[MikroTik-apparatuur] Ervaringen & Discussie

[Theone098]

Heeft er iemand al ervaring met de Hex S als router? Ik overweeg de RB2011 als switch in te zetten en de Hex S als router.

Of ik moet het volgende probleem oplossen .
Even wat achtergrond info: ik ben al een poosje aan het experimenteren met vlan's en dat draait prima.
Mijn wifi-ap (tp-link) beneden moet via een netgear switch (managed), die weer gekoppeld is aan een CRS226.
In zowel de TP-link, de CRS226 als de Netgear heb ik de vlan's geconfigureerd. De TP-link draait virtual wlans met vlan-id's. Dit krijg ik niet werkend.

Dezelfde TP-link, met dezelfde configuratie, is boven gekoppeld aan een CRS226, die weer gekoppeld is aan de CRS beneden. Dit werkt feilloos.

Het verschil tussen boven (werkend) en beneden (niet werkend) is dus de netgear switch.

Als ik de netgear vervang door de RB2011 in bridge mode (ik heb 8 poorten nodig, sommigen zijn 100mbps), kan de Hex S mooi in de meterkast.

[ Voor 76% gewijzigd door Theone098 op 31-08-2018 11:10 ]

[Theone098]

Iedereen is over naar ubiquiti 😁

[nescafe]

Komt op mij over als een beetje misplaatste investering. Zo te lezen presteert de RB2011 nog prima. Als het probleem is dat vlans niet werken, probeer dat dan op te lossen. Welk model Netgear praten we over?

Je kunt het geld ook reserveren voor wat cAP ac's; deze kun je met CAPsMAN centraal beheren, soepel roamen (incl. RB2011-2HnD) en je zou vwb wireless zonder vlans kunnen.

[lier]

Theone098 schreef op zaterdag 1 september 2018 @ 17:00:
Iedereen is over naar ubiquiti 😁

WiFi is prachtig van Ubiquiti, maar als router gebruik ik toch echt wel een MikroTik. Vind persoonlijk de twee niet te vergelijken. Daarnaast heb ik voor de vakantie een hAP AC Lite en die doet het ook meer dan prima.

@Theone098 Hoeveel poorten heb je waar nodig? Als dat duidelijk is, dan is het ook wat eenvoudiger om een advies te geven. En mijn advies is in ieder geval om de RB2011 niet als switch in te zetten. Overigens, de RB2011 bestaat al best een tijd en de RB4011 komt er al aan.

[Theone098]

In principe vervang ik een switch van 8 poorten waarvan 7 in gebruik. In de meterkast staat een rb2011 waarvan ik 3 poorten gebruik. 1 wan en 2 lan (bond).

Gezien de minimaal benodigde capaciteit (weinig verkeer) kan de rb2011 dat met 2 vingers in de neus. En die hoeveelheid poorten heb ik in de meterkast niet nodig, waar ook al een crs226 staat.
De crs met 8 poorten heeft ook 2 sfp en is daardoor (te) duur.

Plan: vervang de rb2011 met een Hex s en vervang de 8 poorts Netgear met de Rb 2011.
De rb2011 kan prima switchen, zeker gezien het weinige verkeer. Wlan is niet nodig.

Andere optie is de Netgear aan de praat krijgen met vlans. Maar blijkbaar lusten die 2 elkaar niet.

@nescafe
Een Netgear gs108e.

[lier]

Kan je de CRS niet ook als router gebruiken? Ook al is het een switch kan hij ook prima routeren. Afhankelijk wat je allemaal gebruikt (firewall regels/VPN) en welke snelheid je ISP je doorgeeft.

[nescafe]

Theone098 schreef op zaterdag 1 september 2018 @ 20:55:
@nescafe
Een Netgear gs108e.

Hier een Netgear GS108Ev3 die prima werkt met een RB3011.

Netgear GS108Ev3:

VLAN
  802.1Q
    Advanced
      VLAN Configuration
        Advanced 802.1Q VLAN: Enabled
        VLAN ID: (Voeg hier VLAN ID in en klik op Add totdat alle VLANs zijn toegevoegd)
      VLAN Membership:
        Loop alle VLAN's na en voeg je trunk-poort(en) (T)agged toe

MikroTik RB3011:

/interface vlan add interface=etherX name=etherX-vlan20 vlan-id=20

Wellicht de moeite van een apart topic waard als het nog steeds niet werkt, met beide configs.

[Theone098]

@lier @nescafe Dank jullie voor het meedenken!

@lier De CRS laten routeren is een optie. Maar de L3 (cpu) capaciteit is beperkt. Nooit geprobeerd,wellicht een poging waard.

Voor wat betreft de config en de betreffende netwerk topologie, zodat we allemaal over hetzelfde praten.

https://imgur.com/a/AQCPKv9

Let op. Bij een CRS(226) gaat de config van vlans via:
- /interface internet switch egress-vlan-tag (maken van trunk)
- /interface ethernet switch vlan (port isolation)

(Intervlan) Routing gebeurd op de rb2011.

[ Voor 7% gewijzigd door Theone098 op 02-09-2018 09:35 ]

[nescafe]

Dat lijkt zoals het hoort, ten minste als de webinterface van de Netgear ook een 'T' bij de betreffende VLAN/Port-combinatie laat zien in tabblad VLAN Membership.

Heb je misschien een UTP-koppelstukje om de CRS even rechtstreeks met de TP-Link EAP te verbinden en te zien of dat goed gaat? Om zeker te weten dat het aan de Netgear ligt?

[Theone098]

Het werkt . Ik was iets te ongeduldig .

@lier @nescafe Dank voor jullie hulp. Het configureren van de verkeerde poort omdat de beschrijving van de poort en de kabels waren omgewisseld, was het probleem.

Daarna wel even wachten totdat de wijzigingen actief zijn in het netwerk ).

[ Voor 113% gewijzigd door Theone098 op 04-09-2018 12:53 ]

[nescafe]

Mooi! Maar wachten op een wijziging? Mijn ervaring met MT is dat wijzigingen instant zijn. Enig idee waarop je hebt moeten zitten wachten?

[Theone098]

Klopt, maar de switch zelf heeft ook tijd nodig om de wijzigingen in het netwerk op te merken / verwerken.

https://wiki.mikrotik.com..._series_switches_examples

Note: Some changes may take some time to take effect due to already learned MAC addreses. In such cases flushing Unicast Forwarding Database can help: /interface ethernet switch unicast-fdb flush

Overigens, de Hex S was al besteld en toch ff geprobeerd. En maar gehouden . Wat een beest in vergelijking met de RB2011. Niet omdat het moet, maar omdat het kan.

Houd ik de RB2011 als test device .

Overigens, of het aan de laatste update ligt (zoals eerder gesuggereerd in dit topic), maar webpagina's zijn inderdaad erg snel binnen. Ook mijn interne webserver reageert sneller. Ik blijf nog ff bij MT .

Volgende project is overstappen naar Proxmox. Met vlans uiteraard .

[ Voor 4% gewijzigd door Theone098 op 07-09-2018 11:36 ]

[bundit]

Ik overweeg om de Mikrotik Hex S aan te schaffen als router voor mijn internetverbinding van Tweak.

De huidige FritzBox 5490 is niet stabiel bij port-forwarding en moet steeds gereboot worden alvorens hier een instelling voor te wijzigen is (contact met AVM verhelpt dit probleem niet). Deze FritzBox wil ik dus vervangen door een Mikrotik Hex S.

Ik wil de glasvezel direct op de Mikrotik aansluiten (SC/UPC Simplex 9/125, TX:1310, RX:1490-1550).
Weet iemand hier welke transceiver hiervoor geschikt is? Op de website van Mikrotik vind ik zo 123 niet een simplex transceiver. Een transceiver van fs.com vind ik ook prima.

Als ik de resultaten mag geloven op https://mikrotik.com/product/hex_s#fndtn-testresults moet ik geen problemen hebben om mijn Gigabit verbinding volledig te benutten. In de toekomst wil ik waarschijnlijk nog gebruik gaan maken van vlans voor een gastnetwerkje. Is er toevallig al iemand die ervaringen heeft met Tweak en Mikrotik (eventueel met de Hex S)?

[nescafe]

De generic modules van fs.com werken prima met Tweak. Met LC, maar dat is een kwestie van een SC<>LC-patchkabeltje nemen. Golflengte is inderdaad 1310nmTx, 1490/1550nmRx.

nescafe schreef op woensdag 4 april 2018 @ 14:06:
ID: #20184 https://www.fs.com/products/20184.html
Generic Compatible 1000BASE-BX BiDi SFP 1310nm-TX/1490nm-RX 20km DOM Transceiver Module

Nog even getest met SFP-GE-BX aan Reggefiber/Tweak en dit werkt naar behoren.

code:

[admin@MikroTik] > /interface ethernet monitor sfp1 
                      name: sfp1
                    status: link-ok
                      rate: 1Gbps
               full-duplex: yes
           sfp-vendor-name: FiberStore
    sfp-vendor-part-number: SFP-GE-BX
            sfp-wavelength: 1310nm

Overigens vreemd dat FRITZ! zo raar doet. Ik weet dat hij nogal onhandig lokale devices probeert te detecteren. Heb je toevallig je end device zowel bekabeld als draadloos verbonden? Want dan kan ik me de problemen wel voorstellen (twee mac-adressen voor hetzelfde apparaat).

[bundit]

nescafe schreef op zaterdag 8 september 2018 @ 19:34:
Overigens vreemd dat FRITZ! zo raar doet. Ik weet dat hij nogal onhandig lokale devices probeert te detecteren. Heb je toevallig je end device zowel bekabeld als draadloos verbonden? Want dan kan ik me de problemen wel voorstellen (twee mac-adressen voor hetzelfde apparaat).

Nee, dat is niet het geval. Het apparaat betreft een Synology waarop wel 1 vm actief is. Dus een mac-adres met daarachter meerdere IP adressen. Maar dat moet bij mijn weten gewoon kunnen, een switch is in principe hetzelfde. In de arp tabellen van de Fritz staat ook het juiste mac-adres bij het desbetreffende IP adres.

Ik ga voor de transceiver die je hebt aangegeven en dan kan ik gelijk gaan spelen met een 6to4 tunnel op de Mikrotik, waarop de firewall wel juist ingesteld kan worden voor ICMPv6. De fritz houdt zich niet helemaal aan RFC 4890

[Theone098]

nescafe schreef op zaterdag 8 september 2018 @ 19:34:
[...]


Overigens vreemd dat FRITZ! zo raar doet. Ik weet dat hij nogal onhandig lokale devices probeert te detecteren. Heb je toevallig je end device zowel bekabeld als draadloos verbonden? Want dan kan ik me de problemen wel voorstellen (twee mac-adressen voor hetzelfde apparaat).

Dat zou mij verbazen. Een Ethernet NIC en wireless hebben verschillende MAC-adressen (tenzij je deze zelf hetzelfde adres geeft).

[Theone098]

bundit schreef op zondag 9 september 2018 @ 12:06:
[...]


Nee, dat is niet het geval. Het apparaat betreft een Synology waarop wel 1 vm actief is. Dus een mac-adres met daarachter meerdere IP adressen. Maar dat moet bij mijn weten gewoon kunnen, een switch is in principe hetzelfde. In de arp tabellen van de Fritz staat ook het juiste mac-adres bij het desbetreffende IP adres.

Ik ga voor de transceiver die je hebt aangegeven en dan kan ik gelijk gaan spelen met een 6to4 tunnel op de Mikrotik, waarop de firewall wel juist ingesteld kan worden voor ICMPv6. De fritz houdt zich niet helemaal aan RFC 4890

@bundit Wel (recente) ervaring met de Hex S, geen ervaring met Tweak, 1Gb internet of met SFP(+)-modules voor de Hex S (wel voor de CRS).


Overigens, net nieuw bij Mikrotik: de RB4011. Ook met SFP+ (10Gb).

[ Voor 10% gewijzigd door Theone098 op 10-09-2018 13:39 ]

[Yarisken]

Theone098 schreef op maandag 10 september 2018 @ 13:31:
[...]


Overigens, net nieuw bij Mikrotik: de RB4011. Ook met SFP+ (10Gb).

Op zo een toestel was ik aan het wachten :-)

[Theone098]

Yarisken schreef op maandag 10 september 2018 @ 17:28:
[...]


Op zo een toestel was ik aan het wachten :-)

Ik denk meer mensen 😉.

[Yarisken]

Theone098 schreef op maandag 10 september 2018 @ 17:31:
[...]

Ik denk meer mensen 😉.

Idd zit nu met een RB2011UiAS-2HnD-IN maar is enkel op 2.4. Dus deze is de logische opvolger :-).
Enige het enige enige kut is dat mikrotik geen deftige openvpn client heeft op de router voor met airvpn te connecteren ... .

[Theone098]

Ik weet ff niet wat airvpn is (neem aan een client), maar ik heb een uitstekende Tutorial gevonden om met openvpn te connecten naar de mikrotik. Helaas gebruikt mikrotik niet de meest veilige protocollen/encryptie, vandaar dat ik primair mijn nas daarvoor gebruik. De openvpn naar de mikrotik is mijn backup.

[lier]

L2TP over IPSEC doet het prima... wat bedoel je met niet meest veilige protocollen en encryptie? @Yarisken bedoel je een OpenVPN client?

[Yarisken]

Ik bedoel niet connecteren naar de mikrotik, dus mikrotik als vpn server maar de mikrotik als vpn client. Airvpn is een vpn providor maar deze ondersteunt enkel openvpn als protocol.
Dus nu gebruik ik airvpn op mijn laptop en virtuele machines en niet vanaf mijn router.

[Theone098]

Dubbel

[ Voor 95% gewijzigd door Theone098 op 11-09-2018 10:44 ]

[Theone098]

@Yarisken ik heb zelf nordvpn en daarvoor zijn wel Tutorials te vinden voor openvpn. Maar dan zul je de instellingen voor airvpn moeten gebruiken. Er zijn er meer, Google maar eens op mikrotik as VPN client.

@lier: openvpn: authentication met md5 of sha1, iets moderners is niet mogelijk (beiden zijn al lang gecompromitteerd). Mijn oneplus vind l2tp/ipsec niet lekker, althans ik heb daar problemen mee. En op het oneplus forum zijn er meer.
[/quote]

[ Voor 25% gewijzigd door Theone098 op 11-09-2018 10:53 . Reden: telefoon edits.... zucht. ]

[SpikeHome]

Theone098 schreef op maandag 10 september 2018 @ 13:31:

Overigens, net nieuw bij Mikrotik: de RB4011. Ook met SFP+ (10Gb).

en ook zonder wifi beschikbaar

[Bierkameel]

SpikeHome schreef op donderdag 13 september 2018 @ 11:58:
[...]

en ook zonder wifi beschikbaar

Leuk ding, ik heb nu 2 RB3011's thuis maar ik vind het LCD schermpje toch wel handig af en toe.
Jammer dat er nog steeds een externe voeding bijzit, beetje lullig als iemand in je rack de verkeerde stekker eruit trekt, ik heb liever een goede interne voeding.

[XoReP]

Mis op de RB4011 wel de USB port voor een USB stick en LTE stick.

[SpikeHome]

even een kort vraagje.
Ik gebruik voor mijn 2011 routers altijd de stable versie.
Maar is het misschien beter om de longterm te gebruiken?

welke gebruiken jullie?

[lier]

Ik gebruik altijd de stable en volg alle updates. Dit is in een thuisomgeving met een beperkt aantal gebruikers. Kan me voorstellen dat in een zakelijke omgeving een andere update strategie toegepast wordt.

[SpikeHome]

@lier bij mij is het ook een thuis netwerk.
en een set die ik bij mijn vrouws bedrijf gebruik maar daar gebruik ik ook de stable.

nadeel van stable is toch wel de regelmatige updates.
Die hoef je natuurlijk niet te doen, maar tja ik doe ze dan wel steeds.

[Yarisken]

SpikeHome schreef op donderdag 20 september 2018 @ 14:21:
@lier bij mij is het ook een thuis netwerk.
en een set die ik bij mijn vrouws bedrijf gebruik maar daar gebruik ik ook de stable.

nadeel van stable is toch wel de regelmatige updates.
Die hoef je natuurlijk niet te doen, maar tja ik doe ze dan wel steeds.

Fire and forget is niet meer van deze tijd met alle hacking etc... .

[Newjersey]

Iemand ervaring met de cap-ac accesspoints? Ben me aan het oriënteren om m'n huidige ap's te vervangen. Heb nu de rb951 en de rb2011 in gebruik.

[Zaffo]

@SpikeHome Voor APs (cap) gebruik ik stable, omdat de configuratie op die dingen redelijk simpel is. Op routers en een PoE switch gebruik ik de longterm/bugfix release.

Uitzondering hierop is een hEX S die nog op v6.42.7 draait, omdat ik 'm gelijk met de stable geconfigureerd heb. We gaan zien wanneer de longterm release voorbij v6.40 gaat en de nieuwe bridge implementatie krijgt, want dan gaat deze ook naar longterm.

[Zaffo]

Zaffo schreef op zaterdag 29 september 2018 @ 11:46:
(...) We gaan zien wanneer de longterm release voorbij v6.40 gaat en de nieuwe bridge implementatie krijgt, want dan gaat deze ook naar longterm.

Om mezelf even te quoten; er is een nieuwe long-term release in de vorm van v6.42.9. Ergens in de komende dagen eens updaten.

[Zapp-it]

FYI: https://blog.mikrotik.com...winbox-vulnerability.html

[Kavaa]

Wie heeft er hier kennis van Mikrotik met een GRE Tunnel en het op afstand bereikbaar maken van de Mikrotik op het WAN IP van de provider.
Dit moet schijnbaar met een Mangle Rule en een Connection Mark.

Onze kennis van Mikrotik is niet zo goed om dit met vertrouwen in te stellen.

Let me know

[nescafe]

Instructies voor het opstellen van een GRE tunnel (al dan niet ipsec-encrypted):
https://wiki.mikrotik.com/wiki/Manual:Interface/Gre

Instructies voor het openstellen van IP-diensten (waaronder Winbox):
https://wiki.mikrotik.com..._Router#RouterOS_services
Let erop dat je in de default config ook een expliciete allow voor winbox vanaf je WAN moet toestaan. Persoonlijk zou ik die optie ook voorzien van een address-list entry (src-address-list) en ip/services ongemoeid laten.

Mangle en Connection Mark heb je nodig voor Policy Based Routing, wat bij bovenstaande zaken niet per se nodig is.

https://wiki.mikrotik.com/wiki/Policy_Base_Routing

Voor gerichter advies zou je iets meer info moeten verstrekken, bij voorkeur inclusief running config ( /export hide-sensitive ).

[ Voor 15% gewijzigd door nescafe op 02-11-2018 16:09 ]

[ElCondor]

Ik heb ook wel een bijzonder probleem waar ik zo 123 niet uit kom met de Mikrotik documentatie.
Ik heb een VPN L2TP/IPSec verbinding geconfigureerd op de MikroTik. Deze moet dan uiteindelijk ook het verkeer van de VPN clients naar het LAN verzorgen.
Dat lukt echter niet. Ik kan LAN IP's pingen vanaf een client, maar ik kan geen shares openen op mijn windows servers of mijn NAS. Het Windows Filesharing/CIFS protocol wordt daarvoor gebruikt. Er worden, voor zover ik kan zien, géén firewall regels toegepast op inkomende VPN clients (want deze zitten toch direct op het LAN, of vergis ik me hierin?). Ik kan bijvoorbeeld wel direct RDP sessies openen en die heb ik ook niet specifiek in de firewallrules allowed of blocked.
Ik gebruik een x.x.75.x subnet voor mijn lan, en ik gebruik een x.x.76.x ip pool voor mijn clients.
Als ik in de routing table van de MikroTik kijk, dan zie ik dat er netjes routes aangemaakt worden op het moment dat er een client aanlogt. Er kan dus heen en weer gepingd worden. Echter share openen lukt dus niet. Nu heb ik hier al onderzoek naar gedaan en daar blijkt uit dat er een default gateway op de client bekend zou moeten zijn om filesharing toe te staan naar het LAN. Echter, met geen enkele configuratie mogelijkheid (of ik kijk niet goed) krijg ik het voor elkaar dat er een default gateway meegegeven wordt aan de IP instellingen van de VPN client.
Die heeft op moment van connectie dan ook route 0.0.0.0 netmask 255.255.255.255 zonder gateway als default route. Ik configureer op de client dat hij gebruik moet maken van de default gateway op het externe netwerk.

Ook als ik manual een route toevoeg aan de client, dan nog lijkt de default route te overrulen.

Kan iemand mij helpen met het configureren van al dan niet de MikroTik of de client om dit voor elkaar te krijgen?

[nescafe]

Wat staat er in de ppp-profile gelinkt aan de user of je default l2tp-server profile?

In CLI:
/ppp profile export hide-sensitive
/interface l2tp-server server export hide-sensitive

[Thralas]

ElCondor schreef op vrijdag 2 november 2018 @ 16:16:
Er worden, voor zover ik kan zien, géén firewall regels toegepast op inkomende VPN clients (want deze zitten toch direct op het LAN, of vergis ik me hierin?).

Vanuit de computer die je probeert te bereiken gezien sowieso niet. Je VPN-client komt immers uit een ander subnet.

Zeker weten dat firewallregels voor filesharing je daar geen parten spelen?

[Hmmbob]

Om deze problemen geef ik mijn VPN clients gewoon een ip uit dezelfde reeks als de rest van mijn lan.

[ElCondor]

Thralas schreef op vrijdag 2 november 2018 @ 17:10:
[...]


Vanuit de computer die je probeert te bereiken gezien sowieso niet. Je VPN-client komt immers uit een ander subnet.

Zeker weten dat firewallregels voor filesharing je daar geen parten spelen?

Ik zal eens kijken. Het zou wel moeten, zit ik me nu te bedenken. Ping lukt wel van het ene subnet naar het andere. Nog even verder puzzelen.

nescafe schreef op vrijdag 2 november 2018 @ 16:32:
Wat staat er in de ppp-profile gelinkt aan de user of je default l2tp-server profile?

In CLI:
/ppp profile export hide-sensitive
/interface l2tp-server server export hide-sensitive

Ga ik ook nog even checken. Ben nu niet in de buurt, maar ik kom hier op terug! Thx allen!

[ Voor 29% gewijzigd door ElCondor op 03-11-2018 14:02 ]

[Jazco2nd]

Ik heb de Hex POE, met de bijgeleverde WT2402500 adapter, output 24V, 2.5A. De adapter kan dus 60 watt leveren.

Ik heb 1 Unifi AC IN-WALL erop aangesloten. In Winbox zie ik "powered on" staan en het rode lampje brand. Volgens de Mikrotik Quick Guide moeten groen (link) en rood (power) branden.

De In-Wall heeft een led, is uit. De Unifi Controller software op mijn laptop (verbonden met de Mikrotik) kan geen devices vinden. de In-Wall AC heeft 7 Watt nodig.

Hoe kan het dat de Mikrotik zegt dat het device op de poort waarop de In Wall is aangesloten "powered on" is, maar de In Wall geen kik geeft? Moet ik nog iets doen in de Mikrotik? Kan het zijn dat er toch te weinig stroom is? Er zijn verder geen andere POE apparaten aangesloten (ben ik wel van plan).

[ Voor 5% gewijzigd door Jazco2nd op 03-11-2018 14:35 ]

[nescafe]

Er zijn meer problemen met de UAP-IW:

https://community.ubnt.co...ns-UAP-IW-US/td-p/1410313

Hieruit zou blijken dat alleen Mode A werkt en MikroTik output mode B.

quote: https://wiki.mikrotik.com/wiki/Manual:PoE-Out

All MikroTik PSE uses the same PoE-Out pin polarity Mode B 4,5 (+) and 7,8 (-), however other vendors can use opposite or Mode A pinout on PD, this would require using a special crossover cable.

Hoewel latere posts beweren dat dit probleem beperkt is tot de eerste generatie UAP-IW's.

quote: https://community.ubnt.co...ired-adapter/td-p/1878522

The first gen UAP-IW could only be powered using Mode A so I doubt your PoE brick would work. I have tested the newer UAP-AC-IW powering it with Mode B and connected a camera to it. Worked great.

Met de 24V-adapter krijg je alleen passive POE, een 48V-adapter is sowieso benodigd, eventueel met setting "force on".

[ Voor 4% gewijzigd door nescafe op 03-11-2018 15:24 ]

[Jazco2nd]

nescafe schreef op zaterdag 3 november 2018 @ 15:24:
Er zijn meer problemen met de UAP-IW:

https://community.ubnt.co...ns-UAP-IW-US/td-p/1410313

Hieruit zou blijken dat alleen Mode A werkt en MikroTik output mode B.


[...]


Hoewel latere posts beweren dat dit probleem beperkt is tot de eerste generatie UAP-IW's.


[...]


Met de 24V-adapter krijg je alleen passive POE, een 48V-adapter is sowieso benodigd, eventueel met setting "force on".

Dank! Dan is de eerste stap dus de adapter vervangen. Zie dat er 2 48V adapters zijn.
Ik wil in totaal 2 Walls (samen 14 watt) en 1 ubiquiti nanoswitch (1.5W) erop aansluiten. Op 1 van de 2 Walls mogelijk een RPi3 met POE HAT. Kan ik dan beter voor de 48V 96W adapter gaan ipv de 70W versie?
Edit: ben voor de 96W gegaan.

[ElCondor]

ElCondor schreef op zaterdag 3 november 2018 @ 14:01:
[...]


Ik zal eens kijken. Het zou wel moeten, zit ik me nu te bedenken. Ping lukt wel van het ene subnet naar het andere. Nog even verder puzzelen.


[...]


Ga ik ook nog even checken. Ben nu niet in de buurt, maar ik kom hier op terug! Thx allen!

Nou, ik heb inderdaad nog eens naar de Firewall rules gekeken en al het verkeer op port 445 wordt gedropped. Even wat exceptions aangemaakt en nu werkt het.

Bedankt allemaal voor het meedenken!

[Jazco2nd]

nescafe schreef op zaterdag 3 november 2018 @ 15:24:
Er zijn meer problemen met de UAP-IW:

https://community.ubnt.co...ns-UAP-IW-US/td-p/1410313

Hieruit zou blijken dat alleen Mode A werkt en MikroTik output mode B.


[...]


Hoewel latere posts beweren dat dit probleem beperkt is tot de eerste generatie UAP-IW's.


[...]


Met de 24V-adapter krijg je alleen passive POE, een 48V-adapter is sowieso benodigd, eventueel met setting "force on".

48V 2A (96W) adapter ontvangen, ik moest nog wel POE op forced on zetten maar vervolgens werkte het direct!

Het is wel een enorm ingewikkelde interface zeg. Maar ik snap dat dat het ook net zo enorm veelzijdig maakt.

Ik heb nog een paar vragen waar ik maar deels zelf uit kom. Internet komt binnen via de SFP poort en wordt geleverd via een vlan "vlan-internet". De 5 netwerkpoorten ether1-ether5 zijn dus bedoeld voor allerlei clients.
Bij Address List staat dit nog default, hoort hier wel ether1 ingesteld te staan of moet dit de bridge worden?:


2. Ik wil graag dat het eerste apparaat dat wired is verbonden gewoon het eerste adres in de reeks krijgt (192.168.88.1), nu is dat juist andersom (krijgt 192.168.88.254).
Zo staat het nu ingesteld:
IP Pool: 1 regel, DHCP. Hierin staat: 192.168.88.10-192.168.88.254
Ook als ik dit omdraai, 192.168.88.254-192.168.88.10 verandert er niks.

3. In hoeverre is dit artikel actueel genoeg om als voldoende firewall te dienen voor een normale consument?
https://wiki.mikrotik.com...universal_firewall_script

Ik zal een paar portforwards instellen (3 of 4), dat lukt me zelf wel. En ik wil dat binnen mijn gehele LAN (ook clients die wireless connected zijn met de wired Ubiquiti APs) UPNP en DLNA werken. Ik zie geen regels in dit artikel die dat zouden blokkeren dus volgens mij zit het goed.

[nescafe]

De huidige default config zou dat voor je op moeten lossen (ip address op bridge en interface list gebaseerde firewall). Ik zou niet gaan klooien met verouderde templates.

UPnP moet je apart inschakelen (IP > UPnP > Enabled & Interfaces external/internal instellen).

DHCP is inderdaad vreemd, je zou kunnen proberen (een) kleinere pool(s) aan te maken.

[ Voor 7% gewijzigd door nescafe op 09-11-2018 14:52 ]

[Jazco2nd]

nescafe schreef op vrijdag 9 november 2018 @ 14:51:
UPnP moet je apart inschakelen (IP > UPnP > Enabled & Interfaces external/internal instellen).

Gelukt, ook ff de wiki erbij gepakt. Internal op de bridge. External gok ik dat ik mijn vlan moet selecteren en niet de SFP1 poort.

nescafe schreef op vrijdag 9 november 2018 @ 14:51:
DHCP is inderdaad vreemd, je zou kunnen proberen (een) kleinere pool(s) aan te maken.

Hier ga ik nog wel ff mee testen.

nescafe schreef op vrijdag 9 november 2018 @ 14:51:
De huidige default config zou dat voor je op moeten lossen (ip address op bridge en interface list gebaseerde firewall). Ik zou niet gaan klooien met verouderde templates.

Ik heb inderdaad bij de initiele boot de default config geaccepteerd, v6.41.3. In Winbox ziet de Firewall ero zo uit. Alleen de gemarkeerde regel is wat ik zelf heb toegevoegd voor tijdelijke remote access toegevoegd.

Vervolgens alleen deze handelingen uitgevoerd om internet werkend te krijgen (gebaseerd op deze post van Mattie112 uit het oude Vodafone glasvezel topic). Default config denkt namelijk dat internet via Ether1 binnenkomt en voor T-Mobile komt internet binnen via vlan id 300:

1. Interface SFP1 auto negotation uitgezet, handmatig op 1gbit gezet.
2. Nieuwe vlan aangemaakt: vlan-internet met interface sfp1.
3. IP/DHCP client ingesteld op vlan-internet.
4. De default bridge, die heet "bridge", gewijzigd om voortaan vlan-internet te gebruiken.
5. Vervolgens via console: /ip firewall nat
6. add action=masquerade chain=srcnat out-interface=vlan-internet

Ik heb nu IP > Addresses, defconf op bridge gezet ipv ether1.

Dus dan hoef ik niks meer in te stellen in de firewall, dat maakt de Mikrotik wel een stuk gebruiksvriendelijker tegenwoordig! Thanks!

[ Voor 22% gewijzigd door Jazco2nd op 09-11-2018 16:02 ]

[nescafe]

Nee, dat gaat niet goed. Je hebt een nieuwe WAN-interface aangemaakt en je hebt een recente default config. Dan moet je ook je nieuwe interface toevoegen aan de WAN interface list. De srcnat-rule heb je dan niet meer nodig.

Jazco2nd schreef op vrijdag 9 november 2018 @ 15:05:
[...]

• De default bridge, die heet "bridge", gewijzigd om voortaan vlan-internet te gebruiken.

Bridge is je LAN, vlan-internet is je WAN. Heb je die via bridge aan elkaar geknoopt? Dat lijkt me niet correct.

Ik heb inderdaad bij de initiele boot de default config geaccepteerd, v6.41.3. In Winbox ziet de Firewall ero zo uit. Alleen de gemarkeerde regel is wat ik zelf heb toegevoegd voor tijdelijke remote access toegevoegd.

Als je configuratie wilt delen is een /firewall filter export handiger (en meer algemeen /export hide-sensitive). Op dit moment is niet zichtbaar of je aan je input allow voor poort 8291 een lokale in-interface hebt gekoppeld. Aangezien 6.41.3 vatbaar is voor CVE-2018-14847 zou je eigenlijk z.s.m. je router moeten updaten en wachtwoorden moeten wijzigen. Zie meer info: https://blog.mikrotik.com/security/winbox-vulnerability.html

[ Voor 84% gewijzigd door nescafe op 09-11-2018 16:07 ]

[Jazco2nd]

nescafe schreef op vrijdag 9 november 2018 @ 15:23:
Eh, wat? bridge is je LAN, vlan-internet is je WAN. Heb je die via bridge aan elkaar geknoopt?

Excuus voor de verwarring, die stap heb ik niet uitgevoerd. Ik hoefde niet met de bridge te klooien dankzij de default config.

nescafe schreef op vrijdag 9 november 2018 @ 15:23:
Nee, dat gaat niet goed. Je hebt een nieuwe WAN-interface aangemaakt en je hebt een recente default config. Dan moet je ook je nieuwe interface toevoegen aan de WAN interface list. De srcnat-rule heb je dan niet meer nodig.

Volgens mij staat dat al goed:

[nescafe]

Nogmaals, dat staat niet goed. In de default config (/system default-configuration print) wordt er in de forward chain gedropt op interface-list=WAN. Alle verkeer van buiten naar een computer op jouw prive-netwerk wordt dus doorgelaten (in het zeldzame geval dat jouw particuliere netwerk routeerbaar is bij jouw provider, maar toch).

Je WAN-verkeer komt binnen op interface vlan-internet en die zit niet in een interface list. sfp1 wel, maar heeft toch geen adres. Ik zou sfp1 wel laten staan, maar vlan-internet toevoegen aan WAN. Dan treedt automatisch srcnat in werking, dus kan die (aparte) regel weer komen te vervallen.

Zie tevens mijn edit over de gebruikte versie (van voor 23 april 2018).

[ Voor 27% gewijzigd door nescafe op 09-11-2018 16:12 ]

[Jazco2nd]

Oei ok dat is helemaal niet goed.

nescafe schreef op vrijdag 9 november 2018 @ 16:09:
Ik zou sfp1 wel laten staan, maar vlan-internet toevoegen aan WAN. Dan treedt automatisch srcnat in werking, dus kan die (aparte) regel weer komen te vervallen.

Zie tevens mijn edit over de gebruikte versie (van voor 23 april 2018).

Zo dus?

[SpikeHome]

op je sfp je wan zetten gaat niet goed.
ben ik ook tijdje mee aan het stoeien geweest.
de wan heb ik nu op ether1 gewoon
en als je er 2 wilt pak dan ether2 erbij

zie dit topic
https://forum.mikrotik.co...ic.php?f=13&t=126074&view

[ Voor 204% gewijzigd door SpikeHome op 13-11-2018 09:57 ]

[nescafe]

Sfp in general? Of specifiek de S-RJ01?

Zou het wel werken als je (via switch settings) untagged traffic naar tagged omzet en je dhcp-client op interface sfp1-vlan zet?

[Jazco2nd]

Ik zit te stoeien met een apparaat dat maar geen Gbit verbinding maakt, alleen 100mbit.
In RouterOS cable test gedaan en flink gegoogled wat de resultaten betekenen, maar ik kom er niet uit. Heb reeds het stekkertje aan het uiteinde van de +/- 20m kabel vervangen. Als ik auto-negotiation uitzet en 1Gbit forceer, krijg ik dit:



en als ik de stekker uit het apparaat haal:


Wat houd pair 3 shorted precies in? Ik vermoed dat pair 3 de groene/witgroene paar is.
Maar hoe kan het dat de afstand hier groter is dan bij de overige pairs, ook wanneer er verbinding is?

SpikeHome schreef op dinsdag 13 november 2018 @ 09:53:
op je sfp je wan zetten gaat niet goed.
ben ik ook tijdje mee aan het stoeien geweest.
de wan heb ik nu op ether1 gewoon
en als je er 2 wilt pak dan ether2 erbij

zie dit topic
https://forum.mikrotik.co...ic.php?f=13&t=126074&view

Huh, het werkt hier anders prima. Wat zou er niet goed gaan?
Alle overige poorten zijn bezet. Op SFP zit gewoon de glasvezel kabel van de ISP dus niet logisch om een lokaal apparaat dat op ether1 zit ineens in de WAN te zetten.

[SpikeHome]

@nescafe waarschijnlijk de S-RJ01

@Jazco2nd mooi, maar jij hebt idd glas op glas dat kan het verschil wel eens zijn inderdaad (niet goed opgelet)
Ik heb een converter erin de RJ01
Alleen die poort connected en dhcp client daarop geconfigureerd en dat werkte totaal niet

[Hmmbob]

Jazco2nd schreef op dinsdag 13 november 2018 @ 12:26:
Ik zit te stoeien met een apparaat dat maar geen Gbit verbinding maakt, alleen 100mbit.
In RouterOS cable test gedaan en flink gegoogled wat de resultaten betekenen, maar ik kom er niet uit. Heb reeds het stekkertje aan het uiteinde van de +/- 20m kabel vervangen. Als ik auto-negotiation uitzet en 1Gbit forceer, krijg ik dit:


[Afbeelding]
en als ik de stekker uit het apparaat haal:
[Afbeelding]

Wat houd pair 3 shorted precies in? Ik vermoed dat pair 3 de groene/witgroene paar is.
Maar hoe kan het dat de afstand hier groter is dan bij de overige pairs, ook wanneer er verbinding is?

Ik kreeg soortgelijke resultaten met een verkeerd keystone blockje in de muur - die was niet shielded en leverde fucked-up foutmeldingen zoals deze op.

[ Voor 72% gewijzigd door Hmmbob op 13-11-2018 12:45 ]

[Jazco2nd]

Hmmbob schreef op dinsdag 13 november 2018 @ 12:45:
[...]

Ik kreeg soortgelijke resultaten met een verkeerd keystone blockje in de muur - die was niet shielded en leverde fucked-up foutmeldingen zoals deze op.

Dit is een thuissituatie, niks is shielded.. maar ik begrijp de term "shorted" niet, kortsluiting? De draadjes komen nergens tegen elkaar aan bij het uiteinde.

[nescafe]

Ik zou de cable test nogmaals doen op de unconnected interface na een cold restart (power off/on).

Geeft hij dan nog 'shorted' weer, kijk dan even of je rommel zit tussen de pennetjes / verbogen pennetjes in de UTP-poort.

Werkt dat niet, dan afhankelijk van garantiestatus RMA'en dan wel openschroeven en doormeten.

Mijn vermoeden is dat pair 3 pin 4&5 (blauw/wit-blauw) is.. die wordt voor Gbit gebruikt. Hoewel pair 3 volgens de standaard idd pin 3-6 (groen/wit-groen) is.

[Hmmbob]

Jazco2nd schreef op dinsdag 13 november 2018 @ 13:32:
[...]


Dit is een thuissituatie, niks is shielded.. maar ik begrijp de term "shorted" niet, kortsluiting? De draadjes komen nergens tegen elkaar aan bij het uiteinde.

Beschrijf eens hoe je setup eruit ziet, inclusief alle tussen stappen zoals patch kabels enzo? Rechtstreeks Je router met 1 kabel op het andere device?

[Jazco2nd]

Hmmbob schreef op dinsdag 13 november 2018 @ 14:04:
[...]

Beschrijf eens hoe je setup eruit ziet, inclusief alle tussen stappen zoals patch kabels enzo? Rechtstreeks Je router met 1 kabel op het andere device?

Het is opgelost, ik wist niet welke van de 8 draden niet goed was, "pair 3" is nergens gedefinieerd dus eigenlijk is de cable test vrij nutteloos.

Heb 1 voor 1 de draden in mijn patch kastje losgemaakt en gekeken hoe de cable test veranderde, zo is de cable test feature wel heel nuttig. Zo bleek de blauwe draad niet goed te zitten in het patch kastje.

Grappig dat de Netgear GS105PE switch die dus alleen 100M verbinding kreeg, wel voeding (POE+) had ondanks dat dit ene kabeltje niet goed zat, voeding zal dus over andere draden gaan. Nu heeft ie voeding en 1000M

[Theone098]

Jazco2nd schreef op dinsdag 13 november 2018 @ 14:41:
[...]


Grappig dat de Netgear GS105PE switch die dus alleen 100M verbinding kreeg, wel voeding (POE+) had ondanks dat dit ene kabeltje niet goed zat, voeding zal dus over andere draden gaan. Nu heeft ie voeding en 1000M

UTP gebruikt maar 4 van de 8 draadjes. Dus dat POE+ werkt is niet zo raar (tenzij die aders/draadjes verkeerd zijn aangesloten) .

[jvanhambelgium]

Theone098 schreef op dinsdag 13 november 2018 @ 15:02:
[...]

UTP gebruikt maar 4 van de 8 draadjes. Dus dat POE+ werkt is niet zo raar (tenzij die aders/draadjes verkeerd zijn aangesloten) .

Correctie, FastEthernet tot 100Mbps gebruikt maar 4 van de 8 draadjes (2 pair)

1000Mbps / GigabitEthernet heeft wel degelijk alle 8 draadjes nodig hoor!

Er zijn nog andere verschillen ; oa de encoding-techniek is anders 4D-PAM5 (GigEthernet) <> 8B/10B (FastEthernet) maar wel op 125Mhz clock.
De paren worden bi-directioneel gebruikt

2 bits per clock, 4 paren kabels op 125Mhz geeft dus max 1000megabits/sec

[Theone098]

Klopt, dank voor de correctie!

[Jazco2nd]

Moet je eigenlijk nog iets bijzonders doen in RouterOS om multicast toe te staan binnen je LAN?
De Yatse app voor Kodi gebruik ik bijvoorbeeld ook als standaard music player, om mijn Flac collectie thuis te beluisteren. De app geeft bij elk volgend nummer dat hij afspeelt een melding dat multicast is geblokkeerd op mijn netwerk (speelt wel gewoon verder).

In de Mikrotik wiki vind ik alleen een hoop zeer gedetailleerde omschrijvingen die niet van toepassing lijken op mij.

[DutchITMaster]

Een vinkje bij je bridge volgens mij

[Freekers]

Gisterenavond maar eens in m'n Mikrotik configuratie gedoken. Ik ben totaal geen expert, maar ik heb het idee dat hij niet helemaal goed staat ingesteld. Mijn Mikrotik heeft namelijk 20-25% CPU load tijdens een speedtest van Ookla met slechts 25Mbps (via WiFi). Nou weet ik niet of dat lineair schaalt, maar dat zou dus betekenen dat mijn CPU op 100% load zit als ik met 100Mbps+ zou gaan downloaden... en laat ik nou net een pakketupgrade naar 400Mbps bij Ziggo hebben aangevraagd. Ik maak me dus zorgen dat ik deze snelheid wellicht nooit ga halen met mijn Mikrotik. Ik weet echter niet wat zoveel CPU usage verstookt. Als ik met '/tool profile' kijk, zie ik aan het begin van de speedtest een spike van 40-45% van 'management' maar daarna blijft wireless op 10-15% hangen terwijl total 20-25% is. Ergens mist dus nog ergens 10% CPU usage.

Zelf heb ik een vermoeden, maar nogmaals ben geen expert , dat het wellicht aan mijn fasttrack rule ligt. De een zegt namelijk dat ie helemaal bovenaan je firewall rules moet staan, de ander weer onder je drop rules... enfin, ik zie door het bomen het bos niet meer en weet dus niet meer wat nu wel of niet juist is.



Mijn config is als volgt:

code:

[freek@MikroTik] > export
# nov/22/2018 14:08:10 by RouterOS 6.43.4
# software id = X1KZ-JYM0
#
# model = RouterBOARD 962UiGS-5HacT2HnT
# serial number = XXXXXXXXXXX
/interface bridge
add admin-mac=XXXXXXXXXXX auto-mac=no comment=defconf fast-forward=no name=bridge
/interface ethernet
set [ find default-name=ether1 ] speed=100Mbps
set [ find default-name=ether2 ] name=ether2-master speed=100Mbps
set [ find default-name=ether3 ] speed=100Mbps
set [ find default-name=ether4 ] speed=100Mbps
set [ find default-name=ether5 ] speed=100Mbps
set [ find default-name=sfp1 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n disabled=no distance=indoors mode=ap-bridge ssid=XXXX wireless-protocol=802.11 wps-mode=disabled
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=20/40/80mhz-Ceee disabled=no distance=indoors mode=ap-bridge ssid=XXXXX wireless-protocol=802.11 \
    wps-mode=disabled
/interface list
add exclude=dynamic name=discover
add name=WAN
add name=LAN
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk eap-methods="" mode=dynamic-keys supplicant-identity=MikroTik wpa-pre-shared-key=XXXXXXX \
    wpa2-pre-shared-key=XXXXXXX
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip pool
add name=dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=dhcp authoritative=after-2sec-delay disabled=no interface=bridge name=defconf
/queue simple
add disabled=yes dst=ether1 max-limit=1M/10M name=Synology target=192.168.88.123/32 time=5h30m-23h59m59s,sun,mon,tue,wed,thu,fri,sat
add disabled=yes max-limit=1M/10M name=XXXXXXXX target=192.168.88.24/32
/snmp community
set [ find default=yes ] addresses=0.0.0.0/0
/user group
add name=domoticz policy=ssh,read,api,!local,!telnet,!ftp,!reboot,!write,!policy,!test,!winbox,!password,!web,!sniff,!sensitive,!romon,!dude,!tikapp
/interface bridge port
add bridge=bridge comment=defconf interface=ether2-master
add bridge=bridge comment=defconf hw=no interface=sfp1
add bridge=bridge comment=defconf interface=wlan1
add bridge=bridge comment=defconf interface=wlan2
add bridge=bridge interface=ether3
add bridge=bridge interface=ether4
add bridge=bridge interface=ether5
/interface bridge settings
set use-ip-firewall-for-pppoe=yes use-ip-firewall-for-vlan=yes
/ip firewall connection tracking
set enabled=yes
/ip neighbor discovery-settings
set discover-interface-list=LAN
/ip settings
set rp-filter=strict secure-redirects=no send-redirects=no tcp-syncookies=yes
/interface list member
add interface=ether1 list=WAN
add interface=bridge list=LAN
/ip address
add address=192.168.88.1/24 comment="Mikrotik LAN" interface=ether2-master network=192.168.88.0
/ip cloud
set ddns-enabled=yes
/ip dhcp-client
add comment=defconf dhcp-options=hostname,clientid disabled=no interface=ether1 use-peer-dns=no use-peer-ntp=no
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.222 gateway=192.168.88.1
/ip dns
set servers=192.168.88.222
/ip dns static
add address=192.168.88.1 name=router
/ip firewall address-list
add address=192.168.0.0/16 list=Bogon
add address=10.0.0.0/8 list=Bogon
add address=172.16.0.0/12 list=Bogon
add address=127.0.0.0/8 list=Bogon
add address=0.0.0.0/8 list=Bogon
add address=169.254.0.0/16 list=Bogon
add address=XXXXXXXXXXX.sn.mynetname.net list=WAN-IP
add address=192.168.88.100 list=IoT-Devices
add address=192.168.88.101 list=IoT-Devices
add address=192.168.88.102 list=IoT-Devices
add address=192.168.88.103 list=IoT-Devices
add address=192.168.88.104 list=IoT-Devices
add address=192.168.88.110 list=IoT-Devices
add address=192.168.88.111 list=IoT-Devices
add address=192.168.88.112 list=IoT-Devices
add address=192.168.88.113 list=IoT-Devices
/ip firewall filter
add action=drop chain=forward comment="Block Internet IoT-Devices" dst-address=!192.168.88.0/24 src-address-list=IoT-Devices
add action=drop chain=input comment="defconf: block ICMP (was eerst accept)" protocol=icmp
add action=accept chain=input comment="defconf: accept establieshed,related" connection-state=established,related
add action=drop chain=input comment="defconf: drop all from WAN" in-interface=ether1
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related log-prefix="FASTTRACK LOG"
add action=accept chain=forward comment="defconf: accept established,related" connection-state=established,related log-prefix="ACCEPT EST LOG"
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid log-prefix="DROP INVALID LOG"
add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface=ether1 log-prefix=\
    "DROP WAN LOG"
/ip firewall nat
add action=masquerade chain=srcnat comment="Hairpin NAT" dst-address=192.168.88.0/24 src-address=192.168.88.0/24
add action=masquerade chain=srcnat comment="defconf: masquerade (WAN NAT)" out-interface=ether1 src-address=192.168.88.0/24
add action=dst-nat chain=dstnat comment="Synology TCP Ports" dst-address-list=WAN-IP dst-address-type="" dst-port=6281,554,8443 protocol=tcp to-addresses=\
    192.168.88.123
add action=dst-nat chain=dstnat comment="TurboPolyp TCP Ports" dst-address-list=WAN-IP dst-address-type="" dst-port=1336,1337,80,443 protocol=tcp to-addresses=\
    192.168.88.222
add action=accept chain=dstnat comment="Accept DNS for Pihole" dst-port=53 log-prefix="DNS Pihole" protocol=udp src-address=192.168.88.222
add action=accept chain=dstnat comment="Accept DNS for Pihole" dst-port=53 log-prefix="DNS Pihole" protocol=tcp src-address=192.168.88.222
add action=dst-nat chain=dstnat comment="Redirect DNS requests to Pihole" dst-port=53 log-prefix="DNS Redirect" protocol=udp to-addresses=192.168.88.222 to-ports=53
add action=masquerade chain=srcnat comment="Masquerade redirected DNS requests" dst-address=192.168.88.222 dst-port=53 log-prefix="MASQ DNS" protocol=udp \
    src-address=192.168.88.0/24
/ip route
add disabled=yes distance=1 gateway=192.168.0.1
/ip service
set telnet address=192.168.88.0/24 disabled=yes
set ftp address=192.168.88.0/24 disabled=yes
set www address=192.168.88.0/24 disabled=yes
set ssh address=192.168.88.0/24
set api address=192.168.88.0/24 disabled=yes
set winbox address=192.168.88.0/24
set api-ssl address=192.168.88.0/24 disabled=yes
/ip smb shares
set [ find default=yes ] directory=/pub
/ip ssh
set strong-crypto=yes
/ip upnp interfaces
add disabled=yes interface=bridge type=internal
add disabled=yes interface=ether1 type=external
/system clock
set time-zone-name=Europe/Amsterdam
/system leds
set 1 interface=wlan2
/system ntp client
set enabled=yes primary-ntp=192.168.88.222 secondary-ntp=192.168.88.222
/system routerboard settings
set silent-boot=no
/system scheduler
add interval=2d name="Check for software updates" on-event="/system script run \"Check for software updates\"" policy=read,write,policy,test start-date=oct/20/2017 \
    start-time=13:37:00
/system script
add dont-require-permissions=no name="Check for software updates" owner=admin policy=read,write,policy,test source=":local emailAddress \"[e-mail]\"\r\
    \n \r\
    \n/system package update\r\
    \nset channel=current\r\
    \ncheck-for-updates\r\
    \n \r\
    \n:if ([get installed-version] != [get latest-version]) do={ \r\
    \n:log info \"A new software update is available. Sending email...\"\r\
    \n \r\
    \n/tool e-mail send to=\"\$emailAddress\" subject=\"[Mikrotik] Software Update Available\" body=\"A new update is available for your MikroTik device\"\r\
    \n}"
/tool bandwidth-server
set enabled=no
/tool graphing interface
add allow-address=192.168.88.0/24 interface=ether1
/tool graphing resource
add allow-address=192.168.88.0/24
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
/tool mac-server ping
set enabled=no
/tool sniffer
set streaming-server=192.168.88.1
[freek@MikroTik] >

Hebben jullie wellicht een idee wat er foutief staat ingesteld.... of is de CPU inderdaad de bottleneck van mijn Mikrotik? Ook andere tips, bijv. m.b.t security e.d., zijn van harte welkom

Bij voorbaat dank!

EDIT: Ik heb dezelfde speedtest nogmaals uitgevoerd via m'n bedraade netwerk en dan komt de CPU load niet boven de 5% uit. Ik zie dat HW offloading greyed out is bij de Bridge Ports die op de WLAN interfaces zitten. Klopt het dat HW offloading dus niet kan via WiFi en is dat dan ook meteen mijn bottleneck ?

[SpikeHome]

@Freekers Welke Miktorik heb je dan?
Zelf weet ik dat de goedkopere modellen bij een snelle verbinding en veel regels gauw naar de 100% gaan.
Met mijn eigen 2011 en speed test op volle snelheid (40mbps) gaat de download met 41mbps en cpu max 30%
Maar met de upload van 4mbps zit de cpu op 100%!

edit ook ziggo overigens

[ Voor 4% gewijzigd door SpikeHome op 23-11-2018 12:29 ]

[Freekers]

SpikeHome schreef op vrijdag 23 november 2018 @ 12:29:
@Freekers Welke Miktorik heb je dan?
Zelf weet ik dat de goedkopere modellen bij een snelle verbinding en veel regels gauw naar de 100% gaan.
Met mijn eigen 2011 en speed test op volle snelheid (40mbps) gaat de download met 41mbps en cpu max 30%
Maar met de upload van 4mbps zit de cpu op 100%!

edit ook ziggo overigens

Ojee, nu word ik erg nerveus... Anyway, ik heb de RouterBOARD 962UiGS-5HacT2HnT

[SpikeHome]

Freekers schreef op vrijdag 23 november 2018 @ 12:37:
[...]


Ojee, nu word ik erg nerveus... Anyway, ik heb de RouterBOARD 962UiGS-5HacT2HnT

even afwachten gewoon
Hoe vaak heb je nu super lang de volledige bandbreedte nodig!
anders deze aanschaffen https://mikrotik.com/product/rb4011igs_5hacq2hnd_in

test results van die van jou
https://mikrotik.com/prod...acT2HnT#fndtn-testresults
en die van mij
https://mikrotik.com/prod...acT2HnT#fndtn-testresults

die van jou is stukje sneller!

[ Voor 22% gewijzigd door SpikeHome op 23-11-2018 12:49 ]

[pimlie]

@Freekers, hw offloading (voor een bridge, bv ipsec hw offloading is wel een feature van de cpu) is een feature voor/van de switch chip. Als je naar het block diagram kijkt zie je dat de wlan porten niet met de switch chip verbonden zijn maar met de cpu: https://i.mt.lv/cdn/rb_files/RB962UiGS-160210082257.png

Gezien het blok diagram zou je nog kunnen kijken of er een verschil is tussen 2.4Ghz en 5Ghz.

--edit---
Waarom heb je al je interfaces op 100Mbit staan? De hAP AC heeft toch gigabit porten?

[ Voor 11% gewijzigd door pimlie op 23-11-2018 13:12 ]

[Thralas]

Freekers schreef op donderdag 22 november 2018 @ 14:53:
Zelf heb ik een vermoeden, maar nogmaals ben geen expert , dat het wellicht aan mijn fasttrack rule ligt. De een zegt namelijk dat ie helemaal bovenaan je firewall rules moet staan, de ander weer onder je drop rules... enfin, ik zie door het bomen het bos niet meer en weet dus niet meer wat nu wel of niet juist is.

Die rule staat daar prima. FastTrack gebruikt hardware (NAT) offloading van de SoC. Zodra je daar een verbinding mee matched ziet de CPU geen packets meer voor die verbinding.

Ofwel, je moet dus éérst droppen. Waar hij staat maakt alleen uit in de zin dat je niet een reguliere ACCEPT wilt doen voor hij de kans krijgt het te offloaden.

Bridge port hardware offloading is wéér iets ander; dat is een layer 2 feature en hierboven al haarfijn uitgelegd.

EDIT: Ik heb dezelfde speedtest nogmaals uitgevoerd via m'n bedraade netwerk en dan komt de CPU load niet boven de 5% uit. Ik zie dat HW offloading greyed out is bij de Bridge Ports die op de WLAN interfaces zitten. Klopt het dat HW offloading dus niet kan via WiFi en is dat dan ook meteen mijn bottleneck ?

Gewoon afwachten. De hAP AC kan met gemak 100 Mbit/s+ over WiFi routeren; het spectrum en een gebrek aan spatial streams zijn eerder je probleem.

[Freekers]

SpikeHome schreef op vrijdag 23 november 2018 @ 12:47:
even afwachten gewoon
Hoe vaak heb je nu super lang de volledige bandbreedte nodig!
anders deze aanschaffen https://mikrotik.com/product/rb4011igs_5hacq2hnd_in

test results van die van jou
https://mikrotik.com/prod...acT2HnT#fndtn-testresults
en die van mij
https://mikrotik.com/prod...acT2HnT#fndtn-testresults

die van jou is stukje sneller!

Mwoah, niet super vaak inderdaad, maar het is toch jammer als je die niet kan halen. Als het alleen WiFi is die niet de volle bandbreedte kan halen dan heb ik daar vrede mee, zolang ik bekabeld maar de lijn plat kan trekken

PS. Beide linkjes linken naar dezelfde pagina?

pimlie schreef op vrijdag 23 november 2018 @ 13:02:
@Freekers, hw offloading (voor een bridge, bv ipsec hw offloading is wel een feature van de cpu) is een feature voor/van de switch chip. Als je naar het block diagram kijkt zie je dat de wlan porten niet met de switch chip verbonden zijn maar met de cpu: https://i.mt.lv/cdn/rb_files/RB962UiGS-160210082257.png

Gezien het blok diagram zou je nog kunnen kijken of er een verschil is tussen 2.4Ghz en 5Ghz.

--edit---
Waarom heb je al je interfaces op 100Mbit staan? De hAP AC heeft toch gigabit porten?

Ah, thanks, dat wist ik niet! Block Diagrams, dat ik daar nog niet eerder aan had gedacht. Heb wel in de brochure gekeken maar daar kon ik het zo gauw niet vinden.

Dat snap ik inderdaad ook niet. De hAP AC heeft Gigabit poorten en Winbox zegt dat ze ook in Gigabit draaien. Echter de export toont iets anders... Wat nu? Mijn kabels zijn CAT5.e of CAT6 dus daar ligt het niet aan.



Wat ik overigens ook nog steeds niet aan de praat heb gekregen, en heb er al meer dan 2 uur prutsen inzitten, is blokkeren dat een PC naar een andere lokale PC mag pingen of data uitwisselen.
Dus PC A <---> PC B mogen niet met elkaar praten in het LAN netwerk.
Dit en dit heb ik al geprobeerd zonder resultaat.

Thralas schreef op vrijdag 23 november 2018 @ 13:24:
[...]


Die rule staat daar prima. FastTrack gebruikt hardware (NAT) offloading van de SoC. Zodra je daar een verbinding mee matched ziet de CPU geen packets meer voor die verbinding.

Ofwel, je moet dus éérst droppen. Waar hij staat maakt alleen uit in de zin dat je niet een reguliere ACCEPT wilt doen voor hij de kans krijgt het te offloaden.

Bridge port hardware offloading is wéér iets ander; dat is een layer 2 feature en hierboven al haarfijn uitgelegd.


[...]


Gewoon afwachten. De hAP AC kan met gemak 100 Mbit/s+ over WiFi routeren; het spectrum en een gebrek aan spatial streams zijn eerder je probleem.

Thanks voor je reply! Okay, we gaan het zien Als het goed is komt vandaag het nieuwe modem binnen, dan kan ik vanavond eens gaan testen.

Overigens heb ik nog een vraag over mijn laatste firewall rule, namelijk:

code:

add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface=ether1

Wat doet deze nou precies? Hij is nog nooit getriggered. Is die rule dus niet dubbelop?

[nescafe]

Freekers schreef op vrijdag 23 november 2018 @ 13:32:
Dat snap ik inderdaad ook niet. De hAP AC heeft Gigabit poorten en Winbox zegt dat ze ook in Gigabit draaien. Echter de export toont iets anders... Wat nu? Mijn kabels zijn CAT5.e of CAT6 dus daar ligt het niet aan.

Export toont alleen de instellingen die anders zijn dan de standaardwaarde. Nu zijn er twee redenen waarom je nu iets te krijgt in export: of je hebt een instelling gewijzigd, of MikroTik heeft de standaardinstelling gewijzigd. Laat dat laatste nu net gebeurd zijn (standaard snelheid van 100Mbps naar 1Gbps).

Je hebt dus een 'oude' standaardwaarde in gebruik in een 'nieuwe' release.

Verder is speed niet van toepassing bij auto negotiation, dus je kunt het zo laten of bijwerken naar 1Gbps, het maakt niet zoveel uit.

[SpikeHome]

@Freekers
https://mikrotik.com/prod...2HnD-IN#fndtn-testresults
mijn linkje dan

[pimlie]

Freekers schreef op vrijdag 23 november 2018 @ 13:32:
Dus PC A <---> PC B mogen niet met elkaar praten in het LAN netwerk.

Beide links die je geprobeerd hebt gebruiken firewall rules om verkeer van A naar B te blokkeren, maar als zowel A als B op dezelfde switch chip zitten (en op zelfde bridge / in zelfde LAN) zal het verkeer tussen die twee nooit via de CPU lopen en dus ook nooit via de firewall. Een tip om dit soort gevallen te detecteren is om /tool torch te gebruiken en te kijken of je het verkeer tussen A en B ook wel echt op de bridge voorbij ziet komen.

[Thralas]

Freekers schreef op vrijdag 23 november 2018 @ 13:32:
Wat ik overigens ook nog steeds niet aan de praat heb gekregen, en heb er al meer dan 2 uur prutsen inzitten, is blokkeren dat een PC naar een andere lokale PC mag pingen of data uitwisselen.
Dus PC A <---> PC B mogen niet met elkaar praten in het LAN netwerk.
Dit en dit heb ik al geprobeerd zonder resultaat.

Eerste slaat nergens op, binnen hetzelfde subnet kunnen devices elkaar direct op laag 2 (MAC) addresseren, daar komt geen firewall (laag 3) aan te pas.

Bovendien wordt dat soort verkeer in de regel direct door de switch chip afgehandeld (dat is bridge hardware offloading). En als dat niet gebeurt, dan doet de Linux bridge-implementatie dat - zonder tussenkomst van een firewall.

De 'use-ip-firewall'-optie regelt alleen het laatste (of verkeer op een Linux bridge door iptables moet), maar daar heb je niets aan als door hardware offloading het verkeer nooit de switch chip verlaat. Ik denk dat dat je hier parten speelt.

Volgens mij zijn er drie oplossingen, op volgorde van wenselijkheid:

1. Extra subnet introduceren, zodat alles per definitie via je router op layer 3 moet worden afgehandeld, dan kun je firewallen naar eigen inzicht
2. Een bridge filter gebruiken (volgens mij zet dat impliciet hardware offloading op de bridge uit)
3. Hardware offloading op de desbetreffende bridge ports uit en use-ip-firewall gebruiken om het door de firewall te forceren.

De eerste vind ik het meest elegant, bij de andere twee forceer je tussenkomst van een firewall (of bridge filter) tussen twee apparaten die netwerktechnisch met elkaar zouden moeten kunnen praten. Een firewall op de host zelf vind ik dan nog een correcter alternatief.

Overigens heb ik nog een vraag over mijn laatste firewall rule, namelijk:

code:

add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface=ether1

Wat doet deze nou precies? Hij is nog nooit getriggered. Is die rule dus niet dubbelop?

Technisch gezien niet.

Alles dat op WAN arriveert is ofwel gericht aan je router (INPUT chain), of wordt herschreven dmv. NAT omdat het verkeer is voor een bestaande verbinding van een van je LAN hosts.

Als er geen NAT plaatsvindt blijft het op de INPUT chain, eenmaal op de FORWARD chain heeft er altijd NAT plaatsgevonden.

De enige situatie waarin deze rule zou hitten is als er verkeer op je WAN arriveert dat direct gericht is aan je LAN (192.168.0.0/16). Maar je internetprovider heeft je alleen in z'n routetabel onder je WAN IP en zal dat soort verkeer nooit naar je sturen.

tl;dr tenzij je provider een grove fout maakt zul je daar nooit een hit op zien, maar het is gezond om daar niet van afhankelijk te zijn

[Freekers]

@nescafe @SpikeHome @Thralas @pimlie Dank voor jullie uitgebreide antwoorden! Ik ga ze straks doornemen, ik zit namelijk nu met het probleem dat mijn Mikrotik niet meer wilt booten zodra ik hem aansluit op mijn nieuw modem (Ziggo connect box). Zodra ik een ethernet kabel aansluit op ether1, crasht de mikrotik en blijft alleen de power led knipperen. Sluit ik de ethernet kabel aan op bijvoorbeeld ether2, dan crasht de mikrotik niet. Ik snap er niets van. Deze setup heeft gewoon gewerkt met m'n vorige ziggo modem. Enige wat ik heb gedaan is het ziggo modem vervangen. Rest is identiek. Ik ga zo eens proberen de mikrotik naar factory settings te resetten.

Edit: gereset naar factory defaults, Mikrotik blijft crashen. Ik heb nu alle kabels losgetrokken. Er zit dus niks aangesloten behalve stroom maar zodra ik ook maar iets aansluit op poort 1 crasht ie. Power adapter al omgewisseld, zelfde verhaal.

Edit2: Ik geef het op, volgens mij issie RIP.

[ Voor 18% gewijzigd door Freekers op 23-11-2018 17:19 ]

[SpikeHome]

@Freekers ook wel eens gehad dmv netinstal kan je firmware er opnieuw opzetten.
https://blog.ligos.net/20...roken-Mikroik-Device.html

[ Voor 35% gewijzigd door SpikeHome op 25-11-2018 11:41 ]

[pimlie]

@Freekers Mikrotik heeft een eigen hulp programma voor wat @SpikeHome zegt: netinstall

[Freekers]

SpikeHome schreef op zondag 25 november 2018 @ 11:39:
@Freekers ook wel eens gehad dmv netinstal kan je firmware er opnieuw opzetten.
https://blog.ligos.net/20...roken-Mikroik-Device.html

pimlie schreef op zondag 25 november 2018 @ 11:43:
@Freekers Mikrotik heeft een eigen hulp programma voor wat @SpikeHome zegt: netinstall

Dank voor jullie antwoorden! Ik heb het met Netinstall geprobeerd maar helaas, het is niet gelukt. Netinstall ziet de Mikrotik wel, maar als ik het gedownloadde main package probeer te flashen, komt er geen progress bar. Het woord 'Ready' achter de Mikrotik in Netinstall verdwijnt voor circa 5 seconden en daarna komt er weer 'Ready' te staan. In de tussentijd komt er dus geen progress bar en ook geen melding 'Reboot required'.
Ik heb 3 verschillende PCs geprobeerd (Windows 10 / WIndows 7) met firewall + AV uit, verschillende kabeltjes, verschillende Netinstall en Base image versies maar steeds dezelfde symptomen. Op het Mikrotik forum gaven sommigen aan er een switch tussen te zetten, maar als ik dat doe crasht mijn Mikrotik direct. Ik heb 3 verschillende switches geprobeerd maar helaas... Garantie is overigens een half jaar geleden verlopen

[pimlie]

Freekers schreef op zondag 25 november 2018 @ 22:12:
Ik heb het met Netinstall geprobeerd maar helaas, het is niet gelukt.

Netinstall kan af en toe best even lastig zijn om werkend te krijgen, zeker als het je eerste keer is (of lang geleden). Heb je een andere mikrotik tot je beschikking om netinstall mee uit te proberen zodat je kan uitsluiten dat het toch aan je methodes ligt?

[SpikeHome]

@Freekers Zoals @pimlie al meld het is inderdaad soms lastig om het werkend te krijgen.
Beetje volhouden

[Freekers]

pimlie schreef op zondag 25 november 2018 @ 23:41:
Netinstall kan af en toe best even lastig zijn om werkend te krijgen, zeker als het je eerste keer is (of lang geleden). Heb je een andere mikrotik tot je beschikking om netinstall mee uit te proberen zodat je kan uitsluiten dat het toch aan je methodes ligt?

SpikeHome schreef op maandag 26 november 2018 @ 10:09:
@Freekers Zoals @pimlie al meld het is inderdaad soms lastig om het werkend te krijgen.
Beetje volhouden

Ik heb sinds een uurtje geleden dezelfde Mikrotik nieuw tot m'n beschikking Echter, zodra ik m'n oude/'kapotte' Mikrotik verbindt met de nieuwe (Ether1 op de oude --> Ether 2 t/m 5 op de nieuwe), crasht de oude meteen en wilt dan ook niet meer booten totdat ik de ethernet kabel weer eruit trek. Het Power lampje gaat dan ook direct uit zodra ik hem verbind, blijft langzaam flikkeren, en gaat pas weer aan als ik de ethernet kabel eruit trek... Ook als ik reset inhoud zodra ik de Power verbind, blijft het Power lampje langzaam flikkeren en start hij niet op (geen boot piepjes oid)

[pimlie]

@Freekers En als je hem niet op ether1 maar op ether2 of t/m ether5 aansluit op de oude? Klinkt inderdaad wel alsof er iets kapot is, je zou eens kunnen kijken of je een doorgebrand componentje ziet als je hem openmaakt.

[Freekers]

pimlie schreef op maandag 26 november 2018 @ 23:36:
@Freekers En als je hem niet op ether1 maar op ether2 of t/m ether5 aansluit op de oude? Klinkt inderdaad wel alsof er iets kapot is, je zou eens kunnen kijken of je een doorgebrand componentje ziet als je hem openmaakt.

Op ether2(t/m5) start ie wel op, maar dan ziet netinstall hem helaas niet
De winkel waar ik hem destijds gekocht heb bevestigd dat de garantie verlopen is, dus ik ga hem morgen eens open maken om te kijken of ik iets van schade kan zien.

Ik ga dit weekend aan de slag met jullie tips m.b.t. het maken van een apart subnet e.d.

Hartstikke bedankt voor alle hulp en tips tot dusver, appreciate it!!

[Theone098]

Netinstall moet je gebruiken door je pc / laptop rechtstreeks op eth1 aan te sluiten. Het timen van het gebruik van de resettoets is zeer precies.
Kostte mij ook een paar pogingen voordat het lukte.

[ Voor 2% gewijzigd door Theone098 op 01-12-2018 19:34 . Reden: Autocorrectie 🤐 ]

[Freekers]

Theone098 schreef op zaterdag 1 december 2018 @ 19:33:
Netinstall moet je gebruiken door je pc / laptop rechtstreeks op eth1 aan te sluiten. Het timen van het gebruik van de resettoets is zeer precies.
Kostte mij ook een paar pogingen voordat het lukte.

Het lukt me wel om hem in Netinstall te krijgen, maar als ik dan wil ga flashen, komt er geen progress bar. Het woord 'Ready' achter de Mikrotik in Netinstall verdwijnt voor circa 5 seconden en daarna komt er weer 'Ready' te staan. In de tussentijd komt er dus geen progress bar en ook geen melding 'Reboot required'.

[pimlie]

@Freekers Mail anders de mikrotik support ([e-mail]), wellicht weten zij nog iets meer. En als je beleefd aandringt heb je ook nog een kleine kans dat ze hem alsnog RMA willen nemen.

[CaptJackSparrow]

Na een stroomuitval met harde shut-off van een computer waren er wat netwerkverbindingsprobleempjes met een andere computer die ik moest verhelpen. Toen dat weer liep had ik plotseling een nogal vreemd probleem met via een browser verbinding maken met mijn RB750Gr3.

Terwijl de verbinding met mijn Fritzbox volkomen normaal gaat krijg ik bij de RB750 wel het inlogscherm maar als ik daar de gegevens ingevuld heb krijg ik na enter:

Error 406: Not Acceptable

Met WinBox krijg ik wel verbinding. Ik had dacht ik kort ervoor een firmware-update gedaan waarna ik nog niet eerder met een browser had ingelogd dus voor de zekerheid heb ik een firmware downgrade geprobeerd maar dat had ook geen effect.

Uit wát ik erover kan vinden lijkt het een potentieel nogal lastige foutmelding te zijn. Zijn er hier mensen die er, misschien specifiek met Mikrotik hardware, ervaring mee hebben?

Vanaf andere computers kom ik er overigens wel in dus het ligt deels aan die computer maar gezien de Fritzbox wel werkt is het toch ook specifiek voor de RB750.

[ Voor 8% gewijzigd door CaptJackSparrow op 05-12-2018 16:34 ]

[TF0]

Ik wil graag een mail krijgen als mensen inloggen op VPN, om zo eventueel ongeautoriseerde toegang te kunnen blokkeren.

Ik heb op dit moment in PPP / profile

code:

on up:
/tool e-mail send to="[e-mail]" subject="[MikroTik] Iemand logde in op VPN" body="$user logde in op VPN."

Dit werkt perfect en ik zie welke gebruiker inlogt.
Ik wil echter ook zien vanaf welk ip-adres er wordt verbonden. Dat zou moeten kunnen met $caller-id, maar dat werkt niet (https://wiki.mikrotik.com/wiki/Manual:PPP_AAA). De andere opties werken ook niet, behalve interface, maar die heb ik niet nodig.
Reden dat het caller-id zou moeten zijn is dat in ssh ppp/active/print het ip-adres onder "caller-id" staat.

Waarom werkt dit niet? Moet dit met een lokale/globale variabele?

[Hmmbob]

Geen antwoord op je vraag, maar wel gaaf - dit ga ik ook instellen!

[sambaloedjek]

Uitkijken met de nieuwe RB4011: de SFP poort werkt niet met directe glas aansluiting van kpn. Geen support voor Passive DAC.

[Thralas]

sambaloedjek schreef op dinsdag 11 december 2018 @ 23:40:
Uitkijken met de nieuwe RB4011: de SFP poort werkt niet met directe glas aansluiting van kpn. Geen support voor Passive DAC.

Snap ik alleen niet wat DAC met een glasaansluiting te maken heeft?

[sambaloedjek]

Thralas schreef op woensdag 12 december 2018 @ 17:58:
[...]


Snap ik alleen niet wat DAC met een glasaansluiting te maken heeft?

Sorry ik bedoel EN geen support voor passive DAC. Blijkbaar bevat de RB4011 geen electronics hiervoor wat waarschijnlijk ook de oorzaak is dat KPN of TMobile geen link krijgt.

[Thralas]

sambaloedjek schreef op woensdag 12 december 2018 @ 18:57:
Sorry ik bedoel EN geen support voor passive DAC. Blijkbaar bevat de RB4011 geen electronics hiervoor wat waarschijnlijk ook de oorzaak is dat KPN of TMobile geen link krijgt.

Voor KPN (of T-Mobile, of..) gebruik je toch gewoon een BiDi SFP waar je je fiber inprikt?

Op het MikroTik forum staat inderdaad dat er wat issues zijn met passieve DAC -kabels, maar die heb je helemaal niet nodig voor je WAN uplink..?

[sambaloedjek]

Thralas schreef op woensdag 12 december 2018 @ 19:22:
[...]


Voor KPN (of T-Mobile, of..) gebruik je toch gewoon een BiDi SFP waar je je fiber inprikt?

Op het MikroTik forum staat inderdaad dat er wat issues zijn met passieve DAC -kabels, maar die heb je helemaal niet nodig voor je WAN uplink..?

Heb enkele SFP modules geprobeerd, die goed werken met mijn CCR en Cisco switch, maar werken niet met RB4011. Een harde setting op 1gb link ipv auto werkt ook niet. Mikrotik beschrijft een workaround met harde settings maar dan aan beide kanten. Met een ISP aan de andere kant kan dit dus niet.
Ik hou mij aanbevolen voor advies welke SFP hier zou kunnen werken. Bij Mikrotik is dit ook niet bekend, behalve voor de dual LC. Deze laatste werkt niet met glas ISP hier.

[Freekers]

pimlie schreef op zondag 2 december 2018 @ 13:15:
@Freekers Mail anders de mikrotik support ([e-mail]), wellicht weten zij nog iets meer. En als je beleefd aandringt heb je ook nog een kleine kans dat ze hem alsnog RMA willen nemen.

Ik heb ze gemaild, ze vroegen om een filmpje waarin ik het probleem demonstreer, dus dat ik heb ik ze zojuist toegestuurd (voor de geïnteresseerden: YouTube: Mikrotik Netinstall not working on RB962UiGS-5HacT2HnT hAP AC). Ik ben benieuwd!

Hmmbob schreef op zaterdag 8 december 2018 @ 12:26:
Geen antwoord op je vraag, maar wel gaaf - dit ga ik ook instellen!

In hetzelfde straatje, een email notificatie wanneer er een update beschikbaar is: https://www.fluxbytes.com...ikrotik-software-updates/
Vond ik zelf heel handig