[MikroTik-apparatuur] Ervaringen & Discussie

[Thralas]

The Executer schreef op woensdag 11 oktober 2017 @ 00:02:
- Gebruiken allow-list t.b.v. extern toegang RDP, VPN en overige poortforwardingen/Winbox vanaf door mij aangegeven vertrouwde IP-adressen.

Duidelijk.

De regels ervoor laten specifiek (dus niet alles zoals je aangeeft)

Met die opmerking doelde ik op het feit dat de MikroTik firewall een ACCEPT policy kent. Met andere woorden, al het verkeer dat door geen enkele regel wordt gematcht wordt geaccepteerd.

Anders gaan die packets opnieuw door regels 1 t/m 9 voordat het gedropt wordt bij regel 10 wat onnodig is/onnodig cpu kost.

Ah, nu snap ik de redenering. Dat klopt in theorie, maar in de praktijk verlies je echter veel meer aan leesbaarheid van je ruleset op dan je wint aan performance. Dat laatste is simpelweg verwaarloosbaar..

Met fasttrack enabled ziet je firewall al bijna geen verkeer, en ESTABLISHED accepteer je meestal al ergens bovenaan. Dan heb je alleen nog nieuwe verbindingen die door je chains moeten. Stelt niets voor, en anders heb je waarschijnlijk inmiddels al meerdere problemen tegelijkertijd

[WeaZuL]

WeaZuL schreef op zaterdag 7 oktober 2017 @ 22:19:
[...]


Ja er zitten wel schroefgaten aan de zijkant. Klopt, met een alu strip kom je ook een eind. Ik heb net een 3dhub in de buurt aangeschreven, voor die beugels, ik ben benieuwd. Voor mij de eerste keer dat ik een aangeleverd model laat printen

Mijn CRS125 ge3d printe muurmontagebeugels zijn binnen, ben er erg content mee. Enkel zit de aardingspin aan de achterzijde in de weg, zijn er mensen die die aardingspin in gebruik hebben?

Mocht iemand interesse hebben in een 3d print job, kunnen ze middels deze code extra printegoed scoren.

[ Voor 4% gewijzigd door WeaZuL op 11-10-2017 16:17 ]

[Verwijderd]

Aardingspin is in principe niet nodig. Als je hem echt wilt, zet hem dan op een andere plek. Gaatje boren (voorzichtig met slijpsel op de print), verf wegkrassen en klaar. Het beste kan je dat doen, als de print er helemaal uit is.

[WeaZuL]

Ik heb nou mijn mikrotik setup in "productie" draaien, een CRS125-24g-1S-RM icm twee losse wAP-ac's, een op de begane grond en 1 op de eerste verdieping. Gaat tot nu toe goed, wel wat hulp hier en daar nodig gehad bij de config maar de basis staat er! Nu wordt ik gedwongen om naar de zolder te verhuizen met mijn kantoor en kom ik eigenlijk 1 UTP aansluiting te kort. Nu viel mijn oog op de nieuwe? hAP-ac RB962UIGS-5HACT2hnt-hap-ac.
Nu lees ik echter op het mikrotik forum redelijk recente posts over deze router waar problemen mee zijn met name trage Lan/wan throughput. Mijn vraag is heeft iemand hier een dergelijke hAP-ac en wat zijn daar je ervaringen mee?

[ Voor 7% gewijzigd door WeaZuL op 13-10-2017 12:38 ]

[allure]

WeaZuL schreef op vrijdag 13 oktober 2017 @ 12:32:
Ik heb nou mijn mikrotik setup in "productie" draaien, een CRS125-24g-1S-RM icm twee losse wAP-ac's, een op de begane grond en 1 op de eerste verdieping. Gaat tot nu toe goed, wel wat hulp hier en daar nodig gehad bij de config maar de basis staat er! Nu wordt ik gedwongen om naar de zolder te verhuizen met mijn kantoor en kom ik eigenlijk 1 UTP aansluiting te kort. Nu viel mijn oog op de nieuwe? hAP-ac RB962UIGS-5HACT2hnt-hap-ac.
Nu lees ik echter op het mikrotik forum redelijk recente posts over deze router waar problemen mee zijn met name trage Lan/wan throughput. Mijn vraag is heeft iemand hier een dergelijke hAP-ac en wat zijn daar je ervaringen mee?

Ik weet dat de WAN-throughput max 200Mbit is van de CRS125.

[Aesculapius]

WeaZuL schreef op vrijdag 13 oktober 2017 @ 12:32:
Ik heb nou mijn mikrotik setup in "productie" draaien, een CRS125-24g-1S-RM icm twee losse wAP-ac's, een op de begane grond en 1 op de eerste verdieping. Gaat tot nu toe goed, wel wat hulp hier en daar nodig gehad bij de config maar de basis staat er! Nu wordt ik gedwongen om naar de zolder te verhuizen met mijn kantoor en kom ik eigenlijk 1 UTP aansluiting te kort. Nu viel mijn oog op de nieuwe? hAP-ac RB962UIGS-5HACT2hnt-hap-ac.
Nu lees ik echter op het mikrotik forum redelijk recente posts over deze router waar problemen mee zijn met name trage Lan/wan throughput. Mijn vraag is heeft iemand hier een dergelijke hAP-ac en wat zijn daar je ervaringen mee?

Ik heb meerdere van de HAP-AC's draaien op verschillende plekken en in de eerste serie zat inderdaad een oververhittingsprobleem waardoor de throughput drastisch daalde. Als je echter bij een goede leverancier nu een nieuwe unit aanschaft, heb je er een uit de nieuwe serie en daar zit dit probleem niet meer in.

Faulty series have this SN:

673705 1BD37F
673705 E06641
673705 914040

Zorgen dus dat je een 6 of hoger hebt op die plek.

[WeaZuL]

Ik ben vandaag bezig met mijn sfp interface om deze werkend te krijgen met mijn xs4all ftth aansluiting maar dat vlot nog niet zo. Ik zie op de interface sfp1 transmit verkeer maar geen receive. Pppoe cliënt probeert continu te connecten, maar blijft dit proberen.

/interface ethernet monitor sfp1 geeft link-ok

Hiervoor zat ik met de NTU op ether1 en dat werkte zonder issues, het enigewat ik nu gewijzigd heb is de glaskabel gemonteerd en in vlan6 de interface gewijzigd naar sfp1. Zou moeten werken toch?

[ Voor 8% gewijzigd door WeaZuL op 17-10-2017 14:04 ]

[DJSmiley]

WeaZuL schreef op dinsdag 17 oktober 2017 @ 14:02:
Ik ben vandaag bezig met mijn sfp interface om deze werkend te krijgen met mijn xs4all ftth aansluiting maar dat vlot nog niet zo. Ik zie op de interface sfp1 transmit verkeer maar geen receive. Pppoe cliënt probeert continu te connecten, maar blijft dit proberen.

/interface ethernet monitor sfp1 geeft link-ok

Hiervoor zat ik met de NTU op ether1 en dat werkte zonder issues, het enigewat ik nu gewijzigd heb is de glaskabel gemonteerd en in vlan6 de interface gewijzigd naar sfp1. Zou moeten werken toch?

Juiste SFP gebruikt? Als je SFP DDM heeft: Zijn je powerlevels goed?
Niet toevallig een 1Gbase-BX optic op een 100Base-BX lijn? de NTU's zijn vaak 100/1000Mbit

[WeaZuL]

DJSmiley schreef op dinsdag 17 oktober 2017 @ 14:53:
[...]


Juiste SFP gebruikt? Als je SFP DDM heeft: Zijn je powerlevels goed?
Niet toevallig een 1Gbase-BX optic op een 100Base-BX lijn? de NTU's zijn vaak 100/1000Mbit

Goede vraag, ik heb de volgende SFP module van deglasvezelshop.nl die ondertussen niet meer bestaat

[admin@MikroTik] > /interface ethernet monitor sfp1-gateway 
                    name: sfp1-gateway
                  status: link-ok
        auto-negotiation: disabled
                    rate: 1Gbps
             full-duplex: yes
         tx-flow-control: yes
         rx-flow-control: yes
      sfp-module-present: yes
             sfp-rx-loss: no
                sfp-type: SFP-or-SFP+
      sfp-connector-type: SC
     sfp-link-length-9um: 20000m
    sfp-link-length-50um: 550m
    sfp-link-length-62um: 550m
         sfp-vendor-name: CISCO-FINISAR
  sfp-vendor-part-number: GLC-BX-U
     sfp-vendor-revision: 1.0
       sfp-vendor-serial: 15080500304
  sfp-manufacturing-date: 15-08-05
          sfp-wavelength: 1310nm
         eeprom-checksum: good
                  eeprom: 0000: 03 04 01 00 00 00 00 12  00 0d 01 01 0d 00 14 >
                          0010: 37 37 00 00 43 49 53 43  4f 2d 46 49 4e 49 53 >
                          0020: 52 20 20 20 00 00 1d 77  47 4c 43 2d 42 58 2d >
                          0030: 20 20 20 20 20 20 20 20  31 2e 30 20 05 1e 00 >
                          0040: 00 1a 00 00 31 35 30 38  30 35 30 30 33 30 34 >
                          0050: 20 20 20 20 31 35 30 38  30 35 20 20 00 00 00 >
                          0060: 2d 00 11 dd 31 9a 4e 27  bb 0c 12 bf 1b ab 24 >
                          0070: 8b 76 a7 a8 83 00 00 00  00 00 3a f7 4f bb 83 >
                          0080: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 >
                          0090: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 >
                          00a0: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 >
                          00b0: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 >
                          00c0: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 >
                          00d0: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 >
                          00e0: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 >
                          00f0: 00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 >

Als ik vervolgens kijk in webmin bij interfaces -> SFP1 dan zijn de volgende DDM waarden leeg. Op basis daarvan kan ik dan concluderen dat deze SFP geen DDM ondersteund? Want hierboven geeft hij wel aan dat hij link heeft.

Temperature		 
Supply Voltage		 
Tx Bias Current		 
Tx Power		 
Rx Power		 
MAC Address	

Ik ben er nu wel klaar mee, dat wil zeggen van mij mag het wel ens gaan werken na twee jaar Ik heb ondertussen in vlan4 en 6 de interface weer terug gezet naar ether1-gateway en de NTU terug geklikt en de pppoe sessie werd direct weer established door de CRS125.

Hoe kom ik erachter of ik een 100mbit of een of een 1GBit glas aansluiting heb? Welke SFP moet ik hebben waar DDM wel en dus hopelijk ook de verbinding met XS4all FTTH werkt?

Alle drie de ledjes op de NTU branden groen, betekend dat niet 1Gbit?


Ter controle mijn huidige config:

[admin@MikroTik] > /export compact
# oct/17/2017 16:31:01 by RouterOS 6.40.4
# software id = IBJL-6CBP
#
# model = CRS125-24G-1S
/interface bridge
add arp=proxy-arp name=IPtv-proxy
add name=bridge-IPTV
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp l2mtu=1598 name=ether1-gateway speed=1Gbps
set [ find default-name=ether2 ] speed=1Gbps
set [ find default-name=ether5 ] master-port=ether2
set [ find default-name=sfp1 ] advertise=100M-full,1000M-full arp=proxy-arp auto-negotiation=no l2mtu=1598 \
    name=sfp1-gateway rx-flow-control=on tx-flow-control=on
/ip neighbor discovery
set sfp1-gateway discover=no
/interface vlan
add arp=proxy-arp comment="XS4ALL IPTV" interface=ether1-gateway name=VLAN4 vlan-id=4
add interface=ether1-gateway name=VLAN6 vlan-id=6
add interface=DB name=vlan1 vlan-id=1
/interface pppoe-client
add add-default-route=yes allow=pap,mschap2 comment="pppoe XS4ALL-internet" default-route-distance=1 \
    disabled=no interface=VLAN6 keepalive-timeout=20 max-mru=1500 max-mtu=1500 mrru=1600 name=pppoe-xs4all \
    password=kpn use-peer-dns=yes user=[e-mail]
/ip neighbor discovery
set VLAN4 discover=no
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=60 name=IPTV value="'IPTV_RG'"
add code=28 name=IPTV_BROADCAST value="'192.168.3.255'"
/ip dhcp-server option sets
add name=IPTV options=IPTV,IPTV_BROADCAST
/ip pool
add name=192.168.3 ranges=192.168.3.10-192.168.3.254
/ip dhcp-server
add address-pool=192.168.3 disabled=no interface=bridge-IPTV name=IPTV
/routing bgp instance
set default disabled=yes
add bridge=bridge-IPTV comment=defconf interface=ether17
add bridge=IPtv-proxy interface=VLAN4
/interface ethernet switch egress-vlan-tag
add tagged-ports=ether10,switch1-cpu vlan-id=5
/interface ethernet switch egress-vlan-translation
add customer-vid=5 new-customer-vid=0 ports=ether10
/interface ethernet switch ingress-vlan-translation
add customer-vid=0 new-customer-vid=5 ports=ether10
/interface ethernet switch vlan
add ports=ether10,switch1-cpu vlan-id=5
/ip address
add address=192.168.3.1/24 comment=IPTV interface=bridge-IPTV network=192.168.3.0
/ip dhcp-client
add add-default-route=special-classless default-route-distance=254 dhcp-options=\
    option60-vendorclass,clientid,hostname disabled=no interface=IPtv-proxy use-peer-dns=no use-peer-ntp=\
    no
add dhcp-options=hostname,clientid interface=VLAN6
add dhcp-options=hostname,clientid interface=sfp1-gateway
/ip dhcp-server network
add address=192.168.3.0/24 comment=IPTV dhcp-option-set=IPTV gateway=192.168.3.1
/ip firewall filter
add action=fasttrack-connection chain=forward connection-state=established,related disabled=yes
add action=accept chain=forward connection-state=established,related
add action=accept chain=input in-interface=pppoe-xs4all protocol=icmp
add action=accept chain=input connection-state=related
add action=accept chain=input connection-state=established
add chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept established,related" connection-state=\
    established,related
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=\
    established,related
add chain=input comment="defconf: accept established,related" connection-state=established,related
add chain=forward comment="defconf: accept established,related" connection-state=established,related
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=\
    !dstnat connection-state=new in-interface=VLAN6
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=\
    !dstnat connection-state=new in-interface=VLAN6
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=\
    !dstnat connection-state=new in-interface=VLAN6
add action=drop chain=input in-interface=VLAN6
add action=drop chain=input in-interface=pppoe-xs4all
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe-xs4all
add action=masquerade chain=srcnat comment=Internet out-interface=VLAN6
add action=masquerade chain=srcnat comment=IPTV dst-address=10.241.192.0/18 out-interface=IPtv-proxy
add action=masquerade chain=srcnat comment=IPTV2 dst-address=213.75.112.0/21 out-interface=IPtv-proxy
add action=masquerade chain=srcnat comment="NAT Loopback (IPTV)" out-interface=bridge-IPTV src-address=\
    192.168.3.0/24
/routing igmp-proxy interface
add alternative-subnets=10.241.192.0/18,213.75.0.0/16 interface=IPtv-proxy upstream=yes
add interface=bridge-IPTV
/system clock
set time-zone-name=Europe/Amsterdam
/system logging
add disabled=yes topics=debug
add topics=pppoe
add topics=interface
/system ntp client
set enabled=yes server-dns-names=0.nl.pool.ntp.org,1.nl.pool.ntp.org,2.nl.pool.ntp.org,3.nl.pool.ntp.org

Tevens lees ik hier dat de golflengte 1490nm RX moet zijn en mijn SFP is 1550nm RX, is dat de wellicht de reden?

[ Voor 96% gewijzigd door WeaZuL op 17-10-2017 17:30 ]

[Thralas]

Ik weet niets van optics, maar dat lijkt me inderdaad geen gekke aanname.

Zou het wel even driedubbelchecken met iemand die een SFP van XS4ALL heeft. Volgens mij leveren die soms een Fritzbox met SFP?

Zonde als je straks met 2 onbruikbare SFPs zit...

[DJSmiley]

WeaZuL schreef op dinsdag 17 oktober 2017 @ 15:43:
[...]


Hoe kom ik erachter of ik een 100mbit of een of een 1GBit glas aansluiting heb? Welke SFP moet ik hebben waar DDM wel en dus hopelijk ook de verbinding met XS4all FTTH werkt?

Alle drie de ledjes op de NTU branden groen, betekend dat niet 1Gbit?
[afbeelding]


Tevens lees ik hier dat de golflengte 1490nm RX moet zijn en mijn SFP is 1550nm RX, is dat de wellicht de reden?

Volgens mij is bij de meeste NT's idd oranje = 100Mbit, groen = 1Gbit.

1490nm zou goed kunnen. Weet ook niet in hoeverre dat bij KPN in de mix gebruikt wordt. De NT's zijn redelijk 'dom' en vreten zowel 100 als 1gbit, maar ook zowel 1490 als 1550nm

Je zou ook een 1490 SFP kunnen bestellen. Zijn ook de kosten niet (iets van 13 euro ofzo)(al zou het wel zonde zijn als ie alsnog op een plank beland)

Wel de juiste patchkabel en koppelbusjes gebruikt? (SC/PC naar SC/PC, singlemode dus in dit geval)

[tw1light]

Ik heb SFP met xs4all, en dat werkt prima. Heb deze: http://www.fs.com/products/39143.html
Dus 1310/1550 klopt qua wavelength

[WeaZuL]

Bedankt voor de tips, ik ga eens op zoek naar een nieuwe SFP. Ik wilde die twee via FS.com bestellen maar dan komt er naar NL een whopping 30eur aan verzk bij. Verzk naar de US is 50eur, voor 14eur aan SFP modules vind ik dat net wat te gortig. Maar ik weet iig wat ik moet hebben nu. Vreemde is dat er eigenlijk nergens bij wordt vermeld of de SFP DDM/DOM ondersteund. Dat maakt het er allemaal niet makkelijker op :-/

[DJSmiley]

WeaZuL schreef op dinsdag 17 oktober 2017 @ 20:34:
Bedankt voor de tips, ik ga eens op zoek naar een nieuwe SFP. Ik wilde die twee via FS.com bestellen maar dan komt er naar NL een whopping 30eur aan verzk bij. Verzk naar de US is 50eur, voor 14eur aan SFP modules vind ik dat net wat te gortig. Maar ik weet iig wat ik moet hebben nu. Vreemde is dat er eigenlijk nergens bij wordt vermeld of de SFP DDM/DOM ondersteund. Dat maakt het er allemaal niet makkelijker op :-/

Ze hebben ook een magazijn in DLD, en volgens mij doen ze ook aan 'goedkope trage chinashipping'.

Je kan natuurlijk ook even op Ebay oid rondneuzen of misschien zo'n ding bij een lokale IT partij ff vragen of je 'm kan lenen om te testen.

[tw1light]

WeaZuL schreef op dinsdag 17 oktober 2017 @ 20:34:
Bedankt voor de tips, ik ga eens op zoek naar een nieuwe SFP. Ik wilde die twee via FS.com bestellen maar dan komt er naar NL een whopping 30eur aan verzk bij. Verzk naar de US is 50eur, voor 14eur aan SFP modules vind ik dat net wat te gortig. Maar ik weet iig wat ik moet hebben nu. Vreemde is dat er eigenlijk nergens bij wordt vermeld of de SFP DDM/DOM ondersteund. Dat maakt het er allemaal niet makkelijker op :-/

Nee hoor, shipping kan ook voor ~ 4 euro. Kan t alleen iets langer duren, echter SFP was vanuit een warehouse in DE binnen een week geleverd bij mij

By the way!! Let er wel op dat deze SFP een LC connector heeft, en uit je XS4all aansluiting komt SC, bij mij althans. Ik heb de kabel in de NTU eenvoudig vervangen door een verloopkabeltje SC-LC voor 1euro, ook bij fs.

[ Voor 14% gewijzigd door tw1light op 17-10-2017 21:08 ]

[WeaZuL]

DJSmiley schreef op dinsdag 17 oktober 2017 @ 20:56:
[...]


Ze hebben ook een magazijn in DLD, en volgens mij doen ze ook aan 'goedkope trage chinashipping'.

Je kan natuurlijk ook even op Ebay oid rondneuzen of misschien zo'n ding bij een lokale IT partij ff vragen of je 'm kan lenen om te testen.

Ik heb een mail gestuurd met de vraag voor een custom shipping quote.

tw1light schreef op dinsdag 17 oktober 2017 @ 21:05:
[...]


Nee hoor, shipping kan ook voor ~ 4 euro. Kan t alleen iets langer duren, echter SFP was vanuit een warehouse in DE binnen een week geleverd bij mij

By the way!! Let er wel op dat deze SFP een LC connector heeft, en uit je XS4all aansluiting komt SC, bij mij althans. Ik heb de kabel in de NTU eenvoudig vervangen door een verloopkabeltje SC-LC voor 1euro, ook bij fs.

Thnx voor de reminder, dat had ik even over het hoofd gezien! Zal ik maar gelijk mee bestellen voor die prijs!

[allure]

Ik wil mijn huidige RB2011 gaan vervangen met een RB1100AHx4, ik zie dat er een versie MET en een versie zonder DUDE bestaat.

Volgens mij zijn beide RB1100AHx4 met en zonder DUDE hetzelfde met het verschil dat er in de DUDE versie een SSD ingebouwd is.

De RB1100AHx4 kost momenteel 237€ in de BTW en de RB1100AHx2 303€

Zie ik iets over het hoofd? Waarom is de nieuwere versie, de AHx4 goedkoper dan de AHx2?

[Thralas]

Euh, ik denk dat je bij de verkeerde winkels kijkt. Bij Interprojekt is de AHx2 gewoon (marginaal) goedkoper (219 vs 225 excl.).

Gewoon de AHx4 kopen lijkt me..

[Zaffo]

Misschien een winkel die de prijs verhoogd omdat de oude uit productie is, in de hoop dat wie nog perse een AHx2 wil hebben wel extra wil betalen.

Sidenote: Zaffo heeft de afgelopen dagen CAPsMAN aangezwengeld, een zien hoe dit bevalt.

[allure]

De adviesprijs is ook hoger op de site van Mikrotik, anyway, de RB1100AHx4 is besteld

[SpikeHome]

Ik ben nog steeds aan het prutsen met vlans.
Volgens mij heb ik zo de vlans voor elkaar alleen ik kan nog steeds en andere pc die op een ander vlan zit pingen.
Ik snap niet wat ik fout heb gedaan.
Hier is mijn config (wel even wachtwoorden eruit gehaald)

code:

# oct/19/2017 14:18:26 by RouterOS 6.40.3
# software id = S62Z-5GTT
#
# model = 2011UiAS-2HnD
# serial number = 4D4B0465FEA6
/interface bridge
add fast-forward=no name=bridge20private
add name=bridge30guests
/interface ethernet
set [ find default-name=ether1 ] mac-address=00:F2:90:65:64:DC name=\
    ether01-wan
set [ find default-name=ether2 ] name=ether02-uplink
set [ find default-name=ether3 ] name=ether03
set [ find default-name=ether4 ] name=ether04
set [ find default-name=ether5 ] name=ether05
set [ find default-name=ether6 ] name=ether06
set [ find default-name=ether7 ] name=ether07
set [ find default-name=ether8 ] name=ether08
set [ find default-name=ether9 ] name=ether09
set [ find default-name=sfp1 ] disabled=yes
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n basic-rates-b=\
    1Mbps,2Mbps,5.5Mbps,11Mbps disabled=no frequency=auto mac-address=\
    4C:5E:0C:49:43:54 mode=ap-bridge name=wlan-draadje ssid=draadje tx-power=\
    27 tx-power-mode=all-rates-fixed vlan-id=20 vlan-mode=use-tag \
    wireless-protocol=802.11 wps-mode=disabled
/ip neighbor discovery
set ether01-wan discover=no
/interface vlan
add interface=ether02-uplink name=vlan20-ether02 vlan-id=10
add interface=ether03 name=vlan20-ether03 vlan-id=20
add interface=ether04 name=vlan20-ether04 vlan-id=20
add interface=ether05 name=vlan20-ether05 vlan-id=20
add interface=ether06 name=vlan20-ether06 vlan-id=20
add interface=ether07 name=vlan20-ether07 vlan-id=20
add interface=ether08 name=vlan20-ether08 vlan-id=20
add interface=ether09 name=vlan20-ether09 vlan-id=20
add interface=ether10 name=vlan20-ether10 vlan-id=20
add interface=wlan-draadje name=vlan20-wlan-draadje vlan-id=20
add interface=bridge20private name=vlan20private use-service-tag=yes vlan-id=\
    20
add interface=ether02-uplink name=vlan30-ether02 vlan-id=30
add interface=bridge30guests name=vlan30guest vlan-id=30
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk eap-methods="" mode=\
    dynamic-keys supplicant-identity=MikroTik wpa-pre-shared-key=********** \
    wpa2-pre-shared-key=**********
add authentication-types=wpa2-psk eap-methods="" management-protection=\
    allowed mode=dynamic-keys name=profile-guest supplicant-identity="" \
    wpa-pre-shared-key=********** wpa2-pre-shared-key=**********
/interface wireless
add mac-address=4E:5E:0C:49:43:54 master-interface=wlan-draadje \
    max-station-count=15 name=wlan-guest security-profile=profile-guest ssid=\
    test vlan-id=30 vlan-mode=use-tag wps-mode=disabled
/interface vlan
add interface=wlan-guest name=vlan30-wlan-guest vlan-id=30
/ip pool
add name=dhcp_private20pool ranges=192.168.6.20-192.168.6.49
add name=dhcp-vpn-pool ranges=192.168.89.20-192.168.89.30
add name=dhcp_guest30pool ranges=192.168.66.10-192.168.66.40
/ip dhcp-server
add address-pool=dhcp_private20pool authoritative=after-2sec-delay disabled=\
    no interface=bridge20private lease-time=3d name=dhcp20private
add address-pool=dhcp_guest30pool disabled=no interface=bridge30guests \
    lease-time=2h name=dhcp30guest
/ppp profile
set *0 local-address=192.168.89.1 remote-address=dhcp-vpn-pool
set *FFFFFFFE local-address=192.168.89.1 remote-address=dhcp-vpn-pool
/queue simple
add disabled=yes max-limit=2k/2k name=ipad2 target=192.168.6.181/32
add disabled=yes max-limit=2k/2k name=s4-marvin target=192.168.6.193/32
/interface bridge port
add bridge=bridge20private interface=ether02-uplink
add bridge=bridge20private interface=ether06
add bridge=bridge20private interface=ether03
add bridge=bridge20private interface=ether04
add bridge=bridge20private interface=ether05
add bridge=bridge20private interface=ether07
add bridge=bridge20private interface=ether08
add bridge=bridge20private interface=ether09
add bridge=bridge20private interface=ether10
add bridge=bridge20private interface=vlan20-wlan-draadje
add bridge=bridge30guests interface=vlan30-wlan-guest
/interface l2tp-server server
set enabled=yes ipsec-secret=********** max-sessions=3 use-ipsec=yes
/interface sstp-server server
set default-profile=default-encryption enabled=yes
/ip address
add address=192.168.6.165/24 interface=bridge20private network=192.168.6.0
add address=192.168.66.165/24 interface=bridge30guests network=192.168.66.0
/ip cloud
set ddns-enabled=yes
/ip dhcp-client
add dhcp-options=hostname,clientid disabled=no interface=ether01-wan
/ip dhcp-server lease
add address=192.168.6.201 comment=PVLOGGER mac-address=00:04:A3:C6:46:2D \
    server=dhcp20private
add address=192.168.6.202 always-broadcast=yes comment="pv-achter nieuw" \
    mac-address=C4:93:00:00:AF:CA server=dhcp20private
/ip dhcp-server network
add address=192.168.6.0/24 dns-server=192.168.6.165 gateway=192.168.6.165 \
    netmask=24
add address=192.168.66.0/24 dns-server=192.168.66.165 gateway=192.168.66.165
/ip dns
set allow-remote-requests=yes
/ip firewall address-list
add address=123.456.789.123 comment="name" list=\
    allow-extern-ips
add address=123.456.789.123 comment="name 2" list=allow-extern-ips
add address=123.456.789.123 comment="name3 " list=\
    allow-extern-ips
/ip firewall filter
add action=drop chain=forward comment="drop invalid state" connection-state=\
    invalid
add action=drop chain=input comment="drop invalid state" connection-state=\
    invalid
add action=drop chain=output comment="drop invalid state" connection-state=\
    invalid
add action=accept chain=input protocol=icmp
add action=accept chain=input connection-state=established
add action=accept chain=input connection-state=related
add action=accept chain=input comment="input winbox access from adreslist" \
    dst-port=8291 protocol=tcp src-address-list=allow-extern-ips
add action=accept chain=input comment="input btest" disabled=yes dst-port=\
    2000 protocol=tcp src-address-list=allow-extern-ips
add action=accept chain=input comment="input btest access from adreslist" \
    disabled=yes dst-port=2000 protocol=tcp src-address-list=allow-extern-ips
add action=accept chain=input comment="input winbox access from adreslist 80" \
    disabled=yes dst-port=80 protocol=tcp src-address-list=allow-extern-ips \
    src-port=8085
add action=accept chain=input comment="allow l2tp udp 1701" dst-port=1701 \
    protocol=udp
add action=accept chain=input comment="allow l2tp udp 4500" dst-port=4500 \
    protocol=udp
add action=accept chain=input comment="allow l2tp udp 500" dst-port=500 \
    protocol=udp
add action=accept chain=input comment="allow pptp" disabled=yes dst-port=1723 \
    protocol=tcp
add action=accept chain=input comment="allow sstp" disabled=yes dst-port=443 \
    protocol=tcp
add action=drop chain=input in-interface=ether01-wan
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether01-wan
add action=masquerade chain=srcnat comment="masq. vpn traffic" src-address=\
    192.168.89.0/24
add action=dst-nat chain=dstnat comment="forward to domoticz 8080 > 8080" \
    dst-port=8080 protocol=tcp src-address-list=allow-extern-ips \
    to-addresses=192.168.6.208 to-ports=8080
add action=dst-nat chain=dstnat comment="forward to domoticz 22 > 22" \
    dst-port=22 protocol=tcp src-address-list=allow-extern-ips to-addresses=\
    192.168.6.208 to-ports=22
add action=dst-nat chain=dstnat comment="forward to pv-voor-logger 8081 > 80" \
    dst-port=8081 protocol=tcp src-address-list=allow-extern-ips \
    to-addresses=192.168.6.201 to-ports=80
add action=dst-nat chain=dstnat comment=\
    "forward to pv-achter-logger 8082 >80" dst-port=8082 protocol=tcp \
    src-address-list=allow-extern-ips to-addresses=192.168.6.202 to-ports=80
add action=dst-nat chain=dstnat comment=\
    "forward to pv-achter-logger 8083 >80 from all" disabled=yes dst-port=\
    8083 protocol=tcp to-addresses=192.168.6.25 to-ports=80
add action=dst-nat chain=dstnat comment=\
    "forward to winbox 8292 > 8291 ip 166" dst-port=8292 protocol=tcp \
    src-address-list=allow-extern-ips to-addresses=192.168.6.166 to-ports=\
    8291
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
set udplite disabled=yes
set dccp disabled=yes
set sctp disabled=yes
/ip service
set telnet disabled=yes
set ftp disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/lcd
set backlight-timeout=1m color-scheme=light touch-screen=disabled
/ppp secret
add disabled=yes name=vpn password=**********
add name=richardspijkers password=********** profile=\
    default-encryption service=l2tp
add name=patriciaspijkers password=********** profile=\
    default-encryption service=l2tp
add name=marvinspijkers password=********** profile=\
    default-encryption service=l2tp
/system clock
set time-zone-name=Europe/Amsterdam
/system identity
set name=RB2011
/system logging
set 0 disabled=yes
set 1 disabled=yes
set 2 disabled=yes
set 3 disabled=yes
/system ntp client
set enabled=yes primary-ntp=185.51.192.34 secondary-ntp=91.148.192.49
/system scheduler
add comment="Update No-IP DDNS" interval=5m name=no-ip_ddns_update on-event=\
    no-ip_ddns_update policy=read,write,test start-date=oct/10/2017 \
    start-time=11:18:55
/system script
add name=no-ip_ddns_update owner=admin policy=read,write,test source="# No-IP \
    automatic Dynamic DNS update\r\
    \n\r\
    \n#--------------- Change Values in this section to match your setup -----\
    -------------\r\
    \n\r\
    \n# No-IP User account info\r\
    \n:local noipuser \"**********\"\r\
    \n:local noippass \"**********\"\r\
    \n\r\
    \n# Set the hostname or label of network to be updated.\r\
    \n# Hostnames with spaces are unsupported. Replace the value in the quotat\
    ions below with your host names.\r\
    \n# To specify multiple hosts, separate them with commas.\r\
    \n:local noiphost \"famspijkers.no-ip.org\"\r\
    \n\r\
    \n# Change to the name of interface that gets the dynamic IP address\r\
    \n:local inetinterface \"ether1-wan\"\r\
    \n\r\
    \n#-----------------------------------------------------------------------\
    -------------\r\
    \n# No more changes need\r\
    \n\r\
    \n#:global previousIP;\r\
    \n\r\
    \n:if ([/interface get \$inetinterface value-name=running]) do={\r\
    \n# Get the current IP on the interface\r\
    \n   :local currentIP [/ip address get [find interface=\"\$inetinterface\"\
    \_disabled=no] address];\r\
    \n\r\
    \n# Strip the net mask off the IP address\r\
    \n   :for i from=( [:len \$currentIP] - 1) to=0 do={\r\
    \n       :if ( [:pick \$currentIP \$i] = \"/\") do={\r\
    \n           :set currentIP [:pick \$currentIP 0 \$i];\r\
    \n       }\r\
    \n   }\r\
    \n\r\
    \n   :local previousIP [:resolve \"\$noiphost\"];\r\
    \n\r\
    \n   :log info \"DNS IP: \$previousIP, interface IP: \$currentIP\";\r\
    \n\r\
    \n   :if (\$currentIP != \$previousIP) do={\r\
    \n      :log info \"No-IP: Current IP \$currentIP is not equal to previous\
    \_IP \$previousIP, update needed\";\r\
    \n     # :set previousIP \$currentIP;\r\
    \n      :local url \"http://dynupdate.no-ip.com/nic/update\\3Fmyip=\$curre\
    ntIP\";\r\
    \n      :log info \"No-IP: Sending update for \$noiphost\";\r\
    \n      /tool fetch url=(\$url . \"&hostname=\$noiphost\") user=\$noipuser\
    \_password=\$noippass mode=http dst-path=(\"no-ip_ddns_update-\" . \$host \
    . \".txt\")\r\
    \n      :log info \"No-IP: Host \$noiphost updated on No-IP with IP \$curr\
    entIP\";\r\
    \n      \r\
    \n   } else={\r\
    \n   :log info \"No-IP: Previous IP \$previousIP is equal to current IP, n\
    o update needed\";\r\
    \n   }\r\
    \n} else={\r\
    \n   :log info \"No-IP: \$inetinterface is not currently running, so there\
    fore will not update.\";\r\
    \n}"
/tool bandwidth-server
set authenticate=no enabled=no
/tool mac-server
set [ find default=yes ] disabled=yes
add interface=ether02-uplink
add interface=ether03
add interface=ether04
add interface=ether05
add interface=ether06
add interface=ether07
add interface=ether08
add interface=ether09
add interface=ether10
add interface=sfp1
add interface=wlan-draadje
add interface=wlan-guest
/tool mac-server mac-winbox
set [ find default=yes ] disabled=yes
add interface=ether02-uplink
add interface=ether03
add interface=ether04
add interface=ether05
add interface=ether06
add interface=ether07
add interface=ether08
add interface=ether09
add interface=ether10
add interface=sfp1
add interface=wlan-draadje
add interface=wlan-guest

[allure]

Dat komt waarschijnlijk om dat je ETH02 in meerdere Vlans zit.

[SpikeHome]

ja dat moet ook, die gaat naar een andere router met vlan 20 en 30 dus eth2 is de uplink naar de andere 2011

Beetje zoals dit schema:
Alleen zijn de ap's in de 2011 natuurlijk en vlan10 op het plaatje is vlan20 in de config.
20 is dus private en 30 public

[ Voor 21% gewijzigd door SpikeHome op 19-10-2017 15:21 ]

[Hmmbob]

Ik was op zoek naar een extra AP voor ons huis, en zag dat deze sinds vandaag in de pricewatch staat:

pricewatch: MikroTik cAP lite (RBcAPL-2nD)

Iemand al ervaringen mee?

[Zaffo]

SpikeHome schreef op donderdag 19 oktober 2017 @ 14:40:
Ik ben nog steeds aan het prutsen met vlans.
Volgens mij heb ik zo de vlans voor elkaar alleen ik kan nog steeds en andere pc die op een ander vlan zit pingen.
Ik snap niet wat ik fout heb gedaan.
Hier is mijn config (wel even wachtwoorden eruit gehaald)

Je router doet zijn werkt nog en stuurt verkeer nog door waar het heen moet. Je moet zelf nog firewall regels toevoegen om ongewenst verkeer tussen VLANs te stoppen.

Hmmbob schreef op vrijdag 20 oktober 2017 @ 18:40:
Ik was op zoek naar een extra AP voor ons huis, en zag dat deze sinds vandaag in de pricewatch staat:

pricewatch: MikroTik cAP lite (RBcAPL-2nD)

Iemand al ervaringen mee?

Zo te zien intern gelijk aan de mAP lite. Dat is een prima compact dingetje voor de prijs. Bij de cAP lite kan je ook losgaan met 3d-printen voor de cover. (Komt de code van @WeaZuL nog goed van pas)

[Hmmbob]

Het is uiteindelijk een hAp mini geworden. Die doet zijn naam eer aan!

[WeaZuL]

Ik ben bezig met een eigen email server en loop tegen PTR DNS records aan. Deze moet ik bij mij ISP (laten) registreren. Nu laat ik mijn ipv6 adressen uitdelen via dhcpv6 door de CRS125, echter kan ik niet vinden hoe ik IPv6 adressen kan reserveren (of statisch toewijzen) voor een bepaalde host. Wat ik wil voorkomen is dat mijn mailserver elke keer een nieuw IPv6 adres toegewezen krijgt wanneer de lease afloopt. Iemand een idee hoe je dat configureert?

edit: na wat op internet gestruind te hebben en in de CRS125 config gedoken te zijn blijkt dat het wel mogelijk is in de IPv4 dhcp server middels de lease te configureren aan een MAC adres maar dat deze optie niet beschikbaar is in de IPv6 DHCP server. Voorlopig ga ik dan maar statisch IPV6 adressen toewijzen die buiten de IPV6 pools liggen van de IPv6 DHCP server? Of gewoon de IPV6 dhcp pools voor servers weggooien en die enkel voor WLAN toepassen bijv?

[ Voor 36% gewijzigd door WeaZuL op 31-10-2017 12:06 ]

[allure]

Kun je een host niet een statisch IP geven in het tabblad "leases"?

IP > DHCP Server > tabblad leases > host openen > make static klikken.

[WeaZuL]

allure schreef op dinsdag 31 oktober 2017 @ 11:50:
Kun je een host niet een statisch IP geven in het tabblad "leases"?

IP > DHCP Server > tabblad leases > host openen > make static klikken.

Dat had ik ook gehoopt, dit werkt voor de IPv4 DHCP server echter niet voor de IPv6 DHCP server omdat simpelweg die Leases optie niet geboden wordt.

[ Voor 7% gewijzigd door WeaZuL op 31-10-2017 12:04 ]

[allure]

Ok, dat wist ik niet, ik maak nog geen gebruik van IPv6.
Dan zul je je host waarschijnlijk een statisch adres moeten geven.

[ Voor 37% gewijzigd door allure op 31-10-2017 12:00 ]

[rohaantje]

WeaZuL schreef op dinsdag 31 oktober 2017 @ 10:14:
Ik ben bezig met een eigen email server en loop tegen PTR DNS records aan. Deze moet ik bij mij ISP (laten) registreren. Nu laat ik mijn ipv6 adressen uitdelen via dhcpv6 door de CRS125, echter kan ik niet vinden hoe ik IPv6 adressen kan reserveren (of statisch toewijzen) voor een bepaalde host. Wat ik wil voorkomen is dat mijn mailserver elke keer een nieuw IPv6 adres toegewezen krijgt wanneer de lease afloopt. Iemand een idee hoe je dat configureert?

edit: na wat op internet gestruind te hebben en in de CRS125 config gedoken te zijn blijkt dat het wel mogelijk is in de IPv4 dhcp server middels de lease te configureren aan een MAC adres maar dat deze optie niet beschikbaar is in de IPv6 DHCP server. Voorlopig ga ik dan maar statisch IPV6 adressen toewijzen die buiten de IPV6 pools liggen van de IPv6 DHCP server? Of gewoon de IPV6 dhcp pools voor servers weggooien en die enkel voor WLAN toepassen bijv?

Als je IPv6 stateless uitrolt(dus via RA ipv via dhcp) kun je de optie euid aangeven. hierdoor gaan je pc's een ipadres genereren op basis van het macadres. met als gevolg dat jouw pc's altijd dezelfde ip's hebben.

[WeaZuL]

rohaantje schreef op dinsdag 31 oktober 2017 @ 17:20:
[...]


Als je IPv6 stateless uitrolt(dus via RA ipv via dhcp) kun je de optie euid aangeven. hierdoor gaan je pc's een ipadres genereren op basis van het macadres. met als gevolg dat jouw pc's altijd dezelfde ip's hebben.

Bedankt voor de tip, ik had er nog niet eerder van gehoord!

Ik ben momenteel bezig mijn HAPac te integreren in mijn netwerk. Ik heb een trunk tussen mijn CRS125 en de HAPac die twee vlans (20+21) beschikbaar maakt. Vlan20 wordt direct untagged aangeboden via de switchchip op HAPac ether2 en ik heb een bridge aangemaakt om het vlan21 tagged verkeer beschikbaar te maken voor de wlan2 interface (5ghz).
Nu loop ik tegen een ding aan waar ik niet uit kom. Ik wil graag dat ik de HAPac kan managen via een ip adres, want geen management port op de HAPac. Echter krijg ik dat niet voor elkaar. Ik heb geen idee waar ik een IP adres aan moet hangen om de HAPac mikrotik management pagina te kunnen benaderen, alle interfaces die ik heb geprobeerd, WLAN2 of de bridge (bridge_vlan21) blijven onbereikbaar.
Het vreemde is dat eigenlijk alles werkt: ik krijg met een wifi client een DHCP ip adres van de wlan2 interface welke via de trunkport met de CRS125 (dhcp server) communiceert. Tevens krijg ik via ether2 op de HAPac succesvol (untagged) middels DHCP een IP adres toegewezen, welke via de switch chip (tagged) over de trunkport (ether1) richting de CRS125 gaat.

Iemand een idee wat ik hier mis? Ik ga nog eens wat verder struinen ......

Ik heb nu volgens dit voorbeeld een VLAN interface vlan21 aangemaakt en deze 172.18.9.2 gegeven. De CRS heeft het ip adres 172.18.9.1 op de VLAN21 interface. Echter wanneer ik vanuit de CRS cmdline 172.18.9.2 ping krijg ik een timeout. Ook als ik vanuit de HAPac cmdline 172.18.9.1 ping, krijg ik ook een timeout. Ik hoef toch geen extra routes toe te voegen, hmm

[ Voor 72% gewijzigd door WeaZuL op 01-11-2017 17:37 ]

[Zaffo]

@WeaZuL Ik volg je verhaal niet helemaal, misschien omdat het zaterdag is. Volgens mij moet je wel een route toevoegen. Zet 172.18.9.0/24 op bridge_vlan21. En IP adres zet je op de bridge, gezien de interfaces weer onder de bridge hangen.

Ik zou een DHCP client gebruiken ipv een vast IP, want dan wordt dit voor je gedaan en kan je gelijk zien of er een verbinding mogelijk is naar de DHCP server. Dan kan je vervolgens op de server wel een static IP instelling voor je HAPac.

[WeaZuL]

Zaffo schreef op zaterdag 11 november 2017 @ 17:34:
@WeaZuL Ik volg je verhaal niet helemaal, misschien omdat het zaterdag is. Volgens mij moet je wel een route toevoegen. Zet 172.18.9.0/24 op bridge_vlan21. En IP adres zet je op de bridge, gezien de interfaces weer onder de bridge hangen.

Ik zou een DHCP client gebruiken ipv een vast IP, want dan wordt dit voor je gedaan en kan je gelijk zien of er een verbinding mogelijk is naar de DHCP server. Dan kan je vervolgens op de server wel een static IP instelling voor je HAPac.

Ik volgde hem zelf ook niet meer, heb lopen klooien met de switch/bridge configuratie van de HAPac . Ondertussen heb ik het voor elkaar. Wat ik wilde is meerdere vlans over 1 kabel tussen de CRS125 en de HAPac. Deze routers zijn helaas niet hetzelfde en ik moest erg wennen aan het verschil in opzet van het vlan gebeuren. Nu het werkt is het allemaal weer logisch . Ik zal de configuratie delen aangezien ik deze niet veel tegenkom, enkel generiek op de wiki van Mikrotik.

Relevante config CRS125:

/interface ethernet
set [ find default-name=ether3 ] master-port=ether2

/interface vlan
add interface=ether2 name=backup vlan-id=16
add interface=ether2 name=lan vlan-id=20
add interface=ether2 name=wlan vlan-id=21

/ip pool
add name=dhcp_poollan ranges=172.18.8.4-172.18.8.14
add name=dhcp_pool_wlan ranges=172.18.9.10-172.18.9.55

/ip dhcp-server
add address-pool=dhcp_poollan disabled=no interface=lan name=dhcplan
add address-pool=dhcp_pool_wlan disabled=no interface=wlan name=dhcp_wlan

/interface ethernet switch egress-vlan-tag
add tagged-ports=ether3,switch1-cpu vlan-id=20
add tagged-ports=ether3,switch1-cpu vlan-id=21
add tagged-ports=ether3,switch1-cpu vlan-id=16

/interface ethernet switch vlan
add ports=ether3,switch1-cpu vlan-id=16
add ports=ether3,switch1-cpu vlan-id=20
add ports=ether3,switch1-cpu vlan-id=21

/ip address
add address=10.222.0.193/29 interface=backup network=10.222.0.192
add address=172.18.8.1/28 interface=lan network=172.18.8.0
add address=172.18.9.1/26 interface=wlan network=172.18.9.0

/ip dhcp-server network
add address=172.18.8.0/28 dns-server=10.201.0.195,10.201.0.196 gateway=172.18.8.1
add address=172.18.9.0/26 dns-server=10.201.0.195,10.201.0.196 gateway=172.18.9.1

Relevante config HAPac:

/interface bridge
add name=bridge-vlan21 protocol-mode=none

/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-Ce \
    disabled=no distance=indoors frequency=auto mode=ap-bridge ssid=Tweakers \
    wireless-protocol=802.11 wps-mode=disabled
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=\
    20/40/80mhz-Ceee disabled=no distance=indoors frequency=auto mode=\
    ap-bridge ssid=Tweakers-5ghz wireless-protocol=802.11 wps-mode=disabled

/interface vlan
add interface=ether1 name=vlan21 vlan-id=21

/interface ethernet switch port
set 0 vlan-header=add-if-missing vlan-mode=secure
set 1 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 2 default-vlan-id=16 vlan-header=always-strip vlan-mode=secure
set 5 vlan-mode=secure

/interface bridge port
add bridge=bridge-vlan21 interface=wlan2
add bridge=bridge-vlan21 interface=wlan1
add bridge=bridge-vlan21 interface=vlan21

/interface ethernet switch vlan
add independent-learning=yes ports=ether1,ether3,switch1-cpu switch=switch1 vlan-id=16
add independent-learning=yes ports=ether1,ether2,switch1-cpu switch=switch1 vlan-id=20
add independent-learning=yes ports=ether1,switch1-cpu switch=switch1 vlan-id=21

/ip address
add address=172.18.9.2/26 interface=vlan21 network=172.18.9.0

/ip dns
set allow-remote-requests=yes servers=10.201.0.195,10.201.0.196

/ip route
add distance=1 gateway=172.18.9.1

Nou heb ik nog 1 klein ding wat ik niet begrijp, het is niet erg maar kan er niet achter komen hoe dat komt. Ik kan met een wireless client device connected via de HAPac niet het ip adres (172.18.9.2) van de vlan21 interface pingen. Hierdoor kan ik dus ook niet WebFig benaderen. Via bekabeld is dit echter geen probleem, ik kan er alleen niet achterkomen hoe dit nu komt?! Handig wanneer je beide configs overzichtelijk onder elkaar hebt staan, ik zag gelijk een typo in het subnet mask van het VLAN21 IP adres op de HAPac. Dat rechtgezet en tadaa, werken! De VLAN trunk werkt perfect nu tussen de CRS125 en de HAPac.

[ Voor 61% gewijzigd door WeaZuL op 11-11-2017 22:49 ]

[WeaZuL]

Wat doe ik hier nou verkeerd?

[admin@CRS125] /ipv6 pool> print
Flags: D - dynamic 
 #   NAME PREFIX                                      PRE EXPIRES-AFTER       
 0   in.. 2001:380:ef14:11::/64                        64
 1   app  2001:380:ef14:c::/64                         64
 2   la.. 2001:380:ef14:14::/64                        64
 3   wl.. 2001:380:ef14:15::/64                        64
 4 D xs.. 2001:380:ef14::/48                           62 1h47m               
[admin@CRS125] /ipv6 pool> add name=proxy prefix=2001:380:ef14:b::/64 prefix-length=64   
failure: prefix of two pools cannot overlap!
[admin@CRS125] /ipv6 pool>

edit:
Vaag, na een reboot kan ik de regel zonder issues invoeren

[ Voor 13% gewijzigd door WeaZuL op 13-11-2017 16:35 ]

[Naiki]

Hmmbob schreef op zaterdag 28 oktober 2017 @ 10:01:
Het is uiteindelijk een hAp mini geworden. Die doet zijn naam eer aan!

[afbeelding]

Mag ik vragen wat jouw ervaringen tot nu toe zijn met de HAP mini? ben op zoek naar een access point. Aangezien de wifi bereik niet al te groot hoeft te zijn, en deze wel een leuke prijs heeft

[Hmmbob]

Ik gebruik hem als extra AP op de bovenverdieping (zonder capsman) en dat werkt prima. Heb niets bijzonders te melden, doet gewoon wat hij moet doen.

Heb de wireless exact hetzelfde ingesteld als beneden, maar op een ander kanaal. Devices switchen zelf prima over.

[Oortjes]

Naiki schreef op maandag 27 november 2017 @ 17:26:
[...]


Mag ik vragen wat jouw ervaringen tot nu toe zijn met de HAP mini? ben op zoek naar een access point. Aangezien de wifi bereik niet al te groot hoeft te zijn, en deze wel een leuke prijs heeft

Ikzelf heb twee https://tweakers.net/pric...d-rb941-2nd-hap-lite.html. Dit zijn uitstekende machinetjes voor allerhande gebruik.

[Hmmbob]

Die heb ik bij mijn schoonouders liggen - doen het ook prima. Wilde echter voor mijn bovenverdieping zo min mogelijk geld uitgeven, vandaar de mini. Grote verschil (among other things) is de grotere hoeveelheid ethernetpoorten op de lite.

[Oortjes]

En ik heb zojuist de https://tweakers.net/pric...i-5ac2nd-hap-ac-lite.html hap-ac-lite besteld.
Criteria zijn voor mij de extra lan poorten en de 5 GHz verbinding. Binnenkort weer spelen

[Verwijderd]

Weet iemand of Mikrotik een model heeft met 5Ghz maar dan met externe aansluitingen voor antenne's? Ik heb nu een RB751U hangen maar deze kan alléén maar 2,4 GHz. En omdat van de 80 personen maar twee een oud barrel toestel hebben (die alléén 2,4 aan kan) heb ik besloten om 2,4 GHz helemaal weg te doen.

Dus overgaan op 5 GHz. maar nu een model met externe antenne aansluiting (ik moet een richt panel erop kunnen aansluiten).

[Oortjes]

Verwijderd schreef op zondag 3 december 2017 @ 20:28:
Weet iemand of Mikrotik een model heeft met 5Ghz maar dan met externe aansluitingen voor antenne's? Ik heb nu een RB751U hangen maar deze kan alléén maar 2,4 GHz. En omdat van de 80 personen maar twee een oud barrel toestel hebben (die alléén 2,4 aan kan) heb ik besloten om 2,4 GHz helemaal weg te doen.

Dus overgaan op 5 GHz. maar nu een model met externe antenne aansluiting (ik moet een richt panel erop kunnen aansluiten).

Ik kan niets vinden op de site van Mikrotik. Misschien is een los AP een optie. Mikrotik heeft deze wel in haar assortiment. https://tweakers.net/pric...ikrotik-wap-ac-(wit).html

[DJSmiley]

Verwijderd schreef op zondag 3 december 2017 @ 20:28:
Weet iemand of Mikrotik een model heeft met 5Ghz maar dan met externe aansluitingen voor antenne's? Ik heb nu een RB751U hangen maar deze kan alléén maar 2,4 GHz. En omdat van de 80 personen maar twee een oud barrel toestel hebben (die alléén 2,4 aan kan) heb ik besloten om 2,4 GHz helemaal weg te doen.

Dus overgaan op 5 GHz. maar nu een model met externe antenne aansluiting (ik moet een richt panel erop kunnen aansluiten).

Is je richt panel wel geschikt voor 5Ghz?


Waarom geen all-in device? Een SXT Lite5 ac of SXTsq Lite5 of de normale versies als je >100Mbit througput nodig hebt.


Alternatief is om een los bord te nemen en daar externe antenne's op te zetten

[Verwijderd]

Nee, de paneel antenne is niet geschikt. Daarom moet ik ook een nieuwe kopen.

De AP hangt in een kerk, boven de koepel dak (is van riet gemaakt en met gips afgewerkt).

Ik heb ook gekeken, en zag dat de Metal serie ook interessant kan zijn. De Groove (die dunne kastjes met een N connector erop), kunnen dus óf 2,4 óf 5 GHz uitzenden, NIET tegelijk!

https://www.ip-sa.com.pl/groove-metal-c-214_251.html

Maar Basebox is wél interessant. Kan later alsnog een 2,4 GHz kaart erin, en dan kan je alsnog 2,4 ondersteuning geven.

https://www.ip-sa.com.pl/mikrotik/RB912UAG-5HPnD-OUT

[Zaffo]

@Verwijderd De BaseBox is een mooi ding. Boven de BaseBox 5 zijn nog de NetBox 5 en NetMetal 5 gepositioneerd.

De Groove en Metal zijn ook alleen single chain, degene hierboven dual chain en van de NetMetal is ook een triple chain uitvoering.

Ikzelf wacht op de (hopelijk) binnenkort te verschijnen cAP Gi-5acD2nDc en CRS112-8P-4S-IN

[ Voor 8% gewijzigd door Zaffo op 03-12-2017 23:35 ]

[tjanssen]

Zaffo schreef op zondag 3 december 2017 @ 23:34:
Ikzelf wacht op de (hopelijk) binnenkort te verschijnen cAP Gi-5acD2nDc en CRS112-8P-4S-IN

Je bedoelt de cAPG-5HacD2HnD, zie hier. Volgens een medewerker van Mikrotik op hun forum komt het ding binnenkort.

[Zaffo]

tjanssen schreef op maandag 4 december 2017 @ 12:31:
[...]


Je bedoelt de cAPG-5HacD2HnD, zie hier. Volgens een medewerker van Mikrotik op hun forum komt het ding binnenkort.

Ah, daar staat ie ook. Ik was hem in een ander topic tegen gekomen.

Maar vanuit Mikrotik zelf is er nog geen info wanneer we dit apparaat kunnen verwachten.

[Verwijderd]

Hi,

ik heb een RB3011 en een FB 3790 voor VOIP achter een Tweak 1GB glasvezel ansluiting, het werkte tot begin november alles goed, maar de laatste dagen werkt het VOIP niet meer, nu mijn vraagje, heeft hier iemand voor mij een config voor de RB3011 voor tweak internet en kan ik het benodigte vlan34 ook switchen?. Ik heb geen IPTV en Voip laat ik via de FB lopen.

Alvast bedankt

[Verwijderd]

Ik heb dat ook gehad. Een (oude) Fritzbox die alleen VoIP deed, en Ziggo modem die internet onderhield. Opeens uit het niets deed VoIP het niet meer.

Bleek dat de Ziggo modem na een update van Ziggo, het wachtwoord eruitfilterde als de VoIP wilde aanmelden bij de server. Uiteraard, zal de server mij weigeren, want geen wachtwoord, geen toegang.

Oplossing: modem reboot van Ziggo.

[WeaZuL]

Ik heb gisteren de hAP ac lite besteld om als switch / AP te fungeren naast de KPN experiabox (meterkast) bij kennissen die slecht wifi ontvangst hadden in de slaapkamer (appartementen complex -> druk spectrum). Nu heb ik zelf op de begane grond en op de 1e verdieping een wAP ac en op zolder een hAP ac. De frequency setting onder "Wireless -> Interfaces -> wlanx" staat bij mij op "auto". Ik heb voor 2.4Ghz en 5Ghz een aparte SSID omdat ik daar in het verleden issues mee heb gehad in combinatie met een IPAD en de oude Fritzbox, geen idee of dat nu icm de Mikrotiks ook een issues oplevert of dat ik voor 2.4 en 5ghz dezelfde SSID's kan hanteren.

Ik lees hier verschillende wireless configs bijv. verschillende frequenties per AP maar één SSID etc. Wat is nu best practice qua wireless setup in mikrotik land? Geldt dit ook wanneer een Mikrotik AP gecombineerd wordt met bijv. een KPN experiabox router met wifi actief?

[lier]

@WeaZuL In het algemeen (dus niet MikroTik specifiek) wil je niet dat radios met elkaar interfereren en zal je altijd (zelf!) verschillende kanalen willen kiezen. Bij 2.4GHz ben je beperkt tot kanaal 1, 6 en 11. Op de 5GHz band heb je wat meer keuze.

Zelf vind ik één SSID voor beide banden (en alle accesspoints) hetzelfde. Door het zendvermogen terug te brengen tot wat nodig is zorgt de client er zelf voor dat het met de juiste radio verbinding maakt. Let daarbij op dat het doordringend vermogen van 2.4GHz hoger is, deze zou je dus minder hard willen laten zenden dan de 5GHz radio.

[WeaZuL]

lier schreef op woensdag 6 december 2017 @ 12:08:
@WeaZuL In het algemeen (dus niet MikroTik specifiek) wil je niet dat radios met elkaar interfereren en zal je altijd (zelf!) verschillende kanalen willen kiezen. Bij 2.4GHz ben je beperkt tot kanaal 1, 6 en 11. Op de 5GHz band heb je wat meer keuze.

Zelf vind ik één SSID voor beide banden (en alle accesspoints) hetzelfde. Door het zendvermogen terug te brengen tot wat nodig is zorgt de client er zelf voor dat het met de juiste radio verbinding maakt. Let daarbij op dat het doordringend vermogen van 2.4GHz hoger is, deze zou je dus minder hard willen laten zenden dan de 5GHz radio.

Goed verhaal maar hoe kom ik er achter wat het benodigde zendvermogen is en hoe stel je dat icm Mikrotik apparatuur in?

[lier]

WeaZuL schreef op dinsdag 19 december 2017 @ 08:07:
Goed verhaal maar hoe kom ik er achter wat het benodigde zendvermogen is en hoe stel je dat icm Mikrotik apparatuur in?

Door te testen... Helaas is er geen hapklare oplossing voor.

[allure]

Ik heb sinds een paar dagen het issue dat bijvoorbeeld de site van de NPO niet meer laad en ook dumpert.nl laad wel maar het is onmogelijk om videos af te spelen.

Is heb de DNS server al gewisseld en de firewall regels bekeken, heeft iemand dit eerder gehad?

[jvanhambelgium]

allure schreef op donderdag 21 december 2017 @ 18:56:
Ik heb sinds een paar dagen het issue dat bijvoorbeeld de site van de NPO niet meer laad en ook dumpert.nl laad wel maar het is onmogelijk om videos af te spelen.

Is heb de DNS server al gewisseld en de firewall regels bekeken, heeft iemand dit eerder gehad?

Gebruik je ook IPv6 ? Ik had allerlei rare verschijnselen, sommige websites deels wel, soms niet.
Met Apple iOS dan weer problemen met de store etc,etc.

Heb even IPv6 afgezet op m'n Mikrotik en voila ... alle problemen weg als sneeuw voor de zon.
Zal het nog eens enablen om te zien of de issues direct terugkomen

[allure]

Ik heb IPv6 niet geïnstalleerd op het moment.

Dumpert.nl laad wel maar de videos dus niet...
En bij bijvoorbeeld NPO.nl duurt het echt heel lang voor die site geladen is.

[ Voor 58% gewijzigd door allure op 21-12-2017 20:01 ]

[Thralas]

jvanhambelgium schreef op donderdag 21 december 2017 @ 19:44:
Heb even IPv6 afgezet op m'n Mikrotik en voila ... alle problemen weg als sneeuw voor de zon.
Zal het nog eens enablen om te zien of de issues direct terugkomen

Dan ben je vergeten om IPv6 te MSS clampen bij een MTU < 1500 (PPPoE?)

Voor alle Nederlandse ISPs die gebruikmaken van KPN-infra geldt dat het providerijzer gewoon RFC4368 compliant is: met andere woorden, je mag de MTU en MRU in de PPPoE settings op 1500 zetten en al je MTU-problemen verdwijnen als sneeuw voor de zon.

Ik weet niet hoe het in België zit, maar proberen kan geen kwaad. Zou ook voor @allure een oplossing kunnen zijn, klinkt als een MTU-probleem, 'tis alleen onmogelijk dat het spontaan ontstaat.

Anders in dat geval: meten is weten. Wireshark erbij en kijken wat er nu echt misgaat.

[jvanhambelgium]

Thralas schreef op vrijdag 22 december 2017 @ 00:00:
[...]


Dan ben je vergeten om IPv6 te MSS clampen bij een MTU < 1500 (PPPoE?)

Voor alle Nederlandse ISPs die gebruikmaken van KPN-infra geldt dat het providerijzer gewoon RFC4368 compliant is: met andere woorden, je mag de MTU en MRU in de PPPoE settings op 1500 zetten en al je MTU-problemen verdwijnen als sneeuw voor de zon.

Ik weet niet hoe het in België zit, maar proberen kan geen kwaad. Zou ook voor @allure een oplossing kunnen zijn, klinkt als een MTU-probleem, 'tis alleen onmogelijk dat het spontaan ontstaat.

Anders in dat geval: meten is weten. Wireshark erbij en kijken wat er nu echt misgaat.

Is een goed tip om te checken maar ik heb maanden probleemloos gewerkt, pas de laatste weken begon een iPhone hier thuis dit soort problemen te vertonen etc.
In m'n PPP-profile staat wel degelijk de "change-mss=yes" flag dus dat zou in orde moeten zijn, de MTU hier is genegocieerd op 1480

[allure]

Ik heb een internetverbinding bij Ziggo (400/40) deze heeft langere tijd prima gewerkt.
De meeste sites werken ook prima, zo ook tweakers.net bijvoorbeeld.

Ik zie dat ik op de iPad ook niet een update van iOS kan downloaden, alle devices achter de router bedraad of draadloos hebben dit probleem dus het moet ergens in de router zitten, ik heb me al suf geprobeerd firewall regels aan en uitgezet, zonder resultaat.

Misschien zien jullie vreemde instellingen:

code:

# model = RouterBOARD 1100x4
# serial number = 7931***1
/interface bridge
add admin-mac=7B:FC:07:B9:4D:6D arp=proxy-arp name=bridge
/interface ethernet
set [ find default-name=ether1 ] mac-address=4C:5E:0C:49:43:0D name=ether1-WAN
set [ find default-name=ether5 ] mac-address=64:D1:54:CC:5B:FD
/interface bonding
add comment="QNAP TRUNK" mode=802.3ad mtu=1490 name=QNAP slaves=ether4,ether5 transmit-hash-policy=layer-2-and-3
/caps-man security
add authentication-types=wpa2-psk encryption=aes-ccm group-encryption=aes-ccm name=security1 passphrase=****
/caps-man configuration
add channel.band=5ghz-a/n/ac datapath.bridge=bridge mode=ap name=Dr5gHz security=security1 ssid=Dr5gHz
add channel.band=2ghz-onlyn channel.extension-channel=Ce datapath.bridge=bridge mode=ap name=Dr2.4Ghz security=security1 ssid=Dr2.4Ghz
/caps-man interface
add configuration=Dr2.4Ghz disabled=no l2mtu=1600 mac-address=64:D1:54:A9:57:69 master-interface=none name=cap1 radio-mac=64:D1:54:A9:57:69
add configuration=Dr5gHz disabled=no l2mtu=1600 mac-address=64:D1:54:A9:57:68 master-interface=none name=cap2 radio-mac=64:D1:54:A9:57:68
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip ipsec proposal
set [ find default=yes ] enc-algorithms=aes-256-cbc,aes-192-cbc,aes-128-cbc,aes-128-gcm
/ip pool
add name=dhcp ranges=192.168.1.20-192.168.1.200
add name=vpn ranges=192.168.89.2-192.168.89.255
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge lease-time=1h name=dhcp
/ppp profile
add change-tcp-mss=yes local-address=192.168.1.200 name=Iphone_Wr only-one=no remote-address=dhcp use-encryption=yes use-upnp=no
set *FFFFFFFE local-address=192.168.1.1 remote-address=dhcp
/caps-man manager
set ca-certificate=CAPsMAN-CA-0B4F65DB2CDD certificate=CAPsMAN-0B4F65DB2CDD enabled=yes
/interface bridge port
add bridge=bridge interface=ether2
add bridge=bridge interface=ether3
add bridge=bridge interface=ether6
add bridge=bridge interface=ether7
add bridge=bridge interface=ether8
add bridge=bridge interface=ether9
add bridge=bridge interface=ether10
add bridge=bridge interface=ether11
add bridge=bridge interface=ether12
add bridge=bridge interface=ether13
add bridge=bridge interface=QNAP
/interface l2tp-server server
set authentication=mschap2 enabled=yes ipsec-secret=**** use-ipsec=yes
/interface pptp-server server
set enabled=yes
/interface sstp-server server
set default-profile=default-encryption enabled=yes
/ip address
add address=192.168.1.1/24 interface=ether2 network=192.168.1.0
/ip cloud
set ddns-enabled=yes update-time=no
/ip dhcp-client
add dhcp-options=hostname,clientid disabled=no interface=ether1-WAN
/ip dhcp-server lease
add address=192.168.1.30 client-id=1:0:8:9b:8d:23:ab mac-address=00:08:9B:8D:23:AB server=dhcp
add address=192.168.1.2 mac-address=B8:AE:ED:7C:EA:B1 server=dhcp
add address=192.168.1.254 client-id=1:64:d1:54:a9:57:67 mac-address=64:D1:54:A9:57:67 server=dhcp
add address=192.168.1.3 always-broadcast=yes client-id=1:24:5e:be:9:d2:48 mac-address=24:5E:BE:09:D2:48 server=dhcp
/ip dhcp-server network
add address=192.168.1.0/24 caps-manager=192.168.1.1 dns-server=192.168.1.2 domain=****.local gateway=192.168.1.1 netmask=24 ntp-server=131.211.8.244
/ip dns
set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4
/ip firewall filter
add action=fasttrack-connection chain=forward comment=Fasttrack connection-mark=!IPSec connection-state=established,related
add action=accept chain=forward connection-state=established,related
add action=accept chain=input protocol=icmp
add action=accept chain=input comment="allow IPsec NAT" disabled=yes dst-port=4500 protocol=udp
add action=accept chain=input comment="allow IKE" disabled=yes dst-port=500 protocol=udp
add action=accept chain=input comment="allow l2tp" dst-port=1701 protocol=udp
add action=accept chain=input comment="allow pptp" disabled=yes dst-port=1723 protocol=tcp
add action=accept chain=input comment="allow sstp" dst-port=443 protocol=tcp
add action=drop chain=input comment="Drop DNS request from the WAN" dst-port=53 in-interface=ether1-WAN protocol=tcp
add action=drop chain=input dst-port=53 in-interface=ether1-WAN protocol=udp
add action=drop chain=forward comment="Drop invalid" connection-state=invalid log-prefix="FWR: Invalid"
/ip firewall mangle
add action=mark-connection chain=forward comment="Mark IPsec out" ipsec-policy=out,ipsec new-connection-mark=IPSec passthrough=yes
add action=mark-connection chain=forward comment="Mark IPsec in" ipsec-policy=in,ipsec new-connection-mark=IPSec passthrough=yes
/ip firewall nat
add action=accept chain=srcnat comment="IPSec NAT rule (MGE)" dst-address=192.168.2.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (ZWD)" dst-address=192.168.3.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (LRS)" dst-address=192.168.4.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (Dr)" dst-address=192.168.5.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (Ae)" dst-address=192.168.6.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (Mn)" dst-address=192.168.10.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (HI)" dst-address=192.168.30.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (CT)" dst-address=192.168.88.0/24 src-address=192.168.1.0/24
add action=masquerade chain=srcnat out-interface=ether1-WAN
add action=masquerade chain=srcnat comment="masq. vpn traffic" src-address=192.168.89.0/24
add action=dst-nat chain=dstnat dst-port=**** in-interface=ether1-WAN protocol=tcp to-addresses=192.168.1.3 to-ports=8080
add action=dst-nat chain=dstnat disabled=yes dst-port=873 in-interface=ether1-WAN protocol=tcp to-addresses=192.168.1.3 to-ports=****
/ip ipsec peer
add address=94.213.***.***/32 comment=LRS dh-group=modp1024 enc-algorithm=aes-128 secret=****
add address=0.0.0.0/0 dh-group=modp1024 dpd-interval=2s enc-algorithm=aes-128 exchange-mode=main-l2tp generate-policy=port-override secret=****
add address=24.132.***.***/32 comment=ZWD dh-group=modp1024 enc-algorithm=aes-128 secret=****
add address=94.213.***.***/32 comment=MGE dh-group=modp1024 disabled=yes enc-algorithm=aes-128 secret=****
add address=94.211.***.***/32 comment="Den Helder" dh-group=modp1024 enc-algorithm=aes-128 secret=****
add address=212.204.***.***/32 comment=Majosign dh-group=modp1024 enc-algorithm=aes-128 nat-traversal=no secret=****
add address=87.215.***.***/32 comment=CAST dh-group=modp1024 enc-algorithm=aes-128 nat-traversal=no secret=****
add address=92.110.***.***/32 comment=Alebregtse dh-group=modp1024 enc-algorithm=aes-128 nat-traversal=no secret=****
add address=213.124.***.***/32 comment=HOi dh-group=modp1024 enc-algorithm=aes-256 secret=****
/ip ipsec policy
add comment=LRS dst-address=192.168.4.0/24 sa-dst-address=94.213.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=ZWD dst-address=192.168.3.0/24 sa-dst-address=24.132.**.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=MGE disabled=yes dst-address=192.168.2.0/24 sa-dst-address=94.213.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=Man dst-address=192.168.10.0/24 sa-dst-address=212.204.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment="DH" dst-address=192.168.5.0/24 sa-dst-address=94.211.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=CT dst-address=192.168.88.0/24 sa-dst-address=87.215.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=Ae dst-address=192.168.6.0/24 sa-dst-address=92.110.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=HI dst-address=192.168.30.0/24 sa-dst-address=213.124.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
set 8 dst-address=0.0.0.0/0 src-address=0.0.0.0/0
/ip service
set telnet disabled=yes
set ftp disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ip upnp
set show-dummy-rule=no
/ppp secret
add name=vpn password=****
add name=W***r password=****
add name=W**r_iphone password=**** profile=Iphone_W***r service=l2tp
/system clock
set time-zone-name=Europe/Amsterdam
/system identity
set name=RB1100AHx4
/system ntp client
set enabled=yes primary-ntp=131.211.8.244 secondary-ntp=193.67.79.202
/tool bandwidth-server
set authenticate=no
/tool graphing interface
add allow-address=192.168.1.0/24
add allow-address=192.168.89.0/24 store-on-disk=no
/tool graphing queue
add allow-address=192.168.1.0/24
add allow-address=192.168.89.0/24
/tool graphing resource
add allow-address=192.168.1.0/24
add allow-address=192.168.89.0/24

[ Voor 91% gewijzigd door allure op 22-12-2017 08:59 ]

[rohaantje]

allure schreef op vrijdag 22 december 2017 @ 08:46:
Ik heb een internetverbinding bij Ziggo (400/40) deze heeft langere tijd prima gewerkt.
De meeste sites werken ook prima, zo ook tweakers.net bijvoorbeeld.

Ik zie dat ik op de iPad ook niet een update van iOS kan downloaden, alle devices achter de router bedraad of draadloos hebben dit probleem dus het moet ergens in de router zitten, ik heb me al suf geprobeerd firewall regels aan en uitgezet, zonder resultaat.

Misschien zien jullie vreemde instellingen:

code:

# model = RouterBOARD 1100x4
# serial number = 7931***1
/interface bridge
add admin-mac=7B:FC:07:B9:4D:6D arp=proxy-arp name=bridge
/interface ethernet
set [ find default-name=ether1 ] mac-address=4C:5E:0C:49:43:0D name=ether1-WAN
set [ find default-name=ether5 ] mac-address=64:D1:54:CC:5B:FD
/interface bonding
add comment="QNAP TRUNK" mode=802.3ad mtu=1490 name=QNAP slaves=ether4,ether5 transmit-hash-policy=layer-2-and-3
/caps-man security
add authentication-types=wpa2-psk encryption=aes-ccm group-encryption=aes-ccm name=security1 passphrase=****
/caps-man configuration
add channel.band=5ghz-a/n/ac datapath.bridge=bridge mode=ap name=Dr5gHz security=security1 ssid=Dr5gHz
add channel.band=2ghz-onlyn channel.extension-channel=Ce datapath.bridge=bridge mode=ap name=Dr2.4Ghz security=security1 ssid=Dr2.4Ghz
/caps-man interface
add configuration=Dr2.4Ghz disabled=no l2mtu=1600 mac-address=64:D1:54:A9:57:69 master-interface=none name=cap1 radio-mac=64:D1:54:A9:57:69
add configuration=Dr5gHz disabled=no l2mtu=1600 mac-address=64:D1:54:A9:57:68 master-interface=none name=cap2 radio-mac=64:D1:54:A9:57:68
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip ipsec proposal
set [ find default=yes ] enc-algorithms=aes-256-cbc,aes-192-cbc,aes-128-cbc,aes-128-gcm
/ip pool
add name=dhcp ranges=192.168.1.20-192.168.1.200
add name=vpn ranges=192.168.89.2-192.168.89.255
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge lease-time=1h name=dhcp
/ppp profile
add change-tcp-mss=yes local-address=192.168.1.200 name=Iphone_Wr only-one=no remote-address=dhcp use-encryption=yes use-upnp=no
set *FFFFFFFE local-address=192.168.1.1 remote-address=dhcp
/caps-man manager
set ca-certificate=CAPsMAN-CA-0B4F65DB2CDD certificate=CAPsMAN-0B4F65DB2CDD enabled=yes
/interface bridge port
add bridge=bridge interface=ether2
add bridge=bridge interface=ether3
add bridge=bridge interface=ether6
add bridge=bridge interface=ether7
add bridge=bridge interface=ether8
add bridge=bridge interface=ether9
add bridge=bridge interface=ether10
add bridge=bridge interface=ether11
add bridge=bridge interface=ether12
add bridge=bridge interface=ether13
add bridge=bridge interface=QNAP
/interface l2tp-server server
set authentication=mschap2 enabled=yes ipsec-secret=**** use-ipsec=yes
/interface pptp-server server
set enabled=yes
/interface sstp-server server
set default-profile=default-encryption enabled=yes
/ip address
add address=192.168.1.1/24 interface=ether2 network=192.168.1.0
/ip cloud
set ddns-enabled=yes update-time=no
/ip dhcp-client
add dhcp-options=hostname,clientid disabled=no interface=ether1-WAN
/ip dhcp-server lease
add address=192.168.1.30 client-id=1:0:8:9b:8d:23:ab mac-address=00:08:9B:8D:23:AB server=dhcp
add address=192.168.1.2 mac-address=B8:AE:ED:7C:EA:B1 server=dhcp
add address=192.168.1.254 client-id=1:64:d1:54:a9:57:67 mac-address=64:D1:54:A9:57:67 server=dhcp
add address=192.168.1.3 always-broadcast=yes client-id=1:24:5e:be:9:d2:48 mac-address=24:5E:BE:09:D2:48 server=dhcp
/ip dhcp-server network
add address=192.168.1.0/24 caps-manager=192.168.1.1 dns-server=192.168.1.2 domain=****.local gateway=192.168.1.1 netmask=24 ntp-server=131.211.8.244
/ip dns
set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4
/ip firewall filter
add action=fasttrack-connection chain=forward comment=Fasttrack connection-mark=!IPSec connection-state=established,related
add action=accept chain=forward connection-state=established,related
add action=accept chain=input protocol=icmp
add action=accept chain=input comment="allow IPsec NAT" disabled=yes dst-port=4500 protocol=udp
add action=accept chain=input comment="allow IKE" disabled=yes dst-port=500 protocol=udp
add action=accept chain=input comment="allow l2tp" dst-port=1701 protocol=udp
add action=accept chain=input comment="allow pptp" disabled=yes dst-port=1723 protocol=tcp
add action=accept chain=input comment="allow sstp" dst-port=443 protocol=tcp
add action=drop chain=input comment="Drop DNS request from the WAN" dst-port=53 in-interface=ether1-WAN protocol=tcp
add action=drop chain=input dst-port=53 in-interface=ether1-WAN protocol=udp
add action=drop chain=forward comment="Drop invalid" connection-state=invalid log-prefix="FWR: Invalid"
/ip firewall mangle
add action=mark-connection chain=forward comment="Mark IPsec out" ipsec-policy=out,ipsec new-connection-mark=IPSec passthrough=yes
add action=mark-connection chain=forward comment="Mark IPsec in" ipsec-policy=in,ipsec new-connection-mark=IPSec passthrough=yes
/ip firewall nat
add action=accept chain=srcnat comment="IPSec NAT rule (MGE)" dst-address=192.168.2.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (ZWD)" dst-address=192.168.3.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (LRS)" dst-address=192.168.4.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (Dr)" dst-address=192.168.5.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (Ae)" dst-address=192.168.6.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (Mn)" dst-address=192.168.10.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (HI)" dst-address=192.168.30.0/24 src-address=192.168.1.0/24
add action=accept chain=srcnat comment="IPSec NAT rule (CT)" dst-address=192.168.88.0/24 src-address=192.168.1.0/24
add action=masquerade chain=srcnat out-interface=ether1-WAN
add action=masquerade chain=srcnat comment="masq. vpn traffic" src-address=192.168.89.0/24
add action=dst-nat chain=dstnat dst-port=**** in-interface=ether1-WAN protocol=tcp to-addresses=192.168.1.3 to-ports=8080
add action=dst-nat chain=dstnat disabled=yes dst-port=873 in-interface=ether1-WAN protocol=tcp to-addresses=192.168.1.3 to-ports=****
/ip ipsec peer
add address=94.213.***.***/32 comment=LRS dh-group=modp1024 enc-algorithm=aes-128 secret=****
add address=0.0.0.0/0 dh-group=modp1024 dpd-interval=2s enc-algorithm=aes-128 exchange-mode=main-l2tp generate-policy=port-override secret=****
add address=24.132.***.***/32 comment=ZWD dh-group=modp1024 enc-algorithm=aes-128 secret=****
add address=94.213.***.***/32 comment=MGE dh-group=modp1024 disabled=yes enc-algorithm=aes-128 secret=****
add address=94.211.***.***/32 comment="Den Helder" dh-group=modp1024 enc-algorithm=aes-128 secret=****
add address=212.204.***.***/32 comment=Majosign dh-group=modp1024 enc-algorithm=aes-128 nat-traversal=no secret=****
add address=87.215.***.***/32 comment=CAST dh-group=modp1024 enc-algorithm=aes-128 nat-traversal=no secret=****
add address=92.110.***.***/32 comment=Alebregtse dh-group=modp1024 enc-algorithm=aes-128 nat-traversal=no secret=****
add address=213.124.***.***/32 comment=HOi dh-group=modp1024 enc-algorithm=aes-256 secret=****
/ip ipsec policy
add comment=LRS dst-address=192.168.4.0/24 sa-dst-address=94.213.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=ZWD dst-address=192.168.3.0/24 sa-dst-address=24.132.**.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=MGE disabled=yes dst-address=192.168.2.0/24 sa-dst-address=94.213.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=Man dst-address=192.168.10.0/24 sa-dst-address=212.204.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment="DH" dst-address=192.168.5.0/24 sa-dst-address=94.211.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=CT dst-address=192.168.88.0/24 sa-dst-address=87.215.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=Ae dst-address=192.168.6.0/24 sa-dst-address=92.110.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
add comment=HI dst-address=192.168.30.0/24 sa-dst-address=213.124.***.*** sa-src-address=217.123.***.*** src-address=192.168.1.0/24 tunnel=yes
set 8 dst-address=0.0.0.0/0 src-address=0.0.0.0/0
/ip service
set telnet disabled=yes
set ftp disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ip upnp
set show-dummy-rule=no
/ppp secret
add name=vpn password=****
add name=W***r password=****
add name=W**r_iphone password=**** profile=Iphone_W***r service=l2tp
/system clock
set time-zone-name=Europe/Amsterdam
/system identity
set name=RB1100AHx4
/system ntp client
set enabled=yes primary-ntp=131.211.8.244 secondary-ntp=193.67.79.202
/tool bandwidth-server
set authenticate=no
/tool graphing interface
add allow-address=192.168.1.0/24
add allow-address=192.168.89.0/24 store-on-disk=no
/tool graphing queue
add allow-address=192.168.1.0/24
add allow-address=192.168.89.0/24
/tool graphing resource
add allow-address=192.168.1.0/24
add allow-address=192.168.89.0/24

Hoe zit het met jouw DNS? Ik zie dat je verwijst naar 192.168.1.2 maar wat zit daar achter? Een AD+DNS oid?
Aangezien je wel een DNS hebt ingericht op je router(192.168.1.1)

[allure]

Ik gebruik daar een NUC voor met Pihole erop, of deze aan- of uitstaat maakt niet uit.
Ook de Router DNS laten afhandelen geeft geen verandering. (vandaar dat deze nog aanstaat)

edit: Even een laptop rechtstreeks aan het ziggo-modem gehad. Dan gaat het wel goed.

[ Voor 19% gewijzigd door allure op 22-12-2017 11:18 ]

[Thralas]

jvanhambelgium schreef op vrijdag 22 december 2017 @ 06:37:
In m'n PPP-profile staat wel degelijk de "change-mss=yes" flag dus dat zou in orde moeten zijn,

Heb je ook gecontroleerd of je daardoor een v6 clamping rule hebt gekregen? Volgens mij is de grap dat die optie in ieder geval alleen v4 doet.

[allure]

Ok, schiet mij maar lek.

Ik heb een export gemaakt van de config een reset gedaan en daarna de boel weer langzaam opgebouwd met die config. Alles doet het nu...

[jvanhambelgium]

Thralas schreef op vrijdag 22 december 2017 @ 13:24:
[...]


Heb je ook gecontroleerd of je daardoor een v6 clamping rule hebt gekregen? Volgens mij is de grap dat die optie in ieder geval alleen v4 doet.

Nope, geen clamping rule en heb er nu gemaakt.
Straks effe proberen of die iPhone nog kuren heeft om over Wifi naar de store te gaan.
Op 4G heeft dat altijd gewerkt.
Tx voor de tip alvast

[WeaZuL]

Iemand current (6.41) al geïnstalleerd welke de nieuwe bridge implementatie in zich heeft? Ik moet nog testen of het impact heeft op mijn configs.

[Zaffo]

Alleen op een 750Gr2 en een mAP die momenteel niks liggen te doen. De Gr2 had al enkele rc versies gehad. Ik ben nog van plan hierop wat te proberen met de nieuwe bridge en VLANs. De mAP draait als CAP, en voor de 2 ethernet poorten heb ik nu ook de hardware-offloading geactiveerd. Dit draaide eerst nog als een software bridge.

Ik heb nog niets geupdate dat 24/7 aanstaat. Ik zit er nog aan te denken of ik al mijn RouterBoards wil updaten naar deze current versie, of voor sommigen over ga op de bugfix.

Edit: Moet wel zeggen dat ik verbaasd was toen ik vrijdag een melding kreeg dat 6.41 beschikbaar was, de laatste werkdag voor kerst.

[ Voor 11% gewijzigd door Zaffo op 24-12-2017 22:28 ]

[Verwijderd]

Er is versie 6.41 uitgekomen. Iemand dat geïnstalleerd? Wees voorzichtig, en maak ECHT!!! backups, op je harde schijf! Dus NIET op de router laten staan die backup config.

En zorg ervoor dat je dichtbij de router bent, een backup internetlink hebt (bv. via LTE), en dat je geduld hebt.

[ Voor 25% gewijzigd door Verwijderd op 24-12-2017 23:30 ]

[Bierkameel]

Ik wacht nog even met mijn RB3011 thuis, volgende week eerst maar eens een backup maken
Ik draai current dus zit nog op de oude switchconfig.

[XoReP]

Mijn RB3011 geüpdate gisteren. Gaat gewoon goed net als de laatste beta's. Daarna begonnen met een factory reset aangezien ik toch de boel aardig wou omgooien en viel me een dingetje op wat een probleem opleverde. Ik had mijn WAPac als CAP gebruikt met de RB3011 als capsman met capsman forwarding aan. Als je dan VLAN's gebruikt voor de losse SSIDs dan wordt er niet dynamic de cap interface toegevoegd aan het bridge vlan tabel. Nu maar even local forwarding aangezet, ander moet ik de dynamische interface elke keer toevoegen aan de vlan tabel

[WeaZuL]

Zaffo schreef op zondag 24 december 2017 @ 22:00:
[...]

Ik zit er nog aan te denken of ik al mijn RouterBoards wil updaten naar deze current versie, of voor sommigen over ga op de bugfix.

[...]

Wat zou de reden zijn om te upgraden naar bugfix?

[Verwijderd]

heb dus de RB2011, CRS 106-1C-5S (SFP switch) en een hAP ac geüpdated. Zonder problemen.

Heb nog een remote RB2011 staan, maar die heeft 14 VLAN's, 3 VPN's en nog wat exotisch spul. Wacht wel tot ik fysiek daar ben. Tot die tijd, draait 6.39 gewoon stabiel en goed.

[Zaffo]

Ik heb een aantal apparaten geupdate en even zitten spelen met de nieuwe bridge VLAN instellingen. Voor mijn hardware gaat hardware offloading nog niet samen met bridge VLAN instellingen. Dit moet nog via het switch menu om het via de hardware te doen.

WeaZuL schreef op maandag 25 december 2017 @ 10:17:
[...]


Wat zou de reden zijn om te upgraden naar bugfix?

Ik verwacht de komende tijd minder tijd te hebben om te testen. Dus ik heb besloten twee routers (750Gr3) nog even te laten voor wat ze zijn, en de interne apparaten (switch/AP) te updaten naar v6.41

[Thralas]

Zaffo schreef op dinsdag 26 december 2017 @ 17:39:
Ik heb een aantal apparaten geupdate en even zitten spelen met de nieuwe bridge VLAN instellingen. Voor mijn hardware gaat hardware offloading nog niet samen met bridge VLAN instellingen. Dit moet nog via het switch menu om het via de hardware te doen.

Eigenlijk werkt wirespeed filtering alleen op de CRS3xx dus. Al maakt het in mijn geval toch weinig uit, want ik was accel. al kwijt vanwege snooping. Hoop dat ze spoedig wat meer plusjes in die tabel werken, wat dat betreft.

Ik verwacht de komende tijd minder tijd te hebben om te testen. Dus ik heb besloten twee routers (750Gr3) nog even te laten voor wat ze zijn, en de interne apparaten (switch/AP) te updaten naar v6.41

Yup. Als je het al werkend had met de RC is er niet zoveel aan de hand, maar anders is het toch oppassen geblazen. De enige routerboard (niet meer dan een switch met een management vlan) die ik roekeloos van v6.40 -> v6.41 upgrade leek door de migratie een L2 loop cadeau te krijgen.

Die probeerde ik zojuist opnieuw te cofiggen met de meest triviale bridge VLAN config in v6.41, maar dat lijkt om onnavolgbare reden ook geheel niet te werken...

[Verwijderd]

En om welke Routerboard ging het Thralas? heb je dit ook op de Mikrotik forum gemeld?

[Thralas]

RB951G. En nee, nog niet, omdat ik mezelf nog een kans wil geven ernaar te kijken als 'ie niet tussen m'n internetuplink en router instaat. Meestal blijkt 't toch PEBKAC

[nescafe]

Hier ook een network loop (500+ Mbps op ether5); oorzaak: ik had een paar weken terug een port mirror aangezet om een geswitchte poort zo nu en dan te kunnen capturen.

code:

/interface ethernet switch
set 0 mirror-source=ether5 mirror-target=cpu

Log na update 6.41:
interface,warning ether5: bridge port received packet with own address as source address (64:d1:54:xx:xx:xx), probably loop
interface,warning ether5: bridge port received packet with own address as source address (64:d1:54:xx:xx:xx), probably loop

In principe is deze setting nu overbodig, ik ga ervanuit dat hw-offload vervalt op het moment dat je packet capture start. Dat was met master-port niet het geval.

[Bierkameel]

Toch mijn RB3011 maar geupdate, ik heb geen moeilijke config en eigenlijk alleen een paar port forwards, ik draai current dus ging wel voor het eerst naar de nieuw switch configs maar geen problemen

[jvanhambelgium]

Ook net mijn RB3011 een upgrade gegeven van zowel OS + firmware. Ging sneller dan ik dacht ;-)
Geen enkel probleem

[Thralas]

Ik heb inmiddels achterhaald wat de oorzaak is, volgens mij is het een bug in de bridge hardware offloading implementatie (tenminste op RB951G).

Daarbij was ik volgens mij ook nog eens twee problemen tegelijk aan het debuggen, waarvan eentje (extreem vage frame drops) wel eens hardwarematig zouden kunnen zijn (NTU gaf na veelvuldig repluggen ook geen link meer tot ik 'm powercyclede).

De main issue is blijkbaar dat ik de switch chip gebruikte om VLANs te filteren (mode=secure). Dat werkt blijkbaar niet meer in v6.41. Zet een poort op secure met de juiste rules en er gaat geen traffic meer doorheen tot je de offload op de desbetreffende bridge port uitzet. Met de offload uit op die ene poort werkt het wel maar komen er twee keer zoveel frames uit de bridge als erin gaan (alles wordt gedupliceerd).

tl;dr vlan filtering op de switch chip lijkt stuk

[Zaffo]

@Thralas Aangezien ik een RB750Gr2 gebruik als switch met VLANs, en alle poorten op mode=secure staan, heb ik maar even gechecked of traffic nog binnen kwam. Ik heb geen problemen gevonden. Het is een eenvoudige setup met verschillende untagged poorten en een uplink.

Edit: De RB750Gr2 heeft een QCA8337 chip en de RB951G-2HnD een Atheros8327.

[ Voor 12% gewijzigd door Zaffo op 28-12-2017 21:52 ]

[LiquidSmoke]

Zojuist ook de update (RB2011) gedaan en vraag mij af wat nu best practice is.

Oude situatie:
- Meerdere bridges met elk hun eigen IP adres, DHCP server en VLAN
- Poorten aan master port
- Layer 2 door de switch zelf

Na de update is alles aan bridge 1 geknoopt.

Nieuwe situatie
- 1 Bridge met meerdere vlan's
- Elk VLAN een eigen IP en DHCP server
- Layer 2 is nu nog op de switch geconfigureerd.

Voor nu werkt het, HW offloading is ook actief, echter heb ik dit zelf geconfigureerd door in de oude setup switch ports te gebruiken

Uiteindelijk wil ik de vlans op de bridge toe gaan voegen en deze van de switch afhalen. Als ik het goed heb begrepen knoopt RouterOS dit onder water aan elkaar. VLAN Filtering is niet ondersteund op de RB2011 maar heb ik verder ook niet nodig (alhoewel de switch nu op secure geconfigureerd is).

M.i. maakt het gebruik van 1 bridge het leven makkelijker zonder de performance te beinvloeden.

Iemand een gedachte of andere insteek hierover?

[ Voor 7% gewijzigd door LiquidSmoke op 30-12-2017 08:12 ]

[Thralas]

LiquidSmoke schreef op zaterdag 30 december 2017 @ 08:08:
M.i. maakt het gebruik van 1 bridge het leven makkelijker zonder de performance te beinvloeden.

Volgens mij is het inderdaad de bedoeling dat dat onder water allemaal voor je geregeld wordt. Met hw offload aan op de bridge ports zie je ook in het switch menu terug dat de switch chip MAC addresses learned.

[LiquidSmoke]

Thralas schreef op zaterdag 30 december 2017 @ 11:34:
[...]


Volgens mij is het inderdaad de bedoeling dat dat onder water allemaal voor je geregeld wordt. Met hw offload aan op de bridge ports zie je ook in het switch menu terug dat de switch chip MAC addresses learned.

Top, heb ik dat goed begrepen iig.

Om alles live om te bouwen is teveel gedoe (vrouw en kids kijken nogal graag tv etc), mooie reden om een RB3011 te bestellen

[Hmmbob]

Ik heb wat WiFi-based schakelaars besteld voor mijn HomeAssistant setup. Die Chinese apparaten wil ik graag gescheiden houden van de rest van mijn netwerk én van het internet. Ik ga daarom een apart WiFi netwerk (virtual ap) in de lucht brengen waar ik een eigen vlan aan koppel. Maar.... hoe zorg ik er nu voor dat mijn RaspberryPi (wired op eth3) zowel op dat “smart vlan” als op het internet kan als bereikbaar is vanaf mijn normale lan?

[Verwijderd]

Dan moet jouw Raspberry Pi twee NIC's hebben. Eentje voor "smart VLAN", en de andere op "normale LAN".

Maar waarom gebruik je niet de Hotspot functie en zet al die schakelaars in "walled garden"? Dan hoeft je ook niet te etteren met VLAN's. Maar dan nog, moet je de RBpi op een andere manier verbinden. Misschien een USB WiFi dongle voor 3 euro op ebay kopen? Het gaat toch alleen maar om kleine data. De "grote data", laat je via LAN lopen.

[donny007]

Hmmbob schreef op woensdag 3 januari 2018 @ 19:24:
Ik heb wat WiFi-based schakelaars besteld voor mijn HomeAssistant setup. Die Chinese apparaten wil ik graag gescheiden houden van de rest van mijn netwerk én van het internet. Ik ga daarom een apart WiFi netwerk (virtual ap) in de lucht brengen waar ik een eigen vlan aan koppel. Maar.... hoe zorg ik er nu voor dat mijn RaspberryPi (wired op eth3) zowel op dat “smart vlan” als op het internet kan als bereikbaar is vanaf mijn normale lan?

Twee netwerkinterfaces is niet nodig.

Je kunt op de Raspberry Pi virtuele interfaces aanmaken met VLAN tags, je krijgt dan naast eth0 een eth0.xx interface (waarbij xx het nummer is van je VLAN).

Op de Mikrotik moet je er dan voor zorgen dat het verkeer van je virtuele AP tagged uit eth3 komt (hoe je dit precies aanpakt hangt een beetje af van je huidige config).

Eenmaal is geconfigureerd is het net alsof je twee netwerkkaarten in je Pi hebt zitten die verbonden zijn met twee aparte netwerken. Eventueel kun je de boel intern in de Pi nog verder afschermen middels iptables (firewall).

[ Voor 4% gewijzigd door donny007 op 03-01-2018 22:45 ]

[Zaffo]

Een vlan op de Raspberry is niet noodzakelijk als je deze in je niet afgeschermde net hangt en zorgt dat apparaten het afgesloten vlan kunnen benaderen. Eventueel kan je nog een firewall rule toevoegen dat bepaalde apparaten ook gelimiteerde toegang hebben tot de Raspberry die buiten het vlan hangt.

[Hmmbob]

Hmm, zou ik het ook firewall-technisch kunnen doen? Dus AL het verkeer naar/van die devices blokkeren behalve naar mijn Pi?

Pi heeft al static adres, die apparaten heb ik natuurlijk ook zo een statisch adres toegewezen.

[Thralas]

Hmmbob schreef op vrijdag 5 januari 2018 @ 15:02:
Hmm, zou ik het ook firewall-technisch kunnen doen? Dus AL het verkeer naar/van die devices blokkeren behalve naar mijn Pi?

Ik zou het juist met de firewall oplossen op laag 3. Je hebt geen VLANs of extra interfaces op je Raspberry pi nodig, tenzij je ze op MAC-niveau moet kunnen aanspreken.

Pi heeft al static adres, die apparaten heb ik natuurlijk ook zo een statisch adres toegewezen.

Je hoeft ook niet perse statische adressen uit te delen, je kunt ook gewoon firewall rules op een interface matchen.

Ik zou een extra virtuele AP aanmaken, en dan gewoon je firewall goed afstellen. Zorg dat je FORWARD chain eindigt met een DROP en allow de volgende zaken:

• LAN naar internet
• LAN naar IoT interface
• Alles met conntrack stae ESTABLISHED[, RELATED]

Zaffo schreef op donderdag 28 december 2017 @ 21:51:
@Thralas Aangezien ik een RB750Gr2 gebruik als switch met VLANs, en alle poorten op mode=secure staan, heb ik maar even gechecked of traffic nog binnen kwam. Ik heb geen problemen gevonden. Het is een eenvoudige setup met verschillende untagged poorten en een uplink.

Edit: De RB750Gr2 heeft een QCA8337 chip en de RB951G-2HnD een Atheros8327.

Ik ben er inmiddels achter na een mailwisseling met support. Blijkbaar had ik nog een ingress vlan filter staan op de bridge (my bad, die is goed verstopt in Winbox) - zonder verdere port rules, na deze te hebben verwijderd kan ik weer gewoon m'n port op mode=secure zetten.

Maar het feit dat die bridge filter helemaal niets doet tenzij je de port in het switch menu op secure zet lijkt me alsnog niet helemaal juist. Ze mogen het effect van bridge vlan's op de switch chip (en vice versa) wel wat duidelijker weergeven, of voorkomen dat die twee elkaar kunnen bijten.

Helpt ook niet dat hardware-offload dus wegvalt als je bridge vlans gebruikt, maar dat ingress filter blijkbaar alsnog de switch chip gebruikt (ik dacht dat het allemaal in software gebeurde).

[Snippo]

Iemand enig idee waarom browsen niet werkt wanneer ik gebruik maak van de hotspot?
Ping naar bijv. www.google.nl werkt prima, maar browsen werkt niet of is ontzettend traag (ruim een minuut om een pagina te laden). Als ik de hotspot uitschakel werkt het wel gewoon. Ik heb al van alles geprobeerd en gezocht maar ik kom er niet uit Ook staat er geen up.download limiet ingesteld dus dat is het ook niet.

Edit:
Geen idee wat het probleem was, maar ik heb de router gereset en alles handmatig opnieuw ingesteld en nu werkt het wel...

[ Voor 94% gewijzigd door Snippo op 07-01-2018 13:16 ]

[The Executer]

Hier onlangs ook de upgrade 6.41 uitgevoerd op de RB951G-2HnD. Omdat ik toch al aan het rommelen was geweest in de oude config en ik wat kleine DNS probleempjes had de router gereset en een nieuwe config opgebouwd. Op dit moment nog heel basic, 1 firewall regel, vpn op basis van L2TP met ipsec en een NAT regel. Op zich draait alles prima, internet lijkt wat stabieler te zijn.

Ik loop alleen tegen 2 zaken aan die met de nieuwe bridge te maken hebben:
1: WOL vanaf de Mikrotik werkt niet meer, ook niet in zijn meest pure vorm. Ik had dit als script zodat ik 1 van de pc's thuis aan kon zitten vanaf de router. WOL vanaf mijn telefoon via Wi-Fi werkt perfect, maar natuurlijk niet als ik extern zit. Script bevatte voorheen de interface waar de pc aan hangt maar ook zonder interface (dus puur en alleen "tool wol mac=MACADRS").
Ik heb geprobeerd net hardware offloading uit op ether3 maar dit maakt geen verschil, pc blijft uit. Nogmaals, via een appje op de telefoon die niets anders doet gaat de pc wel aan.na de upgrade/voor de reset werkte het ook al niet meer.Ik heb toen een firewall regel aangemaakt die niets anders deed dan pakketten tellen op port 9. Wat mij opviel was dat er wel 1 a 2 pakketten

2: het bereiken van interne hosts bijc gebruik vanL2TP met ipsec. Voorheen moest je proxy-arp inschakelen.Ik deed dit altijd op de master poort en dit werkte goed. Nu kan ik, ondanks gelijke config voor zover ik terug kan zien, helemaal niets meer bereiken.Ik kan alleen nog op internet.Ik heb nog geprobeerd de L2TP toe te voegen aan de bridge, net als de optie voor "alle ppp". Toch krijg ik het niet aan de praat.

Iemand die mij kan helpen?

[nescafe]

The Executer schreef op dinsdag 9 januari 2018 @ 00:37:
Ik loop alleen tegen 2 zaken aan die met de nieuwe bridge te maken hebben:
1: WOL vanaf de Mikrotik werkt niet meer, ook niet in zijn meest pure vorm.

Zelf heb ik hier gedurende het gehele 6.41rc-traject geen problemen mee gehad. Zelfs met de verkeerde interface (ether2 ipv bridge1). Op current niet getest.

2: het bereiken van interne hosts bijc gebruik vanL2TP met ipsec. Voorheen moest je proxy-arp inschakelen.Ik deed dit altijd op de master poort en dit werkte goed. Nu kan ik, ondanks gelijke config voor zover ik terug kan zien, helemaal niets meer bereiken.Ik kan alleen nog op internet.Ik heb nog geprobeerd de L2TP toe te voegen aan de bridge, net als de optie voor "alle ppp". Toch krijg ik het niet aan de praat.

Iemand die mij kan helpen?

Probeer arp op de bridge even op enabled en dan weer op proxy-arp te zetten.

quote: https://forum.mikrotik.co...35064&hilit=proxy#p635019

It is a known problem that proxy-arp on bridge do not work after upgrade, You have to set it manually again after upgrade. This problem should be already solved in v6.42rc

[Bierkameel]

Iemand hier die nu WAP AC's gebruikt?
Ik heb nu een Amplifi HD mesh set maar wil mijn RB3011 eigenlijk uitbreiden met 2 WAP AC's omdat ik toch een beter gevoel heb bij bekabeld dan mesh maar een half jaar geleden waren er nogal wat probleempjes met de WAP AC, vooral de 2.4Ghz band bleek nogal onstabiel te zijn.

Als er problemen zijn dan zijn die meestal wel terug te vinden maar ben benieuwd of dat ondertussen is gefixed.

[The Executer]

nescafe schreef op dinsdag 9 januari 2018 @ 09:53:
[...]


Probeer arp op de bridge even op enabled en dan weer op proxy-arp te zetten.


[...]

Net even geprobeerd en de vpn opgebouwd, kan bv de router of printer niet bereiken. Zal eens het forum doorspitten of er issues bekend zijn. Anders eens upgraden naar rc,maar heb daar slechte ervaringen mee (router compleet unresponsive, uiteindelijk met veel moeite kunnen herstellen).

[nescafe]

V.w.b. WOL, net getest op 6.41 met packet capture aan op de doelinterface. Werkt hier goed. Wat zie jij?

code:

/tool wol mac=6c:62:6d:7e:54:e4 interface=bridge-lan

Wireshark dissect:

code:

Frame 167: 116 bytes on wire (928 bits), 116 bytes captured (928 bits)
Ethernet II, Src: Routerbo_xx:xx:xx (64:d1:54:xx:xx:xx), Dst: Broadcast (ff:ff:ff:ff:ff:ff)
Wake On LAN, MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
    Sync stream: ffffffffffff
    MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)

[Mattie112]

Bierkameel schreef op dinsdag 9 januari 2018 @ 10:05:
Iemand hier die nu WAP AC's gebruikt?
Ik heb nu een Amplifi HD mesh set maar wil mijn RB3011 eigenlijk uitbreiden met 2 WAP AC's omdat ik toch een beter gevoel heb bij bekabeld dan mesh maar een half jaar geleden waren er nogal wat probleempjes met de WAP AC, vooral de 2.4Ghz band bleek nogal onstabiel te zijn.

Als er problemen zijn dan zijn die meestal wel terug te vinden maar ben benieuwd of dat ondertussen is gefixed.

Ik heb hier 2x wAP AC (en een wAP) en hier draaien ze als een zonnetje!

[The Executer]

nescafe schreef op dinsdag 9 januari 2018 @ 14:46:
V.w.b. WOL, net getest op 6.41 met packet capture aan op de doelinterface. Werkt hier goed. Wat zie jij?

code:

/tool wol mac=6c:62:6d:7e:54:e4 interface=bridge-lan

Wireshark dissect:

code:

Frame 167: 116 bytes on wire (928 bits), 116 bytes captured (928 bits)
Ethernet II, Src: Routerbo_xx:xx:xx (64:d1:54:xx:xx:xx), Dst: Broadcast (ff:ff:ff:ff:ff:ff)
Wake On LAN, MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
    Sync stream: ffffffffffff
    MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)
        MAC: Micro-St_7e:54:e4 (6c:62:6d:7e:54:e4)

Heb hier net ook even Wireshark gedownload en geïnstalleerd. Vervolgens van zowel mijn telefoon als de Mikrotik een WOL verstuurd, zowel vanuit het script als vanaf de command line. Ook nog geprobeerd op interface=bridge en interface=ether3 (waar de betreffende pc op hangt). Alles van de Mikrotik komt niet aan, alle WOL pakketjes van de telefoon wel:

offtopic:
Zie wel dat mijn TV lekker over het netwerk staat te roeptoeteren. Binnenkort toch maar even plat leggen, in een uurtje tijd werd er meer als 8 mb aan pakketjes verstuurd, bijna allemaal richting Samsung & RTL . Altijd fijn, een smart TV!

EDIT: Zonet nog even de packetsniffer op de router gebruikt. Wat blijkt:



Ik denk dat hier al zichtbaar is wat er mis gaat. De WOL pakketjes vanaf de router komen vanaf het WAN IP op Ether1 met als destination 255.255.255.255 ipv het interne broadcast adres. Hoe dit nu ontstaan is... Bug?

@nescafe Ik zie dat jouw src MAC ook eindigt op E4, zo te zien ook ether1. Wat is het source IP?

[ Voor 11% gewijzigd door The Executer op 09-01-2018 21:55 ]

[Hmmbob]

Had je die proxy-arp oplossing al geprobeerd? Kan best zijn dat je router nu het MAC van je pc niet in de cache oid heeft, waardoor hij denkt dat de device niet op je lan zit en dus de wol pakketjes naar de uplink stuurt.

[nescafe]

Hier is het als volgt:


1.

code:

/tool wol mac=8c:62:6d:7e:54:e4 interface=bridge-lan

resulteert in een ether-wake (Ethertype 0x0842), dus geen UDP-pakket:


2.

code:

/tool wol mac=8c:62:6d:7e:54:e4

resulteert in een UDP encapsulated WOL op de WAN-interface (obv default gw):


3.

code:

/tool wol mac=8c:62:6d:7e:54:e4 interface=ether1-wan

resulteert in een ether-wake op de WAN-interface (geen UDP).

Dit lijkt dus afhankelijk van het wel of niet opgeven van interface (wel = direct, niet = over udp). Ben benieuwd of dit is gewijzigd sinds voorgaande versies.

[The Executer]

Hmmbob schreef op dinsdag 9 januari 2018 @ 22:29:
Had je die proxy-arp oplossing al geprobeerd? Kan best zijn dat je router nu het MAC van je pc niet in de cache oid heeft, waardoor hij denkt dat de device niet op je lan zit en dus de wol pakketjes naar de uplink stuurt.

Dit had ik inderdaad geprobeerd, zie ook The Executer in "\[Ervaringen/discussie] MikroTik-apparatuur".

Proxy-arp en WOL staan hier los van elkaar, 2 aparte problemen.

nescafe schreef op dinsdag 9 januari 2018 @ 22:43:
Hier is het als volgt:


1.

code:

/tool wol mac=8c:62:6d:7e:54:e4 interface=bridge-lan

resulteert in een ether-wake (Ethertype 0x0842), dus geen UDP-pakket:
[afbeelding]

2.

code:

/tool wol mac=8c:62:6d:7e:54:e4

resulteert in een UDP encapsulated WOL op de WAN-interface (obv default gw):
[afbeelding]

3.

code:

/tool wol mac=8c:62:6d:7e:54:e4 interface=ether1-wan

resulteert in een ether-wake op de WAN-interface (geen UDP).

Dit lijkt dus afhankelijk van het wel of niet opgeven van interface (wel = direct, niet = over udp). Ben benieuwd of dit is gewijzigd sinds voorgaande versies.

Hmm, thanks voor je uitgebreide reactie.

Ik heb geen packet sniffer vanaf de router laten lopen op moment dat ik de interface wel specificeerde. Dit ga ik nog even proberen.

Feit is wel dat het niet werkt, ik krijg geen pakketten binnen op de pc wanneer ik vanaf de router een WOL commando verstuur. Heel vreemd dit.

EDIT: Geen idee wat hier mis gegaan is, maar heb het werkend. Vanavond eerder het spul een reboot gegeven maar geen verschil kunnen ontdekken. Nog steeds geen werkende WOL.

Zojuist 3 scripts aangemaakt, 1 met WOL zonder interface, 1 met interface bridge en 1 met interface ether3. Ik heb opnieuw een Wireshark laten lopen en ben vervolgens de scripts gaan lopen "spammen". Resultaten zijn als volgt:
1: zonder interface: geen WOL pakket
2: interface bridge: bingo! Wake-pakket te zien!
3: interface ether3: bingo! Wake-pakket te zien!

@nescafe: Dit is nu vergelijkbaar met jouw setup, en nu dus wel werkend. Thanks voor je hulp. Ga ook gelijk nog even de VPN testen. Weet niet of het verstandig is gezien het tijdstip , maar we zullen zien.

EDIT 2: Probleem met de VPN nog niet gevonden. Ik zie wel dat de cliënt een /32 IP-adres toegewezen krijgt terwijl mijn netwerk als een /24 ingericht is.

Morgen verder onderzoeken!

EDIT 3: Vandaag vanaf een Windows-pc een VPN op kunnen bouwen. Wat ik zie is dat er geen gateway meegegeven wordt. Als DNS-server wordt het adres van de router meegegeven (wat goed is), maar er geen gateway mee komt. Kan de router en printer pingen, dus de arp-proxy lijkt goed te gaan.

[ Voor 80% gewijzigd door The Executer op 10-01-2018 08:19 ]