[MikroTik-apparatuur] Ervaringen & Discussie

[Hmmbob]

Kijk even met een speedtest of je het juiste (snelheids)profiel hebt gekregen?

[ Voor 7% gewijzigd door Hmmbob op 10-02-2021 10:35 ]

[Jazco2nd]

@Hmmbob ik heb 500/500 abo maar speedtest laat 510/205 zien..

[Ozzie]

Gisteren eindelijk mijn mikrotik spulletjes binnen gekregen. 1 hex poe router en een cap ac accesspoint. Gisteravond bezig geweest om CAPsMAN werkend te krijgen en dat is gelukt, alhoewel ik zo te zien nog 1000 extra opties kan instellen. Moet nog even lezen wat dat allemaal doet.

Zoals het er nu uitziet lijkt het allemaal goed te werken in ieder geval, maar ik heb dan ook nog niks speciaal gedaan. Nu maar even gaan inlezen wat voor leuks ik allemaal nog kan instellen, en even flink die AP uittesten dan kan ik volgende week ofzo er nog twee bij bestellen en heb ik eindelijk in het hele huis goede wifi ontvangst.

[nescafe]

@Jazco2nd
Hmm, als dat het probleem is heb je nog met een oude default config te maken. Je stelt vragen over bepaalde regels die zeer selectief filteren, terwijl de huidige default config goed is ingericht op basis van interface lists.

Het kost even wat werk maar.. ik zou de config exporteren, alles resetten naar default en dan opnieuw inrichten (vlan6 + pppoe-client) en hierbij sfp1, vlan6 en pppoe-client opnemen in de interface list "WAN". Dan ben je er zeker van dat firewalling goed is geregeld.

En dan zo weinig mogelijk overnemen van netwerkje.com als het kan E.e.a. is wat gedateerd en niet alles is nodig.

[Jazco2nd]

nescafe schreef op woensdag 10 februari 2021 @ 11:35:
@Jazco2nd
Hmm, als dat het probleem is heb je nog met een oude default config te maken. Je stelt vragen over bepaalde regels die zeer selectief filteren, terwijl de huidige default config goed is ingericht op basis van interface lists.

Het kost even wat werk maar.. ik zou de config exporteren, alles resetten naar default en dan opnieuw inrichten (vlan6 + pppoe-client) en hierbij sfp1, vlan6 en pppoe-client opnemen in de interface list "WAN". Dan ben je er zeker van dat firewalling goed is geregeld.

En dan zo weinig mogelijk overnemen van netwerkje.com als het kan E.e.a. is wat gedateerd en niet alles is nodig.

Yup en het kriebelt ook om precies dat te doen. Een paar maanden geleden heb ik namelijk mijn hele config geexporteerd en vervolgens regel voor regel "opgeschoond" zodat het ook importeerbaar is en er geen onnodige modificaties/toevoegingen zijn. Met die export kan ik, nadat internet is ingesteld, weer netjes de 'personalisatie' instellen, port forwards, IP reserveringen, DNS etc.

Maar we werken thuis en kunnen duidelijk niet zonder continu verbinding (ging vanochtend niet goed met 2 telefoons op hotspot mode, iemand belde en poef 4g verbinding ff weg).

Dus dat is een klusje voor de vrijdagavond of het weekend.

In elk geval heb ik alle firewall regels die ik vanochtend van Netwerkje.com had overgenomen weer weggehaald. Ik heb nu dus gewoon de default firewall regels (versie 6.48). Bij NAT heb ik alleen mijn hairpin nat portforwarding en de genoemde src-nat > pppoe-client regel (onderaan).

Interface List - WAN heb ik gecheckt, die heeft al reeds alleen maar SFP1, pppoe-client, vlan6.
Daarnaast alleen "bridge" in de LAN list, en onder Bridge staan alleen de poorten van LAN, niet de SFP1 poort.

Enige andere modificatie: BGP Routing staat default enabled en heb ik nu disabled, ik heb ff de wiki gelezen maar kan niet achterhalen of het nodig is.

Volgens mij zit ik voorlopig dus wel goed... want het is nu eigenlijk best wel default.

[ Voor 23% gewijzigd door Jazco2nd op 10-02-2021 12:10 ]

[Hmmbob]

nescafe schreef op woensdag 10 februari 2021 @ 11:35:
En dan zo weinig mogelijk overnemen van netwerkje.com als het kan E.e.a. is wat gedateerd en niet alles is nodig.

That being said.... Is het handig om hier een mooi overzichtje te hebben hiervoor? Is toch een vraag die vaker terug komt. Misschien in de TS?

[Jazco2nd]

Lijkt mij wel handig..zeker omdat netwerkje.com niet klopt/niet de minimale set instructies bevat.
En als je een IPv6 adres wil van KPN, moet je het package daarvoor enablen, je ppp profile aanpassen (use-ipv6=yes) en een DHCP client aanpassen (ik heb nu niks staan onder DHCP client).

Ik durf het nu niet te testen, heb alleen het package enabled. Ik wil binnen mijn LAN gewoon IPv4 blijven gebruiken, met mijn eigen DNS server ingesteld in de router. Dus voorlopig houd ik het zo.

[ Voor 26% gewijzigd door Jazco2nd op 10-02-2021 12:45 ]

[Theone098]

Ik hoop dat iemand mij kan helpen met het volgende. KPN -> PFSense -> Mikrotik.

Wat ik nu heb draaien:
- Qotom met PFsense 2.4.5 P1, met op poort 0 WAN en poort 1 LAN.
- Op het LAN heb ik diverse VLANS, waaronder voor IPTV.
- De LAN poort is verbonden met een Mikrotik CRS-226 als Core/centrale Switch.
- Vanuit de CRS-226 loopt 1 kabel naar een Netgear managed switch waarop o.a. de TV-ontvanger (STB, Arris) zit maar ook andere VLANS (trunk dus).

Ik zou graag het IPTV-VLAN op een aparte poort van de Qotom willen zetten (poort 2). Dan is er dus ook een aparte poort op de CRS-226 nodig. Geen probleem, poorten zat.

Alle poorten op de CRS-226 zitten in 1 bridge, de huiskamer poort (naar de Netgear) is getagged met diverse VLANS (trunk).

Hoe kan ik dit nu realiseren zonder dat, als ik het IPTV-VLAN van de WAN aan poort 2 IPTV-VLAN hang, PFSense binnen 5 minuten hangt?

[ Voor 12% gewijzigd door Theone098 op 11-02-2021 14:29 ]

[Jazco2nd]

Ik neem uiteindelijk genoegen met deze oplossing voor mijn eigen DNS server:

1. 2 NAT regels die alle DNS requests naar mijn homeserver sturen (waar AdGuardHome en Unbound op draaien), met deze regels kan de server zelf ook nog gewoon resolven:
   
   code:
   

   /ip firewall nat
   add chain=dstnat action=dst-nat to-addresses=192.168.88.2 in-interface=bridge protocol=udp src-address=!192.168.88.2 dst-address=!192.168.88.2 dst-port=53 comment="dns-to-server-rule1"
   
   add chain=srcnat action=masquerade protocol=udp src-address=192.168.88.0/24 dst-address=192.168.88.2 dst-port=53 comment="dns-to-server-rule2"

2. Een script dat checkt of google.com resolved kan worden, zo niet, schakel deze 2 NAT regels uit.
   Doordat in IP>DHCP Server>DNS gewoon router IP is ingevuld en onder IP>DNS 9.9.9.9, zal als fallback 9.9.9.9 direct worden gebruikt, geen vertraging (behalve dan dat ik het script 1x per minuut draai).
   
   code:
   

   :local serverDown [/ip firewall nat get value-name=disabled [find comment="DNS-to-server-rule1"]]
   :local serverIP "192.168.88.2"
   :local testDomain "www.google.com"
   
   
   :if ($serverDown = false) do={
       :do {
           :resolve $testDomain server $serverIP
       } on-error={
           /ip firewall nat;
               disable [find comment="DNS-to-server-rule1"];
               disable [find comment="DNS-to-server-rule2"];
               }
   } else={
       :do {
           :resolve $testDomain server $serverIP;
           /ip firewall nat;
               enable [find comment="DNS-to-server-rule1"];
               enable [find comment="DNS-to-server-rule2"];
       } on-error={}
   }

AdGuardHome zal alle requests van 1 adres zien komen (de router), daardoor mis je per-client stats. Dat accepteer ik nu maar.

Enige wat ik jammer vind is dat ik een extern domein test (google.com). Ipv dat overwoog ik om te testen of mijn server online is maar dan vang je de situatie niet waarin AdGuardHome (of Unbound) gecrashed zijn terwijl de server gewoon nog bereikbaar is.

[ Voor 7% gewijzigd door Jazco2nd op 12-02-2021 14:39 ]

[Jazco2nd]

(dubbel)

[ Voor 99% gewijzigd door Jazco2nd op 12-02-2021 14:39 . Reden: dubbelpost ]

[Thralas]

Jazco2nd schreef op woensdag 10 februari 2021 @ 10:16:
PPoE Client, Connected
PPPoE-scan op vlan6 probeerde ik, het was een poosje running, maar ik zag niks.
Daarna had ik weer geen verbinding.

Voor het vervolg: KPNs PPPoE access concentrator staat zo scherp afgesteld dat je de PPPoE-scanner beter niet kunt gebruiken omdat hij al snel in de weg zit.

Een quote van mezelf, toen ik heb uitgezocht waarom PPPoE bij KPN zo brak lijkt te werken soms:

Naar aanleiding van m'n eerdere opmerking over het feit dat het hier soms ook niet werkt na een reboot heb ik nog even geëxperimenteerd: het blijkt zo te zijn dat je per 300 seconden slechts één kans krijgt om een PPPoE-sessie op te zetten. Concreter: je krijgt één PADO per 300 seconden; doe je daar niets mee, dan is dat jouw probleem en ben je effectief geblokkeerd. Als je de sessie netjes opzet en afbreekt mag je nog een keer initiaten, maar als je dat te vaak herhaalt wordt je ook geblokkeerd.

De PPPoE scanner stuurt PADIs om ACs te discoveren. Als je al een actieve PPPoE-sessie hebt dan krijg je daarop geen response (dat gedrag zag je) - heb je echter geen sessie, dan krijg je de AC te zien maar kun je vervolgens de komende 300 seconden geen PPPoE-sessie opbouwen (dat ervaarde je zo te zien ook).

e ppp profile aanpassen (use-ipv6=yes)

Hoeft niet voor v6 - dat request een v6 address via PPPoE, maar je moet gewoon DHCPv6 gebruiken.

Theone098 schreef op donderdag 11 februari 2021 @ 14:27:
Ik zou graag het IPTV-VLAN op een aparte poort van de Qotom willen zetten (poort 2).

Waarom dat?

Hoe kan ik dit nu realiseren zonder dat, als ik het IPTV-VLAN van de WAN aan poort 2 IPTV-VLAN hang, PFSense binnen 5 minuten hangt?

Vermoedelijk creëer je een loop met een untagged default vlan op beide interfaces, of iets dergelijks? Zou dat nalopen. Of kijken of (M)STP je erop kan wijzen waar het probleem zit.

Daarnaast zou ik overwegen om het hele IPTV vlan gewoon te routeren op pfSense. Dat is ook hoe KPN het doet, immers..

[Theone098]

Thralas schreef op vrijdag 12 februari 2021 @ 15:36:
[...]


Waarom dat?

Meerdere redenen, de belangrijkste is dat ik vaak en graag experimenteer en dan vindt de familie niet altijd leuk als er TV wordt gekeken.
Verder wil ik graag IDS/IPS op mijn LAN interface wat IPTV niet leuk vindt.

[...]


Vermoedelijk creëer je een loop met een untagged default vlan op beide interfaces, of iets dergelijks? Zou dat nalopen. Of kijken of (M)STP je erop kan wijzen waar het probleem zit.

Daarnaast zou ik overwegen om het hele IPTV vlan gewoon te routeren op pfSense. Dat is ook hoe KPN het doet, immers..

Ja, ik denk ook een loop. Hoe kan ik dat zien? Ik kan wel spanning tree aanzetten op de switch?

Ja, ik routeer het IPTV LAN ook met pfsense. Maar hoe kan ik anders IPS/IDS gebruiken op de LAN interface als IPTV er ook op zit.

[Willy Mikrotik]

Thralas schreef op dinsdag 9 februari 2021 @ 22:52:
Waneer gebeurt dat? Net na het booten, of willekeurig? Welke versie draai je, en heb of had je management interfaces open naar het internet? Wat zegt het volgende, specifiek het aantal bad blocks?

code:

/system resource print

Lijkt me hardwaregerelateerd (bad blocks op NAND?) of een artefact van een gehackt device. In beide gevallen lijkt me een netinstall geen verkeerd idee (dan weet je zeker dat hij packages opnieuw wegschrijft).

uptime: 9w6h12m15s
version: 6.46.7 (long-term)
build-time: Sep/07/2020 07:38:56
factory-software: 6.42
free-memory: 57.3MiB
total-memory: 128.0MiB
cpu: MIPS 74Kc V4.12
cpu-count: 1
cpu-frequency: 600MHz
cpu-load: 28%
free-hdd-space: 90.2MiB
total-hdd-space: 128.0MiB
write-sect-since-reboot: 173303
write-sect-total: 192487
bad-blocks: 0%
architecture-name: mipsbe
board-name: CRS125-24G-1S-2HnD
platform: MikroTik

Wat bedoel je met netinstall op een pc of op de router ?

[Thralas]

Geen bad blocks, daar kan het dus niet aan liggen.

Manual: NetInstall

Je draait niet de laatste versie. Probeer te updaten; als dat niet werkt of niet helpt: netinstall.

[Jazco2nd]

Ik begrijp dus niet hoe deze dude DNS queries van zijn clients forward naar zijn Pihole, met maar 1 regel (regel 6 in zijn bericht). Zonder masquerade regel erbij. En hij beweert dat het werkt.

Bij mij werkt het juist niet zonder masquerade regel erbij. Hij beweert verder dezelfde setup te hebben. Hoe kan dat?

[Willy Mikrotik]

Thralas schreef op zaterdag 13 februari 2021 @ 16:51:
Geen bad blocks, daar kan het dus niet aan liggen.

Manual: NetInstall

Je draait niet de laatste versie. Probeer te updaten; als dat niet werkt of niet helpt: netinstall.

Thanx zal het volgens weekend updaten en kijken wat hij doet.

[Theone098]

Andere vraag. Een management VLAN op een CRS226.

Ik had dit geconfigureerd via Bridge VLANS (zie hier) en dat werkte. Daarna zag ik (en werd bevestigd op de Wiki) dat de CRS226 dan geen Hardware offloading ondersteunt. Met mogelijke performance issues als gevolg.

Dus alles omgebouwd naar switch VLAN's (zie hier).

Ik begrijp alleen niet welke poorten ik moet configureren voor het volgende statement =>

After valid VLAN99 configuration has been setup, you can enable unknown/invalid VLAN filtering, which will not allow the management access through different ports than specified in the VLAN table:

/interface ethernet switch
set drop-if-invalid-or-src-port-not-member-of-vlan-on-ports=<het gaat dus om deze poorten>.

Welke poorten moet ik daar invullen? Ik heb trunks, tagged poorten, untagged poorten en poorten die geen lid zijn van een VLAN (anders dan default* VLAN).

*Je zou denken dat het default VLAN 1 is, maar bij Switch, VLAN zie ik als D (dynamic) poorten alle poorten die geen VLAN hebben met VLAN ID 4095?

[Thralas]

Dat lijkt me gewoon over fysieke poorten te gaan?

Ofwel, alles dat hier staat:

code:

/interface ethernet switch port print

Op de non-CRS kun je daar de vlan-mode per poort op 'secure' zetten, maar kennelijk werkt het op de CRS2XX anders.

[Theone098]

Ja, er ls een aparte config voor de CRS226 (zie ook 2de link). Overigens is vlan99 hier het management VLAN. Om het secure te maken moet je set drop etc invullen. Het gaat inderdaad om switch poorten. Deze zitten wel in een bridge. Maar geen bridge vlans maar switch vlans dus (anders geen hw offloading).

Ik hoopte op iemand met een CRS switch (anders dan 3xx) die dit heeft ingericht.

In het voorbeeld worden 4 poorten gebruikt maar dit zijn alle untagged vlan poorten.

[ Voor 10% gewijzigd door Theone098 op 17-02-2021 21:27 ]

[Thralas]

Daarom suggereerde ik: heb je al geprobeerd om alle fysieke poorten (zie command) in drop-if-invalid-or-src-port-not-member-of-vlan-on-ports te vermelden? Dat lijkt me namelijk de bedoeling.

Of je er daarna elders nog vlans of iets dergelijks op configureert boeit niet: dit gaat over fysieke poorten zoals door de switch gezien.

[Theone098]

Ik denk dat je gelijk hebt. Ik heb nog wat voorbeelden bekeken en daar stond het zo ook in. Andere optie is misschien om invalide vlan forwarden uit te zetten.

Ga beide eens proberen. Thanks.

[Theone098]

/interface ethernet switch
set drop-if-invalid-or-src-port-not-member-of-vlan-on-ports=<het gaat dus om deze poorten>

Om de vraag: welke poorten in te vullen bij bovenstaand commando definitief te beantwoorden (voor CRS1xx/CRS2xx switches).

Alle poorten via onderstaand commando, inclusief switch1-CPU en exclusief de dynamisch toegewezen VLANS op poorten.

code:

/interface ethernet switch vlan print

Optie 2 is minder gebruikelijk maar werkt ook:

code:

/interface ethernet switch
set forward-unknown-vlan=no

Bron

[ Voor 13% gewijzigd door Theone098 op 21-02-2021 12:55 ]

[The Executer]

Vraagje:

Ik heb een switch aangesloten op mijn Mikrotik RB951G-2HnD. Nu probeer ik deze switch (welke een ander statisch IP heeft) vanaf mijn devices op het Mikrotik-lan te bereiken. Hiervoor zou ik, voor zover ik weet, een route toe moeten voegen. Ik heb een route toegevoegd, maar kan de switch nog niet bereiken.

Setup:
Mikrotik RB951G-2HnD: LAN: 192.168.88.0/24
HPE ProCurve Switch 1800-24, 24 poorts switch, gereset, statisch (default) IP 192.168.2.10, aangesloten op ether3

Config

code:

[richard@MikroTik] > ip route print
Flags: X - disabled, A - active, D - dynamic, 
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          217.120.46.1              1
 1   S  192.168.2.0/24     192.168.2.1     ether3                    1
 2 ADC  192.168.88.0/24    192.168.88.1    bridge                    0
 3 ADC  217.120.46.0/23    217.120.46.239  ether1                    0

Dit werkte niet, dus heb ik de route verwijderd en een andere optie geprobeerd, namelijk via IP Adresses:

code:

[richard@MikroTik] > ip address print
Flags: X - disabled, I - invalid, D - dynamic 
 #   ADDRESS            NETWORK         INTERFACE                                                                                                                                                                                                          
 0   ;;; defconf
     192.168.88.1/24    192.168.88.0    bridge                                                                                                                                                                                                             
 1 D 217.120.46.239/23  217.120.46.0    ether1                                                                                                                                                                                                             
 2   192.168.2.0/24     192.168.2.0     ether3

Deze voegt ook automatisch een route toe, maar nog steeds kom ik er niet uit. Ben ik op de verkeerde manier bezig?

[Thralas]

The Executer schreef op vrijdag 5 maart 2021 @ 10:32:
Dit werkte niet, dus heb ik de route verwijderd en een andere optie geprobeerd, namelijk via IP Adresses:

Dat kun je ook zien in de output, de route is niet Active (A). En dat komt weer omdat je router zelf geen IP in dat subnet heeft, en bij gebrek aan een gateway is die route onbruikbaar.

Deze voegt ook automatisch een route toe, maar nog steeds kom ik er niet uit. Ben ik op de verkeerde manier bezig?

Je hebt het network address .0 toegekend als address. Maak er eens .1 van? En werp ook een blik op de routetabel, die zou dan een actieve route moeten hebben.

[The Executer]

Thralas schreef op vrijdag 5 maart 2021 @ 10:46:
[...]


Dat kun je ook zien in de output, de route is niet Active (A). En dat komt weer omdat je router zelf geen IP in dat subnet heeft, en bij gebrek aan een gateway is die route onbruikbaar.


[...]


Je hebt het network address .0 toegekend als address. Maak er eens .1 van? En werp ook een blik op de routetabel, die zou dan een actieve route moeten hebben.

Daar had ik ff een foutje gemaakt in alle dingen die ik al had getest. Aangepast:

code:

[richard@MikroTik] > ip address print
Flags: X - disabled, I - invalid, D - dynamic 
 #   ADDRESS            NETWORK         INTERFACE                                                                                                                                                                                                          
 0   ;;; defconf
     192.168.88.1/24    192.168.88.0    bridge                                                                                                                                                                                                             
 1 D 217.120.46.239/23  217.120.46.0    ether1                                                                                                                                                                                                             
 2   192.168.2.1/24     192.168.2.0     ether3                                                                                                                                                                                                             
[richard@MikroTik] > ip route print  
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          217.120.46.1              1
 1 ADC  192.168.2.0/24     192.168.2.1     bridge                    0
 2 ADC  192.168.88.0/24    192.168.88.1    bridge                    0
 3 ADC  217.120.46.0/23    217.120.46.239  ether1                    0

Wat blijkt: Ik kan vanaf de Mikrotik de switch wel pingen, maar nog niet vanaf een aan de Mikrotik aangesloten device.

[ Voor 22% gewijzigd door The Executer op 05-03-2021 10:59 ]

[ik222]

The Executer schreef op vrijdag 5 maart 2021 @ 10:58:
[...]


Daar had ik ff een foutje gemaakt in alle dingen die ik al had getest. Aangepast:

code:

[richard@MikroTik] > ip address print
Flags: X - disabled, I - invalid, D - dynamic 
 #   ADDRESS            NETWORK         INTERFACE                                                                                                                                                                                                          
 0   ;;; defconf
     192.168.88.1/24    192.168.88.0    bridge                                                                                                                                                                                                             
 1 D 217.120.46.239/23  217.120.46.0    ether1                                                                                                                                                                                                             
 2   192.168.2.1/24     192.168.2.0     ether3                                                                                                                                                                                                             
[richard@MikroTik] > ip route print  
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          217.120.46.1              1
 1 ADC  192.168.2.0/24     192.168.2.1     bridge                    0
 2 ADC  192.168.88.0/24    192.168.88.1    bridge                    0
 3 ADC  217.120.46.0/23    217.120.46.239  ether1                    0

Wat blijkt: Ik kan vanaf de Mikrotik de switch wel pingen, maar nog niet vanaf een aan de Mikrotik aangesloten device.

Dat komt waarschijnlijk omdat de apparaten in 217.120.46.0/23 de weg terug naar subnets op de mikrotik niet weten. Sowieso heb je hiervoor geen statische route nodig op je Mikrotik (daar is het subnet immers directly connected) maar juist aan de andere kant.

Als het puur routering is zou je de gateway in 217.120.46.0/23 dus moeten vertellen dat hij 192.168.2.0/24 en 192.168.88.0/24 kan vinden achter 217.120.46.239. Maar weet je wel zeker dat dit puur routing is aangezien 217.120.46.0/23 public IP space is? Ben je dus niet meer op zoek naar een NAT regel?
Laat maar, eerste post niet goed gelezen...

[Thralas]

The Executer schreef op vrijdag 5 maart 2021 @ 10:58:
Wat blijkt: Ik kan vanaf de Mikrotik de switch wel pingen, maar nog niet vanaf een aan de Mikrotik aangesloten device.

Je switch heeft geen default gateway en kent dus alleen 192.168.2.0/24.

Je zult een gateway moeten configureren, of al dan niet tijdelijk een masquerade rule in de firewall van de MikroTik zetten voor out interface ether3, zodat gerouteerd verkeer vanaf de MikroTik zelf lijkt te komen.

Het handigste is natuurlijk om hem uiteindelijk onderdeel te maken van je reguliere subnet, dan loop je hier niet tegenaan (maar er ligt een kip/ei-probleem op de loer).

[The Executer]

ik222 schreef op vrijdag 5 maart 2021 @ 11:21:
[...]

Dat komt waarschijnlijk omdat de apparaten in 217.120.46.0/23 de weg terug naar subnets op de mikrotik niet weten. Sowieso heb je hiervoor geen statische route nodig op je Mikrotik (daar is het subnet immers directly connected) maar juist aan de andere kant.

Als het puur routering is zou je de gateway in 217.120.46.0/23 dus moeten vertellen dat hij 192.168.2.0/24 en 192.168.88.0/24 kan vinden achter 217.120.46.239. Maar weet je wel zeker dat dit puur routing is aangezien 217.120.46.0/23 public IP space is? Ben je dus niet meer op zoek naar een NAT regel?
Laat maar, eerste post niet goed gelezen...

De 217.120.46.0 netwerk is mijn WAN-kant, deze is door de default config toegevoegd.

Thralas schreef op vrijdag 5 maart 2021 @ 11:24:
[...]


Je switch heeft geen default gateway en kent dus alleen 192.168.2.0/24.

Je zult een gateway moeten configureren, of al dan niet tijdelijk een masquerade rule in de firewall van de MikroTik zetten voor out interface ether3, zodat gerouteerd verkeer vanaf de MikroTik zelf lijkt te komen.

Het handigste is natuurlijk om hem uiteindelijk onderdeel te maken van je reguliere subnet, dan loop je hier niet tegenaan (maar er ligt een kip/ei-probleem op de loer).

Onder IP Route wordt bij het toevoegen van het netwerk via IP Addresses de gateway op bridge gezet, dit lijkt mij toch goed?

Mijn gedachtengang: Bridge kent nu 192.168.88.1/24 en 192.168.2.1/24 op ETH3 (Doordat ik dit adres toe heb gevoegd), dan zou hij nu toch moeten kunnen routeren daartussen?

[Thralas]

The Executer schreef op vrijdag 5 maart 2021 @ 11:54:
Onder IP Route wordt bij het toevoegen van het netwerk via IP Addresses de gateway op bridge gezet, dit lijkt mij toch goed?

Mijn gedachtengang: Bridge kent nu 192.168.88.1/24 en 192.168.2.1/24 op ETH3 (Doordat ik dit adres toe heb gevoegd), dan zou hij nu toch moeten kunnen routeren daartussen?

Dat klopt allemaal.

Maar de switch kent alleen 192.168.2.0/24 (z'n eigen subnet); daardoor komen packets van je LAN nu wel aan bij de switch (MikroTik zal ze afleveren), maar die weet vervolgens niet hoe hij 192.168.88.0/24 kan bereiken.

Het logische antwoord is: routeren via 192.168.2.1, maar dat zul je wel moeten configureren (meest logische als default gateway). Omdat je waarschijnlijk netwerktoegang nodig hebt om dat voor elkaar te krijgen is die tijdelijke masquerade rule handig (want dan vervangt de MikroTik het source address van packets richting de switch voor 192.168.2.1 en die weet de switch wel te vinden).

[ Voor 6% gewijzigd door Thralas op 05-03-2021 12:24 ]

[The Executer]

Thralas schreef op vrijdag 5 maart 2021 @ 12:22:
[...]


Dat klopt allemaal.

Maar de switch kent alleen 192.168.2.0/24 (z'n eigen subnet); daardoor komen packets van je LAN nu wel aan bij de switch (MikroTik zal ze afleveren), maar die weet vervolgens niet hoe hij 192.168.88.0/24 kan bereiken.

Het logische antwoord is: routeren via 192.168.2.1, maar dat zul je wel moeten configureren (meest logische als default gateway). Omdat je waarschijnlijk netwerktoegang nodig hebt om dat voor elkaar te krijgen is die tijdelijke masquerade rule handig (want dan vervangt de MikroTik het source address van packets richting de switch voor 192.168.2.1 en die weet de switch wel te vinden).

De switch kent alleen 192.168.2.10/24, dat is zijn management interface. Het vreemde is waar ik nu tegenaanloop: De Mikrotik kan hem wel pingen, mijn laptop niet. Als die routering niet zou werken, dan zou de Mikrotik hem toch ook niet kunnen bereiken? Als het vanaf de Mikrotik bereikbaar is, zou dat vanaf de laptop toch ook moeten? Mijn laptop zit immers ook op de Mikrotik. Ik heb overigens net gezien dat ik 1 keer een reply kreeg, verder niet meer.

Zoals jullie misschien merken, ik ben nieuw in routeringen, en dit leek mij een leuke kans om daar eens mee te oefenen . Valt me toch iets zwaarder dan verwacht.Ik denk dat het gebrek aan visualisatie ook mee speelt.

Maar, ik denk dat ik de conclusie van mijn collega kan delen, namelijk dat deze switch gewoon ruk is. Een ping puur naar de switch (in dit geval vanaf de Mikrotik dus) is al 4ms met regelmatig uitschieters naar 18ms, terwijl er nog niet eens iets aan hangt. Naar mijn PC welke op een andere non managed switch zit doet gewoon 0ms.

[Thralas]

The Executer schreef op vrijdag 5 maart 2021 @ 12:41:
Als die routering niet zou werken, dan zou de Mikrotik hem toch ook niet kunnen bereiken?

Jawel, want die delen een subnet (192.168.2.0/24) zodat er niet gerouteerd wordt.

Verkeer van 192.168.2.0/24 zal wel werken (je MikroTik pingt vanaf 192.168.2.1)
Verkeer van 192.168.88.0/24 zal niet werken (je LAN)

Als het vanaf de Mikrotik bereikbaar is, zou dat vanaf de laptop toch ook moeten?

Nee, want dan moet je wél routeren omdat deze in een ander subnet zit en je switch kent überhaupt geen routers nu. Maak je de MikroTik zijn default gateway, dan zal het wel werken.

Ik kan het niet heel veel duidelijker uitleggen dan ik al in de voorgaande twee posts heb gedaan, vrees ik.

Maar, ik denk dat ik de conclusie van mijn collega kan delen, namelijk dat deze switch gewoon ruk is. Een ping puur naar de switch (in dit geval vanaf de Mikrotik dus) is al 4ms met regelmatig uitschieters naar 18ms, terwijl er nog niet eens iets aan hangt. Naar mijn PC welke op een andere non managed switch zit doet gewoon 0ms.

Daar moet je je ook niet op verkijken. Alles dat dóór de switch gaat gebeurt in hardware. Als je de switch zelf pingt dan verlaat je dat hardwarepad en dan kan het best wel eens traag zijn. Ook al is 18 ms erg traag, het zegt niets over switching performance.

[The Executer]

Ik probeer het te begrijpen hoor, doe mijn best. Ik ga hierover even je bericht opsplitsen om te kijken tot waar ik het snap.

Thralas schreef op vrijdag 5 maart 2021 @ 13:10:
[...]


Jawel, want die delen een subnet (192.168.2.0/24) zodat er niet gerouteerd wordt.

Verkeer van 192.168.2.0/24 zal wel werken (je MikroTik pingt vanaf 192.168.2.1)
Verkeer van 192.168.88.0/24 zal niet werken (je LAN)

Oke, dit komt doordat ik hem via IP Addresses heb toegevoegd waarmee hij (De Mikkietik) nu 2 adressen heeft waar hij mee kan werken

[...]


Nee, want dan moet je wél routeren omdat deze in een ander subnet zit en je switch kent überhaupt geen routers nu. Maak je de MikroTik zijn default gateway, dan zal het wel werken.

Ik kan het niet heel veel duidelijker uitleggen dan ik al in de voorgaande twee posts heb gedaan, vrees ik.

Probleem zit hem dus eigenlijk bij de switch, omdat die niet weet wat hij met zijn route moet. Ik heb op dit moment nog "geen toegang" tot die switch. Even tussen quotes, want dat ding ligt bij mijn voeten . Ik kan daar dus geen instellingen aanpassen. Ik had gehoopt dat ik de switch toe kon voegen aan het netwerk, ik voeg op de Mikrotik een route toe, waarmee hij weet dat het verkeer van & naar de switch over ether3 moet gaan. Zo simpel ligt het dus niet.

[...]


Daar moet je je ook niet op verkijken. Alles dat dóór de switch gaat gebeurt in hardware. Als je de switch zelf pingt dan verlaat je dat hardwarepad en dan kan het best wel eens traag zijn. Ook al is 18 ms erg traag, het zegt niets over switching performance.

Oke, duidelijk, check ik later wel even als hij goed opgenomen is in het netwerk.

[Thasaidon]

The Executer schreef op vrijdag 5 maart 2021 @ 16:53:
Ik probeer het te begrijpen hoor, doe mijn best.

En schroom niet om gewoon te blijven vragen.

Maar in het kort...
Systemen in hetzelfde subnet kunnen elkaar gewoon benaderen, omdat deze elkaar "kennen".

192.168.88.0/24 betekend dat alle systemen van 192.168.88.1 t/m 192.168.88.254 elkaar zo kunnen benaderen omdat ze in hetzelfde subnet vallen. (zelfde broadcast domain).

Proberen ze een systeem buiten hun subnet te benaderen, dan sturen ze dit verkeer naar hun default gateway.
Deze gateway zal kijken of hij het netwerk kent, omdat hij er zelf deel van uit maakt, of omdat hij een routering heeft voor dit netwerk.
Heeft de gateway geen van beide, dan zal hij het weer door sturen naar zijn default gateway.

De reden waarom je dus vanaf de Mikrotik wel kunt pingen is omdat deze met een poot in ja LAN zit en met een poot in hetzelfde netwerk als ie andere switch. Hij weet dus waar die switch zit. En omdat het hetzelfde subnet is, zal die andere switch dus ook het antwoord terug sturen.
Die switch ziet namelijk verkeer komen vanaf een systeem in hetzelfde subnet als waar deze in zit.

Vanaf je LAN werkt het niet.
Het IP wat je probeert te benaderen valt niet binnen hetzelfde subnet, dus stuurt je systeem het naar de gateway. Je Mikrotik.
Deze kent het netwerk en de 2e switch wel omdat hij óók in dát netwerk zit. En zal het dus door sturen.

Het zal dus wel aan komen op je 2e switch, maar die ziet dus verkeer van een onbekend subnet komen.
En omdat er geen default gateway geconfigureerd is, weet hij niet waar hij het antwoord naartoe moet sturen.
Hij kent "de weg terug" niet.
Als je dus op de 2e switch een gateway zou zetten (het IP van de Mikrotik in hetzelfde subnet) dan zou het wel moeten werken

Andere oplossing zou zijn om de switch een IP in hetzelfde subnet als de rest van je netwerk te geven.

[ Voor 22% gewijzigd door Thasaidon op 06-03-2021 18:56 ]

[DeadLock]

Zo, sinds kort heeft Telenet (eindelijk...) ipv6 weer in orde gebracht voor mensen met eigen router achter een CV8560E.

Even wat moeten prutsen, maar uiteindelijk werkt het prima met mijn RB4011. De computers die rechtstreeks verbonden zijn met deze router krijgen allemaal een ipv6 adres (met slaac) uit de correcte pool.

Aan deze RB4011 hangt ook een hex poe (enkel in gebruik als switch) met daaraan 2x een cap ac voor wireless in huis. Helaas lijkt het erop dat bvb mijn telefoon (android 11) nog geen ipv6 adres krijgt en het is me niet helemaal duidelijk welke stappen ik hiervoor moet ondernemen.

De 2 access points beheer ik via de RB4011 met capsman. Iemand die me ruwweg kan duiden welke stappen ik nog moet ondernemen zodat ipv6 ook werkt via deze access points?

[nescafe]

Hoe ziet je data path eruit, zitten je wireless clients in hetzelfde segment als je computers?

[DeadLock]

Zover ik het begrijp wel:

code:

[admin@RB4011] /caps-man datapath> print
 0 name="datapath1" client-to-client-forwarding=yes bridge=bridge local-forwarding=yes

Het is verder niet opgesplitst, zover ik het correct begrijp.

[Maverick]

Ik heb deze week een hAP ac2 aangeschaft om als acces point op zolder te gebruiken. Nu had ik wel gelezen dat er veel aan in te stellen valt, maar dat heb ik alsnog behoorlijk onderschat

Nu wil ik het volgende doen: wireless acces point waarbij het niet uit maakt of het ssid hetzelfde is als de router beneden, of anders. Maar waarbij wel de ip adressen uitgedeeld worden door mijn router beneden, en niet door de hAP. Is dat uberhaupt mogelijk bedenk ik me nu? En hoe stel ik dat het simpelst in? Ik weet niet eens welke "quick set" ik daarvoor moet selecteren als ik eerlijk ben Heb er inmiddels zoveel al geprobeerd dat de reset knop op het ding al bijna versleten is

Ok, heb het deels voor elkaar gekregen. Heb nu boven 2 hotspots (2.4 en 5ghz) waarlangs netjes ip adressen van mijn router komen. Het probleem is nu, dit zijn de standaard hotspots van MikroTik zonder wachtwoord en ik kan de webinterface niet meer benaderen. Ook mijn router geeft hem niet weer als zijnde een client. Wat is nu de handigste manier om er bij te komen? Ik heb mijn pc in poort 1 gestoken en probeer met Winbox met het mac adres dat op het ding staat te verbinden, maar dat geeft geen resultaat

Ok, ook dat is gelukt. Heb hem in een andere poort gestoken. Nu echter het probleem dat zodra ik iets wijzig aan de wireless interfaces het allemaal niet meer werkt zoals hiervoor. Ik heb het ssid gewijzigd en wpa2 ingesteld. Maar nu krijg ik weer een ip adres van de Mikrotik ipv m'n router beneden en heb ik ook geen verbinding met de rest van het netwerk.
Maar weer resetten en opnieuw beginnen vrees ik

[ Voor 48% gewijzigd door Maverick op 13-03-2021 13:14 ]

[nescafe]

@Maverick, Quick Set Mode: WISP AP, Mode: Bridge en Bridge All LAN Ports: Yes

@DeadLock, dat zou moeten werken. Check ook even of de caps de juiste bridge onder cap (voor local forwarding) hebben geselecteerd. In default config (CAPS Mode) zou het al goed moeten staan.

@Verwijderd Welkom in dit topic

[ Voor 72% gewijzigd door nescafe op 14-03-2021 13:54 ]

[rschu68]

nescafe schreef op zaterdag 13 maart 2021 @ 14:03:
@Maverick, Quick Set Mode: WISP AP, Mode: Bridge en Bridge All LAN Ports: Yes

@DeadLock, dat zou moeten werken. Check ook even of de caps de juiste bridge onder cap (voor local forwarding) hebben geselecteerd. In default config (CAPS Mode) zou het al goed moeten staan.

Met Winbox kom je eigenlijk altijd wel op je AP...

[SpikeHome]

Ik heb een vraagje.
Heb een 2011 als main router met een 2e Hpac2 als AP en extra poorten voor bij de tv in de woon kamer.
Ik heb ook een vlan voor gasten (wifi) die naar de main router gaat.
Dit werkt allemaal goed.
Nu heb ik de 2e router een bridge-lan en ene bridge-vlan ook dat werkt en krijgen beide bridges het adres van mijn dhcp van de eerste router.
Maar nu mijn probleem is dat de uplink poort ether1 ook een dhcp doet en dan ook een adres krijgt.
Hoe zorg ik ervoor dat die geen adres krijgt?

[lier]

De router krijgt alleen een IP adres als er een DHCP client draait. Dus als je deze client verwijdert, ben je klaar. Voor beheer (Via Winbox) heb je geen IP adres nodig. Klinkt alsof de hAP ac2 nog in router modus staat!? Kan je eens de configs van de RB2011 en de hAP ac2 met ons delen?

Overigens is meedere bridges de oude manier van configureren en is eigenlijk helemaal niet nodig:
https://forum.mikrotik.com/viewtopic.php?t=143620

[chaoscontrol]

SpikeHome schreef op maandag 15 maart 2021 @ 13:06:
Ik heb een vraagje.
Heb een 2011 als main router met een 2e Hpac2 als AP en extra poorten voor bij de tv in de woon kamer.
Ik heb ook een vlan voor gasten (wifi) die naar de main router gaat.
Dit werkt allemaal goed.
Nu heb ik de 2e router een bridge-lan en ene bridge-vlan ook dat werkt en krijgen beide bridges het adres van mijn dhcp van de eerste router.
Maar nu mijn probleem is dat de uplink poort ether1 ook een dhcp doet en dan ook een adres krijgt.
Hoe zorg ik ervoor dat die geen adres krijgt?

IP > DHCP Client > Disable?

[SpikeHome]

@lier de bridge zit natuurlijk aan ether1 waarop ook de vlan zit.
De bridge en vlan geef ik beide wel een eigen adres zodat ik die kan benaderen die staan op static in mijn dhcp van de eerste router.
Het gaat me om de ether1 interface ik zie dat dat mac adres ook een adres krijgt.
En dacht dat ik alleen voor de bridge en vlan die eigen mac adressen hebben een ip nodig heb.

Kan de configs evt wel posten maar staat van de router zeer veel in vanwege vpn etc. die ik er natuurlijk ook weer uit kan halen.
Maar ook allerlei hardware die ik static adressen geef vanuit de dhcp server.

@chaoscontrol kan dat alleen voor ether1?

[chaoscontrol]

@SpikeHome ja, je kan per interface een client configureren. In jouw geval (met al statisch toegewezen IP op je bridge) zou ik de client uitzetten of omzetten naar je bridge.

[Jazco2nd]

Stel ik draai een lokale service op ip 1.2.3.4 poort 8000.
Nu wil ik alleen binnen mijn LAN deze bereiken door naar mijnservice.lan te gaan (zonder de poort te typen in de adresbalk).

Kan dit via IP>DNS>Static?
Ik heb al een record A toegevoegd voor 1.2.3.4: mijnservice.lan:8000 werkt.
Ik voeg nu een record SRV toe met naam mijnservice.lan en vul het IP adres en de poort in maar als ik naar mijnservice.lan ga is er niks, problem loading page.

[Thralas]

Om het poortprobleem op te lossen zul je een DNAT entry (8000 → 80) moeten aanmaken. En een extra hairpin entry als je in hetzelfde subnet zit als de destination.

Een SRV record gaat in ieder geval niets doen - dat wordt alleen door zeer specifieke services gebruikt. Ik neem aan dat je niet de mogelijkheid hebt om gewoon de service op poort 80 te draaien - dat zou namelijk veel simpeler en logischer zijn.

[Thasaidon]

Jazco2nd schreef op donderdag 25 maart 2021 @ 23:45:
Kan dit via IP>DNS>Static?

Nog even ter aanvulling op wat Thralas hierboven al aangegeven heeft...

DNS (of statische entries) is enkel voor de vertaling van een naam naar een IP.
Protocollen (tcp/udp) en service poorten (80, 8000, etc) hebben hier verder niets mee van doen.

[spanx]

hallo,

Ik ben aan het kijken voor een switch thuis.

Nu kwam ik de volgende switches tegen:

MikroTik CRS326-24G-2S+RM & CSS326-24G-2S+RM tegen.

Ik ben geen op en top netwerk specialist en zoek eigenlijk een simpele L2 switch maar de CRS is misschien beter geschikt als ik in de toekomst meer wil doen met routeren en queues.

Ik heb zeer weinig ervaring met microtik maar door mijn vrijwilligers werk ben ik in aanraking gekomen met de microtik die ze daar hadden staan.(niet bovenstaand model trouwens)

Ik wil minimaal 3 vlans (ip camera,thuis netwerk en smart meuk netwerk).

Kan ik dan beter de R (routerOS pakken)? Voeden wil ik hem via de PoE poort aan de voorzijde (niet PoE+).

verdere verschillen zijn 24w tov 19w en L3 functies.

heb glasvezel 100/100. is het echt zo dat als je de L3 functies gaat gebruiken dat de R switch aan cpu tekort komt? (800mhz)

[superyupkent]

spanx schreef op donderdag 15 april 2021 @ 16:09:
hallo,

Ik ben aan het kijken voor een switch thuis.

Nu kwam ik de volgende switches tegen:

MikroTik CRS326-24G-2S+RM & CSS326-24G-2S+RM tegen.

Ik ben geen op en top netwerk specialist en zoek eigenlijk een simpele L2 switch maar de CRS is misschien beter geschikt als ik in de toekomst meer wil doen met routeren en queues.

Ik heb zeer weinig ervaring met microtik maar door mijn vrijwilligers werk ben ik in aanraking gekomen met de microtik die ze daar hadden staan.(niet bovenstaand model trouwens)

Ik wil minimaal 3 vlans (ip camera,thuis netwerk en smart meuk netwerk).

Kan ik dan beter de R (routerOS pakken)? Voeden wil ik hem via de PoE poort aan de voorzijde (niet PoE+).

verdere verschillen zijn 24w tov 19w en L3 functies.

heb glasvezel 100/100. is het echt zo dat als je de L3 functies gaat gebruiken dat de R switch aan cpu tekort komt? (800mhz)

Hey @spanx,

Als je vraagt of je moet kiezen tussen de CSS of een CRS zou ik altijd voor die laatste gaan. De ontwikkeling in routerOS gaan veel sneller dan het switchplatform. Als je geen specifieke usecase hebt buiten 3 vlans om is het maar de vraag of dit handig is. routeren en queues is iets voor een router zelf en dat zou je dan beter kunnen doen met een RB3011 of 4011 plus een simpele managed switch.

Maar we zitten hier natuurlijk niet voor niets op tweakers , dus als je in de wondere wereld van MikroTik wil duiken is het zeker een goede switch.

[spanx]

Dus R voor de zekerheid....

[superyupkent]

spanx schreef op donderdag 15 april 2021 @ 18:04:
Dus R voor de zekerheid....

Yes!

[spanx]

superyupkent schreef op donderdag 15 april 2021 @ 20:00:
[...]

Yes!

Dankjewel!

[Thasaidon]

Ter info:

downloads: RouterOS 6.48.2

[daansan]

Ik heb een RB4011 van een mede tweaker over genomen om mijn RB760 te vervangen.

Nu krijg ik hem wel aan de praat maar loop tegen het issue aan dat mijn pppoe-client een mtu van 1480 krijgt ipv 1500. Hij begint even op 1500 maar springt binnen 2 sec naar 1480.

De l2mtu van de ether en sfp poorten is 1598. De l2mtu van vlan6 verbinding is netjes 1594. Alle actual mtu’s staan op 1500 muv van de pppoe client die dus naar 1480 springt.

De exact zelfde config op de RB760 geeft wel een mtu van 1500 op de pppoe client.

Config en sfp adapter is hetzelfde bij beide routers, enkel routeros versie is anders:
- RB760: long term 6.45.9
- RB4011: stable 6.48.2

Heeft iemand een idee wat hier mis kan zijn? Door die verkeerde mtu dien een hoop sites het niet tenzij ik clamping toe pas

[jvanhambelgium]

Een lagere MTU zal nooit tot tot gevolg hebben dat (https) sites breken, een te hoge MTU meestal wel. (=fragmentatie)
Het is enkele % minder efficient, maar je zal het niet merken.

Hier bij mij ook 1480 (Proximus Belgie PPPoE) , heb "manueel" nochtans op 1500 staan, maar tijdens negotiatie is dat bijgesteld naar 1480.
Heb in m'n PPP-profile staan "Change TCP MSS = Yes"

MTU 1480
MRU 1500

[daansan]

Het is anders toch heel duidelijk hier dat ziggo.nl bijvoorbeeld het niet doet met een mtu van 1480. Ik kan dat oplossen door een mss clamping firewall mangle rule aan te maken.

Echter moet heel zo’n rule hier niet nodig zijn, en ik heb hem ook niet nodig op mijn rb760

[Thralas]

daansan schreef op zondag 2 mei 2021 @ 17:01:
De exact zelfde config op de RB760 geeft wel een mtu van 1500 op de pppoe client.

Welke config? En welke ISP?

Je moet de PPPoE MTU en MRRU uiteraard op 1500 zetten. Het gekke daarbij is dat je op devices als de hAP ac verder niets hoeft te doen met de MTU van de VLAN interface (indien van toepassing) en ethernet. Ik vermoed dat dat komt door hardware offloading.

Voorzichtige gok: de RB4011 werkt anders en vereist daardoor wel accurate MTU values op de VLAN/ethernet iface. Probeer eens wat ik hier uiteenzet: Thralas in "[MikroTik] Geen verkeer over PPPoE-client (KPN Glasvezel)"

MSS clamping wil je inderdaad vermijden als het niet hoeft. Maar bij een MTU <1500 zonder clamping loopt het inderdaad gegarandeerd in de soep (want fragmentatie werkt in de praktijk niet).

[Hmmbob]

Ik heb de indruk dat we sinds 6.48.2 op de RB2011 hier een trager internet hebben - in de beleving dan. Dat zit hem vooral in "time to first byte" zullen we maar zeggen: het duurt echt lang voordat we iets op het telefoonscherm te zien krijgen. Mijn vrouw vindt het zo irritant dat ze ondertussen de 4G maar opstookt, ik merk dat ik ook vaak overschakel. Áls de verbinding dan eenmaal gelegd is, gaat alles bloedsnel en ook de speedtest gaat gewoon voluit 200/200.

Ik merk het ook als ik op mijn thuisserver nieuwe images check: dan worden in korte tijd ~15 images op docker gecontroleerd en daar blijft ook het initiele antwoord lang op zich wachten, veel langer dan voorheen.

Iemand die dit beeld herkend?

Rb2011, enkel als switch (wifi via losse ap's), thuisserver is bedraad aangesloten, in Adguard Home DNS staan alle responses op <2ms.

[ Voor 9% gewijzigd door Hmmbob op 03-05-2021 09:00 ]

[cossy nl]

Hmmbob schreef op maandag 3 mei 2021 @ 08:58:

Iemand die dit beeld herkend?

Net ge-update, maar hier lijkt het gewoon vlot. Alle packages zijn wel van 9 april, bij jou ook? En een simpele restart wel geprobeerd neem ik aan?

Edit: mijn config is echt erg simpel, dus dingen als adguard en zo zitten er bij mij niet in. Puur alleen wat firewall rules, DHCP server en een SPF module.

[ Voor 22% gewijzigd door cossy nl op 03-05-2021 09:21 ]

[chaoscontrol]

Hmmbob schreef op maandag 3 mei 2021 @ 08:58:
Ik heb de indruk dat we sinds 6.48.2 op de RB2011 hier een trager internet hebben - in de beleving dan. Dat zit hem vooral in "time to first byte" zullen we maar zeggen: het duurt echt lang voordat we iets op het telefoonscherm te zien krijgen. Mijn vrouw vindt het zo irritant dat ze ondertussen de 4G maar opstookt, ik merk dat ik ook vaak overschakel. Áls de verbinding dan eenmaal gelegd is, gaat alles bloedsnel en ook de speedtest gaat gewoon voluit 200/200.

Ik merk het ook als ik op mijn thuisserver nieuwe images check: dan worden in korte tijd ~15 images op docker gecontroleerd en daar blijft ook het initiele antwoord lang op zich wachten, veel langer dan voorheen.

Iemand die dit beeld herkend?

Rb2011, enkel als switch (wifi via losse ap's), thuisserver is bedraad aangesloten, in Adguard Home DNS staan alle responses op <2ms.

Ik draai een RB2011 en 2 wAP AC's op 6.48.2 en heb nergens last van.

[superyupkent]

Hmmbob schreef op maandag 3 mei 2021 @ 08:58:
Ik heb de indruk dat we sinds 6.48.2 op de RB2011 hier een trager internet hebben - in de beleving dan. Dat zit hem vooral in "time to first byte" zullen we maar zeggen: het duurt echt lang voordat we iets op het telefoonscherm te zien krijgen. Mijn vrouw vindt het zo irritant dat ze ondertussen de 4G maar opstookt, ik merk dat ik ook vaak overschakel. Áls de verbinding dan eenmaal gelegd is, gaat alles bloedsnel en ook de speedtest gaat gewoon voluit 200/200.

Ik merk het ook als ik op mijn thuisserver nieuwe images check: dan worden in korte tijd ~15 images op docker gecontroleerd en daar blijft ook het initiele antwoord lang op zich wachten, veel langer dan voorheen.

Iemand die dit beeld herkend?

Rb2011, enkel als switch (wifi via losse ap's), thuisserver is bedraad aangesloten, in Adguard Home DNS staan alle responses op <2ms.

Ik zou een backup draaien van je software en de config. En dan de default config draaien dmv een reset. Dan checken hoe het is, vervolgens je adguard bijzetten. En dan langzaam je config opbouwen. Dan ga je vinden waar je issue zit.

[lier]

Hmmbob schreef op maandag 3 mei 2021 @ 08:58:
Iemand die dit beeld herkend?

Lastig zonder config, zou je deze willen maken en hier posten?
/export file=rb2011_traag_sinds_6.48.2

Eventueel kan je de MAC adressen eruit slopen als je dat wil.

[Thralas]

Hmmbob schreef op maandag 3 mei 2021 @ 08:58:
Ik merk het ook als ik op mijn thuisserver nieuwe images check: dan worden in korte tijd ~15 images op docker gecontroleerd en daar blijft ook het initiele antwoord lang op zich wachten, veel langer dan voorheen.

Iemand die dit beeld herkend?

Ja, bijvoorbeeld als IPv6 weer eens lastig doet. Maar dat ligt niet specifiek aan MikroTik dan.

Rb2011, enkel als switch (wifi via losse ap's), thuisserver is bedraad aangesloten, in Adguard Home DNS staan alle responses op <2ms.

Als je 'm enkel als switch gebruikt lijkt het me heel, héél sterk dat het daaraan ligt. In any case: maak wat packetcaptures zodat je ziet wat er nu precies traag is.

[ Voor 3% gewijzigd door Thralas op 03-05-2021 10:15 ]

[Hmmbob]

Thanks all, vanavond even verder debuggen. Ik betwijfel ook of het wel aan de Rb2011 ligt, maar kan bijna niets anders meer zijn....

Thralas schreef op maandag 3 mei 2021 @ 10:15:
Ja, bijvoorbeeld als IPv6 weer eens lastig doet. Maar dat ligt niet specifiek aan MikroTik dan.
[...]
Als je 'm enkel als switch gebruikt lijkt het me heel, héél sterk dat het daaraan ligt. In any case: maak wat packetcaptures zodat je ziet wat er nu precies traag is.

IPv6 gebruik ik nog niet eens (staat disabled op de rb2011) juist vanwege dat soort issues eerder. Zal vanavond eens kijken of ik wat kan capturen.

[daansan]

Thralas schreef op zondag 2 mei 2021 @ 20:30:
[...]


Welke config? En welke ISP?

Je moet de PPPoE MTU en MRRU uiteraard op 1500 zetten. Het gekke daarbij is dat je op devices als de hAP ac verder niets hoeft te doen met de MTU van de VLAN interface (indien van toepassing) en ethernet. Ik vermoed dat dat komt door hardware offloading.

Voorzichtige gok: de RB4011 werkt anders en vereist daardoor wel accurate MTU values op de VLAN/ethernet iface. Probeer eens wat ik hier uiteenzet: Thralas in "[MikroTik] Geen verkeer over PPPoE-client (KPN Glasvezel)"

MSS clamping wil je inderdaad vermijden als het niet hoeft. Maar bij een MTU <1500 zonder clamping loopt het inderdaad gegarandeerd in de soep (want fragmentatie werkt in de praktijk niet).

Ik zit op freedom internet met een lijn van cambrium. Zal je suggesties eens bekijken/proberen en de config exports van beide routers eens naast elkaar leggen. Laat daarna wel wat weten.

Mijn config is in beginsel ooit van netwerkje.com gekomen en daar gebruiken ze ook een 4011.

[Hmmbob]

Mijn probleempje van vanochtend, waarin DNS het probleem niet was?



Nieuwe functie op AdGuard Home weer uitgezet en alles draait weer als een zonnetje....


Dank voor het meedenken

[ Voor 3% gewijzigd door Hmmbob op 03-05-2021 18:59 ]

[SpikeHome]

Even een vraag.
Ik heb thuis MikroTik router staan helaas is het bereik tot achterin de tuin niet geweldig.
Achterin de tuin staat ook de schuur waar ik internet wil hebben helaas is kabel leggen niet meer mogelijk.
Ik zie dat MikroTik ook antennes verkoopt die ik dan als ap zou kunnen gebruiken om het signaal op te vangen en weer aan een switch te koppelen.
Ik weet dat ze ook draadloze bridges verkopen maar ik wil liever geen antenne aan de woning buiten.

Is dat mogelijk en welk device zal ik dan nodig hebben?

[nescafe]

@SpikeHome Aangezien je al een MikroTik hebt kun je dit eens proberen; het instellen van country 'no_country_set' waardoor het zendvermogen niet meer wordt beperkt tot de geldende regelingen. Dit is uiteraard officieel niet toegestaan maar kan je helpen om dat ene kleine stukje extra bereik te krijgen.

Daarbuiten ondersteunt iedere MikroTik met radio de modus station-bridge waarmee je datgene bereikt; een transparant L2-domein via wireless bridge.

[Vorkie]

nescafe schreef op woensdag 5 mei 2021 @ 18:55:
@SpikeHome Aangezien je al een MikroTik hebt kun je dit eens proberen; het instellen van country 'no_country_set' waardoor het zendvermogen niet meer wordt beperkt tot de geldende regelingen. Dit is uiteraard officieel niet toegestaan maar kan je helpen om dat ene kleine stukje extra bereik te krijgen.

Daarbuiten ondersteunt iedere MikroTik met radio de modus station-bridge waarmee je datgene bereikt; een transparant L2-domein via wireless bridge.

En dan? De apparaten die verbinden zijn NL ingesteld, je krijgt er een drama netwerk van :-)

[nescafe]

@Vorkie ik heb nog geen problemen ondervonden met apparaten die NL zijn ingesteld; als je bijv. WinFi even laat draaien zie je dat er meer routers zijn die geen of een verkeerde landcode uitzenden. Wat bedoel je met een drama-netwerk?

[MerijnB]

nescafe schreef op woensdag 5 mei 2021 @ 19:12:
@Vorkie ik heb nog geen problemen ondervonden met apparaten die NL zijn ingesteld; als je bijv. WinFi even laat draaien zie je dat er meer routers zijn die geen of een verkeerde landcode uitzenden. Wat bedoel je met een drama-netwerk?

Wat problematisch kan zijn is dat de apparatuur die verbind zich wel aan de Nederlandse limieten houdt, dan kan je telefoon dus wel het netwerk ontvangen, maar toch geen verbinding krijgen.

[Vorkie]

nescafe schreef op woensdag 5 mei 2021 @ 19:12:
@Vorkie ik heb nog geen problemen ondervonden met apparaten die NL zijn ingesteld; als je bijv. WinFi even laat draaien zie je dat er meer routers zijn die geen of een verkeerde landcode uitzenden. Wat bedoel je met een drama-netwerk?

Zoals al wordt opgemerkt, je enddevices kunnen vaak niet genoeg terug zenden en je krijgt dus vaak gewoon verbindingsproblemen. Wel een verbinding, maar geen/nauwelijks verkeer en een hoop / hoge Ping.

Investeer gewoon in een paar goede access-Points en plaats deze op logische plekken ipv je AP harder te laten schreeuwen (wat er voor zorgt dat andere nog harder moeten gaan schreeuwen)

[SpikeHome]

Ik heb wel ontvangst achter maar staat nu alleen een ontvanger.
Dus dacht ik door er een MikroTik ontvanger neer te hangen met een betere antenne met daarop weer een poortje waardoor ik meer zaken kan aansluiten achter .
Met 2 richtantennes kan het ook natuurlijk maar zoals ik al zei graag geen antenne op de woning.

Landcode uitzetten heeft inderdaad voor de devices niet altijd het goede effect.

[superyupkent]

SpikeHome schreef op woensdag 5 mei 2021 @ 18:42:
Even een vraag.
Ik heb thuis MikroTik router staan helaas is het bereik tot achterin de tuin niet geweldig.
Achterin de tuin staat ook de schuur waar ik internet wil hebben helaas is kabel leggen niet meer mogelijk.
Ik zie dat MikroTik ook antennes verkoopt die ik dan als ap zou kunnen gebruiken om het signaal op te vangen en weer aan een switch te koppelen.
Ik weet dat ze ook draadloze bridges verkopen maar ik wil liever geen antenne aan de woning buiten.

Is dat mogelijk en welk device zal ik dan nodig hebben?

Zoals al door andere opgemerkt hier, het combineren van zakelijke Point 2 Point radios met de AP's voor in huis gaat je populariteit binnen het gezin niet vergoten . Wanneer je geen kabel kan trekken adviseer ik je toch een kabel te trekken. Als dat écht niet kan blijft powerline over. Succes!

[Thralas]

SpikeHome schreef op donderdag 6 mei 2021 @ 07:36:
Ik heb wel ontvangst achter maar staat nu alleen een ontvanger.

Wat bedoel je hiermee?

Dus dacht ik door er een MikroTik ontvanger neer te hangen met een betere antenne met daarop weer een

Dat kun je proberen, zolang je er oké mee bent als het totaal niet blijkt te helpen.

Ik heb wel een positieve ervaring met een point-to-point oplossing voor een 1x1 client (telefoon) die erg wispelturig was (vaak disconnects). MikroTik to MikroTik bridge over 2.4 GHz, weer een AP op 5 GHz. Wel erg afhankelijk van wat je van je WiFi verwacht misschien.

Andere telefoon doet het overigens prima zonder, YMMV

[daansan]

Thralas schreef op zondag 2 mei 2021 @ 20:30:
[...]

Voorzichtige gok: de RB4011 werkt anders en vereist daardoor wel accurate MTU values op de VLAN/ethernet iface. Probeer eens wat ik hier uiteenzet: Thralas in "[MikroTik] Geen verkeer over PPPoE-client (KPN Glasvezel)"

Die RB4011 gedraagt zich inderdaad iets anders, ik heb het nu aan de praat met MTU 1500 met de volgende settings:

sfp-sfpplus1
- MTU 1508
- L2MTU 1598

vlan 6
- MTU 1508
- L2MTU 1594

pppoeclient
- max mtu: 1500
- max mru: 1500

Dit levert een actual MTU van 1500 op de pppoe verbinding zonder dat mss clamping nodig is.

Hurrah!

[latka]

Iemand hier al ervaringen met SwOS op een CRS354: ik heb de mijne hier nu op mijn buro liggen en wil deze van het weekend afmonteren dus tot die tijd heb ik eenvoudig toegang tot het apparaat (daarna uiteraard remote, maar de reset knop is dan minder handig). De vraag is dus RouterOS of SwOS op een CRS354 gebruiken. Het doel is een L2 TP-Link te vervangen, dus de uitgebreide L3 features van RouterOS heb ik niet nodig. Ik heb al wel wat ervaring met SwOS op de CRS305 en dat bevalt goed genoeg. Aangezien SwOS lange tijd niet op de CRS354 beschikbaar was weet ik niet of deze 1e release van SwOS nog buggy is.

[superyupkent]

latka schreef op dinsdag 18 mei 2021 @ 11:38:
Iemand hier al ervaringen met SwOS op een CRS354: ik heb de mijne hier nu op mijn buro liggen en wil deze van het weekend afmonteren dus tot die tijd heb ik eenvoudig toegang tot het apparaat (daarna uiteraard remote, maar de reset knop is dan minder handig). De vraag is dus RouterOS of SwOS op een CRS354 gebruiken. Het doel is een L2 TP-Link te vervangen, dus de uitgebreide L3 features van RouterOS heb ik niet nodig. Ik heb al wel wat ervaring met SwOS op de CRS305 en dat bevalt goed genoeg. Aangezien SwOS lange tijd niet op de CRS354 beschikbaar was weet ik niet of deze 1e release van SwOS nog buggy is.

Ik heb thuis een CRS305/312 & 328 in gebruik, ieder jaar probeer ik het weer eens met SWOS maar ik ren dan toch snel weer terug. Broadcast issues, IGMP die faalt.. het is nog niet stabiel en er zitten ook gewoon minder mensen op het forum die de ontwikkelaars pushen is mijn gevoel.

Er is naar mijn mening weinig reden om je hardware te cripplen met SWOS, zeker in de 3XX serie is alles meer dan rap genoeg om hardwarematig snel te switchen. En als je een hele simpele webinterface zou willen ipv RouterOS is de TPlink zeker beter.

[RonJ]

Zou iemand eens met me mee willen denken?

Ik probeer routed IPTV op budget/kpn werkend te krijgen icm een Netgear DM200 modem en een Mikrotik RB3011. Ik heb eea conform de set-up van netwerkje.com ingesteld. Internetten via een lease op vlan34 werkt prima. Maar zodra ik de dhcp client op vlan 4 óók enable heb ik geen internet meer via vlan34. Totdat ik de dhcp client op vlan 4 weer uitzet, dan werkt het na een dhcp renew meteen weer. Enable ik de client op vlan4 weer, plop, internet weg. Maar ik krijg wel netjes een lease op vlan 4, de igmp proxy krijgt zn adres, etc.

Kan het soms zijn dat je internet vlan niet over dezelfde bridge mag lopen?



Modem zit aangesloten via een HP 1920 8G-POE+ switch, waarop vlans 4 en 34 tagged worden doorgegeven tussen de router en het modem. Router heeft poort 1-4 gebridged met daarop alle vlans, incl de 2 WAN vlans.



Mikrotik config export:

# model = RouterBOARD 3011UiAS

/interface bridge=
add arp=proxy-arp igmp-snooping=yes name=bridge1-vlan200-MGMT protocol-mode=none

/interface ethernet
set [ find default-name=ether1 ] l2mtu=8156 mtu=8000 name=ether1-HP1810 rx-flow-control=auto speed=100Mbps tx-flow-control=auto
set [ find default-name=ether2 ] l2mtu=8156 mtu=8000 name=ether2-HP1920 rx-flow-control=auto speed=100Mbps tx-flow-control=auto
set [ find default-name=ether3 ] l2mtu=8156 mtu=8000 name=ether3-HP1820 rx-flow-control=auto speed=100Mbps tx-flow-control=auto
set [ find default-name=ether4 ] l2mtu=8156 mtu=8000 name=ether4-TP105E rx-flow-control=auto speed=100Mbps tx-flow-control=auto
set [ find default-name=ether5 ] l2mtu=8156 mtu=8000 rx-flow-control=auto speed=100Mbps tx-flow-control=auto
set [ find default-name=ether6 ] rx-flow-control=auto speed=100Mbps tx-flow-control=auto
set [ find default-name=ether7 ] rx-flow-control=auto speed=100Mbps tx-flow-control=auto
set [ find default-name=ether8 ] rx-flow-control=auto speed=100Mbps tx-flow-control=auto
set [ find default-name=ether9 ] rx-flow-control=auto speed=100Mbps tx-flow-control=auto
set [ find default-name=ether10 ] speed=100Mbps
set [ find default-name=sfp1 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full

/interface vlan
add interface=bridge1-vlan200-MGMT mtu=8000 name=vlan4-IPTV_RG vlan-id=4
add arp=proxy-arp interface=bridge1-vlan200-MGMT mtu=8000 name=vlan11-LAN vlan-id=11
add arp=proxy-arp interface=bridge1-vlan200-MGMT mtu=8000 name=vlan12-GUEST vlan-id=12
add interface=bridge1-vlan200-MGMT mtu=8000 name=vlan34-KPN vlan-id=34
add arp=proxy-arp interface=bridge1-vlan200-MGMT mtu=8000 name=vlan201-DNS vlan-id=201
add arp=proxy-arp interface=bridge1-vlan200-MGMT mtu=8000 name=vlan203-HOME vlan-id=203
add arp=proxy-arp interface=bridge1-vlan200-MGMT mtu=8000 name=vlan204-CCTV vlan-id=204

/interface list
add exclude=dynamic name=discover

/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"

/ip dhcp-server option
add code=43 name=unifi value=0x01040a00020f
add code=60 name=option60-vendorclass value="'IPTV_RG'"
add code=28 name=option28-broadcast value="'10.0.2.255'"
add code=28 name=option28-broadcast-vlan11 value="'10.0.1.255'"


/ip dhcp-server option sets
add name=IPTV-vlan200 options=option60-vendorclass,option28-broadcast
add name=IPTV-vlan11 options=option60-vendorclass,option28-broadcast-vlan11

/ip pool
add name=dhcp_pool_LAN ranges=10.0.1.100-10.0.1.200
add name=dhcp_pool_MGMT ranges=10.0.2.100-10.0.2.200
add name=dhcp_pool_GUEST ranges=10.0.12.100-10.0.12.250
add name=dhcp_pool_HOME ranges=10.0.203.100-10.0.203.200
add name=dhcp_pool_CCTV ranges=10.0.204.100-10.0.204.200


/ip dhcp-server
add add-arp=yes address-pool=dhcp_pool_MGMT conflict-detection=no dhcp-option-set=IPTV-vlan200 disabled=no interface=bridge1-vlan200-MGMT lease-time=1d name=dhcp-MGMT src-address=10.0.2.1
add add-arp=yes address-pool=dhcp_pool_LAN bootp-support=none conflict-detection=no dhcp-option-set=IPTV_vlan11 disabled=no interface=vlan11-LAN lease-time=1d name=dhcp-LAN src-address=10.0.1.1
add add-arp=yes address-pool=dhcp_pool_HOME disabled=no interface=vlan203-HOME lease-time=1d name=dhcp-HOME src-address=10.0.203.1
add add-arp=yes address-pool=dhcp_pool_GUEST disabled=no interface=vlan12-GUEST lease-time=1d name=dhcp-GUEST src-address=10.0.12.1
add add-arp=yes address-pool=dhcp_pool_CCTV disabled=no interface=vlan204-CCTV lease-time=1d name=dhcp-CCTV src-address=10.0.204.1

/interface bridge port
add bridge=bridge1-vlan200-MGMT interface=ether3-HP1820
add bridge=bridge1-vlan200-MGMT interface=ether2-HP1920
add bridge=bridge1-vlan200-MGMT interface=ether1-HP1810
add bridge=bridge1-vlan200-MGMT interface=ether4-TP105E
add bridge=bridge1-vlan200-MGMT interface=ether5

/ip neighbor discovery-settings
set discover-interface-list=all

/ip settings
set accept-redirects=yes accept-source-route=yes

/ip address
add address=10.0.2.1/24 interface=bridge1-vlan200-MGMT network=10.0.2.0
add address=10.0.1.1/24 interface=vlan11-LAN network=10.0.1.0
add address=10.0.201.1/24 interface=vlan201-DNS network=10.0.201.0
add address=10.0.203.1/24 interface=vlan203-HOME network=10.0.203.0
add address=10.0.12.1/24 interface=vlan12-GUEST network=10.0.12.0
add address=10.0.204.1/24 interface=vlan204-CCTV network=10.0.204.0

/ip dhcp-client
add !dhcp-options disabled=no interface=vlan34-KPN use-peer-dns=no use-peer-ntp=no
add add-default-route=special-classless default-route-distance=210 dhcp-options=option60-vendorclass interface=vlan4-IPTV_RG use-peer-dns=no use-peer-ntp=no

/ip dhcp-server network
add address=10.0.1.0/24 dns-server=10.0.1.1 domain=rjm.lan gateway=10.0.1.1 netmask=24 ntp-server=10.0.1.1
add address=10.0.2.0/24 dhcp-option=unifi dns-server=10.0.2.1 domain=ic.rjm.lan gateway=10.0.2.1 netmask=24 ntp-server=10.0.2.1
add address=10.0.12.0/24 dns-server=10.0.12.1 domain=guest.rjm.lan gateway=10.0.12.1 netmask=24 ntp-server=10.0.201.2
add address=10.0.203.0/24 dns-server=10.0.203.1 domain=ic.rjm.lan gateway=10.0.203.1 netmask=24 ntp-server=10.0.203.1
add address=10.0.204.0/24 dns-server=10.0.204.1 domain=cctv.rjm.lan gateway=10.0.204.1 netmask=24 ntp-server=10.0.201.1

/ip dns
set allow-remote-requests=yes cache-max-ttl=30s cache-size=10000KiB servers=10.0.201.2

/ip firewall mangle
add action=change-mss chain=forward dst-address=172.16.0.0/12 new-mss=1360 passthrough=yes protocol=tcp src-address=!172.16.0.0/12 tcp-flags=syn tcp-mss=!0-1360

/ip firewall nat
add action=masquerade chain=srcnat comment="Needed for IPTV" dst-address=213.75.112.0/21 out-interface=vlan4-IPTV_RG
add action=masquerade chain=srcnat comment="Needed for IPTV" dst-address=217.166.0.0/16 out-interface=vlan4-IPTV_RG
add action=masquerade chain=srcnat comment="NAT for all outgoing/WAN traffic" dst-address=!172.16.0.0/12 out-interface=vlan34-KPN src-address=!172.16.0.0/12

add action=same chain=srcnat comment="MASQ verkeer naar Boy-VPN" dst-address=172.18.0.0/16 log-prefix=VPNRON same-not-by-dst=yes to-addresses=172.17.0.0/16
add action=redirect chain=dstnat comment="Transparent Proxy Hook" disabled=yes dst-address=!10.0.0.0/8 dst-port=80 in-interface=!vlan34-KPN protocol=tcp src-address-list=!No-internet to-ports=8080
add action=dst-nat chain=dstnat comment="proxy https" dst-address=82.169.192.243 dst-port=443 protocol=tcp to-addresses=10.0.203.80 to-ports=443
add action=dst-nat chain=dstnat comment="proxy http" disabled=yes dst-address=82.169.192.243 dst-port=80 protocol=tcp to-addresses=10.0.203.80 to-ports=8080
add action=netmap chain=dstnat comment="NETMAP verkeer vanuit Boy-VPN" dst-address=172.17.0.0/16 src-address=172.18.0.0/16 to-addresses=10.0.0.0/16

/routing igmp-proxy
set quick-leave=yes

/routing igmp-proxy interface
add alternative-subnets=0.0.0.0/0 interface=vlan4-IPTV_RG upstream=yes
add interface=bridge1-vlan200-MGMT

/tool netwatch
add comment="DNS Failover" down-script="/ip dns set servers=\"1.1.1.1\"" host=10.0.201.2 interval=10s timeout=100ms up-script="/ip dns set servers=\"10.0.201.2\""

[superyupkent]

RonJ schreef op dinsdag 18 mei 2021 @ 15:16:
Zou iemand eens met me mee willen denken?

Ik probeer routed IPTV op budget/kpn werkend te krijgen icm een Netgear DM200 modem en een Mikrotik RB3011. Ik heb eea conform de set-up van netwerkje.com ingesteld. Internetten via een lease op vlan34 werkt prima. Maar zodra ik de dhcp client op vlan 4 óók enable heb ik geen internet meer via vlan34. Totdat ik de dhcp client op vlan 4 weer uitzet, dan werkt het na een dhcp renew meteen weer. Enable ik de client op vlan4 weer, plop, internet weg. Maar ik krijg wel netjes een lease op vlan 4, de igmp proxy krijgt zn adres, etc.

Kan het soms zijn dat je internet vlan niet over dezelfde bridge mag lopen?

[Afbeelding]

Modem zit aangesloten via een HP 1920 8G-POE+ switch, waarop vlans 4 en 34 tagged worden doorgegeven tussen de router en het modem. Router heeft poort 1-4 gebridged met daarop alle vlans, incl de 2 WAN vlans.

[Afbeelding]

Mikrotik config export:

[...]

Bij mij draait het gewoon goed met 1 bridge, hardware offloading en meerdere vlans. De relevante config hieronder. Wat doet je modem precies? Is dat puur bridging? of nog wat meer? wellicht dat het daar misgaat? Ik heb mijn glasvezel rechtstreeks in mijn switch gestopt.

code:

# may/18/2021 15:31:08 by RouterOS 6.47.9
#
# model = CRS328-24P-4S+
/interface bridge
add fast-forward=no igmp-snooping=yes name=bridge protocol-mode=none \
    vlan-filtering=yes
/interface vlan
add interface=bridge name=vlan4 vlan-id=4
add interface=bridge name=vlan6 vlan-id=6
add interface=bridge name=vlan40 vlan-id=40
add interface=bridge name=vlan60 vlan-id=60
/interface list
add name=WAN
add name=LAN
add name=IPTV
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
add code=28 name=option28-broadcast value="'10.10.40.255'"
/ip dhcp-server option sets
add name=IPTV options=option60-vendorclass,option28-broadcast
/ip pool
add name=IPTV-pool ranges=10.10.40.10-10.10.40.100
/ip dhcp-server
add address-pool=IPTV-pool disabled=no interface=vlan40 lease-time=1d name=\
    IPTV-server
/interface bridge port
add bridge=bridge frame-types=admit-only-vlan-tagged ingress-filtering=yes \
    interface=ether6
add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged \
    ingress-filtering=yes interface=ether9 pvid=60
add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged \
    ingress-filtering=yes interface=ether11 pvid=70
add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged \
    ingress-filtering=yes interface=ether12 pvid=60
add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged \
    ingress-filtering=yes interface=ether13 pvid=60
add bridge=bridge frame-types=admit-only-vlan-tagged ingress-filtering=yes \
    interface=ether14
add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged \
    ingress-filtering=yes interface=ether15 pvid=70
add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged \
    ingress-filtering=yes interface=ether16 pvid=70
add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged \
    ingress-filtering=yes interface=ether17 pvid=70
add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged \
    ingress-filtering=yes interface=ether18 pvid=60
add bridge=bridge frame-types=admit-only-untagged-and-priority-tagged \
    ingress-filtering=yes interface=ether19 pvid=60
add bridge=bridge frame-types=admit-only-vlan-tagged interface=sfp-sfpplus1
add bridge=bridge frame-types=admit-only-vlan-tagged interface=sfp-sfpplus2
add bridge=bridge frame-types=admit-only-vlan-tagged ingress-filtering=yes \
    interface=sfp-sfpplus3
add bridge=bridge interface=sfp-sfpplus4
/interface bridge settings
set allow-fast-path=no
/ip neighbor discovery-settings
set discover-interface-list=LAN
/ip settings
set allow-fast-path=no
/interface bridge vlan
add bridge=bridge comment="IPTV source" tagged=bridge,sfp-sfpplus1 \
    vlan-ids=4
add bridge=bridge comment="Internet PPPoE" tagged=\
    bridge,sfp-sfpplus1,sfp-sfpplus2 vlan-ids=6
add bridge=bridge comment="IPTV LAN" tagged="bridge,sfp-sfpplus2,ether6,ether2\
    ,ether7,ether8,ether14,ether22,sfp-sfpplus3" vlan-ids=40
add bridge=bridge comment=LAN tagged="bridge,sfp-sfpplus2,sfp-sfpplus3,ether6,\
    ether8,ether2,ether14,ether22,ether7,ether21" untagged=\
    ether20,ether1,ether9,ether19,ether13,ether12 vlan-ids=60
/interface list member
add interface=vlan4 list=IPTV
add interface=vlan60 list=LAN
/ip address
add address=10.10.40.1/24 interface=vlan40 network=10.10.40.0
/ip dhcp-client
add add-default-route=special-classless default-route-distance=250 \
    dhcp-options=option60-vendorclass,hostname,clientid disabled=no \
    interface=vlan4 use-peer-dns=no use-peer-ntp=no
add disabled=no interface=vlan60
add add-default-route=no interface=vlan80 use-peer-dns=no use-peer-ntp=no
/ip dhcp-server lease
add address=10.10.40.99 comment="Arcadyan HBM2260" mac-address=\
    50:7E:5D:C8:37:3A server=IPTV-server
add address=10.10.40.98 comment="Arris VIP5202" mac-address=00:02:9B:F7:71:4B \
    server=IPTV-server
/ip dhcp-server network
add address=10.10.40.0/24 dhcp-option-set=IPTV dns-server=\
    194.109.6.66,194.109.9.99 gateway=10.10.40.1 netmask=24
/ip firewall filter
add action=accept chain=input comment="accept established,related,untracked" \
    connection-state=established,related,untracked
add action=accept chain=input comment="IPTV Multicast" dst-address=\
    224.0.0.0/8 in-interface-list=IPTV protocol=igmp
add action=accept chain=input comment="IPTV Multicast" dst-address=\
    224.0.0.0/8 in-interface-list=IPTV protocol=udp
add action=drop chain=input comment="drop invalid" connection-state=invalid \
    log=yes log-prefix="drop input invalid"
add action=accept chain=input comment="accept ICMP" protocol=icmp
add action=drop chain=input comment="drop all not coming from LAN" \
    in-interface-list=!LAN log=yes log-prefix="dr input exept lan"
add action=accept chain=forward comment="IPTV Multicast" dst-address=\
    224.0.0.0/8 in-interface-list=IPTV protocol=udp
add action=accept chain=forward comment=\
    "accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="drop invalid" connection-state=invalid \
    log=yes log-prefix="dr forward invalid"
add action=drop chain=forward comment="drop all from WAN not DSTNATed" \
    connection-state=new in-interface-list=IPTV
/ip firewall nat
add action=masquerade chain=srcnat comment="Masquerade iptv" \
    dst-address-list=IPTV-NATNETs out-interface-list=IPTV
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
set udplite disabled=yes
set dccp disabled=yes
set sctp disabled=yes
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/routing igmp-proxy
set query-interval=25s quick-leave=yes
/routing igmp-proxy interface
add interface=vlan40
add alternative-subnets=0.0.0.0/0 comment=\
    "10.142.64.0/18  213.75.0.0/16 217.166.0.0/16" interface=vlan4 upstream=\
    yes

[RonJ]

superyupkent schreef op dinsdag 18 mei 2021 @ 15:44:
[...]


Bij mij draait het gewoon goed met 1 bridge, hardware offloading en meerdere vlans. De relevante config hieronder. Wat doet je modem precies? Is dat puur bridging? of nog wat meer? wellicht dat het daar misgaat? Ik heb mijn glasvezel rechtstreeks in mijn switch gestopt.

Het modem doet alleen bridging met vlan passthrough enabled. Ik krijg ook netjes een lease op vlan 4 én 34, dus dat lijkt verder goed te werken.

Ik heb nav jouw config vlan filtering nog geprobeerd op de bridge, maar dat lijkt geen verschil te maken. Mn firewall heb ik ook al helemaal uitgeschakeld om even te testen, maar ook dat maakt geen verschil. Zodra ik de dhcp client op vlan 4 ook enable, loopt er geen verkeer meer over 34. Ik ga straks eens het modem rechtsreeks op de router aansluiten, eens kijken wat er dan gebeurd. Mogelijk schopt de HPE switch ertussen iets in de war.

[lier]

Heb je aan het eind van configureren VLAN filtering aangezet, @RonJ ? Want dat zie ik niet terug in jouw config.

[RonJ]

lier schreef op dinsdag 18 mei 2021 @ 16:46:
Heb je aan het eind van configureren VLAN filtering aangezet, @RonJ ? Want dat zie ik niet terug in jouw config.

Ik heb m aangezet en daarna weer uitgezet omdat ik geen verschil zag. Nu ik nog eens naar de config van @superyupkent kijk, heeft hij ook op de bridge allerlei vlans gedefinieerd. Ik zie daar echter niks over in de diverse how-to's, waaronder netwerkje.com. Is het nodig om dat ook voor de bridge te configureren?

Ik heb de router nu direct aan het modem gepatcht en zelfs uit frustratie de MT config teruggezet op default, maar ik heb nog steeds hetzelfde issue.

[superyupkent]

RonJ schreef op dinsdag 18 mei 2021 @ 18:23:
[...]


Ik heb m aangezet en daarna weer uitgezet omdat ik geen verschil zag. Nu ik nog eens naar de config van @superyupkent kijk, heeft hij ook op de bridge allerlei vlans gedefinieerd. Ik zie daar echter niks over in de diverse how-to's, waaronder netwerkje.com. Is het nodig om dat ook voor de bridge te configureren?

Ik heb de router nu direct aan het modem gepatcht en zelfs uit frustratie de MT config teruggezet op default, maar ik heb nog steeds hetzelfde issue.

Het is ofwel de oude manier van vlans gebruiken met bridges om te untaggen. Of de nieuwe manier zoals je in mijn config ziet, maar dan moet je idd eerst de hele config opbouwen en dan helemaal aan het einde vlan filtering aanzetten. Ik zou een kale config proberen direct vanaf het modem. Daarna langzaam de config opbouwen

[Thralas]

RonJ schreef op dinsdag 18 mei 2021 @ 15:16:
Zou iemand eens met me mee willen denken?

Dit klopt niet.

code:

/ip dhcp-client add add-default-route=special-classless default-route-distance=210 dhcp-options=option60-vendorclass interface=vlan4-IPTV_RG use-peer-dns=no use-peer-ntp=no

Zie de handleiding:

• yes - adds classless route if received, if not then add default route (old behavior)
• special-classless - adds both classless route if received and default route (MS style)

Je moet add-default-route=yes gebruiken, niet special-classless. Die opties doen precies het omgekeerde van wat je denkt dat het zou doen.

[RonJ]

Dank voor jullie reacties, @superyupkent en @Thralas. Het is me duidelijk dat de voorbeeld config van netwerkje.com gewoon achterhaalt is en het bridge/vlan stukje helemaal mist. Ik ga dat later deze week verder proberen met een schone mikrotik config op basis van de voorbeelden hier. En anders red ik me wel zonder iptv, dit grapje heeft me al meer tijd gekost dan dat ik per jaar aan iptv kijk ;-) Het ging me er vooral om van de dubbele NAT icm de experiabox af te komen ivm een zakelijke voip app en dat werkt nu iig zonder problemen.

[ Voor 13% gewijzigd door RonJ op 19-05-2021 12:00 ]

[superyupkent]

RonJ schreef op woensdag 19 mei 2021 @ 11:53:
Dank voor jullie reacties, @superyupkent en @Thralas. Het is me duidelijk dat de voorbeeld config van netwerkje.com gewoon achterhaalt is en het bridge/vlan stukje helemaal mist. Ik ga dat later deze week verder proberen met een schone mikrotik config op basis van de voorbeelden hier. En anders red ik me wel zonder iptv, dit grapje heeft me al meer tijd gekost dan dat ik per jaar aan iptv kijk ;-) Het ging me er vooral om van de dubbele NAT icm de experiabox af te komen ivm een zakelijke voip app en dat werkt nu iig zonder problemen.

Herkenbaar @RonJ , mijn config heeft ook heel wat verwensingen opgeleverd. Maar het is op zich wel leuk (als netwerk-nerd) om het werkend te krijgen. Succes bij de laatste loodjes

[Hmmbob]

Kunnen we geen pinned post maken, of toevoeging aan de topic start, van deze veel gebruikte settings? Zeg maar een vervanging van netwerkje.com's beschrijving die wel werkt?

[Dadona]

Ik blijf het wel opvallend vinden hoe weinig Mikrotik switches meerdere PoE 802.3af/at poorten hebben. Als je kijkt naar Ubiquiti, HP, ... hebben die zoveel 8 poort switches met 4 (of meer) 802.3af/at poorten. Daar heeft Mikrotik niet echt een antwoord op.
Eigenlijk is de CRS112-8P-4S-IN de enige redelijk interessante middenweg. Of je moet meteen doorklappen naar een CRS328-24P-4S+RM. Ertussen zit een opvallende, de netPower 16P. Maar gek genoeg zie ik daar niet een indoor van. Lijkt mij een redelijk makkelijke actie voor Mikrotik.

[Mattie112]

Ja dat is wel jammer, ik heb met maar opgelost met dit dingetje: https://www.aliexpress.com/item/32875166233.html

Werkt perfect (en kost minder ruimte dan een losse POE switch)

[Zaffo]

Beter wat meer PoE 802.3af/at poorten dan te weinig. Ik heb ruim een jaar geleden de CRS328-24P-4S+RM gekozen als vervanging van een HeX PoE en een losse managed switch. Ondanks dat nog niet de helft van de poorten ook voor power in gebruik is, komen er wel steeds meer PoE apparaten bij (Router, APs, VoIP, camera's, deurbel).

Voordeel is ook dat deze zowel 802.3af/at als passive 24V geeft, voor die paar MikroTik apparaten die geen 48V doen.

[orvintax]

Hebben er mensen ervaring met de MikroTik cAP ac? En hoe vergelijkt zo iets met Unifi AP's? Ik heb al routers en switchen van MikroTik en ik begin een beetje vervelend te worden van Ubiquiti hun beleid. Echter kan ik online niet echt een goede comparison vinden en ik ben benieuwd naar de mening van mede MikroTik gebruikers

[superyupkent]

@orvintax , ik heb de cap AC zowel zakelijk bij klanten als thuis in gebruik. Je bent potentieel wel langer bezig om alles goed in te regelen. Zeker als je verschillende devices hebt kan het zijn dat je bandbreedte, frequenties goed in moet stellen. Ubiquiti is behoorlijk plug and play

[orvintax]

@superyupkent Maar qua performance, vergelijkbaar met een unifi product van dezelfde prijs?

[spokje]

orvintax schreef op zaterdag 19 juni 2021 @ 00:52:
@superyupkent Maar qua performance, vergelijkbaar met een unifi product van dezelfde prijs?

Ik heb een wAP AC. Is dat ook OK? ik vind het superfijn werken. Vooral Capsman is echt fantastisch. Dat is letterlijk 5 minuten instellen op je main router/ap en dan zet je de rest van de ap's in caps mode en de rest wordt geregeld.

Devices worden netjes doorgegeven tussen ap's. Ik vind persoonlijk MikroTik wat te complex voor het router gedeelte zodra je geavanceerde functies gaat gebruiken (ligt aan mijn kennis), dus vandaar dat ik beide mikrotik devices nu als ap gebruik (had eerst de hap ac2 als router draaien, nu dus als ap en daarop capsman server geactiveerd).

Ik zou in een oogwenk meer mikrotik ap's kopen. werkt echt altijd en wifi is lekker snel, bereik prima. Als ik bij mijn zwager kom die z'n hele huis ge-unified heeft, heb ik niets anders dan drama met WiFi daar (volgens mij is het gewoon niet lekker ingesteld maargoed. Want het zal ongetwijfeld goed kunnen werken). Ik wilde ook niet aan Unifi vanwege de steeds meer cloud afhankelijkheid. Edgerouter X als main router doet het prima voor mij.

Ik weet niet hoever je wifi kennis reikt maar er is een leuke mikrotik video op YouTube te vinden over wifi instellingen. Ik zoek 'm ff voor je op.

Deze video: YouTube: Common MikroTik WiFi mistakes and how to avoid them

Heeft mij enorm geholpen om WiFi te finetunen. Leuk Om te doen.

Qua performance weet ik niet hoe het zich verhoudt tot Unifi. Ik geloof dat de keiharde doorvoersnelheid specs bij de unifi ap's wat hoger lag toen ik de wap ac kocht maargoed. Voor wat ik ermee doe is het perfect. Meestal heb ik een 7xx mbit connectie met m'n telefoon via WiFi en dat is voor mij ruim voldoende.

[ Voor 20% gewijzigd door spokje op 19-06-2021 09:28 ]

[Dadona]

orvintax schreef op vrijdag 18 juni 2021 @ 19:30:
Hebben er mensen ervaring met de MikroTik cAP ac? En hoe vergelijkt zo iets met Unifi AP's? Ik heb al routers en switchen van MikroTik en ik begin een beetje vervelend te worden van Ubiquiti hun beleid. Echter kan ik online niet echt een goede comparison vinden en ik ben benieuwd naar de mening van mede MikroTik gebruikers

De cAP AC heb ik niet, ik zet momenteel (tijdelijk enkele weken) de hAP ac2 in,maar al teveel gelezen over MikroTik vs de rest. Het verhaal blijft nog altijd dat je voor prestaties switches echt wel goed zit bij MikroTik, maar voor draadloos beter elders kunt kijken. MikroTik heeft wel aardige draadloze dingen, zeker met CAPsMAN wel aardig in te regelen, maar het loopt achter. Zo is er nog geen WiFi6 AP. Als Ubiquiti eruit ligt (totaal, inclusief bij gebruik met OpenWRT wat ook al op de goede WiFi 6 APs draait) dan zit je toch met MikroTik of je moet naar duurdere oplossingen van Ruckus/Aruba/..

[superyupkent]

orvintax schreef op zaterdag 19 juni 2021 @ 00:52:
@superyupkent Maar qua performance, vergelijkbaar met een unifi product van dezelfde prijs?

Je kan je draadloze netwerk voor minder geld inregelen tegen vergelijkbare performance. Het is zoals @spokje zegt, capsman is een slim systeem maar je moet het 'even' onder de knie krijgen. Als Tweaker is het leuk om mikrotik wireless te doen omdat je alle aspecten van draadloze netwerken tegenkomt en kan aanpassen. Soms werkt het meteen goed maar op veel plekken heb ik behoorlijk moeten finetunen. Zeker met Apple devices.

[orvintax]

Thanks iedereen voor alle informatie! Ik denk zodra MikroTik met een Wifi 6 AP uitkomt dat ik de switch maak

[Jazco2nd]

Heb al poosje een script draaien op mijn Mikrotik router, om 2 firewall NAT regels te disablen als mijn server geen adres kan resolven. De server draait AdGuard Home, de router heeft:

• /IP dhcp server: als DNS gewoon het IP van de router: 192.168.88.1
• [li/IP dns: DNS adressen van Adguard (publiek), bedoeld als fallback[/li]
• /IP firewall nat: 2 firewall regels die alle DNS requests (port 53) forceren naar mijn server: 192.168.88.2

code:

/ip firewall nat
add action=dst-nat chain=dstnat comment=DNSrule1 dst-address=!192.168.88.2 dst-port=53 in-interface=bridge protocol=udp src-address=!192.168.88.2 to-addresses=192.168.88.2 to-ports=53
add action=masquerade chain=srcnat comment=DNSrule2 dst-address=192.168.88.2 dst-port=53 protocol=udp src-address=192.168.88.0/24

Het script draait elke minuut en heeft dus als doel deze 2 regels uit te schakelen wanneer de server/AdGuard Home niet beschikbaar is en weer in te schakelen wanneer Adguard Home weer werkt.
Getest: handmatig de 2 regels disablen --> de wijziging is onmiddelijk van kracht en voor alle clients werkt DNS via de publiek ingestelde adressen. Weer enablen --> DNS gaat weer via mijn server/AdGuard Home.

Mijn vraag nu, waarom werkt het script niet?
Het script schakelt nooit de regels aan/uit, zelfs als ik de netwerkverbinding van mijn server gewoon uitzet, na 3 runs zijn de regels nog niet disabled.

code:

:local serverDown [/ip firewall nat get value-name=disabled [find comment="DNSrule1"]]
:local serverIP "192.168.88.2"
:local testDomain "www.google.com"


:if ($serverDown = false) do={
    :do {
        :resolve $testDomain server $serverIP
    } on-error={
        /ip firewall nat;
            disable [find comment="DNSrule1"];
            disable [find comment="DNSrule2"];
            }
} else={
    :do {
        :resolve $testDomain server $serverIP;
        /ip firewall nat;
            enable[find comment="DNSrule1"];
            enable[find comment="DNSrule2"];
    } on-error={}
}

[Thralas]

De comments waarop je zoekt verschillen tussen de regels en het script?

Verder weet ik bar weinig van scripting, maar ik vraag me af of je die if op regel 6 wel nodig hebt, kun je niet 1x resolve doen en afhankelijk van het resultaat enablen/disablen - of is het erg om meermaals enable/disable uit te voeren?

Het behangen met print statements (zodat je weet of de logic faalt of enkel de enable/disable) kan ook vast geen kwaad.