[MikroTik-apparatuur] Ervaringen & Discussie

[Verwijderd]

Ja, nu doet mijn RB2011 het goed met de VDSL lijn van 50 / 5 (ik haal ook 48 / 5 Mbps). Maar straks in het nieuwe huis, komt glasvezel.

geen idee of de huidige 2011 het wel trekt.

Maar huis wordt pas over een jaar opgeleverd, tegen die tijd zien wij wel.

[maomanna]

Hopelijk kan de 3011 wel 200+ mbit verwerken. Dan zou die gelijk de crs125 en de 2011 eruit schoppen

[loyske]

Ben ik ook benieuwd naar. Zat al tijdje te kijken naar een RB951G, nu maar even wachten op de 3011 en wat performance reviews. Hopelijk komt ie snel uit!
Heb een 120/12 Ziggo en wil graag een router die de komende jaren meegaat en niet de deur uitmoet bij de eerstvolgende speed upgrade van Ziggo.

Of toch maar voor een RB850Gx2 gaan.... dilemma

[ Voor 8% gewijzigd door loyske op 29-03-2015 11:31 ]

[RedShift]

Zelf een RB2011UiAS-2HnD-IN gekocht om mee te spelen. Ik zou voor de performance van deze op maximum 200 mbit rekenen, en dan mag je nog niet zo helemaal zot doen met de firewall. Voor zwaardere verbindingen zeker een hoger model nodig. Aangezien gespeculeerd wordt dat de 3011 een 1,2 GHz CPU heeft (dubbel zo snel als de 2011), verwacht ik dat je die op een 400 mbit verbinding kan zetten.

[Thralas]

Dat is wel een puntje van zorgen ja. Hoewel 250 Mbit/s ook nog wel te halen valt volgens sommigen, moet je dan toch echt goed gaan tunen en niets meer dan plain NAT en firewalling doen.

Dat alles maal twee, en met die 400-500 Mbit/s kom je dan eigelijk net tekort voor een glasabo van 500/500. Al hoop ik stiekem dat men het conservatief inschat, de RB2011 heeft immers een enkele MIPS core @ ~600 MHz, je zou toch zeggen dat een dual core ARM @ 1.2 GHz dan toch wel meer dan 2x de throughput zou kunnen halen, los van de (belangrijke) architectuurverschillen.

In die zin is de hAP ac waarschijnlijk ook niet echt een upgrade qua routing speeds tov. de RB951G - ongetwijfeld gebaseerd op een willekeurig populair 802.11ac QCA-chipsetje.. ach ja, het lijkt me in ieder geval een fijn AP.

[Ioramus]

maomanna schreef op zaterdag 28 maart 2015 @ 21:38:
Hopelijk kan de 3011 wel 200+ mbit verwerken. Dan zou die gelijk de crs125 en de 2011 eruit schoppen

Mwah, ik houd mijn CRS215 en RB1100AHx2 wel aan hoor heb die poorten nodig.


Ben wel erg benieuwd naar de winkelprijs van die nieuwe hAP ac - die kan ik goed gebruiken om het 5GHz bereik van mijn WiFi wat op te krikken in huis als het een schappelijk prijsje is.

[ Voor 24% gewijzigd door Ioramus op 30-03-2015 10:20 ]

[Mattie112]

Ook even de sheets bekeken van Mikrotik, zit echt te wachten tot (alle) specs vrijgegeven worden. Binnekort verhuizen en mijn 2011 wil ik bij mn ouders laten staan (altijd handig om een tunneltje op te zetten).
Zelf ga neem ik 100/100 glasvezel en ik zat net te twijfelen wat te kopen:

- 2011 met een 'los' WiFi (AC) access pointje
- 2011 met intergrated WiFi (en geen AC) (of evt los RB951 oid)
- CRS109-8G-1S-2HnD-IN (maargoed dat is dan weer een L3 switch)


Als ik dan nu zo eens naar de producten kijk dan kan ik gaan naar
- RB3011 (met wifi indien 2.4ghz + 5ghz te combineren is)
- hAP ac (lite afh van de prijs)

Gaat nog een lastige keuze worden zo.....

Is er tijdens de stream langsgekomen wanneer de specs/prijzen bekend worden?

[ShadowBumble]

Mattie112 schreef op maandag 30 maart 2015 @ 15:10:
Is er tijdens de stream langsgekomen wanneer de specs/prijzen bekend worden?

http://i.mt.lv/eu15.pdf
Rechtsboven in de slide staat het kwartaal, Rechtonder de advies prijs
Ik ben wel benieuwd naar de RB3011 mits deze inderdaad 2,4Ghz en 5Ghz ondersteunt.

Advies prijs zou rond de 200USD liggen. Dus de keuze word moeilijk tussen een Pfsense bak dan en de RB3011. Als ik met een los AP moet gaan werken komt er een hAP met een pfsense machine.

[loyske]

RB3011 zou maar 1 pci slot hebben, dus 2,4Ghz of 5Ghz, maar niet beiden

[Mattie112]

Ah verrek, die Qx was mij nog niet eens opgevallen....

Naja daar ga in in elk geval niet op wachten. Dus of een 2011 en later evt upgraden of eerst een 'standaard' routertje (van de provider) neer gooien.... Toch wel lastig

Allicht ook maar eens serieus kijken naar PFsense ja, gaat wel een prijzig grapje worden zo

[MvL]

Ik ben geïnteresseerd in twee CRS226-24G-2S+RM Hoe zit dat nou met link aggregation? Ik lees hier op de Microtik forums hele verschillende verhalen over.

[maarud]

Die hAP'jes zijn goedkoop en best grappig...met deze nieuwe producten hebben ze volgens mij wel een goede slag geslagen.

[MvL]

MvL schreef op dinsdag 31 maart 2015 @ 20:55:
Ik ben geïnteresseerd in twee CRS226-24G-2S+RM Hoe zit dat nou met link aggregation? Ik lees hier op de Microtik forums hele verschillende verhalen over.

Mischien moet ik mezelf even verduidelijken. Ik wil graag mijn Synology nas met minimaal twee utp's verbinden. Ook zou ik graag mijn pc in de toekomst met twee utp's willen verbinden. Hiervoor heb je link aggregation nodig maar ik lees veel verschillende berichten op de Microtik forums of dit wel ondersteunt wordt.

[rohaantje]

Mijn hAP lite's zijn ook binnen.. Eindelijk!!!(Probleem met aflevering. Hier in Finland hebben ze blijkbaar geen deurbel bedacht voor appartementen)

Mijn eerst ervaringen is dat 50/50 verbinding met standaard instellingen voor een homeAP no problem at all is. Verder moet ik nog op onderzoek uit.

Dit wordt voor nu mijn testlab om bekend te worden met CAPsMAN, WDS en vlans.

[Hoteldebotel]

De nieuwe producten zien er wel tof uit inderdaad. Echter zie ik nog geen noodzaak om thuis te upgraden vanaf de RB2011 naar de RB3011. Ik haal dik de beloofde 200MBit/s van Ziggo. Wel jammer dat de RB3011 nog geen dualband kan leveren. Toch maar eens kijken naar zo'n hAP voor wifi AC

[allure]

Heeft iemand hier al eens een Wlan interface als WAN gebruikt en tegelijkertijd ook een AP opgezet? Ik wil dit gaan doen met een hAP.

[Thralas]

Dat kan niet, zover ik weet. AP of STA, niet beide tegelijk.

[allure]

Damn, dat is jammer...

[kasteleman]

Vind de nieuwe HAP AC's wel interessant. Is de POE in nog steeds passive?
Heb nl een POE switch, maar mijn 450 van mikrotik werkt daar niet mee. Heb je weer een converter voor nodig.....

[maomanna]

Ik overweeg om mijn netwerk op de schop te gooien en de crs125 de deur te wijzen. Met name vanwege de zeer brakke wifi.
komt niet verder dan 15mbit, ook niet als je er naast staat. Binnenhuis is de 3g vaak nog sneller. En ik de tuin wel wifi ontvangst, maar dat gaat niet verder dan een schamele 0.7mbit down en 0,05mbit up. Een hAP bijplaatsen? Het kan wel.

Zal vanavond mn wifi config printen en posten.

Maar als ik de crs de deur zou wijzen, wat zou een alternatief zijn? Ook voor de toekomst, waar ik over wil naar 500/500.

[ Voor 17% gewijzigd door maomanna op 15-04-2015 11:12 ]

[Verwijderd]

Als de CRS bekabeld goed zijn werk doet, hou hem dan. Dat er een brakke WiFi is, so be it. Zet dan een AP op.

Bv die mooie Ubiquity tegen het plafond of tegen de wand. Zeer stabiel en betrouwbaar.

Laat ieder zijn werk doen waar hij goed in is. Dus Mikrotik mag routeren, VPN-en etc.... en de Ubiquity, de WiFi....

[maomanna]

bekabeld werkt ie perfect!
zelfs intern tegen de 1100mbit aan.

Alleen als ik over 2 maandjes mijn glas kan verhogen naar 500/500, gaat de CRS het niet meer trekken, zo lees ik uit ervaringen.
Is het dan nog de moeite waard om een AP toe te voegen? of een nieuwe constructie overwegen? Iets voor de CRS waarmee ik de 500 wel kan halen?

*edit*
Mn config:

code:

/interface wireless> export
# apr/15/2015 22:10:31 by RouterOS 6.27
# software id = S9DB-6X2A
#
/interface wireless
set [ find default-name=wlan1 ] antenna-gain=30 band=2ghz-b/g/n \
    channel-width=20/40mhz-ht-above disabled=no distance=indoors frequency=\
    2462 ht-ampdu-priorities=0,1,2 l2mtu=2290 mode=ap-bridge ssid=****** \
    wireless-protocol=802.11
/interface wireless nstreme
set wlan1 enable-polling=no
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk eap-methods="" \
    group-ciphers=tkip mode=dynamic-keys unicast-ciphers=tkip \
    wpa-pre-shared-key=****** wpa2-pre-shared-key=******
add authentication-types=wpa-psk,wpa2-psk eap-methods="" \
    management-protection=allowed mode=dynamic-keys name=zelf \
    supplicant-identity="" wpa-pre-shared-key=****** wpa2-pre-shared-key=\
    ******
add authentication-types=wpa-psk,wpa2-psk eap-methods="" \
    management-protection=allowed mode=dynamic-keys name=test \
    supplicant-identity="" wpa-pre-shared-key=****** wpa2-pre-shared-key=\
    ******

wellicht dat hier nog wat dingen aangepast kunnen worden?

[ Voor 63% gewijzigd door maomanna op 15-04-2015 22:12 ]

[Thralas]

Je schrijft je CRS125 vrijwel meteen af, maar 'brakke WiFi' is in bijna alle gevallen te wijten aan een overvol 2.4 GHz-spectrum of misconfiguratie.

Welke stappen heb je al ondernomen om dat uit te sluiten?

Sowieso speelt dat laatste je parten:
- Channel width 20/40? Doe maar 20 MHz op 2.4 GHz, dit is niet heel beleefd en bovenal schiet je jezelf ermee in de voeten. Tenzij je in een hutje op de hei woont, dan valt er wat te halen.
- Antenna gain 30 dBi? Echt niet. Kan me voorstellen dat hij hierdoor de transmit power terugschroeft en je hierdoor in de problemen komt. Default is 0 dBi, maar de werkelijke gain van de CRS125-atenne is 4 dBi..

Verder: stel je regulatory domain bij voorkeur in op Netherlands zodat je je netjes aan de wettelijke toegestane zendlimieten houdt.

Als het dan nog niet wil, hints voor het debuggen van spectrum issues: de spectral history feature is erg handig; ook kun je in het wireless menu een overzicht van de vebruikte airtime door andere stations zien, eveneens handig.

[Verwijderd]

Als je er toch ervan af wilt, stuur mij een PM. Ik wil hem dan voor een leuk prijsje van je overnemen.

[maomanna]

Thralas schreef op woensdag 15 april 2015 @ 23:41:
Je schrijft je CRS125 vrijwel meteen af, maar 'brakke WiFi' is in bijna alle gevallen te wijten aan een overvol 2.4 GHz-spectrum of misconfiguratie.

Welke stappen heb je al ondernomen om dat uit te sluiten?

Sowieso speelt dat laatste je parten:
- Channel width 20/40? Doe maar 20 MHz op 2.4 GHz, dit is niet heel beleefd en bovenal schiet je jezelf ermee in de voeten. Tenzij je in een hutje op de hei woont, dan valt er wat te halen.
- Antenna gain 30 dBi? Echt niet. Kan me voorstellen dat hij hierdoor de transmit power terugschroeft en je hierdoor in de problemen komt. Default is 0 dBi, maar de werkelijke gain van de CRS125-atenne is 4 dBi..

Verder: stel je regulatory domain bij voorkeur in op Netherlands zodat je je netjes aan de wettelijke toegestane zendlimieten houdt.

Als het dan nog niet wil, hints voor het debuggen van spectrum issues: de spectral history feature is erg handig; ook kun je in het wireless menu een overzicht van de verbruikte airtime door andere stations zien, eveneens handig.

Wat ik zelf gedaan heb:
- Andere wifi configuraties gezocht en vergeleken met die van mij. Ook hier zijn er wat voorbij gekomen.
- Het meest rustige wifikanaal gezocht en hem daarop ingesteld.
- Channel width aangepast naar alle smaken en getest, daarbij bleek 20/40 above het snelste te zijn.

Die eerste twee dingen die je aangeeft, ga ik vanavond eens toepassen. Kijken of dat effect heeft.
Het is natuurlijk raar om 30dBi aan te geven, terwijl de antenne dat niet aan kan.

De Regulatory domain heb ik bewust niet op NL gezet, zodat je zelf hoe en wat in kan stellen.

Overigens is het wifi signaal zelf prima, alleen de data die van A naar B gaat, is niet vooruit te branden.
Daarnaast kan de CPU 500/500 niet op max verwerken, dus het is niet zozeer alleen het probleem van een brakke wifi. Dat maakt de CRS125 niet minder tof of minder goed, alleen zijn het zo zijn beperkingen.

[Mattie112]

Wat zou de 'beste' manier (qua performance) zijn om mijn thuis-netwerk te 'bridgen' met het netwerk van mijn ouders. Op beide plekken staat een Mikrotik (CRS109 en een RB2011)

Atm heb ik eea al werkend dmv een VPN (PPTP) connectie met static routes maar qua performance wordt ik hier niet echt blij van. Static routes werken OK voor nu tot ik een keer eea ga omnummeren en dan kan ik alles opnieuw configureren.

Als ik kijk op de Mikrotik wiki dan zie ik diverse mogelijkheden. EoIP, GRE, IPIP, VPN, BGP etc etc. Echter mijn "pro" netwerk kennis is wat beperkt. Kan iemand mij in de juiste richting wijzen? Ik lees ook dat bijvoorbeeld EoIP weer over een andere tunnel moet lopen?

Wat wil ik:
- een 'gelinkt' netwerk die zelfstandig kunnen werken, dus beide andere IP range (wel zelfde subnet?)
- beide partijen een eigen DHCP server (zodat wanneer internet down bij partij A niet meteen wil zeggen dat partij B down is)
- hoge throughput
- encryption (hoeft geen 'keep out NSA' stuff te zijn waardoor de snelheid weer inzakt)

Ik hoef geen kant-en-klare copy/paste stuff (het uitzoeken is juist leuk) maar als iemand mij de goede richting op kan wijzen dan graag!

[maarud]

Klinkt 'group key exchange timeout' of 'unicadst key exchange timeout' iemand bekend in de oren?

Ik heb een RB2011 router gekocht om te fungeren als hotspot. Ik heb de standaard wlan interface met WPA2 AES en daarboven op een VAP zonder beveiliging voor hotspot functionaliteit.

Op het beveiligde netwerk draait een Apple TV voor presentaties in het bedrijf.

Probleem is dat af en toe de iOS devices de Apple TV niet zien op het netwerk en dus niet kunnen AirPlayen. Als ik de virtuele AP uitschakel dan lukt het wel weer, maar soms moet ik zelfs de hele router rebooten om te kunnen AirPlayen.

In de logs zie ik continu de key exchange timeouts voorbij komen, en zaken als
data from unknown device xxxxxxxxxxxxxx, sent deauth

In navolging van anderen (zie link, link of link) heb ik WPA ipv WPA2 geprobeerd en TKIP ipv van AES en ik heb de key change op een half uur gezet ipv 5 minuten maar het baat allemaal niet.

Ik heb juist de Mikrotik geadviseerd omdat die router goed zou moeten functioneren bij 30-40 clients (waarvan 30 op de hotspot en 10 op het beveiligde gedeelte). Maar zo is het niet echt werkbaar

[Ioramus]

Mattie112 schreef op dinsdag 21 april 2015 @ 12:09:
Wat zou de 'beste' manier (qua performance) zijn om mijn thuis-netwerk te 'bridgen' met het netwerk van mijn ouders. Op beide plekken staat een Mikrotik (CRS109 en een RB2011)

Atm heb ik eea al werkend dmv een VPN (PPTP) connectie met static routes maar qua performance wordt ik hier niet echt blij van. Static routes werken OK voor nu tot ik een keer eea ga omnummeren en dan kan ik alles opnieuw configureren.

Als ik kijk op de Mikrotik wiki dan zie ik diverse mogelijkheden. EoIP, GRE, IPIP, VPN, BGP etc etc. Echter mijn "pro" netwerk kennis is wat beperkt. Kan iemand mij in de juiste richting wijzen? Ik lees ook dat bijvoorbeeld EoIP weer over een andere tunnel moet lopen?

Wat wil ik:
- een 'gelinkt' netwerk die zelfstandig kunnen werken, dus beide andere IP range (wel zelfde subnet?)
- beide partijen een eigen DHCP server (zodat wanneer internet down bij partij A niet meteen wil zeggen dat partij B down is)
- hoge throughput
- encryption (hoeft geen 'keep out NSA' stuff te zijn waardoor de snelheid weer inzakt)

Ik hoef geen kant-en-klare copy/paste stuff (het uitzoeken is juist leuk) maar als iemand mij de goede richting op kan wijzen dan graag!

Je kan gewoon volstaan met static routes denk ik, het subnet wat je wil kan gesplitst worden of ieder "lan" een eigen subnet kan net zo goed. Hierbij een DHCP server op je "eigen LAN" is makkeljjk te doen. Je moet als je nieuwe subnets gebruikt dit wel weer aanpassen maar is makkelijker te configureren dan het opzetten van routing protocollen. Hoe vaak zul je in de praktijk dit moeten aanpassen?

Hoge throughput heeft 2 afhankelijkheden, de internet snelheid die je tot je beschikking hebt en de CPU load voor het encrypten van de traffic. CRS en RB2011 blinken hierbij niet uit (gok op 20-40Mbp/s max) dus ik weet niet of dit voldoet en hoe zich dit verhoud tot je internet connecties aan beide zijden? GRE (dit is CISCO propriatary) of IPSec kunnen hiervoor gebruikt worden waarbij de laatste als je echt je traffic wil encrypten de voorkeur heeft maar er zijn nog andere mogelijkheden.

Voorbeeldje

[ Voor 9% gewijzigd door Ioramus op 21-04-2015 14:53 ]

[Mattie112]

Mja ok, static routes een een PPTP VPN connectie werkt perfect ja maar ik vroeg me af of er een beter oplossing was

Qua internet speed zou ik hoger moeten kunnen halen, als ik de CPU load van de devices bekijk zit deze op zo'n 80% bij de RB2011 en 60% op de CRS109 vandaar dat ik "verwacht" dat ik somehow meer performance moet krijgen.

Nu krijg ik met 100mbit up (andere eind: 200mbit down) een snelheid van zo'n 20mbit. Goed: ik verwacht niet dat ik de 100mbit vol trek maar ik hoop toch wel wat meer er uit te kunnen persen

Ik zal voor de gein eens een GRE en/of IPSec tunneltje maken anders om te kijken wat dat doet mbt de performance.

Zou het anders beter zijn om de traffic NIEt te encrypten? (Of allicht dat over te laten aan de applicatie zelf). Eigenlijk gaat er niks spannends over de lijn maar het lijkt me wel prettig....

[Ioramus]

Ja, als je niet encrypt heeft dit een positief effect op de performance, maar weet niet of ze dan wel de 100Mb voltrekken (denk het niet). IPSec wordt niet hardwarematige ondersteund op jouw devices dus ook via CPU afgehandeld. Als PPTP VPN goed werkt zou ik dat laten zoals het is.

Als je hogere performance wil moet je naar andere devices toe zoals de RB100AHx2 of CCR1009 (als je bij Mikrotik wil blijven). Die doen dacht ik > 350Mbp/s voor (encrypted) tunnels maar kosten ook wel meer, de CCR1009 is nu zo rond de 300 euro te verkrijgen, RB1100 voor iets minder. Ik zou die alleen overwegen als je bijvoorbeeld naar 500/500 toegaat.

[ElCondor]

maarud schreef op dinsdag 21 april 2015 @ 12:39:
Klinkt 'group key exchange timeout' of 'unicadst key exchange timeout' iemand bekend in de oren?

Ik heb een RB2011 router gekocht om te fungeren als hotspot. Ik heb de standaard wlan interface met WPA2 AES en daarboven op een VAP zonder beveiliging voor hotspot functionaliteit.

Op het beveiligde netwerk draait een Apple TV voor presentaties in het bedrijf.

Probleem is dat af en toe de iOS devices de Apple TV niet zien op het netwerk en dus niet kunnen AirPlayen. Als ik de virtuele AP uitschakel dan lukt het wel weer, maar soms moet ik zelfs de hele router rebooten om te kunnen AirPlayen.

In de logs zie ik continu de key exchange timeouts voorbij komen, en zaken als
data from unknown device xxxxxxxxxxxxxx, sent deauth

In navolging van anderen (zie link, link of link) heb ik WPA ipv WPA2 geprobeerd en TKIP ipv van AES en ik heb de key change op een half uur gezet ipv 5 minuten maar het baat allemaal niet.

Ik heb juist de Mikrotik geadviseerd omdat die router goed zou moeten functioneren bij 30-40 clients (waarvan 30 op de hotspot en 10 op het beveiligde gedeelte). Maar zo is het niet echt werkbaar

Heb je er niet gewoon last van dat Airplay niet werkt over meerdere subnets? Je moet op je router dan een DNS-SD (?) forwarder activeren om te kunnen Airplayen. Airplay is destijds bedoeld en ontwikkeld met home netwerkjes in mind, geen ondersteuning voor routers etc zou nodig zijn. Het was dus ook niet echt gemaakt om in een Enterprise omgeving gebruikt te worden. Sloeg Apple daar de plank even mis...

[maarud]

Nee, dat zit allemaal in één netwerkje. al het AirPlay gebeuren gebeurt op wlan1, het beveiligde netwerk. De hotspot mensen zijn compleet geïsoleerd en hebben alleen een walled garden.

Gekke is, 90% van de tijd gaat het wel goed. Alleen heel soms vinden ze elkaar niet en moet ik de MikroTik rebooten Het lijkt wel alsof het vaker goed gaat als de ik de hotspot, wlan2 (VAP) dus, disable.

[Mattie112]

Ioramus schreef op dinsdag 21 april 2015 @ 15:44:
Ja, als je niet encrypt heeft dit een positief effect op de performance, maar weet niet of ze dan wel de 100Mb voltrekken (denk het niet). IPSec wordt niet hardwarematige ondersteund op jouw devices dus ook via CPU afgehandeld. Als PPTP VPN goed werkt zou ik dat laten zoals het is.

Als je hogere performance wil moet je naar andere devices toe zoals de RB100AHx2 of CCR1009 (als je bij Mikrotik wil blijven). Die doen dacht ik > 350Mbp/s voor (encrypted) tunnels maar kosten ook wel meer, de CCR1009 is nu zo rond de 300 euro te verkrijgen, RB1100 voor iets minder. Ik zou die alleen overwegen als je bijvoorbeeld naar 500/500 toegaat.

Tja dat wordt een beetje te gek voor 'voor de lol'. Ik dacht alleen dat het wel sneller zou moeten kunnen (zeker omdat voor zover ik zie de CPU niet maxed is). Goed: 20mbit is prima daar niet van maarja als je kan tweaken waarom niet he

[LEDfan]

Je kan ook eens kijken naar OpenVPN. Ik trek hier mijn upload (12Mbps) vol, geen idee hoe de performance voor de rest is, maar is het proberen waard. Ik vind OVPN persoonlijk de allerbeste VPN oplossing. Configuratie is supersimpel t.o.v. L2TP/Ipsec (eigen ervaring) + port forwarindg is nog eens makkelijker. Zie bv. https://rbgeek.wordpress....tup-on-mikrotik-routeros/

EDIT, ik ondekte juist deze post https://www.privateintern...ment/16672/#Comment_16672

Miktotik CCR1009 ... 7Gbps over OpenVPN,

[ Voor 25% gewijzigd door LEDfan op 21-04-2015 17:36 ]

[Ioramus]

Tja, maar dat is een CCR ... niet CRS CCR is een multi-core CPU.

[ihre]

Een laatste poging, voor ik het op geef en de CRS125 op V&A zet:



Dat is mijn gewensde situatie, en ik kom er maar niet uit. In feite werkt de config op de CRS125, echter krijg ik geen beeld als ik een STB aan sluit op ether2 van de RB951. Tevens is het management IP van de RB951 (192.168.2.253) op geen enkele manier te pingen...

Uiteraard zie ik wat over het hoofd, maar wat?

CRS125:

code:

/interface ethernet
set [ find default-name=ether2 ] master-port=ether1
set [ find default-name=ether3 ] master-port=ether1
set [ find default-name=ether4 ] master-port=ether1
set [ find default-name=ether5 ] master-port=ether1
set [ find default-name=ether6 ] master-port=ether1
set [ find default-name=ether7 ] master-port=ether1
set [ find default-name=ether8 ] master-port=ether1
set [ find default-name=ether9 ] master-port=ether1
set [ find default-name=ether10 ] master-port=ether1
set [ find default-name=ether11 ] master-port=ether1
set [ find default-name=ether12 ] master-port=ether1
set [ find default-name=ether13 ] master-port=ether1
set [ find default-name=ether14 ] master-port=ether1
set [ find default-name=ether15 ] master-port=ether1
set [ find default-name=ether16 ] master-port=ether1
/interface vlan
add interface=ether1 l2mtu=1584 name=vlan6 vlan-id=6
add interface=ether1 l2mtu=1584 name=vlan10 vlan-id=10
/interface pppoe-client
add add-default-route=yes disabled=no interface=vlan6 name=pppoe user=xxx
/ip pool
add name=vlan10 ranges=192.168.2.10-192.168.2.240
/ip dhcp-server
add address-pool=vlan10 disabled=no interface=vlan10 lease-time=4h name=\
    vlan10
/interface ethernet switch egress-vlan-tag
add tagged-ports=ether1,switch1-cpu vlan-id=6
add tagged-ports=ether1,ether2,switch1-cpu vlan-id=10
add tagged-ports=ether1 vlan-id=4
/interface ethernet switch ingress-vlan-translation
add new-customer-vid=10 ports=ether3,ether4,ether5,ether6,ether7,ether8
add new-customer-vid=4 ports=ether9,ether10,ether11,ether12,ether13,ether14,ether15,ether16
/ip address
add address=192.168.2.254/24 interface=vlan10 network=192.168.2.0
/ip dhcp-server network
add address=192.168.2.0/24 dns-server=192.168.2.254 gateway=192.168.2.254
/ip dns
set allow-remote-requests=yes servers=8.8.4.4,8.8.8.8

RB951:

code:

/interface ethernet
set [ find default-name=ether2 ] master-port=ether1
set [ find default-name=ether3 ] master-port=ether1
/interface vlan
add interface=ether1 l2mtu=1594 name=vlan10 vlan-id=10
/interface ethernet switch port
set 0 vlan-header=add-if-missing vlan-mode=secure
set 1 default-vlan-id=4 vlan-header=always-strip vlan-mode=secure
set 2 default-vlan-id=10 vlan-header=always-strip vlan-mode=secure
/interface ethernet switch vlan
add independent-learning=no ports=ether1,ether3,switch1-cpu switch=switch1 vlan-id=10
add independent-learning=no ports=ether1,ether2 switch=switch1 vlan-id=4
/ip address
add address=192.168.2.252/24 interface=ether5 network=192.168.2.0
add address=192.168.2.253/24 interface=vlan10 network=192.168.2.0

[Ioramus]

Dus de STB op de CRS215 werkt wel, en de STB op de RB951 werkt niet? - Ik weet het niet zeker maar omdat Mikrotik geen IGMP snooping ondersteund was er iets met een multicast setting wat je zou kunnen proberen (weet zo even de details niet - search eens op de mikrotik fora waar het wel staat).

[ihre]

Ioramus schreef op woensdag 06 mei 2015 @ 08:29:
Dus de STB op de CRS215 werkt wel, en de STB op de RB951 werkt niet? - Ik weet het niet zeker maar omdat Mikrotik geen IGMP snooping ondersteund was er iets met een multicast setting wat je zou kunnen proberen (weet zo even de details niet - search eens op de mikrotik fora waar het wel staat).

Vziw komt hier helemaal geen IGMP snooping bij kijken, aangezien het IPTV vlan gescheiden is van de rest. Ik heb al een tijdje een draad lopen op forum.mikrotik.com, echter zonder succes (0 replies...).

[maarud]

Om STB van KPN werkend te krijgen op VLANs moest ik de IGMP-Proxy package installeren..toen werkte het pas

Zie https://community.bt.com/...uter-a-short/td-p/1137730
en http://wiki.mikrotik.com/...ing/IGMP-Proxy#IGMP-proxy

[ihre]

maarud schreef op woensdag 06 mei 2015 @ 09:24:
Om STB van KPN werkend te krijgen op VLANs moest ik de IGMP-Proxy package installeren..toen werkte het pas

Zie https://community.bt.com/...uter-a-short/td-p/1137730
en http://wiki.mikrotik.com/...ing/IGMP-Proxy#IGMP-proxy

Ik draai al 2 jaar op een RB951G zonder IGMP-Proxy, zoals beschreven op http://netwerkje.com/config-internet

Als ik VLAN4 untagged rechtstreeks doorzet op bvb ether9, komt er toch helemaal geen routing aan te pas?

[maarud]

Dat je de 951 niet kan pingen is al raar natuurlijk. De computers op de 951 hebben wel internet?

Met maar 1 router heb je die package ook niet nodig, ik had het pas nodig toen ik een trunk tussen 2 routers had liggen en de STB pas op de tweede router aansloot. Niet geschoten is altijd mis toch?

[Thralas]

maarud schreef op woensdag 06 mei 2015 @ 09:36:
Met maar 1 router heb je die package ook niet nodig, ik had het pas nodig toen ik een trunk tussen 2 routers had liggen en de STB pas op de tweede router aansloot. Niet geschoten is altijd mis toch?

Als je daarmee alles niet direct aan elkaar bridged (zoals TS) maar routeert heb je idd. de IGMP proxy nodig ja

ihre schreef op dinsdag 05 mei 2015 @ 20:21:
CRS125:

code:

/interface ethernet switch egress-vlan-tag
add tagged-ports=ether1,switch1-cpu vlan-id=6
add tagged-ports=ether1,ether2,switch1-cpu vlan-id=10
add tagged-ports=ether1 vlan-id=4

Waarom mist hier vlan 4 op ether2? En wat moet ether1 (WAN?) met vlan10?

code:

/interface ethernet switch ingress-vlan-translation
add new-customer-vid=10 ports=ether3,ether4,ether5,ether6,ether7,ether8
add new-customer-vid=4 ports=ether9,ether10,ether11,ether12,ether13,ether14,ether15,ether16

Volgens mij definieer je geen /interface ethernet switch vlan entries voor je VLANs. Vermoed dat dat ook niet noodzakelijk is, mits je unknown vlan forwarding toestaat (vast de default). Noem het toch maar even voor de zekerheid.

RB951:

code:

/interface ethernet switch port
set 0 vlan-header=add-if-missing vlan-mode=secure
set 1 default-vlan-id=4 vlan-header=always-strip vlan-mode=secure
set 2 default-vlan-id=10 vlan-header=always-strip vlan-mode=secure
/interface ethernet switch vlan
add independent-learning=no ports=ether1,ether3,switch1-cpu switch=switch1 vlan-id=10
add independent-learning=no ports=ether1,ether2 switch=switch1 vlan-id=4

Dit ziet er wel aardig uit, behalve dat die rule op port 0 volgens mij weinig doet - welke tag add 'ie if-missing?

Bottom line: volgens mij heb je iig. een grove fout in je CRS config zitten, als het nou nog niet werkt als je dat verhelpt zou ik aan weerszijden kijken met de traffic sniffer of je verkeer wel netjes tagged ziet aankomen.

[Zware Unit]

Heb mijn Mikrotik RouterBOARD RB2011UiASRM binnengekregen en ben nu aan het spelen geslagen. Laatste firmware (6.28) is inmiddels geïnstalleerd. Echter nu moet ik mijn config die ik van netwerkje.com heb gehaald op de router krijgen. Kan iemand mij in de goede richting wijzen?

[maomanna]

dat kan je makkelijk doen via de console welke je kan vinden in winbox

[molenganger]

De config van netwerkje.com kun je kopieren in een tekstbestand. Deze zul je natuurlijk wel aan moeten passen naar je eigen wensen.
Dit tekstbestand kun je via winbox naar je mikrotik slepen (naar files)

Dan in de console type je:

code:

import tekstbestand.txt

tekstbestand.txt is dan de bestandsnaam van je tekstbestand.

Let wel op dat in de configuratie van netwerkje.com nog geen firewall regels zijn opgenomen!

[maarud]

Je kan het zelfs handmatig doen, mocht je dat leuk vinden. Elke regel in de config verwijst naar een menu/window in WinBox. Wat dat betrft is het heel simpel opgezet.

dus als je /ip address ziet staan, klik je dus in WinBox op IP links, dan op Addresses, en dan stel je handmatig in wat je in de config ziet staan.

Dit is niet plug and play maar zo leer je wel spelenderwijs RouterOS kennen

[_-= Erikje =-_]

Iemand al ervaring met dat FastPath gebeuren?

[maarud]

Ik ga vanavond wireless-fp enablen want ik heb soms wat problemen met het WiFi. Ik zal eens testen of het invloed heeft want zoals ik lees werkt FP niet i.c.m. hotspot (ook al zit die hotspot op een andere interface).

[Zware Unit]

molenganger schreef op woensdag 13 mei 2015 @ 07:26:
De config van netwerkje.com kun je kopieren in een tekstbestand. Deze zul je natuurlijk wel aan moeten passen naar je eigen wensen.
Dit tekstbestand kun je via winbox naar je mikrotik slepen (naar files)

Dan in de console type je:

code:

import tekstbestand.txt

tekstbestand.txt is dan de bestandsnaam van je tekstbestand.

Let wel op dat in de configuratie van netwerkje.com nog geen firewall regels zijn opgenomen!

Top! Het uploaden van de config heeft gewerkt. Echter gaat er iets niet helemaal lekker, want krijg geen contact met de router op het ingestelde IP. Tevens worden er geen IP adressen door DHCP uitgegeven.

code:

# Bruikbaar voor een KPN of Tweak fiber verbinding
# Alleen internet configuratie.
#
# Export voor RouterOS versie 6.5 en hoger
#
# Laatste wijziging: 26 augustus 2014
#
/interface ethernet
#
# Poort 1 (ether1) = FIBER connectie
# Poortnummers hebben intern exact 1 nummer lager intern dan de gedrukte nummering
# op de router zelf.
#
set 0 arp=proxy-arp auto-negotiation=yes disabled=no full-duplex=yes l2mtu=1598 mtu=1500 name=ether1-gateway speed=1Gbps
#
# Poort 2 (ether2) = LAN 
#
set 1 arp=enabled auto-negotiation=yes disabled=no full-duplex=yes l2mtu=1598 mtu=1500 name=ether2 speed=1Gbps
#
# VLAN 6 = internet, deze koppelen we aan de fysieke interface ether1-gateway.
#
/interface vlan
add arp=enabled disabled=no interface=ether1-gateway l2mtu=1594 mtu=1500 name=vlan1.6 use-service-tag=no vlan-id=6
#
# PPPoE profiel, heel standaard.
#
/ppp profile
set 0 change-tcp-mss=yes name=default only-one=default use-compression=default use-encryption=default use-mpls=default use-vj-compression=default
#
# PPPOE CLIENT, deze koppelen we aan de VLAN6 interface die eerder gemaakt is.
# (vul eigen MAC in ipv xx-xx...) Let op: hier worden streepjes gebruikt ipv dubbele punten
# Het MAC adres verwijst hier naar het adres van de Experiabox die vervangen wordt.
# De exacte inloggegevens zijn ook zichtbaar in de webinterface van de experiabox.
#    
/interface pppoe-client
add add-default-route=yes allow=pap,mschap2 dial-on-demand=no disabled=no interface=vlan1.6 keepalive-timeout=20 max-mru=1480 max-mtu=1480 mrru=disabled name=pppoe password=kpn profile=default use-peer-dns=no user=[MijnMac]@direct-adsl
#
# BGP, alleen maar even om zeker te zijn dat het disabled is.
#
/routing bgp instance
set default disabled=yes
#
# Bridges, ofwel verzameling switchpoorten die bij elkaar horen. 
#
# De bridge-local is de bridge voor de LAN kant van het netwerk. Let op: poort 1 zit (daarom) niet in de LAN bridgepoort!
/interface bridge
add name=bridge-local arp=proxy-arp
/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=wlan1
/interface bridge settings
set use-ip-firewall=no use-ip-firewall-for-pppoe=no use-ip-firewall-for-vlan=no
/interface ethernet switch port
set 0 vlan-header=leave-as-is vlan-mode=disabled
set 1 vlan-header=leave-as-is vlan-mode=disabled
set 2 vlan-header=leave-as-is vlan-mode=disabled
set 3 vlan-header=leave-as-is vlan-mode=disabled
set 4 vlan-header=leave-as-is vlan-mode=disabled
set 5 vlan-header=leave-as-is vlan-mode=disabled
set 6 vlan-header=leave-as-is vlan-mode=disabled
set 7 vlan-header=leave-as-is vlan-mode=disabled
set 8 vlan-header=leave-as-is vlan-mode=disabled
set 9 vlan-header=leave-as-is vlan-mode=disabled
set 10 vlan-header=leave-as-is vlan-mode=disabled
set 11 vlan-header=leave-as-is vlan-mode=disabled
set 12 vlan-header=leave-as-is vlan-mode=disabled
#
# Lokaal IP adres van de router. Pas dit aan naar het IP adres in de reeks die je gebruikt (of laat het zo)
#
/ip address
add address=192.168.2.1/24 disabled=no interface=bridge-local network=192.168.2.0
#
# De DNS van Google, lekker betrouwbaar. Stel deze dmv remote requests als caching server open voor het LAN.
#
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d cache-size=2048KiB max-udp-packet-size=4096 servers=8.8.8.8,8.8.4.4
#
# De 3 standaard rules voor de firewall. Dit zijn geen veilige rules, alles staat open, maar
# bedoeld om de basis functionaliteiten te laten werken.
#
/ip firewall filter
add action=accept chain=input disabled=no in-interface=pppoe protocol=icmp
add action=accept chain=input connection-state=related disabled=no
add action=accept chain=input connection-state=established disabled=no
#
# BELANGRIJK: nu volgen enkele drastische voorbeeld firewall rules om de router vanaf internet te beschermen.
#
# Bedenk: input rules = verkeer naar de router zelf.
# Denk hierbij aan de webinterface, SSH toegang, een DNS server, VPN, etc.
#
# Onderstaande regels zorgen dat bijvoorbeeld de webinterface en de ssh poort niet van buitenaf te bereiken zijn.
# Ook sluit je een eventuele DNS server af voor de buitenwereld.
# Neem je de volgende twee regels niet mee in je eigen configuratie dan krijg je vanzelf bericht van KPN
# dat je verbinding is geblokkeeerd vanwege een "open DNS" of soortgelijke reden. Dan heb je geen internet meer.
# Voorkom dit dus vooral en neem deze basis firewall regels mee in je configuratie.
#
add action=reject chain=input in-interface=pppoe protocol=tcp reject-with=icmp-port-unreachable
add action=reject chain=input in-interface=pppoe protocol=udp reject-with=icmp-port-unreachable
#
# De NAT regel om vanaf LAN het internet te kunnen gebruiken, vervang evt het src adres door je eigen LAN IP reeks.
#
/ip firewall nat
add action=masquerade chain=srcnat disabled=no out-interface=pppoe src-address=192.168.2.0/16 to-addresses=0.0.0.0
#
# Geen rotzooi naar KPN sturen, dus we disablen discovery op de poorten naar KPN
#
/ip neighbor discovery
set sfp1 discover=no
set ether1-gateway discover=no
set ether2 discover=yes
set ether3 discover=yes
set ether4 discover=yes
set ether5 discover=yes
set wlan1 discover=no
set bridge-local discover=yes
set pppoe discover=no
set vlan1.6 discover=no
## Een basis DHCP server voor het LAN
#
/ip pool
add name=thuisnetwerk ranges=192.168.2.100-192.168.2.199
/ip dhcp-server
add address-pool=thuisnetwerk authoritative=yes disabled=no interface=bridge-local lease-time=1h30m name=dhcp-thuis
/ip dhcp-server config
set store-leases-disk=15m
/ip dhcp-server network
add address=192.168.2.0/24 dns-server=192.168.2.1 domain=thuis.local gateway=192.168.2.1
#
# Algemene andere dingetjes
#
/ip traffic-flow
set active-flow-timeout=30m cache-entries=4k enabled=no inactive-flow-timeout=15s interfaces=all
/ip upnp
set allow-disable-external-interface=no enabled=yes show-dummy-rule=no
/ip upnp interfaces
add disabled=no interface=bridge-local type=internal
add disabled=no interface=pppoe type=external
/lcd
set backlight-timeout=5m enabled=yes
/system clock
set time-zone-name=Europe/Amsterdam

[Thralas]

Als je niet vertelt hoe je fysiek verbinding maakt met de router, en een export geeft van de werkelijke config (itt. wat het zou moeten zijn) kunnen we je niet helpen.

[Zware Unit]

maarud schreef op woensdag 13 mei 2015 @ 09:06:
Je kan het zelfs handmatig doen, mocht je dat leuk vinden. Elke regel in de config verwijst naar een menu/window in WinBox. Wat dat betrft is het heel simpel opgezet.

dus als je /ip address ziet staan, klik je dus in WinBox op IP links, dan op Addresses, en dan stel je handmatig in wat je in de config ziet staan.

Dit is niet plug and play maar zo leer je wel spelenderwijs RouterOS kennen

Dit is een goede tip. De config op Netwerkje.com was zo makkelijk zelf te controleren. Op een of andere manier slikte de MikroTik zijn ip-adres niet, maar na het openen via Winbox van de ip instellingen van de router werkte opeens alles prima. Nu aan de slag met de IPTV.

@Thralas: we hebben KPN glasvezel. De MikroTek zit via LAN1 direct aangesloten op de NT.

[Zware Unit]

Heeft iemand een veilige uitgewerkte firewall instelling voor mij? Ik heb een basic understanding mbt de router, maar firewall regels zijn voor mij echt een brug te ver.

Mijn huidige instellingen op basis van netwerkje.com

code:

# ==> TO DO
/ip firewall filter
add action=accept chain=input disabled=no in-interface=pppoe protocol=icmp
add action=accept chain=input connection-state=related disabled=no
add action=accept chain=input connection-state=established disabled=no
# ==> TO DO
add action=reject chain=input in-interface=pppoe protocol=tcp reject-with=icmp-port-unreachable
add action=reject chain=input in-interface=pppoe protocol=udp reject-with=icmp-port-unreachable
#
/ip firewall nat
add action=masquerade chain=srcnat disabled=no out-interface=pppoe src-address=192.168.0.0/16 to-addresses=0.0.0.0
#

[ihre]

Zware Unit schreef op woensdag 13 mei 2015 @ 21:40:
Heeft iemand een veilige uitgewerkte firewall instelling voor mij? Ik heb een basic understanding mbt de router, maar firewall regels zijn voor mij echt een brug te ver.

Mijn huidige instellingen op basis van netwerkje.com

code:

# ==> TO DO
/ip firewall filter
add action=accept chain=input disabled=no in-interface=pppoe protocol=icmp
add action=accept chain=input connection-state=related disabled=no
add action=accept chain=input connection-state=established disabled=no
# ==> TO DO
add action=reject chain=input in-interface=pppoe protocol=tcp reject-with=icmp-port-unreachable
add action=reject chain=input in-interface=pppoe protocol=udp reject-with=icmp-port-unreachable
#
/ip firewall nat
add action=masquerade chain=srcnat disabled=no out-interface=pppoe src-address=192.168.0.0/16 to-addresses=0.0.0.0
#

Wellicht heb je hier wat aan: ihre in "\[Ervaringen/discussie] MikroTik-apparatuur"

Zo maar testen of ik m'n netwerkje eindelijk naar wens kan krijgen

[Zware Unit]

Heb de volgende settings gevonden. Mijn verbinding werkt nog en de online port scanner geeft aan dat alle poorten Stealth zijn vanaf buiten.

code:

/ip firewall address-list
add address=192.168.2.0/24 comment="LAN Access" list=support
#
/ip firewall filter
add action=drop chain=input comment="Drop invalid connections" connection-state=invalid
add action=drop chain=input comment="Drop DNS WAN requests" dst-port=53 protocol=udp src-address=!192.168.2.0/24
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="Port scanners to list " protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="NMAP FIN Stealth scan" protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="SYN/FIN scan" protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="SYN/RST scan" protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="FIN/PSH/URG scan" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="ALL/ALL scan" protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="NMAP NULL scan" protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
add action=drop chain=input comment="Dropping port scanners" src-address-list="port scanners"
add action=jump chain=input comment="Jump for icmp input flow" jump-target=ICMP protocol=icmp
add action=drop chain=input comment="Block all access to the winbox - except to support list" dst-port=8291 protocol=tcp src-address-list=!support
add action=drop chain=input comment="Block all access to the webfig - except to support list" dst-port=80 protocol=tcp src-address-list=!support
add action=jump chain=forward comment="Jump for icmp forward flow" disabled=yes jump-target=ICMP protocol=icmp
add chain=input comment="Accept established connections" connection-state=established
add chain=input comment="Accept related connections" connection-state=related
add chain=input comment="Full access to SUPPORT address list" src-address-list=support
add chain=input comment=UDP disabled=yes protocol=udp
add action=drop chain=input comment="Drop everything else"
add chain=ICMP comment="Echo request - Avoiding Ping Flood" icmp-options=8:0 limit=1,5 protocol=icmp
add chain=ICMP comment="Echo reply" icmp-options=0:0 protocol=icmp
add chain=ICMP comment="Time Exceeded" icmp-options=11:0 protocol=icmp
add chain=ICMP comment="Destination unreachable" icmp-options=3:0-1 protocol=icmp
add chain=ICMP comment=PMTUD icmp-options=3:4 protocol=icmp
add action=drop chain=ICMP comment="Drop to the other ICMPs" protocol=icmp
add action=jump chain=output comment="Jump for icmp output" jump-target=ICMP protocol=icmp
#
/ip firewall nat
add action=masquerade chain=srcnat disabled=no out-interface=pppoe src-address=192.168.2.0/16 to-addresses=0.0.0.0

[rohaantje]

Ik heb een vraag over CAPsMAN.
Ik zou graag een terrein willen voorzien van AP's voor 1000 personen maximaal.
Alleen heb ik totaal geen ervaringen met CAPsMAN in die aantallen.

Wat voor centrale router(s) heb je nodig?
Ik schat zelf de bandbreedte op ongeveer 250 tot 300 mbit/s
dus ik verwacht dat een routerboard CCR1009-8G-1S snel genoeg is voor het verkeer.
Maar daarnaast de taak van een dhcp server met capsman?

Na een beetje onderzoek is een 100 clients per AP ongeveer waar ik op uit kom.
Is dit een passend getal?

Kan iemand een inschatting doen?

[ Voor 39% gewijzigd door rohaantje op 16-05-2015 21:00 ]

[The Executer]

Ik heb op mijn Mikrotik 951G-2HnD de PPTP server aan staan om o.a. bij mijn pc te kunnen komen wanneer ik extern zit. Ben al bezig geweest met L2TP+ipsec maar heb dit nog niet aan de gang.

Nu kwam ik in mijn logfile pogingen tegen om in te loggen via PPTP:

code:

May/15/2015 01:37:07    memory  pptp, info  TCP connection established from 14.135.249.207  
May/15/2015 03:32:16    memory  pptp, info  TCP connection established from 61.240.144.64
May/15/2015 12:23:13    memory  pptp, info  TCP connection established from 182.118.53.108
May/16/2015 03:07:02    memory  pptp, info  TCP connection established from 61.240.144.65
May/16/2015 09:35:31    memory  pptp, info  TCP connection established from 183.60.48.25

Het gebeurt een paar keer per dag, en meer als dit gebeurt er niet. Ter vergelijking, wanneer ik zelf inlog zie ik het volgende gebeuren:

code:

memory  pptp, info  TCP connection established from 213.52.176.12   
memory  pptp, ppp, info, account    ******* logged in, 192.168.88.65    
memory  pptp, ppp, info <pptp-*******>: authenticated   
memory  pptp, ppp, info <pptp-*******>: using encoding - <encoding type>    
memory  pptp, ppp, info <pptp-*******>: connected

Voor zover ik kan zien zijn het loze inlogpogingen aangezien er verder 'niets' gebeurt. Klopt mijn aanname of moet ik me zorgen gaan maken om deze hackpogingen uit China? Draai overigens op de standaard firewall-instellingen, met als enige aanvulling de poorten voor PPTP.

Ben van plan binnenkort een fail2ban achtige oplossing om te stellen, mogelijk dat die dit soort troep ook tegenhoudt.

[Verwijderd]

een "connection established" betekent niet dat hij op het netwerk is toegelaten. Alleen dat er een "verbinding" is op TCP nivo. Niet op user / password nivo.

[Hmmbob]

Zo heb ik er ook genoeg inderdaad. Ik kijk eens in de zoveel tijd de logs na en gooi dan dit soort IPs in een aparte banlist.

[maarud]

Je kan ook OpenVPN instellen, moet je alleen wel zelf een certificaat maken op een Linux machine

[The Executer]

Inmiddels opgelost door de volgende code in mijn firewall toe te voegen:

code:

/ip firewall filter 
add chain=input action=accept protocol=gre src-address-list=Allow log=yes log-prefix="PPTP allow"
add chain=input action=reject reject-with=icmp-network-unreachable protocol=gre log=yes log-prefix="PPTP block"
add chain=input action=accept protocol=tcp src-address-list=Allow dst-port=1723 log=yes log-prefix="PPTP Port accept"
add chain=input action=reject reject-with=icmp-network-unreachable protocol=tcp dst-port=1723 log=yes log-prefix="PPTP Port block"

Ik heb op zowel protocol als op de poort geblokkeerd. In principe zou PPTP verkeer eerst via GRE moeten onderhandelen en daarna de tunnel opbouwen via poort 1723, maar dit zag ik in de logfiles niet terugkomen. Hierdoor werkte mijn block in eerste instantie niet. Om deze reden extra regels aangemaakt op poortniveau. Ik laat het resultaat loggen met een prefix, dit maakt het terugzoeken erg makkelijk. Ik reject de overige connecties met een icmp-network-unreachable. Dit omdat het anders zichtbaar is dat de poort nog steeds open staat.

[Hmmbob]

En dan heb je een vaste lijst met Allow adressen, toch? Dat beperkt de mogelijkheden voor mij wat teveel...

[LEDfan]

RouterOS v.6.29

*) ssh server - use custom generated DH primes when possible;
*) ipsec - allow to specify custom IP address for my_id parameter;
*) ovpn server - use subnet topology in ip mode if netmask is provided (makes android & ios
clients work);
*) console - allow '-' characters in unknown command argument names;
*) snmp - fix rare bug when some OIDs where skipped;
*) ssh - added aes-ctr cipher support;
*) mesh - fixed kernel crash;
*) ipv4 fasttrack fastpath - accelerates connection tracking and nat for marked
connections (more than 5x performance improvement compared to regular slow
path conntrack/nat) - currently limited to TCP/UDP only;
*) added ~fasttrack-connection~ firewall action in filter/mangle tables for marking
connections as fasttrack;
*) added fastpath support for bridge interfaces - packets received and transmitted
on bridge interface can go fastpath (previously only bridge forwarded packets
could go fastpath);
*) packets now can go half-fastpath - if input interface supports fastpath and
packet gets forwarded in fastpath but output interface does not support fastpath
or has interface queue other than only-hw-queue packet gets converted
to slow path only at the dst interface transmit time;
*) trafflow: add natted addrs/ports to ipv4 flow info;
*) queue tree: some queues would stop working after some configuration changes;
*) tilegx: enable autoneg for sfp ports in netinstall;
*) health - fix voltage on some RB4xx;
*) romon - fix 100% CPU usage;
*) romon - moved under tools menu in console;
*) email - store hostname for consistency;
*) vrrp - do not reset interface when no interesting config changes;
*) fixed async. ppp server;
*) sstp - fixed router lockup.
*) queue tree: some queues would stop working after some configuration changes;
*) fixed CRS226 10G ports could lose link (introduced in 6.28);
*) fixed FREAK vulnerability in SSL & TLS;
*) improved support for new hEX lite;

Gisteren is RouterOS v.6.29 uitgekomen. Iemand die al heeft geüpgradede, of dit nog gaat doen? Straks men RB951G-2HnD maar eens ugpraden.

[allure]

Ik heb zojuist alle routers welke ik uit heb staan geupdate naar v6.29, ik ben geen problemen tegen gekomen.

[ShadowBumble]

LEDfan schreef op vrijdag 29 mei 2015 @ 11:55:

RouterOS v.6.29

[...]


Gisteren is RouterOS v.6.29 uitgekomen. Iemand die al heeft geüpgradede, of dit nog gaat doen? Straks men RB951G-2HnD maar eens ugpraden.

allure schreef op vrijdag 29 mei 2015 @ 13:13:
Ik heb zojuist alle routers welke ik uit heb staan geupdate naar v6.29, ik ben geen problemen tegen gekomen.

Ik ben bewust al een tijdje op 6.18 blijven hangen omdat 6.19 t/m 6.25 constant verbrekende verbindingen gaven op WiFi en soms ook bedraad. Tot nu toe (na 6.25 niet meer getest) is dit de meest stabiele versie.

[allure]

Bedoel je deze meldingen?

[maarud]

Die heb ik ook aldoor, daarbij komt het nog dat ik continu wordt gedisconnect (en moeilijk weer verbinding kan krijgen) als ik een virtuele AP heb geactiveerd (wlan2) en er zitten wat users op.

Ik ga 6.18 eens proberen, thanx voor de tip. Heb al een UniFi gekocht want ik heb niet meer zo'n hoge pet op van de WiFi-functionaliteit van de RB2011.

[allure]

Ik heb niet de indruk dat opnieuw verbinding erg moeizaam gaat, hier merk ik eigenlijk niets van.

[maarud]

Heb je ook een virtueel AP aangemaakt dan?

[allure]

Euhm, nee, ik kan dit wel even aanmaken om te testen...

[ShadowBumble]

allure schreef op vrijdag 29 mei 2015 @ 14:24:
Bedoel je deze meldingen?
[afbeelding]

Nee je krijgt gewoon timeouts geen logmeldingen niks Was een grote discussie over in het 6.2x released topics ging over "packetloss" in verschillende versies op wifi en bedraad.

Eigenlijk toen weer gedowngrade en nooit meer om naar gekeken

[ Voor 19% gewijzigd door ShadowBumble op 29-05-2015 17:34 ]

[LEDfan]

Iemand die hier iets doet met netwach feature van Mikrotik? Een van de interconnecties valt geregeld weg, dus hebben we een Failover via een 3G router/modem. (Gewoon door een route toe te voegen met een hogere distance). Nu hebben we ook een netwach script, dat via de buzzer biepjes geeft als er de ping 8.8.8.8 niet werkt. Helaas dacht de Mikrotik foutief dat hij niet kon pingen naar 8.8.8.8, terwijl er wel een inernet verbinding was, en ik manueel vanaf de Mikrotik kon pingen.

[digital-IMEI]

Zijn er mensen die een aanschaf advies kunnen geven? Ik ben op zoek naar 18 cAP-2n's maar ik kan geen leverancier vinden de ze op voorraad heeft en over een maand heb ik ze nodig

[allure]

Heb je interprojekt uit polen ook gevraagd?

Ik zie dat zij ook geen voorraad hebben...

[ Voor 37% gewijzigd door allure op 03-06-2015 21:22 ]

[donny007]

Zijn er mensen die een aanschaf advies kunnen geven? Ik ben op zoek naar 18 cAP-2n's maar ik kan geen leverancier vinden de ze op voorraad heeft en over een maand heb ik ze nodig

Inter Projekt, daar heb ik al mijn MikroTik gear gekocht, de prijzen zijn goed en verzenden ging vlot.

De cAP is daar net uitverkocht, meestal hebben ze alles ruim op voorraad. Je kunt even contact met ze opnemen en vragen hoe het zit met de levertijd.

[ Voor 30% gewijzigd door donny007 op 03-06-2015 21:23 ]

[digital-IMEI]

allure schreef op woensdag 03 juni 2015 @ 21:21:
Heb je interprojekt uit polen ook gevraagd?

Ik zie dat zij ook geen voorraad hebben...

donny007 schreef op woensdag 03 juni 2015 @ 21:22:
[...]


Inter Projekt, daar heb ik al mijn MikroTik gear gekocht, de prijzen zijn goed en verzenden ging vlot.

De cAP is daar net uitverkocht, meestal hebben ze alles ruim op voorraad. Je kunt even contact met ze opnemen en vragen hoe het zit met de levertijd.

Ze hebben inderdaad ook geen voorraad, heb ze voor de zekerheid alsnog een mail gestuurd of ze een indicatie kunnen geven. Voor alsnog wordt de leverdatum steeds vooruit geschoven

[FreshMaker]

Zo, mijn bestelling gedaan.
De RB2011UiAS-2HnD-IN als basisstation, voor mij voldoende met mijn 50/5 ADSL
2x HAPlite als accespoints op de etage's, en een Map om mee te 'spelen' ..

Ik mag aannemen dat het een stabielere opzet is / wordt dan mijn huidige E4200 v1 met Tomato.

[rohaantje]

FreshMaker schreef op dinsdag 09 juni 2015 @ 16:45:
Zo, mijn bestelling gedaan.
De RB2011UiAS-2HnD-IN als basisstation, voor mij voldoende met mijn 50/5 ADSL
2x HAPlite als accespoints op de etage's, en een Map om mee te 'spelen' ..

Ik mag aannemen dat het een stabielere opzet is / wordt dan mijn huidige E4200 v1 met Tomato.

Ik heb zelf deze opstelling ook. Ik ben er heel tevreden mee!!
Morgen ga ik uitbreiden met een CRS109-8G-1S-2HnD-IN.

Als alles goed is geconfigureerd is het een zeer stabiele en mooie opstelling!

[AndRo555]

FreshMaker schreef op dinsdag 09 juni 2015 @ 16:45:
Zo, mijn bestelling gedaan.
De RB2011UiAS-2HnD-IN als basisstation, voor mij voldoende met mijn 50/5 ADSL
2x HAPlite als accespoints op de etage's, en een Map om mee te 'spelen' ..

Ik mag aannemen dat het een stabielere opzet is / wordt dan mijn huidige E4200 v1 met Tomato.

De hAP werkt hier feilloos buiten het feit dat er met bepaalde devices max 19.xx over wifi gehaald wordt. Getest met een Nexus 5 en Oneplus One. Bij alle andere devices haalt die makkelijk meer, tot over de 50Mbps met een iPad. Geen idee waaraan het zou liggen.
Er zijn 1x1MiMo devices die meer halen als 19Mbps halen dus het ligt niet daaraan.

[FreshMaker]

Persoonlijk vind ik +15Mbps redelijk voldoende.
De enige 'angst' die ik heb, is dat ik stotterende streams krijg op mijn wireless devices ( mediaplayer staat bedraad )

Ik wil nog wel eens op mijn nexus7 een filmpje kijken in bed, en haperende verbinding is wel degelijk het beroerdste wat je kan hebben

[AndRo555]

Ik ben hier overgegaan van 1 wireless AP(in de router) naar een setup met 3 AP's door het huis, waaronder een hAP. De snelheid is zoveel beter, niet alleen door de betere dekking, maar ook gewoon omdat elk AP minder verkeer voor zijn rekening moet nemen. Met 1AP en meer als 10 devices er aan die niet allemaal even goed signaal hadden was het soms vrij traag.

[FreshMaker]

Gebruik je dan Capsman, of heb je ze als individuele AP's hangen ?

Ik wil de Map voorlopig gebruiken als tijdelijke steun-AP in de schuur ( wireless bridge ) zodat ik in de tuin ook ( iig een beetje ) verbinding hou

[AndRo555]

Enkel een hAP in het netwerk, als individueel AP dus.

[FreshMaker]

Hmmm nu ga ik twijfelen .....
Misschien verstandiger om mijn bestelling om te gooien, en de RB2011UiAS-2HnD-IN te laten vervangen door de CRS109-8G-1S-2HnD-IN ...

Vermoedelijk is het switching meer van toepassing, dan de routering ...
keuzes, keuzes ....

edit : omgezet

[ Voor 3% gewijzigd door FreshMaker op 09-06-2015 20:22 ]

[Tylen]

Ik ben aan het zoeken naar een nieuwe high performance 5Ghz AC accesspoint.

Nu kwam ik uit op de mikrotik netmetal 5. Hij is ook niet heel duur. Maar nu vraag ik mij af. Moet ik hier nog aparte antennes voor kopen? Weet iemand hier dat toevallig?

Het gaat om deze: http://routerboard.com/RB921UAGS-5SHPacT-NM

Edit: Nevermind. Product specs gelezen. JA het moet

[ Voor 8% gewijzigd door Tylen op 09-06-2015 21:58 ]

[rohaantje]

Tylen schreef op dinsdag 09 juni 2015 @ 21:55:
Ik ben aan het zoeken naar een nieuwe high performance 5Ghz AC accesspoint.

Nu kwam ik uit op de mikrotik netmetal 5. Hij is ook niet heel duur. Maar nu vraag ik mij af. Moet ik hier nog aparte antennes voor kopen? Weet iemand hier dat toevallig?

Het gaat om deze: http://routerboard.com/RB921UAGS-5SHPacT-NM

Edit: Nevermind. Product specs gelezen. JA het moet

Als het alleen voor indoor is kun je beter even wachten. Binnenkort komen er goedkopere acces points uit. De hAP serie. http://i.mt.lv/eu15.pdf

FreshMaker schreef op dinsdag 09 juni 2015 @ 17:53:
Gebruik je dan Capsman, of heb je ze als individuele AP's hangen ?

Ik wil de Map voorlopig gebruiken als tijdelijke steun-AP in de schuur ( wireless bridge ) zodat ik in de tuin ook ( iig een beetje ) verbinding hou

Ik gebruik mijn 2 hAP's en 1 mAP met capsman... en ik kan mijn 20/20 voltrekken.
Werkt prima na het juist instellen van capsman.

Ik had wat problemen met dynamic provisioning en lease tijden van mijn ip's.
Hij kan er niet goed tegen als je elk half uur het ip-addres renewed.

[ Voor 33% gewijzigd door rohaantje op 09-06-2015 23:33 ]

[Zware Unit]

Heeft iemand hier zijn MikroTik config al aangepast op ipv6 bij KPN Glasvezel?

[Tylen]

rohaantje schreef op dinsdag 09 juni 2015 @ 23:00:
[...]


Als het alleen voor indoor is kun je beter even wachten. Binnenkort komen er goedkopere acces points uit. De hAP serie. http://i.mt.lv/eu15.pdf

Wow die hAP ac ziet er goed uit. Q3 gaat bijna ik. Misschien inderdaad nog even wachten.

[maarud]

Ik heb nu een RB2011 die als router fungeert (simpel NAT routertje voor ADSL) met daarop een hotspot voor 30 users op vlan 20 (ik heb gewoon internet untagged). Een Unifi AP zorgt voor Wifi.

Zou zo'n zelfde setup ook met een hAP lite werken? Dat lijkt de goedkoopste MikroTik 'router' die er is. Hij hoeft eigenlijk alleen maar te zorgen dat er voor 30 man een hotspot is op een VLAN. Hij draait op RouterOS dus dan kan ik bijna letterlijk de configuratie kopieren, bij wijze van spreken, lijkt me?

Of kan ik beter een iets duurder device neerzetten?

[chaoscontrol]

allure schreef op vrijdag 29 mei 2015 @ 13:13:
Ik heb zojuist alle routers welke ik uit heb staan geupdate naar v6.29, ik ben geen problemen tegen gekomen.

Ik ook niet inderdaad. De GUI is wel een beetje aangepast. O.a. de ipsec policies hebben meer encryptie protocollen. Ik weet niet of die via de cli al wel werkte.

[rohaantje]

maarud schreef op vrijdag 12 juni 2015 @ 19:58:
Ik heb nu een RB2011 die als router fungeert (simpel NAT routertje voor ADSL) met daarop een hotspot voor 30 users op vlan 20 (ik heb gewoon internet untagged). Een Unifi AP zorgt voor Wifi.

Zou zo'n zelfde setup ook met een hAP lite werken? Dat lijkt de goedkoopste MikroTik 'router' die er is. Hij hoeft eigenlijk alleen maar te zorgen dat er voor 30 man een hotspot is op een VLAN. Hij draait op RouterOS dus dan kan ik bijna letterlijk de configuratie kopieren, bij wijze van spreken, lijkt me?

Of kan ik beter een iets duurder device neerzetten?

Zelf denk ik dat die hAP dat niet helemaal lekker gaat trekken.
Misschien als kale AP, maar volledig als router wordt het wat te veel vermoed ik.
Vooral omdat je maar 32mb ram hebt.

Ik denk dat een RB2011 met een hAP als ap een betere situatie zou zijn.

Check ook deze even de hEX lite(rb750r2). Paar euro duurder, maar dan heb je wel een dikkere router.

[ Voor 9% gewijzigd door rohaantje op 12-06-2015 20:07 ]

[maarud]

Ik wil juist de Unifi AP gebruiken omdat ik geen goeie ervaringen heb met MikroTik. Dus ik heb de RB2011 gedegradeerd tot router en een Unifi AP voor de wifi ingezet, nu werkt alles snel en vlekkeloos.

Maar goed, ik vond de RB2011 een beetje duur voor alleen routeren dus ik zocht een goedkoper Mikrotik apparaatje

hEX lite ziet er goed uit, met 64MB RAM moet het wel gaan werken toch? De 30 users zijn veelal idle.

edit: Het gewone netwerk (standaard vlan) gaat wel AirPlay streamen, wellicht is 128MB verstandiger?
Dan de RB951Ui-2HnD misschien.

[ Voor 13% gewijzigd door maarud op 12-06-2015 21:03 ]

[rohaantje]

maarud schreef op vrijdag 12 juni 2015 @ 21:01:
Ik wil juist de Unifi AP gebruiken omdat ik geen goeie ervaringen heb met MikroTik. Dus ik heb de RB2011 gedegradeerd tot router en een Unifi AP voor de wifi ingezet, nu werkt alles snel en vlekkeloos.

Maar goed, ik vond de RB2011 een beetje duur voor alleen routeren dus ik zocht een goedkoper Mikrotik apparaatje

hEX lite ziet er goed uit, met 64MB RAM moet het wel gaan werken toch? De 30 users zijn veelal idle.

edit: Het gewone netwerk (standaard vlan) gaat wel AirPlay streamen, wellicht is 128MB verstandiger?
Dan de RB951Ui-2HnD misschien.

Ik heb zelf met Mikrotik weinig wlan problemen. Ik Draai met CAPsMAN en 5 AP's. Roamen gaat prima, bereik gaat prima. Al maak ik wel gebruik van de wireless-cm2 package welke naar mijn idee wel stabieler werkt.

Met 30 idle user gaat die hEX lite primaa werken. Ik denk dat die 64MB wel kan gaan werken et airplay, als je niet te veel functies op de router inschakelt. Maar ik kan daar niet echt een heel goed oordeel over geven. Mijn RB2011 gebruikt 32MB met 15 gebruikers, standaard firewall rules(10 stuks), CAPsMAN en PPPoE.

[Bendalf]

Ben al enkele weken bezig om mijn huidig netwerk te vervangen (8j oud) door nieuwe hardware. De switches zijn net gedaan (Cisco SG300) en de volgende stap is de router/AP.

Met veel interesse dit topic helemaal doorgelezen en wil de mikrotik toch eens proberen ipv de brakke RV180W die constant problemen heeft. Internet connectiviteit bestaat uit een Telenet fiber 240/20 momenteel maar wil een router die toch enkele upgrades meekan.
Meeste werk zal NAT zijn met wat beperkt aantal forwarding/firewall rules en VPN. Switching/vlans zal door de cisco's gebeuren.

Aangezien VPN toch belangrijk is (ipsec/openvpn) dacht ik meteen naar een CCR1009 te gaan samen met 2 hAP ac lite points. De vraag die ik heb is of ik de fanless versie zou moeten nemen of niet. De router komt in een wandrek in de garage maar de vrouw wil het natuurlijk zo stil mogelijk. Kan iemand een idee geven hoeveel lawaai de gewone versie maakt? Of zou ik toch voor de fanless oplossing moeten gaan (is een afgesloten kast zonder actieve verluchting met reeds 2 synology's, 2 SG300 PoE fanless switches in dus al redelijk wat warmte)

ps: of wachten op de nieuwe RB3011?

[rohaantje]

Bendalf schreef op dinsdag 16 juni 2015 @ 10:25:
...

ps: of wachten op de nieuwe RB3011?

Over de warmte kan ik weinig zeggen.

Maar als je de snelheid van een CCR1009 nodig hebt zul je aan een RB3011 niet genoeg hebben.
DE RB3011 blijft een high-end home router terwijl een CCR1009 een entry-level pro router is.
Het is nog niet helemaal duidelijk welke cpu er in zit, maar wss niet zo snel als de 9core's van die CCR.
check dit forum even: http://forum.mikrotik.com/viewtopic.php?f=3&t=95585

[ Voor 63% gewijzigd door rohaantje op 16-06-2015 13:20 ]

[Zware Unit]

Welke Mikrotik router kan 500/500 glasvezel verbinding volledig voltrekken? Mijn RB2011 haalt maximaal ±220Mbit.

[Verwijderd]

Zware Unit schreef op dinsdag 23 juni 2015 @ 18:49:
Welke Mikrotik router kan 500/500 glasvezel verbinding volledig voltrekken?

Had je al gezocht in (klikkerdeklik, keyword='500'): \[Ervaringen/discussie] MikroTik-apparatuur? Kandidaten zijn: CCR-1009, RB850Gx2 (kantjeboord), RB1100AHx2.

[ Voor 16% gewijzigd door Verwijderd op 23-06-2015 19:27 . Reden: Tikfouten. ]

[Thralas]

Daarbij overigens de opmerking dat FastTrack in v6.29+ ESTABLISHED/RELATED TCP/UDP (?) traffic een stuk sneller zou moeten maken. Ik zou er nog niet op inzetten voor 500/500, maar ben wel benieuwd hoe de RB951G/RB2011 er nu voorstaan in een simpel NAT-thuisnetwerk.

Heel veel concretere ervaringen heb ik niet kunnen vinden, op deze na.

[Edd]

Thralas schreef op dinsdag 23 juni 2015 @ 19:59:
Heel veel concretere ervaringen heb ik niet kunnen vinden, op deze na.

Mijn concrete ervaring is dat het niet werkte met een 500mbit glasvezel lijn van XS4all.
Daar wordt gebruikt gemaakt van een pppoe-sessie over een vlan en Fasttrack wordt (nog) niet ondersteund door de pppoe-client van de MiktroTik.

[Thralas]

Ah, ja, daar heb je een goede concrete pitfall te pakken. Alle vormen van tunneling kun je ook vergeten..

[Zware Unit]

Voor 500/500Mbit zat ik zelf te denken aan de CCR1009-8G-1S-1S+ of CCR1016-12G. Upload snelheid blij mijn RB2011 blijft namelijk ruim lager dan de 220Mbit, dus heb liever dat ik een MikroTik router aanschaf die redelijk overkill is, dan iets te halen wat underpowered blijkt te zijn.