1
2
3
4
5
6
7
8
| # BRIDGE VLAN-IDS CURRENT-TAGGED CURRENT-UNTAGGED
0 D bridge-local 1 bridge-local
ether5
ether6
ether7
ether10-R500
ether4
1 bridge-local 110 ether10-R500 |
1
2
3
4
| # ADDRESS NETWORK INTERFACE 0 192.168.0.1/24 192.168.0.0 bridge-local 1 D x.x.x.x/22 x.x.x.x vlan-internet 2 192.168.110.1/24 192.168.110.0 vlan110 |
1
2
3
| # NAME INTERFACE RELAY ADDRESS-POOL LEASE-TIME ADD-ARP 0 dhcp... bridge-local dhcp-local 5m 1 dhcp110 vlan110 pool-vlan110 5m |
1
2
3
| # NAME RANGES 0 dhcp-local 192.168.0.180-192.168.0.254 1 pool-vlan110 192.168.110.180-192.168.110.254 |
nu heb ik net bridge-local getagged op vlan110 en werkt t
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
| # aug/13/2021 11:17:21 by RouterOS 6.48.3 # software id = 3RDL-S6FU # # model = RB4011iGS+ # serial number = D4480EF9687B /interface bridge add name=bridge-local /interface ethernet set [ find default-name=ether1 ] name=ether1-WAN set [ find default-name=ether9 ] name=ether9-RB260GSP set [ find default-name=ether10 ] name=ether10-R500 poe-priority=1 set [ find default-name=sfp-sfpplus1 ] disabled=yes /interface vlan add interface=ether1-WAN name=vlan-internet vlan-id=300 add interface=bridge-local name=vlan110 vlan-id=110 /interface ethernet switch port set 0 default-vlan-id=0 set 1 default-vlan-id=0 set 2 default-vlan-id=0 set 3 default-vlan-id=0 set 4 default-vlan-id=0 set 5 default-vlan-id=0 set 6 default-vlan-id=0 set 7 default-vlan-id=0 set 8 default-vlan-id=0 set 9 default-vlan-id=0 set 10 default-vlan-id=0 set 11 default-vlan-id=0 /interface list add comment="WAN interface" name=WAN add name=LAN /interface wireless security-profiles set [ find default=yes ] supplicant-identity=MikroTik /ip pool add name=dhcp-local ranges=192.168.0.180-192.168.0.254 add name=pool-vlan110 ranges=192.168.110.180-192.168.110.254 /ip dhcp-server add address-pool=dhcp-local disabled=no interface=bridge-local lease-time=5m name=dhcp-local add address-pool=pool-vlan110 disabled=no interface=vlan110 lease-time=5m name=dhcp110 /interface bridge port add bridge=bridge-local interface=ether2 add bridge=bridge-local interface=ether3 add bridge=bridge-local interface=ether4 add bridge=bridge-local interface=ether5 add bridge=bridge-local interface=ether6 add bridge=bridge-local interface=ether7 add bridge=bridge-local interface=ether8 add bridge=bridge-local interface=ether9-RB260GSP add bridge=bridge-local interface=ether10-R500 add bridge=bridge-local interface=sfp-sfpplus1 /interface bridge vlan add bridge=bridge-local tagged=ether10-R500,ether9-RB260GSP,bridge-local vlan-ids=110 /interface list member add interface=bridge-local list=LAN add interface=vlan-internet list=WAN /ip address add address=192.168.0.1/24 interface=bridge-local network=192.168.0.0 add address=192.168.110.1/24 interface=vlan110 network=192.168.110.0 /ip dhcp-client add disabled=no interface=vlan-internet use-peer-dns=no use-peer-ntp=no /ip dhcp-server lease add address=192.168.0.80 client-id=1:2c:ab:33:9a:29:4 mac-address=2C:AB:33:9A:29:04 server=dhcp-local add address=192.168.0.15 client-id=1:0:5:cd:f5:8d:58 mac-address=00:05:CD:F5:8D:58 server=dhcp-local add address=192.168.0.19 client-id=1:0:d:b9:5a:e6:84 mac-address=00:0D:B9:5A:E6:84 server=dhcp-local /ip dhcp-server network add address=192.168.0.0/24 dns-server=8.8.8.8,1.1.1.1 gateway=192.168.0.1 netmask=24 add address=192.168.110.0/24 dns-server=8.8.8.8,1.1.1.1 gateway=192.168.110.1 /ip firewall address-list add address=192.168.100.0/24 list=localNet add address=0.0.0.0/8 comment=RFC6890 list=not_in_internet add address=172.16.0.0/12 comment=RFC6890 list=not_in_internet add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet add address=10.0.0.0/8 comment=RFC6890 list=not_in_internet add address=169.254.0.0/16 comment=RFC6890 list=not_in_internet add address=127.0.0.0/8 comment=RFC6890 list=not_in_internet add address=224.0.0.0/4 comment=Multicast list=not_in_internet add address=198.18.0.0/15 comment=RFC6890 list=not_in_internet add address=192.0.0.0/24 comment=RFC6890 list=not_in_internet add address=192.0.2.0/24 comment=RFC6890 list=not_in_internet add address=198.51.100.0/24 comment=RFC6890 list=not_in_internet add address=203.0.113.0/24 comment=RFC6890 list=not_in_internet add address=100.64.0.0/10 comment=RFC6890 list=not_in_internet add address=240.0.0.0/4 comment=RFC6890 list=not_in_internet add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=not_in_internet add address=192.168.100.0/24 list=lan_ip add address=255.255.255.255 list=lan_ip /ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1 add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1 add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1 add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN add action=accept chain=forward dst-address=192.168.0.19 dst-port=44158 protocol=tcp src-port=44158 /ip firewall nat add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN add action=dst-nat chain=dstnat comment="redirect port for Longap One" dst-port=44158 protocol=tcp to-addresses=192.168.0.19 to-ports=44158 /ip service set telnet disabled=yes set ftp disabled=yes /ipv6 firewall address-list add address=::/128 comment="defconf: unspecified address" list=bad_ipv6 add address=::1/128 comment="defconf: lo" list=bad_ipv6 add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6 add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6 add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6 add address=100::/64 comment="defconf: discard only " list=bad_ipv6 add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6 add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6 add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6 add address=::224.0.0.0/100 comment="defconf: other" list=bad_ipv6 add address=::127.0.0.0/104 comment="defconf: other" list=bad_ipv6 add address=::/104 comment="defconf: other" list=bad_ipv6 add address=::255.0.0.0/104 comment="defconf: other" list=bad_ipv6 /snmp set enabled=yes trap-version=2 /system clock set time-zone-name=Europe/Amsterdam /system identity set name="MikroTik RB4011iGS+RM" /system ntp client set enabled=yes primary-ntp=64.99.80.121 secondary-ntp=20.101.57.9 |
ik heb die post al (meerdere) keren doorgelezen. de theorie snap ik wel, alleen hoe het in de praktijk te brengen is een volgende stap
Fan van: Unraid, ProxMox, Pi-hole, PlexMediaServer, OPNsense. Meer een gluurder dan een reaguurder.
Enige dat ik (nog?) niet aan de gang lijk te hebben is mDNS van mijn ESP devices naar mijn reguliere VLAN, maar daar is ook wel omheen te werken.[ Voor 11% gewijzigd door lolgast op 24-08-2021 21:12 ]
Fan van: Unraid, ProxMox, Pi-hole, PlexMediaServer, OPNsense. Meer een gluurder dan een reaguurder.
Mag ik vragen waarom je niet gewoon naar Windows 10 boot of het simpelweg met Wine runned zodat je jezelf niet moet bezighouden met een EOL OS?:
winbox hoef ik niet in wine te draaien, de win10 VM krijgt met Winbox de powerbox niet gevonden, maar wanneer ik de laptop naar windows 7 boot en daarop winbox open ziet ie m wel. de laptop zit rechtstreeks aangesloten op de powerbox, kan nu ook weer toegang krijgen tot de beheer panel. we kunnen dus weer verder RouterOS onderzoeken/leren
note: de laptop en switch zitten nu in een geïsoleerde stukje netwerk, gezien Win7 EOL is.
omdat ik op m'n desktop geen Windows wil hebben, de win10 VM draait op mn unraid server, puur voor testen en andere teleurstellingen. de laptop draait Windows 7 in dual boot, omdat ik die gebruik voor uitlees software voor m'n auto, en laat Windows10 nou net te vaak bij mij de boel weer eens te hebben gesloopt. dat doet windows 7 niet
Fan van: Unraid, ProxMox, Pi-hole, PlexMediaServer, OPNsense. Meer een gluurder dan een reaguurder.
1
| action=notrack chain=prerouting comment="No Track Unifi Controller -> Devices" protocol=tcp src-address=192.168.4.84 src-port=8080 |
[ Voor 19% gewijzigd door lolgast op 26-08-2021 11:45 ]
Ik dacht, ik ga dit ook gebruiken! Maar een /export neemt niet alles mee kwam ik achter. Eventuele certificaten bijvoorbeeld voor passwordless SSH (upload backup files) zitten er niet in. Dat komt waarschijnlijk doordat extra aangemaakte users er óók niet in zitten. Ik wil daarom /system backup gebruiken, maar die is weer niet op een ander device te gebruiken. Daarom onderstaande:
Of beter nog gebruik een automatisch backup per email
code:
/export file=([/system identity get name] . "-" . [:pick [/system clock get date] 7 11] . [:pick [/system clock get date] 0 3] . [:pick [/system clock get date] 4 6]); /tool e-mail send to="router@youremail.nl" subject=([/system identity get name] . " Backup " . [/system clock get date]) file=([/system identity get name] . "-" . [:pick [/system clock get date] 7 11] . [:pick [/system clock get date] 0 3] . [:pick [/system clock get date] 4 6] . ".rsc"); :delay 10; /file rem [/file find name=([/system identity get name] . "-" . [:pick [/system clock get date] 7 11] . [:pick [/system clock get date] 0 3] . [:pick [/system clock get date] 4 6] . ".rsc")]; :log info ("System Backup emailed at " . [/sys cl get time] . " " . [/sys cl get date])
En stel dat in op eens per week bijv via de script support
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
| :global MailTo
:local FilePath ([/system identity get name] . "-" . [:pick [/system clock get date] 4 6] . [:pick [/system clock get date] 0 3] . [:pick [/system clock get date] 7 11]);
:local Attach [ :toarray "" ];
/ export file=$FilePath;
/ system backup save name=$FilePath;
:while ([ :len [/file find where name=($FilePath . ".backup") ] ] = 0) do={
delay 100ms;
}
:set Attach ($Attach, ($FilePath . ".rsc"));
:set Attach ($Attach, ($FilePath . ".backup"));
/tool e-mail send to=$MailTo subject=([/system identity get name] . " Backup " . [/system clock get date]) file=$Attach; :delay 5;
:foreach File in=[ :toarray $Attach ] do={
/ file remove $File;
}
:log info ("System Backup emailed at " . [/sys cl get time] . " " . [/sys cl get date]) |
3780wP (18x 210wP EC Solar) | 2x Marstek Venus E (5.12kWh)
Mooi gemaakt! Post het anders op Gitlab/Github, is wat overzichtelijker. Helemaal als er dingen veranderen
Even mijzelf quoten
Vanwege het vele debuggen zitten er veel :log info commands in
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
| # automated backup 2 External Sftp
#
# Sftp configuration
:local ftphost "sftp://xx.xx.xx.xx";
:local ftpuser "<username>";
:local ftppassword "<password>";
:local ftppath "/path/to/dir/";
#
# months array
:local months ("jan","feb","mar","apr","may","jun","jul","aug","sep","oct","nov","dec");
#
# get time
:local ts [/system clock get time];
:set ts ([:pick $ts 0 2].[:pick $ts 3 5].[:pick $ts 6 8]);
#
# get Date
:local ds [/system clock get date];
#
# convert name of month to number
:local month [ :pick $ds 0 3 ];
:local mm ([ :find $months $month -1 ] + 1);
:if ($mm < 10) do={ :set mm ("0" . $mm); };
#
# set $ds to format YYYY-MM-DD
:set ds ([:pick $ds 7 11] . $mm . [:pick $ds 4 6]);
#
:log info "ftphost/user/path: $ftphost/$ftpuser/$ftppath";
# file name for system backup - file name will be backup-servername-date-time.backup
:local fname ("/backup-".[/system identity get name]."-".$ds."-".$ts.".backup");
#
:log info "$fname";
#
# backup the system
#
/system backup save name=$fname;
:log info message="System backup finished.";
#
# upload the backup
:log info message="Uploading system backup.";
#
/tool fetch upload=yes url=([$ftphost].[$ftppath].[$fname]) src-path=$fname user=$ftpuser password=$ftppassword;
# any commands after this line do not work.
:log info message="System backup uploaded."; |
[ Voor 0% gewijzigd door Theone098 op 05-09-2021 21:45 . Reden: wat ; toegevoegd en script opnieuw getest. ]
Helaas, dat is het niet. FTP werkt super snel, het is SFTP dat "lang(er)" duurt. Dat begrijp ik vanwege de encryptie, maar dat het script na /tool fetch niets meer doet is ronduit vreemd.
.[ Voor 6% gewijzigd door Theone098 op 06-09-2021 09:31 ]
- knip -
Dat is de reden waarom ik ook als DST de ether3 opgegeven had in mijn laatste poging.
[ Voor 24% gewijzigd door Thasaidon op 13-09-2021 18:16 ]
"Hello IT, have you tried turning it off and on again?" - "Computer says no..."
Ik vind het persoonlijk niet zo'n gek idee.
"Hello IT, have you tried turning it off and on again?" - "Computer says no..."
Het zijn geen containers waarin hun eigen functionaliteiten in draaien, maar volledige docker containers.:
[...]
Ik vind het persoonlijk niet zo'n gek idee.
Met containers kun je kritieke of vitale functies scheiden van anderen.
Zo zou bv DNS, Routing of de Firewall in separate containers kunnen draaien. Mocht de één gecomprimeerd worden, kan men niet zomaar "uitbreken" naar de ander.
Of het idd wenselijk is dat ze zich nu vooral hierop richten is een ander verhaal
HELD! "Hello IT, have you tried turning it off and on again?" - "Computer says no..."
gelijk heb je. Bedankt voor het opmerken. - knip -
Niet om aan te vallen, of je neer te halen,
)
Dus jouw kind kan aan het management VLAN en heeft daarnaast de kennis/horsepower om jouw MT router te bruteforcen?:
[...]
Niet om aan te vallen, of je neer te halen,
Maar eigenlijk is het best wel rudimentair om bij twijfel wachtwoorden aan te passen.
Grootste nadeel bij MT is wel dat alle tools 'makkelijk' worden aangeboden op de landingpage.
Vooral als je al gecompromitteerd bent, is het werkelijk afsluiten lastig.
Uit wantrouwen veranderd mijn routerWW toch met regelmaat, alleen al omdat ik opgroeiende kinderen heb, waarvan er één redelijk inventief is, en graag dingen uittest.
( je kan makkelijk vinden hoe je portforwards instelt voor een bepaalde app / game
Dus ik moet regelmatig mijn config nalopen op dit soort dingen, en of er iets niet is aangepast
Voor hulp en meer info zie: https://drive.google.com/drive/folders/1sALkX5QBVEc8xm4wqLEiJzcDmiaJJ_X8?usp=sharing en https://sites.google.com/view/eendraadschema Met vriendelijke groeten, Björn
:fill(white):strip_exif()/i/2000549950.jpeg?f=thumbmini)
:strip_exif()/i/2005749774.png?f=thumbmini)
:fill(white):strip_exif()/i/2001690973.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000609859.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000752202.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000752204.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000549946.jpeg?f=thumbmini)
:strip_exif()/i/2001630061.png?f=thumbmini)
:fill(white):strip_exif()/i/2000550046.jpeg?f=thumbmini)
:strip_exif()/i/2001729163.png?f=thumbmini)
:fill(white):strip_exif()/i/2001894267.jpeg?f=thumbmini)
:strip_exif()/i/2001602173.png?f=thumbmini)
:fill(white):strip_exif()/i/2000627608.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2001033897.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2001603121.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000897642.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2002281701.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2002281691.jpeg?f=thumbmini)
:strip_exif()/i/2004729478.png?f=thumbmini)
:fill(white):strip_exif()/i/2000549949.jpeg?f=thumbmini)
:strip_exif()/i/2000645685.png?f=thumbmini)
:fill(white):strip_exif()/i/2001344711.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000600066.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/1395229077.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/1396256832.jpeg?f=thumbmini)
:strip_exif()/i/1395224034.png?f=thumbmini)
:strip_icc():strip_exif()/u/198189/crop67ecf5f08705a_cropped.jpg?f=community)
:strip_icc():strip_exif()/u/34345/crop604df19f86683.jpg?f=community)
/u/189310/crop571f5b38cbd6b_cropped.png?f=community)
:strip_icc():strip_exif()/u/19784/crop5602e6447372a_cropped.jpeg?f=community)
:strip_exif()/u/1054665/crop5be31086906cf_cropped.gif?f=community)
/u/35508/crop61e6aa7b579e2_cropped.png?f=community)
:strip_icc():strip_exif()/u/655387/crop61f7a5bca3e6c_cropped.jpg?f=community)
:strip_icc():strip_exif()/u/38800/i_m_weasel-char.jpg?f=community)
:strip_icc():strip_exif()/u/168028/metal-fox-2.jpg?f=community)
/u/98736/crop57f5f8979fbe3_cropped.png?f=community)
:strip_icc():strip_exif()/u/245721/i2.jpg?f=community)
/u/1160822/crop60faafb83b64a_cropped.png?f=community)