en ether6-master-local (eerste UTP poort en de vijfde).
Het aantal netwerkregels zit op max 15 dus hier verwacht ik niet die drop in traffic van.

De connectie met de glasboer is een direct verbinding (geen PPTP meuk maar gewoon IP invullen en klaar).

Fasttrack staat.

Welke zaken zie ik mogelijk nog over het hoofd om meer performance hieruit te halen?

[lier]

Zou geen probleem mogen zijn...

Hoe test je (draadloos of met draad)?
Heb je dubbele NAT (of is het echt alleen een bridge)?
Waarom draai je nog een oude(re) firmware?
Kan je een config posten?

[M@rijn]

Hoe test je (draadloos of met draad)?

Ah allemaal vergeten te zeggen t is nog vroeg
Ik test bedraad vanaf een server wat aan onze coreswitch hangt (1Gigabit) met oa. speedtest.net en speedof.me (bedraad dus).

Heb je dubbele NAT (of is het echt alleen een bridge)?

Volgens mij een enkele NAT (in de firewall settings en een brug voor de interfaces zelf, anders kreeg ik het niet werkend toendertijd.

Waarom draai je nog een oude(re) firmware?

If aint broken don't fix it.
Ik heb hier recent naar gekeken maar zag behoorlijk wijzigingen in onderliggende systemen en durfde het nog niet aan om te upgraden.

Misschien toch interessant om het risico in te gaan calculeren

Kan je een config posten?

Zie hieronder

code:

# jul/31/2017 09:09:37 by RouterOS 6.33.3
# software id = 2Q5L-9CLW
#
/interface bridge
add admin-mac=00:00:00:00:00:00 auto-mac=no name=bridge-local
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-Ce distance=indoors frequency=auto mode=ap-bridge ssid=MikroTik-45ED1D \
    wireless-protocol=802.11
/interface ethernet
set [ find default-name=ether1 ] name=ether1-gateway
set [ find default-name=ether2 ] name=ether2-master-local
set [ find default-name=ether3 ] master-port=ether2-master-local name=ether3-slave-local
set [ find default-name=ether4 ] master-port=ether2-master-local name=ether4-slave-local
set [ find default-name=ether5 ] master-port=ether2-master-local name=ether5-slave-local
set [ find default-name=ether6 ] name=ether6-master-local
set [ find default-name=ether7 ] master-port=ether6-master-local name=ether7-slave-local
set [ find default-name=ether8 ] master-port=ether6-master-local name=ether8-slave-local
set [ find default-name=ether9 ] master-port=ether6-master-local name=ether9-slave-local
set [ find default-name=ether10 ] master-port=ether6-master-local name=ether10-slave-local
/ip neighbor discovery
set ether1-gateway discover=no
/interface vlan
add disabled=yes interface=bridge-local name=vlan1 vlan-id=1
add interface=bridge-local l2mtu=1594 name=vlan20 vlan-id=20
add interface=bridge-local l2mtu=1594 name=vlan30 vlan-id=30
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip dhcp-server
add disabled=no interface=bridge-local name=default
/ip dhcp-server option
add code=144 name=polycom value="'VLAN-A=20;'"
/ip pool
add name="Pool - VoIP" ranges=192.168.20.2-192.168.20.50
add name="Pool - Open" ranges=192.168.30.1-192.168.30.250
/ip dhcp-server
add address-pool="Pool - VoIP" disabled=no interface=vlan20 lease-time=1d name="vlan20 - VoIP"
add address-pool="Pool - Open" disabled=no interface=vlan30 lease-time=4h name="vlan30 - Open"
/system logging action
set 0 memory-lines=100
set 1 disk-lines-per-file=100
/tool user-manager customer
set admin access=own-routers,own-users,own-profiles,own-limits,config-payment-gw
/interface bridge port
add bridge=bridge-local interface=ether2-master-local
add bridge=bridge-local interface=ether6-master-local
add bridge=bridge-local interface=sfp1
add bridge=bridge-local interface=wlan1
/ip address
add address=192.168.88.1/24 comment="default configuration" interface=bridge-local network=192.168.88.0
add address=192.168.88.1/24 comment="default configuration" interface=ether2-master-local network=192.168.88.0
add address=<<extern-ip>>/30 interface=ether1-gateway network=77.242.117.152
add address=192.168.0.1/24 interface=bridge-local network=192.168.0.0
add address=192.168.20.1/24 interface=vlan20 network=192.168.20.0
add address=192.168.30.1/24 interface=vlan30 network=192.168.30.0
/ip dhcp-client
add comment="default configuration" dhcp-options=hostname,clientid disabled=no interface=ether1-gateway
add comment="default configuration" dhcp-options=hostname,clientid interface=ether1-gateway
add comment="default configuration" dhcp-options=hostname,clientid interface=ether1-gateway
/ip dhcp-relay
add dhcp-server=192.168.0.2 disabled=no interface=bridge-local local-address=192.168.0.1 name=dhcp-relay
/ip dhcp-server network
add address=192.168.0.0/24 dns-server=192.168.0.2 domain=hq.mangrove.net gateway=192.168.0.1
add address=192.168.20.0/24 dhcp-option=polycom dns-server=8.8.8.8,8.8.4.4 gateway=192.168.20.1 netmask=24
add address=192.168.30.0/24 dns-server=8.8.8.8,8.8.4.4 gateway=192.168.30.1
add address=192.168.88.0/24 comment="default configuration" gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 name=router
add address=8.8.8.8 name=Google
/ip firewall address-list
add address=192.168.0.0/24 list=admin-access
add address=192.168.88.0/24 list=admin-access
/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=established,related
add action=drop chain=input comment="default configuration" in-interface=ether1-gateway
add action=fasttrack-connection chain=forward comment="default configuration" connection-state=established,related
add chain=forward comment="default configuration" connection-state=established,related
add chain=input src-address-list=admin-access
add action=drop chain=forward comment="default configuration" connection-state=invalid
add action=drop chain=forward comment="default configuration" connection-nat-state=!dstnat connection-state=new in-interface=ether1-gateway
add action=drop chain=input dst-port=53 in-interface=ether1-gateway protocol=udp
add action=drop chain=input dst-port=53 in-interface=ether1-gateway protocol=tcp
add action=drop chain=forward dst-address=192.168.0.0/24 src-address=192.168.30.0/24
add action=drop chain=input dst-port=21,22,23,53,80,443,8291 protocol=tcp
/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" out-interface=ether1-gateway
add action=dst-nat chain=dstnat comment="VPN Portforward to OpenVPN Daemon on DC-01" dst-address=<<extern-ip>> dst-port=1194 protocol=udp to-addresses=\
    192.168.0.2 to-ports=1194
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set sip disabled=yes
/ip route
add distance=1 gateway=<<extern-ip-gateway>>
add distance=1 gateway=<<extern-ip-gateway>>
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www address=192.168.0.0/16
set ssh address=192.168.0.0/16
set api address=192.168.0.0/16 disabled=yes
set winbox disabled=yes
set api-ssl address=192.168.0.0/16 disabled=yes
/lcd interface pages
set 0 interfaces="sfp1,ether1-gateway,ether2-master-local,ether3-slave-local,ether4-slave-local,ether5-slave-local,ether6-master-local,ether7-slave-local,et\
    her8-slave-local,ether9-slave-local,ether10-slave-local"
/system clock
set time-zone-name=Europe/Amsterdam
/system identity
set name=RB2011UAS-RM
/system ntp client
set enabled=yes primary-ntp=213.132.210.101 secondary-ntp=37.34.57.151
/tool bandwidth-server
set enabled=no
/tool mac-server
set [ find default=yes ] disabled=yes
add interface=ether2-master-local
add interface=ether3-slave-local
add interface=ether4-slave-local
add interface=ether5-slave-local
add interface=ether6-master-local
add interface=ether7-slave-local
add interface=ether8-slave-local
add interface=ether9-slave-local
add interface=ether10-slave-local
add interface=sfp1
add interface=wlan1
add interface=bridge-local
/tool mac-server mac-winbox
set [ find default=yes ] disabled=yes
add interface=ether2-master-local
add interface=ether3-slave-local
add interface=ether4-slave-local
add interface=ether5-slave-local
add interface=ether6-master-local
add interface=ether7-slave-local
add interface=ether8-slave-local
add interface=ether9-slave-local
add interface=ether10-slave-local
add interface=sfp1
add interface=wlan1
add interface=bridge-local
/tool user-manager database
set db-path=/user-manager

[Raymond P]

Als je vlan't op bridges dan ben je cpu bound, ...mikrotik-vlan-switching-without-bridging

Bekijk je resources eens op het moment dat je zo een speed test doet om te verifiëren.
Bij mijn eerste setup (van een CRS125) liep ik tegen hetzelfde aan.

[M@rijn]

CPU load komt tijdens diverse tests niet boven de 16%

[Zware Unit]

Komende maand ga ik over naar XS4ALL glasvezel en wil weer gebruik van maken van mijn MikroTik CCR1009-8G-1S-1S+ ipv de Draytek die XS4ALL levert. Heeft iemand ervaring welke SFP module ik nodig heb om de MikroTik direct te verbinden met de NTU?

[Verwijderd]

Ze zullen waarschijnlijk SM (Single Mode) gebruiken. En Mikrotik kennende die doet niet moeilijk. Ik het HP, Cisco, Ericsson, Finistar etc erin gehad, allemaal werken.

[Thralas]

Zware Unit schreef op maandag 31 juli 2017 @ 16:34:
Komende maand ga ik over naar XS4ALL glasvezel en wil weer gebruik van maken van mijn MikroTik CCR1009-8G-1S-1S+ ipv de Draytek die XS4ALL levert. Heeft iemand ervaring welke SFP module ik nodig heb om de MikroTik direct te verbinden met de NTU?

Volgens mij een BiDi TX 1310 nm RX 1550 nm - ik heb nog nooit een andere genoemd zien worden in thuisglasvezelsituation, maar YMMV.

fs.com lijkt erg goedkoop, als tijd je niets uitmaakt..

Misschien kun je beter even op/in de Draytek zelf kijken?

[BubbaNL]

Kan iemand me vertellen of de 2011 router compatible is mbt poe van ubiquiti? Ik wil het LR access point via poe aansluiten indien mogelijk

[DJSmiley]

Thralas schreef op maandag 31 juli 2017 @ 21:30:
[...]


Volgens mij een BiDi TX 1310 nm RX 1550 nm - ik heb nog nooit een andere genoemd zien worden in thuisglasvezelsituation, maar YMMV.

fs.com lijkt erg goedkoop, als tijd je niets uitmaakt..

Misschien kun je beter even op/in de Draytek zelf kijken?

Klopt. Maar je kan gewoon de SFP van je Draytek in de Mikrotik prikken. Hoef je ook geen extra optics te bestellen. (En andders is FS idd een aanrader)

[lier]

BubbaNL schreef op maandag 31 juli 2017 @ 21:59:
Kan iemand me vertellen of de 2011 router compatible is mbt poe van ubiquiti? Ik wil het LR access point via poe aansluiten indien mogelijk

Zo lang je maar de nieuwe batch UAP-AC-LR's hebt.

[BubbaNL]

lier schreef op maandag 31 juli 2017 @ 22:08:
[...]

Zo lang je maar de nieuwe batch UAP-AC-LR's hebt.

Tnx voor de snelle reactie

[Hmmbob]

BubbaNL schreef op maandag 31 juli 2017 @ 22:17:
[...]


Tnx voor de snelle reactie

De vraag is of je dat wil, want als ik me niet vergis is poe uit op de 2011 alleen op port 10, welke weer enkel 100mbps levert. De capaciteit van die APs ligt veel hoger dan dat. Waarom niet aansluiten op een van de gigabit poorten en de poe injector gebruiken?

[BubbaNL]

Hmmbob schreef op zaterdag 5 augustus 2017 @ 22:41:
[...]

De vraag is of je dat wil, want als ik me niet vergis is poe uit op de 2011 alleen op port 10, welke weer enkel 100mbps levert. De capaciteit van die APs ligt veel hoger dan dat. Waarom niet aansluiten op een can de gigabit poorten en de poe injector gebruiken?

Dat bedacht ik me later ook. Dus toch maar met injector inderdaad. De ap doet het iig helemaal top.

[WeaZuL]

Vandaag op sha2017 een presentatie gezien van een kerel die zijn mikrotik router geroot had. Hij kwam met een verhaal dat je root toegang kreeg door met het "devel" account in te loggen en hetzelfde passwd te hanteren als het admin account. En met een script installeerde hij volgens mij busybox tools waarmee hij middels ls dan de content van / (root) kon laten zien en ook nog het resultaat van een uname -a liet zien.
Hij bracht het als zijnde groundbreaking naar aanleiding van zijn research, ik vond het allemaal niet zo spannend. De reden waarom hij wilde rooten was iets met Apple en een speciale printservice die je dan op je mikrotik router zou kunnen draaien. Tja ...
Ging hij ook nog triomfantelijk een demo geven dat hij met de interne buzzer muziek kon maken.

Echt, groundbreaking research

[Edit] hij was iig niet de eerste met zijn "ontdekking".

[ Voor 12% gewijzigd door WeaZuL op 07-08-2017 12:35 ]

[Zaffo]

Eerst een lang verhaal over RouterOS, maar daarna valt het een beetje dood. Als je fysieke toegang hebt tot het apparaat en een admin account kan je inderdaad vanalles doen, bijvoorbeeld een account "devel" aanmaken. Dat is over het algemeen toch juist positief. De vraag is meer of het nog kan met protected RouterBOOT enabled en/of geen admin account en zonder een complete reset van het apparaat.

Hij speelt Fur Elise, dat kan je hier op het Mikrotik forum vinden. Altijd leuk om met de interne buzzer te spelen.

[WeaZuL]

Zaffo schreef op maandag 7 augustus 2017 @ 18:19:
Eerst een lang verhaal over RouterOS, maar daarna valt het een beetje dood. Als je fysieke toegang hebt tot het apparaat en een admin account kan je inderdaad vanalles doen, bijvoorbeeld een account "devel" aanmaken. Dat is over het algemeen toch juist positief. De vraag is meer of het nog kan met protected RouterBOOT enabled en/of geen admin account en zonder een complete reset van het apparaat.

Precies, ik had een lekkere zoetsappige ZeroDay verwacht, je weet wel, zo'n onderzoeker die het responsible disclosure beleid aan zijn laars lapt, gehehe ik zag het al helemaal voor mij . Zeker nadat er in het begin nadrukkelijk op gewezen werd dat deze meneer in het verleden juridisch vervolgt was wegens een eerder research project van hem en dat bij deze wellicht hetzelfde zou kan gaan gebeuren. Maar wat een tegenvaller was dat zeg, Mikrotik doet hier wss helemaal noppes/nix/nada mee, aangezien het risico echt te verwaarlozen valt want idd, fysiek toegang en admin credentials. Pfffff ik ben nog steeds van de tegenvaller aan het bekomen

Hij speelt Fur Elise, dat kan je hier op het Mikrotik forum vinden. Altijd leuk om met de interne buzzer te spelen.

Tja, dat soort zaken zijn natuurlijk tweakers eigen maar nogmaals, zeg dan niet dat Mikrotik wellicht overgaat tot juridische stappen

[Verwijderd]

Iemand nog problemen me de nieuwe 6.40.1 versie? op een RB2011, 951, en 750G3 zonder problemen.

[Zaffo]

WeaZuL schreef op maandag 7 augustus 2017 @ 19:15:
[...]

Tja, dat soort zaken zijn natuurlijk tweakers eigen maar nogmaals, zeg dan niet dat Mikrotik wellicht overgaat tot juridische stappen

De link was ook vooral bedoeld voor iedereen die lekker wil tweaken. Zo heb ik zelf een scriptje geschreven dat een muziekje afspeelt als het internet weer toegankelijk is na meer dan X minuten downtime.

Verwijderd schreef op maandag 7 augustus 2017 @ 19:44:
Iemand nog problemen me de nieuwe 6.40.1 versie? op een RB2011, 951, en 750G3 zonder problemen.

Nope, al geupdate op een mAP, mAP lite en 750Gr2.

[Hmmbob]

Werkt igmp snooping nu op de rb2011?

[Verwijderd]

Geen idee. Ik heb geen interactieve TV.

[jvanhambelgium]

Verwijderd schreef op maandag 7 augustus 2017 @ 19:44:
Iemand nog problemen me de nieuwe 6.40.1 versie? op een RB2011, 951, en 750G3 zonder problemen.

Nope, vlotte upgrade op m'n RB3011

[Zware Unit]

Gisteren de overstap gemaakt van MikroTik naar UniFy Security Gateway Pro (link).

De UniFy configuratie via GUI is enorm basic en dus vrij kansloos en is bij MikroTik toch wel stukke beter geregeld. Echter via SSH kom je al snel in een bekende en vertrouwde linux omgeving, waardoor de router tot in detail te configureren is. Ik ben overgestapt aangezien ik niet tevreden was over de stabiliteit van de Cisco WAP371 APs. UniFy lijkt tot op heden op een complete en vooral stabiele totaal oplossing.

[ Voor 8% gewijzigd door Equator op 23-08-2017 14:13 . Reden: V&A link verwijderd ]

[Verwijderd]

Normaliter, als je eenmaal een goed werkende setup hebt, laat je deze staat. Gedurende jaren kan het goed draaien.

Dus eigenlijk wil je als gebruiker: Zet iets neer, laat dat 5 jaar draaien, en heb geen omkijken naar.

\Dit kan je makkelijk met Mikrotik (maar ook met Unifi) realiseren.

[tjanssen]

Sinds enige tijd heb ik een hAP AC. Dit werkt allemaal prima. Met de WIFI haal ik op AC netjes mijn 150 Mbit/s zoals verkocht door Ziggo, zowel op een laptop als een telefoon. Nu heb ik achter in de tuin slecht bereik. Hiervoor wilde ik een wAP AC aanschaffen. Hierop vooruitlopend heb ik mijn WIFI configuratie van de hAP AC alvast omgezet naar CAPSMAN. Dit lijkt allemaal goed te werken, alleen haal ik nu op de WIFI nog maar een 50 Mbit/s. Dit terwijl de clients wel verbonden zijn op de 5 GHz band. Of ik nu met een telefoon of laptop verbind, dit maakt geen verschil. Wat me verder ook opvalt is dat de instelmogelijkheden m.b.t. radio in CAPSMAN lang niet zo uitgebreid zijn als in de normale WIFI configuratie.

Weet iemand raad?

[WeaZuL]

tjanssen schreef op woensdag 23 augustus 2017 @ 10:07:
Sinds enige tijd heb ik een hAP AC. Dit werkt allemaal prima. Met de WIFI haal ik op AC netjes mijn 150 Mbit/s zoals verkocht door Ziggo, zowel op een laptop als een telefoon. Nu heb ik achter in de tuin slecht bereik. Hiervoor wilde ik een wAP AC aanschaffen. Hierop vooruitlopend heb ik mijn WIFI configuratie van de hAP AC alvast omgezet naar CAPSMAN. Dit lijkt allemaal goed te werken, alleen haal ik nu op de WIFI nog maar een 50 Mbit/s. Dit terwijl de clients wel verbonden zijn op de 5 GHz band. Of ik nu met een telefoon of laptop verbind, dit maakt geen verschil. Wat me verder ook opvalt is dat de instelmogelijkheden m.b.t. radio in CAPSMAN lang niet zo uitgebreid zijn als in de normale WIFI configuratie.

Weet iemand raad?

Wat je eigenlijk zegt is dat je zonder capsman 150mbit haalt en met capsman 50mbit? Zijn alle omgevingsfactoren en instellingen hetzelfde op het moment dat je de HapAC geconfigureerd hebt? Je zou de configs ook kunnen vergelijken omdat je al aangaf dat je configuratie opties minder uitgebreid zijn?

[tjanssen]

WeaZuL schreef op woensdag 23 augustus 2017 @ 10:44:
[...]


Wat je eigenlijk zegt is dat je zonder capsman 150mbit haalt en met capsman 50mbit? Zijn alle omgevingsfactoren en instellingen hetzelfde op het moment dat je de HapAC geconfigureerd hebt? Je zou de configs ook kunnen vergelijken omdat je al aangaf dat je configuratie opties minder uitgebreid zijn?

Inderdaad, dit is wat ik bedoel. Misschien zit er iets raars in mijn configs dan?

Dit is mijn config zonder CAPSMAN:

paste de relevante code, of een link naar de full config. 1000+ rules in een post maakt t topic onoverzichtelijk

[ Voor 98% gewijzigd door DJSmiley op 28-10-2017 12:56 ]

[tjanssen]

Sorry voor de tweede post, in een enkel post werd het te lang...

En dit de config met CAPMAN:

paste de relevante code, of een link naar de full config. 1000+ rules in een post maakt t topic onoverzichtelijk

Zie ik iets over het hoofd dan?

[ Voor 99% gewijzigd door DJSmiley op 28-10-2017 12:57 ]

[Mattie112]

(behalve dat niemand die 2k lines aan config gaat lezen....)

Waarom CAPSMAN? Met 2 accesspoints is dat natuurlijk ook zwaar overkill

[tjanssen]

Mattie112 schreef op woensdag 23 augustus 2017 @ 15:19:
(behalve dat niemand die 2k lines aan config gaat lezen....)

Waarom CAPSMAN? Met 2 accesspoints is dat natuurlijk ook zwaar overkill

Voor seamless roaming ook?

[Mattie112]

Tja allicht is dat anders maar zolang je AP's op het zelfde SSID en password zitten gaat je device in elk geval automatisch over. In hoeverre je dat seamless genoeg vind weet ik natuurlijk niet

(voor mij heeft de "simpele" manier altijd voldaan in elk geval)

[WeaZuL]

Ik zie je configs echter ben ik niet diegen die daar wat zinnigs over kan zeggen helaas.

tjanssen schreef op donderdag 24 augustus 2017 @ 15:04:
[...]


Voor seamless roaming ook?

Seamless roaming? Volgens mij ondersteunt Mikrotik dat niet, enkel middels een FW rule welke de client kicked wanneer het signaal zwakker is dan n. Wat hierboven volgens mij ook aangegeven wordt is dat de client vaak de initiator is in het veranderen van AP voor zover ik het begrijp.

[ Voor 6% gewijzigd door WeaZuL op 24-08-2017 16:49 ]

[WeaZuL]

Mattie112 schreef op woensdag 23 augustus 2017 @ 15:19:
....

Waarom CAPSMAN? Met 2 accesspoints is dat natuurlijk ook zwaar overkill

Ik dacht dat CAPSMAN de defacto standaard is/was om WAP's te configgen. Je zegt dus eigenlijk dat je die ook makkelijk kan configureren zonder tussenkomst van CAPSMAN? Dat wist ik niet, daar ga ik ook eens naar kijken. Dat icm tests mbt snelheid in het geval van managed by capsman en zonder, kijken of ik dat gedrag kan reproduceren.

[Mattie112]

Nou, in principe kan je al je accesspoints gewoon als "los" device zien (en ook zo configureren). Dat ze dan "toevallig" dezelfde SSID / passwd (channel maakt niet uit) hebben zorgt er voor dat je device automatisch over zal schakelen.

(zo kan je ook prima meerdere merken combineren, je hebt alleen geen centraal punt om in 1x al je wifi clients te zien maar ach.... zolang je DHCP maar op 1 device doet kan je daar genoeg aan zien wie er verbonden zijn)

[ Voor 32% gewijzigd door Mattie112 op 24-08-2017 16:54 ]

[tjanssen]

Mattie112 schreef op donderdag 24 augustus 2017 @ 16:15:
Tja allicht is dat anders maar zolang je AP's op het zelfde SSID en password zitten gaat je device in elk geval automatisch over. In hoeverre je dat seamless genoeg vind weet ik natuurlijk niet

(voor mij heeft de "simpele" manier altijd voldaan in elk geval)

Dit had ik voorheen ook, maar toen bleven sommige apparaten nog lang te lang hangen op het verkeerde access point. Had gehoopt hiervan verlost te zijn. Achteraf bleek het access point niet helemaal OK, een hoop packet loss. Misschien dat op de domme conventionele methode met een extra wAP erbij toch beter gaat.

[Verwijderd]

Wat eigenlijk CAPSMAN doet, is één profiel maken, en deze "pushen" naar de AP's. Je moet alsnog de AP eerst configureren als AP, en bereikbaar hebben.

[The Executer]

Hoe kan ik controleren welke DNS server gebruikt wordt? De reden dat ik het vraag: Via mijn ISP (Ziggo, Ubee EVW3200 in bridge) krijg ik 2 DNS server adressen door. Wanneer ik handmatig bv. de Google DNS servers in stel, zijn er 4 adressen bekend. Is er ergens iets van prioritering oid in te stellen?

[Verwijderd]

Diegene die bovenaan staan zullen als eerste aangesproken worden. M.a.w: op volgorde. Als de eerste niet (op tijd) antwoordt, wordt nummer twee gepakt etc...

Ik heb zowel Google als OpenDNS en Ziggo gebruikt, en ik vind Google beter werken.

[ Voor 21% gewijzigd door Verwijderd op 03-10-2017 15:57 ]

[Zaffo]

v6.40.4 [current] is beschikbaar.

Inmiddels een hEXv2, hEXv3, mAP en mAP lite geupdate en ik kan deze post nog plaatsen.

[SpikeHome]

Heren ben al een paar dagen aan het stoelen met vlans.
krijg het niet goed eigenlijk.
zal wel iets verkeerds doen.
hier mijn situatie:


Momenteel werkt het zonder vlans en zonder het guest wifi (die is uitgezet).
Ook alle poorten staan nog op 1 netwerk.

wat zijn de juiste stappen om te doen?
TNX

[Zaffo]

Wat is precies je doel met de vlans?
Is het alleen voor de wifi, of wil je ook bedrade systemen scheiden?
Welke APs heb je en ondersteunen deze vlans, of zijn het de wlan interfaces van de RB2011 zelf?
Wat heb je tot nog toe al ingesteld mbt vlans? Wat krijg je niet goed?

Begin met het toevoegen van een VLAN interface op eth2 op je router. Voeg hier een dhcp server aan toe. Voeg dan een VLAN interface toe op je 2e RB2011 met een dhcp client. Gewoon om te proberen. Als dit werkt kan je bridges toevoegen en interfaces aan die bridges hangen.

Als dat allemaal goed werkt kan je later nog kijken of je de switch-chip wil gebruiken.

Edit: Hierbij nog een notitie van toen ik met vlans begon.

VLAN op router
- bepaal vlan ID = 10
- create interface vlan10
- (DHCP) add pool
- (DHCP) add address to interface vlan10
- (DHCP) add dhcp network
- (DHCP) add dhcp server to vlan interface (dhcp-vlan110)
- firewall instellen

[ Voor 19% gewijzigd door Zaffo op 06-10-2017 10:50 ]

[SpikeHome]

@zaffo ik bedoel inderdaad de wlan van de 2011 zelf waar ik 2 netwerken op heb draaien.
Daarnaast ook nog enkele poorten die op dezelfde vlan mogen zitten.
Ik zal vanavond ermee verder prutsen dank voor je antwoord iig

[WeaZuL]

Ik ben op zoek naar een manier om mijn CRS125 tegen de muur te schroeven. Nu kom ik twee montage methodes tegen:



en / of



Iemand er ervaring mee en/of enig idee waar ik iets dergelijks kan scoren?

[DJSmiley]

Die eerste zijn de rackbeugeltjes die meegeleverd worden. Die kun je ook gewoon een kwartslag draaien en 'm zo aan de muur zetten

Die 2e foto linkt naar Thingiverse. Die zul je dus zelf moeten printen (Of iemand vinden die dat voor je wil doen)
https://www.thingiverse.com/thing:2412499

[Verwijderd]

Wel coole beugels.

Maar van de andere kant: Hoe vaak "kijk" je ernaar? Als het maar vastzit, en geen probleem geeft, gebruik dan de originele beugels.

[WeaZuL]

Die eerste zijn de rackbeugeltjes die meegeleverd worden. Die kun je ook gewoon een kwartslag draaien en 'm zo aan de muur zetten

Die 2e foto linkt naar Thingiverse. Die zul je dus zelf moeten printen (Of iemand vinden die dat voor je wil doen)
https://www.thingiverse.com/thing:2412499

Verwijderd schreef op zaterdag 7 oktober 2017 @ 21:19:
Wel coole beugels.

Maar van de andere kant: Hoe vaak "kijk" je ernaar? Als het maar vastzit, en geen probleem geeft, gebruik dan de originele beugels.

Bij mijn crs125 zaten geen beugels, enig idee waar ik dergelijke beugels kan scoren? Ik ga bij de lokale hub ook maar eens een prijsopgave doen.

[DJSmiley]

WeaZuL schreef op zaterdag 7 oktober 2017 @ 21:42:
[...]


[...]


Bij mijn crs125 zaten geen beugels, enig idee waar ik dergelijke beugels kan scoren? Ik ga bij de lokale hub ook maar eens een prijsopgave doen.

Mmm zie dat jij de CRS125 desktop versie hebt. Bij de rackmount versie zitten de oortjes er wel bij

heb je wel de schroefgaten aan de zijkant ervoor?

En idd moet je anders wat fabriceren. Maar met een aluminum stripje kom je ook een eind

[WeaZuL]

DJSmiley schreef op zaterdag 7 oktober 2017 @ 22:14:
[...]


Mmm zie dat jij de CRS125 desktop versie hebt. Bij de rackmount versie zitten de oortjes er wel bij

heb je wel de schroefgaten aan de zijkant ervoor?

En idd moet je anders wat fabriceren. Maar met een aluminum stripje kom je ook een eind

Ja er zitten wel schroefgaten aan de zijkant. Klopt, met een alu strip kom je ook een eind. Ik heb net een 3dhub in de buurt aangeschreven, voor die beugels, ik ben benieuwd. Voor mij de eerste keer dat ik een aangeleverd model laat printen

[The Executer]

Hoe kijken jullie tegen onderstaande firewalling aan? Ik heb het in gebruik met address lists (Allow list/Blocked list).



- Traffic komt binnen, bijvoorbeeld poort 3389
- Source IP op allow list? Verkeer mag door.
- Indien source IP adres =! Allow list treed regel (bijvoorbeeld) 10 of 11 in werking en wordt je IP aan de address list toegevoegd, in dit geval de Blocked list
- Vervolgens treed regel 12 in werking, oftewel: Alles wat op de blocklist staat, wordt gedropt.

Ik heb bewust bovenaan ook een drop staan, om te voorkomen dat verkeer wat reeds door regel 10/11 op de blocklist gezet is en bij 12 gedropt wordt, nogmaals door de rules heen gaat en het opnieuw kan proberen.

[Hayertjez]

Heeft er iemand ervaring met MikroTik als vervanging van zijn Vodafone/T-Mobile glasvezel router (De DrayTek Vigor 2132FVn)? Ik wil namelijk een router kopen die ac ondersteunt. Via de pricewatch kwam ik uit op de MikroTik RB962UiGS-5HacT2HnT hAP ac.

[Zaffo]

The Executer schreef op dinsdag 10 oktober 2017 @ 10:08:
Hoe kijken jullie tegen onderstaande firewalling aan? Ik heb het in gebruik met address lists (Allow list/Blocked list).
(...)

Als een adres niet op de allow list staat, wordt het aan de block list toegevoegd. Wat is dan het voordeel van een blocklist behalve het verzamelen van adressen die je firewall proberen door te komen? Of mis ik iets?

[The Executer]

Zaffo schreef op dinsdag 10 oktober 2017 @ 17:27:
[...]

Als een adres niet op de allow list staat, wordt het aan de block list toegevoegd. Wat is dan het voordeel van een blocklist behalve het verzamelen van adressen die je firewall proberen door te komen? Of mis ik iets?

Volgens mij was dat de voorwaarde om het verkeer te kunnen droppen, maar durf het niet meer met zekerheid te zeggen.

[Thralas]

The Executer schreef op dinsdag 10 oktober 2017 @ 22:26:
[...]


Volgens mij was dat de voorwaarde om het verkeer te kunnen droppen, maar durf het niet meer met zekerheid te zeggen.

Dat is absoluut niet hoe het werkt.

(Linux firewalling en daarmee dus ook MikroTik)

Post ook bij voorkeur de output van de console/een export, dit screenshot is onbruikbaar om je ruleset echt fatsoenlijk te kunnen duiden. En vertel wat je wilt bereiken, dan is er ongetwijfeld een simpelere oplossing.

Als je bijvoorbeeld beoogt een 'allow list' te maken van adressen die bij 3389 mogen dan is het ontzettend simpel: ACCEPT 3389 src address-list, DROP <any>.

Die laatste DROP zou je sowieso aan het eind van je regels moeten hebben, dat is veel minder foutgevoelig dan 'alles toelaten tenzij het er een DROP/REJECT-rule is'.

Als laatste snap ik niet helemaal wat je bedoelt met 'nogmaals door de rules heen gaat'. Iedere inkomende packet gaat expliceit een keer door de rules. Enige uitzondering is verkeer dat gefasttracked wordt (rest van de sessie is dan impliciet allowed).

[The Executer]

Thralas schreef op dinsdag 10 oktober 2017 @ 22:35:
[...]


Dat is absoluut niet hoe het werkt.

(Linux firewalling en daarmee dus ook MikroTik)

Post ook bij voorkeur de output van de console/een export, dit screenshot is onbruikbaar om je ruleset echt fatsoenlijk te kunnen duiden. En vertel wat je wilt bereiken, dan is er ongetwijfeld een simpelere oplossing.

Als je bijvoorbeeld beoogt een 'allow list' te maken van adressen die bij 3389 mogen dan is het ontzettend simpel: ACCEPT 3389 src address-list, DROP <any>.

Die laatste DROP zou je sowieso aan het eind van je regels moeten hebben, dat is veel minder foutgevoelig dan 'alles toelaten tenzij het er een DROP/REJECT-rule is'.

Als laatste snap ik niet helemaal wat je bedoelt met 'nogmaals door de rules heen gaat'. Iedere inkomende packet gaat expliceit een keer door de rules. Enige uitzondering is verkeer dat gefasttracked wordt (rest van de sessie is dan impliciet allowed).

Wat ik wil bereiken:

- Gebruiken allow-list t.b.v. extern toegang RDP, VPN en overige poortforwardingen/Winbox vanaf door mij aangegeven vertrouwde IP-adressen. In eerste instantie ontstaan door gebruik PPTP (onveilig!), waarbij mijn logs volgegooid werd met inlogpogingen. Later ook gebruikt om bijvoorbeeld remote bij SabNZBD/RDP te kunnen waarbij ik "zeker weet de enige te zijn" die er bij kan.
- Blokkeren inkomend verkeer wat niet op allow-list staat. Dit als gevolg van de vele inlogpogingen op VPN, en later op RDP.

De laatste drop die je ziet heb ik aan het einde van mijn eigen regels, omdat de drop in principe niet later in de regels van toepassing is. De regels ervoor laten specifiek (dus niet alles zoals je aangeeft) verkeer door of zetten een adres in de address-list blocked waarna het overige verkeer wat aan de drop-regel voldoet (if source-ip == addresslist blocked result drop) geblokkeerd word.

De eerste drop heb ik erop zitten om het binnenkomende verkeer wat anders pas bij stap 10 eruit geknikkerd wordt, reeds eerder te onderscheppen en te droppen. Anders gaan die packets opnieuw door regels 1 t/m 9 voordat het gedropt wordt bij regel 10 wat onnodig is/onnodig cpu kost. Immers, ik weet toch al dat ik verkeer vanaf die adressen niet binnen wil hebben aangezien zij gepoogd hebben een RDP of VPN connectie op te bouwen terwijl het verkeer uit bv China is. Hoe eerder droppen, hoe beter.

Morgen maak ik even een export, heb op dit moment alleen even mijn telefoon.