[MikroTik-apparatuur] Ervaringen & Discussie

[lolgast]

DutchITMaster schreef op vrijdag 26 november 2021 @ 14:07:
Gewoon een goede drop op de forward en input chain zetten. Dan is hij al op 80 procent.
Daarna gewoon kijken wat je wel toestaat.

Ik hou zelf niet zo van regels als "if there is a port forward then its fine"
Ik defineer alles zelf , firewall to host > pfw to host. Dan kan er niets misgaan

Dat snap ik, maar dat werkt natuurlijk niet voor poorten zoals 443 en bijvoorbeeld 500/1701/4500. Want áls die openstaan moet dat doorgaans vanaf het hele internet

[sOid]

lolgast schreef op vrijdag 26 november 2021 @ 14:01:
@sOid Gokje:

/interface pptp-server server set enabled=no

Heb ik inderdaad gedaan. Nu krijg ik dit.

/interface pptp-server server print 

            enabled: no

            max-mtu: 1450

            max-mru: 1450

               mrru: disabled

     authentication: mschap1,mschap2

  keepalive-timeout: 30

    default-profile: default-encryption

Daarnaast heb ik dit gedaan:

/ip firewall filter add chain=input protocol=gre action=drop

DutchITMaster schreef op vrijdag 26 november 2021 @ 14:03:
Allow Untracked?

add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked

Die is nieuw voor mij

Ik moet bekennen dat dit mijn kennis ook te boven gaat. Toen ik m'n Mikrotik een jaar terug ging configureren kwam ik het een en ander tegen aan firewall-regels. Toen ook nog hier laten checken. Zou dit eruit moeten?

lolgast schreef op vrijdag 26 november 2021 @ 14:05:
[...]

Telefoon met 4G? Tenminste, dat is wat ik zou doen haha

Ja, hotspot op iPad van het werk (Nog telefoontjes tussendoor dus reactie duurde wat langer.)

[sOid]

Maar heren, moet ik me hier zorgen om maken? Zat er net inderdaad iemand in mijn netwerk? Het voelt heel creepy (weet ik meteen hoe dat voelt...). Of interpreteer ik het verkeerd?


Vraag me af welke stappen ik nu moet ondernemen. Sowieso virusscan overal (draait al op m'n Syno, dat is nu eigenlijk het belangrijkste qua vertrouwelijke data.)

[Thralas]

sOid schreef op vrijdag 26 november 2021 @ 13:57:
Hierbij.

Je hebt firewall rules om wel drie verschillende VPN-protocollen door te laten.

PPTP en SSTP kunnen er sowieso uit (de bijbehorende server daarna ook uitzetten). Als je L2TP/IPsec daadwerkelijk gebruik kun je dat aan laten, anders kunnen alle regels weg.

code:

add action=accept chain=input comment="allow IPsec NAT" dst-port=4500 protocol=udp
add action=accept chain=input comment="allow IKE" dst-port=500 protocol=udp
add action=accept chain=input comment="allow l2tp" dst-port=1701 protocol=udp
add action=accept chain=input comment="allow pptp" dst-port=1723 protocol=tcp
add action=accept chain=input comment="allow sstp" dst-port=443 protocol=tcp

---

Vaenir schreef op vrijdag 26 november 2021 @ 13:21:
Ik hoop dat iemand mij hier kan helpen. Ik probeer een Wireguard verbinding op te zetten naar mijn Unraid server welke eigenlijk zo goed als werkt. Echter krijg ik het niet voor elkaar om de Docker containers te benaderen waarbij ik zelf een ip adres heb toegewezen.

Welke IP (range) probeer je te benaderen?

Daarnaast: in je diagram staat ook een aantal VLANs. Het is me niet duidelijk hoe je dat exact hebt ingericht en in hoeverre de IPs die je probeert de benaderen daar thuishoren.

Even voor de duidelijkheid alles werkt perfect op mijn interne netwerk. Het gaat nu puur wanneer ik buiten mijn netwerk een verbinding opzet via wireguard naar mijn server. Ik las iets over het instellen van een "next hop" of kom ik weg met een simpele firewall rule? Dit gaat mijn kennis net te boven.

Je mist waarschijnlijk ergens een route.

Probeer vanaf de Wireguard verbonden client en vanuit een docker container eens over en weer te pingen of tracerouten. Of op tussenliggende hops. Vaak geeft dat al een goed inzicht in waar het ongeveer misgaat.

Als je NAT/MASQUERADE-achtige regels op je MikroTik gebruikt (dat hoeft niet persee, en zou ik ook niet doen als het niet noodzakelijk is), dan kan het ook wel nuttig zijn om daar een export van te posten.

[mbovenka]

sOid schreef op vrijdag 26 november 2021 @ 14:54:
Maar heren, moet ik me hier zorgen om maken? Zat er net inderdaad iemand in mijn netwerk? Het voelt heel creepy (weet ik meteen hoe dat voelt...). Of interpreteer ik het verkeerd?

Die regels geven aan dat er iemand geprobeerd heeft om via PPTP en user 'admin' geprobeerd heeft binnen te komen, maar dat dat niet gelukt is. Dus nee, er zat niemand op je netwerk.

[sOid]

mbovenka schreef op vrijdag 26 november 2021 @ 15:00:
[...]


Die regels geven aan dat er iemand geprobeerd heeft om via PPTP en user 'admin' geprobeerd heeft binnen te komen, maar dat dat niet gelukt is. Dus nee, er zat niemand op je netwerk.

Die error begrijp ik, maar ik bedoelde die daaronder. "Connection established from <ip-adres uit panama>". Hoe moet ik dat interpreteren?

Thralas schreef op vrijdag 26 november 2021 @ 14:57:
[...]


Je hebt firewall rules om wel drie verschillende VPN-protocollen door te laten.

PPTP en SSTP kunnen er sowieso uit (de bijbehorende server daarna ook uitzetten). Als je L2TP/IPsec daadwerkelijk gebruik kun je dat aan laten, anders kunnen alle regels weg.

code:

add action=accept chain=input comment="allow IPsec NAT" dst-port=4500 protocol=udp
add action=accept chain=input comment="allow IKE" dst-port=500 protocol=udp
add action=accept chain=input comment="allow l2tp" dst-port=1701 protocol=udp
add action=accept chain=input comment="allow pptp" dst-port=1723 protocol=tcp
add action=accept chain=input comment="allow sstp" dst-port=443 protocol=tcp

Goeie, ga ik opschonen.

[Thralas]

sOid schreef op vrijdag 26 november 2021 @ 14:54:
Maar heren, moet ik me hier zorgen om maken? Zat er net inderdaad iemand in mijn netwerk? Het voelt heel creepy (weet ik meteen hoe dat voelt...). Of interpreteer ik het verkeerd?

Je interpreteert het verkeerd. PPTP gebruikt poort 1723, die melding zegt niet meer dan dat iemand (vanaf het internet) een verbinding heeft opgezet. Dan heeft er nog geen authenticatie plaatsgevonden.

Dat gebeurt continu en is geen enkel probleem zolang ze het wachtwoord niet raden.

En wat dat betreft heb ik goed nieuws: volgens je config stonden PPTP en SSTP aan en gebruikten ze beide als profile voor authenticatie default-encryption.

Maar:

code:

/ppp secret
add disabled=yes name=vpn
add disabled=yes name=Hide profile=default-encryption

Beide ppp secrets zijn disabled. Als dit altijd zo al was, kon er sowieso nooit iemand een wachtwoord raden (PPTP noch SSTP).

Ik moet bekennen dat dit mijn kennis ook te boven gaat. Toen ik m'n Mikrotik een jaar terug ging configureren kwam ik het een en ander tegen aan firewall-regels. Toen ook nog hier laten checken. Zou dit eruit moeten?

Nee, die untracked is gewoon onderdeel van de default ruleset en prima zo. Zie dit antwoord op Stack Overflow voor de betekenis.

Kort gezegd: heeft in de praktijk geen functie. Alleen van toepassing als je bepaalde flows expliciet uitsluit van connection tracking.

[ Voor 25% gewijzigd door Thralas op 26-11-2021 15:16 ]

[DutchITMaster]

lolgast schreef op vrijdag 26 november 2021 @ 14:34:
[...]

Dat snap ik, maar dat werkt natuurlijk niet voor poorten zoals 443 en bijvoorbeeld 500/1701/4500. Want áls die openstaan moet dat doorgaans vanaf het hele internet

Dat doe je dan toch ook bewust. Dan is het ook niet als een bus van links als je daar een dictionairy attack op ontvangt.

Maar ook daar zijn oplossingen voor, een blacklist na de nodige hits, gewoon voor 48 uur op de blacklist.
Daarna gooi je dat verkeer al weg in de RAW firewall ( dan is het al geblocked voor het uberhaubt je software firewall raakt. )

Daarnaast kan je jezelf nog wapenen door bij voorbaat al wat adreslijsten met gure iptjes te blokeren. En eventueel een Geoblock script toe te passen en zo al de nodige landen uit te sluiten.

als je er een beetje liefde in stopt krijg je al flink wat schoon verkeer

[mbovenka]

sOid schreef op vrijdag 26 november 2021 @ 15:02:
Die error begrijp ik, maar ik bedoelde die daaronder. "Connection established from <ip-adres uit panama>". Hoe moet ik dat interpreteren?

Die horen bij elkaar (TCP connectie naar de PPTP poort + login poging met user 'admin').

[sOid]

Thralas schreef op vrijdag 26 november 2021 @ 15:02:
[...]


Je interpreteert het verkeerd. PPTP gebruikt poort 1723, die melding zegt niet meer dan dat iemand (vanaf het internet) een verbinding heeft opgezet. Dan heeft er nog geen authenticatie plaatsgevonden.

Dat gebeurt continu en is geen enkel probleem zolang ze het wachtwoord niet raden.

En wat dat betreft heb ik goed nieuws: volgens je config stonden PPTP en SSTP aan en gebruikten ze beide als profile voor authenticatie default-encryption.

Maar:

code:

/ppp secret
add disabled=yes name=vpn
add disabled=yes name=Hide profile=default-encryption

Beide ppp secrets zijn disabled. Als dit altijd zo al was, kon er sowieso nooit iemand een wachtwoord raden (PPTP noch SSTP).

Ok! Was deels altijd zo. name=vpn was inderdaad disabled, name=Hide (in het echt een andere naam) stond wel ingeschakeld. Maar het bijbehorende wachtwoord is onmogelijk te bruteforcen (diceware-achtig password). Username is ook niet gemakkelijk.

[...]


Nee, die untracked is gewoon onderdeel van de default ruleset en prima zo. Zie dit antwoord op Stack Overflow voor de betekenis.

Kort gezegd: heeft in de praktijk geen functie. Alleen van toepassing als je bepaalde flows expliciet uitsluit van connection tracking.

Dank voor de link, ga ik lezen!

mbovenka schreef op vrijdag 26 november 2021 @ 15:15:
[...]


Die horen bij elkaar (TCP connectie naar de PPTP poort + login poging met user 'admin').

Ah op die fiets. Makes sense!

---

Is de conclusie dan: PPTP-server was het probleem niet, maar Windowsbak op 192.168.1.199 is waarschijnlijk geïnfecteerd? (Zie eerste post.)

[sOid]

DutchITMaster schreef op vrijdag 26 november 2021 @ 15:13:
[...]

Dat doe je dan toch ook bewust. Dan is het ook niet als een bus van links als je daar een dictionairy attack op ontvangt.

Maar ook daar zijn oplossingen voor, een blacklist na de nodige hits, gewoon voor 48 uur op de blacklist.
Daarna gooi je dat verkeer al weg in de RAW firewall ( dan is het al geblocked voor het uberhaubt je software firewall raakt. )

Daarnaast kan je jezelf nog wapenen door bij voorbaat al wat adreslijsten met gure iptjes te blokeren. En eventueel een Geoblock script toe te passen en zo al de nodige landen uit te sluiten.

als je er een beetje liefde in stopt krijg je al flink wat schoon verkeer

Geoblock zou ik graag willen op m'n Mikrotik. In het kader van better safe than sorry. Op de Ubuntu-machines en Synology heb ik dat al wel ingesteld. Is dat eenvoudig toe te voegen bij Mikrotik? Idem met IP-blacklist na x-foutieve inlogpogingen.

[nero355]

DRAFTER86 schreef op vrijdag 26 november 2021 @ 09:46:
Kan iemand mij kort uitleggen wat er zo tof is aan BGP? (oprechte interesse)
En waarom je een router met 16 cores zou willen?

Naast de eerdere uitleg : Ook vreselijk handig als je zo'n MikroTik Router in een Datacenter neerzet in je eigen rack of co-located!

sOid schreef op vrijdag 26 november 2021 @ 12:30:
SSH en FTP staan namelijk ook dicht voor de buitenwereld. Dacht dat het niet zo veel kwaad kon om open te zetten op LAN...

Waarom heb je geen apart Management VLAN

sOid schreef op vrijdag 26 november 2021 @ 12:36:
Verder in netwerk: Pi-Hole met Ubuntu

De meeste apparaten hebben een statisch IP, maar PC, MacBook en iOS-devices niet.

Ik geef altijd alle apparaten een Static DHCP Mapping en een DNS naampje in Pi-Hole

Naast de "Server-achtigen" die uiteraard een Static IP hebben!

[DutchITMaster]

Ja das wel makkelijk , maar ik zit momenteel in een meeting

[Thralas]

sOid schreef op vrijdag 26 november 2021 @ 15:22:
Is de conclusie dan: PPTP-server was het probleem niet, maar Windowsbak op 192.168.1.199 is waarschijnlijk geïnfecteerd? (Zie eerste post.)

Ja. Goed om daar onderscheid in te blijven maken, je hebt last van twee problemen: een geïnfecteerde machine in je eigen netwerk, en allerlei inlogpogingen omdat zaken óók nog voor het hele internet bereikbaar waren terwijl dat niet strikt noodzakelijk was.

Dat laaste is nu in ieder geval verholpen.

Geoblock zou ik graag willen op m'n Mikrotik. In het kader van better safe than sorry. Op de Ubuntu-machines en Synology heb ik dat al wel ingesteld. Is dat eenvoudig toe te voegen bij Mikrotik? Idem met IP-blacklist na x-foutieve inlogpogingen.

Ik ben persoonlijk geen fan van dat soort maatregelen, en wel om het feit dat het nooit een degelijke securitymaatregel is (net als poortnummers aanpassen), maar een lapmiddel om je logs schoon te houden.

Beveiliging regel je beter door zaken in eerste instantie niet open te zetten voor de buitenwereld en als enige toegangspunt een VPN toe te laten.

Voordeel van een (degelijke) VPN is dat het gebruikmaakt van sleutels ipv. wachtwoorden: de kans dat iemand je sleutel raadt is nihil. Als bijkomstigheid heb je ook geen last van vele logregels door bots die wachtwoorden proberen te raden van je VPN, want dat kan niet.

Thuisgebruikers zouden géén publiek bereikbare services moeten draaien. Als IT'er regel je maar een VPN of whitelist je heel specifiek ranges als het echt niet anders kan.

De simpele thuisgebruiker met een NAS die zichzelf naar het internet portmapt is eens in de zoveel tijd het haasje, fact of life:

nieuws: QNAP dicht ernstige kwetsbaarheden in software voor nas-systemen
nieuws: Synology waarschuwt voor malware die nas-apparaten infecteert

[nero355]

Thralas schreef op vrijdag 26 november 2021 @ 16:19:
Thuisgebruikers zouden géén publiek bereikbare services moeten draaien.

De simpele thuisgebruiker met een NAS die zichzelf naar het internet portmapt is eens in de zoveel tijd het haasje, fact of life:

nieuws: QNAP dicht ernstige kwetsbaarheden in software voor nas-systemen
nieuws: Synology waarschuwt voor malware die nas-apparaten infecteert

Breng de ISP's nou niet op rare ideeën!

Ik kan me nog goed herinneren hoeveel ellende het was als je destijds ZonNet als ISP had en een Allied Data Router die je eerst moest hacken/cracken om wat poortjes door te kunnen mappen...

[DJSmiley]

nero355 schreef op vrijdag 26 november 2021 @ 16:24:
[...]

Breng de ISP's nou niet op rare ideeën!

Ik kan me nog goed herinneren hoeveel ellende het was als je destijds ZonNet als ISP had en een Allied Data Router die je eerst moest hacken/cracken om wat poortjes door te kunnen mappen...

Idd.. been there, done that. Ik heb toen op de 823 van Demon nog uitgevogeld (Samen met anderen) hoe je dat ding als router kon laten fungeren (Staat zelfs nog online: https://www.djsmiley.com/cj823/cj823_1.htm )

[ Voor 6% gewijzigd door DJSmiley op 26-11-2021 16:51 ]

[Jef61]

Ik wil graag weten hoe de config eruit ziet om 'vlans in the bridge' in te stellen.
Dit is de derde methode hier beschreven:
https://mum.mikrotik.com/...ation_6723_1554716964.pdf

Om dit te testen heb ik een RB960PGS van de plank genomen (= de router) en alleen de noodzakelijke config ingebracht, dus GEEN nat, firewallrules, wan port enz. Ik weet dat dit geen volledige config is maar dat is voor mijn doel (nog) niet nodig. Het enige wat ik wil is een IP-nummer krijgen op poort 3 en kunnen pingen naar 192.168.30.1, verder helemaal niets.

Volgens de voorbeelden heb ik het volgende ingesteld (RB960PGS met een QCA8337 switch-chip):

code:

/interface bridge
add name=bridge1 vlan-filtering=yes

/interface bridge port
add bridge=bridge1 interface=ether1
add bridge=bridge1 interface=ether2 pvid=20
add bridge=bridge1 interface=ether3 pvid=30

/interface bridge vlan
add bridge=bridge1 tagged=ether1 untagged=ether2 vlan-ids=20
add bridge=bridge1 tagged=ether1 untagged=ether3 vlan-ids=30

/interface vlan
add interface=bridge1 name=vlan30 vlan-id=30

/ip address
add address=192.168.30.1/24 interface=vlan30 network=192.168.30.0

/ip dhcp-server network
add address=192.168.30.0/24 dns-server=8.8.8.8 gateway=192.168.30.1

/ip dhcp-server
add address-pool=pool30 disabled=no interface=vlan30 name=dhcp30

/ip pool
add name=pool30 ranges=192.168.30.10-192.168.30.200

Ether1 is de tagged poort (trunk) en ether2 en 3 untagged (access poort).
Zoals al vermeld, het enige wat ik wil is een IP-nummer krijgen van de DHCP-server, verder (nog) niets.
Maar... helaas werkt het niet. (als ik een statisch IP-nummer op de laptop inbreng (bv 192.168.30.2/24) kan ik ook niet pingen naar 192.168.30.1).

Doe ik iets verkeerd of vergeet ik iets? Of kan dit helemaal niet werken met deze hardware?

[ Voor 33% gewijzigd door Jef61 op 28-11-2021 10:06 ]

[lier]

Waarom wil je op een switch een DHCP server draaien?
Heb je ook op je router VLAN's ingesteld (want anders heb je er niets aan)?

Overigens kan je deze switch beter niet via de bridge laten filteren, dat kost heel veel CPU. Kijk naar deze link:
https://wiki.mikrotik.com...Trunk_and_Access_Ports.29

[ Voor 46% gewijzigd door lier op 27-11-2021 22:49 ]

[Theone098]

lier schreef op zaterdag 27 november 2021 @ 22:45:
Waarom wil je op een switch een DHCP server draaien?
Heb je ook op je router VLAN's ingesteld (want anders heb je er niets aan)?

Overigens kan je deze switch beter niet via de bridge laten filteren, dat kost heel veel CPU. Kijk naar deze link:
https://wiki.mikrotik.com...Trunk_and_Access_Ports.29

Ik val er midden in maar….. vlans kan op laag 2 en 3. De eerste is switching, de tweede routering en daar heb je een router voor nodig.

[lier]

Theone098 schreef op zaterdag 27 november 2021 @ 22:54:
Ik val er midden in maar….. vlans kan op laag 2 en 3. De eerste is switching, de tweede routering en daar heb je een router voor nodig.

Zolang je MikroTik RouterOS draait kan je hem ook laten routeren. Maar dan wordt (zoals ik zei) de CPU belast en is de performance echt dramatisch (denk aan 100% CPU belasting bij een throughput van 250Mbps).

[Jef61]

Oké zie dat mijn vraag wat verwarring veroorzaakt:
Ik bedoel dat ik de vlans (in het prima werkende netwerk) op 'switch-chip' niveau heb ingesteld.
/interface ethernet switch vlan
(Maar daar ging de vraag dus verder niet over, heb de vraag aangepast.)

[ Voor 3% gewijzigd door Jef61 op 27-11-2021 23:27 ]

[Jef61]

lier schreef op zaterdag 27 november 2021 @ 22:45:
Waarom wil je op een switch een DHCP server draaien?
Heb je ook op je router VLAN's ingesteld (want anders heb je er niets aan)?

Overigens kan je deze switch beter niet via de bridge laten filteren, dat kost heel veel CPU. Kijk naar deze link:
https://wiki.mikrotik.com...Trunk_and_Access_Ports.29

De link die je geeft beschrijft inderdaad hoe ik de vlans in mijn werkende netwerk heb.

Maar voor mijn begrip (niet dat ik dit perse ga gebruiken) zou ik ook willen weten hoe de config eruit ziet als de vlans op 'bridge' niveau' zijn ingesteld.
Ik heb deze beschrijving bekeken waar de 3 methodes worden besproken:
https://mum.mikrotik.com/...ation_6723_1554716964.pdf

[lier]

Dit is wat mij betreft de beste tutorial die je kan gebruiken, @Jef61 :
https://forum.mikrotik.com/viewtopic.php?t=143620

Zou je nog antwoord willen geven op mijn vragen? Want het is handig om context te krijgen om je vragen (en uiteindelijk je probleem) te begrijpen.

[lolgast]

lier schreef op zondag 28 november 2021 @ 08:37:
Dit is wat mij betreft de beste tutorial die je kan gebruiken, @Jef61 :
https://forum.mikrotik.com/viewtopic.php?t=143620

Zou je nog antwoord willen geven op mijn vragen? Want het is handig om context te krijgen om je vragen (en uiteindelijk je probleem) te begrijpen.

Die heb ik inderdaad ook gebruikt om het te leren begrijpen. Zeker omdat ik met Unifi switches en AP’s hybride poorten ‘moet’ gebruiken en daar kwam ik echt niet uit met alleen de wiki van Mikrotik

[Theone098]

lolgast schreef op zondag 28 november 2021 @ 08:49:
[...]

Die heb ik inderdaad ook gebruikt om het te leren begrijpen. Zeker omdat ik met Unifi switches en AP’s hybride poorten ‘moet’ gebruiken en daar kwam ik echt niet uit met alleen de wiki van Mikrotik

Zelfs binnen het ecosysteem van mikrotik is het afhankelijk welke hardware je gebruikt. De CRS3 werkt anders dan mijn CRS226-en. Maar het werkt wel als je het eenmaal in de gaten hebt.

[Jef61]

lier schreef op zondag 28 november 2021 @ 08:37:
Dit is wat mij betreft de beste tutorial die je kan gebruiken, @Jef61 :
https://forum.mikrotik.com/viewtopic.php?t=143620

Zou je nog antwoord willen geven op mijn vragen? Want het is handig om context te krijgen om je vragen (en uiteindelijk je probleem) te begrijpen.

Ik heb mijn start post aangepast, hopelijk zijn je vragen daarmee beantwoord en is het duidelijker wat ik aan het doen ben. Het is dus meer een concept dingetje wat ik probeer na te bouwen, geen volledig werkend netwerk.

[lier]

Volgens mij volstaat een "frame-types=admit-only-untagged-and-priority-tagged" en "ingress-fltering=yes" op je port op de bridge. Verder lijkt het goed te zijn (wat ik zo zie).

Zie ook het voorbeeld:
https://forum.mikrotik.com/viewtopic.php?t=143620#p706998

[ Voor 26% gewijzigd door lier op 28-11-2021 10:33 ]

[Jef61]

Oké, de config aangepast:

code:

/interface bridge
add frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes name=bridge1 vlan-filtering=yes

Verder nog vergeleken met de config in de link.
Helaas nog niet werkende..

[Thralas]

Je hebt de bridge zelf niet toegevoegd als tagged port. Ik vermoed dat dat je probleem is. Zie Tagged access with VLAN filtering

Verder: die untagged specifiers kun je wel opgeven, maar dat hoeft in principe ook niet. Als het goed is worden die vanzelf toegevoegd adhv. het pvid van de poort. Je kunt dit goed zien in de tabel waar hij laat zien welke vlans op welke ports actief zijn (ben even kwijt hoe deze heet).

[Jef61]

Thralas schreef op zondag 28 november 2021 @ 11:15:
Je hebt de bridge zelf niet toegevoegd als tagged port. Ik vermoed dat dat je probleem is. Zie Tagged access with VLAN filtering

Verder: die untagged specifiers kun je wel opgeven, maar dat hoeft in principe ook niet. Als het goed is worden die vanzelf toegevoegd adhv. het pvid van de poort. Je kunt dit goed zien in de tabel waar hij laat zien welke vlans op welke ports actief zijn (ben even kwijt hoe deze heet).

Yesss! Dat werkt, idd vergeten bridge1 als tagged port toe te voegen.
Krijg nu een IP-nummer en kan pingen.

Hier kan ik verder mee, bedankt.

[Freez]

Na ruim 10 jaar wil ik mijn CRS125-24G-1S-2HnD gaan vervangen door wat nieuws.
De CRS125 heb ik gebruikt als router en switch, maar hij is eigenlijk iets te langzaam geworden voor hier thuis.

Inmiddels heb ik voor mijn 10Gbit verbindingen en POE een CRS328-24P-4S+ aangeschaft, maar deze is te langzaam om te routeren, dus ik heb hem alleen als switch in gebruik.
Maar nu heb ik dus een nieuwe router nodig die (minimaal) 1 SFP (voor internet) en 1 SFP+ heeft om die met een DAC kabel aan te sluiten op mijn CRS328.

Ik heb als mogelijke vervanger gevonden:
CCR1009-7G-1C-1S+ of CCR2004-16G-2S+

Beide hebben genoeg SFP/SFP+ poorten, maar wel weer erg veel UTP poorten die ik niet direct zal gebruiken ivm de 24 poorts CRS328.

Hebben jullie misschien tips waar ik misschien nog niet aan heb gedacht?
Misschien een router die ik per ongelijk heb overgeslagen in mijn zoektocht?
Of zijn deze misschien een beetje extreem overkill voor 5 vlans die max 1Gbit hoeven te routeren...

[Me_dusa]

Om nog even terug te komen op de vraag wat het stroomverbruik van de RB5009 is: een watt of 7.7. Daarbij is m'n lijn 200/200 en rustig dus hij hoeft niet veel te doen.

[Thralas]

Freez schreef op dinsdag 30 november 2021 @ 20:34:
en 1 SFP+ heeft om die met een DAC kabel aan te sluiten op mijn CRS328.

Heb je niet voldoende aan 1G naar je router, als alle andere devices en uplink toch ook 'maar' 1G hebben?

Hebben jullie misschien tips waar ik misschien nog niet aan heb gedacht?
Misschien een router die ik per ongelijk heb overgeslagen in mijn zoektocht?
Of zijn deze misschien een beetje extreem overkill voor 5 vlans die max 1Gbit hoeven te routeren...

De CCR1009 zou ik absoluut nooit kopen (Tilera, inmiddels achterhaalde architectuur, ook voor MikroTik) en voor beide geldt dat ze nooit tot hun recht komen in een thuisnetwerk qua value for money.

Enige waar ik rekening mee zou houden (en waar je nu mogelijk ook al tegenaan kunt lopen) is dat conversie van 10G <-> 1G dramatische performance kan opleveren door microbursts (Google) icm. de minieme buffers op MikroTik 10G switches.

Misschien is dat laatste minder of geen probleem op de routers met SFP+, maar ik zou het wel goed uitzoeken om teleurstellingen te voorkomen.

Anders: een RB5009 misschien? Dat is het snelste dat je nog een beetje tot z'n recht kunt laten komen.

Me_dusa schreef op dinsdag 30 november 2021 @ 21:11:
Om nog even terug te komen op de vraag wat het stroomverbruik van de RB5009 is: een watt of 7.7. Daarbij is m'n lijn 200/200 en rustig dus hij hoeft niet veel te doen.

Dankjewel! Not great, not terrible either. Acceptabel.

[DRAFTER86]

Thralas schreef op woensdag 1 december 2021 @ 19:14:
[...]

Enige waar ik rekening mee zou houden (en waar je nu mogelijk ook al tegenaan kunt lopen) is dat conversie van 10G <-> 1G dramatische performance kan opleveren door microbursts (Google) icm. de minieme buffers op MikroTik 10G switches.

Misschien is dat laatste minder of geen probleem op de routers met SFP+, maar ik zou het wel goed uitzoeken om teleurstellingen te voorkomen.

Interessant, linkje? Nog niet eerder over gehoord.
Ben hier ook een beetje aan verkennen of mijn hAP AC goed genoeg is als router icm mijn CRS328-24p en een KPN 1Gb fiber link, of dat er toch iets potenters tussen moet.

[Freez]

Thralas schreef op woensdag 1 december 2021 @ 19:14:
[...]


Heb je niet voldoende aan 1G naar je router, als alle andere devices en uplink toch ook 'maar' 1G hebben?


[...]


De CCR1009 zou ik absoluut nooit kopen (Tilera, inmiddels achterhaalde architectuur, ook voor MikroTik) en voor beide geldt dat ze nooit tot hun recht komen in een thuisnetwerk qua value for money.

Enige waar ik rekening mee zou houden (en waar je nu mogelijk ook al tegenaan kunt lopen) is dat conversie van 10G <-> 1G dramatische performance kan opleveren door microbursts (Google) icm. de minieme buffers op MikroTik 10G switches.

Misschien is dat laatste minder of geen probleem op de routers met SFP+, maar ik zou het wel goed uitzoeken om teleurstellingen te voorkomen.

Anders: een RB5009 misschien? Dat is het snelste dat je nog een beetje tot z'n recht kunt laten komen.


[...]


Dankjewel! Not great, not terrible either. Acceptabel.

Ik heb inderdaad ook nog wel even zitten kijken naar een RB5009, dan alles via vlan's over 1 SFP+ interface laten lopen (routeren) en dan de fiber van mijn ISP in de switch zelf doen.
Die routering (isp -> switch (SFP+) -> vlan -> switch (andere SFP+) -> router (RB5009 met trunking) -> na routering weer terug via diezelfde SFP+ naar de switch over een ander vlan.
Het klinkt wel omslachtig op deze manier eigenlijk, maar het kan wel prima werken.

Ik ben nu toevallig eens aan het testen of de Cloud router (CHR) van Mikrotik een zelfde oplossing zou kunnen bieden als een RB router.
Tot nu toe ziet het er goed uit (draai Proxmox als hypervisor).

[Thralas]

DRAFTER86 schreef op woensdag 1 december 2021 @ 21:12:
Interessant, linkje? Nog niet eerder over gehoord.
Ben hier ook een beetje aan verkennen of mijn hAP AC goed genoeg is als router icm mijn CRS328-24p en een KPN 1Gb fiber link, of dat er toch iets potenters tussen moet.

Wat voorbeeldjes:
CRS312-4C+8XG-RM -- Jittery Network Latency During VR Gameplay
Issues with NDI video traffic across CRS354 and CRS312
DJSmiley in "10GbE naar 1GbE benodigde packet buffer berekenen"

Er was ook nog een ander topic hier op Tweakers waar iemand z'n beklag deed over NDI icm. een CRS dat totaal onbruikbaar bleek (kan ik niet vinden).

De bottomline is dat 10G→1G problemen kan opleveren omdat verkeer op de link layer inherent bursty is. Sterk versimpeld: verkeer met een gemiddelde snelheid van 1 Gb/s (of minder) kun je ook versturen met één burst van ~10 Gb/s gemeten over 0,10 s. Als dat niet in de receive buffer van de 1 Gb/s interface past droppen er frames.

Zie ook dit overzichtje van packet buffer sizes van enterprise switches. Die zijn niet voor niets zo groot en véél groter dan die van veel MikroTiks 10G switches.

Misschien dat het iets beter is met de allernieuwste CRS-switches (Marvell Prestera?) maar zeker iets om goed uit te zoeken als je 10G aan 1G wil knopen.

@DRAFTER86 Ik weet niet of je van plan bent van internetsnelheid te wisselen, maar mijn ervaring met een hAP AC is dat het gebrek aan hardware acceleration voor IPv6 problematisch is op hoge snelheden. 500/500 is (en misschien zelfs 1000/1000?) is geen enkel probleem, maar alleen als het IPv4 is.

Voor IPv6 >500/500 heb je echt iets als een RB4011 of RB5009 nodig vrees ik.

Freez schreef op woensdag 1 december 2021 @ 22:12:
Het klinkt wel omslachtig op deze manier eigenlijk, maar het kan wel prima werken.

Dat spaart in ieder geval een (nieuwe) dure SFP+-poort uit, dus zo gek klinkt het niet. Houd wel rekening met bovenstaand relaas over 10G→1G.

[nero355]

Thralas schreef op woensdag 1 december 2021 @ 23:29:
Zie ook dit overzichtje van packet buffer sizes van enterprise switches. Die zijn niet voor niets zo groot en véél groter dan die van veel MikroTiks 10G switches.

Ik heb daar wat over gelezen vele jaren geleden en vroeg me dus echt meteen af of dat wel goed gaat toen deze twee op de markt kwamen :
- pricewatch: MikroTik Cloud Router Switch 305-1G-4S+IN
- pricewatch: MikroTik CRS309-1G-8S+IN

Dat is dus blijkbaar NIET het geval

[sambaloedjek]

v7.1 [testing] is released!

https://forum.mikrotik.com/viewtopic.php?t=180831

[lolgast]

sambaloedjek schreef op donderdag 2 december 2021 @ 17:41:
v7.1 [testing] is released!

https://forum.mikrotik.com/viewtopic.php?t=180831

Gisteren net naar rc7 bijgewerkt Ik heb deze er maar meteen opgezet.

Overigens nu bijna 2 dagen bezig geweest om IPv6 aan de gang te krijgen, en dat wilde maar niet goed werken. Begon echt gigantisch aan mezelf te twijfelen. Bleek ik ooit in AdGuard Home te hebben ingeschakeld dat alle AAAA-request gedropt moesten worden, omdat ik toch geen IPv6 had. Dus ik had geen DNS

offtopic:
Ja ja ja, het is altijd DNS

[sambaloedjek]

Me_dusa schreef op dinsdag 30 november 2021 @ 21:11:
Om nog even terug te komen op de vraag wat het stroomverbruik van de RB5009 is: een watt of 7.7. Daarbij is m'n lijn 200/200 en rustig dus hij hoeft niet veel te doen.

Heb ook een tijdje het stroomgebruik van RB5009 gemeten en kom ook uit tussen de 7.1 (idle) en 9W (load) uit, met 1000/1000 verbinding. Hierbij viel me wel op dat gebruik van ETH1 ongeacht 1Gbps of 2.5Gbps het verbruik direct met >1,5W toeneemt. Dus voor de zuinigen onder ons: laat ETH1 met rust.

[sOid]

nero355 schreef op vrijdag 26 november 2021 @ 15:59:


[...]

Waarom heb je geen apart Management VLAN

Ik ben niet zo bekend met VLAN's. Als in: ik weet wel wat je er mee kan en zie het nut voor bedrijven of organisaties, maar voor thuisgebruik snap ik het nut niet zo. Kun je dat toelichten? Ik kan me nog wel voorstellen dat het handig is als je een hoop IP-camera's hebt om die op een apart VLAN te zetten, bijvoorbeeld.

[...]

Ik geef altijd alle apparaten een Static DHCP Mapping en een DNS naampje in Pi-Hole

Naast de "Server-achtigen" die uiteraard een Static IP hebben!

Ja, dat ga ik nu ook maar doen. Maakt troubleshooten toch wat makkelijker

Thralas schreef op vrijdag 26 november 2021 @ 16:19:

[...]


Ik ben persoonlijk geen fan van dat soort maatregelen, en wel om het feit dat het nooit een degelijke securitymaatregel is (net als poortnummers aanpassen), maar een lapmiddel om je logs schoon te houden.

Beveiliging regel je beter door zaken in eerste instantie niet open te zetten voor de buitenwereld en als enige toegangspunt een VPN toe te laten.

Voordeel van een (degelijke) VPN is dat het gebruikmaakt van sleutels ipv. wachtwoorden: de kans dat iemand je sleutel raadt is nihil. Als bijkomstigheid heb je ook geen last van vele logregels door bots die wachtwoorden proberen te raden van je VPN, want dat kan niet.

Ik begrijp je punt, absoluut. Ik heb ook niet veel open staan voor de buitenwereld: HomeAssistant, Plex (allebei docker) en Synology DSM. Laatstgenoemde heb ik intussen achter een VPN-gestopt (onlangs een Wireguard VPN opgezet via docker, dus die moet ik ook nog aan dat lijstje toevoegen).

Maar HA en Plex via VPN is gewoon niet werkbaar. Ik heb geen zin om iedere keer met mijn telefoon verbinding met VPN te maken zodat ik iets in m'n HA-app kan bekijken, bijvoorbeeld. En Plex deel ik met een zeer beperkt groepje vrienden.

Beiden zitten achter een reverse proxy waardoor ik alleen 80 en 443 (met certificaat) open heb staan. En de poort voor Wireguard. Op HA zit ook 2FA en wordt IP geblokkeerd na 3 foutieve inlogpogingen. In de anderhalf jaar dat ik het zo heb draaien, heb ik alleen mezelf een keer buitengesloten op die manier, verder geen inlogpogingen gehad.

Poorten veranderen is natuurlijk ook niet heilig, maar het kán wel helpen. Ik heb het nu dus achter een reverse proxy draaien, maar als je via shodan op de default HomeAssistant port gaat zoeken (8123 uit m'n hoofd) zie je tig installaties die open zijn voor de buitenwereld. Door ze achter een reverse proxy danwel andere poort te zetten, kun je in ieder geval voorkomen dat na een beveiligingslek kwaadwillenden gemakkelijk jouw kwetsbare installatie kunnen achterhalen.

[sOid]

Ik heb naar aanleiding van m'n eerdere berichten trouwens het een en ander aan extra beveiliging ingesteld. Onder andere deze guide (deels) gevolgd: https://mhelp.pro/mikroti...ecurity-setting/#firewall

Onderdeel van die guide is het aanmaken van een blacklist die automatisch IP-adressen toevoegt als die adressen port scans uitvoeren of een bruteforce proberen te doen. Die adressen blijven dan een aantal uur op de blacklist staan (die van mij 23.59 uur).

Werkt goed, maar... Eigenlijk te goed Als ik via LAN nu de Mikrotik UI benader via een verkeerde poort, wordt mijn LAN-IP aan die lijst toegevoegd. Dat is natuurlijk ontzettend onhandig.

Is het mogelijk om met 'if statements' te werken bij het aanmaken van firewall rules? Dat ik op die manier kan zeggen: als het verkeer van subnet 192.168.1.0/24 komt niet toevoegen aan blacklist?

Wat relevante stukjes uit die guide:

code:

/ip firewall raw add chain=prerouting src-address-list=BlackList   action=drop  comment="Rule #10 \"BlackList\": reject the connection with a device from the Blacklist."

code:

/ip firewall filter add action=add-src-to-address-list address-list=BlackList address-list-timeout=10h chain=input protocol=tcp connection-state=new dst-port=20-25,80,110,161,443,445,3128,3306,3333,3389,7547,8291,8080-8082  comment="Rule #1 \"Block TCP port scanning\": add a device scanning an unused port to BlackList."

code:

/ip firewall filter add chain=input action=drop connection-state=invalid comment="Chain: Input. Rule #1 \"Drop Invalid Packet\": drop packets connection state: invalid."

code:

/ip firewall raw add chain=output content="invalid user name or password" action=add-dst-to-address-list address-list=BlackList address-list-timeout=1h10m comment="Rule #15 \"Bruteforce\": add a device performing unsuccessful authorization to BlackList."

[nero355]

sOid schreef op donderdag 2 december 2021 @ 21:23:
Ik ben niet zo bekend met VLAN's. Als in: ik weet wel wat je er mee kan en zie het nut voor bedrijven of organisaties, maar voor thuisgebruik snap ik het nut niet zo. Kun je dat toelichten?

Het zorgt ervoor dat je een apart VLAN hebt waarin al je netwerkapparatuur bereikbaar is via een webGUI of SSH en in alle andere netwerken dus niet!

Op het moment dat je laten we zeggen in VLAN 10 een Windows PC hebt die besmet wordt dan kan iemand met slechte bedoelingen niet eens proberen om je netwerkapparatuur te kapen/hacken/cracken omdat die in dat VLAN niet eens bereikbaar zijn!

Ik kan me nog wel voorstellen dat het handig is als je een hoop IP-camera's hebt om die op een apart VLAN te zetten, bijvoorbeeld.

Ook een goed voorbeeld inderdaad!

Als die in een apart VLAN zitten dan kan iemand niet effe de PoE kabel van je IP Camera eruit halen en in zijn eigen Router/Laptop/enz. proppen om je hele netwerk te bereiken : Alleen de VLAN waarin de camera's zitten is dan bereikbaar!

Ja, dat ga ik nu ook maar doen. Maakt troubleshooten toch wat makkelijker

Beiden zitten achter een reverse proxy waardoor ik alleen 80 en 443 (met certificaat) open heb staan.

Wat bedoel je daarmee precies ?!

- Alleen via HTTPS bereikbaar ?
- Of daarnaast ook alleen bereikbaar als de browser waarmee de website wordt benadert ook de juiste certificaat aan boord heeft ?

[Thralas]

sOid schreef op donderdag 2 december 2021 @ 21:23:
Ik ben niet zo bekend met VLAN's. Als in: ik weet wel wat je er mee kan en zie het nut voor bedrijven of organisaties, maar voor thuisgebruik snap ik het nut niet zo. Kun je dat toelichten?

Niets mis met een vlan voor thuis als je bijvoorbeeld een gastennetwerk onderhoudt, maar een apart management vlan voegt weinig toe.

De kans dat je malware oploopt zoals in jouw geval bestaat, maar dat is dan niet-zelden op de PC die je het meest gebruikt en die dus logischerwijs ook bij die beheersinterfaces kan. Bovendien: met slechts een handjevol PCs leidt dat af van het hoofdprobleem: malware op je PC zou thuis geen gegeven moeten zijn (dat is anders in een bedrijfsnetwerk).

Maar HA en Plex via VPN is gewoon niet werkbaar. Ik heb geen zin om iedere keer met mijn telefoon verbinding met VPN te maken zodat ik iets in m'n HA-app kan bekijken, bijvoorbeeld.

Met een app als Tasker kun je de WireGuard voorwaardelijk inschakelen (bv. wanneer je niet op je thuis-WiFi zit).

En Plex deel ik met een zeer beperkt groepje vrienden.

Als je kunt whitelisten op IP-niveau dan zou ik dat doen (als het enkel thuisaansluitingen zijn kan dat zelfs met individuele IPs).

Door ze achter een reverse proxy danwel andere poort te zetten, kun je in ieder geval voorkomen dat na een beveiligingslek kwaadwillenden gemakkelijk jouw kwetsbare installatie kunnen achterhalen.

Vooruit, eens - als het echt niet anders kan (dwz. VPN) dan zou dat je inderdaad je redding kunnen zijn.

Onderdeel van die guide is het aanmaken van een blacklist die automatisch IP-adressen toevoegt als die adressen port scans uitvoeren of een bruteforce proberen te doen. Die adressen blijven dan een aantal uur op de blacklist staan (die van mij 23.59 uur).

Twijfelachtig als je het mij vraagt. Hieronder nog wat opmerkingen bij de rules die je aanhaalt als voorbeeld:

code:

/ip firewall raw add chain=prerouting src-address-list=BlackList   action=drop  comment="Rule #10 \"BlackList\": reject the connection with a device from the Blacklist."

Ik vraag me ten zeerste af waarom deze rues in raw staan ipv. filter. Die eerste table is daar niet voor bedoeld.

code:

/ip firewall filter add action=add-src-to-address-list address-list=BlackList address-list-timeout=10h chain=input protocol=tcp connection-state=new dst-port=20-25,80,110,161,443,445,3128,3306,3333,3389,7547,8291,8080-8082  comment="Rule #1 \"Block TCP port scanning\": add a device scanning an unused port to BlackList."

Wat helpt dit? Alle IP-adressen die poorten scannen blokkeren is water naar de zee dragen. Er zijn miljoenen devices om te blokkeren. Als er geen service op die poort draait dan heb je er ook geen last van, omdat het verkeer toch gedropped wordt.

code:

/ip firewall filter add chain=input action=drop connection-state=invalid comment="Chain: Input. Rule #1 \"Drop Invalid Packet\": drop packets connection state: invalid."

Invalid is een connection tracking state die sowieso vrijwel nooit voorkomt en daarnaast al impliciet wegvalt als je de default firewall gebruikt. Overbodig.

code:

/ip firewall raw add chain=output content="invalid user name or password" action=add-dst-to-address-list address-list=BlackList address-list-timeout=1h10m comment="Rule #15 \"Bruteforce\": add a device performing unsuccessful authorization to BlackList."

Deze regel kan écht niet. Hij werkt waarschijnlijk niet eens (want fasttrack) en als 'ie wel zou werken helpt hij je internetsnelheid om zeep (want L7 matching op alles kost heel veel CPU time).

Als kers op de taart: wat zou er gebeuren als ik hier nu een plaatje invoeg met URL http://tweakers.net/?haha=Invalid+user+name+or+password (HSTS buiten beschouwing gelaten).

Is het mogelijk om met 'if statements' te werken bij het aanmaken van firewall rules? Dat ik op die manier kan zeggen: als het verkeer van subnet 192.168.1.0/24 komt niet toevoegen aan blacklist?

Jawel. Als je deze route van blacklists en dubieuze filters echt wilt bewandelen, scope dan de rules zodat ze enkel op je WAN matchen (gebruik de standaard interface list WAN daarvoor) - en als dat niet lukt kun je een rule invoegen boven dat alles die matcht op je LAN en als action RETURN heeft (voor rules die niet in de filter table staan),

[Verwijderd]

sOid schreef op donderdag 2 december 2021 @ 21:23:
[...]

Ik ben niet zo bekend met VLAN's. Als in: ik weet wel wat je er mee kan en zie het nut voor bedrijven of organisaties, maar voor thuisgebruik snap ik het nut niet zo. Kun je dat toelichten? Ik kan me nog wel voorstellen dat het handig is als je een hoop IP-camera's hebt om die op een apart VLAN te zetten, bijvoorbeeld.

Ik heb een hele berg vlan’s in huis 🙈
Vlan-core: nas, dns, access points, switches.
Vlan-local: mijn netwerk met pc’s etc
Vlan-iot: alle uit meuk
Vlan-media: tv’s, smart speakers, ereaders, game consoles
Vlan-customers: klant laptops ivm werk

Voordeel, de firewall zit tussen de vlans in, zo kunnen ze allemaal Udp/53 naar de dna servers doen, kunnen local en customer printen, maar guest kan dus eigenlijk nergens bij, uit is zelfs in snelheid gelimiteerd etc

Enkel nadeel is bijvoorbeeld de hue bridge, koppelen MOET in hetzelfde netwerk gebeuren, daarna via de cloud te benaderen. Maar het meeste laat zich prima door de verschillende netwerken heen loodsen.
Je hebt ook meteen een mooie scheiding in op reeksen, ook voor IPv6. En op je MikroTik kun je nu hele vlan-interfaces als in/out aanwijzen, zodat je minder regels nodig zult hebben om je rules optimaal te houden.

Wel iets complexer in opzet, maar als het eenmaal werkt, is alles netjes gescheiden van elkaar. 👌

[nero355]

Thralas schreef op vrijdag 3 december 2021 @ 13:54:
Niets mis met een vlan voor thuis als je bijvoorbeeld een gastennetwerk onderhoudt, maar een apart management vlan voegt weinig toe.

Elk zichzelf respecterend netwerk heeft iets dergelijks en IMHO is het gewoon een must have als je ook nog eens apparatuur gebruikt die als default een bepaald VLAN en een bepaald subnet heeft waarop het altijd bereikbaar is en dus ook als de boel om wat voor reden dan ook ineens naar de default settings springt!

De kans dat je malware oploopt zoals in jouw geval bestaat, maar dat is dan niet-zelden op de PC die je het meest gebruikt en die dus logischerwijs ook bij die beheersinterfaces kan.

Dat is uiteraard een keuze die je zelf maakt, maar je kan ook gewoon een Raspberry Pi of Intel Atom NUC inzetten als Dedicated Management PCtje

Bovendien: met slechts een handjevol PCs leidt dat af van het hoofdprobleem: malware op je PC zou thuis geen gegeven moeten zijn (dat is anders in een bedrijfsnetwerk).

Dat zal voor iedereen anders zijn : Ik heb volgens mij ondertussen meer dan 50 IP adressen in gebruik verspreid over meerdere VLAN's

Verwijderd schreef op vrijdag 3 december 2021 @ 14:36:
Ik heb een hele berg vlan’s in huis 🙈
Vlan-core: nas, dns, access points, switches.
Vlan-local: mijn netwerk met pc’s etc
Vlan-iot: alle uit meuk
Vlan-media: tv’s, smart speakers, ereaders, game consoles
Vlan-customers: klant laptops ivm werk

Voordeel, de firewall zit tussen de vlans in, zo kunnen ze allemaal Udp/53 naar de dna servers doen, kunnen local en customer printen, maar guest kan dus eigenlijk nergens bij, uit is zelfs in snelheid gelimiteerd etc

Wel iets complexer in opzet, maar als het eenmaal werkt, is alles netjes gescheiden van elkaar. 👌

En zo hoort het!

[Verwijderd]

nero355 schreef op vrijdag 3 december 2021 @ 16:56:
Dat zal voor iedereen anders zijn : Ik heb volgens mij ondertussen meer dan 50 IP adressen in gebruik verspreid over meerdere VLAN's

Oow, 50 valt mee Ik schommel tussen rond de 100. 🙈 Deels door de guest wifi en een hele zwik aan IoT devices
Gelukkig hebben de Zigbee netwerken geen ip adressen

nero355 schreef op vrijdag 3 december 2021 @ 16:56:
En zo hoort het!

Thnx!

[Theone098]

Verwijderd schreef op vrijdag 3 december 2021 @ 18:25:
[...]


Oow, 50 valt mee Ik schommel tussen rond de 100. 🙈 Deels door de guest wifi en een hele zwik aan IoT devices
Gelukkig hebben de Zigbee netwerken geen ip adressen


[...]


Thnx!

Het ging heel hard toen ik voor mijn servers 3 (virtuele) NIC's ging gebruiken: 1 x LAN, 1 X MNGMT en 1 X extern benaderbaar .

[Thasaidon]

Theone098 schreef op maandag 6 december 2021 @ 13:30:
[...]

Het ging heel hard toen ik voor mijn servers 3 (virtuele) NIC's ging gebruiken: 1 x LAN, 1 X MNGMT en 1 X extern benaderbaar .

Niet lullig bedoeld, maar...

Vlans zijn bedoeld voor het scheiden van verkeersstromen, netwerk segmentering, zodat deze elkaar niet in de weg zitten. En ja, je kunt ermee zorgen dat bepaalde netwerk segmenten niet bij anderen kunnen komen.
Zo wil je bv niet dat je iOT devices bij je pc's of laptops kunnen.

Maar als je één apparaat in meerdere vlans hangt is veiligheid in dat geval écht schijnveiligheid.
Als ze bv via de publieke ingang op je server weten binnen te komen, door bv een 0-day, zitten ze ook gelijk op je LAN en MNGMT.

Dat soort servers moet je gewoon in een DMZ plaatsen en zorgen dat deze niet naar andere (interne) netwerken kan.
En de management poort in een ander vlan zetten kan, maar zou ik alleen doen als dit bv een ILO poort is en niet benaderbaar vanuit het OS.

[Theone098]

Thasaidon schreef op maandag 6 december 2021 @ 18:51:
[...]

Niet lullig bedoeld, maar...

Vlans zijn bedoeld voor het scheiden van verkeersstromen, netwerk segmentering, zodat deze elkaar niet in de weg zitten. En ja, je kunt ermee zorgen dat bepaalde netwerk segmenten niet bij anderen kunnen komen.
Zo wil je bv niet dat je iOT devices bij je pc's of laptops kunnen.

Maar als je één apparaat in meerdere vlans hangt is veiligheid in dat geval écht schijnveiligheid.
Als ze bv via de publieke ingang op je server weten binnen te komen, door bv een 0-day, zitten ze ook gelijk op je LAN en MNGMT.

Dat soort servers moet je gewoon in een DMZ plaatsen en zorgen dat deze niet naar andere (interne) netwerken kan.
En de management poort in een ander vlan zetten kan, maar zou ik alleen doen als dit bv een ILO poort is en niet benaderbaar vanuit het OS.

Je hebt gelijk hoor, echter heb ik daarom naast vlans meerdere layers of defense. Nooit vertrouwen op 1 (security) maatregel.
Als jij in mijn management vlan zit, kun je nog niets / niet veel. Zo heeft (bijna) alles 2FA, is encrypt, heeft een ACL, etc.Tenzij daar andere software draait die ook een zero-day heeft. Maar ja, zo kan je alle maatregelen omzeilen.

[orvintax]

Vraagje, ik heb al tijden een NAT rule die alle DNS queries opvangt en doorstuurd naar de door mij gekozen DNS server. Nu heb ik net een secondary DNS server opgezet en vroeg ik mij af of het mogelijk is deze rule zo aan te passen zodat deze ook bereikbaar is?

[Theone098]

orvintax schreef op maandag 6 december 2021 @ 20:43:
Vraagje, ik heb al tijden een NAT rule die alle DNS queries opvangt en doorstuurd naar de door mij gekozen DNS server. Nu heb ik net een secondary DNS server opgezet en vroeg ik mij af of het mogelijk is deze rule zo aan te passen zodat deze ook bereikbaar is?

Een mogelijkheid is om een DNSservers address list aan te maken en de NAT rule aan te passen zodat er geen IP adres staat maar verwijst naar de DNSservers address list.

[ Voor 3% gewijzigd door Theone098 op 06-12-2021 20:54 . Reden: verduidelijkt.... hoop ik ]

[Verwijderd]

Theone098 schreef op maandag 6 december 2021 @ 20:50:
[...]

Een mogelijkheid is om een address list aan te maken en de NAT rule aan te passen zodat er geen IP adres staat maar een address list.

Duh...als action van een adress-list?

Wat je doen is een Nth/PCC in Mangle en dan de een Connection-mark zetten. Dan kunt je verdelen over de twee DNS servers in Nat.

[Theone098]

Verwijderd schreef op maandag 6 december 2021 @ 20:55:
[...]

Duh...als action van een adress-list?

Wat je doen is een Nth/PCC in Mangle en dan de een Connection-mark zetten. Dan kunt je verdelen over de twee DNS servers in Nat.

Ja, dat kan ook, is iets moeiljker. Maar snap je Duh... niet goed.

Firewall address lists allow a user to create lists of IP addresses grouped together under a common name. Firewall filter, mangle and NAT facilities can then use those address lists to match packets against them.

https://wiki.mikrotik.com...:IP/Firewall/Address_list

[Verwijderd]

De duh, omdat er staat "alle DNS queries opvangt en doorstuurd" Je weet niet welke DNS server de spionage APP gebruik om naar huis te bellen.

Ik heb dezelfde opstelling van een eigen DNS server.

[babbelbox]

Maar als je alle DNS queries opvangt, kan je die toch niet dmv NAT naar een groep forwarden. Waar wordt dan beslist waar het pakket heen moet?

[orvintax]

Theone098 schreef op maandag 6 december 2021 @ 20:50:
[...]

Een mogelijkheid is om een DNSservers address list aan te maken en de NAT rule aan te passen zodat er geen IP adres staat maar verwijst naar de DNSservers address list.

Aha, klinkt logisch maar ik heb dezelfde vraag die @babbelbox heeft. Hoe word er bepaald welk IP adres welk pakketje krijgt?

De duh, omdat er staat "alle DNS queries opvangt en doorstuurd" Je weet niet welke DNS server de spionage APP gebruik om naar huis te bellen.

Ik heb zelf ook geen flauw idee wat je hier mee bedoeld?

[Verwijderd]

Je markeert het verkeer voordat het Nat bereikt. De mark kan dan zijn dns-1 en dns-2 bijvoorbeeld.

Schreef ik spionage...kan dat mij niet herinneren....in ieder geval niet actief. ;-)

[Theone098]

Verwijderd schreef op maandag 6 december 2021 @ 21:11:
De duh, omdat er staat "alle DNS queries opvangt en doorstuurd" Je weet niet welke DNS server de spionage APP gebruik om naar huis te bellen.

Ik heb dezelfde opstelling van een eigen DNS server.

Hier schrijf je spionage app.

Maar goed, ik denk dat je mij niet begrijpt. Ik had (gebruik geen MT router meer) regels die dns verkeer markeerde. Die vergeleek ik met een address list om te kijken of deze naar mijn dns servers gingen. Zo niet, werd het genat naar mijn address list waardoor de verzender dacht met zijn eigen dns server te babbelen. Dat bedoel jij toch ook?

Of je markeert dns verkeer en stuurt dat gewoon door naar jouw dns servers. Maar dan gebruik je volgens mij geen NAT.

[ Voor 8% gewijzigd door Theone098 op 06-12-2021 22:13 ]

[Theone098]

babbelbox schreef op maandag 6 december 2021 @ 21:49:
Maar als je alle DNS queries opvangt, kan je die toch niet dmv NAT naar een groep forwarden. Waar wordt dan beslist waar het pakket heen moet?

Nee, je zult iets moeten doen met static routes of FW rules, scripten als je redundantie wilt. Anders kan je het ook via dhcp doen (bijvoorbeeld). Er zijn vele manieren om dit te doen.

[ Voor 16% gewijzigd door Theone098 op 06-12-2021 22:25 ]

[nero355]

orvintax schreef op maandag 6 december 2021 @ 20:43:
Vraagje, ik heb al tijden een NAT rule die alle DNS queries opvangt en doorstuurd naar de door mij gekozen DNS server. Nu heb ik net een secondary DNS server opgezet en vroeg ik mij af of het mogelijk is deze rule zo aan te passen zodat deze ook bereikbaar is?

Je kan van die twee ook een VRRP setje maken en dan hoef je maar één IP in je Firewall/NAT Rules op te nemen i.p.v. twee!

[Theone098]

nero355 schreef op maandag 6 december 2021 @ 22:51:
[...]

Je kan van die twee ook een VRRP setje maken en dan hoef je maar één IP in je Firewall/NAT Rules op te nemen i.p.v. twee!

Die moest ik even googlen 😊 maar dat kan ook.

[orvintax]

nero355 schreef op maandag 6 december 2021 @ 22:51:
[...]

Je kan van die twee ook een VRRP setje maken en dan hoef je maar één IP in je Firewall/NAT Rules op te nemen i.p.v. twee!

Heb hier naar gekeken maar zie niet hoe ik dit moet doen. Ze zitten ook niet beide op hun eigen interface.

[Verwijderd]

Theone098 schreef op maandag 6 december 2021 @ 22:09:
[...]

Hier schrijf je spionage app.

Maar goed, ik denk dat je mij niet begrijpt. Ik had (gebruik geen MT router meer) regels die dns verkeer markeerde. Die vergeleek ik met een address list om te kijken of deze naar mijn dns servers gingen. Zo niet, werd het genat naar mijn address list waardoor de verzender dacht met zijn eigen dns server te babbelen. Dat bedoel jij toch ook?

Of je markeert dns verkeer en stuurt dat gewoon door naar jouw dns servers. Maar dan gebruik je volgens mij geen NAT.

Als de DNS in hetzelfde subnet zit als de client, dan komt dat DNS verkeer niet eens de router in en gaat direct naar de DNS server.
Ik Nat dus daarom al het DNS verkeer wat de router inkomt naar de DNS server in het subnet. Dat is dan een DST Nat en bijvoorbeeld Google APP denkt dan dat 8.8.8.8 of 4.4.4.4 het antwoord geeft maar in feite is het mijn eigen server.

Address-list gebruik ik wel voor uitgaand verkeer van de DNS server(s) en dan op SRC address want anders krijgt die zijn eigen resolve aanvragen weer net zo hard terug.

[Verwijderd]

Routing kan niet zien of iets het DNS verkeer is. Het ziet allen IP adressen. Je kunt ook routing markeren.

Zit jouw DNS in een subnet welk direct te benaderen is door de client dan kun je in DHCP de servers op geven. Bij uitval van één neemt de andere het over na een aantal pogingen.

Bovenstaande maar met afvang externe DNS is NAT en wijs één DNS aan. Bij meer dan markeren en zelfde aantal Nat regels.

DNS extern, dan kun je interne DNS server gebruiken in de router en die resolved dan extern. Of in DHCP staan de twee externe servers.

DNS extern met afvang. Optie twee.

[Theone098]

Prima, jij hebt gelijk. Het is exact hetzelfde wat ik schrijf, maar goed.

[ Voor 55% gewijzigd door Theone098 op 07-12-2021 00:06 ]

[Verwijderd]

Dank je, ik hoop alleen dat orvintax er nog uitkomt.

[Thasaidon]

Theone098 schreef op maandag 6 december 2021 @ 20:31:
[...]

Je hebt gelijk hoor, echter heb ik daarom naast vlans meerdere layers of defense. Nooit vertrouwen op 1 (security) maatregel.
Als jij in mijn management vlan zit, kun je nog niets / niet veel. Zo heeft (bijna) alles 2FA, is encrypt, heeft een ACL, etc.Tenzij daar andere software draait die ook een zero-day heeft. Maar ja, zo kan je alle maatregelen omzeilen.

Over je MGT lan zou ik niet zo inzitten... ik zou me meer zorgen maken over de interface die ook in je LAN zit

Maar je hebt gelijk als je zegt dat je nooit helemaal veilig kunt zijn.

[ Voor 54% gewijzigd door Thasaidon op 07-12-2021 13:14 ]

[Theone098]

Verwijderd schreef op dinsdag 7 december 2021 @ 10:57:
Dank je, ik hoop alleen dat orvintax er nog uitkomt.

Nou, dan zal ik nog 1x opschrijven zoals ik het heb gedaan waarmee ik niet beweer dat dit de heilige graal is.
Al mijn systemen krijgen via DHCP 2 DNS servers toegewezen binnen een LAN. Dit betekent dat als de ene niet bereikbaar is, de client omschakelt naar de andere (met, in ieder geval, vertraging). Om de load enigzins te verdelen hebben sommige subnets DNS server 1 als eerste en DNS server 2 als tweede. En ander subnet heeft DNS server 2 als eerste en DNS server 1 als tweede. Dus load balancing via DHCP en redundant vanwege 2 servers (sort of).

Er zijn altijd clients die niet van mijn DNS servers gebruik willen maken maar een andere publieke DNS server willen gebruiken. Ik noem als voorbeeld Google Chromecast.
Dit DNS verkeer (dat dus naar de router / default gateway wordt verstuurd om te worden gerouteerd) markeer ik daarom en vergelijk ik met een address list, waarin mijn DNS servers staan. Als de DST niet in deze address list staat, routeer ik dat verkeer vervolgens naar mijn DNS servers (m.b.v. NAT).
Mijn eigen DNS server geeft antwoord, eventueel door eerst de query door te sturen naar de door mij opgegeven publieke DNS servers. Door NAT denken deze clients dat zij met de door hen opgegeven server praten (google DNS voor de chromecasts).

*** ik denk dat je het bovenstaande al hebt draaien, m.u.v. de address list ***

Als je twee DNS servers hebt, kun je dus bijvoorbeeld een tweede regel opnemen waarin je een ander (dan regel 1) deel van het DNS verkeer (bijvoorbeeld per subnet, per dst, per src) naartoe stuurt.

Is dit redundant? Nee, want als de ene regel faalt omdat de DNS server down is, dan krijgt de client geen antwoord.

Als je dat wilt, dan ga je over hele andere oplossingen praten. Maar ik zie in je vraag niet dat redundantie of load balancing een vereiste is.

[ Voor 4% gewijzigd door Theone098 op 07-12-2021 15:04 ]

[nero355]

orvintax schreef op maandag 6 december 2021 @ 23:42:
Heb hier naar gekeken maar zie niet hoe ik dit moet doen. Ze zitten ook niet beide op hun eigen interface.

Waar het op neerkomt :
- DNS Server bereikbaar op IP #1
- DNS Server bereikbaar op IP #2
- Dankzij VRRP zijn beiden echter bereikbaar op IP #3
Ook als één van de twee wegvalt!

Zie dit soort topics : https://discourse.pi-hole...-pihole-ive-done-it/12716

Theone098 schreef op dinsdag 7 december 2021 @ 14:58:
Al mijn systemen krijgen via DHCP 2 DNS servers toegewezen binnen een LAN. Dit betekent dat als de ene niet bereikbaar is, de client omschakelt naar de andere (met, in ieder geval, vertraging).

Om de load enigzins te verdelen hebben sommige subnets DNS server 1 als eerste en DNS server 2 als tweede. En ander subnet heeft DNS server 2 als eerste en DNS server 1 als tweede. Dus load balancing via DHCP en redundant vanwege 2 servers (sort of).

Dat is niet hoe DNS werkt!

Beide DNS Servers worden geraadpleegd geheel willekeurig!

Dat de eene server wat meer queries krijgt dan de ander : Kan best!
Maar ze worden dus wel gewoon beiden gebruikt...

[Theone098]

nero355 schreef op dinsdag 7 december 2021 @ 17:02:
[...]

Waar het op neerkomt :
- DNS Server bereikbaar op IP #1
- DNS Server bereikbaar op IP #2
- Dankzij VRRP zijn beiden echter bereikbaar op IP #3
Ook als één van de twee wegvalt!

Zie dit soort topics : https://discourse.pi-hole...-pihole-ive-done-it/12716


[...]

Dat is niet hoe DNS werkt!

Beide DNS Servers worden geraadpleegd geheel willekeurig!

Dat de eene server wat meer queries krijgt dan de ander : Kan best!
Maar ze worden dus wel gewoon beiden gebruikt...

Neem ik meteen van je aan. Toch zie ik dat het niet geheel willekeurig lijkt te zijn en dat clients voorkeur voor de eerste hebben. Maar dat kan ook wishfull thinking zijn, ik heb geen wetenschappelijk onderzoek er naar gedaan .

Thanks voor de link btw. Interessant leesvoer.

[ Voor 3% gewijzigd door Theone098 op 07-12-2021 17:08 ]

[nero355]

Theone098 schreef op dinsdag 7 december 2021 @ 17:06:
Toch zie ik dat het niet geheel willekeurig lijkt te zijn en dat clients voorkeur voor de eerste hebben.

Hence the :

nero355 schreef op dinsdag 7 december 2021 @ 17:02:
Dat de eene server wat meer queries krijgt dan de ander : Kan best!
Maar ze worden dus wel gewoon beiden gebruikt...

Zie ook : https://discourse.pi-hole...y-vs-secondary-dns/1536/2

[Theone098]

En dan te bedenken dat ik al heel lang geen 2 DNS servers meer heb. Ik had 2 linux bind servers, maar had er meer last dan gemak van.

Mijn router is DNS server. Als die het niet doet, is een 2de DNS server ook niet interessant. Maar al heel lang stabiel en zonder issues.

In het geval dat puur het DNS deel uitvalt op de router, heb ik een Linux bind VM in Proxmox als "backup".

[lolgast]

Ik vind het heel raar klinken als mensen zeggen dat ze 2 DNS servers hebben, om die vervolgens afhankelijk te maken van 1 device (een RPi met Keepalive bijvoorbeeld). Het hele idee van 2 DNS servers draaien is toch juist dat er 1 stuk mag? Wat doe je als je Keepalive met floating IP's down is? Dan heb je alsnog niets
Dat soort constructies is in mijn ogen alleen leuk/nuttig als je met NetScalers oid werkt waarbij 1 IP-adres op meerdere devices kan leven en afhankelijk van up/down op 1 van die devices luistert.

Ik heb 2 DNS servers (AdGuard Home) draaien, juist zodat mijn vrouw me niet verlaat als ik 1 in onderhoud heb

@Theone098 Mijn ervaring is ook dat 90% van de devices/software vooral voorkeur heeft voor DNS #1.

In de afgelopen 7 dagen
DNS#1: 215,990 queries
DNS#2: 6,975 queries

[Verwijderd]

nero355 schreef op dinsdag 7 december 2021 @ 17:02:
[...]

Waar het op neerkomt :
- DNS Server bereikbaar op IP #1
- DNS Server bereikbaar op IP #2
- Dankzij VRRP zijn beiden echter bereikbaar op IP #3
Ook als één van de twee wegvalt!

Je laat toch gewoon je DHCP beide servers uitdelen?
Is de ene niet bereikbaar pakt hij de andere vanzelf op!
Klinkt alsof je het ingewikkelder maakt dan nodig is met een VRRP.

Heb er ook 2 draaien met pi-hole, dus kan moeiteloos een pi uitzetten/rebooten.
Daar heb je geen 3e IP voor nodig. (Hoe meer schakels je in de keten zet, hoe meer er stuk kunnen gaan)

[nero355]

lolgast schreef op dinsdag 7 december 2021 @ 21:21:
Ik vind het heel raar klinken als mensen zeggen dat ze 2 DNS servers hebben, om die vervolgens afhankelijk te maken van 1 device (een RPi met Keepalive bijvoorbeeld).

Gelukkig zeg ik dat dan ook niet : Je moet uiteraard wel twee aparte Raspberry Pi's of Intel Atom NUC's of zo ervoor gebruiken!

Het hele idee van 2 DNS servers draaien is toch juist dat er 1 stuk mag? Wat doe je als je Keepalive met floating IP's down is? Dan heb je alsnog niets

Als die op beide apparaten crashed dan heb je waarschijnlijk wel grotere problemen in huis...

Dat soort constructies is in mijn ogen alleen leuk/nuttig als je met NetScalers oid werkt waarbij 1 IP-adres op meerdere devices kan leven en afhankelijk van up/down op 1 van die devices luistert.

Routers kunnen het ook natuurlijk!

Ik heb 2 DNS servers (AdGuard Home) draaien, juist zodat mijn vrouw me niet verlaat als ik 1 in onderhoud heb

Dus toch een beetje overkill bezig thuis

@Theone098 Mijn ervaring is ook dat 90% van de devices/software vooral voorkeur heeft voor DNS #1.

In de afgelopen 7 dagen
DNS#1: 215,990 queries
DNS#2: 6,975 queries

Dat kan dus best zo zijn en is ook deels van de Clients afhankelijk, maar wat mensen dus heel vaak fout doen :
DNS #1 : Je favoriete anti-ads systeem.
DNS #2 : Een Google DNS Server of die van hun ISP

En dan maar zich afvragen waarom er toch af en toe ads te zien zijn!

Verwijderd schreef op dinsdag 7 december 2021 @ 22:31:


Je laat toch gewoon je DHCP beide servers uitdelen?
Is de ene niet bereikbaar pakt hij de andere vanzelf op!
Klinkt alsof je het ingewikkelder maakt dan nodig is met een VRRP.

Haal voor de grap je eene DNS Server down en ga eens een tijdje surfen of zo : Raar hé die time-outs waardoor je "internetervaring" ineens veel langzamer lijkt!

Heb er ook 2 draaien met pi-hole, dus kan moeiteloos een pi uitzetten/rebooten.
Daar heb je geen 3e IP voor nodig. (Hoe meer schakels je in de keten zet, hoe meer er stuk kunnen gaan)

Het is gewoon de netste/mooiste/beste oplossing als je het goed wilt doen!

_{Verder zie ik gelukkig nog steeds TWEAKERS.net in mijn URL balk!}

[orvintax]

lolgast schreef op dinsdag 7 december 2021 @ 21:21:
Ik vind het heel raar klinken als mensen zeggen dat ze 2 DNS servers hebben, om die vervolgens afhankelijk te maken van 1 device (een RPi met Keepalive bijvoorbeeld). Het hele idee van 2 DNS servers draaien is toch juist dat er 1 stuk mag? Wat doe je als je Keepalive met floating IP's down is? Dan heb je alsnog niets
Dat soort constructies is in mijn ogen alleen leuk/nuttig als je met NetScalers oid werkt waarbij 1 IP-adres op meerdere devices kan leven en afhankelijk van up/down op 1 van die devices luistert.

Ik heb 2 DNS servers (AdGuard Home) draaien, juist zodat mijn vrouw me niet verlaat als ik 1 in onderhoud heb

@Theone098 Mijn ervaring is ook dat 90% van de devices/software vooral voorkeur heeft voor DNS #1.

In de afgelopen 7 dagen
DNS#1: 215,990 queries
DNS#2: 6,975 queries

Dat is ook vreemd, maar dat is mijn setup helemaal niet. Mijn primary DNS server (pihole) draait op mijn hypervisor. Nu komt het wel eens voor dat die wel eens offline moet of even moet restarten. Daarom heb ik op een Raspberry Pi nog eens pihole geinstallerd met gravity sync (secondary dus).

Je laat toch gewoon je DHCP beide servers uitdelen?
Is de ene niet bereikbaar pakt hij de andere vanzelf op!
Klinkt alsof je het ingewikkelder maakt dan nodig is met een VRRP.

Omdat ik in mijn MT router alle DNS queries opvang en met dst-nat forward naar mijn primary DNS server. Dit omzeilt hard coded DNS servers in apparaten. Nu wil die rule veranderen zodat het naar beide kan.

[orvintax]

nero355 schreef op dinsdag 7 december 2021 @ 17:02:
[...]

Waar het op neerkomt :
- DNS Server bereikbaar op IP #1
- DNS Server bereikbaar op IP #2
- Dankzij VRRP zijn beiden echter bereikbaar op IP #3
Ook als één van de twee wegvalt!

Zie dit soort topics : https://discourse.pi-hole...-pihole-ive-done-it/12716


[...]

Dat is niet hoe DNS werkt!

Beide DNS Servers worden geraadpleegd geheel willekeurig!

Dat de eene server wat meer queries krijgt dan de ander : Kan best!
Maar ze worden dus wel gewoon beiden gebruikt...

Dat snap ik en het onderling syncen werkt al helemaal top. Het ging mij meer om het opzetten van VRRP.

[orvintax]

Theone098 schreef op dinsdag 7 december 2021 @ 14:58:
[...]

Nou, dan zal ik nog 1x opschrijven zoals ik het heb gedaan waarmee ik niet beweer dat dit de heilige graal is.
Al mijn systemen krijgen via DHCP 2 DNS servers toegewezen binnen een LAN. Dit betekent dat als de ene niet bereikbaar is, de client omschakelt naar de andere (met, in ieder geval, vertraging). Om de load enigzins te verdelen hebben sommige subnets DNS server 1 als eerste en DNS server 2 als tweede. En ander subnet heeft DNS server 2 als eerste en DNS server 1 als tweede. Dus load balancing via DHCP en redundant vanwege 2 servers (sort of).

Er zijn altijd clients die niet van mijn DNS servers gebruik willen maken maar een andere publieke DNS server willen gebruiken. Ik noem als voorbeeld Google Chromecast.
Dit DNS verkeer (dat dus naar de router / default gateway wordt verstuurd om te worden gerouteerd) markeer ik daarom en vergelijk ik met een address list, waarin mijn DNS servers staan. Als de DST niet in deze address list staat, routeer ik dat verkeer vervolgens naar mijn DNS servers (m.b.v. NAT).
Mijn eigen DNS server geeft antwoord, eventueel door eerst de query door te sturen naar de door mij opgegeven publieke DNS servers. Door NAT denken deze clients dat zij met de door hen opgegeven server praten (google DNS voor de chromecasts).

*** ik denk dat je het bovenstaande al hebt draaien, m.u.v. de address list ***

Als je twee DNS servers hebt, kun je dus bijvoorbeeld een tweede regel opnemen waarin je een ander (dan regel 1) deel van het DNS verkeer (bijvoorbeeld per subnet, per dst, per src) naartoe stuurt.

Is dit redundant? Nee, want als de ene regel faalt omdat de DNS server down is, dan krijgt de client geen antwoord.

Als je dat wilt, dan ga je over hele andere oplossingen praten. Maar ik zie in je vraag niet dat redundantie of load balancing een vereiste is.

Op het moment vang ik gewoon elke DNS query op in mijn vlans en dst-nat ik die naar mijn pihole. Ik was misschien niet duidelijk genoeg, maar redundancy is voor mij dus wel belangrijk De oplossing van @nero355 klinkt perfect, maar na wat opzoekwerk kom ik er niet uit hoe ik zoiets moet instellen.

[chaoscontrol]

V7.1 stable is uit. Dat ik dit nog mocht meemaken zeg.

[orvintax]

chaoscontrol schreef op woensdag 8 december 2021 @ 13:29:
V7.1 stable is uit. Dat ik dit nog mocht meemaken zeg.

Hahhaaha, het heeft inderdaad even geduurd. Ik heb mijn MT apparaten (twee hele) geupdate en heb alles is realtief soepel gegaan. Twee dingetjes waar ik tegen aan liep:

• Ik moest eerst alle "extra" packages verwijderen. Anders blijft hij maar staan op "calculating download size"
• Hij gooide bij mij de firewall rules wat door elkaar, dus heb daar alles opnieuw ingesteld.

Nu toegegeven, ik heb geen enterprise omgeving So your mileage may vary.

[Verwijderd]

nero355 schreef op dinsdag 7 december 2021 @ 23:12:
Haal voor de grap je eene DNS Server down en ga eens een tijdje surfen of zo : Raar hé die time-outs waardoor je "internetervaring" ineens veel langzamer lijkt!

Nog nooit last van gehad! En heb ze bij een stukke SD kaart of voor onderhoud wel eens uit staan (1 van de 2)

[DRAFTER86]

Thralas schreef op woensdag 1 december 2021 @ 23:29:
[...]
@DRAFTER86 Ik weet niet of je van plan bent van internetsnelheid te wisselen, maar mijn ervaring met een hAP AC is dat het gebrek aan hardware acceleration voor IPv6 problematisch is op hoge snelheden. 500/500 is (en misschien zelfs 1000/1000?) is geen enkel probleem, maar alleen als het IPv4 is.

Voor IPv6 >500/500 heb je echt iets als een RB4011 of RB5009 nodig vrees ik.


[...]

Inmiddels aangesloten op glas bij KPN, en na een eerste aanmelding met de Experiabox mijn hAP AC er aan gehangen. De configuratie is als volgt:

• hAP AC
  • ether3: PPP client op VLAN 6 aan de NTU. Enkel IPv4, config van netwerkje.com
  • ether2: trunk met VLAN10 en VLAN20 (Domotica en gewoon LAN)
  • Firewall: 18 filter rules, 8 NAT rules. Valt nog wel wat op te ruimen
• CRS328 24P
  • ether1: Trunk met VLAN10 & 20
  • Zooi trunk en access ports

Als ik nu op een host aan de switch een file (van https://ftp.snt.utwente.nl/pub/test/) download met wget, dan gaat dat met ongeveer 70MB/s (fluctueert wat). Ook schiet de CPU usage van de hAP AC naar +-100%:

code:

/tool profile:
NAME                    CPU        USAGE
ethernet                           17.5%
console                               0%
firewall                             13%
networking                           46%
winbox                                2%
logging                             0.5%
management                          3.5%
wireless                            0.5%
internet-detect                       0%
profiling                             0%
bridging                           13.5%
unclassified                          1%
total                              97.5%

Hoe moet ik dit duiden? Ik had verwacht dat de firewall veel CPU zou gebruiken, maar het lijkt voornamelijk in 'networking' te zitten...
Komt dit gewoon door een gebrek aan power van de hAP AC, of moet ik eens de config in duiken om de bottleneck te vinden?

[mbovenka]

Gebrek aan power van de hAP AC. Als je naar de 'Routing, 25 IP filter rules, 512 bytes' (https://mikrotik.com/prod...acT2HnT#fndtn-testresults) testresultaten kijkt, is de koek wel op.

[Thralas]

DRAFTER86 schreef op woensdag 8 december 2021 @ 20:14:
Komt dit gewoon door een gebrek aan power van de hAP AC,

Dat helpt in ieder geval niet mee, want hij zit duidelijk aan z'n max.

of moet ik eens de config in duiken om de bottleneck te vinden?

Kan geen kwaad. Sommige zaken hebben wel invloed, bijvoorbeeld bridge filters - maar die gebruik je waarschijnlijk niet. IPTV is ook niet gratis. Winbox heeft soms ook invloed is m'n gevoel (profilen over SSH dus).

Ter info, hAP ac op v7.1, IPv4 500/500 @ 59MB/s (zelfde speedtest van SNT):

code:

Columns: NAME, USAGE
NAME          USAGE
ethernet      11.5%
console       1.5% 
ssh           0%   
firewall      2.5% 
networking    14%  
management    0.5% 
wireless      1.5% 
routing       0%   
dhcp          0%   
profiling     0%   
bridging      4%   
unclassified  8.5% 
total         44%

Als ik één IPTV stream (601) aan heb:

code:

Columns: NAME, USAGE
NAME          USAGE
ethernet      18%  
console       0%   
ssh           0%   
firewall      4.5% 
networking    24%  
radv          0%   
ipsec         0%   
management    3%   
wireless      0.5% 
routing       2%   
dhcp          0%   
bridging      3.5% 
unclassified  10.5%
total         66%

Als ik dat extrapoleer haal ik de gigabit ongeveer, mits de TV uitstaat. Upgraden naar v7.1 zou je dus ook nog kunnen proberen.

[WeaZuL]

chaoscontrol schreef op woensdag 8 december 2021 @ 13:29:
V7.1 stable is uit. Dat ik dit nog mocht meemaken zeg.

Betekend dat ik kan upgraden naar 7.1 stable of is dat niet aan te raden? Ik zag ook dat de wapac ondersteund werd, wat doet routeros 7 m.b.t. de performance t.o.v. routeros 6 met dezelfde config?

Ik heb mij nog niet erg ingelezen m.b.t. routeros70, vandaar.

[orvintax]

WeaZuL schreef op woensdag 8 december 2021 @ 22:35:
[...]


Betekend dat ik kan upgraden naar 7.1 stable of is dat niet aan te raden? Ik zag ook dat de wapac ondersteund werd, wat doet routeros 7 m.b.t. de performance t.o.v. routeros 6 met dezelfde config?

Ik heb mij nog niet erg ingelezen m.b.t. routeros70, vandaar.

Zoals met de meeste dingen: "It depends!". Er zijn een aantal zaken die in Router OS 7 minder werken. Vooral (en dat is logisch) "complexere" dingen hebben nog kuren. Maar als jij een heel simpele config hebt is er een grote kans dat je nergens last van hebt. Ze hebben nu de knoop doorgehakt omdat MT zegt dat "Router OS 7 nu voor 90% van de users goed werkt." en ze niet langer willen wachten.

Als ik jou was zou ik even over het forum heen lezen om te kijken of je voor de door jouw gebruikte features niks geks tegenkomt en dan kun je het wagen als je wilt. Je kunt ook gewoon een poosje wachten totdat 7.2 of 7.3 of whatever uitkomt. Ligt er een beetje aan hoeveel risico je wilt nemen.

[babbelbox]

orvintax schreef op woensdag 8 december 2021 @ 13:36:
[...]

Hahhaaha, het heeft inderdaad even geduurd. Ik heb mijn MT apparaten (twee hele) geupdate en heb alles is realtief soepel gegaan. Twee dingetjes waar ik tegen aan liep:

• Ik moest eerst alle "extra" packages verwijderen. Anders blijft hij maar staan op "calculating download size"
• Hij gooide bij mij de firewall rules wat door elkaar, dus heb daar alles opnieuw ingesteld.

Nu toegegeven, ik heb geen enterprise omgeving So your mileage may vary.

Welke 'extra' packages heb je verwijderd voordat je update wilde slagen?

[orvintax]

babbelbox schreef op donderdag 9 december 2021 @ 06:43:
[...]

Welke 'extra' packages heb je verwijderd voordat je update wilde slagen?

Ik heb ze allemaal moeten verwijderen. Ook heb ik alle andere packeges geactiveers (geen idee of dit moest maar had het op een gegeven moment gehad )

[babbelbox]

orvintax schreef op donderdag 9 december 2021 @ 08:26:
[...]

Ik heb ze allemaal moeten verwijderen. Ook heb ik alle andere packeges geactiveers (geen idee of dit moest maar had het op een gegeven moment gehad )

Dus je hebt alleen de system package over gelaten?
Breekt dat niet je hele config, alles wat in je config staat en niet (meer) begrepen wordt door je systeem lijkt me te verdwijnen ofzo dan uit de config?
Anyway, wel een minder handige situatie vanuit MikroTik zo. Je mag toch verwachten dat een upgrade gemakkelijk(er) zou moeten gaan.
Ik heb ook nog geprobeerd om de versie 7 npk file op het device te zetten en dan te restarten, maar dan gebeurt er ook niets qua update.

[Theone098]

Mijn nieuwe NAS heeft een 10Gb poort en ik heb al een 10Gb backbone. Voor de backbone gebruik ik 2x MT CRS226-24G-2+IN met 1x SFP+ poort (de andere is een SFP poort en kan tot 1,25Gb aan).

Het enige wat ik op de CRS226 switches doe is switching , VLAN's, IGMP snooping, SNMP, graphing en wat scripting voor backup en dergelijke.

Nu overweeg ik om een CRS326-24G-2S+IN te kopen, zodat ik 2x 10Gb SFP+ poorten heb. Heeft iemand hiermee ervaring? Ik wil bijvoorbeeld graag weten of LACP 802.3ad met HW offloading werkt? En hebben deze apparaten nog andere hebbelijkheden (sommige zeggen tekortkomingen ;-) ). Een CSS overweeg ik niet, ik wil RouterOS gebruiken.

Alternatief is om de CRS226 te houden en een extra CRS305 te plaatsen. Meer 10Gb poorten maar weer een extra apparaat.

edit: Since RouterOS v6.42 all CRS3xx series switches support hardware offloading with bonding interfaces. Only 802.3ad and balance-xor bonding modes are hardware offloaded, other bonding modes will use the CPU's resources. You can find more information about the bonding interfaces in the Bonding Interface section. If 802.3ad mode is used, then LACP (Link Aggregation Control Protocol) is supported.

En: The layer-3-and-4 transmit hash mode is not fully compatible with LACP.

Maar..... dat stond er destijds ook voor de CRS226. En dat is bij mijn weten nooit waargemaakt.

[ Voor 27% gewijzigd door Theone098 op 11-12-2021 18:34 ]

[Thralas]

babbelbox schreef op donderdag 9 december 2021 @ 08:48:
Ik heb ook nog geprobeerd om de versie 7 npk file op het device te zetten en dan te restarten, maar dan gebeurt er ook niets qua update.

Dat werkte hier wel toen de automatische updater niet werkte, dus als dat werkt is dat handiger dan packages verwijderen. Misschien staat er iets in de log?

Anders een config export en netinstall..

[orvintax]

babbelbox schreef op donderdag 9 december 2021 @ 08:48:
[...]

Dus je hebt alleen de system package over gelaten?
Breekt dat niet je hele config, alles wat in je config staat en niet (meer) begrepen wordt door je systeem lijkt me te verdwijnen ofzo dan uit de config?
Anyway, wel een minder handige situatie vanuit MikroTik zo. Je mag toch verwachten dat een upgrade gemakkelijk(er) zou moeten gaan.
Ik heb ook nog geprobeerd om de versie 7 npk file op het device te zetten en dan te restarten, maar dan gebeurt er ook niets qua update.

Nenenene, aangezien packages nu zijn veranderd kan ik het niet laten zien. Maar het zijn zegmaar de packages als NTP en Multicast enzo. Degene die niet nested onder de general/main package staat.

Maak anders een screenshot van je packages dan kan ik het precies zeggen

[kaaas]

@DRAFTER86
Vergeet ook niet dat de ppp tunnel ook redelijk wat cpu pakt.

[WeaZuL]

orvintax schreef op woensdag 8 december 2021 @ 22:49:
[...]

Zoals met de meeste dingen: "It depends!". Er zijn een aantal zaken die in Router OS 7 minder werken. Vooral (en dat is logisch) "complexere" dingen hebben nog kuren. Maar als jij een heel simpele config hebt is er een grote kans dat je nergens last van hebt. Ze hebben nu de knoop doorgehakt omdat MT zegt dat "Router OS 7 nu voor 90% van de users goed werkt." en ze niet langer willen wachten.

Als ik jou was zou ik even over het forum heen lezen om te kijken of je voor de door jouw gebruikte features niks geks tegenkomt en dan kun je het wagen als je wilt. Je kunt ook gewoon een poosje wachten totdat 7.2 of 7.3 of whatever uitkomt. Ligt er een beetje aan hoeveel risico je wilt nemen.

Thnx, ik las het volgende in het routeros v7 topic op het MT forum:

Tried this version on my wAP AC and hAP AC. On both I have problem with 5Ghz WiFi in direction from client to router. Receiving fine, but transmitting braking, stops. Tried different devices, LAN and WAN destination - same result.

Dat doet mij ertoe besluiten om er nog even mee te wachten zoals je al aangaf op routerOS > v7.1. Ik gebruik hier namelijk enkel 5Ghz wifi.

[babbelbox]

orvintax schreef op donderdag 9 december 2021 @ 09:49:
[...]

Nenenene, aangezien packages nu zijn veranderd kan ik het niet laten zien. Maar het zijn zegmaar de packages als NTP en Multicast enzo. Degene die niet nested onder de general/main package staat.

Maak anders een screenshot van je packages dan kan ik het precies zeggen

Het is me al wat duidelijker geworden.
Ik maak geen gebruik van nested packages. Bij mij staan alle packages gewoon onder elkaar.
Ik heb nog een oude RB2011 liggen hier waar ik wat op aan het testen ben gegaan.
Ik heb daar de laatste 6.49.2 NPK file opgezet en na een reboot ben je dan dus terug bij nested packages (IPv6 stond na een reboot uit, vaag maar soit).
Daarna inderdaad de 2 buiten de nested (bij mij LCD en ik geloof MPLS maar heeft ook multicast kunnen zijn) eraf gehaald en daarna inderdaad kunnen updaten naar 7.1 via de check en download methode.

[kaaas]

Voor dit soort dingen hebben we https://tweakers.net/aanbod/

[ Voor 81% gewijzigd door DJSmiley op 12-12-2021 11:53 ]

[Freez]

Naar aanleiding van mijn vraag laatst heb ik mijn oude CRS125 omgewisseld voor een RB5009.
Met de nieuwe processorkracht wil ik mijn vlans eindelijk eens gaan beveiligen om onderling verkeer te blokkeren en meer te routeren.
Echter loop ik tegen wat problemen aan.
Ik heb onderstaande config (deel standaard, deels aangevuld):

code:

/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!VLAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new     in-interface-list=WAN
add action=accept chain=forward comment="Allow all traffic from vlan10" in-interface=vlan10 out-interface=all-vlan
add action=accept chain=forward comment="Allow WAN traffic from vlan20" in-interface=vlan20 out-interface-list=WAN
add action=accept chain=forward comment="Allow all traffic from vlan30" in-interface=vlan30 out-interface=all-vlan
add action=accept chain=input comment="Allow all management traffic" in-interface=vlan99-mgmt
add action=accept chain=input comment="Allow all vlans to access the router" in-interface-list=VLAN
add action=accept chain=input comment="Allow estab and related" connection-state=established,related
add action=accept chain=forward comment="Allow estab and related" connection-state=established,related
add action=drop chain=forward comment="Block all other forward traffic"

Het effect is dat dit het verkeer blokkeert van vlan 20 naar de rest behalve naar WAN.
Echter krijg ik op geen vlans meer een DHCP adres meer en zijn nieuwe verbindingen niet toegestaan (alleen de established nog).

Wat ik dus eigenlijk wil bereiken dat al het verkeer tussen de vlans geblokkeerd wordt, maar dat ik vanaf vlan10 en vlan30 wel naar alle andere vlans kan. (heb er nog meer, maar daar moest ik nog rules voor aanmaken)
Vlan20 mag alleen bij internet (WAN) en moet net als alle andere vlans een DHCP adres kunnen krijgen van de router.

Wie weet waar het mis gaat?

Edit: O ja, de laatste 2 "Allow estab and related" had ik als test erbij gedaan, (ergens gelezen op forum van MT).
Dat zou denk ik niet moeten uitmaken als ik al dit doe:

code:

add action=accept chain=forward comment="Allow all traffic from vlan10" in-interface=vlan10 out-interface=all-vlan

[ Voor 4% gewijzigd door Freez op 11-12-2021 20:25 ]

[Theone098]

Theone098 schreef op donderdag 9 december 2021 @ 09:29:
Mijn nieuwe NAS heeft een 10Gb poort en ik heb al een 10Gb backbone. Voor de backbone gebruik ik 2x MT CRS226-24G-2+IN met 1x SFP+ poort (de andere is een SFP poort en kan tot 1,25Gb aan).

Het enige wat ik op de CRS226 switches doe is switching , VLAN's, IGMP snooping, SNMP, graphing en wat scripting voor backup en dergelijke.

Nu overweeg ik om een CRS326-24G-2S+IN te kopen, zodat ik 2x 10Gb SFP+ poorten heb. Heeft iemand hiermee ervaring? Ik wil bijvoorbeeld graag weten of LACP 802.3ad met HW offloading werkt? En hebben deze apparaten nog andere hebbelijkheden (sommige zeggen tekortkomingen ;-) ). Een CSS overweeg ik niet, ik wil RouterOS gebruiken.

Alternatief is om de CRS226 te houden en een extra CRS305 te plaatsen. Meer 10Gb poorten maar weer een extra apparaat.

edit: Since RouterOS v6.42 all CRS3xx series switches support hardware offloading with bonding interfaces. Only 802.3ad and balance-xor bonding modes are hardware offloaded, other bonding modes will use the CPU's resources. You can find more information about the bonding interfaces in the Bonding Interface section. If 802.3ad mode is used, then LACP (Link Aggregation Control Protocol) is supported.

En: The layer-3-and-4 transmit hash mode is not fully compatible with LACP.

Maar..... dat stond er destijds ook voor de CRS226. En dat is bij mijn weten nooit waargemaakt.

Nevermind..... de CRS226 heeft ook 2x sfp+ poorten voor 10Gb .

[kaaas]

@Freez
Wat ik zo zie lijkt goed. Ik ben alleen niet bekend met de out-interface=all-vlan en kan ook niet vinden hoe die gebruikt moeten worden.

Ik zou als test zelf een lijst van interfaces aanmaken
interface list add
interface list member add

En dan je firewall regels als volgt aanpassen.
Het volgende gedeelte aanpassen van:
out-interface=all-vlan
naar:
out-interface-list=lijstnaam

Dat gaat dus om de volgende regels

add action=accept chain=forward comment="Allow all traffic from vlan10" in-interface=vlan10 out-interface=all-vlan
add action=accept chain=forward comment="Allow WAN traffic from vlan20" in-interface=vlan20 out-interface-list=WAN
add action=accept chain=forward comment="Allow all traffic from vlan30" in-interface=vlan30 out-interface=all-vlan


Ik ben nu wel benieuwd of er iemand meer weet over die all-* opties bij de out-interface in het filter

Je dhcp probleem kan voortkomen uit (alhoewel iemand verder op tipt dat dat waarschijnlijk niet het geval is)
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!VLAN
ik weet niet wat er in de vlan lijst zit maar hiermee blokkeer je alles dat maar iets met je router probeert te praten inclusief dhcp.
Je kunt bijv alleen dhcp toelaten.
add action=accept chain=input comment="defconf: accept DHCP discover" dst-address=255.255.255.255 dst-port=67 in-interface-list=LAN protocol=udp src-address=0.0.0.0 src-port=68

Je blokkeerd ook DNS dat helpt ook niet.

Let ook even op de counters van je firewall dan zie je ook welke regel er voor problemen zorgt.
Je kunt ze ook 1 voor 1 inschalen en kijken wat er stuk gaat

[ Voor 35% gewijzigd door kaaas op 12-12-2021 11:23 ]