[MikroTik-apparatuur] Ervaringen & Discussie

[lolgast]

@EverLast2002 Omdat het in het AdGuard Home download-item niet helemaal past en het hier beter gevonden wordt denk ik:
Ik heb mijn DNS fallback zo ingesteld. Ik heb in NetWatch de volgende items staan:

code:

 0   name="adguard1" host=192.168.4.24 type=simple interval=5s timeout=10ms 
     up-script=if ([/tool netwatch get [find name="adguard2"] status] = "up") do={\r\n  /ip dhcp-server network set dns-
          server=192.168.4.24,192.168.4.25 [find gateway=192.168.4.1];\r\n}\r\nif ([/tool netwatch get [find name="adguard2"] status] = 
          "down") do={\r\n  /ip dhcp-server network set dns-server=192.168.4.24 [find gateway=192.168.4.1];\r\n} 
     down-script=if ([/tool netwatch get [find name="adguard2"] status] = "up") do={\r\n  /ip dhcp-server network set dns-
            server=192.168.4.25 [find gateway=192.168.4.1];\r\n}\r\nif ([/tool netwatch get [find name="adguard2"] status] = "down") 
            do={\r\n   /ip dhcp-server network set dns-server=1.1.1.1,9.9.9.9 [find gateway=192.168.4.1];\r\n} 
     test-script="" http-codes="" status=up 

 1   name="adguard2" host=192.168.4.25 type=simple interval=5s timeout=10ms 
     up-script=if ([/tool netwatch get [find name="adguard1"] status] = "up") do={\r\n  /ip dhcp-server network set dns-
          server=192.168.4.24,192.168.4.25 [find gateway=192.168.4.1];\r\n}\r\nif ([/tool netwatch get [find name="adguard1"] status] = 
          "down") do={\r\n  /ip dhcp-server network set dns-server=192.168.4.25 [find gateway=192.168.4.1];\r\n} 
     down-script=if ([/tool netwatch get [find name="adguard1"] status] = "up") do={\r\n  /ip dhcp-server network set dns-
            server=192.168.4.25 [find gateway=192.168.4.1];\r\n}\r\nif ([/tool netwatch get [find name="adguard1"] status] = "down") 
            do={\r\n   /ip dhcp-server network set dns-server=1.1.1.1,9.9.9.9 [find gateway=192.168.4.1];\r\n} 
     test-script="" http-codes="" status=up

Dit monitort mijn beide AdGuard Home containers. Als er 1 down gaat past hij de DHCP-scope aan met alleen de resulterende, als ze beide down zijn worden ze vervangen voor 2 externe DNS-servers.

En nee, dit is niet perfect. Bestaande clients met een lopende DHCP-lease hebben geen werkende DNS servers, maar dat is vrij snel op te lossen met een DHCP renew en dat werkt voor ons prima. Uiteindelijk komt het maar een handje vol keren voor dat alles helemaal naar z'n grootje is. Ik heb dit vooral gemaakt zodat mijn vrouw haarzelf internet kan geven op momenten dat er iets fout gaat en ik ben bijvoorbeeld aan het werk.

[EverLast2002]

lolgast schreef op vrijdag 24 mei 2024 @ 15:11:
@EverLast2002 Omdat het in het AdGuard Home download-item niet helemaal past en het hier beter gevonden wordt denk ik:
Ik heb mijn DNS fallback zo ingesteld. Ik heb in NetWatch de volgende items staan:

code:

 0   name="adguard1" host=192.168.4.24 type=simple interval=5s timeout=10ms 
     up-script=if ([/tool netwatch get [find name="adguard2"] status] = "up") do={\r\n  /ip dhcp-server network set dns-
          server=192.168.4.24,192.168.4.25 [find gateway=192.168.4.1];\r\n}\r\nif ([/tool netwatch get [find name="adguard2"] status] = 
          "down") do={\r\n  /ip dhcp-server network set dns-server=192.168.4.24 [find gateway=192.168.4.1];\r\n} 
     down-script=if ([/tool netwatch get [find name="adguard2"] status] = "up") do={\r\n  /ip dhcp-server network set dns-
            server=192.168.4.25 [find gateway=192.168.4.1];\r\n}\r\nif ([/tool netwatch get [find name="adguard2"] status] = "down") 
            do={\r\n   /ip dhcp-server network set dns-server=1.1.1.1,9.9.9.9 [find gateway=192.168.4.1];\r\n} 
     test-script="" http-codes="" status=up 

 1   name="adguard2" host=192.168.4.25 type=simple interval=5s timeout=10ms 
     up-script=if ([/tool netwatch get [find name="adguard1"] status] = "up") do={\r\n  /ip dhcp-server network set dns-
          server=192.168.4.24,192.168.4.25 [find gateway=192.168.4.1];\r\n}\r\nif ([/tool netwatch get [find name="adguard1"] status] = 
          "down") do={\r\n  /ip dhcp-server network set dns-server=192.168.4.25 [find gateway=192.168.4.1];\r\n} 
     down-script=if ([/tool netwatch get [find name="adguard1"] status] = "up") do={\r\n  /ip dhcp-server network set dns-
            server=192.168.4.25 [find gateway=192.168.4.1];\r\n}\r\nif ([/tool netwatch get [find name="adguard1"] status] = "down") 
            do={\r\n   /ip dhcp-server network set dns-server=1.1.1.1,9.9.9.9 [find gateway=192.168.4.1];\r\n} 
     test-script="" http-codes="" status=up

Dit monitort mijn beide AdGuard Home containers. Als er 1 down gaat past hij de DHCP-scope aan met alleen de resulterende, als ze beide down zijn worden ze vervangen voor 2 externe DNS-servers.

En nee, dit is niet perfect. Bestaande clients met een lopende DHCP-lease hebben geen werkende DNS servers, maar dat is vrij snel op te lossen met een DHCP renew en dat werkt voor ons prima. Uiteindelijk komt het maar een handje vol keren voor dat alles helemaal naar z'n grootje is. Ik heb dit vooral gemaakt zodat mijn vrouw haarzelf internet kan geven op momenten dat er iets fout gaat en ik ben bijvoorbeeld aan het werk.

Interessant! Bedankt voor het attent erop maken. Ik had wel gelezen over Netwatch, maar nog niet in verdiept.

[lolgast]

Er zitten echt veel fantastische functies verscholen in een Mikrotik. Zo heb ik vandaag ein-de-lijk een optie gevonden om betrouwbaar een DHCP-lease om te toveren in een statisch DNS record, welke ook wordt verwijderd als de lease is afgelopen.

Voorheen deed ik dat via een script dat elk uur draaide, maar dat is niet betrouwbaar. Nu hangt het aan de DHCP-server optie waardoor het instant is zodra de lease is vergeven

[lier]

Welke optie is dat, @lolgast ?

[lolgast]

@lier Dit script hangt aan mijn DHCP-server in routerOS

code:

:local DHCPtag
:set DHCPtag "#DHCP"

:if ( [ :len $leaseActIP ] <= 0 ) do={ :error "empty lease address" }

:if ( $leaseBound = 1 ) do=\
{
  :local ttl
  :local domain
  :local hostname
  :local fqdn
  :local leaseId
  :local comment

  /ip dhcp-server
  :set ttl [ get [ find name=$leaseServerName ] lease-time ]
  network 
  :set domain [ get [ find $leaseActIP in address ] domain ]
  
  .. lease
  :set leaseId [ find address=$leaseActIP ]

# Check for multiple active leases for the same IP address. It's weird and it shouldn't be, but just in case.

  :if ( [ :len $leaseId ] != 1) do=\
  {
   :log info "DHCP2DNS: not registering domain name for address $leaseActIP because of multiple active leases for $leaseActIP"
   :error "multiple active leases for $leaseActIP"
  }  

  :set hostname [ get $leaseId host-name ]
  :set comment [ get $leaseId comment ]
  /

  :if ( [ :len $hostname ] <= 0 ) do={ :set hostname $comment }

  :if ( [ :len $hostname ] <= 0 ) do=\
  {
    :log error "DHCP2DNS: not registering domain name for address $leaseActIP because of empty lease host-name or comment"
    :error "empty lease host-name or comment"
  }
  :if ( [ :len $domain ] <= 0 ) do=\
  {
    :log error "DHCP2DNS: not registering domain name for address $leaseActIP because of empty network domain name"
    :error "empty network domain name"
  }

  :set fqdn "$hostname.$domain"
  
  /ip dns static
  :if ( [ :len [ find name=$fqdn and address=$leaseActIP and disabled=no ] ] = 0 ) do=\
  {
    :log info "DHCP2DNS: registering static domain name $fqdn for address $leaseActIP with ttl $ttl"
    add address=$leaseActIP name=$fqdn ttl=$ttl comment=$DHCPtag disabled=no
  } else=\
  {
    :log error "DHCP2DNS: not registering domain name $fqdn for address $leaseActIP because of existing active static DNS entry with this name or address" 
  }
  /
} \
else=\
{
  /ip dns static
  :local dnsDhcpId 
  :set dnsDhcpId [ find address=$leaseActIP and comment=$DHCPtag ]

  :if ( [ :len $dnsDhcpId ] > 0 ) do=\
  {
    :log info "DHCP2DNS: removing static domain name(s) for address $leaseActIP"
    remove $dnsDhcpId
  }
  /
}

Omdat het aan de DHCP-server hangt weet RouterOS direct van de nieuwe of inactieve lease. Zodra een client offline gaat is het DNS record meteen weg. Je zou het script natuurlijk kunnen aanpassen waardoor het record pas verwijderd wordt als de lease is verstreken wat voor bijvoorbeeld uptime monitoring op basis van hostnaam wenselijk is, maar voor mij is dit ruim voldoende

[Jef61]

vandaag mijn RB5009 en 2x hAP-ax2 geupgrade naar 7.15.0
Hierna super onstabiele chromecast, Google home speakers steeds wegvalend L of R kanaal of allebei.

Uiteindelijk alles gedowngrade naar 7.14.3 waarna alle problemen zijn verdwenen.
Op het Mikrotik forum zie ik nu meer klachten hierover.

[EverLast2002]

Jef61 schreef op zaterdag 1 juni 2024 @ 21:55:
vandaag mijn RB5009 en 2x hAP-ax2 geupgrade naar 7.15.0
Hierna super onstabiele chromecast, Google home speakers steeds wegvalend L of R kanaal of allebei.

Uiteindelijk alles gedowngrade naar 7.14.3 waarna alle problemen zijn verdwenen.
Op het Mikrotik forum zie ik nu meer klachten hierover.

Ik wacht tegenwoordig eerst met upgraden, precies met de reden die jij ervaart.
Even aankijken en het forum in de gaten houden.
En ik moet zeggen dat mijn netwerk thuis prima draait met 7.14.3 (router) en 7.13 (AP).
Dan denk ik vaak, waarom zou ik upgraden.

[EmbarrassedBit]

Weet iemand een makkelijke manier om de opslag van een RB750Gr3 uit te breiden?
Ben er nooit mee bezig geweest, maar bij de laatste upgrade geraakte hij in een boot loop, vermoedelijk vanwege de honderden adressen en wireguard peers.

Er zijn vast verschillende manieren, maar ik denk aan iets in de aard van steek een oude USB2-stick van een halve gigabyte in de USB-poort en je bent klaar.

[sjorsjuhmaniac]

EmbarrassedBit schreef op donderdag 13 juni 2024 @ 01:05:
Weet iemand een makkelijke manier om de opslag van een RB750Gr3 uit te breiden?
Ben er nooit mee bezig geweest, maar bij de laatste upgrade geraakte hij in een boot loop, vermoedelijk vanwege de honderden adressen en wireguard peers.

Er zijn vast verschillende manieren, maar ik denk aan iets in de aard van steek een oude USB2-stick van een halve gigabyte in de USB-poort en je bent klaar.

Nooit zelf gedaan maar dit zou moeten werken:
Geluid uit en meeklikken vanaf 8:00
YouTube: How To Increase Memory 32 GB Of MikroTik | Routerboard | RB 750 Gr3 ...

[Oortjes]

Zijn er al tweakers die een L009 hebben in combinatie met een Ziggo 1Gb verbinding?

Ik maak momenteel gebruik van een UniFi router (zo’n kleine vierkante) in combinatie met een losse controller (de witte). Aangezien Ubiquiti deze componenten niet meer update ben ik op zoek naar een nieuwe router. Aangezien ik al meerdere MikroTik componenten in mijn netwerk heb zitten is de leercurve geen probleem.

[lolgast]

@Oortjes Ik weet niet of de L009 gemaakt is om stabiel 1Gbit dicht te trekken, gebaseerd op de cijfers van de test results op de site van Mikrotik

[Me_dusa]

Misschien moet je eens kijken bij de RB5009? Die heeft nergens problemen op gigabit
https://mikrotik.com/product/rb5009ug_s_in#fndtn-testresults

[Yarisken]

Oortjes schreef op woensdag 19 juni 2024 @ 18:21:
Zijn er al tweakers die een L009 hebben in combinatie met een Ziggo 1Gb verbinding?

Ik maak momenteel gebruik van een UniFi router (zo’n kleine vierkante) in combinatie met een losse controller (de witte). Aangezien Ubiquiti deze componenten niet meer update ben ik op zoek naar een nieuwe router. Aangezien ik al meerdere MikroTik componenten in mijn netwerk heb zitten is de leercurve geen probleem.

ik heb daar tijd geleden ook onderzoek naar gedaan. Ergens gelezen dat er max 650Mb/s werd gehaald ook al ging de cpu niet hoger dan 40-50%.
Daarom maar zo zo gelaten.

[prinsvictor]

Goedeavond forum leden,

Ik zit met een uitdaging en ik weet niet hoe ik het voor elkaar kan krijgen. Ik hoop dat jullie mij kunnen helpen.

Ik ben er van bewust dat wat ik wil niet standaard is.
Het volgende is mijn doel:
Ik heb een mikrotik metal 52ac.
Op de lan poort wordt een apparaat aangesloten wat tcp/ip consumeert. Op de wifi komen laptops of iphone om het apparaat te bedienen.
Nu wil ik dat op er wel op de wifi dhcp zit maar niet op de lan poort.

Voor als nog heb ik alles werkend maar zowel op de wifi als op de lan poort zit nu dhcp
Wie kan mij helpen?

Owja, ik ben redelijk nieuw in de wereld van mikrotik en ik heb ook totaal geen ervaring met scrips.

Met vriendelijk groet,
Victor

[wvanommen]

prinsvictor schreef op woensdag 19 juni 2024 @ 23:11:
Goedeavond forum leden,

Ik zit met een uitdaging en ik weet niet hoe ik het voor elkaar kan krijgen. Ik hoop dat jullie mij kunnen helpen.

Ik ben er van bewust dat wat ik wil niet standaard is.
Het volgende is mijn doel:
Ik heb een mikrotik metal 52ac.
Op de lan poort wordt een apparaat aangesloten wat tcp/ip consumeert. Op de wifi komen laptops of iphone om het apparaat te bedienen.
Nu wil ik dat op er wel op de wifi dhcp zit maar niet op de lan poort.

Voor als nog heb ik alles werkend maar zowel op de wifi als op de lan poort zit nu dhcp
Wie kan mij helpen?

Owja, ik ben redelijk nieuw in de wereld van mikrotik en ik heb ook totaal geen ervaring met scrips.

Met vriendelijk groet,
Victor

Dan moet je naar mijn mening de WIFI in een ander VLAN en IP reeks zetten als je LAN. Een DHCP server zit in een subnet, als die hetzelfde is gaat wat jij wilt dus niet werken. Uiteraard moet je dan wel routeren als je vanaf de WIFI dingen op het LAN wil kunnen.

[Thralas]

prinsvictor schreef op woensdag 19 juni 2024 @ 23:11:
Voor als nog heb ik alles werkend maar zowel op de wifi als op de lan poort zit nu dhcp
Wie kan mij helpen?

Dan zul je zowel de WiFi- als ethernetinterface in dezelfde bridge hebben hangen.

Verbind via Winbox via het MAC-adres van de MikroTik (dwz. dubbelklikken op het MAC-adres bij de autodiscovery van Winbox) - anders loop je het risico dat je verbinding halverwege wegvalt. En zet Safe Mode aan.

Oplossing is vervolgens simpel: haal ze uit de bridge en verhuis alles dat nu naar de bridge verwijst (IP address, DHCP server) naar de WiFi interface. Ken vervolgens ook een IP toe aan de ethernet interface.

Kom je er dan nog niet uit? Post dan je config, dan hoeven we niet te gissen.

[prinsvictor]

Thnx voor je snelle reactie!
Ik ga het morgen proberen.

Misschien een stomme vraag.
Als ik de lan en de wifi uit de bridge haal, wordt er dan nog wel data door gestuurd van wifi naar lan en andersom?

Met vriendelijke groet,
Victor

Thralas schreef op woensdag 19 juni 2024 @ 23:59:
[...]


Dan zul je zowel de WiFi- als ethernetinterface in dezelfde bridge hebben hangen.

Verbind via Winbox via het MAC-adres van de MikroTik (dwz. dubbelklikken op het MAC-adres bij de autodiscovery van Winbox) - anders loop je het risico dat je verbinding halverwege wegvalt. En zet Safe Mode aan.

Oplossing is vervolgens simpel: haal ze uit de bridge en verhuis alles dat nu naar de bridge verwijst (IP address, DHCP server) naar de WiFi interface. Ken vervolgens ook een IP toe aan de ethernet interface.

Kom je er dan nog niet uit? Post dan je config, dan hoeven we niet te gissen.

[lier]

prinsvictor schreef op donderdag 20 juni 2024 @ 00:07:
Als ik de lan en de wifi uit de bridge haal, wordt er dan nog wel data door gestuurd van wifi naar lan en andersom?

Zou je exact aan kunnen geven wat waarmee moet communiceren? En/of een plaatje van wat je wil bereiken? Er zijn meerdere oplossingen, voor mij is de waarom vraag nog niet beantwoord.

[babbelbox]

Thralas schreef op woensdag 19 juni 2024 @ 23:59:
[...]


Dan zul je zowel de WiFi- als ethernetinterface in dezelfde bridge hebben hangen.

Verbind via Winbox via het MAC-adres van de MikroTik (dwz. dubbelklikken op het MAC-adres bij de autodiscovery van Winbox) - anders loop je het risico dat je verbinding halverwege wegvalt. En zet Safe Mode aan.

Oplossing is vervolgens simpel: haal ze uit de bridge en verhuis alles dat nu naar de bridge verwijst (IP address, DHCP server) naar de WiFi interface. Ken vervolgens ook een IP toe aan de ethernet interface.

Kom je er dan nog niet uit? Post dan je config, dan hoeven we niet te gissen.

Hiermee separeer je de ethernet en wifi interface volledig. Alles van de bridge naar de wifi verplaatsen (IP, dhcp, etc) laat alles op wifi functioneren, maar de lan aangesloten devices zijn dan niet meer bereikbaar. Zomaar een IP adres aan de lan interface hangen is niet persé de juiste oplossing. Kan wel, maar dat zou dan in een ander subnet moeten zijn en dan komt er routing om de hoek kijken (en evt. firewalling). Mogelijk dat de apparatuur op L2 wenst te communiceren.
Ik heb er geen ervaring mee maar zouden bridge filter rules geen oplossing zijn? Alle DHCP pakketten op de bridge, komend van de lan interface, droppen?

[Thralas]

babbelbox schreef op donderdag 20 juni 2024 @ 10:13:
Kan wel, maar dat zou dan in een ander subnet moeten zijn en dan komt er routing om de hoek kijken (en evt. firewalling). Mogelijk dat de apparatuur op L2 wenst te communiceren.

Natuurlijk in een ander subnet, anders routeert het niet. Dat had ik erbij kunnen zetten.

Vraagsteller was (zoals reeds opgemerkt door anderen) niet bijzonder scheutig in het geven van details, de meeste appartuur werkt natuurlijk ook buiten hetzelfde broadcastddomein.

Maargoed, je kunt je ook afvragen waarom DHCP een probleem is; als je niet wilt DHCP'en dan configureer je het meestal statisch - en dan heb je ook geen 'last' van de aanwezigheid van een DHCP server.

Misschien moet @prinsvictor toch noch maar eens verduidelijken wat voor apparatuur het betreft, hoe het communiceert en waarom DHCP een probleem is...

Ik heb er geen ervaring mee maar zouden bridge filter rules geen oplossing zijn? Alle DHCP pakketten op de bridge, komend van de lan interface, droppen?

Dat zou ook wel kunnen werken ja.

[prinsvictor]

dank allen voor de reacties.

in de volgende situatie gebruik ik de AP:
op het werk als lichtman hebben wij een systeem om het licht aan te sturen. denk daarbij aan lichttafels, node's (converter van sACN naar analoge DMX signaal om de lampen aan te sturen), NPU's . dit allemaal communiceert met elkaar door middel van het sACN protocol. dit is een TCP/ip protocol.
al die apparaten geven wij een statisch IP adres. ene show die wij draaien hebben we meer lichtafels omdat de band die speelt zijn eigen tafel in het systeem prikt. die krijgt van ons een statisch ip adres zodat het niet conflict met ons systeem.

elke show is anders. ik werk vaak met een verdeling van vaste IP adressen om het overzicht te houden en eventuele errors er uit te halen.
de verdeling is als volgt:
vanaf 192.168.1.5 tot en met 192.168.1.50 zijn voor telefoons/laptops via wifi (dhcp server stuurt niet boven de 50 uit)
vanaf 192.168.1.51 tot en met 192.168.1.100 statisch ip voor laptop's bedraad
vanaf 192.168.1.101 tot en met 192.168.1.150 statisch ip voor lichttafels bedraad
vanaf 192.168.1.151 tot en met 192.168.1.200 statisch ip voor NPU bedraad
vanaf 192.168.1.201 tot en met 192.168.1.250 statisch ip voor Node's bedraad

nu komt mijn AP om de hoek.

de AP hang ik in het systeem tijdens de opbouw van de licht set. mijn telefoon,ipad,laptop koppel ik met de wifi van mijn AP om de lichtset te testen vanaf het podium. na het testen gaat de AP er dan ook weer tussen uit.
het is fijn om dhcp op de wifi te hebben zodat ik niet elke keer de ip gegevens in hoef te stellen. ook als ik het testen overdraag aan een collega met zijn telefoon.

het systeem moet kunnen door draaien na dat mijn AP er tussen uit is. dus ook als de DHCP server er tussen uit is.
zeker als de stroom er af is geweest en het systeem opnieuw is opgestart de apparaten niet afhankelijk zijn van de dhcp server. vandaar dat de apparaten in het systeem een vast ip adres hebben.

Thralas schreef op donderdag 20 juni 2024 @ 19:40:
[...]


Natuurlijk in een ander subnet, anders routeert het niet. Dat had ik erbij kunnen zetten.

Vraagsteller was (zoals reeds opgemerkt door anderen) niet bijzonder scheutig in het geven van details, de meeste appartuur werkt natuurlijk ook buiten hetzelfde broadcastddomein.

Maargoed, je kunt je ook afvragen waarom DHCP een probleem is; als je niet wilt DHCP'en dan configureer je het meestal statisch - en dan heb je ook geen 'last' van de aanwezigheid van een DHCP server.

Misschien moet @prinsvictor toch noch maar eens verduidelijken wat voor apparatuur het betreft, hoe het communiceert en waarom DHCP een probleem is...


[...]


Dat zou ook wel kunnen werken ja.

[sjorsjuhmaniac]

prinsvictor schreef op vrijdag 21 juni 2024 @ 01:07:
dank allen voor de reacties.

in de volgende situatie gebruik ik de AP:
op het werk als lichtman hebben wij een systeem om het licht aan te sturen. denk daarbij aan lichttafels, node's (converter van sACN naar analoge DMX signaal om de lampen aan te sturen), NPU's . dit allemaal communiceert met elkaar door middel van het sACN protocol. dit is een TCP/ip protocol.
al die apparaten geven wij een statisch IP adres. ene show die wij draaien hebben we meer lichtafels omdat de band die speelt zijn eigen tafel in het systeem prikt. die krijgt van ons een statisch ip adres zodat het niet conflict met ons systeem.

elke show is anders. ik werk vaak met een verdeling van vaste IP adressen om het overzicht te houden en eventuele errors er uit te halen.
de verdeling is als volgt:
vanaf 192.168.1.5 tot en met 192.168.1.50 zijn voor telefoons/laptops via wifi (dhcp server stuurt niet boven de 50 uit)
vanaf 192.168.1.51 tot en met 192.168.1.100 statisch ip voor laptop's bedraad
vanaf 192.168.1.101 tot en met 192.168.1.150 statisch ip voor lichttafels bedraad
vanaf 192.168.1.151 tot en met 192.168.1.200 statisch ip voor NPU bedraad
vanaf 192.168.1.201 tot en met 192.168.1.250 statisch ip voor Node's bedraad

nu komt mijn AP om de hoek.

de AP hang ik in het systeem tijdens de opbouw van de licht set. mijn telefoon,ipad,laptop koppel ik met de wifi van mijn AP om de lichtset te testen vanaf het podium. na het testen gaat de AP er dan ook weer tussen uit.
het is fijn om dhcp op de wifi te hebben zodat ik niet elke keer de ip gegevens in hoef te stellen. ook als ik het testen overdraag aan een collega met zijn telefoon.

het systeem moet kunnen door draaien na dat mijn AP er tussen uit is. dus ook als de DHCP server er tussen uit is.
zeker als de stroom er af is geweest en het systeem opnieuw is opgestart de apparaten niet afhankelijk zijn van de dhcp server. vandaar dat de apparaten in het systeem een vast ip adres hebben.


[...]

Ik kan het vanavond pas testen maar is het zo simpel als de interface van de dhcp server van de bridge naar wifi te veranderen?

[Me_dusa]

Je kunt de address-pool=static-only zetten voor de dhcp server, dan krijgen alleen bekende clients met een reservering een lease/ip?

[babbelbox]

sjorsjuhmaniac schreef op vrijdag 21 juni 2024 @ 07:07:
[...]

Ik kan het vanavond pas testen maar is het zo simpel als de interface van de dhcp server van de bridge naar wifi te veranderen?

Dat gaat niet. Je zal een waarschuwing krijgen dat je de DHCP server niet aan een slave (bridge port) mag koppelen

Me_dusa schreef op vrijdag 21 juni 2024 @ 07:39:
Je kunt de address-pool=static-only zetten voor de dhcp server, dan krijgen alleen bekende clients met een reservering een lease/ip?

Maar dan zal je vooraf dus clients moeten toevoegen en dus de MAC adressen weten.... Niet echt flexibel met wisselende devices.

[ Voor 33% gewijzigd door babbelbox op 21-06-2024 15:33 ]

[k-janssen]

prinsvictor schreef op vrijdag 21 juni 2024 @ 01:07:
............
nu komt mijn AP om de hoek.

de AP hang ik in het systeem tijdens de opbouw van de licht set. mijn telefoon,ipad,laptop koppel ik met de wifi van mijn AP om de lichtset te testen vanaf het podium. na het testen gaat de AP er dan ook weer tussen uit.
het is fijn om dhcp op de wifi te hebben zodat ik niet elke keer de ip gegevens in hoef te stellen. ook als ik het testen overdraag aan een collega met zijn telefoon.

het systeem moet kunnen door draaien na dat mijn AP er tussen uit is. dus ook als de DHCP server er tussen uit is.
zeker als de stroom er af is geweest en het systeem opnieuw is opgestart de apparaten niet afhankelijk zijn van de dhcp server. vandaar dat de apparaten in het systeem een vast ip adres hebben.


[...]

Waarom niet een AP zo configureren dat de wireless zijde een soort "LAN" Vlan is ( in consumenten opzicht) waarin je DHCP uitgeeft en de bekabelde zijde als "WAN" vlan (in jouw fixed IP reeks voor de apparatuur) met een eigen vast ip waarachter al jouw spul ge-NAT wordt?

Ik moet zeggen dat ik de Mikrotik AP's niet ken maar het merk kennende (alles de volledige feature set) verwacht ik dat een simpele NAT actie moet kunnen.

[pimlie]

@prinsvictor Is het niet het makkelijkst om op de ethernet port van de Metal de uitgaande udp porten 67 & 68 te blokkeren (ie de output chain)? Dan kan je de dhcp server gewoon op de bridge draaien.

Omdat verkeer tussen de ethernet port en het wifi sowieso via de cpu loopt, maakt het in dit geval niet uit of je hardware offloading aan of uit heb staan als je de ehternet port aan de bridge toevoegt.

[FrankHe]

Er eindelijk toe gekomen om de WireGuard-verbinding op te zetten tussen twee stuks uitvoering: MikroTik hAP ax lite in mijn lokale netwerk. Een snelheid van een goede 200 Mbps is wat ik behaal. Dat is gevoelsmatig best netjes voor twee apparaten die bij elkaar pakweg EUR 100 kosten, helemaal niet gek!

Langzaamaan begin ik kennis te maken met het MikroTik ecosysteem en RouterOS 7.15.1 in het bijzonder. De algemene indruk is dat overal goed over is nagedacht, dat zit hem in veel kleine dingen. Wat ik bijvoorbeeld heel handig vind is dat bij de ping om de 20 regels een samenvatting wordt getoond van de packet-loss en de Round Trip Time, min, avg en max. Het is iets kleins maar dit soort dingen maken het leven wel gemakkelijker.

Het is wellicht geen high-end apparatuur die zich kan meten met de grote jongens maar wat betreft functionaliteit doet het er voor mijn gevoel niet voor onder. De firewall en routes voelt allemaal erg krachtig aan.

Nu de apparaten verder inrichten en binnenkort op lokatie plaatsen.

[peterstr]

lolgast schreef op woensdag 19 juni 2024 @ 19:22:
@Oortjes Ik weet niet of de L009 gemaakt is om stabiel 1Gbit dicht te trekken, gebaseerd op de cijfers van de test results op de site van Mikrotik

Ik heb een RB4011 die zonder problemen 1Gb/s up en down doet. De RB5009 is nog een slag beter en zal de 1Gb/s uip en down ook met gemak halen.

[semi-passief]

Hi Mikrotikkers,

mijn CRS317 draait op 7.15.1, hier wil ik een Zaram ZXOS1NPI module voor XGS-PON in gebruiken. De module wordt alleen niet herkend, krijgt geen 'module present' vinkje en alle SFP info blijft leeg.
De CRS gaat wel 2W meer stroom verbruiken, en de module wordt ook gewoon warm.
Als ik de module in een Linux bak met Intel X710 kaart stop kan ik de module wel uitlezen met ethtool (maar is unsupported). In andere draadjes (m.b.t. Delta/KPN) zijn er diverse mensen met CCR's en RB's die wel werken).

Iemand enig idee waar dit aan kan liggen?

[FrankHe]

Zelf geen ervaring mee maar het zou zomaar kunnen dat de firmware niet (voldoende) compatible is. Maar zoals gezegd weet ik er verder te weinig van af.

[lier]

Staat er nog iets bruikbaars in de logging, @semi-passief? Eventueel debug logging aanzetten.

[ernstoud]

semi-passief schreef op zondag 30 juni 2024 @ 17:01:
Hi Mikrotikkers,

mijn CRS317 draait op 7.15.1, hier wil ik een Zaram ZXOS1NPI module voor XGS-PON in gebruiken. De module wordt alleen niet herkend, krijgt geen 'module present' vinkje en alle SFP info blijft leeg.
De CRS gaat wel 2W meer stroom verbruiken, en de module wordt ook gewoon warm.
Als ik de module in een Linux bak met Intel X710 kaart stop kan ik de module wel uitlezen met ethtool (maar is unsupported). In andere draadjes (m.b.t. Delta/KPN) zijn er diverse mensen met CCR's en RB's die wel werken).

Iemand enig idee waar dit aan kan liggen?

Binnen een dag perfecte support vanuit Zaram in Korea. Bij gebruik van RouterOS > 7.11.3 :

• Supported on: RB4011, RB5009, CCR2004. CCR2116, CCR2216, CRS305-1G-4S+IN, CRS312-4C+8XG, CRS326-24S+2Q, CRS354-48G-4S+2Q+, CRS354-48P-4S+2Q+
• Not supported on: CCRS317-1G-16S+RM

Dus @semi-passief heeft net pech met een CCRS317.

Er is een model van deze Zaram SFP (de EPI i.p.v. NPI) die wel zou moeten werken. Gaan we proberen. Stay tuned.

Edit: Zaram heeft Mikrotik voorzien van testexemplaren en er is een support ticket geopend. We wachten even op de resultaten van de test door Mikrotik.

[ Voor 6% gewijzigd door ernstoud op 01-07-2024 17:27 ]

[semi-passief]

Bedankt voor alle reacties en hulp. Ook vanuit Mikrotik heb ik gehoord dat dit een bekend probleem is en dat ze samen met Zaram werken aan een oplossing. Een downgrade naar 7.11.3 heeft er nu voor gezorgd dat de module weer werkt.

[kaaas]

Deze kende ik nog niet.
Er zit nu een dns blocklist feature in routeros.
https://help.mikrotik.com/docs/display/ROS/DNS#DNS-Adlist
YouTube: Why Pi-hole when you can RouterOS adlist?

[EverLast2002]

kaaas schreef op woensdag 3 juli 2024 @ 14:03:
Deze kende ik nog niet.
Er zit nu een dns blocklist feature in routeros.
https://help.mikrotik.com/docs/display/ROS/DNS#DNS-Adlist
YouTube: Why Pi-hole when you can RouterOS adlist?

Opzoeken en whitelisten van een domein lijkt me lastiger dan met pi-hole.
Wel gaaf dat het in (de meest recente) RouterOS versie zit.

[Boeshnl]

Zo iemand toevallig een blik kunnen werpen op mijn probleem?
Ik zit bij freedom internet en heb zowel ipv4 als ipv6.
Uiteraard ipv4 werkend gekregen alleen ipv6 wil nog niet meewerken.

Krijg dus netjes een ipv6 prefix binnen alleen ik zie geen ipv6 adres als ik bij whatismyip.com ga kijken.

[nescafe]

@Boeshnl heb je bij IPv6 > Addresses een address aangemaakt (uit de pool) en Advertise aangevinkt?
Is je IPv6-firewall gevuld (just to be sure).
Kun je vanaf de MT wel pingen naar bijv. 2600:: ?

Je kunt de DHCPV6 PD Pool wel uit je PPP Profile wissen btw.

[Boeshnl]

DHCPV6 heb ik nu ook verwijderd uit het PPP profiel
Ping werkt wel.
Adres was al aangemaakt.
Firewall is default. Zit namelijk op versie 7.15.3

Is een reboot misschien nodig of moet de PPPoE verbinding opnieuw worden opgezet?

[nescafe]

@Boeshnl je moet het te adverteren adres onder IPv6 > Addresses binden aan je LAN (Lan3?), niet je PPPoE.

Voor de zekerheid, Lan3 zit ook in je interface list LAN? Dan hoef je in de firewall niets aan te passen verder.

Reboot is voor MikroTik nauwelijks nodig

[Boeshnl]

Lan3 zit in de list LAN inderdaad. En onder Lan3 zitten meerdere subinterfaces (vlan interface)

Tot heden zie ik nog niks als public IP. Misschien even geduld hebben.

[ Voor 6% gewijzigd door Boeshnl op 09-08-2024 21:00 ]

[nescafe]

@Boeshnl ok, op ieder vlan waar je IPv6-connectivity wilt hebben, moet je een IPv6 toevoegen met advertise=yes (en toevoegen aan interface list LAN).

Helaas gaat de allocatie van IPv6-adressen uit de pool bij meerdere segmenten wat willekeurig - ik zou in dat geval de adressen handmatig ingeven en niet 'from-pool' zodat deze gelijk blijven bij configuratiewijzigingen en reboots.

[Boeshnl]

Eigelijk best logisch dat ik ook een ipv6 adres nodig heb op de interface. Dit is ook nodig voor ipv4.

Ik was er bijna zelf uitgekomen alleen ik denk dat ik niet zo snel op de interface list was gekomen.
Ook niet vergeten dat ik in adguard ook een ipv6 upstream server moet opgeven

Heel erg bedankt voor de snelle hulp. Dit geeft weer stof tot nadeken hoe ipv6 werkt in het algemeen en op de Mikrotik.

[nescafe]

Als je die interface list eerder niet hebt gebruikt, heb je vermoedelijk je IPv4-firewall van allow-regels moeten voorzien voor je vlans. Die kunnen nu weg.

[Boeshnl]

Ik loop voor mijn idee nog tegen wat bijzonders aan.
Het interface IP adres kan ik niet pingen. Ik ben wel gewend dat dit kan. En een ping vanuit de mikrotik krijg ik wel een reply.

Wat waarschijnlijk niks te maken heeft met de mikrotik is dat ik 1 van de twee ipv6 adressen kan pingen en de anders dus niet vanaf mijn PC. (nu.nl en tweakers.net)

[nescafe]

Die ::[interface identifier]-adressen zijn wat vreemd. Wat zegt PS daarover (origin en state)?

PS: Get-NetIPAddress -AddressFamily IPv6 | ft

Daarnaast heb je fd03::-adressen en fd1b::-adressen.. zit er misschien nog een device te adverteren?
Je zou de adressen kunnen verwijderen (PS: Remove-NetIPAddress [ip]) of even herstarten en zien of ze terugkomen, zo ja kun je wellicht op de MT of op de pc een packet capture maken om de herkomst te onderzoeken.

[Boeshnl]

Was iets te enthousiast en heb eerst de ipv6 adressen verwijderd Zijn niet terug gekomen.
Hierbij de packet capture van mijn PC en MT. Heb voor beide een ping gedaan naar nu.nl.
Kreeg voor beide IPv6 adressen deze keer geen reply.

[ Voor 3% gewijzigd door Boeshnl op 11-08-2024 18:05 ]

[nescafe]

Vreemd, die gebruikt zo te zien wel het goede source ip.

Misschien je connection tracking table op de MT even flushen? (Onder IPv6 firewall connections, select all, delete)

[Boeshnl]

Heeft helaas niet geholpen.
Hierbij nog een extra screenshot van wat instellingen.
Wat ik bijzonder vind is wanneer ik ga naar whatismyip.com ik wel te zien krijg wat mijn public IP is (wel mijn Temporary IPv6 Address)

[ Voor 38% gewijzigd door Boeshnl op 11-08-2024 18:49 ]

[Boeshnl]

Probleem gevonden. User error uiteraard.
Het helpt als je subnet invoerd als 1111:1111:1111:2::/64 ipv 1111:1111:1111::2/64.
Alle 1 uiteraard als voorbeeld.

[Boeshnl]

Echter krijg ik nu van ieder /64 netwerk een ipadres . Het werkt momenteel dus dit is een probleem voor later.
Dit houd mij lekker bezig. Heel erg bedankt voor je hulp.

[sjorsjuhmaniac]

Kan iemand my tippen waar te beginnen?

Ik heb twee MT routers. Een staat thuis, de ander gebruik ik onderweg. Ik wil de onderweg-MT als wireguard-road-warrior configureren naar huis toe. Ik kan geen site-to-site WG instellen omdat ik geen poorten open kan zetten op de router van de inet aansluiting (de router van het hotel, niet mijn MT) ondwerweg.

Ik heb gezocht via zoekmachines en in dit topic maar ik kan niet vinden om een MT als "client" te configureren.

[Shinji]

Gewoon configureren, hij zal dan vanuit één kant niet kunnen initiëren (je server kant) maar het werkt verder wel.

[sjorsjuhmaniac]

ooh shit, is het werkelijk zo simpel?

[Shinji]

Je hebt aan de server kant alleen geen endpoint.

[sjorsjuhmaniac]

Shinji schreef op vrijdag 16 augustus 2024 @ 18:25:
Je hebt aan de server kant alleen geen endpoint.

aah top. dat maakt niet zo veel uit. Desnoods doe ik iets van een keep-alive vanuit de road-warrior kant mocht ik dat ooit nodig hebben.

Ik ga het gelijk configureren.

[pimlie]

sjorsjuhmaniac schreef op vrijdag 16 augustus 2024 @ 17:58:
de router van het hotel

Alvast een ter info om mogelijke teleurstellingen te voorkomen, sommige hotels hebben strikte aanmeldeisen waardoor het niet altijd even makkelijk (of gewoon niet mogelijk) is om een verbinding te authenticeren via ip forwarding op een road warrior router. Mocht je dus per se altijd een internet verbinding willen kunnen hebben zou ik zeker zorgen voor een vpn op je laptop/telefoon zelf.

[sjorsjuhmaniac]

pimlie schreef op zaterdag 17 augustus 2024 @ 11:12:
[...]


Alvast een ter info om mogelijke teleurstellingen te voorkomen, sommige hotels hebben strikte aanmeldeisen waardoor het niet altijd even makkelijk (of gewoon niet mogelijk) is om een verbinding te authenticeren via ip forwarding op een road warrior router. Mocht je dus per se altijd een internet verbinding willen kunnen hebben zou ik zeker zorgen voor een vpn op je laptop/telefoon zelf.

Thanks, snap ik. Ik kan alles nu al vanaf de laptop. Maar ik ben lui en alles via een eigen wifi is veel makkelijker. Het is ook voor een deel spelen/hobby

[FrankHe]

@sjorsjuhmaniac In de MikroTik router thuis heb ik de WireGuard Peer voor mijn mobiele router ingesteld op "Responder". Of te wel, mijn mobiele router is de "client" die de verbinding initieert en de vaste router thuis is de "server" die de verbinding in ontvangst neemt. Werkt prima mits je eerst de horde van de splash-page van het hotel hebt genomen.

[nescafe]

@sjorsjuhmaniac check ook even IP > Cloud > Back To Home - daar kun je heel snel / eenvoudig een WireGuard RoadWarrior-scenario opzetten (ook zonder de app)

https://help.mikrotik.com/docs/display/ROS/Back+To+Home

[sjorsjuhmaniac]

Thanks guys. Had na @Shinji al zitten prutsen maar kwam er pas laat achter dat op de RW er niet automatisch een route aangemaakt was. Dit was wel gebeurd op de thuis router. Anyway, ben toen gaan slapen en nog geen tijd gehad om het weer eens te proberen. Van t weekend moet dat wel lukken.

Ps. Wat is een handige manier om te controleren of de 2 met elkaar verbonden zijn? Ik herkende niet iets als een cliënt list oid, waarschijnlijk ook omdat het stateless is? Anyway. Na wat prutsen met logging dus gevonden dat ik geen route had.

[ Voor 29% gewijzigd door sjorsjuhmaniac op 23-08-2024 18:42 ]

[FrankHe]

@nescafe Het idee van een eigen MikroTik router achter een statisch IP-adres is dat je juist geen 'cloud relay' gedoe nodig hebt. Maar het kan ook zijn dat ik het concept van de 'wolken' ondersteuning niet juist heb begrepen.

[nescafe]

@FrankHe cloud relay is één van de onderdelen van BTH. Maar ik benoem het (met name) omdat de configuratie zéér eenvoudig is:

code:

/ip cloud set back-to-home-vpn=enabled ddns-enabled=yes
/ip cloud back-to-home-users add allow-lan=yes name=bth-user

Het resultaat is een combinatie van configuratie-entries:

• WireGuard-interface
• WireGuard-peer(s)
• WireGuard interface in interface list LAN
• IPv4-adres + route
• IPv6-prefix + route
• IP firewall WireGuard UDP-entry
• IP firewall srcnat/masquerade-entry
• IP firewall entries voor wel/geen LAN-access

En daarbij kant-en-klare WireGuard-configs zonder dat je client properties hoeft in te instellen.

Blijkbaar is @sjorsjuhmaniac een route vergeten, hoewel die automatisch aangemaakt zou moeten worden als je een IP-adres op de interface plaatst, dus ik vermoed dat er geen gateway-ip op de interface is geplaatst (en dat is eigenlijk ook overbodig).. maar met BTH heb je daar dus minder rompslomp mee en dat strookt weer beter met de "ik ben lui"-uitspraak van @sjorsjuhmaniac

[sjorsjuhmaniac]

@nescafe spot on: ik had idd geen IP op de wg interface van de RW gezet. De manual doet dit wel en ik het op een of andere manier die stap overgeslagen. Wat mij wel opvalt is dat de (zoiezo verwarrende voorbeeld ip's) van de manual nogal vreemd zijn voor de interface: 10.255.255.2. Ik krijg het met geen mogelijkheid werkend met die IP's terwijl de allowed ip's op 10.0.101.0/24 staan. Als ik mijn RW wg interface ip gelijk stel aan het allowed ip van de peer config op de home MT heb ik wel een successfull handshake.


@FrankHe @nescafe

Ik heb het bijna werkend. Ik heb een handshake en remote IP die ik in de peer tabel van de home MT router zie. Ik zie in de RW MT router ook 'dezelfde' laatste handshake. so far so good.

Iets gaat er echter in routing nog niet goed, ik kan geen lan ip's van home benaderen.

ik heb historisch gezien altijd vpn-ips in een ander subnet hangen. Ik vind dit prettig omdat het heel duidelijk te herkennen is in iedere vorm van logging of debugging. Zo heb ik er ook voor gekozen om 'alles' wat met wg te maken heeft in een ander subnet te hangen. In mijn geval is mijn home lan x.x.88.x en wg zit in x.x.80.x.
Met de juiste route werkt deze setup met een wg client op een mobiele telefoon prima, ik kan op de mobiele telefoon mijn lan benaderen en ook via de home MT het internet op.

Nu de RW MT;

• Lan subnet op RW MT is x.x.99.x.
• WG interface heeft x.x.80.11 als ip gekregen, in het WG subnet van de home MT.
• WG peer connectie heeft allowed ip's 0.0.0.0/0, dit zou ALLE data die op de interface komt (dmv de juiste routes) moeten accepteren. (dit werkt op de mobiele telefoon client)
• Route heeft een entry voor x.x.80.x/24 via de wg interface, automagisch toen ik de interface een ip had toegewezen
• Handmatig een route toegevoegd voor x.x.88.x/24 via de wg interface met de verwachting dat ik dan het lan op de home MT kan benaderen.

Ik zie wel wat data over de tunnel gaan, wordt wat data weergegeven op de home MT in het peer overzicht, maar ik kan geen x.x.88.x of internet webpage benaderen.
Packet sniffing op de home MT vertelde me ook niet veel: alle source ip's zijn die van de home router, kan niet specifiek zien of/welke pakketjes van de RW MT de home MT bereiken.
Ik heb zelfs een route op de home MT toegevoegd met de lan range van de RW MT, dus route x.x.99.x/24 via HOME_MT_WG_IFACE. Maar dat hielp niet, had ik eigenlijk ook niet verwacht.

Nog even verder puzzelen dus

[FrankHe]

sjorsjuhmaniac schreef op zaterdag 24 augustus 2024 @ 14:21:
@nescafe spot on: ik had idd geen IP op de wg interface van de RW gezet. De manual doet dit wel en ik het op een of andere manier die stap overgeslagen. Wat mij wel opvalt is dat de (zoiezo verwarrende voorbeeld ip's) van de manual nogal vreemd zijn voor de interface: 10.255.255.2. Ik krijg het met geen mogelijkheid werkend met die IP's terwijl de allowed ip's op 10.0.101.0/24 staan. Als ik mijn RW wg interface ip gelijk stel aan het allowed ip van de peer config op de home MT heb ik wel een successfull handshake.


@FrankHe @nescafe

Ik heb het bijna werkend. Ik heb een handshake en remote IP die ik in de peer tabel van de home MT router zie. Ik zie in de RW MT router ook 'dezelfde' laatste handshake. so far so good.

Iets gaat er echter in routing nog niet goed, ik kan geen lan ip's van home benaderen.

ik heb historisch gezien altijd vpn-ips in een ander subnet hangen. Ik vind dit prettig omdat het heel duidelijk te herkennen is in iedere vorm van logging of debugging. Zo heb ik er ook voor gekozen om 'alles' wat met wg te maken heeft in een ander subnet te hangen. In mijn geval is mijn home lan x.x.88.x en wg zit in x.x.80.x.
Met de juiste route werkt deze setup met een wg client op een mobiele telefoon prima, ik kan op de mobiele telefoon mijn lan benaderen en ook via de home MT het internet op.

Nu de RW MT;

• Lan subnet op RW MT is x.x.99.x.
• WG interface heeft x.x.80.11 als ip gekregen, in het WG subnet van de home MT.
• WG peer connectie heeft allowed ip's 0.0.0.0/0, dit zou ALLE data die op de interface komt (dmv de juiste routes) moeten accepteren. (dit werkt op de mobiele telefoon client)
• Route heeft een entry voor x.x.80.x/24 via de wg interface, automagisch toen ik de interface een ip had toegewezen
• Handmatig een route toegevoegd voor x.x.88.x/24 via de wg interface met de verwachting dat ik dan het lan op de home MT kan benaderen.

Ik zie wel wat data over de tunnel gaan, wordt wat data weergegeven op de home MT in het peer overzicht, maar ik kan geen x.x.88.x of internet webpage benaderen.
Packet sniffing op de home MT vertelde me ook niet veel: alle source ip's zijn die van de home router, kan niet specifiek zien of/welke pakketjes van de RW MT de home MT bereiken.
Ik heb zelfs een route op de home MT toegevoegd met de lan range van de RW MT, dus route x.x.99.x/24 via HOME_MT_WG_IFACE. Maar dat hielp niet, had ik eigenlijk ook niet verwacht.

Nog even verder puzzelen dus

Bij mij heb ik een ip firewall filter rule gemaakt die het verkeer vanaf de wireguard interface toestaat.

Korte versie:

code:

# ip firewall filter add chain=input action=accept in-interface=wireguard1

Zelf heb ik deze nog wat meer specifiek gemaakt op gebied van protocol en een src-address-list. Ik ben ook nog aan het leren en nog groen achter de oren wat betreft MikroTik.

[lier]

Net als @FrankHe heb ik ook gekozen voor het toevoegen van (meerdere) filter rules. Daardoor kan ik alle netwerken bereiken die ik beheer, ook als ik op vakantie ben (met mijn travel router).

Sowieso is een goede aanpak van de firewall om alles expliciet toe te staan en de rest te droppen.

[sjorsjuhmaniac]

FrankHe schreef op zaterdag 24 augustus 2024 @ 16:32:
[...]

Bij mij heb ik een ip firewall filter rule gemaakt die het verkeer vanaf de wireguard interface toestaat.

Korte versie:

code:

# ip firewall filter add chain=input action=accept in-interface=wireguard1

Zelf heb ik deze nog wat meer specifiek gemaakt op gebied van protocol en een src-address-list. Ik ben ook nog aan het leren en nog groen achter de oren wat betreft MikroTik.

Thanks. Die heb ik ook, alleen dan gefilterd op subnet.


Ik kan vanaf de RW MT de tools->ping gebruiken en dan kan ik mijn home lan pingen. Dat werk dus. Probleem lijkt ergens bij/tussen mijn laptop ->wifi-> RW MT te zitten.

[lier]

Tip: zet (even) de logging aan op de verschillende drop rules op de forward chain. Althans, ik ga ervan uit dat het verkeer daar geblokt wordt.

[sjorsjuhmaniac]

ik kijk nu eerst naar de packet counters. om te zien of het uberhaupt wel voorbij komt. Maar goed idee om die er even bij te zetten.

[sjorsjuhmaniac]

geen packets die de drop rules raken. counters blijven 0.

Van RW MT pingen naar home lan lukt alleen als ik op de wireguard interface ping. Gebruik ik bv wlan of the bridge zelf dan faalt de ping ook. In de RW MT gaat er iets met de routing niet goed.

[sjorsjuhmaniac]

had het RW MT lan subnet niet ingevuld in de allowed-ip's bij de peer config op de home MT

ik kan van lan naar lan pingen over de tunnel

Volgende stap is om de routing aan te passen zodat al het verkeer van de RW over de tunnel naar huis gaat. Eerst wat eten

[ Voor 29% gewijzigd door sjorsjuhmaniac op 24-08-2024 19:17 ]

[Wolf87]

Hoe gaan jullie om met captive portals waar je of de voorwaarden moet accepteren of in moet loggen om gebruik te maken van internet?

[sjorsjuhmaniac]

Wolf87 schreef op zaterdag 24 augustus 2024 @ 19:25:
Hoe gaan jullie om met captive portals waar je of de voorwaarden moet accepteren of in moet loggen om gebruik te maken van internet?

ik ga er naartoe op mn laptop en klik er doorheen. als ik op de laptop eenmaal op inet ben clone ik de mac van laptop naar de wan interface van de MT. Beetje omslachtig maar werkt tot nu toe goed.

[Jazco2nd]

pimlie schreef op zaterdag 17 augustus 2024 @ 11:12:
[...]


Alvast een ter info om mogelijke teleurstellingen te voorkomen, sommige hotels hebben strikte aanmeldeisen waardoor het niet altijd even makkelijk (of gewoon niet mogelijk) is om een verbinding te authenticeren via ip forwarding op een road warrior router. Mocht je dus per se altijd een internet verbinding willen kunnen hebben zou ik zeker zorgen voor een vpn op je laptop/telefoon zelf.

Kwestie van de VPN even uit togglen, authenticeren en weer aantogglen. Op Android heb je natuurlijk de WG-Tunnel app die automatisch VPN aantoggled als je je trusted Wifi verlaat en weer uitzet als je thuis bent. Die voegt ook een notificatie toggle toe, om tussendoor handmatig te togglen.

Zo gebruik ik het zelfs als ik ff door het filter van Adguard Home wil

[FrankHe]

sjorsjuhmaniac schreef op zaterdag 24 augustus 2024 @ 17:36:
[...]

Thanks. Die heb ik ook, alleen dan gefilterd op subnet.

Ik kan vanaf de RW MT de tools->ping gebruiken en dan kan ik mijn home lan pingen. Dat werk dus. Probleem lijkt ergens bij/tussen mijn laptop ->wifi-> RW MT te zitten.

Klopt inderdaad, bij de rule heb ik onder src-address-list een verwijzing naar een Address List met alle subnetten van mijn tunnels.

Het enige dat ik nog niet voor elkaar heb is dat ik als RW ook dingen van andere tunnels wil kunnen benaderen. Ik zal eens even proberen een uitgaande rule toe te voegen en kijken of dat iets doet.

[mukky]

Meer mensen hier met wifi problemen? Disconnects op ax sinds 7.15.

[sjorsjuhmaniac]

FrankHe schreef op zaterdag 24 augustus 2024 @ 20:39:
[...]

Klopt inderdaad, bij de rule heb ik onder src-address-list een verwijzing naar een Address List met alle subnetten van mijn tunnels.

Het enige dat ik nog niet voor elkaar heb is dat ik als RW ook dingen van andere tunnels wil kunnen benaderen. Ik zal eens even proberen een uitgaande rule toe te voegen en kijken of dat iets doet.

Mijn fout was dus the allowed-ip list.

Merk op dat je fw regels in de forward table moeten staan, niet in de input.

Als je van je RW naar een andere RW wil gaan moet je:

• op je RW het subnet van je 2e RW toevoegen aan je allowed ip's in je peer config, tenzij je allowed-ips op je RW peer 0.0.0.0/0 is
• een route toevoegen op RW voor je subnet van je 2e RW, gateway is je WG interface. Tenzij je al 0.0.0.0/0 in je peer config en route had.
• op je home MT hoef je niets te doen omdat er al routes en firewall regels moeten bestaan voor de subnets van RW en RW 2
• op RW 2 moet je het subnet van RW toevoegen aan je allowed ip's in je peer config. Tenzij je allowed ip's 0.0.0.0/0 is
• een route toevoegen op RW 2 voor je subnet van je RW. Gateway is je WG interface. Tenzij je al 0.0.0.0/0 in je peer config en route had.

[FrankHe]

sjorsjuhmaniac schreef op zaterdag 24 augustus 2024 @ 20:53:
[...]


Mijn fout was dus the allowed-ip list.

Merk op dat je fw regels in de forward table moeten staan, niet in de input.

Als je van je RW naar een andere RW wil gaan moet je:

• op je RW het subnet van je 2e RW toevoegen aan je allowed ip's in je peer config, tenzij je allowed-ips op je RW peer 0.0.0.0/0 is
• een route toevoegen op RW voor je subnet van je 2e RW, gateway is je WG interface. Tenzij je al 0.0.0.0/0 in je peer config en route had.
• op je home MT hoef je niets te doen omdat er al routes en firewall regels moeten bestaan voor de subnets van RW en RW 2
• op RW 2 moet je het subnet van RW toevoegen aan je allowed ip's in je peer config. Tenzij je allowed ip's 0.0.0.0/0 is
• een route toevoegen op RW 2 voor je subnet van je RW. Gateway is je WG interface. Tenzij je al 0.0.0.0/0 in je peer config en route had.

Dank voor de tips. Ik ga er in alle rust mee spelen.

[Jef61]

mukky schreef op zaterdag 24 augustus 2024 @ 20:43:
Meer mensen hier met wifi problemen? Disconnects op ax sinds 7.15.

Ja hier ook problemen met disconnects op een ax2 (heb er hier 3 hangen). Was vooral te merken op de Nest audiocast, muziek stream valt steeds weg, wisselend L of R of allebei.

Ik heb uiteindelijk gedowngrade naar 7.14.3 waarmee alles weer stabiel is.

Op het Mikrotik forum is er wel wat over te vinden maar nog geen oplossing (lijkt iets met de WiFi driver in de Linux kernel te maken te hebben?)

[ Voor 0% gewijzigd door Jef61 op 25-08-2024 09:23 . Reden: Typo ]

[lier]

Veel klachten, bij mij leek het ook een soort van te degraderen. Ben naar 7.16 rc2 gegaan en weer terug naar 7.14.3 om vervolgens weer bij 7.15.3 uit te komen (na een reset van de CAPsMAN, waarna ik een import van de config heb gedaan). Sindsdien draait het weer superstabiel. Draai je ook CAPsMAN, @mukky ?

[mukky]

lier schreef op zondag 25 augustus 2024 @ 09:41:
Veel klachten, bij mij leek het ook een soort van te degraderen. Ben naar 7.16 rc2 gegaan en weer terug naar 7.14.3 om vervolgens weer bij 7.15.3 uit te komen (na een reset van de CAPsMAN, waarna ik een import van de config heb gedaan). Sindsdien draait het weer superstabiel. Draai je ook CAPsMAN, @mukky ?

Yups, en ik ben ook vanaf 0 begonnen met opzetten. De CAPsMAN setup draait en roaming tussen de stations werkt ook maar band steering is nerveus (van 2 naar 5 GHz en terug in 6 sec) en ik heb last van disconnects. Die zie ik ook terug in de log maar reden voor mij onbekend

[lier]

Heb de nodige merken hier thuis gehad, maar een goede bandsteering implementatie ben ik nog niet tegengekomen. Is ook niet nodig, de clients kiezen toch wel de 5GHz band. Heb overigens wel de transmission power flink teruggeschroefd op de 2.4GHz band (meestal staat dat toch veel te hoog ingesteld).

Disconnects zie ik vrijwel niet, als je wil kan ik mijn wifi settings delen?

[mukky]

lier schreef op maandag 26 augustus 2024 @ 09:58:
Heb de nodige merken hier thuis gehad, maar een goede bandsteering implementatie ben ik nog niet tegengekomen. Is ook niet nodig, de clients kiezen toch wel de 5GHz band. Heb overigens wel de transmission power flink teruggeschroefd op de 2.4GHz band (meestal staat dat toch veel te hoog ingesteld).

Disconnects zie ik vrijwel niet, als je wil kan ik mijn wifi settings delen?

Hier is de mijne, stelt niet veel voor. 4011 als router + CAPsMAN en een ax2 en een ax3 als CAP's:

code:

/interface wifi channel
add band=2ghz-ax disabled=no frequency=2412,2437,2462 name=channel2G width=\
    20mhz
add band=5ghz-ax disabled=no frequency=5180-5240,5745-5875 name=channel5G \
    skip-dfs-channels=disabled width=20/40/80mhz
/interface wifi security
add authentication-types=wpa2-psk connect-priority=0 disabled=no encryption=\
    ccmp ft=yes ft-over-ds=yes name=sec1-LBS
/interface wifi steering
add disabled=no name=steering1 rrm=yes wnm=yes
/interface wifi configuration
add channel=channel2G channel.reselect-interval=1h..2h country=Netherlands \
    disabled=no name=LBS-2G security=sec1-LBS security.connect-priority=0 \
    ssid=LBS steering=steering1
add channel=channel5G channel.reselect-interval=1h..2h country=Netherlands \
    disabled=no name=LBS-5G security=sec1-LBS security.connect-priority=0 \
    ssid=LBS steering=steering1
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik

/caps-man manager
set enabled=yes
/caps-man manager interface
set [ find default=yes ] forbid=yes
add disabled=no interface=bridge

/interface wifi capsman
set enabled=yes interfaces=bridge package-path="" require-peer-certificate=no \
    upgrade-policy=none
/interface wifi provisioning
add action=create-dynamic-enabled disabled=no master-configuration=LBS-2G \
    supported-bands=2ghz-ax
add action=create-dynamic-enabled disabled=no master-configuration=LBS-5G \
    supported-bands=5ghz-ax

[lier]

Lijkt erop dat je nog de wireless package op je RB4011 hebt staan. Heeft deze wifi, anders is dit package niet (meer) nodig.

Mijn config:

code:

/interface wifi channel
add disabled=no frequency=2412,2437,2462 name=24G-20 reselect-interval=\
    12h..16h width=20mhz
add disabled=no frequency=5180-5700 name=5G-40 reselect-interval=6h..8h \
    skip-dfs-channels=10min-cac width=20/40mhz
/interface wifi datapath
add bridge=bridge-LAN disabled=no name=DP_ELC_AX vlan-id=50
add bridge=bridge-LAN client-isolation=yes disabled=no name=DP_ELC_Guest_AX \
    vlan-id=51
add bridge=bridge-LAN disabled=no name=DP_AC
/interface wifi security
add authentication-types=wpa2-psk,wpa3-psk connect-priority=0/1 disabled=no \
    ft=yes ft-over-ds=yes group-encryption=ccmp name=ELC wps=disable
add authentication-types=wpa2-psk,wpa3-psk connect-priority=0/1 disabled=no \
    ft=yes ft-over-ds=yes group-encryption=ccmp name=ELC_Guest wps=disable
/interface wifi configuration
add channel=24G-20 country=Netherlands datapath=DP_AC disabled=no \
    dtim-period=3 name=GENERIC-ELC-2.4G-AC security=ELC \
    security.ft-preserve-vlanid=no ssid=ELC tx-power=5
add country=Netherlands datapath=DP_AC disabled=no dtim-period=3 name=\
    GENERIC-ELC-Guest-AC security=ELC_Guest security.ft-preserve-vlanid=no \
    ssid=ELC_Guest
add country=Netherlands datapath=DP_ELC_Guest_AX disabled=no dtim-period=3 \
    name=GENERIC-ELC-Guest-AX security=ELC_Guest ssid=ELC_Guest
add channel=5G-40 country=Netherlands datapath=DP_AC disabled=no dtim-period=\
    3 name=GENERIC-ELC-5G-AC security=ELC security.ft-preserve-vlanid=no \
    ssid=ELC steering.rrm=no .wnm=no tx-power=22
add channel=24G-20 country=Netherlands datapath=DP_ELC_AX disabled=no \
    dtim-period=3 name=GENERIC-ELC-2.4G-AX security=ELC ssid=ELC \
    steering.rrm=no .wnm=no tx-power=5
add channel=5G-40 country=Netherlands datapath=DP_ELC_AX disabled=no \
    dtim-period=3 name=GENERIC-ELC-5G-AX security=ELC \
    security.ft-preserve-vlanid=no ssid=ELC steering.rrm=no .wnm=no tx-power=\
    22
/interface wifi access-list
add action=accept disabled=no signal-range=-90..120
add action=reject disabled=no
/interface wifi capsman
set enabled=yes interfaces=MGT-VLAN package-path=/packages \
    require-peer-certificate=no upgrade-policy=none
/interface wifi provisioning
add action=create-dynamic-enabled disabled=no master-configuration=\
    GENERIC-ELC-5G-AX name-format=%I slave-configurations=\
    GENERIC-ELC-Guest-AX supported-bands=5ghz-ax
add action=create-dynamic-enabled disabled=no master-configuration=\
    GENERIC-ELC-2.4G-AX name-format=%I slave-configurations=\
    GENERIC-ELC-Guest-AX supported-bands=2ghz-ax
add action=create-dynamic-enabled common-name-regexp="" disabled=no \
    identity-regexp="" master-configuration=GENERIC-ELC-5G-AC name-format=%I \
    slave-configurations=GENERIC-ELC-Guest-AC supported-bands=5ghz-ac
add action=create-dynamic-enabled disabled=no master-configuration=\
    GENERIC-ELC-2.4G-AC name-format=%I slave-configurations=\
    GENERIC-ELC-Guest-AC supported-bands=2ghz-n

Mijn omgeving heeft meerdere VLAN's en het is een mixed ac en ax omgeving.

[mukky]

lier schreef op maandag 26 augustus 2024 @ 10:50:
Lijkt erop dat je nog de wireless package op je RB4011 hebt staan. Heeft deze wifi, anders is dit package niet (meer) nodig.

Mijn config:

code:

/interface wifi channel
add disabled=no frequency=2412,2437,2462 name=24G-20 reselect-interval=\
    12h..16h width=20mhz
add disabled=no frequency=5180-5700 name=5G-40 reselect-interval=6h..8h \
    skip-dfs-channels=10min-cac width=20/40mhz
/interface wifi datapath
add bridge=bridge-LAN disabled=no name=DP_ELC_AX vlan-id=50
add bridge=bridge-LAN client-isolation=yes disabled=no name=DP_ELC_Guest_AX \
    vlan-id=51
add bridge=bridge-LAN disabled=no name=DP_AC
/interface wifi security
add authentication-types=wpa2-psk,wpa3-psk connect-priority=0/1 disabled=no \
    ft=yes ft-over-ds=yes group-encryption=ccmp name=ELC wps=disable
add authentication-types=wpa2-psk,wpa3-psk connect-priority=0/1 disabled=no \
    ft=yes ft-over-ds=yes group-encryption=ccmp name=ELC_Guest wps=disable
/interface wifi configuration
add channel=24G-20 country=Netherlands datapath=DP_AC disabled=no \
    dtim-period=3 name=GENERIC-ELC-2.4G-AC security=ELC \
    security.ft-preserve-vlanid=no ssid=ELC tx-power=5
add country=Netherlands datapath=DP_AC disabled=no dtim-period=3 name=\
    GENERIC-ELC-Guest-AC security=ELC_Guest security.ft-preserve-vlanid=no \
    ssid=ELC_Guest
add country=Netherlands datapath=DP_ELC_Guest_AX disabled=no dtim-period=3 \
    name=GENERIC-ELC-Guest-AX security=ELC_Guest ssid=ELC_Guest
add channel=5G-40 country=Netherlands datapath=DP_AC disabled=no dtim-period=\
    3 name=GENERIC-ELC-5G-AC security=ELC security.ft-preserve-vlanid=no \
    ssid=ELC steering.rrm=no .wnm=no tx-power=22
add channel=24G-20 country=Netherlands datapath=DP_ELC_AX disabled=no \
    dtim-period=3 name=GENERIC-ELC-2.4G-AX security=ELC ssid=ELC \
    steering.rrm=no .wnm=no tx-power=5
add channel=5G-40 country=Netherlands datapath=DP_ELC_AX disabled=no \
    dtim-period=3 name=GENERIC-ELC-5G-AX security=ELC \
    security.ft-preserve-vlanid=no ssid=ELC steering.rrm=no .wnm=no tx-power=\
    22
/interface wifi access-list
add action=accept disabled=no signal-range=-90..120
add action=reject disabled=no
/interface wifi capsman
set enabled=yes interfaces=MGT-VLAN package-path=/packages \
    require-peer-certificate=no upgrade-policy=none
/interface wifi provisioning
add action=create-dynamic-enabled disabled=no master-configuration=\
    GENERIC-ELC-5G-AX name-format=%I slave-configurations=\
    GENERIC-ELC-Guest-AX supported-bands=5ghz-ax
add action=create-dynamic-enabled disabled=no master-configuration=\
    GENERIC-ELC-2.4G-AX name-format=%I slave-configurations=\
    GENERIC-ELC-Guest-AX supported-bands=2ghz-ax
add action=create-dynamic-enabled common-name-regexp="" disabled=no \
    identity-regexp="" master-configuration=GENERIC-ELC-5G-AC name-format=%I \
    slave-configurations=GENERIC-ELC-Guest-AC supported-bands=5ghz-ac
add action=create-dynamic-enabled disabled=no master-configuration=\
    GENERIC-ELC-2.4G-AC name-format=%I slave-configurations=\
    GENERIC-ELC-Guest-AC supported-bands=2ghz-n

Mijn omgeving heeft meerdere VLAN's en het is een mixed ac en ax omgeving.

Ja moest nog eens herstarten, bij deze gedaan maar dat zal niet veel uitmaken

Ik heb WPA3 uitgezet als test maar veel verschilt dat niet. Ik zie dat jij dat wel aan hebt staan maar ook alleen maar CCMP als encryptie?

Verder heb je geen 80 MHz zie ik?

[lier]

mukky schreef op maandag 26 augustus 2024 @ 11:12:
Ja moest nog eens herstarten, bij deze gedaan maar dat zal niet veel uitmaken

Nee, inderdaad niet van invloed

Ik heb WPA3 uitgezet als test maar veel verschilt dat niet. Ik zie dat jij dat wel aan hebt staan maar ook alleen maar CCMP als encryptie?

Klopt

Verder heb je geen 80 MHz zie ik?

Nee, helaas geeft dat bij mij een minder stabiel resultaat. En voor mij is 40MHz voldoende snelheid (gezien het gebruik).

[babbelbox]

Ik zit stiekem even mee te lezen, heb ook centraal een RB4011 met daaraan een 3-tal HAP AC's met de nieuwe caps-man. Nu valt me op dat @lier een bridge verwijzing in de datapath config heeft.
Ikzelf heb dit er niet in zitten, maar de wireless interfaces worden wel aan de bridge toegevoegd.
Is dit een setting die alleen van belang is bij meerdere bridges misschien?
Wat me ook opvalt is dat jullie beide channel toewijzingen doen in je configuration deel.
Die heb ik er ook niet in zitten. Ik assign 2 keer dezelfde config aan de 2 verschillende (2,4 en 5Ghz) interface.

[ Voor 21% gewijzigd door babbelbox op 26-08-2024 13:02 ]

[lier]

De bridge verwijzing in datapath is nodig om meerdere interfaces (SSID's) te kunnen koppelen aan de bridge (in mijn geval opgedeeld in VLAN's) en in lijn met het CAPsMAN voorbeeld in de MikroTik documentatie:

code:

/interface wifi datapath
add bridge=br name=MAIN vlan-id=10
add bridge=br name=GUEST vlan-id=20

Meerdere bridges is niet handig (en niet nodig) in verband met hardware offloading (meerdere VLAN's kunnen wel ge-offload worden).

Tot slot: als je onderscheid wil maken in kanalen, dan is het handig om dit op frequentie basis te doen. Voor mij geldt: 2.4GHz alleen kanaal 1,6 en 11 en kanaalbreedte van 20MHz. 5GHz staat bij mij op 40MHz.

[Jef61]

lier schreef op zondag 25 augustus 2024 @ 09:41:
Veel klachten, bij mij leek het ook een soort van te degraderen. Ben naar 7.16 rc2 gegaan en weer terug naar 7.14.3 om vervolgens weer bij 7.15.3 uit te komen (na een reset van de CAPsMAN, waarna ik een import van de config heb gedaan). Sindsdien draait het weer superstabiel. Draai je ook CAPsMAN, @mukky ?

Gebruik jij ook een ax2 of ax3 als WiFi ap?
Mits ik het goed begrijp van het Mikrotik forum speelt het probleem alleen op een ax2 of ax3.

Anders ga ik er toch weer tijd insteken.

[babbelbox]

lier schreef op maandag 26 augustus 2024 @ 13:16:
De bridge verwijzing in datapath is nodig om meerdere interfaces (SSID's) te kunnen koppelen aan de bridge (in mijn geval opgedeeld in VLAN's) en in lijn met het CAPsMAN voorbeeld in de MikroTik documentatie:

code:

/interface wifi datapath
add bridge=br name=MAIN vlan-id=10
add bridge=br name=GUEST vlan-id=20

Meerdere bridges is niet handig (en niet nodig) in verband met hardware offloading (meerdere VLAN's kunnen wel ge-offload worden).

Tot slot: als je onderscheid wil maken in kanalen, dan is het handig om dit op frequentie basis te doen. Voor mij geldt: 2.4GHz alleen kanaal 1,6 en 11 en kanaalbreedte van 20MHz. 5GHz staat bij mij op 40MHz.

Op zich snap ik je verhaal, klink ook wel logisch om een verwijzing naar de bridge te maken.
Ik maak ook gebruik van meerdere SSID's (dus interfaces, 3 in totaal).
Toch gek dat het werkt zonder dat ik die bridge verwijzing erin heb zitten

Voor de volledigheid hier dan ook mijn config.

code:

/interface wifi channel
add disabled=no frequency=5180,5280,5765 name=ch-5ghz width=20/40/80mhz
add disabled=no frequency=2412,2437,2462 name=ch-2ghz width=20mhz
/interface wifi datapath
add disabled=no name=GalaxyBase vlan-id=9
add disabled=no name=Galaxy vlan-id=75
add client-isolation=yes disabled=no name=GalaxyGuest vlan-id=175
add disabled=no name=GalaxyIOT vlan-id=20
/interface wifi security
add authentication-types=wpa2-psk,wpa3-psk ft=yes ft-over-ds=yes name=GalaxyBase wps=disable
add authentication-types=wpa2-psk,wpa3-psk ft=yes ft-over-ds=yes name=Galaxy wps=disable
add authentication-types=wpa2-psk,wpa3-psk ft=yes ft-over-ds=yes name=GalaxyGuest wps=disable
add authentication-types=wpa2-psk,wpa3-psk disabled=no ft=yes ft-over-ds=yes name=GalaxyIOT wps=disable
/interface wifi configuration
add country=Netherlands datapath=GalaxyBase disabled=no hide-ssid=yes name=GalaxyBase security=GalaxyBase ssid=GalaxyBase
add country=Netherlands datapath=Galaxy disabled=no name=Galaxy security=Galaxy ssid=Galaxy
add country=Netherlands datapath=GalaxyGuest disabled=no name=GalaxyGuest security=GalaxyGuest ssid=GalaxyGuest
/interface wifi capsman
set ca-certificate=WiFi-CAPsMAN-CA-2CC81BB0413E certificate=WiFi-CAPsMAN-2CC81BB0413E enabled=yes interfaces=br-local package-path="" require-peer-certificate=yes upgrade-policy=none
/interface wifi provisioning
add action=create-enabled disabled=no identity-regexp=^Galaxy master-configuration=GalaxyBase name-format=GalaxyUpstairs radio-mac=48:A9:8A:D6:CF:1D slave-configurations= Galaxy,GalaxyGuest,GalaxyIOT
add action=create-enabled disabled=no identity-regexp=^Galaxy master-configuration=GalaxyBase name-format=GalaxyUpstairs radio-mac=48:A9:8A:D6:CF:1E slave-configurations= Galaxy,GalaxyGuest,GalaxyIOT
add action=create-enabled disabled=no identity-regexp=^Galaxy master-configuration=GalaxyBase name-format=GalaxyDiningRoom radio-mac=48:A9:8A:D6:D1:29 slave-configurations= Galaxy,GalaxyGuest,GalaxyIOT
add action=create-enabled disabled=no identity-regexp=^Galaxy master-configuration=GalaxyBase name-format=GalaxyDiningRoom radio-mac=48:A9:8A:D6:D1:2A slave-configurations= Galaxy,GalaxyGuest,GalaxyIOT
add action=create-enabled disabled=no identity-regexp=^Galaxy master-configuration=GalaxyBase name-format=GalaxyLivingRoom radio-mac=48:A9:8A:D6:D1:6F slave-configurations= Galaxy,GalaxyGuest,GalaxyIOT
add action=create-enabled disabled=no identity-regexp=^Galaxy master-configuration=GalaxyBase name-format=GalaxyLivingRoom radio-mac=48:A9:8A:D6:D1:70 slave-configurations= Galaxy,GalaxyGuest,GalaxyIOT

HAHA, grapje.
Zit net ff te kijken en ik zie dat ik de fysieke interface op de CAP al in de bridge heb gekoppeld dmv de datapath config.


HAHA nog een grapje.
in het kader van RTFM, dat koppelen van de fysieke interface op de CAP is ook iets wat in de documentatie staat, dus da's wel goed (zonder werkt het ook niet)

[edit]
Weer wat geleerd. Het niet aanwijzen van de channels in de config heeft er bij altijd toe geleid dat de channels gewoon automatische werden gekozen, en er geen gebruik werd gemaakt van de channel declaratie in de config van de caps-manager.
Heb nu dat dus aangepast (alle configurations gedupliceerd en de een met 2 en ander met 5 Ghz aangewezen) Ook de proivisionings aangepast en nu worden wel de channels die ik had aangegeven gebruikt. Enige wat vreemd was is dat ik een aantal keren de 5GHz interface moest toewijzen, bleef proberen 2Ghz kanalen te gebruiken wat natuurlijk niet werkt....

[ Voor 9% gewijzigd door babbelbox op 26-08-2024 14:26 ]

[lier]

Jef61 schreef op maandag 26 augustus 2024 @ 13:21:
Gebruik jij ook een ax2 of ax3 als WiFi ap?

2x cAP AX, 1x wAP ac

[Jef61]

@lier Het volgende was ik tegen gekomen op het forum:





Daarna is er wat verwarring of dit over clients gaat of over het AP zelf:



Hieruit heb ik de conclusie getrokken dat het probleem in het AP zelf zit en dat er nog geen oplossing is.
Na downgraden was bij mij het probleem over en dit lijkt bij meer mensen op het forum de oplossing te zijn.

Lang draadje ondertussen maar hier meer erover:
https://forum.mikrotik.com/viewtopic.php?t=208039

Ik gebruik geen capsman (meer), en mijn config is volgens mij niet exotisch:

code:

/interface wifi
set [ find default-name=wifi1 ] channel.band=5ghz-ax .frequency=5260 .skip-dfs-channels=disabled .width=20/40mhz comment="Frequentie 5500" configuration.country=Netherlands .mode=ap .ssid=Kraailook-5 datapath=datapath77 disabled=no security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.band=2ghz-ax .frequency=2437 .width=20mhz configuration.country=Netherlands .mode=ap .ssid=Kraailook datapath=datapath77 disabled=no security.authentication-types=wpa2-psk,wpa3-psk

[ Voor 16% gewijzigd door Jef61 op 26-08-2024 15:44 ]

[llagendijk]

semi-passief schreef op maandag 1 juli 2024 @ 17:14:
Bedankt voor alle reacties en hulp. Ook vanuit Mikrotik heb ik gehoord dat dit een bekend probleem is en dat ze samen met Zaram werken aan een oplossing. Een downgrade naar 7.11.3 heeft er nu voor gezorgd dat de module weer werkt.

Ik wil ook een Zaram in mijn CRS317 stoppen. Is dit probleem al opgelost of moet ik gaan downgraden (zit op 7.15.1)? Als dit in 7.16Beta is opgelost zou ik liever daarheen upgraden...

[ernstoud]

llagendijk schreef op maandag 26 augustus 2024 @ 20:53:
[...]

Ik wil ook een Zaram in mijn CRS317 stoppen. Is dit probleem al opgelost of moet ik gaan downgraden (zit op 7.15.1)? Als dit in 7.16Beta is opgelost zou ik liever daarheen upgraden...

Ik heb net gevraagd aan Zaram Korea of er nieuws is over dit issue. Komt er antwoord zal ik dat hier laten weten.

[semi-passief]

llagendijk schreef op maandag 26 augustus 2024 @ 20:53:
[...]

Ik wil ook een Zaram in mijn CRS317 stoppen. Is dit probleem al opgelost of moet ik gaan downgraden (zit op 7.15.1)? Als dit in 7.16Beta is opgelost zou ik liever daarheen upgraden...

Ik heb ook bij Mikrotik een update gevraagd

[llagendijk]

semi-passief schreef op maandag 26 augustus 2024 @ 22:06:
[...]


Ik heb ook bij Mikrotik een update gevraagd

Mijn dank voor je hulp. Ik had de vraag ook al ingeschoten, maar follow up van jouw eerdere vraag is waarschijnlijk makkelijker voor hen. Ik ben benieuwd...

[semi-passief]

llagendijk schreef op maandag 26 augustus 2024 @ 22:10:
[...]

Mijn dank voor je hulp. Ik had de vraag ook al ingeschoten, maar follow up van jouw eerdere vraag is waarschijnlijk makkelijker voor hen. Ik ben benieuwd...

Vanochtend heb ik antwoord gekregen, het probleem is opgelost maar nog niet in een publiek beschikbare Router OS versie geïmplementeerd. Als je geen haast hebt kan je daarop wachten, anders zou ik gewoon downgraden en sowieso dmv ACL's en firewall de WAN kant goed afschermen

[ernstoud]

semi-passief schreef op dinsdag 27 augustus 2024 @ 09:01:
[...]


Vanochtend heb ik antwoord gekregen, het probleem is opgelost maar nog niet in een publiek beschikbare Router OS versie geïmplementeerd. Als je geen haast hebt kan je daarop wachten, anders zou ik gewoon downgraden en sowieso dmv ACL's en firewall de WAN kant goed afschermen

Antwoord van Zaram was dat ze niets van Mikrotik gehoord hebben en dat ze er achter aangaan.

[Jef61]

Winbox 4.0 beta is uit, er is nu eindelijk ook een native Linux versie!

[ Voor 8% gewijzigd door Jef61 op 30-08-2024 10:06 ]

[mukky]

Jef61 schreef op vrijdag 30 augustus 2024 @ 09:52:
Winbox 4.0 beta is uit, er is nu eindelijk ook een native Linux versie!

Yes, ook voor Mac OS X Werkt snel, nog niet altijd even intuïtief (veel submenu's) maar voor een beta ziet het er goed uit.

[lolgast]

Verandering is eng natuurlijk, daar ben ik ook schuldig aan. Maar het is wel jammer dat er altijd minder op het scherm moet passen. Ja Winbox was wellicht wat spartaans, maar wel erg functioneel.

Windox v3 (via Wine)


Winbox v4 (beta, macOS)