[MikroTik-apparatuur] Ervaringen & Discussie

[Coppertop]

CodeCaster schreef op woensdag 17 januari 2024 @ 09:20:
<snip>

De wiki van MikroTik is deprecated, toch? Hier staat Hairpin NAT in RouterOS toegelicht: https://help.mikrotik.com/docs/display/ROS/NAT . Ik gebruik het al jaren succesvol op deze manier, dezelfde usecase als de jouwe.

[ Voor 14% gewijzigd door Coppertop op 17-01-2024 09:44 . Reden: Aangevuld ]

[nescafe]

Hier is die iets algemener dan in de docs

code:

/ip firewall nat
add action=masquerade chain=srcnat dst-address=192.168.88.0/24 \
    out-interface-list=LAN src-address=192.168.88.0/24

[ Voor 24% gewijzigd door nescafe op 17-01-2024 10:09 ]

[lier]

CodeCaster schreef op woensdag 17 januari 2024 @ 09:20:
Ik heb het interne IP van de server nu maar in m'n interne DNS gezet. Maar ik wil gewoon dat loopback werkt. Zonder dat ik het publieke IP in mijn config heb, en zonder dubbele port forwards te moeten configureren.

Hier een purist...als je zelf DNS draait is het het meest voor de hand liggend om inderdaad daarvoor een entry op te nemen. En inderdaaad...hairpin NAT (of NAT loopback) werkt uiteraard ook gewoon. Is het al gelukt?

[CodeCaster]

Hey, ik kwam hier alleen om te ranten over de staat van het forum en de Wiki, niet voor hulp. De DNS-oplossing is op zich afdoende, maar ik was wat aan het pielen met een secundaire, externe DNS voor het geval die uitvalt, en dan werkt de interne resolutie niet.

Als ik zo'n masquerade "out-interface-list=LAN" instel, dan kom ik met het intern bezoeken van m'n externe IP uit op de inlogpagina van de router.

Want de dstnat voor poort 80 en 443 staan op in-interface-list=WAN en daar komt intern verkeer natuurlijk niet vandaan.

Ik ga nog wel verder lezen en experimenteren, thanks.

[ Voor 6% gewijzigd door CodeCaster op 17-01-2024 10:34 ]

[nescafe]

CodeCaster schreef op woensdag 17 januari 2024 @ 10:28:
Als ik zo'n masquerade "out-interface-list=LAN" instel, dan kom ik met het intern bezoeken van m'n externe IP uit op de inlogpagina van de router.

Oh ja, de dstnat doe ik ook iets generieker op basis van inverted logic om niet het publieke ip te hoeven fixeren:

code:

/ip firewall nat
add action=dst-nat chain=dstnat dst-address=!192.168.88.0/24 \
    dst-address-type=local dst-port=80,443 protocol=tcp \
    to-addresses=192.168.88.123

[Mattie112]

nescafe schreef op woensdag 17 januari 2024 @ 10:49:
[...]


Oh ja, de dstnat doe ik ook iets generieker op basis van inverted logic om niet het publieke ip te hoeven fixeren:

code:

/ip firewall nat
add action=dst-nat chain=dstnat dst-address=!192.168.88.0/24 \
    dst-address-type=local dst-port=80,443 protocol=tcp \
    to-addresses=192.168.88.123

Oh das ook een goeie, ik had hem in een addresslist gestopt (voor die 1x per <lang> jaar dat ie veranderd) maar ja dat kan ook natuurlijk

[mvdnes]

Ah ik vind die regel met de inverted logic mooi.

Ik had de hairpin zo geregeld, met automatische IP update:

code:

/ip/firewall/nat
add action=masquerade chain=srcnat comment="Hairpin, srcnat" dst-address=192.168.88.10 out-interface-list=LAN protocol=tcp \
    src-address=192.168.88.0/24
add action=dst-nat chain=dstnat comment="Hairpin NAT 22, dst" dst-address-list=externalip dst-port=22 in-interface-list=LAN \
    protocol=tcp to-addresses=192.168.88.10

/ip dhcp-client
add interface=ether1.100 script=":if (\$bound=1) do={\r\
    \n    /system script run ipv4check\r\
    \n}"

En dan nog het ipv4script met als policy read,write,test:

code:

:local oldip [/ip firewall address-list get [find list="externalip"] address];
:local newip [/ip address get [find interface="ether1.100"] address];
:local newip [:pick $newip 0 [:find $newip "/"]];

:if ($newip != $oldip) do={
    :put "ip address $old changed to $newip";
    /ip firewall address-list set [find list="externalip"] address=$newip
}

[mbenjamins]

Zou iemand naar onderstaande configuratie willen kijken?
Naar mijn idee zou ik er met draadloos en bedraad meer uit kunnen halen.
Draadloos haal ik rond de 100Mbps en bedraad rond de 700Mbps volgens speedtest.

code:

# 2024-01-17 23:23:31 by RouterOS 7.13.2
# software id = JK68-FPXY
#
# model = RB4011iGS+5HacQ2HnD
/caps-man channel
add band=5ghz-a/n/ac extension-channel=Ceee frequency=5180,5260,5500 name=5g
add band=2ghz-b/g/n extension-channel=XX frequency=2412,2432,2472 name=2g
/interface bridge
add arp=proxy-arp igmp-snooping=yes name=bridge-local port-cost-mode=short \
    protocol-mode=none
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp l2mtu=1598 loop-protect=off \
    name=ether1-gateway
set [ find default-name=ether2 ] l2mtu=1598
/interface wireless
# managed by CAPsMAN
# channel: 5260/20-Ceee/ac/DP(20dBm)+5630/80/DP(24dBm), SSID: H369A820BA5, local forwarding
set [ find default-name=wlan1 ] band=5ghz-a/n/ac channel-width=\
    20/40/80mhz-XXXX country=netherlands disabled=no frequency=auto mode=\
    ap-bridge radio-name=B869F4BE9F4B skip-dfs-channels=all ssid=H369A820BA5 \
    station-roaming=enabled wireless-protocol=802.11 wps-mode=disabled
# managed by CAPsMAN
# channel: 2412/20-Ce/gn(27dBm), SSID: H369A820BA5, local forwarding
set [ find default-name=wlan2 ] band=2ghz-b/g/n channel-width=20/40mhz-Ce \
    country=netherlands disabled=no mode=ap-bridge ssid=H369A820BA5 \
    station-roaming=enabled wireless-protocol=802.11 wps-mode=disabled
/interface wireless nstreme
# managed by CAPsMAN
# channel: 5260/20-Ceee/ac/DP(20dBm)+5630/80/DP(24dBm), SSID: H369A820BA5, local forwarding
set wlan1 enable-polling=no
# managed by CAPsMAN
# channel: 2412/20-Ce/gn(27dBm), SSID: H369A820BA5, local forwarding
set wlan2 enable-polling=no
/interface vlan
add interface=ether1-gateway name=vlan1.4 vlan-id=4
add interface=ether1-gateway name=vlan1.6 vlan-id=6
/caps-man datapath
add bridge=bridge-local client-to-client-forwarding=yes local-forwarding=yes \
    name=BridgeDP
/caps-man security
add authentication-types=wpa2-psk encryption=aes-ccm name=Draadloos
/caps-man configuration
add channel=5g datapath=BridgeDP distance=indoors name="5ghz Config" \
    security=Draadloos ssid=H369A820BA5
add channel=2g datapath=BridgeDP distance=indoors name="2.4ghz Config" \
    security=Draadloos ssid=H369A820BA5
/interface list
add name=WAN
add name=LAN
/interface lte apn
set [ find default=yes ] ip-type=ipv4 use-network-apn=no
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk eap-methods="" mode=\
    dynamic-keys supplicant-identity=MikroTik
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
add code=28 name=option28-broadcast value="'192.168.2.255'"
/ip dhcp-server option sets
add name=IPTV options=option60-vendorclass,option28-broadcast
/ip pool
add name=dhcp ranges=192.168.2.40-192.168.2.99
/ip dhcp-server
add address-pool=dhcp interface=bridge-local lease-time=1h30m name=dhcp-thuis
/port
set 0 name=serial0
set 1 name=serial1
/ppp profile
add name=default-ipv6 only-one=yes remote-ipv6-prefix-pool=*0 \
    use-compression=yes use-upnp=no
/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=vlan1.6 \
    keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=pppoe profile=\
    default-ipv6 user=88-D2-74-82-0B@internet
/routing bgp template
set default disabled=yes output.network=bgp-networks
/routing ospf instance
add disabled=no name=default-v2
add disabled=no name=default-v3 version=3
/routing ospf area
add disabled=yes instance=default-v2 name=backbone-v2
add disabled=yes instance=default-v3 name=backbone-v3
/user group
add name=homeassistant policy="read,test,api,!local,!telnet,!ssh,!ftp,!reboot,\
    !write,!policy,!winbox,!password,!web,!sniff,!sensitive,!romon,!rest-api"
/caps-man manager
# bad package path
set enabled=yes package-path=/upgrade upgrade-policy=require-same-version
/caps-man provisioning
add action=create-dynamic-enabled hw-supported-modes=a,ac,an \
    master-configuration="5ghz Config" name-format=prefix name-prefix=WifiAP
add action=create-dynamic-enabled hw-supported-modes=b,gn \
    master-configuration="2.4ghz Config" name-format=prefix name-prefix=\
    WifiAP
/interface bridge port
add bridge=bridge-local ingress-filtering=no interface=ether2 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=ether3 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=ether4 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=ether5 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=ether6 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=ether7 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=ether8 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=ether9 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=ether10 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=wlan1 \
    internal-path-cost=10 path-cost=10
add bridge=bridge-local ingress-filtering=no interface=wlan2 \
    internal-path-cost=10 path-cost=10
/ip neighbor discovery-settings
set discover-interface-list=!dynamic
/ip settings
set max-neighbor-entries=8192
/ipv6 settings
set max-neighbor-entries=8192
/interface list member
add interface=ether1-gateway list=WAN
add interface=bridge-local list=LAN
add interface=vlan1.6 list=WAN
add interface=vlan1.4 list=WAN
/interface ovpn-server server
set auth=sha1,md5
/interface wireless cap
# 
set caps-man-addresses=127.0.0.1 enabled=yes interfaces=wlan1,wlan2
/ip address
add address=192.168.2.1/24 interface=bridge-local network=192.168.2.0
/ip dhcp-client
add add-default-route=special-classless default-route-distance=210 \
    dhcp-options=option60-vendorclass disabled=yes interface=vlan1.4 \
    use-peer-dns=no use-peer-ntp=no
add interface=ether1-gateway
/ip dhcp-server config
set store-leases-disk=15m
/ip dhcp-server lease
add address=192.168.2.10 allow-dual-stack-queue=no comment="Decoder 1" \
    dhcp-option-set=IPTV disabled=yes mac-address=00:02:9B:DF:46:97 server=\
    dhcp-thuis
add address=192.168.2.20 client-id=1:e0:3f:49:14:5c:b4 mac-address=\
    E0:3F:49:14:5C:B4 server=dhcp-thuis
add address=192.168.2.11 client-id=1:1c:5a:6b:f6:16:d5 comment="TV Woonkamer" \
    mac-address=1C:5A:6B:F6:16:D5 server=dhcp-thuis
/ip dhcp-server network
add address=192.168.2.0/24 dns-server=192.168.2.3 domain=thuis.local gateway=\
    192.168.2.1
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d servers=\
    208.67.222.222,208.67.220.220
/ip dns static
add address=127.0.0.1 regexp="[.](local)"
add address=127.0.0.1 regexp="[.](test)"
/ip firewall address-list
add address=213.75.112.0/21 list=KPN-RoutedIPTV
add address=217.166.0.0/16 list=KPN-RoutedIPTV
add address=10.142.64.0/18 list=KPN-RoutedIPTV
add address=84.247.8.94 comment=SRV03 list=Servers
add address=149.210.171.142 comment=SRV02 list=Servers
/ip firewall filter
add action=fasttrack-connection chain=forward connection-state=\
    established,related disabled=yes hw-offload=yes
add action=reject chain=forward disabled=yes in-interface=ether1-gateway \
    protocol=tcp reject-with=icmp-port-unreachable
add action=reject chain=forward disabled=yes in-interface=ether1-gateway \
    protocol=udp reject-with=icmp-port-unreachable
add action=accept chain=input connection-state=established,related disabled=\
    yes
add action=accept chain=input connection-state=related disabled=yes
add action=accept chain=input disabled=yes in-interface=ether1-gateway \
    protocol=igmp
add action=accept chain=input disabled=yes in-interface=vlan1.4 protocol=udp
add action=drop chain=input disabled=yes in-interface-list=!LAN
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input in-interface=pppoe protocol=icmp
add action=accept chain=input disabled=yes dst-address=224.0.0.0/8 protocol=\
    igmp
add action=accept chain=input disabled=yes dst-address=224.0.0.0/8 \
    in-interface=vlan1.4 protocol=igmp
add action=accept chain=input disabled=yes dst-address=224.0.0.0/8 \
    in-interface=vlan1.4 protocol=udp
add action=accept chain=input dst-port=8291 protocol=tcp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=accept chain=forward in-interface=vlan1.4 protocol=udp
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="Needed for internet" \
    out-interface=pppoe src-address=192.168.0.0/16 to-addresses=0.0.0.0
add action=masquerade chain=srcnat disabled=yes dst-address-list=\
    KPN-RoutedIPTV out-interface=vlan1.4
add action=masquerade chain=srcnat dst-address=192.168.2.3 out-interface=\
    bridge-local protocol=tcp src-address=192.168.2.0/24
add action=dst-nat chain=dstnat dst-address=77.164.153.69 dst-port=443 \
    protocol=tcp to-addresses=192.168.2.3 to-ports=443
add action=dst-nat chain=dstnat dst-address=77.164.153.69 dst-port=80 \
    protocol=tcp to-addresses=192.168.2.3 to-ports=80
/ip ssh
set allow-none-crypto=yes forwarding-enabled=remote
/ip traffic-flow
set cache-entries=4k
/ip upnp
set enabled=yes show-dummy-rule=no
/ip upnp interfaces
add interface=bridge-local type=internal
add interface=pppoe type=external
/ipv6 address
# duplicate address detected
add from-pool=*0 interface=bridge-local
/ipv6 dhcp-client
add add-default-route=yes interface=pppoe pool-name=*0 pool-prefix-length=48 \
    request=prefix use-peer-dns=no
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
add address=::224.0.0.0/100 comment="defconf: other" list=bad_ipv6
add address=::127.0.0.0/104 comment="defconf: other" list=bad_ipv6
add address=::/104 comment="defconf: other" list=bad_ipv6
add address=::255.0.0.0/104 comment="defconf: other" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/ipv6 nd
set [ find default=yes ] advertise-dns=no
add advertise-mac-address=no hop-limit=64 interface=bridge-local
/routing bfd configuration
add disabled=no
/routing igmp-proxy
set quick-leave=yes
/routing igmp-proxy interface
add alternative-subnets=217.166.0.0/16,213.75.0.0/16,10.29.0.0/18 interface=\
    vlan1.4 upstream=yes
add interface=bridge-local
/system clock
set time-zone-name=Europe/Amsterdam
/system leds
add interface=wlan2 leds="wlan2_signal1-led,wlan2_signal2-led,wlan2_signal3-le\
    d,wlan2_signal4-led,wlan2_signal5-led" type=wireless-signal-strength
add interface=wlan2 leds=wlan2_tx-led type=interface-transmit
add interface=wlan2 leds=wlan2_rx-led type=interface-receive
/system note
set show-at-login=no
/system resource irq rps
set sfp-sfpplus1 disabled=no
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Als router heb ik een uitvoering: MikroTik RB4011iGS+5HacQ2HnD-IN
De volgende apparaten gebruik ik voor het testen:
Laptop
uitvoering: Dell XPS 13 9300 (134N3)
In de laptop zit de volgende Wi-Fi adapter
Killer(R) Wi-Fi 6 AX1650s 160MHz Wireless Network Adapter (201D2W)

Telefoon
uitvoering: Samsung Galaxy S22 Ultra, 12GB, 256GB Zwart

Kabels zijn allemaal Cat 5E.

Als internet heb ik KPN 1 Gbit/s down- en upload


Vind Mikrotik mooi spul maar heb het nog nooit echt lekker draaiend gekregen. Als het nu ook niet lukt stap ik misschien wel over naar een ander merk, lukt het wel komt er nog meer bij.

[lier]

Even ingezoomd op het wireless deel, @mbenjamins :

• Gebruik geen 40MHz bandbreedte op de 2,4GHz band, tenzij je één "radio" hebt en verder geen storingsbronnen
• Gebruik geen legacy protocollen, zonde van de (air)time: 2ghz-n en 5ghz-n/ac
• Zet 5GHz bandbreedte niet op channel-width=20/40/80mhz-XXXX, maar gebruik (bijvoobreeld) channel-width=20/40/80mhz-Ceee. Hierdoor heb je controle op je control channel
• Selecteer vaste kanalen, kies deze zorgvuldig op basis van een frequency scan
• Verlaag het zendvermogen tot een hoogte die toereikend is, hoger is niet altijd beter

Kijk met welke snelheid de client verbonden is (CAPsMAN, Registration Table, Tx Rate en Rx Rate) en post dat ook hier.
Test de snelheid met iPerf, waarbij de "server" op een host werkt die met draad op je router aan is gesloten.

Zelf draai ik met cAP XL ac, heb de kanaalbreedte op 40MHz ingesteld en haal rond de 300Mbps. Dat moet voor jou ook makkelijk haalbaar zijn.

[mbenjamins]

lier schreef op donderdag 18 januari 2024 @ 10:53:
Even ingezoomd op het wireless deel, @mbenjamins :

• Gebruik geen 40MHz bandbreedte op de 2,4GHz band, tenzij je één "radio" hebt en verder geen storingsbronnen
• Gebruik geen legacy protocollen, zonde van de (air)time: 2ghz-n en 5ghz-n/ac
• Zet 5GHz bandbreedte niet op channel-width=20/40/80mhz-XXXX, maar gebruik (bijvoobreeld) channel-width=20/40/80mhz-Ceee. Hierdoor heb je controle op je control channel
• Selecteer vaste kanalen, kies deze zorgvuldig op basis van een frequency scan
• Verlaag het zendvermogen tot een hoogte die toereikend is, hoger is niet altijd beter

Kijk met welke snelheid de client verbonden is (CAPsMAN, Registration Table, Tx Rate en Rx Rate) en post dat ook hier.
Test de snelheid met iPerf, waarbij de "server" op een host werkt die met draad op je router aan is gesloten.

Zelf draai ik met cAP XL ac, heb de kanaalbreedte op 40MHz ingesteld en haal rond de 300Mbps. Dat moet voor jou ook makkelijk haalbaar zijn.

Ik snap wel wat je bedoelt alleen ben ik er nog niet achter waar en hoe ik alles instel.

[lier]

mbenjamins schreef op zondag 21 januari 2024 @ 22:19:
Ik snap wel wat je bedoelt alleen ben ik er nog niet achter waar en hoe ik alles instel.

Veel informatie kan je hier vinden:
https://help.mikrotik.com...VLANconfigurationexample:

Laat maar weten als je vragen hebt.

[X-DraGoN]

Ik heb hier pas een installatie gedaan van 6 WAP's en een virtuele router (die louter dient als MGMT interface)
Ik heb hier veel clients die een seconde of zo hun connectie verliezen en dan weer terug in orde komt waardoor ze sessies kwijt geraken waar in ze bezig waren.

Om verder te onderzoeken waar dit aan kan liggen heb ik geprobeerd de DEBUG logging aan te zetten voor WIFI maar dat lukt me niet. Momenteel staat het zo ingesteld, maar er komt dus geen log uit:




Iemand een idee hoe ik die debug logging aan aanzetten?

Router OS: 7.13.2
WAP 7.13.2

Als dat zou kunnen helpen, heb ik ook even een export toegevoegd

code:

# 2024-01-23 15:39:16 by RouterOS 7.13.2
# software id = 
#
/caps-man channel
add control-channel-width=20mhz extension-channel=disabled frequency=2412,2437,2462 name="2.4 ghz"
add control-channel-width=20mhz extension-channel=disabled frequency=5500,5520,5540,5560,5580,5600,5620,5640,5660,5680,5700,5720,5745,5765,5785,5805,5825,5845,5865 name=5ghz
/interface bridge
add name=bridge1 port-cost-mode=short protocol-mode=none
add comment="Guest Network" name=bridge2 port-cost-mode=short protocol-mode=none
add comment="Guest Network NIC 2" name=local port-cost-mode=short protocol-mode=none
/interface ethernet
set [ find default-name=ether1 ] disable-running-check=no
set [ find default-name=ether2 ] disable-running-check=no
/caps-man interface
add configuration.country=belgium .installation=indoor disabled=no mac-address=00:00:00:00:00:00 master-interface=none name=WIFIMGMT radio-mac=00:00:00:00:00:00 radio-name=""
/caps-man datapath
add bridge=bridge1 client-to-client-forwarding=yes comment="PROD Network" local-forwarding=yes name=datapath1
add bridge=bridge1 client-to-client-forwarding=yes comment="Guest Network" local-forwarding=yes name=datapath2
/caps-man rates
add basic=6Mbps,12Mbps,24Mbps name=Rate supported=12Mbps,18Mbps,24Mbps,36Mbps,48Mbps,54Mbps
/caps-man security
add authentication-types=wpa-psk,wpa2-psk comment="Normal Config wifi *knip*" name="wifi *knip* PROD"
add authentication-types=wpa-psk,wpa2-psk comment="wifi *knip* Guest" encryption="" name="wifi Guest"
/caps-man configuration
add channel="2.4 ghz" comment="WIFI *knip*" country=belgium datapath=datapath1 distance=dynamic installation=any mode=ap multicast-helper=full name="Wifi *knip* 2,4 Ghz" rates=Rate security="wifi *knip* PROD" ssid=*knip*
add channel=5ghz comment="WIFI 5 Ghz" country=belgium datapath=datapath1 distance=dynamic installation=any mode=ap multicast-helper=full name="WIFI 5 Ghz" rates=Rate security="wifi *knip* PROD" ssid=*knip*
add channel="2.4 ghz" country=belgium datapath=datapath1 installation=any multicast-helper=full name=Guest24 rates=Rate security="wifi Guest" ssid=Guest_*knip*
add channel=5ghz country=belgium datapath=datapath1 installation=any mode=ap multicast-helper=full name=Guest5 rates=Rate security="wifi Guest" ssid=Guest_*knip*
/interface list
add name=WAN
add name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=dhcp_pool0 ranges=192.168.2.3-192.168.2.254
/ip dhcp-server
add address-pool=dhcp_pool0 interface=bridge2 lease-time=8h name=dhcp1 relay=192.168.2.1 server-address=192.168.2.2
/port
set 0 name=serial0
set 1 name=serial1
/snmp community
set [ find default=yes ] name=ZXj6y7mee91ew0 write-access=yes
/caps-man access-list
add action=reject allow-signal-out-of-range=10s comment=XboxOne disabled=no mac-address=2C:54:91:67:C2:9D signal-range=-120..120 ssid-regexp="" time=0s-1d,sun,mon,tue,wed,thu,fri,sat
add action=reject allow-signal-out-of-range=10s comment="Iphone Adrea" disabled=no mac-address=70:31:7F:DE:69:2E signal-range=-120..120 ssid-regexp="" time=0s-1d,sun,mon,tue,wed,thu,fri,sat
add action=reject allow-signal-out-of-range=10s comment="Iphone Tanya" disabled=no mac-address=5C:50:D9:B1:94:58 signal-range=-120..120 ssid-regexp="" time=0s-1d,sun,mon,tue,wed,thu,fri,sat
add action=reject allow-signal-out-of-range=10s comment=Chromecast disabled=no mac-address=AC:67:84:42:EC:69 signal-range=-120..120 ssid-regexp="" time=0s-1d,sun,mon,tue,wed,thu,fri,sat
add action=reject allow-signal-out-of-range=10s disabled=no mac-address=2A:E8:9F:C2:FE:C9 signal-range=-120..120 ssid-regexp="" time=0s-1d,sun,mon,tue,wed,thu,fri,sat
/caps-man manager
set ca-certificate=auto certificate=auto enabled=yes
/caps-man provisioning
add action=create-dynamic-enabled comment="Wifi 2,4 Ghz" hw-supported-modes=gn,g master-configuration="Wifi *knip* 2,4 Ghz" slave-configurations=Guest24
add action=create-dynamic-enabled comment="Wifi 5 Ghz" hw-supported-modes=ac,an,a master-configuration="WIFI 5 Ghz" slave-configurations=Guest5
/interface bridge port
add bridge=bridge1 comment="PROD Network" interface=ether1 internal-path-cost=10 path-cost=10
add bridge=local comment="Guest Network" interface=ether2 internal-path-cost=10 path-cost=10
/interface list member
add interface=ether1 list=WAN
add interface=ether2 list=WAN
/ip address
add address=172.23.15.233/20 interface=ether1 network=172.23.0.0
add address=192.168.2.2/24 comment=Guest_*knip* interface=ether2 network=192.168.2.0
/ip dhcp-client
add disabled=yes interface=bridge1
/ip dhcp-relay
add dhcp-server=172.23.0.200 disabled=no interface=bridge1 name=poseidon.*knip*-group.com
add dhcp-server=192.168.2.1 disabled=no interface=bridge2 name=Guest_*knip*
/ip dhcp-server network
add address=192.168.2.0/24 dns-server=1.1.1.1,8.8.8.8 gateway=192.168.2.1
/ip dns
set servers=172.23.0.200,172.23.0.210,10.127.0.240
/snmp
set contact="IT *knip*" enabled=yes location="IT *knip*"
/system clock
set time-zone-name=Europe/Brussels
/system identity
set name=RouterOs7.*knip*-group.com
/system logging
set 3 action=memory
add topics=system
add topics=wireless,debug
/system note
set show-at-login=no
/system ntp client
set enabled=yes
/system ntp client servers
add address="server 1.be.pool.ntp.org"
add address=pool.ntp.org
/tool e-mail
set from=wifimgmt@*knip*-group.com server=10.127.0.123
/tool graphing interface
add
/tool traffic-monitor
add interface=ether1 name=tmon1

[ Voor 80% gewijzigd door X-DraGoN op 23-01-2024 15:47 ]

[nescafe]

@X-DraGoN voor CAPsMAN moet je topic caps,debug toevoegen

[X-DraGoN]

nescafe schreef op dinsdag 23 januari 2024 @ 15:52:
@X-DraGoN voor CAPsMAN moet je topic caps,debug toevoegen

OMG, daar ben ik nu al 4 dagen naar op zoek!
Ik duik, eindelijk, in de logs... Bedankt!

[X-DraGoN]

code:

@cap49 disconnected, group key timeout, signal strength -50

Dat zag ik als één van de eerste boodschappen:
Klopt het dan dat ik best onderstaande setting kan aanpassen naar wat er nu staat? (voorheen stond er niets ingevuld en hadden we last van véél disconnects)

[lier]

Korte blik geworpen op je config, @X-DraGoN.
In plaats van verschillende bridges kan je ook kiezen voor VLAN. Is in mijn ogen een veel mooiere oplossing en als je je er een beetje in verdiept niet eens zo moeilijk:
https://forum.mikrotik.com/viewtopic.php?t=143620

Ook niet gelijk probleem gerelateerd: je gebruikt voor je 5GHz 20MHz bandbreedte. Kan op zich geen kwaad maar gaat uiteraard wel ten koste van de snelheid.

Je hebt een creatieve manier gevonden om iets te doen met het blokkeren van apparaten (kinderen?). Er bestaat ook iets als kids control, zelf heb ik ervoor gekozen om buiten bepaalde tijden de verbinding terug te brengen naar een paar kb. Dat voorkomt dat er overgestapt wordt op 4G.

wpa-psk was eens...maar zet dat alsjeblieft direct uit!

Als laatste: overweeg vaste kanalen, selecteer deze op basis van een frequency scan.

[Update]
Voor wat betreft de Group Key Update, het kan inderdaad helpen deze te verhogen.

[Update2]
Is een upgrade naar wifi-qcon-ac een optie? Welke wAP's heb je exact? Als het de versie is met een ARM processor, dan zou ik je zeker adviseren om een upgrade uit te voeren!
https://help.mikrotik.com...eplacing'wireless'package

[ Voor 17% gewijzigd door lier op 23-01-2024 16:19 ]

[X-DraGoN]

Ik heb de volgende WAP's: RB962UiGS-5HacT2HnT - hAP ac (ik heb 2.4 ook nog nodig in deze omgeving)
WPA-PSK (je hebt gelijk, ga ik terug afzetten; was 1 van de ideeën gezien de disconnects)
VLAN's ben ik zeker mee akkoord, maar ik sta hier alleen in voor wifi, niets anders vrees ik, dus weinig keuze daar in.

[EverLast2002]

X-DraGoN schreef op dinsdag 23 januari 2024 @ 16:31:
Ik heb de volgende WAP's: RB962UiGS-5HacT2HnT - hAP ac (ik heb 2.4 ook nog nodig in deze omgeving)
WPA-PSK (je hebt gelijk, ga ik terug afzetten; was 1 van de ideeën gezien de disconnects)
VLAN's ben ik zeker mee akkoord, maar ik sta hier alleen in voor wifi, niets anders vrees ik, dus weinig keuze daar in.

Ik ben absoluut geen MikroTik expert, maar kan het zijn dat de disconnect problemen veroorzaakt worden omdat je DFS kanalen gebruikt (dan scant het apparaat om de zoveel tijd waardoor clients de verbinding verliezen).
tip: Verder zag ik in dhcp_pool0 een 192.168.2.254 als laatste adres, ik zou daar 253 of 250 van maken. Veel routers gebruiken zelf .1 of .254

[kaaas]

Wat bedoel je met een virtuele router?
Heb je een ROS vm draaien en zo ja is dat met ee licentie?

[X-DraGoN]

Nu ik dit hier allemaal lees:

Voor zover ik het tot nu toe begrepen heb, is het de bedoeling om met CAPSMAN je config aan te maken en daarmee je WAP's van config te voorzien. (dus alle WAP's hetzelfde, toch?)

Nu, als ik WAP's wil gaan instellen met niet DFS kanalen of vaste frequenties, ben je dan toch je WAP's allemaal apart aan het configureren en niet meer via CAPSMAN?

Zo nee, hoe doe je dat dan precies?

[Erhnam]

Ik gebruik de nieuwe Mikrotik back to home feature en deze werkt goed. Alle devices in mijn thuis netwerk zijn op die manier goed vanaf buiten te benaderen. Echter heb ik geen internet meer zodra ik de VPN opzet. Weten jullie of er ook een mogelijkheid is om internet verkeer via mijn VPN te laten verlopen? Bijvoorbeeld door het opzetten van een proxy op de router? Wat zijn jullie ervaringen?

[mbovenka]

Je moet je VPN tunnel als LAN interface behandelen. Dat werkt voor mijn standaard WireGuard VPN ook.

[lier]

X-DraGoN schreef op woensdag 24 januari 2024 @ 09:56:
Zo nee, hoe doe je dat dan precies?

Channels configureer je op de Channels tab, daar kan je meerdere kanalen aanmaken.
Zie bijvoorbeld hier: https://www.danservices.c...ik-capsman-configuration/

Overigens zie je op die site alle kanalen gedefinieerd, dus dat is verre van optimaal.

@Erhamyri, ik denk dat @mbovenka al een goede oplossing heeft. Gevolg is wel dat iedereen met toegang via Wireguard ook bij je router kunnen naast het achterliggend netwerk. Als je een reality check wil, dan kan je je configuratie delen (uiteraard zonder alle privé instellingen).

[X-DraGoN]

lier schreef op donderdag 25 januari 2024 @ 09:01:
[...]

Channels configureer je op de Channels tab, daar kan je meerdere kanalen aanmaken.
Zie bijvoorbeld hier: https://www.danservices.c...ik-capsman-configuration/

Dat heb ik uiteraard reeds, maar hoe kan ik ik per WAP mijn kanalen dan vast instellen?

[lier]

X-DraGoN schreef op donderdag 25 januari 2024 @ 10:29:
Dat heb ik uiteraard reeds, maar hoe kan ik ik per WAP mijn kanalen dan vast instellen?

Per radio een config maken en daarin een keuze maken voor een kanaal. Althans, zo heb ik het gedaan. Dan weet je ook precies wat er gebeurt. Als je een lijst van kanalen aanbiedt dan gaat CAPsMAN (met wat logica) zelf bedenken wat een goed kanaal is. Hartstikke leuk, maar als je meerdere CAPs-en hebt, dan kan het prima dat ze allemaal hetzelfde kanaal kiezen.

[ Voor 30% gewijzigd door lier op 25-01-2024 11:25 ]

[martinschilder]

Hi

Ik heb de laatste paar weken wat vreemd gedrag met mijn rb5900 in combinatie met kpn tv. Ik gebruik hiervoor de igmp proxy maar het valt me op dat de video de laatste tijd bevriesd en daarna weer verder gaat. Het audio loopt wel gewoon door. Zïjn er meer mensen die hier last van hebben?

Dit is wat ik in mijn igmp proxy config heb staan

code:

set query-interval=30s query-response-interval=10s quick-leave=yes
/routing igmp-proxy interface
add alternative-subnets="" disabled=no interface=Bridge-LAN threshold=1 \
    upstream=no
add alternative-subnets=10.0.0.0/8,213.75.0.0/16,217.166.0.0/16 disabled=no \
    interface=bridge-wan-vlan4 threshold=1 upstream=yes

alvast dank voor de reactie

[kaaas]

Dat is waarschijnlijk doordat je geen firewall regel hebt voor je igmp verkeer.
/ip firewall filter add action=accept chain=input comment="IPTV IGMP" dst-address=224.0.0.0/8 in-interface=vlan1.4 protocol=igmp

Als dat niet werkt, "protocol=igmp" weghalen. Ik heb zelf geen iptv anders had ik jet FF kunnen testen.

[superyupkent]

martinschilder schreef op vrijdag 26 januari 2024 @ 15:47:
Hi

Ik heb de laatste paar weken wat vreemd gedrag met mijn rb5900 in combinatie met kpn tv. Ik gebruik hiervoor de igmp proxy maar het valt me op dat de video de laatste tijd bevriesd en daarna weer verder gaat. Het audio loopt wel gewoon door. Zïjn er meer mensen die hier last van hebben?

Dit is wat ik in mijn igmp proxy config heb staan

code:

set query-interval=30s query-response-interval=10s quick-leave=yes
/routing igmp-proxy interface
add alternative-subnets="" disabled=no interface=Bridge-LAN threshold=1 \
    upstream=no
add alternative-subnets=10.0.0.0/8,213.75.0.0/16,217.166.0.0/16 disabled=no \
    interface=bridge-wan-vlan4 threshold=1 upstream=yes

alvast dank voor de reactie

Ik heb hier ook al lang last van. Sinds upgrade van 6.47.x. al veel verschillende dingen geprobeerd.

[DJP!]

Kunnen jullie eens meekijken wat ik fout doe? Ik heb een L009UiGS-RM gekocht om te functioneren als switch. Via ether1 wordt komt voeding binnen via POE. Ik heb wat VLAN's voor gasten en IOT spul. het probleem is dat ether1 de VLAN's niet accepteert/doorzet. zie de config:

code:

# 2024-01-28 10:29:24 by RouterOS 7.14beta7
# software id = XXXXXX
#
# model = L009UiGS
# serial number = XXXXXX
/interface bridge
add admin-mac=XXXXXXX auto-mac=no comment=defconf name=bridge vlan-filtering=yes
/interface list
add name=LAN
/ip smb smb-user
set [ find default=yes ] read-only=yes
/port
set 0 name=serial0
/interface bridge port
add bridge=bridge interface=ether2
add bridge=bridge interface=ether3 pvid=99
add bridge=bridge interface=ether4 pvid=99
add bridge=bridge interface=ether5
add bridge=bridge interface=ether6
add bridge=bridge interface=ether7
add bridge=bridge interface=ether8 pvid=20
add bridge=bridge interface=sfp1
add bridge=bridge interface=ether1
/ip firewall connection tracking
set udp-timeout=10s
/ip neighbor discovery-settings
set discover-interface-list=LAN
/ip settings
set max-neighbor-entries=14336
/ipv6 settings
set max-neighbor-entries=7168
/interface bridge vlan
add bridge=bridge tagged=ether1,sfp1 untagged=ether4,ether3 vlan-ids=99
add bridge=bridge tagged=ether1,sfp1 vlan-ids=10
add bridge=bridge tagged=ether1,sfp1 untagged=ether8 vlan-ids=20
/interface list member
add interface=ether1 list=LAN
add interface=ether2 list=LAN
add interface=ether3 list=LAN
add interface=ether4 list=LAN
add interface=ether5 list=LAN
add interface=sfp1 list=LAN
add interface=ether8 list=LAN
add interface=ether7 list=LAN
add interface=ether6 list=LAN
/ip dhcp-client
add interface=bridge
/ipv6 nd
add hop-limit=64 interface=bridge
/system clock
set time-zone-name=Europe/Amsterdam
/system identity
set name="XXXX"
/system note
set show-at-login=no
/system ntp client
set enabled=yes
/system ntp client servers
add address=192.168.XX.XX
/system package update
set channel=testing
/system routerboard settings
set enter-setup-on=delete-key
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Als ik de externe power aansluit, de kabel van ether1 naar ether2 verplaats en in de code ether2 ipv ether1 gebruik werkt het allemaal wel goed.

code:

/interface bridge vlan
add bridge=bridge tagged=ether2,sfp1 untagged=ether4,ether3 vlan-ids=99
add bridge=bridge tagged=ether2,sfp1 vlan-ids=10
add bridge=bridge tagged=ether2,sfp1 untagged=ether8 vlan-ids=20

Volgens het blokschema van Mikrotik is ether1 direct verbonden met de CPU in tegenstelling tot de andere poorten. heeft dit er iets mee te maken?

[EverLast2002]

DJP! schreef op zondag 28 januari 2024 @ 10:41:
Kunnen jullie eens meekijken wat ik fout doe? Ik heb een L009UiGS-RM gekocht om te functioneren als switch. Via ether1 wordt komt voeding binnen via POE. Ik heb wat VLAN's voor gasten en IOT spul. het probleem is dat ether1 de VLAN's niet accepteert/doorzet. zie de config:

code:

# 2024-01-28 10:29:24 by RouterOS 7.14beta7
# software id = XXXXXX
#
# model = L009UiGS
# serial number = XXXXXX
/interface bridge
add admin-mac=XXXXXXX auto-mac=no comment=defconf name=bridge vlan-filtering=yes
/interface list
add name=LAN
/ip smb smb-user
set [ find default=yes ] read-only=yes
/port
set 0 name=serial0
/interface bridge port
add bridge=bridge interface=ether2
add bridge=bridge interface=ether3 pvid=99
add bridge=bridge interface=ether4 pvid=99
add bridge=bridge interface=ether5
add bridge=bridge interface=ether6
add bridge=bridge interface=ether7
add bridge=bridge interface=ether8 pvid=20
add bridge=bridge interface=sfp1
add bridge=bridge interface=ether1
/ip firewall connection tracking
set udp-timeout=10s
/ip neighbor discovery-settings
set discover-interface-list=LAN
/ip settings
set max-neighbor-entries=14336
/ipv6 settings
set max-neighbor-entries=7168
/interface bridge vlan
add bridge=bridge tagged=ether1,sfp1 untagged=ether4,ether3 vlan-ids=99
add bridge=bridge tagged=ether1,sfp1 vlan-ids=10
add bridge=bridge tagged=ether1,sfp1 untagged=ether8 vlan-ids=20
/interface list member
add interface=ether1 list=LAN
add interface=ether2 list=LAN
add interface=ether3 list=LAN
add interface=ether4 list=LAN
add interface=ether5 list=LAN
add interface=sfp1 list=LAN
add interface=ether8 list=LAN
add interface=ether7 list=LAN
add interface=ether6 list=LAN
/ip dhcp-client
add interface=bridge
/ipv6 nd
add hop-limit=64 interface=bridge
/system clock
set time-zone-name=Europe/Amsterdam
/system identity
set name="XXXX"
/system note
set show-at-login=no
/system ntp client
set enabled=yes
/system ntp client servers
add address=192.168.XX.XX
/system package update
set channel=testing
/system routerboard settings
set enter-setup-on=delete-key
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Als ik de externe power aansluit, de kabel van ether1 naar ether2 verplaats en in de code ether2 ipv ether1 gebruik werkt het allemaal wel goed.

code:

/interface bridge vlan
add bridge=bridge tagged=ether2,sfp1 untagged=ether4,ether3 vlan-ids=99
add bridge=bridge tagged=ether2,sfp1 vlan-ids=10
add bridge=bridge tagged=ether2,sfp1 untagged=ether8 vlan-ids=20

Volgens het blokschema van Mikrotik is ether1 direct verbonden met de CPU in tegenstelling tot de andere poorten. heeft dit er iets mee te maken?

Ik heb mijn hEX een complete factory reset + starten zonder config gegeven.
Poort 1 bleef bij mij (zonder bovenstaande handeling) altijd een internet poort.
Nu gebruik ik hem als switch met alle 5 poorten.

[jvanhambelgium]

DJP! schreef op zondag 28 januari 2024 @ 10:41:

code:

/interface bridge vlan
add bridge=bridge tagged=ether2,sfp1 untagged=ether4,ether3 vlan-ids=99
add bridge=bridge tagged=ether2,sfp1 vlan-ids=10
add bridge=bridge tagged=ether2,sfp1 untagged=ether8 vlan-ids=20

Volgens het blokschema van Mikrotik is ether1 direct verbonden met de CPU in tegenstelling tot de andere poorten. heeft dit er iets mee te maken?

Ik heb telkens ook de Bridge (hier "Bridge-LAN" genaamd) interface meegenomen in de tagging.

/interface bridge vlan
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=10
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=20
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=30
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=40
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=50
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=60
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=70

[EverLast2002]

DJP! schreef op zondag 28 januari 2024 @ 10:41:
Kunnen jullie eens meekijken wat ik fout doe? Ik heb een L009UiGS-RM gekocht om te functioneren als switch. Via ether1 wordt komt voeding binnen via POE. Ik heb wat VLAN's voor gasten en IOT spul. het probleem is dat ether1 de VLAN's niet accepteert/doorzet. zie de config:

code:

# 2024-01-28 10:29:24 by RouterOS 7.14beta7
# software id = XXXXXX
#
# model = L009UiGS
# serial number = XXXXXX
/interface bridge
add admin-mac=XXXXXXX auto-mac=no comment=defconf name=bridge vlan-filtering=yes
/interface list
add name=LAN
/ip smb smb-user
set [ find default=yes ] read-only=yes
/port
set 0 name=serial0
/interface bridge port
add bridge=bridge interface=ether2
add bridge=bridge interface=ether3 pvid=99
add bridge=bridge interface=ether4 pvid=99
add bridge=bridge interface=ether5
add bridge=bridge interface=ether6
add bridge=bridge interface=ether7
add bridge=bridge interface=ether8 pvid=20
add bridge=bridge interface=sfp1
add bridge=bridge interface=ether1
/ip firewall connection tracking
set udp-timeout=10s
/ip neighbor discovery-settings
set discover-interface-list=LAN
/ip settings
set max-neighbor-entries=14336
/ipv6 settings
set max-neighbor-entries=7168
/interface bridge vlan
add bridge=bridge tagged=ether1,sfp1 untagged=ether4,ether3 vlan-ids=99
add bridge=bridge tagged=ether1,sfp1 vlan-ids=10
add bridge=bridge tagged=ether1,sfp1 untagged=ether8 vlan-ids=20
/interface list member
add interface=ether1 list=LAN
add interface=ether2 list=LAN
add interface=ether3 list=LAN
add interface=ether4 list=LAN
add interface=ether5 list=LAN
add interface=sfp1 list=LAN
add interface=ether8 list=LAN
add interface=ether7 list=LAN
add interface=ether6 list=LAN
/ip dhcp-client
add interface=bridge
/ipv6 nd
add hop-limit=64 interface=bridge
/system clock
set time-zone-name=Europe/Amsterdam
/system identity
set name="XXXX"
/system note
set show-at-login=no
/system ntp client
set enabled=yes
/system ntp client servers
add address=192.168.XX.XX
/system package update
set channel=testing
/system routerboard settings
set enter-setup-on=delete-key
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Als ik de externe power aansluit, de kabel van ether1 naar ether2 verplaats en in de code ether2 ipv ether1 gebruik werkt het allemaal wel goed.

code:

/interface bridge vlan
add bridge=bridge tagged=ether2,sfp1 untagged=ether4,ether3 vlan-ids=99
add bridge=bridge tagged=ether2,sfp1 vlan-ids=10
add bridge=bridge tagged=ether2,sfp1 untagged=ether8 vlan-ids=20

Volgens het blokschema van Mikrotik is ether1 direct verbonden met de CPU in tegenstelling tot de andere poorten. heeft dit er iets mee te maken?

Zijn de sfp poort en eth1 misschien "gekoppeld" ? M.a.w. dat je sfp1 moet weglaten in je config.

[DJP!]

jvanhambelgium schreef op zondag 28 januari 2024 @ 13:31:
[...]


Ik heb telkens ook de Bridge (hier "Bridge-LAN" genaamd) interface meegenomen in de tagging.

/interface bridge vlan
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=10
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=20
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=30
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=40
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=50
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=60
add bridge=Bridge-LAN tagged=Bridge-LAN,ether8,ether6,ether5,ether4,ether3,ether2,ether1 vlan-ids=70

Thanks! Dit was dus het probleem. Nu nog even uitzoeken waarom het bij ether2 wel werkte zonder de bridge te taggen.

EverLast2002 schreef op zondag 28 januari 2024 @ 13:44:
[...]


Zijn de sfp poort en eth1 misschien "gekoppeld" ? M.a.w. dat je sfp1 moet weglaten in je config.

Zijn volgens mij losstaande poorten, dit staat ook zo op het blokdiagram https://i.mt.lv/cdn/product_files/L009UiGS-RM_230555.png

Heb het probleem was dus uiteindelijk dat je het vlam verkeer op de bridge ook getagged moet doorlaten.

[jvanhambelgium]

DJP! schreef op zondag 28 januari 2024 @ 13:51:
[...]
Thanks! Dit was dus het probleem. Nu nog even uitzoeken waarom het bij ether2 wel werkte zonder de bridge te taggen.
[...]

Hier denk ik een draadje hoe dat net zit op Mikrotik RouterOS

https://forum.mikrotik.com/viewtopic.php?t=173692

[lier]

Voor antwoorden op al je VLAN vragen, kan je het beste dit topic lezen:
https://forum.mikrotik.com/viewtopic.php?t=143620

[EmbarrassedBit]

Betwijfel of dit de beste draad is om dit te vragen, maar weet iemand wat de beste manier is om, in een huis met een MikroTik hEX RB750Gr3 als router en DHCP-server, en een RPI 400 als DNS-server, via een bedrade backhaul een drietal WiFi AP's toe te voegen? In het bestaande subnet van de router, met één SSID, hetzelfde wachtwoord en versleutelingsinstellingen, en een seamless handoff tussen de verschillende AP's. Budget 300 Euro.

Ik heb wel eens naar TP-Link spul zitten kijken, maar dat lijkt enkel te werken als een TP-Link-toestel in routermodus ingesteld staat.

Je hoeft me niet de pap in de mond te geven, me vertellen wat voor type setup het is dat ik nodig heb, is ook al genoeg.

[ Voor 11% gewijzigd door EmbarrassedBit op 29-01-2024 02:08 ]

[Illidan]

EmbarrassedBit schreef op zondag 28 januari 2024 @ 22:58:
Betwijfel of dit de beste draad is om dit te vragen, maar weet iemand wat de beste manier is om, in een huis met een MikroTik hEX RB750Gr3 als router en DHCP-server, en een RPI 400 als DNS-server, via een bedrade backhaul een drietal WiFi AP's toe te voegen? In het bestaande subnet van de router, met één SSID, hetzelfde wachtwoord en versleutelingsinstellingen, en een seamless handoff tussen de verschillende AP's. Budget 300 Euro.

Ik heb wel eens naar TP-Link spul zitten kijken, maar dat lijkt enkel te werken als een TP-Link-toestel in routermodus ingesteld staat.

Je hoeft me niet de pap in de mond te geven, me vertellen wat voor type setup het is dat ik nodig heb, is ook al genoeg.

Waarom niet gewoon 3* AP's van MicroTik zelf...? Met een budget van €300 kom je een heel eind daarmee denk ik... 😅

[EmbarrassedBit]

Illidan schreef op maandag 29 januari 2024 @ 07:04:
[...]


Waarom niet gewoon 3* AP's van MicroTik zelf...? Met een budget van €300 kom je een heel eind daarmee denk ik... 😅

Iets zoals de hAP ax lite?

En dat kan dan allemaal met een SSID, een wachtwoord en een seamless handoff terwijl iemand van het ene eind van het huis naar het andere gaat?

[lier]

EmbarrassedBit schreef op maandag 29 januari 2024 @ 07:35:
Iets zoals de hAP ax lite?

Als je genoeg hebt aan de (performance van) 2.4GHz radio.
Maar ik zou deze zelf niet kopen...veel eerder een cAP ax of (iets minder snel) een cAP (XL) ac:
uitvoering: MikroTik cAP ax
uitvoering: MikroTik cAP XL ac
uitvoering: MikroTik cAP ac

En dat kan dan allemaal met een SSID, een wachtwoord en een seamless handoff terwijl iemand van het ene eind van het huis naar het andere gaat?

Bij MikroTik heet dat CAPsMAN:
https://help.mikrotik.com...ROS/WiFi#WiFi-WiFiCAPsMAN

Enige reden om het niet te doen: steile leercurve. Goede reden om het wel te doen: een ontzettend actieve en behulpzame community.

[GarBaGe]

EmbarrassedBit schreef op zondag 28 januari 2024 @ 22:58:
Betwijfel of dit de beste draad is om dit te vragen, maar weet iemand wat de beste manier is om, in een huis met een MikroTik hEX RB750Gr3 als router en DHCP-server, en een RPI 400 als DNS-server, via een bedrade backhaul een drietal WiFi AP's toe te voegen? In het bestaande subnet van de router, met één SSID, hetzelfde wachtwoord en versleutelingsinstellingen, en een seamless handoff tussen de verschillende AP's. Budget 300 Euro.

Ik heb wel eens naar TP-Link spul zitten kijken, maar dat lijkt enkel te werken als een TP-Link-toestel in routermodus ingesteld staat.

Je hoeft me niet de pap in de mond te geven, me vertellen wat voor type setup het is dat ik nodig heb, is ook al genoeg.

Ik gebruik Unifi APs icm een MikroTik router.
Werkt prima.
Unifi heeft de bekende centrale controller, dus makkelijk om alles vanuit 1 punt te configureren.
Ik had de Unifi's voordat ik de MikroTik had. Unifi had geen fatsoenlijke router, dus MikroTik aangeschaft.
Absoluut goede beslissing daar.
De VLANs gedefinieerd op de MikroTik router kunnen feilloos gebruikt worden door de Unifi APs

Echter, 300 euro voor 3 APs is wel wat krap.
Met Wifi 5... oke, maar zeker Wifi 6(E) of 7 zijn doorgaans een stuk duurder en ben je met EUR 100 per AP niet klaar.

[EmbarrassedBit]

Bedankt voor de tips, zeker @lier em @GarBaGe. Heeft MikroTik toevallig ook 5Ghz APs die op een tafeltje te plaatsen zijn? Is niet voor mezelf maar voor familie die klaagt dat hun prepaid belkrediet soms onverwacht op is omdat de Wi-Fi verbinding niet altijd overal even goed is en hun mobieltje dan maar mobiele data vreet. De MikroTik router was ook mijn idee, omdat de WireGuard support goed is en ik op die manier makkelijk hun netwerk in kan wanneer ze problemen hebben. Een AP om aan de muur te hangen willen ze misschien nog overwegen, maar een AP aan het plafond hangen gaan ze nooit willen doen.

[EverLast2002]

EmbarrassedBit schreef op maandag 29 januari 2024 @ 14:50:
Bedankt voor de tips, zeker @lier em @GarBaGe. Heeft MikroTik toevallig ook 5Ghz APs die op een tafeltje te plaatsen zijn? Is niet voor mezelf maar voor familie die klaagt dat hun prepaid belkrediet soms onverwacht op is omdat de Wi-Fi verbinding niet altijd overal even goed is en hun mobieltje dan maar mobiele data vreet. De MikroTik router was ook mijn idee, omdat de WireGuard support goed is en ik op die manier makkelijk hun netwerk in kan wanneer ze problemen hebben. Een AP om aan de muur te hangen willen ze misschien nog overwegen, maar een AP aan het plafond hangen gaan ze nooit willen doen.

Ik heb onlangs de hAP ax2 gekocht. Ik sta versteld hoeveel wifi dekking dit ding geeft gezien de kleine afmeting. Je kan dit apparaat horizontaal en verticaal wegzetten.

[Jef61]

Ja, hAP ax2 heb ik sinds enkele maanden ook twee van in huis staan. Dekking in het hele huis, alleen achter in de tuin was wat zwakjes dus daar heb ik een oude hAP ac die ik nog had liggen neer gehangen.

https://mikrotik.com/product/hap_ax2

[nescafe]

EmbarrassedBit schreef op zondag 28 januari 2024 @ 22:58:
Ik heb wel eens naar TP-Link spul zitten kijken, maar dat lijkt enkel te werken als een TP-Link-toestel in routermodus ingesteld staat.

Dat TP-Link spul werkt prima met fast roaming (802.11k/r?), centraal beheer via de app in access point-modus. Alleen de typische routerdingetjes werken niet als access control en bandwidth control.. zie ook https://www.tp-link.com/us/support/faq/2420/

[EmbarrassedBit]

nescafe schreef op maandag 29 januari 2024 @ 19:44:
[...]


Dat TP-Link spul werkt prima met fast roaming (802.11k/r?), centraal beheer via de app in access point-modus. Alleen de typische routerdingetjes werken niet als access control en bandwidth control.. zie ook https://www.tp-link.com/us/support/faq/2420/

De situatie achter de MikroTik RB750Gr3 nu: een TP-Link Archer AX53 in AP-modus en een TP-Link RE190 WiFi-repeater (geen AP-modus mogelijk, da's de RE200 en dan enkel 100 Mbit/s maximum). Die tweede gekregen van een onderbuur die 'm in de vuilbak wilde gooien . Ga ik naar de configuratie-pagina, dan zie ik daar dat ik EasyMesh kan aanzetten om zo één SSID te hebben. Maar wil ik hetzelfde doen op de AX53, dan krijg ik de melding dat dit enkel gaat wanneer die is ingesteld in router mode. Vandaar dat ik deze route (haha...) opgegeven heb. I.i.g. de hAP ax2's zijn besteld, dus het wordt weer RouterOS studeren.

[svenvg93]

Ik loop tegen een raar probleem aan met de CCR2004-16G-2S+ die aan het opzetten ben voor een lab verbinding.
Alles lijkt te werken zover ik kan zien, als ik een speedtest doe haal ik ook netjes 900Mbit up en down in verwachting met de verbinding waar die nu aanhangt.
Maar als ik een file download van bijvoorbeeld een server haal ik niet meer dan 400kb.


Ik heb het idee dat ik iets mis in de configuratie wat die veroorzaakt, Heb alles zoveel mogelijk default gehouden. Alle tips zijn welkom.

code:

# 2024-02-01 10:23:53 by RouterOS 7.13.3
# software id = RK76-XCNJ
#
# model = CCR2004-16G-2S+
# serial number = HF1090S67E0
/interface bridge
add name=bridge1
/interface ethernet
set [ find default-name=sfp-sfpplus2 ] disabled=yes
/interface vlan
add interface=sfp-sfpplus1 name=Odido_INTA vlan-id=300
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=dhcp_pool0 ranges=172.10.10.100-172.10.10.254
add name=dhcp_pool1 ranges=172.10.10.100-172.10.10.254
/ip dhcp-server
add address-pool=dhcp_pool1 interface=bridge1 lease-time=1h name=dhcp1
/port
set 0 name=serial0
set 1 name=serial1
/interface bridge port
add bridge=bridge1 interface=ether1 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether2 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether3 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether4 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether5 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 interface=ether6 internal-path-cost=10 path-cost=10 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether7 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 interface=ether8 internal-path-cost=10 path-cost=10 trusted=yes
/interface bridge settings
set allow-fast-path=no
/interface detect-internet
set wan-interface-list=all
/ip address
add address=192.168.88.1/24 comment=defconf interface=ether15 network=192.168.88.0
add address=172.10.10.1/24 interface=bridge1 network=172.10.10.0
/ip cloud
set ddns-enabled=yes ddns-update-interval=10m
/ip dhcp-client
add interface=Odido_INTA use-peer-ntp=no
/ip dhcp-server lease
add address=172.10.10.2 mac-address=F0:87:56:8C:FB:37 server=dhcp1
add address=172.10.10.40 client-id=1:0:a5:54:ca:48:60 mac-address=00:A5:54:CA:48:60 server=dhcp1
add address=172.10.10.22 client-id=1:24:a4:2c:39:34:16 mac-address=24:A4:2C:39:34:16 server=dhcp1
add address=172.10.10.20 client-id=1:24:a4:2c:39:33:66 mac-address=24:A4:2C:39:33:66 server=dhcp1
add address=172.10.10.21 client-id=1:24:a4:2c:39:33:78 mac-address=24:A4:2C:39:33:78 server=dhcp1
add address=172.10.10.10 client-id=1:0:3:2d:52:89:90 mac-address=00:03:2D:52:89:90 server=dhcp1
add address=172.10.10.3 client-id=1:6c:3c:8c:14:33:57 mac-address=6C:3C:8C:14:33:57 server=dhcp1
add address=172.10.10.41 client-id=1:0:a5:54:ca:48:83 mac-address=00:A5:54:CA:48:83 server=dhcp1
/ip dhcp-server network
add address=172.10.10.0/24 dns-server=172.10.10.1 gateway=172.10.10.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=172.10.10.10 name=cdrouter.cpelab.local
/ip firewall address-list
add address=192.168.0.0/16 list=Bogon
add address=10.0.0.0/8 list=Bogon
add address=172.16.0.0/12 list=Bogon
add address=127.0.0.0/8 list=Bogon
add address=0.0.0.0/8 list=Bogon
add address=169.254.0.0/16 list=Bogon
add address=192.168.88.0/24 list=Remote_Access
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
/ip firewall nat
add action=masquerade chain=srcnat out-interface=Odido_INTA
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/system ntp client
set enabled=yes
/system ntp client servers
add address=0.nl.pool.ntp.org
/system routerboard settings
set enter-setup-on=delete-key

[Theone098]

Na een " snelle scan" valt mij op dat " set allow-fast-path=no" en in jouw firewall rules sta je het wel toe (add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes).Zie: https://wiki.mikrotik.com/wiki/Manual:Fast_Path

[Theone098]

svenvg93 schreef op donderdag 1 februari 2024 @ 10:33:
Ik loop tegen een raar probleem aan met de CCR2004-16G-2S+ die aan het opzetten ben voor een lab verbinding.
Alles lijkt te werken zover ik kan zien, als ik een speedtest doe haal ik ook netjes 900Mbit up en down in verwachting met de verbinding waar die nu aanhangt.
Maar als ik een file download van bijvoorbeeld een server haal ik niet meer dan 400kb.
[Afbeelding]

Ik heb het idee dat ik iets mis in de configuratie wat die veroorzaakt, Heb alles zoveel mogelijk default gehouden. Alle tips zijn welkom.

code:

# 2024-02-01 10:23:53 by RouterOS 7.13.3
# software id = RK76-XCNJ
#
# model = CCR2004-16G-2S+
# serial number = HF1090S67E0
/interface bridge
add name=bridge1
/interface ethernet
set [ find default-name=sfp-sfpplus2 ] disabled=yes
/interface vlan
add interface=sfp-sfpplus1 name=Odido_INTA vlan-id=300
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=dhcp_pool0 ranges=172.10.10.100-172.10.10.254
add name=dhcp_pool1 ranges=172.10.10.100-172.10.10.254
/ip dhcp-server
add address-pool=dhcp_pool1 interface=bridge1 lease-time=1h name=dhcp1
/port
set 0 name=serial0
set 1 name=serial1
/interface bridge port
add bridge=bridge1 interface=ether1 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether2 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether3 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether4 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether5 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 interface=ether6 internal-path-cost=10 path-cost=10 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether7 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 interface=ether8 internal-path-cost=10 path-cost=10 trusted=yes
/interface bridge settings
set allow-fast-path=no
/interface detect-internet
set wan-interface-list=all
/ip address
add address=192.168.88.1/24 comment=defconf interface=ether15 network=192.168.88.0
add address=172.10.10.1/24 interface=bridge1 network=172.10.10.0
/ip cloud
set ddns-enabled=yes ddns-update-interval=10m
/ip dhcp-client
add interface=Odido_INTA use-peer-ntp=no
/ip dhcp-server lease
add address=172.10.10.2 mac-address=F0:87:56:8C:FB:37 server=dhcp1
add address=172.10.10.40 client-id=1:0:a5:54:ca:48:60 mac-address=00:A5:54:CA:48:60 server=dhcp1
add address=172.10.10.22 client-id=1:24:a4:2c:39:34:16 mac-address=24:A4:2C:39:34:16 server=dhcp1
add address=172.10.10.20 client-id=1:24:a4:2c:39:33:66 mac-address=24:A4:2C:39:33:66 server=dhcp1
add address=172.10.10.21 client-id=1:24:a4:2c:39:33:78 mac-address=24:A4:2C:39:33:78 server=dhcp1
add address=172.10.10.10 client-id=1:0:3:2d:52:89:90 mac-address=00:03:2D:52:89:90 server=dhcp1
add address=172.10.10.3 client-id=1:6c:3c:8c:14:33:57 mac-address=6C:3C:8C:14:33:57 server=dhcp1
add address=172.10.10.41 client-id=1:0:a5:54:ca:48:83 mac-address=00:A5:54:CA:48:83 server=dhcp1
/ip dhcp-server network
add address=172.10.10.0/24 dns-server=172.10.10.1 gateway=172.10.10.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=172.10.10.10 name=cdrouter.cpelab.local
/ip firewall address-list
add address=192.168.0.0/16 list=Bogon
add address=10.0.0.0/8 list=Bogon
add address=172.16.0.0/12 list=Bogon
add address=127.0.0.0/8 list=Bogon
add address=0.0.0.0/8 list=Bogon
add address=169.254.0.0/16 list=Bogon
add address=192.168.88.0/24 list=Remote_Access
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
/ip firewall nat
add action=masquerade chain=srcnat out-interface=Odido_INTA
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/system ntp client
set enabled=yes
/system ntp client servers
add address=0.nl.pool.ntp.org
/system routerboard settings
set enter-setup-on=delete-key

[lier]

Ook een snelle scan...de firewall is niet compleet, ga in ieder geval van een default uit om te zorgen dat je veilig zit (deze is default op mijn RB4011):

code:

/ip firewall
add chain=input action=accept connection-state=established,related,untracked comment="defconf: accept established,related,untracked"
add chain=input action=drop connection-state=invalid comment="defconf: drop invalid"
add chain=input action=accept protocol=icmp comment="defconf: accept ICMP"
add chain=input action=accept dst-address=127.0.0.1 comment="defconf: accept to local loopback (for CAPsMAN)"
add chain=input action=drop in-interface-list=!LAN comment="defconf: drop all not coming from LAN"
add chain=forward action=accept ipsec-policy=in,ipsec comment="defconf: accept in ipsec policy"
add chain=forward action=accept ipsec-policy=out,ipsec comment="defconf: accept out ipsec policy"
add chain=forward action=fasttrack-connection connection-state=established,related comment="defconf: fasttrack"
add chain=forward action=accept connection-state=established,related,untracked comment="defconf: accept established,related, untracked"
add chain=forward action=drop connection-state=invalid comment="defconf: drop invalid"
add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN comment="defconf: drop all from WAN not DSTNATed"

De boosdoener is (naar mijn idee) de volgende regels:

code:

/interface detect-internet
set wan-interface-list=all

Wat haal je als je deze disabled?

[ Voor 5% gewijzigd door lier op 01-02-2024 11:14 ]

[svenvg93]

Theone098 schreef op donderdag 1 februari 2024 @ 10:46:
Na een " snelle scan" valt mij op dat " set allow-fast-path=no" en in jouw firewall rules sta je het wel toe (add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes).Zie: https://wiki.mikrotik.com/wiki/Manual:Fast_Path

Thanks! Ik heb het aangepast, maar helaas nog steeds hetzelfde
Heb ook geprobeerd met alle firewall ruls disabled als test, maar dan is het hetzelfde.

[svenvg93]

lier schreef op donderdag 1 februari 2024 @ 11:12:
Ook een snelle scan...de firewall is niet compleet, ga in ieder geval van een default uit om te zorgen dat je veilig zit (deze is default op mijn RB4011):

code:

/ip firewall
add chain=input action=accept connection-state=established,related,untracked comment="defconf: accept established,related,untracked"
add chain=input action=drop connection-state=invalid comment="defconf: drop invalid"
add chain=input action=accept protocol=icmp comment="defconf: accept ICMP"
add chain=input action=accept dst-address=127.0.0.1 comment="defconf: accept to local loopback (for CAPsMAN)"
add chain=input action=drop in-interface-list=!LAN comment="defconf: drop all not coming from LAN"
add chain=forward action=accept ipsec-policy=in,ipsec comment="defconf: accept in ipsec policy"
add chain=forward action=accept ipsec-policy=out,ipsec comment="defconf: accept out ipsec policy"
add chain=forward action=fasttrack-connection connection-state=established,related comment="defconf: fasttrack"
add chain=forward action=accept connection-state=established,related,untracked comment="defconf: accept established,related, untracked"
add chain=forward action=drop connection-state=invalid comment="defconf: drop invalid"
add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN comment="defconf: drop all from WAN not DSTNATed"

De boosdoener is (naar mijn idee) de volgende regels:

code:

/interface detect-internet
set wan-interface-list=all

Wat haal je als je deze disabled?

Thanks! Ik heb jouw firewall toegepast

Interface list heb ik voor nu op none gezet, ik kan geen disbaled vinden. Zie ze ook niet in winbox. Dan nogsteeds is het 500kb in een file download.

code:

@MikroTik] /interface/detect-internet> print 
    detect-interface-list: none
       lan-interface-list: none
       wan-interface-list: none
  internet-interface-list: none

Nieuwe config

code:

# 2024-02-01 11:23:19 by RouterOS 7.13.3
# software id = RK76-XCNJ
#
# model = CCR2004-16G-2S+
# serial number = HF1090S67E0
/interface bridge
add name=bridge1
/interface ethernet
set [ find default-name=sfp-sfpplus2 ] disabled=yes
/interface vlan
add interface=sfp-sfpplus1 name=Odido_INTA vlan-id=300
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=dhcp_pool0 ranges=172.10.10.100-172.10.10.254
add name=dhcp_pool1 ranges=172.10.10.100-172.10.10.254
/ip dhcp-server
add address-pool=dhcp_pool1 interface=bridge1 lease-time=1h name=dhcp1
/port
set 0 name=serial0
set 1 name=serial1
/interface bridge port
add bridge=bridge1 interface=ether1 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether2 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether3 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether4 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether5 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 interface=ether6 internal-path-cost=10 path-cost=10 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether7 internal-path-cost=10 multicast-router=disabled path-cost=10 trusted=yes
add bridge=bridge1 interface=ether8 internal-path-cost=10 path-cost=10 trusted=yes
/ip firewall connection tracking
set enabled=yes
/ip address
add address=192.168.88.1/24 comment=defconf interface=ether15 network=192.168.88.0
add address=172.10.10.1/24 interface=bridge1 network=172.10.10.0
/ip cloud
set ddns-enabled=yes ddns-update-interval=10m
/ip dhcp-client
add interface=Odido_INTA use-peer-ntp=no
/ip dhcp-server lease
add address=172.10.10.2 mac-address=F0:87:56:8C:FB:37 server=dhcp1
add address=172.10.10.40 client-id=1:0:a5:54:ca:48:60 mac-address=00:A5:54:CA:48:60 server=dhcp1
add address=172.10.10.22 client-id=1:24:a4:2c:39:34:16 mac-address=24:A4:2C:39:34:16 server=dhcp1
add address=172.10.10.20 client-id=1:24:a4:2c:39:33:66 mac-address=24:A4:2C:39:33:66 server=dhcp1
add address=172.10.10.21 client-id=1:24:a4:2c:39:33:78 mac-address=24:A4:2C:39:33:78 server=dhcp1
add address=172.10.10.10 client-id=1:0:3:2d:52:89:90 mac-address=00:03:2D:52:89:90 server=dhcp1
add address=172.10.10.3 client-id=1:6c:3c:8c:14:33:57 mac-address=6C:3C:8C:14:33:57 server=dhcp1
add address=172.10.10.41 client-id=1:0:a5:54:ca:48:83 mac-address=00:A5:54:CA:48:83 server=dhcp1
/ip dhcp-server network
add address=172.10.10.0/24 dns-server=172.10.10.1 domain=cpelab.local gateway=172.10.10.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=172.10.10.10 name=cdrouter.cpelab.local
/ip firewall address-list
add address=192.168.0.0/16 list=Bogon
add address=10.0.0.0/8 list=Bogon
add address=172.16.0.0/12 list=Bogon
add address=127.0.0.0/8 list=Bogon
add address=0.0.0.0/8 list=Bogon
add address=169.254.0.0/16 list=Bogon
add address=192.168.88.0/24 list=Remote_Access
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
/ip firewall nat
add action=masquerade chain=srcnat out-interface=Odido_INTA
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/system ntp client
set enabled=yes
/system ntp client servers
add address=0.nl.pool.ntp.org
/system routerboard settings
set enter-setup-on=delete-key

[lier]

De interface-lists ontbreekt (ook):

code:

/interface list
add name=WAN
add name=LAN
/interface list member
add interface=bridge1 list=LAN
add interface=Odido_INTA list=WAN

Als dit goed staat, gaan de firewall regels ook goed werken.

[svenvg93]

lier schreef op donderdag 1 februari 2024 @ 12:25:
De interface-lists ontbreekt (ook):

code:

/interface list
add name=WAN
add name=LAN
/interface list member
add interface=bridge1 list=LAN
add interface=Odido_INTA list=WAN

Als dit goed staat, gaan de firewall regels ook goed werken.

Ik heb ze toegevoegd, maar nog steeds rond de 500kb. Heb voor de zekerheid ook nog even via ethernet aangesloten ipv sfp om uit te sluiten dat het probleem met de sfp komt, maar helaas is dat het zelfde. Rare is dat de interface wel hogere TX/RX rates laten zien.

[lier]

Je plaatje lijkt niet overeen te komen met de config: het Odido_INTA VLAN is gekoppeld aan ether16 en sfp-sfpplus1 is disabled.

Is het een optie om opnieuw te beginnen?

[svenvg93]

lier schreef op donderdag 1 februari 2024 @ 13:01:
Je plaatje lijkt niet overeen te komen met de config: het Odido_INTA VLAN is gekoppeld aan ether16 en sfp-sfpplus1 is disabled.

Is het een optie om opnieuw te beginnen?

Klopt, eerst was het via een sfp, heb er nu een converter tussen gehangen om uit te sluiten dat het een sfp IOP ding is. Zal inderdaad nog eens overniew beginnen.

code:

# 2024-02-01 13:19:53 by RouterOS 7.13.3
# software id = RK76-XCNJ
#
# model = CCR2004-16G-2S+
# serial number = HF1090S67E0
/interface bridge
add name=bridge1
/interface ethernet
set [ find default-name=sfp-sfpplus1 ] disabled=yes
set [ find default-name=sfp-sfpplus2 ] disabled=yes
/interface vlan
add interface=ether16 name=Odido_INTA vlan-id=300
/interface list
add name=WAN
add name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=dhcp_pool1 ranges=172.10.10.100-172.10.10.254
/ip dhcp-server
add address-pool=dhcp_pool1 interface=bridge1 lease-time=1h name=dhcp1
/port
set 0 name=serial0
set 1 name=serial1
/interface bridge port
add bridge=bridge1 interface=ether1 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether2 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether3 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether4 multicast-router=disabled trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether5 multicast-router=disabled trusted=yes
add bridge=bridge1 interface=ether6 trusted=yes
add bridge=bridge1 ingress-filtering=no interface=ether7 multicast-router=disabled trusted=yes
add bridge=bridge1 interface=ether8 trusted=yes
/ip firewall connection tracking
set enabled=yes
/interface list member
add interface=bridge1 list=LAN
add interface=Odido_INTA list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=ether15 network=192.168.88.0
add address=172.10.10.1/24 interface=bridge1 network=172.10.10.0
/ip cloud
set ddns-enabled=yes ddns-update-interval=10m
/ip dhcp-client
add interface=Odido_INTA use-peer-ntp=no
/ip dhcp-server lease
add address=172.10.10.2 mac-address=F0:87:56:8C:FB:37 server=dhcp1
add address=172.10.10.40 client-id=1:0:a5:54:ca:48:60 mac-address=00:A5:54:CA:48:60 server=dhcp1
add address=172.10.10.22 client-id=1:24:a4:2c:39:34:16 mac-address=24:A4:2C:39:34:16 server=dhcp1
add address=172.10.10.20 client-id=1:24:a4:2c:39:33:66 mac-address=24:A4:2C:39:33:66 server=dhcp1
add address=172.10.10.21 client-id=1:24:a4:2c:39:33:78 mac-address=24:A4:2C:39:33:78 server=dhcp1
add address=172.10.10.10 client-id=1:0:3:2d:52:89:90 mac-address=00:03:2D:52:89:90 server=dhcp1
add address=172.10.10.3 client-id=1:6c:3c:8c:14:33:57 mac-address=6C:3C:8C:14:33:57 server=dhcp1
add address=172.10.10.41 client-id=1:0:a5:54:ca:48:83 mac-address=00:A5:54:CA:48:83 server=dhcp1
/ip dhcp-server network
add address=172.10.10.0/24 dns-server=172.10.10.1 domain=cpelab.local gateway=172.10.10.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=172.10.10.10 name=cdrouter.cpelab.local
/ip firewall address-list
add address=192.168.0.0/16 disabled=yes list=Bogon
add address=10.0.0.0/8 disabled=yes list=Bogon
add address=172.16.0.0/12 disabled=yes list=Bogon
add address=127.0.0.0/8 disabled=yes list=Bogon
add address=0.0.0.0/8 disabled=yes list=Bogon
add address=169.254.0.0/16 disabled=yes list=Bogon
add address=192.168.88.0/24 disabled=yes list=Remote_Access
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat out-interface=Odido_INTA
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/system ntp client
set enabled=yes
/system ntp client servers
add address=0.nl.pool.ntp.org
/system routerboard settings
set enter-setup-on=delete-key

[peterstr]

Gebruik je iedere keer hetzelfde bestand om te downloaden of je heb ook downloads vanaf een andere plek geprobeerd?

[svenvg93]

peterstr schreef op donderdag 1 februari 2024 @ 16:31:
Gebruik je iedere keer hetzelfde bestand om te downloaden of je heb ook downloads vanaf een andere plek geprobeerd?

Downloads van een andere plek geven hetzelfde resultaat. Als ik download met een andere router aangesloten haal ik wel gewoon 120 MB/s.

[MasterL]

Wat doet je CPU op het moment van testen? Ik heb jouw config nu 3 keer gelezen maar het enige wat mij echt opvalt is:
1: Er lijkt geen specifieke rule te zijn die "internet" (foward chain) toestaat vanaf het "LAN" (subnet/interface) naar "WAN". Maar dit wordt ook niet specifiek geblokkeerd. Het enige nadeel is dat jouw router alle rules moet processen voordat er uiteindelijk niks met deze packets wordt gedaan (dus geforward). Maar je hebt een krachtige router en deze zou deze pakketten makkelijk moeten kunnen processen.
2: Je bridge configuraties, vanaf welke interface test je? Aan welke interface hangt jouw client?
Ik zou voor nu om het zuiver te houden even een interface configureren (direct zonder bridge) en vanaf daar testen direct op de router.

Misschien ten overvloede maar ik ga er vanuit dat de MTU etc wel correct is (standaard 1500).

[ Voor 5% gewijzigd door MasterL op 02-02-2024 08:57 ]

[Thralas]

Theone098 schreef op donderdag 1 februari 2024 @ 10:46:
Na een " snelle scan" valt mij op dat " set allow-fast-path=no" en in jouw firewall rules sta je het wel toe (add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes).Zie: https://wiki.mikrotik.com/wiki/Manual:Fast_Path

FastTrack en FastPath zijn verwant maar niet hetzelfde, op de nieuwe wiki staat vrij uitgebreid uitgelegd hoe die twee zich tot elkaar verhouden.

svenvg93 schreef op donderdag 1 februari 2024 @ 12:43:
Ik heb ze toegevoegd, maar nog steeds rond de 500kb. Heb voor de zekerheid ook nog even via ethernet aangesloten ipv sfp om uit te sluiten dat het probleem met de sfp komt, maar helaas is dat het zelfde. Rare is dat de interface wel hogere TX/RX rates laten zien.

Voor de goede orde: die tx/rx-rates komen overeen met je downloadsnelheid - 500 kB/s ~= 4 Mbit/s (bytes versus bits per seconde).

MasterL schreef op vrijdag 2 februari 2024 @ 08:56:
1: Er lijkt geen specifieke rule te zijn die "internet" (foward chain) toestaat vanaf het "LAN" (subnet/interface) naar "WAN". Maar dit wordt ook niet specifiek geblokkeerd. Het enige nadeel is dat jouw router alle rules moet processen voordat er uiteindelijk niks met deze packets wordt gedaan (dus geforward). Maar je hebt een krachtige router en deze zou deze pakketten makkelijk moeten kunnen processen.

Maakt niet uit, alleen de tcp handshake gaat door de hele chain, daarna wordt de verbinding gefasttrackt en ziet de rest van de packets de firewall niet eens meer.

Misschien ten overvloede maar ik ga er vanuit dat de MTU etc wel correct is (standaard 1500).

En ook: alle links in het pad zijn 1G (geen 10G/1G rate conversions)?

@svenvg93 ik zou toch ook eens kritisch naar je client kijken (en/of testen met een andere/ander OS) - je claimt dat het probleem namelijk niet optreedt bij een speedtest, maar wel bij een https download.

En bovenal: met de routerconfig is niets (meer) mis zoals iedereen hier bevestigt.

Één ding weet ik zeker: die router kijkt niet veel verder dan IP en maakt het niet uit of dat nu een download is of een speedtest. Dat is voor je client mogelijk niet het geval.

[kaaas]

@svenvg93 Zou je deze eens op je router kunnen draaien en de resultaten willen posten?
/tool/bandwidth-test address=23.162.144.120 user=MikrotikBtest password=MikrotikBtest direction=both

Let op er zitten voorwaarden aan.
https://forum.mikrotik.com/viewtopic.php?t=104266
TLDR maar 1 keer per dag testen en niet langer dan 10 min

[svenvg93]

kaaas schreef op vrijdag 2 februari 2024 @ 12:08:
@svenvg93 Zou je deze eens op je router kunnen draaien en de resultaten willen posten?
/tool/bandwidth-test address=23.162.144.120 user=MikrotikBtest password=MikrotikBtest direction=both

Let op er zitten voorwaarden aan.
https://forum.mikrotik.com/viewtopic.php?t=104266
TLDR maar 1 keer per dag testen en niet langer dan 10 min

code:

                status: running
              duration: 1m6s
            tx-current: 956.7Mbps
  tx-10-second-average: 955.1Mbps
      tx-total-average: 921.3Mbps
            rx-current: 876.4Mbps
  rx-10-second-average: 875.9Mbps
      rx-total-average: 906.6Mbps
          lost-packets: 0
           random-data: no
             direction: both
               tx-size: 1500
               rx-size: 1500
      connection-count: 20
        local-cpu-load: 54%
       remote-cpu-load: 53%

Voor de vorm ook nog even met random data=yes

code:

  ;;; results can be limited by cpu, note that traffic generation/termination performance might not be representative of forwarding performance
                status: running
              duration: 20s
            tx-current: 951.3Mbps
  tx-10-second-average: 958.4Mbps
      tx-total-average: 939.2Mbps
            rx-current: 449.2Mbps
  rx-10-second-average: 426.5Mbps
      rx-total-average: 579.1Mbps
          lost-packets: 3833
           random-data: yes
             direction: both
               tx-size: 1500
               rx-size: 1500
      connection-count: 20
        local-cpu-load: 97%
       remote-cpu-load: 59%

En ook: alle links in het pad zijn 1G (geen 10G/1G rate conversions)?

@svenvg93 ik zou toch ook eens kritisch naar je client kijken (en/of testen met een andere/ander OS) - je claimt dat het probleem namelijk niet optreedt bij een speedtest, maar wel bij een https download.

En bovenal: met de routerconfig is niets (meer) mis zoals iedereen hier bevestigt.

Één ding weet ik zeker: die router kijkt niet veel verder dan IP en maakt het niet uit of dat nu een download is of een speedtest. Dat is voor je client mogelijk niet het geval.

Alle links zijn 1G. Heb ook nog test gedaan met een CentOS machine en heb daar hetzelfde probleem.

[ Voor 42% gewijzigd door svenvg93 op 02-02-2024 12:47 ]

[lolgast]

@svenvg93
Zat de CentOS machine aan een andere poort op je router of loopt die ook via ether3? Wellicht een gare kabel in dat geval?

[kaaas]

Kun je iperf draaien van de machine waar je problemen mee hebt naar een andere machine door de mikrotik heen? En zo ja wat gebeurd er dan?

[kaaas]

En kun je een bandwith test draaien van af de probleem machine naar de router?
https://mikrotik.com/download
De meeste mikrotik dingen doen het prima in wine mocht je geen windows draaien.
https://help.mikrotik.com/docs/display/ROS/Bandwidth+Test

[svenvg93]

Heb voor nu geen andere machine beschikbaar, ze zijn allemaal in gebruik.
iPerf naar het internet;;
Upload
[SUM] 0.00-60.00 sec 6.55 GBytes 937 Mbits/sec sender
[SUM] 0.00-60.00 sec 6.55 GBytes 937 Mbits/sec receiver
Download
[SUM] 0.00-60.00 sec 173 MBytes 24.2 Mbits/sec 11145 sender
[SUM] 0.00-60.00 sec 171 MBytes 23.9 Mbits/sec receiver

[orvintax]

svenvg93 schreef op donderdag 1 februari 2024 @ 11:16:
[...]


Thanks! Ik heb het aangepast, maar helaas nog steeds hetzelfde
Heb ook geprobeerd met alle firewall ruls disabled als test, maar dan is het hetzelfde.

Misschien een factory reset proberen?

[svenvg93]

orvintax schreef op vrijdag 2 februari 2024 @ 21:16:
[...]

Misschien een factory reset proberen?

Heb de configuratie al een paar keer gereset en opnieuw gedaan. Elke keer bij elke stap getest hoe de snelheid wat. Maar zelfs zonder bridge en firewall rules was het maar 25mbit.

Zou bijna denken dat het voor de vlan tag komt op de wan

[pimlie]

svenvg93 schreef op zaterdag 3 februari 2024 @ 11:56:
Zou bijna denken dat het voor de vlan tag komt op de wan

Dat is het zeer zeker niet, KPN glasvezel internet werkt ook met vlans om inet & iptv te scheiden en daar trek ik met een AX2 de uplink vol en dan maak ik nog niet eens gebruik van fasttrack.

Heb je het Routerboard ook al geprobeerd te upgraden (system -> routerboard)? Verwacht niet dat dit helpt maar wie weet.

Heb je geprobeerd het MAC adres te klonen van de router die wel 120MB/s doet? Dus op je uplink het mac adres gebruiken van de uplink port van die andere router, wellicht dat Odido iets cached en die 4Mbit een fallback speed is?

[svenvg93]

pimlie schreef op zaterdag 3 februari 2024 @ 12:55:
[...]


Dat is het zeer zeker niet, KPN glasvezel internet werkt ook met vlans om inet & iptv te scheiden en daar trek ik met een AX2 de uplink vol en dan maak ik nog niet eens gebruik van fasttrack.

Heb je het Routerboard ook al geprobeerd te upgraden (system -> routerboard)? Verwacht niet dat dit helpt maar wie weet.

Heb je geprobeerd het MAC adres te klonen van de router die wel 120MB/s doet? Dus op je uplink het mac adres gebruiken van de uplink port van die andere router, wellicht dat Odido iets cached en die 4Mbit een fallback speed is?

Routerboard is al op de laatste release.
ik zal het Mac address volgende week eens proberen als ik op locatie ben

[lier]

Als er verschillende snelheden bereikt worden, afhankelijk van de manier van testen, in combinatie met een goede config (voor zover te overzien), dan zou ik het in de richting van MTU zoeken. Heb je die (expliciet) ingesteld? Hoe staat het nu ingesteld?

[Wiebeltje]

Misschien kan iemand hier mij helpen met 't werkend krijgen van Wireguard op mijn rb5009. Ik heb de Roadwarrior guide gevolgd op mikrotik.com. Ik krijg een handshake maar daarna houd alles op. Ik zie dat mijn client (Android via 4g) naast de handshake ook keep alive packets ontvangt.

Een paar dingen die me op vallen: Ik heb twee firewall rules voor Wireguard. Op de bovenste (UDP 51820) zie ik bij het connecten van de client een +1 op de packets verschijnen. De rule er onder blijft op 0 / 0 staan. Daar komt dus totaal geen traffic op.

Vanaf Android pingen naar 1.1.1.1, 10.13.69.1, 10.13.37.1 levert allemaal niets op. Vanaf de Mikrotik pingen naar 10.13.69.2 geeft ook een timeout.

Verder zie in in WinBox onder Wireguard -> Interface -> Traffic een hoop TX/RX errors. Zodra ik ga pingen vanaf de client naar 10.13.69.1 zie ik de RX errors ook telkens met 1 ophogen.



Wat ik wil bereiken:
Vanaf extern toegang tot mijn vlan-lan netwerk. (10.13.37.0/24)
Vanaf extern via wireguard kunnen internetten als ik op een onveilig netwerk zit.

Ik heb al een hoop gezocht en bekeken maar ik kom er niet uit wat ik verkeerd doe. Ik hoop dat iemand me kan helpen.

code:

/interface bridge
add admin-mac=XXXXXXXX auto-mac=no comment=defconf name=bridge vlan-filtering=yes

/interface vlan
add interface=ether1 name=vlan-eth-odido vlan-id=300
add interface=bridge name=vlan-guest vlan-id=99
add interface=bridge name=vlan-lan vlan-id=37
add interface=sfp-sfpplus1 name=vlan-sfp-odido vlan-id=300

/interface bonding
add mode=balance-xor name=bonding-trunk slaves=ether7,ether8

/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
add name=MAC-SERVER

/ip pool
add name=dhcp-pool-lan ranges=10.13.37.125-10.13.37.240
add name=dhcp-pool-guest ranges=10.13.99.10-10.13.99.254

/ip dhcp-server
add address-pool=dhcp-pool-lan interface=vlan-lan name=dhcp-lan
add address-pool=dhcp-pool-guest interface=vlan-guest name=dhcp-guest

/interface bridge port
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether2 pvid=37
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether3 pvid=37
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether4 pvid=37
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether5 pvid=37
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether6 pvid=37
add bridge=bridge frame-types=admit-only-vlan-tagged interface=bonding-trunk pvid=37

/interface bridge vlan
add bridge=bridge tagged=bonding-trunk,bridge vlan-ids=37
add bridge=bridge tagged=bonding-trunk,bridge vlan-ids=99

/interface list member
add comment=defconf interface=bridge list=LAN
add interface=vlan-lan list=LAN
add interface=vlan-guest list=LAN
add interface=wireguard list=LAN
add comment=defconf interface=ether1 list=WAN
add interface=vlan-eth-odido list=WAN
add interface=vlan-sfp-odido list=WAN
add interface=bridge list=MAC-SERVER
add interface=vlan-lan list=MAC-SERVER

/interface wireguard
add listen-port=51820 mtu=1420 name=wireguard  private-key="PRIVATEKEY" public-key="yXLIPuGHRWRZHyrsRXocGVMl5Y10sjEbo2tCHPUvIG8="

/interface wireguard peers
add allowed-address=10.13.69.2/32 interface=wireguard preshared-key="PRESHAREDKEY" public-key="GUnQOJhlMKOVQ6aIRzhqyz0FXCktB0Kd3Xo4j4bxyyU="

/ip address
add address=10.13.37.1/24 interface=vlan-lan network=10.13.37.0
add address=10.13.99.1/24 interface=vlan-guest network=10.13.99.0
add address=10.13.69.1/24 interface=wireguard network=10.13.69.0

/ip dhcp-client
add interface=vlan-eth-odido
add interface=vlan-sfp-odido

/ip dhcp-server network
add address=10.13.37.0/24 dns-server=10.13.37.110 gateway=10.13.37.1
add address=10.13.99.0/24 dns-server=1.1.1.1 gateway=10.13.99.1

/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="Accept connection from LAN network" in-interface=vlan-lan
add action=accept chain=input comment="allow WireGuard" dst-port=51820 protocol=udp
add action=accept chain=input comment="allow WireGuard traffic" src-address=10.13.69.0/24
add action=reject chain=input comment="Reject for internal debugging" in-interface-list=LAN reject-with=icmp-admin-prohibited
add action=drop chain=input comment="defconf: drop all"
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=forward comment="Allow local network(s) to connect to WAN" in-interface-list=LAN out-interface-list=WAN
add action=accept chain=forward comment="Allow port forwarding" connection-nat-state=dstnat
add action=reject chain=forward comment="Reject for internal debugging" in-interface-list=LAN reject-with=icmp-admin-prohibited
add action=drop chain=forward comment="Drop all"

/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN

[bundit]

Wiebeltje schreef op zondag 4 februari 2024 @ 12:23:
Misschien kan iemand hier mij helpen met 't werkend krijgen van Wireguard op mijn rb5009. Ik heb de Roadwarrior guide gevolgd op mikrotik.com. Ik krijg een handshake maar daarna houd alles op. Ik zie dat mijn client (Android via 4g) naast de handshake ook keep alive packets ontvangt.

Een paar dingen die me op vallen: Ik heb twee firewall rules voor Wireguard. Op de bovenste (UDP 51820) zie ik bij het connecten van de client een +1 op de packets verschijnen. De rule er onder blijft op 0 / 0 staan. Daar komt dus totaal geen traffic op.

Vanaf Android pingen naar 1.1.1.1, 10.13.69.1, 10.13.37.1 levert allemaal niets op. Vanaf de Mikrotik pingen naar 10.13.69.2 geeft ook een timeout.

Verder zie in in WinBox onder Wireguard -> Interface -> Traffic een hoop TX/RX errors. Zodra ik ga pingen vanaf de client naar 10.13.69.1 zie ik de RX errors ook telkens met 1 ophogen.

[Afbeelding]

Wat ik wil bereiken:
Vanaf extern toegang tot mijn vlan-lan netwerk. (10.13.37.0/24)
Vanaf extern via wireguard kunnen internetten als ik op een onveilig netwerk zit.

Ik heb al een hoop gezocht en bekeken maar ik kom er niet uit wat ik verkeerd doe. Ik hoop dat iemand me kan helpen.

code:

/interface bridge
add admin-mac=XXXXXXXX auto-mac=no comment=defconf name=bridge vlan-filtering=yes

/interface vlan
add interface=ether1 name=vlan-eth-odido vlan-id=300
add interface=bridge name=vlan-guest vlan-id=99
add interface=bridge name=vlan-lan vlan-id=37
add interface=sfp-sfpplus1 name=vlan-sfp-odido vlan-id=300

/interface bonding
add mode=balance-xor name=bonding-trunk slaves=ether7,ether8

/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
add name=MAC-SERVER

/ip pool
add name=dhcp-pool-lan ranges=10.13.37.125-10.13.37.240
add name=dhcp-pool-guest ranges=10.13.99.10-10.13.99.254

/ip dhcp-server
add address-pool=dhcp-pool-lan interface=vlan-lan name=dhcp-lan
add address-pool=dhcp-pool-guest interface=vlan-guest name=dhcp-guest

/interface bridge port
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether2 pvid=37
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether3 pvid=37
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether4 pvid=37
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether5 pvid=37
add bridge=bridge comment=defconf frame-types=admit-only-untagged-and-priority-tagged interface=ether6 pvid=37
add bridge=bridge frame-types=admit-only-vlan-tagged interface=bonding-trunk pvid=37

/interface bridge vlan
add bridge=bridge tagged=bonding-trunk,bridge vlan-ids=37
add bridge=bridge tagged=bonding-trunk,bridge vlan-ids=99

/interface list member
add comment=defconf interface=bridge list=LAN
add interface=vlan-lan list=LAN
add interface=vlan-guest list=LAN
add interface=wireguard list=LAN
add comment=defconf interface=ether1 list=WAN
add interface=vlan-eth-odido list=WAN
add interface=vlan-sfp-odido list=WAN
add interface=bridge list=MAC-SERVER
add interface=vlan-lan list=MAC-SERVER

/interface wireguard
add listen-port=51820 mtu=1420 name=wireguard  private-key="PRIVATEKEY" public-key="yXLIPuGHRWRZHyrsRXocGVMl5Y10sjEbo2tCHPUvIG8="

/interface wireguard peers
add allowed-address=10.13.69.2/32 interface=wireguard preshared-key="PRESHAREDKEY" public-key="GUnQOJhlMKOVQ6aIRzhqyz0FXCktB0Kd3Xo4j4bxyyU="

/ip address
add address=10.13.37.1/24 interface=vlan-lan network=10.13.37.0
add address=10.13.99.1/24 interface=vlan-guest network=10.13.99.0
add address=10.13.69.1/24 interface=wireguard network=10.13.69.0

/ip dhcp-client
add interface=vlan-eth-odido
add interface=vlan-sfp-odido

/ip dhcp-server network
add address=10.13.37.0/24 dns-server=10.13.37.110 gateway=10.13.37.1
add address=10.13.99.0/24 dns-server=1.1.1.1 gateway=10.13.99.1

/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="Accept connection from LAN network" in-interface=vlan-lan
add action=accept chain=input comment="allow WireGuard" dst-port=51820 protocol=udp
add action=accept chain=input comment="allow WireGuard traffic" src-address=10.13.69.0/24
add action=reject chain=input comment="Reject for internal debugging" in-interface-list=LAN reject-with=icmp-admin-prohibited
add action=drop chain=input comment="defconf: drop all"
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=forward comment="Allow local network(s) to connect to WAN" in-interface-list=LAN out-interface-list=WAN
add action=accept chain=forward comment="Allow port forwarding" connection-nat-state=dstnat
add action=reject chain=forward comment="Reject for internal debugging" in-interface-list=LAN reject-with=icmp-admin-prohibited
add action=drop chain=forward comment="Drop all"

/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN

[Afbeelding]

Het subnet van de wireguard interface komt niet overeen met de instellingen van het device/app.

Probeer in de app is een adres te kiezen binnen hetzelfde subnet als de wireguard interface 10.13.69.0/24.

Zelf heb ik de video gebruikt van Mikrotik zelf voor de configuratie:
YouTube: Wireguard setup with MikroTik and your smartphone

[Wiebeltje]

bundit schreef op zondag 4 februari 2024 @ 12:46:
[...]


Het subnet van de wireguard interface komt niet overeen met de instellingen van het device/app.

Probeer in de app is een adres te kiezen binnen hetzelfde subnet als de wireguard interface 10.13.69.0/24.

Zelf heb ik de video gebruikt van Mikrotik zelf voor de configuratie:
YouTube: Wireguard setup with MikroTik and your smartphone

top het werkt. Ik had echt alles 5x nagekeken of alles wel goed stond. Toch er overheen gelezen... Ik moet alleen nog even toegang tot het lan subnet fixen maar dat gaat wel lukken

[EnigmA-X]

svenvg93 schreef op zaterdag 3 februari 2024 @ 11:56:
[...]


Heb de configuratie al een paar keer gereset en opnieuw gedaan. Elke keer bij elke stap getest hoe de snelheid wat. Maar zelfs zonder bridge en firewall rules was het maar 25mbit.

Zou bijna denken dat het voor de vlan tag komt op de wan

Ook even over jouw vraagstuk zitten peinzen en moest denken aan een issue waar ik zelf een paar uurtjes mee kwijt ben geweest.

Jouw CCR heeft switch chips. Die switch chips kan je middels rules iets laten doen (of juist niet). Bijvoorbeeld het limiteren van throughput.

Daarom twee vragen:

1. Hoe reset jij de configuratie van jouw CCR precies?
2. De configs die je hier post, is dat iets wat je copy/paste uit jouw "notepad", of is dat de output van /export ?

[Hmmbob]

download: RouterOS 7.14

Lange lijst met wijzigingen

[Freeaqingme]

Mikrotik lanceert vandaag een nieuwe switch, de CRS326-4C+20G+2Q+RM ( https://mikrotik.com/product/crs326_4c_20g_2q_rm ). Deze switch heeft 20 2.5 Gbit rj45 poorten, dan 4 combo-poorten 2.5/10 Gbps (2.5 rj45 of 10 gbps sfp+), en 2x 40 Gbps ports.

Serve the Home heeft er een review over: YouTube: Inside MikroTik 's NEW 2.5GbE and 40GbE Switch - CRS326 4C+20G+2Q+RM

Bij Interprojekt kost 'ie 935 euro inclusief btw (760 ex).

Let wel op, hij is niet echt te gebruiken als router. De switch is met maar 1 Gbps verbonden met de CPU, en als je naar de test results kijkt dan zie je dat 'ie maar 450 Mbps haalt als 'ie moet routen (en daar komt mogelijk NAT nog voor bij).

[ Voor 4% gewijzigd door Freeaqingme op 08-03-2024 14:54 ]

[mbovenka]

Freeaqingme schreef op vrijdag 8 maart 2024 @ 14:42:
Let wel op, hij is niet echt te gebruiken als router. De switch is met maar 1 Gbps verbonden met de CPU, en als je naar de test results kijkt dan zie je dat 'ie maar 450 Mbps haalt als 'ie moet routen (en daar komt mogelijk NAT nog voor bij).

Met L3 HW offload wel. De Prestera 98DX8332 die erin zit kan L3 en NAT offload.

Heeft z'n beperkingen, maar als je daar binnen kunt blijven kan hij het wel. Doet me eraan denken dat ik eens met m'n spare CRS309 en L3 offload moet gaan spelen...

[Thasaidon]

Hmmbob schreef op vrijdag 1 maart 2024 @ 10:17:
download: RouterOS 7.14

Lange lijst met wijzigingen

Toen ik die op één van mijn hAP ac2's probeerde door te voeren, kwam deze niet meer terug na de reload.
Uiteindelijk via een Netinstall 7.13 weer terug weten te zetten, maar dat ging ook niet van harte...
Heb de Netinstall meerdere malen moeten uitvoeren voordat het pas goed ging.

Daarna nog een andere hAP ac2 geupgrade, zelfde probleem.

Het probleem lijkt hem te zitten in de grootte van de software.
Met 7.13 is van de 15.3Mb al 14.8Mb in gebruik.

Kortom, de hAP ac2 lijkt niet verder ge-upgrade te kunnen worden, tenzij Mikrotik de packages weer kleiner weet te maken.

[mbovenka]

Ja, dat is wel een dingetje met MTs die maar 16MB flash hebben. Voor switches en pure routers gaat het nog wel (7.15beta6 'routeros' package voor de CRS309 is 11.2MB), maar als je ook WiFi nodig hebt wordt het intussen krap. Ik heb een mAP en een hAP ac in die situatie.

Tijd voor MT om voor dat soort spul de zaak te kortwieken tot basale functionaliteit voor het apparaat in kwestie, en zaken als ROSE (Hallo? Mijn router is geen NAS) bijvoorbeeld een optioneel package te maken.

[pimlie]

mbovenka schreef op dinsdag 12 maart 2024 @ 11:00:
en zaken als ROSE (Hallo? Mijn router is geen NAS) bijvoorbeeld een optioneel package te maken.

ROSE is toch al een extra package?

[lolgast]

Ik dacht dat Mikrotik onlangs had aangekondigd dat ze Wifi packages juist hadden opgesplitst tbv de 16MB limiet..? Staat me vaag iets van bij in ieder geval

[mbovenka]

pimlie schreef op dinsdag 12 maart 2024 @ 11:13:
ROSE is toch al een extra package?

Excuus, je hebt gelijk. Laat ik het dan zo zeggen, tijd voor nog verdere uitsplitsing. Of gewoon de moed opgeven natuurlijk en zeggen 'verder dan versie X kunnen devices met 16MB flash niet'.

[lier]

Met de cAP ac (die niet veel scheelt van de hAP ac2 afgezien van het aantal poorten) heb ik probleemloos kunnen upgraden. Dus RouterOS en wifi-qcom-ac packages. Wellicht staat er iets onnodigs op het file system?

[Thasaidon]

lier schreef op dinsdag 12 maart 2024 @ 11:46:
Wellicht staat er iets onnodigs op het file system?

Helemaal niets.

De enige packages zijn RouterOS 7.13 en wireless 7.13
(voorheen was dat idd 1 package)
En dan heb ik net genoeg ruimte op de flash om een config backup te maken...
Iets wat ik standaard doe voor een upgrade.

Daarmee geeft hij aan dat ik nog maar 1% ruimte heb.
Effectief geeft hij maar 15,3Mb totale ruimte aan, waarvan bijna 15 in gebruik is.

Er word ook niets naar de flash gelogd, enkel in memory.

Maar wat is het verschil tussen de de wireless, wifi-qcom en wifi-qcom-ac packages?

[ Voor 6% gewijzigd door Thasaidon op 12-03-2024 12:19 ]

[mbovenka]

lolgast schreef op dinsdag 12 maart 2024 @ 11:14:
Ik dacht dat Mikrotik onlangs had aangekondigd dat ze Wifi packages juist hadden opgesplitst tbv de 16MB limiet..? Staat me vaag iets van bij in ieder geval

Klopt, maar dat helpt je niet als je wel WiFi nodig hebt.

[lier]

Misschien zit daar het probleem, @Thasaidon (in ieder geval het verschil), je maakt nog gebruik van de oude wireless package. Dat is zonde, want met de nieuwe wifi-qcom-ac package kan je een hoop meer (en sommige dingen ook niet meer). Enige dat je je bewust van moet zijn: je moet de hAP ac2 de wifi opnieuw configureren als je naar deze package gaat.

[Thasaidon]

lier schreef op dinsdag 12 maart 2024 @ 12:16:
Dat is zonde, want met de nieuwe wifi-qcom-ac package kan je een hoop meer (en sommige dingen ook niet meer). Enige dat je je bewust van moet zijn: je moet de hAP ac2 de wifi opnieuw configureren als je naar deze package gaat.

Maar wat is het verschil tussen de de wireless, wifi-qcom en wifi-qcom-ac packages?
Ik kan daar zo snel niet veel over vinden.

Probleem is dat ik ook nog de 2,4Ghz gebruik voor wat oudere spullen.

Overigens wel frappant dat 7.14 op 29-2 uitgebracht is en 11-3 (gister) 7.14.1, nog geen 2 weken later al.

[ Voor 9% gewijzigd door Thasaidon op 12-03-2024 12:24 ]

[lier]

wireless: oud
wifi-qcom: standaard voor ax
wifi-qcom-ac: nieuwe driver voor ac devices (met ARM processor)

In het eerste deel van de documentatie staat een en ander beschreven:
https://help.mikrotik.com/docs/display/ROS/Wireless

[Thasaidon]

@lier
Ik ben bang dat ik met de nieuwe packages helemaal een probleem heb.

wireless: 2.64 MB
wifi-qcom: 7.54 MB
wifi-qcom-ac: 2.85 MB

Met de qcom-ac hou ik dus nog minder ruimte over en qcom gaat niet eens passen.
Dan heb ik het wel over de 7.13 versies.

[ Voor 8% gewijzigd door Thasaidon op 12-03-2024 12:47 ]

[lier]

Wat ik zou doen, @Thasaidon:

/export show-sensitive file=bedenkietsleuks
export downloaden

Netinstall de hAP ac2 met 7.14.1:
https://help.mikrotik.com/docs/display/ROS/Netinstall
https://download.mikrotik...1/routeros-7.14.1-arm.npk
https://download.mikrotik...l_packages-arm-7.14.1.zip

export uploaden
import file=bedenkietsleuks

[chaoscontrol]

lier schreef op dinsdag 12 maart 2024 @ 12:24:
wireless: oud
wifi-qcom: standaard voor ax
wifi-qcom-ac: nieuwe driver voor ac devices (met ARM processor)

In het eerste deel van de documentatie staat een en ander beschreven:
https://help.mikrotik.com/docs/display/ROS/Wireless

qcom-ac werkt toch alleen voor devices met meer dan 256MB ram? (Staat mij bij dat ik daarom de wAP AC niet doen.)

[lier]

Heb het hier op zowel cAP XL ac, cAP ac en wAP ac draaien. Deze laatste moet een ARM processor hebben:

* wifi-qcom-ac: Audience, Audience LTE kit, Chateau (all variants of D53), hAP ac^2, hAP ac^3, cAP ac, cAP XL ac, LDF 5 ac, LHG XL 5 ac, LHG XL 52 ac, NetMetal ac^2, mANTBox 52 15s, wAP ac (RBwAPG-5HacD2HnD), SXTsq 5 ac

[Thasaidon]

@lier
Ik ga eerst proberen te upgraden naar 7.14.1 via Winbox, zoals ik dat altijd doe.
Feitelijk doe ik daarin hetzelfde, maar andere interface.

Ik verwacht alleen geen verschil, want de packages zijn exact dezelfde grootte.

[ Voor 21% gewijzigd door Thasaidon op 12-03-2024 14:33 ]

[chaoscontrol]

lier schreef op dinsdag 12 maart 2024 @ 13:24:
Heb het hier op zowel cAP XL ac, cAP ac en wAP ac draaien. Deze laatste moet een ARM processor hebben:


[...]

Ja ik heb hier ook de oude wAP AC's, zal vanavond eens kijken of ik de qcom packager er op aan de praat krijgt. Dat is een wave2 package toch, of staat dat er los van?

(ik las verkeerd, moet dus de nieuwe wap ac hebben)

[ Voor 6% gewijzigd door chaoscontrol op 12-03-2024 15:07 ]

[Thasaidon]

Thasaidon schreef op dinsdag 12 maart 2024 @ 10:24:
[...]
Uiteindelijk via een Netinstall 7.13 weer terug weten te zetten, maar dat ging ook niet van harte...
Heb de Netinstall meerdere malen moeten uitvoeren voordat het pas goed ging.

Mikrotik Support heeft bevestigd dat er een probleem zit in Netinstall.
Dit zouden ze in een volgende release oplossen.

Daarnaast raden ze aan om 7.14.1 te installeren, inclusief de wireless package.

Regarding the "Ready" message issue, we have replicated it in our labs. Our developers have already considered this issue, and it will be fixed in future releases, but unfortunately, I cannot share any ETA yet.
If the device becomes unresponsive, we recommend to install RouterOS 7.14.1 using the Netinstall utility. Please remember to include the wireless-7.14.1-arm.npk package during the installation.

Zie ook mijn post op het Mikrotik forum.
https://forum.mikrotik.com/viewtopic.php?t=205614

[stefaantje]

Kunnen jullie mij als absolute Mikrotik-noob op weg helpen?

Ik heb een wAP ac, ingesteld als simpele AP, waarbij 2.4 (wifi1) en 5 GHz (wifi2) dezelfde ssid en WPA2-psk hebben. Voor de rest eigenlijk helemaal niets ingesteld, wegens... noob

Mijn apparaten (Google Pixel 8 en laptop) connecteren goed met wifi2, en verliezen pas verbinding vanaf ongeveer -90 dbi.

Op Wifi1 is het al snel "connection lost", soms als vanaf signal strength -60 dbi...
Dat is dan met één muur ertussen, waarbij 2.4 GHz normaal gezien toch wel nog een redelijk signaal zou moeten geven?

code:

68
2024-03-16 10:14:20
memory
wireless, info
94:45:60:44:92:EF@wifi2 disconnected, SA Query timeout, signal strength -92

69
2024-03-16 10:14:20
memory
wireless, info
94:45:60:44:92:EF@wifi1 connected, signal strength -78

70
2024-03-16 10:14:44
memory
wireless, info
94:45:60:44:92:EF@wifi1 disconnected, connection lost, signal strength -68

71
2024-03-16 10:14:48
memory
wireless, info
94:45:60:44:92:EF@wifi1 connected, signal strength -57

72
2024-03-16 10:14:48
memory
system, info, account
user admin logged out from 192.168.88.254 via web

73
2024-03-16 10:15:06
memory
wireless, info
94:45:60:44:92:EF@wifi1 disconnected, connection lost, signal strength -60

74
2024-03-16 10:15:09
memory
wireless, info
94:45:60:44:92:EF@wifi1 connected, signal strength -62

75
2024-03-16 10:15:27
memory
wireless, info
94:45:60:44:92:EF@wifi1 disconnected, connection lost, signal strength -63

76
2024-03-16 10:15:31
memory
wireless, info
94:45:60:44:92:EF@wifi1 connected, signal strength -65

77
2024-03-16 10:15:49
memory
wireless, info
94:45:60:44:92:EF@wifi1 disconnected, connection lost, signal strength -68

78
2024-03-16 10:16:06
memory
wireless, info
94:45:60:44:92:EF@wifi1 connected, signal strength -65

79
2024-03-16 10:16:28
memory
wireless, info
94:45:60:44:92:EF@wifi1 disconnected, SA Query timeout, signal strength -52

80
2024-03-16 10:16:28
memory
wireless, info
94:45:60:44:92:EF@wifi2 connected, signal strength -64

[lier]

Kan je je config delen, @stefaantje ?

/export file=bedenkmaariets


Serial eruit, net als andere prive info.

[stefaantje]

lier schreef op zaterdag 16 maart 2024 @ 23:01:
Kan je je config delen, @stefaantje ?

code:

[h3]# 2024-03-17 11:58:11 by RouterOS 7.14.1
# software id = 0I2U-1WL1
#
# model = RBwAPG-5HacD2HnD
# serial number = XXX
/interface bridge
add admin-mac=48:A9:8A:35:0A:EC auto-mac=no comment=defconf name=bridge
/interface wifi
set [ find default-name=wifi1 ] configuration.country=Belgium .mode=ap .ssid=\
    MikroTik_32 disabled=no security.authentication-types=wpa2-psk \
    .connect-priority=0
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
    configuration.country=Belgium .mode=ap .ssid=MikroTik_32 disabled=no \
    security.authentication-types=wpa2-psk .connect-priority=0
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip hotspot profile
set [ find default=yes ] html-directory=hotspot
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=default-dhcp interface=bridge lease-time=10m name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=*4
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=\
    192.168.88.0
/ip dhcp-client
add comment=defconf interface=ether1
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=\
    192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" \
    dst-port=33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-name=Europe/Brussels
/system note
set show-at-login=no
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN[/h3]

Ik zie dit regeltje staan:

code:

/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254

De modem+router van mijn provider geeft als DHCP-range: 192.168.1.2 - 192.168.1.63
Het lijkt alsof de wAP ac zelf een andere DHCP-range uitstuurt...?

[lier]

Je wAP ac is ingesteld als router. Inclusief DNS/DHCP/firewall/etc. En dat is niet nodig.

Volgens mij is de eenvoudigste route voor minder ervaren gebruikers:
- reset, no default configuration
- quickset -> home ap dual

Daarna configureren (WPA2-PSK AES only met mooi wachtwoord) en klaar.

[stefaantje]

lier schreef op zondag 17 maart 2024 @ 13:10:
Je wAP ac is ingesteld als router. Inclusief DNS/DHCP/firewall/etc. En dat is niet nodig.

Volgens mij is de eenvoudigste route voor minder ervaren gebruikers:
- reset, no default configuration
- quickset -> home ap dual

Daarna configureren (WPA2-PSK AES only met mooi wachtwoord) en klaar.

Quickset + Home AP Dual had ik gebruikt, maar waarschijnlijk had ik zelf nog een paar vinkjes moeten uitschakelen?
Zie screenshot: