[MikroTik-apparatuur] Ervaringen & Discussie

[lolgast]

@Freez @kaaas
Volgens mij wordt het DHCP protocol niet beïnvloed door de firewall en werkt dat altijd. Ik heb in ieder geval meerdere VLANs met 0,0 input toegang op mijn firewall en die krijgen ook gewoon een lease.
Dat is wel er vanuit gaande dat je geen externe DHCP server hebt draaien welke inderdaad via forward beschikbaar moet zijn

[kaaas]

@lolgast
Bedankt dat is goed om te weten. ik ga het vanavond misschien even testen ben wel benieuwd ook naar die all-vlan optie.
Ik zat me gisteravond in bed nog wel te bedenken dat DNS ook geblokkeerd word door die regel. Dat zal ook niet helpen.

[ Voor 5% gewijzigd door kaaas op 12-12-2021 09:55 ]

[Freez]

Ik denk dat ik ook anders maar eens ga testen door ipv all-vlan optie gewoon aan te geven waar bepaalde vlans bij mogen ipv "die mag naar alles en de rest dicht".
Als de rules kloppen met wat ik had gemaakt dan zou daar misschien nog een dingetje zitten wat niet klopt met de verwachting...

[Theone098]

lolgast schreef op zondag 12 december 2021 @ 07:15:
@Freez @kaaas
Volgens mij wordt het DHCP protocol niet beïnvloed door de firewall en werkt dat altijd. Ik heb in ieder geval meerdere VLANs met 0,0 input toegang op mijn firewall en die krijgen ook gewoon een lease.
Dat is wel er vanuit gaande dat je geen externe DHCP server hebt draaien welke inderdaad via forward beschikbaar moet zijn

Precies. DHCP doet een broadcast op het subnet (broadcast domain) via FF:FF:FF:FF:FF:FF. Dus alles wat op die manier bereikbaar is (op laag 2, switch/bridge) ontvangt dit pakket. Als je wilt routeren heb je een DHCP relay agent nodig.

[ Voor 0% gewijzigd door Theone098 op 12-12-2021 12:49 . Reden: beter lopende zin ]

[Freez]

Theone098 schreef op zondag 12 december 2021 @ 12:13:
[...]

Precies. DHCP doet een broadcast op het subnet (broadcast domain) via FF:FF:FF:FF:FF:FF. Dus alles wat op die manier bereikbaar is (op laag 2, switch/bridge) ontvangt dit pakket. Als je wilt routeren heb je een DHCP relay agent nodig.

Mijn DHCP probleem is opgelost, dat zat niet in de firewall config gelukkig, maar in een client die ik als test gebruikte op dat vlan.
De "all-vlan" in de "Out interface" zorgde wel voor een probleem waardoor die niet mijn DNS server kon bereiken.
De firewall rule is nu dit geworden:

code:

add action=accept chain=forward comment="Allow DNS from vlan20" dst-address=192.168.10.106 in-interface=vlan20
add action=accept chain=forward comment="Allow WAN traffic from vlan20" in-interface=vlan20 out-interface-list=WAN

Wat precies de reden was dat de all-vlan voor een probleem zorgde heb ik nog niet kunnen achterhalen...

[daansan]

Had mn RB4011 gisteren geupgrade naar 7.1, maar kreeg het met geen mogelijkheid voor elkaar om mn pppoe verbinding over SFP op een MTU van 1500 te krijgen, hij ging naar 1480 waardoor dan weer mas clamping nodig is.

Daarna gedowngrade naar 6.49.2 en het probleem is weer weg. 6.49.2 heeft ook niet het probleem dat eerdere 6 versies hadden dat ie ook standaard op een mtu van 1480 gaat totdat je de sfp interface herstart. Allemaal dus niet nodig met 6.49.2, pppoe gaat meteen op mtu 1500

[kaaas]

@daansan
Heb je de MTU van de parent interfaces op 1508 gezet?
Dus van het vlan en de sfp interface?
Zo heb ik het op mijn rb5009 met 7.1 en dan kan ik de tunnel handmatig op 1500 zetten met max-mru=1500 max-mtu=1500

[daansan]

kaaas schreef op zondag 12 december 2021 @ 21:23:
@daansan
Heb je de MTU van de parent interfaces op 1508 gezet?
Dus van het vlan en de sfp interface?
Zo heb ik het op mijn rb5009 met 7.1 en dan kan ik de tunnel handmatig op 1500 zetten met max-mru=1500 max-mtu=1500

Zeker! Staat zo: (screenshot uit v6, maar met 7.1 stond het gelijk)

[ Voor 3% gewijzigd door daansan op 12-12-2021 21:57 ]

[kaaas]

Supervaag. Heb je er melding van gemaakt bij mikrotik? Dat klinkt wel als een bug.

[kaaas]

@Theone098
Ik heb nog ff zitten zoeken hoe het met dhcp werkt.
Als je hier naar het bridge input voorbeeld kijkt wordt het redelijk duidelijk.
https://help.mikrotik.com...S/Packet+Flow+in+RouterOS
Dhcp is een proces dat op de bridge draait. Het gaat niet door de input chain heen.
Dus of je moet bridge filtering gebruiken om dhcp te blokkeren of in de prerouting chain in RAW gaan zitten denk ik.

[Freeaqingme]

Ik ben aan 't kijken voor een nieuwe datacenter-setup. Ik heb 3 inkomende 10 Ge touwtjes, en ivm iBGP en draadjes naar de switches heb ik minimaal 5 sfp+ poorten nodig (>=6 zou leuker zijn).

Mijn traffic zal doorgaans een paar honderd mbit zijn, maar een keertje een ddos aanval is ook niet uit te sluiten.

In dit topic kwam ik de CCR2116-12G-4S+ tegen. Die ziet er wel leuk uit, maar heeft slechts 4 sfp+ poorten. Tegelijkertijd is de MikroTik CCR1072-1G-8S+ qua port layout helemaal perfect, alleen zou de BGP performance daarvan niet heel goed zijn (full BGP voor ipv4 + ipv6). Die zou dan wel weer met 7.1 verbeterd moeten zijn, maar tot in hoeverre deze verbeterd is kan ik niet direct uitvinden.

Ik was voornemens om (zakelijk) 2 routers te kopen ivm redundancy met een budget van 10-15K. Ook kijk ik daarbij naar de Juniper mx104 (met dual routing engine) of de Juniper mx80. Ook bij deze modellen is de BGP performance echter beperkt.

Eventueel zou ik ook 3 CCR2116-12G-4S+ routers kunnen kopen. Eentje voor iedere transit, en 1 voor m'n peering, maar dat levert een niet heel erg schaalbaar model op. Ander nadeel is dat die nog niet te koop lijkt, en ik de setup graag rond de kerst af wil hebben.

Iemand suggesties?

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

[ Voor 8% gewijzigd door Freeaqingme op 13-12-2021 18:10 ]

[mbovenka]

Freeaqingme schreef op maandag 13 december 2021 @ 18:08:
Iemand suggesties?

CCR2004-1G-12S+2XS?

Betere BGP performance dan een CCR1072, 12 10G ports, en gewoon te koop. En met een budget van 10K kun je een aardige stapel spares kopen

[Thralas]

Inderdaad, die wilde ik ook net posten.

De CCR1072 is Tilera based en daarmee veel minder toekomstvast dan de nieuwe CCRs. MikroTik zet nu duidelijk in op het aanbod van Annapurna Labs voor hun CCRs - dat is waar ik de meeste doorontwikkeling zou verwachten (zeker icm. v7).

[Freeaqingme]

@mbovenka @Thralas thanks! Gebaseerd op de prijs dacht ik dat de 1072 het beste zou zijn, en heb ik heel deze router niet gezien. Ik ga er eens induiken

Overigens zijn verdere suggesties welkom, mocht er verder iets logisch zijn.

[Thralas]

Freeaqingme schreef op maandag 13 december 2021 @ 19:22:
@mbovenka @Thralas thanks! Gebaseerd op de prijs dacht ik dat de 1072 het beste zou zijn, en heb ik heel deze router niet gezien. Ik ga er eens induiken

Dat laatste is in ieder geval belangrijk; MikroTik is véél goedkoper, maar er zijn ook beperkingen waar je afhankelijk van je use case wel/geen last van hebt.

En helaas, ik zie dat ik me vergist heb in die 2004 (dacht dat 'ie nieuw was, maar alleen de 2116 is nieuw). Dat is namelijk de bewuste router waar deze rampzalige thread over loopt op de MikroTik forums.

The big CCR2004 reboot thread (was 2004 hardware issues?)

Spreekt redelijk voor zichzelf, en lijkt me op basis daarvan toch een gevaarlijke keus.

[DJSmiley]

Freeaqingme schreef op maandag 13 december 2021 @ 18:08:
Ik ben aan 't kijken voor een nieuwe datacenter-setup. Ik heb 3 inkomende 10 Ge touwtjes, en ivm iBGP en draadjes naar de switches heb ik minimaal 5 sfp+ poorten nodig (>=6 zou leuker zijn).

Mijn traffic zal doorgaans een paar honderd mbit zijn, maar een keertje een ddos aanval is ook niet uit te sluiten.

In dit topic kwam ik de CCR2116-12G-4S+ tegen. Die ziet er wel leuk uit, maar heeft slechts 4 sfp+ poorten. Tegelijkertijd is de MikroTik CCR1072-1G-8S+ qua port layout helemaal perfect, alleen zou de BGP performance daarvan niet heel goed zijn (full BGP voor ipv4 + ipv6). Die zou dan wel weer met 7.1 verbeterd moeten zijn, maar tot in hoeverre deze verbeterd is kan ik niet direct uitvinden.

Ik was voornemens om (zakelijk) 2 routers te kopen ivm redundancy met een budget van 10-15K. Ook kijk ik daarbij naar de Juniper mx104 (met dual routing engine) of de Juniper mx80. Ook bij deze modellen is de BGP performance echter beperkt.

Eventueel zou ik ook 3 CCR2116-12G-4S+ routers kunnen kopen. Eentje voor iedere transit, en 1 voor m'n peering, maar dat levert een niet heel erg schaalbaar model op. Ander nadeel is dat die nog niet te koop lijkt, en ik de setup graag rond de kerst af wil hebben.

Iemand suggesties?

Tja, lastig.. De CCR2116 klinkt leuk op papier, maar heel eerlijk, los van de verkrijgbaarheid, moet je dat willen om in productie te draaien? Kijk naar bv de 2004. Leuk op papier, maar ik zou eerst praktijkervaringen willen zien mbt performance en betrouwbaarheid.

Geen idee wat je in de toekomst verwacht kwa verkeer en connectiviteit, maar 4x SFP+ is, anno 2021, wel wat krapjes naar mijn mening. Ik weet niet waar je het spul plaatst, maar als je een beetje peerings wil kom je snel uit op Nikhef oid. En daar is een koperkabel een unicum. Je wilt zoveel mogelijk glaspoorten hebben. Zeker als je ook nog verkeer naar andere datacentra wilt halen (een DWDM kanaaltje is zo te regelen), maar dat is allemaal 10Gbit of hoger.

Als ik een poortje met een partij wil neemt men bijna standaard al aan dat het 10Gbit-LR is. (of hoger). Die ruimte zou ik wel houden.

Heb je perse full BGP nodig? Als je upstreamprovider een default route kan leveren hoef je alleen maar je specifieke peerings in je routetabel bij te houden. Dan kun je met lichtere hardware af omdat je geen full table in je geheugen hoeft te hebben.

Dat lijkt mij (even zonder jouw businesscase te kennen) een betere optie, want mogelijkheden tot peerings en dus SFP+ of hogere koppelvlakken zijn nuttiger dan het kunnen draaien van een full table.

Ik heb bv op al onze lokaties een switch hangen met 48x SFP+ en 6x100G. Afhankelijk van de trajecten 40G DWDM trunkjes of 100G. Geen full table, maar een default route + een stapeltje specifieke peerings (meestal Nikhef, want AM7 / Globalswitch zijn duur met patches)

Let bij refurb spul ook op wat ie exact doet en tel ook eventuele IPv6 routetabellen mee. En sommige platformen doen bv wel IPv6 maar in software, en alleen IPv4 in ASICs.

[nero355]

Voor wat het waard is :

DJSmiley schreef op maandag 13 december 2021 @ 22:04:
Heb je perse full BGP nodig?

Als je upstreamprovider een default route kan leveren hoef je alleen maar je specifieke peerings in je routetabel bij te houden. Dan kun je met lichtere hardware af omdat je geen full table in je geheugen hoeft te hebben.

Ik heb in het verleden inderdaad heel veel klanten gezien die uiteindelijk prima tevreden waren met een Default Route terwijl ze ook eerst dachten dat ze een Full BGP Setup nodig hadden...

[Thasaidon]

Ik weet niet of het echt nog van toepassing is, maar ik las onderstaande in een artikel van 10dec:

De kwetsbaarheden in de routers zijn ontdekt door beveiligingsonderzoekers van Eclypsium en Trustwave. Twee van de drie kwetsbaarheden zijn al enkele jaren oud en ontdekt in 2018 en 2019. Voor deze twee lekken is al een patch beschikbaar. Voor de derde kwetsbaarheid is nog geen patch uitgebracht door Mikrotik.

bron:
https://nl.hardware.info/...utm_campaign=hardwareinfo

hierin word dus gesteld dat er nog 1 vulnerability zou zijn die niet gepatched is?
Maar volgens Mikrotik zou alles opgelost zijn...

https://blog.mikrotik.com/security/winbox-vulnerability.html

[Hmmbob]

Dat is niet wat de bron van dat artikel zegt:

https://eclypsium.com/202...es-become-murder-hornets/

Vanaf RouterOS version 6.45.6 is alles gepatched.


Artikel leest meer als een advertentie dan als journalistiek verantwoord stuk

[ Voor 19% gewijzigd door Hmmbob op 14-12-2021 09:02 ]

[Thralas]

Thasaidon schreef op dinsdag 14 december 2021 @ 08:45:
hierin word dus gesteld dat er nog 1 vulnerability zou zijn die niet gepatched is?

In het originele artikel wordt daar met geen woord over gerept. Het artikel van Hardware.info klopt niet.

En verder wat hierboven ook staat: het originele stuk is een typisch marketingartikel vermomd als onderzoek. Ze hebben geen ongelijk (en de vulnerability uit 2018/2019 was enorm ernstig), maar het is het bekende recept "Miljoenen apparaten zijn nog steeds kwetsbaar voor oude vulnerability en koop trouwens vooral onze software".

Het vertelt niets nieuws. Niet over MikroTik en niet over de werking van het internet (niemand voert updates uit).

[ Voor 37% gewijzigd door Thralas op 14-12-2021 09:12 ]

[kaaas]

plus als je je winbox niet publiek beschikbaar maakt of de service helemaal uit zet is er weinig aan de hand.
Om eerlijk te zijn zet ik winbox en de web interface standaard uit.

[Thasaidon]

Hmmbob schreef op dinsdag 14 december 2021 @ 09:02:
Artikel leest meer als een advertentie dan als journalistiek verantwoord stuk

Eens, maar wilde het hier toch even melden.

[Verwijderd]

kaaas schreef op dinsdag 14 december 2021 @ 09:34:
plus als je je winbox niet publiek beschikbaar maakt of de service helemaal uit zet is er weinig aan de hand.
Om eerlijk te zijn zet ik winbox en de web interface standaard uit.

Met meer dan één exploit benader je Winzbox van uit het interne netwerk van een computer/device daarin.

Het dus veel complexer om WinBox in de rug wordt aangevallen. Ik hebjuist extra suggesties gedaan in het forum. Wie weet gaan ze er nadenken of ze wachten tot "hell freezes over".

[Hmmbob]

Dat laatste snap ik niet helemaal, als je gewoon patcht ben je er, toch?

[kaaas]

Ik dacht ook dat de patch voldoende is.
En als de service niet draait kun je hem ook niet exploiten of zie ik dat verkeerd?

Ik heb nog even het advies van mikrotik op gezocht.
Het is een bug uit 2018 die toen ook gepatched was.
De enige manier waarop je hier nog last van kunt hebben is dat je een ros versie draait uit die tijd.
Of dat toendertijd je wachtwoord is achterhaald en je hem niet gewijzigd hebt.
https://blog.mikrotik.com/security/meris-botnet.html

Edit ok er zijn inderdaad 3 kwetsbaarheden.
- https://nvd.nist.gov/vuln/detail/CVE-2018-14847 kwetsbaar tot en met 6.42
- https://nvd.nist.gov/vuln/detail/CVE-2019-3977 kwetsbaar tot en met 6.45.6
- https://nvd.nist.gov/vuln/detail/CVE-2019-3978 kwetsbaar tot en met 6.45.6

Maar allen gepatched en allemaal te voorkomen als je winbox uit hebt staan en je winbox poort niet open hebt staan.

[ Voor 87% gewijzigd door kaaas op 14-12-2021 19:18 ]

[orvintax]

Hmmbob schreef op dinsdag 14 december 2021 @ 11:35:
Dat laatste snap ik niet helemaal, als je gewoon patcht ben je er, toch?

Dan ben je inderdaad beveiligd tegen die vulnerability. Maar je moet wel ff nakijken of die vulnerability nooit misbruikt is geweest op jouw systeem(en).

[nero355]

Thasaidon schreef op dinsdag 14 december 2021 @ 08:45:
Ik weet niet of het echt nog van toepassing is, maar ik las onderstaande in een artikel van 10dec:

[...]

bron:
https://nl.hardware.info/...aar-voor-remote-aanvallen

hierin word dus gesteld dat er nog 1 vulnerability zou zijn die niet gepatched is?
Maar volgens Mikrotik zou alles opgelost zijn...

https://blog.mikrotik.com/security/winbox-vulnerability.html

_{Die link werkt ook prima zonder "?utm_source=newsletter&utm_medium=email&utm_campaign=hardwareinfo" erachter zoals je ziet!}

Maar bedankt voor het posten, want ik vergat dat elke keer weer de afgelopen dagen...

* nero355 vond dat hele artikel ook maar een beetje wazig namelijk!

[xbeam]

https://arstechnica.com/i...me-bombs-researchers-say/

As many as 300,000 routers made by Latvia-based MikroTik are vulnerable to remote attacks that can surreptitiously corral the devices into botnets that steal sensitive user data and participate in Internet-crippling DDoS attacks, researchers said.

The estimate, made by researchers at security firm Eclypsium, is based on Internet-wide scans that searched for MikroTik devices using firmware versions known to contain vulnerabilities that were discovered over the past three years. While the manufacturer has released patches, the Eclypsium research shows that a significant proportion of users has yet to install them.

nero355 schreef op dinsdag 14 december 2021 @ 21:07:
@xbeam
Daar hebben we het net over!

Laat mij spuit 11 nu ook eens wat zeggen

Hmmbob schreef op dinsdag 14 december 2021 @ 11:35:
Dat laatste snap ik niet helemaal, als je gewoon patcht ben je er, toch?

https://github.com/eclypsium/mikrotik_meris_checker

[ Voor 22% gewijzigd door xbeam op 14-12-2021 21:18 ]

[nero355]

@xbeam
Daar hebben we het net over!

[ Voor 8% gewijzigd door nero355 op 14-12-2021 21:07 ]

[kaaas]

@Freeaqingme
Volgens mij komt de grote performance winst in BGP tussen v6 en v7 vooral uit het feit dat in v6 bgp een single core proces is en bij v7 multicore en daar heeft die ccr er genoeg van.
Ik ben het er wel mee eens dat mikrotik op arm aan het inzetten is, maar als je stabiliteit wilt is het beter om nog een jaar te wachten met een arm router. Als je stabiliteit wilt zou ik voor een ccr gaan.

[mbovenka]

'Stabiel' en 'ROS 7' gaan ook nog niet echt helemaal samen. De CCR2xxx serie is mooi spul voor weinig, maar toegegeven: ik zou ze wel even in een lab proberen.

[zx9r_mario]

RouterOS 7.1 heeft blijkbaar een bug dat de IPv6 gateway niet wordt meegenomen via pppoe (KPN) of via de GUI kan worden ingesteld.

Oplossing is via terminal de gateway in stellen. In geval van KPN was dit bij mij:

/ipv6 route
add gateway=fe80::x:x:x:x%pppoe

Het adres fe80... vind je onder IPv6 DHCP Client en bij status / server

[Thasaidon]

kaaas schreef op dinsdag 14 december 2021 @ 12:07:
Maar allen gepatched en allemaal te voorkomen als je winbox uit hebt staan en je winbox poort niet open hebt staan.

Je kunt ook toegang via Winbox beperken tot 1 IP of een bepaald subnet.

code:

/ip service set winbox address=192.168.88.0/24

Ik vind Winbox soms namelijk wel handig als ik meerder zaken tegelijk wil kunnen zien.

En uiteraard geeft Mikrotik ook standaard tips over hoe je router te beveiligen:
https://wiki.mikrotik.com/wiki/Manual:Securing_Your_Router

[Theone098]

Ik heb als proef mijn RB2011 naar ROS7.1 en nu lijkt het erop dat 5Ghz Wifi niet meer werkt. Iemand hier bekend mee?

[ Voor 3% gewijzigd door Theone098 op 15-12-2021 11:33 ]

[nescafe]

Theone098 schreef op woensdag 15 december 2021 @ 11:31:
Ik heb als proef mijn RB2011 naar ROS7.1 en nu lijkt het erop dat 5Ghz Wifi niet meer werkt. Iemand hier bekend mee?

De RB2011(UiAS-2HnD-IN) doet alleen 2.4 GHz

(Er was laatst ook iemand die 7.1 linkte aan 100 Mbit op de poorten 6-10 van dit model)

[ Voor 13% gewijzigd door nescafe op 15-12-2021 11:55 ]

[Theone098]

nescafe schreef op woensdag 15 december 2021 @ 11:53:
[...]


De RB2011(UiAS-2HnD-IN) doet alleen 2.4 GHz

Duh ... al zo gewend aan dual dat ik dit vergeten was .

Thanks .

[kaaas]

@Thasaidon Ja dat is ook een goede tip en wel zo praktisch.

[Verwijderd]

Ben ik de enige die sinds v7 niet meer volle snelheid door zijn RB2011 haalt?
Kon altijd redelijk de 300Mbit vol trekken, maar sinds v7 lijkt het toch meer cpu te eisen en kom ik niet maar aan de 300 over ethernet, soms 100, soms 200.... beetje wisselend.

Zou een 4011 of een 5009 hier verbetering in brengen? (Zonde dat beide modellen slechts 1 SFP module kunnen hebben, had graag een extra SFP gehad.

[Thralas]

zx9r_mario schreef op woensdag 15 december 2021 @ 11:04:
RouterOS 7.1 heeft blijkbaar een bug dat de IPv6 gateway niet wordt meegenomen via pppoe (KPN) of via de GUI kan worden ingesteld.

Oplossing is via terminal de gateway in stellen. In geval van KPN was dit bij mij:

Ik denk dat jij een ander probleem beschijft dan waar je naar linkt, want daar wordt PPPoE niet genoemd.

Sinds v7 voegt zowel de PPPoE client als DHCPv6 een route met gelijke prefix toe. Dat interpreteert RouterOS als ECMP routes, maar het nettoresultaat is dat IPv6 helemaal niet meer werkt (de situatie na upgrade van v6 → v7).

De oplossing is om het vinkje 'Add route to default gateway' bij de DHCPv6 client weg te halen. De route die je via PPPoE krijgt werkt dan.

[kaaas]

@Verwijderd
De RB4011 en RB5009 zijn beide quadcores die per core al 2 keer zo snel zijn als een RB2011. Daar komt nog bij dat ze ook nog eens een stuk nieuwere architectuur hebben. Dus ja dat gaat zeker wel helpen.

[Freeaqingme]

@Thralas @DJSmiley @nero355 @kaaas

Thanks! Eens dat de 2004 een beetje tricky lijkt. De CCR2116-12G-4S+ lijkt ook wel intressant, maar zolang die niet leverbaar is valt die sowieso af. Als 'ie wel leverbaar zou zijn, zou nog de vraag zijn hoe betrouwbaar die is.

De opmerking over het wel/niet nodig hebben van een full bgp table is een goede. Ik ben gewend om dat wel te hebben, en het hoort er ook in grotere setups waar ik vroeger veel mee/in gewerkt een beetje bij. Maar ik denk dat ik die requirement inderdaad gewoon kan droppen. Dan heb ik in eerste instantie een handvol routes. Gaande weg zullen daar wel wat peerings bij komen, maar tegen de tijd dat dat een issue zou worden kan ik natuurlijk gewoon opnieuw kijken.

Al met al denk ik daarom het volgende te gaan bestellen:
- 2x pricewatch: MikroTik CRS326-24S+2Q+RM
- 2x pricewatch: MikroTik CCR1072-1G-8S+

Volgens mij moet het dan helemaal goedkomen? Of mis ik dan nog iets.

De refurn Juniper valt een beetje af. Vooral omdat ik dan significant meer geld uitgeef, en niet per se meer functionaliteit krijg, maar wel het gevoel dat ik met oude meuk zit

[Hmmbob]

Bij mijn schoonouders heb ik een hAP ac lite (RouterBOARD 952Ui-5ac2nD) liggen, maar de Wifi performance is daar redelijk aan het inkakken. In dezelfde ruimte krijg ik op 2.4Ghz geen signaal sterker dan -60dB binnen, en in de keuken om de hoek (klein, ouder huis) valt alles zelfs weg. hAP ligt gewoon bovenop het TV kastje (dus niet weggepropt ofzo) en eerder geen klachten gehad.

Iemand die deze wazige klacht herkent?

[ Voor 15% gewijzigd door Hmmbob op 19-12-2021 09:35 ]

[lier]

Hmmbob schreef op zondag 19 december 2021 @ 09:33:
Iemand die deze wazige klacht herkent?

Kan tal van oorzaken hebben. De hAP is wat beperkt in Wifi, heeft dit voorheen ooit beter gewerkt? Hoe is het met de interferentie op de 2.4GHz band (zijn er bijvoorbeeld veel draadloze netwerken in de buurt, zonnepanelen gekregen, )? Met welke snelheden zijn clients met de hAP verbonden? Zijn er ook legacy devices (en/of worden deze vanuit de configuratie ondersteund)?

Zou je je wireless config willen delen:
/interface/wireless/ export hide-sensitive

[Hmmbob]

lier schreef op zondag 19 december 2021 @ 09:57:
[...]

Kan tal van oorzaken hebben. De hAP is wat beperkt in Wifi, heeft dit voorheen ooit beter gewerkt? Hoe is het met de interferentie op de 2.4GHz band (zijn er bijvoorbeeld veel draadloze netwerken in de buurt, zonnepanelen gekregen, )? Met welke snelheden zijn clients met de hAP verbonden? Zijn er ook legacy devices (en/of worden deze vanuit de configuratie ondersteund)?

Zou je je wireless config willen delen:
/interface/wireless/ export hide-sensitive

Ja, performance was beter. Deze klachten zijn van de laatste weken. De 2.4 band is wel druk (drukker dan bij mij thuis), maar zoals gezegd heeft het beter gewerkt. Geen zonnepanelen etc

Wat voor legacy devices zoek je?

code:

[admin@MikroTik] /interface wireless> export hide-sensitive 
# dec/19/2021 10:19:50 by RouterOS 6.49.2
# software id = MJ8T-ECTB
#
# model = RouterBOARD 952Ui-5ac2nD
# serial number = 6CBA0610DCA7
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-Ce \
    country=netherlands disabled=no distance=indoors frequency=auto mode=\
    ap-bridge name=wlan1-2.4 ssid=Thuis station-roaming=enabled \
    wireless-protocol=802.11 wps-mode=disabled
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=20/40/80mhz-eCee \
    country=netherlands disabled=no distance=indoors frequency=auto mode=\
    ap-bridge name=wlan2-5 ssid=Thuis station-roaming=enabled \
    wireless-protocol=802.11 wps-mode=disabled
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk mode=dynamic-keys \
    supplicant-identity=MikroTik

(Wat ik zie is dat alle devices op de 5ghz hangen, inclusief de printer die boven staat)

[ Voor 11% gewijzigd door Hmmbob op 19-12-2021 10:26 ]

[lier]

Het valt me op dat je op de 2.4GHz band de volgende dingen hebt (die ik zo zou aanpassen):

• band=2ghz-b/g/n => band=2ghz-g/n
• channel-width=20/40mhz-Ce => 20 MHz (en geen extension channel gebruiken)
• fixed channel gebruiken, bij voorkeur 1, 6 of 11 (= 2412, 2437 of 24622) op basis van gebruik en aantal andere Wifi netwerken

WWM kan trouwens op enabled (kan je mee testen of dat een beter resultaat oplevert).

Overigens zijn de verbindingen van de eerste twee devices prima!

[ Voor 9% gewijzigd door lier op 19-12-2021 10:45 ]

[powerboat]

Hi Allemaal,

Ik ben me meer aan het oriënteren op Mikrotik vanwege de betaalbaarheid en omdat Ubiquiti de laatste
tijd ook wat steekjes laat vallen.

Weet iemand of er ook een CAPsMAN versie is die ik kan hosten om de AP's op verschillende locatie kan beheren? (Of een bepaalde methode).

[DJSmiley]

Freeaqingme schreef op zaterdag 18 december 2021 @ 22:43:
@Thralas @DJSmiley @nero355 @kaaas

Al met al denk ik daarom het volgende te gaan bestellen:
- 2x pricewatch: MikroTik CRS326-24S+2Q+RM
- 2x pricewatch: MikroTik CCR1072-1G-8S+

Volgens mij moet het dan helemaal goedkomen? Of mis ik dan nog iets.

De refurn Juniper valt een beetje af. Vooral omdat ik dan significant meer geld uitgeef, en niet per se meer functionaliteit krijg, maar wel het gevoel dat ik met oude meuk zit

Eens. Met een refurb juniper heb je geen slecht spul, maar wel wat ouder spul. Nu is een Juniper niet te vergelijken met een Mikrotik (hard vs software) maar dan nog.

Ik zou wel aanraden een extra PSU op de plank te hebben liggen. Ik heb meerdere verhalen gehoord van mensen die daar nog wel eens problemen mee hadden bij de 1072. (Maar afkloppen, zelf nog geen last van gehad)

De vraag is ook in hoeverre het echt een issue is dat BGP op die dingen niet supersnel is, zeker als je een default route hebt. Dan kom je vrij snel weer online bij problemen. De specifiekere routes komen dan vanzelf wel als de routetabellen geladen zijn.
En dat zal hopelijk ook niet dagelijks gebeuren. En dan nog, dat zullen een klap minder routes zijn dan een full table.

Als ik naar onze eigen routetabellen kijk zit die nog onder de 50k, waarbij de meeste prefixen (48k) vanaf SpeedIX komen. (we filteren kleiner dan /24 en he.net weg)
Dat past zelfs in een oud/klein routertje.

[Hmmbob]

lier schreef op zondag 19 december 2021 @ 10:42:
Het valt me op dat je op de 2.4GHz band de volgende dingen hebt (die ik zo zou aanpassen):

• band=2ghz-b/g/n => band=2ghz-g/n
• channel-width=20/40mhz-Ce => 20 MHz (en geen extension channel gebruiken)
• fixed channel gebruiken, bij voorkeur 1, 6 of 11 (= 2412, 2437 of 24622) op basis van gebruik en aantal andere Wifi netwerken

WWM kan trouwens op enabled (kan je mee testen of dat een beter resultaat oplevert).

Overigens zijn de verbindingen van de eerste twee devices prima!

Ik ga eens kijken of dat verschil maakt.

Die verbindingen op 5ghz zijn prima inderdaad, het is de 2.4ghz die veel zwakker binnen komt.

[orvintax]

powerboat schreef op zondag 19 december 2021 @ 13:23:
Hi Allemaal,

Ik ben me meer aan het oriënteren op Mikrotik vanwege de betaalbaarheid en omdat Ubiquiti de laatste
tijd ook wat steekjes laat vallen.

Weet iemand of er ook een CAPsMAN versie is die ik kan hosten om de AP's op verschillende locatie kan beheren? (Of een bepaalde methode).

Ik heb zelf nog nooit CAPsMAN gebruikt, maar van wat ik lees is het prima mogelijk. Je kunt RouterOS namelijk gewoon virtualizeren.

[nescafe]

@powerboat @orvintax ik zou me er eerlijk gezegd niet aan wagen. De verbinding met de controller is (ook als je local forwarding gebruikt) cruciaal en (erg) gevoelig voor onderbrekingen. Dus als de verbinding maar even wegvalt, stoppen de CAPS met werken (tot ze weer verbinding hebben).

Heb eens geadviseerd (via support) om de CAPS dan door te laten draaien met de last known good configuration maar daar is verder nooit iets mee gedaan.

Met een controller on-site (bijv. een Hex S'je) werkt het echter prima.. is goedkoper dan een UniFi Cloud Key, heeft prettiger config management, instant provisioning en wat extra netwerkpoorten

[orvintax]

nescafe schreef op zondag 19 december 2021 @ 20:29:
@powerboat @orvintax ik zou me er eerlijk gezegd niet aan wagen. De verbinding met de controller is (ook als je local forwarding gebruikt) cruciaal en (erg) gevoelig voor onderbrekingen. Dus als de verbinding maar even wegvalt, stoppen de CAPS met werken (tot ze weer verbinding hebben).

Heb eens geadviseerd (via support) om de CAPS dan door te laten draaien met de last known good configuration maar daar is verder nooit iets mee gedaan.

Met een controller on-site (bijv. een Hex S'je) werkt het echter prima.. is goedkoper dan een UniFi Cloud Key, heeft prettiger config management, instant provisioning en wat extra netwerkpoorten

Maar wat is dan het voordeel van dat tegenover virtualisatie?

[allure]

Ik heb ook op verschillende sites met een lokale CAPsMAN gewerkt, je zou dan met ROMON verbinding kunnen maken van "buitenaf"

[nescafe]

orvintax schreef op zondag 19 december 2021 @ 20:34:
[...]

Maar wat is dan het voordeel van dat tegenover virtualisatie?

Virtualisatie is het probleem niet, verschillende locaties m.i. wel. Ik zou daarom de controller zo dicht mogelijk bij de AP's zetten. Of één van de APs als controller inzetten.

Virtualisatie kan best, maar dan moet je wel een hypervisor op locatie hebben (en er komen de kosten van een CHR P1-licentie bij).

[kaaas]

@Freeaqingme
Als de bgp snelheid minder belangrijk is zou ik zeker nog even bij v6 blijven. Maar je kunt met v6 zeker wel full bgp gebruiken.
Verder denk ik dat je met je keuze wel de meest stabiele mikrotik setup hebt.

[Freeaqingme]

kaaas schreef op zondag 19 december 2021 @ 23:39:
@Freeaqingme
Als de bgp snelheid minder belangrijk is zou ik zeker nog even bij v6 blijven.

Waarom?

Overigens zijn de spullen besteld, op 1 router na. Alle webshops gaven als voorraad 1 stuks aan en gebruikten ogenschijnlijk dezelfde leverancier (na het bestellen veranderde de voorraad op al die sites naar 0 stuks op voorraad). Vandaag even kijken wat de levertijd van het tweede exemplaar gaat worden.

[orvintax]

Freeaqingme schreef op maandag 20 december 2021 @ 07:01:
[...]


Waarom?

Overigens zijn de spullen besteld, op 1 router na. Alle webshops gaven als voorraad 1 stuks aan en gebruikten ogenschijnlijk dezelfde leverancier (na het bestellen veranderde de voorraad op al die sites naar 0 stuks op voorraad). Vandaag even kijken wat de levertijd van het tweede exemplaar gaat worden.

Omdat sommige dingen in RouterOS 7 nog niet allemaal even lekker werken, en als je de extra BGP snelheid niet nodig hebt (wat een van de grootste al dan niet de grootste features van ROS 7 is) dan is het misschien niet verstandig om te upgraden.

[orvintax]

nescafe schreef op zondag 19 december 2021 @ 20:37:
[...]


Virtualisatie is het probleem niet, verschillende locaties m.i. wel. Ik zou daarom de controller zo dicht mogelijk bij de AP's zetten. Of één van de APs als controller inzetten.

Virtualisatie kan best, maar dan moet je wel een hypervisor op locatie hebben (en er komen de kosten van een CHR P1-licentie bij).

Aha, ik had het niet zo goed gelezen Ik had niet door dat die bedoelde om verschillende locaties te beheren met 1 manager.

[DJSmiley]

Freeaqingme schreef op maandag 20 december 2021 @ 07:01:
[...]


Waarom?

Overigens zijn de spullen besteld, op 1 router na. Alle webshops gaven als voorraad 1 stuks aan en gebruikten ogenschijnlijk dezelfde leverancier (na het bestellen veranderde de voorraad op al die sites naar 0 stuks op voorraad). Vandaag even kijken wat de levertijd van het tweede exemplaar gaat worden.

Prijzen en levertijden zijn ook bij Mikrotik steeds lastiger aan t worden

Overigens: Staat niet in de PW, maar heeft vaak wel voorraad en goede prijzen: Interprojekt
Die hebben de 1072 ook voorradig ( https://www.ip-sa.com.pl/mikrotik/CCR1072-1G-8S )

Kwa RouterOS: Ik zou idd zelf op de CCR1072 ROS 6 draaien, zeker als je een kleine routetabel hebt. ROS7 is nog niet heel lang uit en ik wacht even de eerste bugs af die hiermee tevoorschijn komen.

Liever een stabiel OS met een langzamere BGP performance dan 'betatester' zijn. (ook al is 7 final - bij elk OS wacht ik tegenwoordig liever een paar maand voor het in productie te draaien)

[Hmmbob]

DJSmiley schreef op maandag 20 december 2021 @ 10:28:
Overigens: Staat niet in de PW, maar heeft vaak wel voorraad en goede prijzen: Interprojekt
Die hebben de 1072 ook voorradig ( https://www.ip-sa.com.pl/mikrotik/CCR1072-1G-8S )

Oh, dacht dat dat sowieso een beetje de go-to leverancier was

[kaaas]

@Freeaqingme Wat orvitax zegt, ROSv7 is net 1 release uit de beta. Voor thuis is 7 zeker het overwegen waard in productie alleen als er functies in zitten die je heel hard nodig hebt.

[Freeaqingme]

@DJSmiley thanks. De tweede router besteld bij die Poolse club. Had 'm zelf niet gevonden, maar stond natuurlijk gewoon in de TS.

In principe eens over de OS versie. Enige puntje is wel dat ROSv6 5+ jaar gebetatest is. Als mijn setup in 't begin omvalt is 't geen ramp, scheelt me weer upgraden en testen later. Ook mogelijk dat ik 1 router op ROSv7 draai, en de andere op ROSv6. We'll see

Voor de switches denk ik dat ik sowieso aan v7 vast zit, aangezien ik verwacht MCLAG te gebruiken, en dat is pas vrij recent in v7 geintroduceerd.

[powerboat]

Hmm, lijkt me dan dat ik beter een lokale CAPsMAN kan gebruiken? Zit CAPsMAN ook in de AP's of moet ik daar een mikrotik router voor hebben?

[allure]

Dat zit ook in een (c)AP.

[Verwijderd]

Gister de update van 7.1 > 7.1.1 gedaan.
Mijn router had wat aangepast interface namen, maar om de een of andere reden zijn die gereset naar default.
Opzicht geen ramp, ware het niet dat de bridge de nieuwe namen niet snapte, geen poorten meer had en de router dus compleet stierf.

Uiteindelijk via serial console er in gekomen en de backup teruggezet.
Maar de updates binnen v7: pas op! (en maak backups)

[orvintax]

Verwijderd schreef op woensdag 22 december 2021 @ 20:24:
Gister de update van 7.1 > 7.1.1 gedaan.
Mijn router had wat aangepast interface namen, maar om de een of andere reden zijn die gereset naar default.
Opzicht geen ramp, ware het niet dat de bridge de nieuwe namen niet snapte, geen poorten meer had en de router dus compleet stierf.

Uiteindelijk via serial console er in gekomen en de backup teruggezet.
Maar de updates binnen v7: pas op! (en maak backups)

Heb zelf ook een upgrade gedaan en heb nergens last van

[S4All]

Ik ben mij aan inlezen in microtik als router voor een KPN glasvezel met IPTV verbinding.
In februari komt hier eindelijk glasvezel (nou ja wordt het afgemonteerd, de kabel is er al een maand )

Ik zat te kijken naar de config van netwerkje.com, maar in de verschillende stappen matchen een aantal zaken niet met elkaar (oa namen van bridges).
Blijkbaar (als ik de topics hier mag geloven) breken meerdere mensen iedere keer hun nek op de uitleg van netwerkje.com

Dus ik vroeg mij af of iemand een werkende config heeft die hij/zij wil delen.
Het liefst met een apart vlan voor de tv tuners.

Ik ben zelf wel al aan het knippen en plakken, maar zonder verbinding is het lastig testen en het liefst heb ik een werkende config zonder te veel storingen (iets met WAF )

[Hmmbob]

Waarom wil je een apart vlan voor de TV boxen?

[Hmmbob]

Vraag voor mezelf: ik heb nu nog een Rb2011 met wifi uit 2013 ofzo, zat eraan te denken om die langzaamaan eens te vervangen. Heb geen wifi nodig (want APs), maar welke kan ik dan het beste kiezen?

De 3011, 4011, 5009?

[mbovenka]

Hmmbob schreef op donderdag 23 december 2021 @ 13:42:
Vraag voor mezelf: ik heb nu nog een Rb2011 met wifi uit 2013 ofzo, zat eraan te denken om die langzaamaan eens te vervangen. Heb geen wifi nodig (want APs), maar welke kan ik dan het beste kiezen?

De 3011, 4011, 5009?

Ik zou zeggen een 4011 of een 5009. Plus van de 5009 zijn de krachtiger CPU en de 2.5G poort, minpuntje (vooralsnog) is dat hij ROS 7 only is. En ROS 7 mag dan ondertussen gereleased zijn, er zijn toch nog wel wat issues mee.

Als je nu iets wil hebben zou ik voor de 4011 gaan, als je de eerste stuiptrekkingen van 7.x kunt afwachten en ergens volgend jaar wat wil kopen de 5009.

[Hmmbob]

Voor mij zijn de igmp-proxy, een l2tp/ipsec VPN server en een GRE tunnel van belang - zijn daar issues mee?

[Thralas]

Tenzij je een van de oudere modellen voor een redelijke prijs kunt overnemen zou ik de RB5009 kopen.

v7 is inderdaad relatief nieuw en heeft nog genoeg issues, maar de basics (NAT + firewall) doen 't voor zover ik kan overzien gewoon

Hmmbob schreef op donderdag 23 december 2021 @ 14:21:
Voor mij zijn de igmp-proxy, een l2tp/ipsec VPN server en een GRE tunnel van belang - zijn daar issues mee?

IPsec, IGMP proxy (TV) en GRE werken hier zonder problemen op v7.

L2TP gebruik ik niet, maar tav. VPN zou ik vooral ook WireGuard niet vergeten (mits je controle hebt over de peer).

[mbovenka]

Hmmbob schreef op donderdag 23 december 2021 @ 14:21:
Voor mij zijn de igmp-proxy, een l2tp/ipsec VPN server en een GRE tunnel van belang - zijn daar issues mee?

Een L2TP/IPsec VPN heb ik zelf ook (op een CCR1036 met 7.1beta6) en die draait probleemloos (iets wat ik van Wireguard niet kan zeggen). igmp-proxy & GRE zou ik niet weten; misschien even op het MikroTik forum rondkijken.

[Hmmbob]

.

Beter lezen

[ Voor 90% gewijzigd door Hmmbob op 23-12-2021 14:33 ]

[mbovenka]

Thralas schreef op donderdag 23 december 2021 @ 14:25:
L2TP gebruik ik niet, maar tav. VPN zou ik vooral ook WireGuard niet vergeten (mits je controle hebt over de peer).

Ik heb op mijn CCR1036-8G-2S+ slechte ervaringen met ROS7 (7.1beta6) en Wireguard. Hier ging het hele ding onderuit (kernel error & reboot) toen ik een peer wilde deleten. Komende week maar eens naar 7.1.1 upgraden en nog eens proberen.

[Hmmbob]

Dan wordt het een Rb5009, prijsverschil bij Interprojekt is vrijwel nihil. Gooi er meteen een hAP ac3 (RBD53iG-5HacD2HnD) voor de schoonouders bij, en de bestaande Rb2011+hAP ac lite (952Ui-5ac2nD) gaan de verkoop in.

[orvintax]

mbovenka schreef op donderdag 23 december 2021 @ 14:34:
[...]


Ik heb op mijn CCR1036-8G-2S+ slechte ervaringen met ROS7 (7.1beta6) en Wireguard. Hier ging het hele ding onderuit (kernel error & reboot) toen ik een peer wilde deleten. Komende week maar eens naar 7.1.1 upgraden en nog eens proberen.

Sinds ROS 7 gebruik ik ook Wireguard en dat gaat hier zonder problemen op een RB3011.

[jvanhambelgium]

Heb ondertussen de 5009 in parallel naar m'n productie RB3011 (v 6.47.7) draaien.
Beide zijn verbonden op het modem van de ISP, beide hebben dus een PPPoE sessie naar dezelfde ISP met verschillende publiek IP.

De RB5009 heb ik op 7.2rc1 draaien en voor "basis gebruik" nog niks abnormaal gezien. Ben oa met ZeroTier aan de slag en ga WireGuard ook es proberen.

[lolgast]

@Hmmbob Ik heb een paar maanden geleden een RB4011 voor €75 gekocht via MP. Daarmee vergeleken zie ik niet hoe de meerprijs van de RB5009 gerechtvaardigd is. Voor mij althans

[Hmmbob]

Ja te laat jonguh, t is al besteld

[Hmmbob]

Ziet er naar uit dat ik ook site-to-site wireguard kan gebruiken. Dat is wellicht makkelijker op te zetten dan de GRE tunnel die ik nu heb

[nero355]

Hmmbob schreef op donderdag 23 december 2021 @ 13:40:
Waarom wil je een apart vlan voor de TV boxen?

Omdat het gewoon de betere oplossing is :
- Geen Multicast gerelateerde storingen, omdat je een Apple/Google/Amazon of willekeurige TV op je netwerk aansluit!
- Geen gezeik met IGMP Snooping op je netwerk doordat je hooguit maar 3 of 4 poorten in gebruik hebt waar het IPTV verkeer heen moet!

Kortom : Simpeler en betrouwbaarder uiteindelijk!

Maar...

Hou er rekening mee dat er steeds meer ISP's zijn die alles via Unicast over de WAN verbinding heen gooien en dat probleem dus steeds minder wordt!
ISP's die het zo doen als je een nieuwe verbinding bij ze aanvraagt : Caiway/Delta en T-Mobile

[S4All]

nero355 schreef op donderdag 23 december 2021 @ 16:19:
[...]

Omdat het gewoon de betere oplossing is :
- Geen Multicast gerelateerde storingen, omdat je een Apple/Google/Amazon of willekeurige TV op je netwerk aansluit!
- Geen gezeik met IGMP Snooping op je netwerk doordat je hooguit maar 3 of 4 poorten in gebruik hebt waar het IPTV verkeer heen moet!

Kortom : Simpeler en betrouwbaarder uiteindelijk!

Dit dus en geen blackbox rotzooi bij mijn andere devices

De bedoeling is zo wie zo om een paar extra segmenten te maken: HomeAutomation/Servers/Guest/Prutsnetwerk/etc

Maar dat kan later eerst de basis aan de gang (TV en Internet voor de baas )

Maar terug naar mijn vraag: heeft iemand een config die ik kan uitpluizen/gebruiken/jatten?

[Serefsiz]

Zijn er nog mensen die anno 2021 mikrotik cap acs plaatsen bij mkb bedrijven(10-20 gebruikers)? Of is wifi van mikrotik zo achterhaald dat ik beter naar andere merken kan kijken?

Ik zie altijd heel veel kritiek maar volgens mij bied een cap ac nog steeds voldoende snelheid voor 99% van de gebruikers. Ja je hebt geen wave2/fast roaming etc maar het internet staat ook weer vol met adviezen om het allemaal uit te zetten omdat clients er vaak niet goed mee om kunnen gaan.

Ik heb zelf alleen in een thuissituatie ervaring en daar draait het maanden lang stabiel.

[Verwijderd]

Serefsiz schreef op vrijdag 24 december 2021 @ 02:19:
Zijn er nog mensen die anno 2021 mikrotik cap acs plaatsen bij mkb bedrijven(10-20 gebruikers)? Of is wifi van mikrotik zo achterhaald dat ik beter naar andere merken kan kijken?

Wat zou er achterhaald aan zijn? Oke, wifi6 missen ze nog, maar is dat inmiddels al een officiële standaard?

Zeker als je CAPsMAN gebruikt en PoE is Mikrotik echt een geweldig platform om een hele zwik aan AP's uit te rollen. Snelheid zou ik niet als issue zien, trek er met gemak 100Mbit/sec over, pieken liggen rond de 150Mbit/sec. Wie waarde hecht aan een hele hoge en stabiele snelheid moet aan een kabel gaan hangen.

Hmmbob schreef op donderdag 23 december 2021 @ 13:40:
Waarom wil je een apart vlan voor de TV boxen?

Devices van een 3e partij waar je geen invloed op hebt, wil je die in hetzelfde netwerk als je andere spullen?

[ Voor 16% gewijzigd door Verwijderd op 24-12-2021 07:15 ]

[chaoscontrol]

Serefsiz schreef op vrijdag 24 december 2021 @ 02:19:
Zijn er nog mensen die anno 2021 mikrotik cap acs plaatsen bij mkb bedrijven(10-20 gebruikers)? Of is wifi van mikrotik zo achterhaald dat ik beter naar andere merken kan kijken?

Ik zie altijd heel veel kritiek maar volgens mij bied een cap ac nog steeds voldoende snelheid voor 99% van de gebruikers. Ja je hebt geen wave2/fast roaming etc maar het internet staat ook weer vol met adviezen om het allemaal uit te zetten omdat clients er vaak niet goed mee om kunnen gaan.

Ik heb zelf alleen in een thuissituatie ervaring en daar draait het maanden lang stabiel.

wave2 zit in ROS 7+ en werkt op alle devices met ARM CPU en minimaal 256MB ram.

[Serefsiz]

chaoscontrol schreef op vrijdag 24 december 2021 @ 10:03:
[...]

wave2 zit in ROS 7+ en werkt op alle devices met ARM CPU en minimaal 256MB ram.

Klopt, maar volgens mij hebben ze nog geen opvolger voor de CAP AC met minimaal 256MB. Dus voorlopig heb je er nog niks aan als je aan de plafond wat AP's wilt installeren.

[jvanhambelgium]

Voor de WireGuard gebruikers. Hoe configureren jullie de "client(s)" ?
Ik heb de WG-app on m'n Android gezet, maar het is beetje gek om keys te gaan liggen "overtypen" ?

Op de Android-app kan je iets met een QR-code doen, en er bestaat ook een QR-generator

https://www.wireguardconfig.com/qrcode

Gebruiken jullie zo iets ? Ik krijg het niet echt werkend, telkens klaagt de app bij het QR-scannen over ongeldige settings.

[Coppertop]

jvanhambelgium schreef op vrijdag 24 december 2021 @ 13:56:
Voor de WireGuard gebruikers. Hoe configureren jullie de "client(s)" ?
Ik heb de WG-app on m'n Android gezet, maar het is beetje gek om keys te gaan liggen "overtypen" ?

Op de Android-app kan je iets met een QR-code doen, en er bestaat ook een QR-generator

https://www.wireguardconfig.com/qrcode

Gebruiken jullie zo iets ? Ik krijg het niet echt werkend, telkens klaagt de app bij het QR-scannen over ongeldige settings.

Ik heb ze in mijn wachtwoordkluis gestopt.

[chaoscontrol]

Ik neem het scherm van het android toestel over met scrcpy en copy paste het. Het is ook niet of ik dat elke dag doe.

[kaaas]

@S4All
Volgens mij klopt netwerkje.com redelijk
Het enige dat er mist geloof is ik een firewall rule om het tv verkeer door te laten. Ik heb zelf geen tv, maar een keer voor iemand anders geconfigureerd.
Ik zou zeggen doe de basis config, prop al je verkeer in 1 vlan zorg dat het werk en ga dan vlans toevoegen.
Als je hulp met vlans nodig hebt laat het weten.
Afhankelijk van je hardware kun je je vlans op verschillende manieren doen. Het meest simpele is via de bridge, maar het is dan wel handig als je hardware support daar voor hebt of genoeg cpu.

[ Voor 21% gewijzigd door kaaas op 24-12-2021 15:09 ]

[nero355]

Serefsiz schreef op vrijdag 24 december 2021 @ 02:19:
Zijn er nog mensen die anno 2021 mikrotik cap acs plaatsen bij mkb bedrijven(10-20 gebruikers)? Of is wifi van mikrotik zo achterhaald dat ik beter naar andere merken kan kijken?

Ik zie altijd heel veel kritiek maar volgens mij bied een cap ac nog steeds voldoende snelheid voor 99% van de gebruikers. Ja je hebt geen wave2/fast roaming etc maar het internet staat ook weer vol met adviezen om het allemaal uit te zetten omdat clients er vaak niet goed mee om kunnen gaan.

Wave2 maakt geloof ik wel MU-MIMO mogelijk en dat is niet verkeerd om te hebben i.c.m. Clients die tegelijk actief zijn, maar dan moeten ze het uiteraard ook wel zelf ondersteunen...

Verwijderd schreef op vrijdag 24 december 2021 @ 07:14:
Wat zou er achterhaald aan zijn? Oke, wifi6 missen ze nog, maar is dat inmiddels al een officiële standaard?

Ondertussen al een tijdje officiëel inderdaad!

Zeker als je CAPsMAN gebruikt en PoE is Mikrotik echt een geweldig platform om een hele zwik aan AP's uit te rollen. Snelheid zou ik niet als issue zien, trek er met gemak 100Mbit/sec over, pieken liggen rond de 150Mbit/sec. Wie waarde hecht aan een hele hoge en stabiele snelheid moet aan een kabel gaan hangen.

Dat klinkt als een 1x1 Client op 802.11ac want dat is eigenlijk helemaal niet zoveel...

2x2 Clients gaan al gauw richting de 600 Mbps @ VHT80 namelijk!

jvanhambelgium schreef op vrijdag 24 december 2021 @ 13:56:
Voor de WireGuard gebruikers. Hoe configureren jullie de "client(s)" ?
Ik heb de WG-app on m'n Android gezet, maar het is beetje gek om keys te gaan liggen "overtypen" ?

Op de Android-app kan je iets met een QR-code doen, en er bestaat ook een QR-generator

https://www.wireguardconfig.com/qrcode

Gebruiken jullie zo iets ? Ik krijg het niet echt werkend, telkens klaagt de app bij het QR-scannen over ongeldige settings.

Je kan toch de key aanmaken en dan via ADB uploaden naar je telefoon

Effe Developer Options aanzetten en USB Debugging en gaan met die banaan!

[Verwijderd]

nero355 schreef op vrijdag 24 december 2021 @ 16:30:
[...]

Dat klinkt als een 1x1 Client op 802.11ac want dat is eigenlijk helemaal niet zoveel...

2x2 Clients gaan al gauw richting de 600 Mbps @ VHT80 namelijk!

[...]

Geen idee of ik 1x1 of 2x2 doe, of VHT80
Maar tips over hoe capsman in te stellen zijn natuurlijk meer dan welkom
Clients is een heel assortiment hier in huis

[Thasaidon]

Ik wens iedereen hier hele fijne kerstdagen en alvast een voorspoedig 2022!
Dat het maar een mooi MikroTik jaar mag worden

[jvanhambelgium]

Ik probeer hier een WireGuard op te zetten maar het lukt echt niet, en het lijkt precies de Android client te zijn ?!
Ik gebruik de "WireGuard for Android v1.0.20211029" op een moderne Galaxy S21 Ultra phone.(gewoon uit de Playstore)
Ik maak m'n verbinding/peer aan zowel op kant RB5009 (heb zowel 7.1.1 als 7.2.rc1 geprobeerd) en de client. De moment dat ik wil verbinden zie ik *NIKS* toekomen op de Mikrotik. Ik gebruik de UDP-13231
Dit pakket moet ik normaal op de INPUT-chain zien verschijnen. Noppes. Nada.

Doe ik op dezelfde phone een Chrome-browser open en geeft http://publiek.ip.RB5009:13231 in zie ik direct een hit op m'n INPUT-chain (welliswaar een drop, maar zo weet ik dat TCP/13231 alvast wel degelijk toekomt, ok WireGuard is UDP/13231 maar toch...)
Heb sowieso op m'n INPUT-chain helemaal bovenaan een rule staan om UDP-13231 toe te laten en sowieso zie 0,0 in de logs, Torch ook niks etc,etc.

Android gebruikers, welke client gebruiken jullie ?

[lier]

Kan je eens testen met een Windows client, @jvanhambelgium ?
En anders hier je (Wireguard) config posten: /interface/wireguard/ export hide-sensitive

En heb je hairpin nat ingericht (of gebruik je het interne IP adres van je Wireguard server/4G op je mobiel)?

[Thralas]

En: hoe test je?

Je weet dat WireGuard in principe geen notie van een 'verbinding' heeft, en pas zal handshaken als je verkeer genereert dat door de tunnel moet? Voor die tijd zie je dus ook geen verkeer.

[jvanhambelgium]

@Thralas Da's nuttig info dat je daar aangeeft, ik dacht dat je op z'n minst iets van handshake ging hebben de moment ik op die Android de WG "enable" zet. Heb alle apps "toegelaten" .

Ik heb ook m'n "Allowed IP"s op 0.0.0.0/0 gezet in de veronderstelling dat ik alles van m'n Phone nu in de WG-tunnel zou gooien en nu zie ik idd hits in m'n logging!

Thx for the tip ;-)

[nero355]

Verwijderd schreef op vrijdag 24 december 2021 @ 19:09:
Geen idee of ik 1x1 of 2x2 doe, of VHT80
Maar tips over hoe capsman in te stellen zijn natuurlijk meer dan welkom
Clients is een heel assortiment hier in huis

Gewoon zoals altijd :
- VHT 80 dus als Channel Width
- 2.4 GHz zo laag mogelijk : 4 dBi of zo
- 5 GHz zo hoog mogelijk : 20 dBi meestal
- Op 2.4 GHz alleen Channels 1,6,11 gebruiken!
- Op 5 GHz Channels kiezen die elkaar niet overlappen en DFS Channels vermijden waar mogelijk!

En dan lekker meten en het aantal dBi aanpassen waar nodig om overlapping zoveel mogelijk te voorkomen!

[TheExperiment]

Ik gebruik ook de officiële wireguard app op Android. Ik had wel eerst problemen dat ik ook niks zag binnenkomen. Niks in mijn log file te zien. Ik had alles via webfig gedaan en gelezen op het forum dat daar voor wireguard wat problemen mee waren in v7. Alles verwijdert en via console ingegeven en toen werkte het, voor mij alleszins, wel.
Heb je via console of webfig de configuratie gedaan?

jvanhambelgium schreef op zaterdag 25 december 2021 @ 13:24:
Ik probeer hier een WireGuard op te zetten maar het lukt echt niet, en het lijkt precies de Android client te zijn ?!
Ik gebruik de "WireGuard for Android v1.0.20211029" op een moderne Galaxy S21 Ultra phone.(gewoon uit de Playstore)
Ik maak m'n verbinding/peer aan zowel op kant RB5009 (heb zowel 7.1.1 als 7.2.rc1 geprobeerd) en de client. De moment dat ik wil verbinden zie ik *NIKS* toekomen op de Mikrotik. Ik gebruik de UDP-13231
Dit pakket moet ik normaal op de INPUT-chain zien verschijnen. Noppes. Nada.

Doe ik op dezelfde phone een Chrome-browser open en geeft http://publiek.ip.RB5009:13231 in zie ik direct een hit op m'n INPUT-chain (welliswaar een drop, maar zo weet ik dat TCP/13231 alvast wel degelijk toekomt, ok WireGuard is UDP/13231 maar toch...)
Heb sowieso op m'n INPUT-chain helemaal bovenaan een rule staan om UDP-13231 toe te laten en sowieso zie 0,0 in de logs, Torch ook niks etc,etc.

Android gebruikers, welke client gebruiken jullie ?

[jvanhambelgium]

Uiteindelijk heb ik via console ook nog es een keertje de config (opnieuw) gedaan. Nu ik *denk* dat m'n probleem eerder iets was met de "allowed IP-ranges" ook ofzo. Sinds gisteren werkt alles prima.