[MikroTik-apparatuur] Ervaringen & Discussie

[g1n0]

lolgast schreef op vrijdag 30 augustus 2024 @ 11:53:
Verandering is eng natuurlijk, daar ben ik ook schuldig aan. Maar het is wel jammer dat er altijd minder op het scherm moet passen. Ja Winbox was wellicht wat spartaans, maar wel erg functioneel.

Windox v3 (via Wine)
[Afbeelding]

Winbox v4 (beta, macOS)
[Afbeelding]

je kan uitzoomen past er meer op je scherm

[Vambier]

Weet iemand hoe ik al het verkeer van mijn microtik router over een vpn kan leiden? Ik heb nu verschillende servers draaien waar ik per server een vpn connectie moet instellen, ik zou het makkelijker vinden als al het verkeer vanaf mijn router over een vpn gaat. Echter heb ik geen flauw idee hoe ik dit voor elkaar kan krijgen op deze router.
Wel heb ik Wireguard ingesteld zodat ik van buitenaf via vpn in kan loggen op mijn thuis netwerk.

[sjorsjuhmaniac]

Vambier schreef op vrijdag 30 augustus 2024 @ 13:49:
Weet iemand hoe ik al het verkeer van mijn microtik router over een vpn kan leiden? Ik heb nu verschillende servers draaien waar ik per server een vpn connectie moet instellen, ik zou het makkelijker vinden als al het verkeer vanaf mijn router over een vpn gaat. Echter heb ik geen flauw idee hoe ik dit voor elkaar kan krijgen op deze router.
Wel heb ik Wireguard ingesteld zodat ik van buitenaf via vpn in kan loggen op mijn thuis netwerk.

Je Eigen router als wiredguard peer configureren. Zie de wiki van mikrotik als een redelijk begin

[lier]

Door een route aan te maken met als dst address 0.0.0.0/0 en gateway de VPN interface.

[Vambier]

lier schreef op vrijdag 30 augustus 2024 @ 16:37:
Door een route aan te maken met als dst address 0.0.0.0/0 en gateway de VPN interface.

Ik ben hier zelf niet zo bekend mee maar ik heb het volgende geprobeerd(wat niet werkt).
(Ik gebruik trouwens webfig voor de configuratie.)


Ik heb bij Mullvad een nieuwe key aangemaakt en een wireguard configuratie gedownload.

Hierna heb ik op mijn router bij het menu Interfaces een nieuwe Wireguard interface aangemaakt, hierbij heb ik de private key uit het configuratie bestand ingevuld. Bij listen port heb ik de port van de endpoint uit het configuratiebestand ingevuld.

Hierna heb ik in het menu Wireguard onder het tabblad Peers een nieuwe peer aangemaakt en hierbij de public key, endpoint ip address, endpoint port en de allowed ip's uit het configuratiebestand ingevuld.
Onder het tabblad Wireguard heb ik een nieuwe wireguard connectie aangemaakt en heb ook hier de port en de private key uit het config bestand ingevuld.

Ik heb hierna bij onder IP' --> 'Addresses een nieuw address toegevoegd met het address uit het config bestand.

Zodra ik de wireguard enable zie ik bij Routes een route toegevoegd worden welke ik zelf niet kan aanpassen. Ik heb hiernaast ook nog op jouw advies een route toegevoegd met als dst address 0.0.0.0/0 en gateway de VPN interface.

Zodra ik die zelf toegevoegde route enable zie ik wel verkeer over de wireguard verbinding, ongeveer 10kbps maar ik heb hierna geen internetverbinding meer.

Hier de configs met versimpelde ip's en keys :

[sloth]

Zijn er tweakers die gebruik maken van een harde schijf of SSD in combinatie met een Mikrotik met USB? Werkt dit stabiel?
Doel zou zijn om er een low-end NAS van te maken zoals in YouTube: Mikrotik hAP ax3 review - router Wi-Fi 6 superb - 160 MB/s prin port... waar de performance > 1 Gbps blijkt te zijn. Meer dan voldoende voor me

[Thralas]

Vambier schreef op zaterdag 31 augustus 2024 @ 13:46:
Ik ben hier zelf niet zo bekend mee maar ik heb het volgende geprobeerd(wat niet werkt).

Heb je ook een NAT-regel aangemaakt om verkeer dat via WireGuard loopt te NAT'en? De makkelijkste manier is om de WireGuard interface aan de 'WAN' interface list toe te voegen - dan zorgen de default firewall rules voor de rest.

Voor wat betreft WireGuard: check bij de peer de 'last handshake' status. Is die gezet? Dan is WireGuard niet het probleem.

Werkt het allemaal nog niet, post dan eens een config export, dat is vollediger dan een paar screenshots.

[Coppertop]

Thralas schreef op maandag 2 september 2024 @ 09:27:
[...]


Heb je ook een NAT-regel aangemaakt om verkeer dat via WireGuard loopt te NAT'en? De makkelijkste manier is om de WireGuard interface aan de 'WAN' interface list toe te voegen - dan zorgen de default firewall rules voor de rest.

Voor wat betreft WireGuard: check bij de peer de 'last handshake' status. Is die gezet? Dan is WireGuard niet het probleem.

Werkt het allemaal nog niet, post dan eens een config export, dat is vollediger dan een paar screenshots.

Aan de WAN interface list of aan de LAN? Ik gebruik LAN en het werkt prima, maar wil even checken dat ik niks fout doe

[llagendijk]

ernstoud schreef op dinsdag 27 augustus 2024 @ 12:29:
[...]


Antwoord van Zaram was dat ze niets van Mikrotik gehoord hebben en dat ze er achter aangaan.

Ik heb de alpha met de fix voor de Zaram geprobeerd en die werkt niet. Ik heb Mikrotik een update gestuurd. Ze vroegen om een supout, die heb ik ook gestuurd

[Thralas]

Coppertop schreef op maandag 2 september 2024 @ 10:55:
Aan de WAN interface list of aan de LAN? Ik gebruik LAN en het werkt prima, maar wil even checken dat ik niks fout doe

Dat ligt er maar net aan hoe je WireGuard gebruikt?

Als je peer een van je eigen devices is dan kun je de wg interface beschouwen als je LAN. In het geval waar het hier over gaat wil je dat juist niet en moet je ook nog eens NAT gebruiken om verkeer naar buiten te routeren: dan dus niet.

[Coppertop]

Thralas schreef op maandag 2 september 2024 @ 20:05:
[...]


Dat ligt er maar net aan hoe je WireGuard gebruikt?

Als je peer een van je eigen devices is dan kun je de wg interface beschouwen als je LAN. In het geval waar het hier over gaat wil je dat juist niet en moet je ook nog eens NAT gebruiken om verkeer naar buiten te routeren: dan dus niet.

Juist, ik had niet de hele discussie inhet topic meegekregen. Bedankt voor de toelichting! Mijn peers zijn dus eigen devices (telefoon, laptop).

[ Voor 5% gewijzigd door Coppertop op 02-09-2024 20:08 ]

[ernstoud]

llagendijk schreef op maandag 2 september 2024 @ 11:39:
[...]

Ik heb de alpha met de fix voor de Zaram geprobeerd en die werkt niet. Ik heb Mikrotik een update gestuurd. Ze vroegen om een supout, die heb ik ook gestuurd

Reactie van Mikrotik aan Zaram Korea:

—-

We would like to inform you that we managed to find a fix for ZXOS11NPI module initialization. Currently this fix is only available in our local test versions of RouterOS. However, we will be releasing a new public test version containing these improvements in the near future. For now, we have attached a local test version of RouterOS containing the improvements for your module:

https://box.mikrotik.com/f/b6eab5fc71174480a780/

https://box.mikrotik.com/f/ded7a26525db425fae1f/

If you have the opportunity, you can check how it works for you.

—-

Maar misschien is dit al de alpha versie die je getest had?

[llagendijk]

ernstoud schreef op dinsdag 3 september 2024 @ 11:57:
[...]


Reactie van Mikrotik aan Zaram Korea:

—-

We would like to inform you that we managed to find a fix for ZXOS11NPI module initialization. Currently this fix is only available in our local test versions of RouterOS. However, we will be releasing a new public test version containing these improvements in the near future. For now, we have attached a local test version of RouterOS containing the improvements for your module:

https://box.mikrotik.com/f/b6eab5fc71174480a780/

https://box.mikrotik.com/f/ded7a26525db425fae1f/

If you have the opportunity, you can check how it works for you.

—-

Nee dit een nieuwere: ik had een alpha64 en dit is alpha100. Die herkent de zaram inderdaad en werkt (ik kan de zaram nu pingen). Alleen webfig werkt niet... Hoe dan ook: progress

[ Voor 4% gewijzigd door llagendijk op 04-09-2024 14:05 ]

[ernstoud]

llagendijk schreef op woensdag 4 september 2024 @ 12:50:
[...]

Ik zal het even terugkoppelen aan Zaram. Dank voor je reactie.

[Vambier]

Thralas schreef op maandag 2 september 2024 @ 09:27:
[...]


Heb je ook een NAT-regel aangemaakt om verkeer dat via WireGuard loopt te NAT'en? De makkelijkste manier is om de WireGuard interface aan de 'WAN' interface list toe te voegen - dan zorgen de default firewall rules voor de rest.

Voor wat betreft WireGuard: check bij de peer de 'last handshake' status. Is die gezet? Dan is WireGuard niet het probleem.

Werkt het allemaal nog niet, post dan eens een config export, dat is vollediger dan een paar screenshots.

Bedankt voor je reactie, ik was al een tijdje van plan om over te stappen van Mullvad naar ProtonVPN, dus ik dacht eens kijken of zij misschien informatie hebben over het instellen van vpn op een microtik. En dit hadden ze, en het werkt nu. Ik moest inderdaad nog een NAT regel toevoegen. Als ik nu naar whatsmyip.com ga zie ik inderdaad het ip address van protonvpn. Het enige nadeel is nu dat ik niet meer kan vpn-en van buitenaf naar mijn eigen netwerk. Een idee wat dat zou kunnen zijn?

[Thralas]

Vambier schreef op woensdag 4 september 2024 @ 16:25:
Het enige nadeel is nu dat ik niet meer kan vpn-en van buitenaf naar mijn eigen netwerk. Een idee wat dat zou kunnen zijn?

Je hebt een default route geconfigureerd voor je (uitgaande) VPN. Dus ook al komt het verkeer direct op je router aan (je VPN naar je eigen netwerk), het antwoord zal via de VPN worden gestuurd (en dus via een heel ander source ip bij je terug belanden).

Met andere woorden: je hebt dan een asymmetrische route. Dit kun je verhelpen door middel van Policy routing. De beste oplossing hangt van je voorkeur af: je zou een firewall mangle rule kunnen gebruiken om 'inkomend' VPN-verkeer te markeren en verkeer met die mark via een alternatieve routetabel laten verlopen die je reguliere WAN interface als default gateway gebruikt.

Of misschien nog simpeler: de VPN-client route in een alternatieve routetabel zetten en alleen de devices die je werkelijk via de VPN wil routeren met een routing rule daarheen verwijzen.

[babbelbox]

Ik haal toch maar weer even de FS.com SFP module discussie open:
Ik testte vanmorgen (puur uit interesse) de speedtest en wat schetst mijn verbazing
In 2 richtingen +700 Mbit!!! en meermaals zelfs +850Mbit.
Ik heb zelf geen wijzigingen gemaakt binnen mijn devices.

[ Voor 12% gewijzigd door babbelbox op 16-09-2024 11:46 ]

[sOid]

Ik heb jullie hulp nodig bij het maken van een firewall regel.

Ik heb een apparaat (statisch IP 192.168.1.32) waarvan ik wil dat hij niet bij andere apparaten op het LAN kan, maar wél internettoegang heeft.

Hiervoor heb ik 2 firewall rules aangemaakt:

1. forward src 192.168.1.32 dst 192.168.1.0/24 action drop
2. forward src 192.168.1.32 dst leeg action accept

Ze staan ook in deze volgorde.

Volgens mijn beredenering zou ik geen ping meer terug moeten krijgen als ik vanaf een ander device op het LAN 192.168.1.32 ping. Maar dit is wel het geval.

Enig idee hoe ik dit kan fixen?

[Shinji]

Er vanuit gaande dat je het op de Mikrotik heb geconfigureerd, waarom denk je dat het verkeer via je router gaat? Blijft binnen het subnet dus is rechtstreekse communicatie tussen de devices tenzij je iets van cliënt isolation aan hebt staan.

[sOid]

Shinji schreef op woensdag 18 september 2024 @ 13:20:
Er vanuit gaande dat je het op de Mikrotik heb geconfigureerd, waarom denk je dat het verkeer via je router gaat? Blijft binnen het subnet dus is rechtstreekse communicatie tussen de devices tenzij je iets van cliënt isolation aan hebt staan.

Hmm goed punt. Dat is misschien een verkeerde aanname van mij.

In dit geval is de configuratie:
Mikrotik HexS > Unifi AP > betreffend device

Op de HexS is ook nog een (domme) switch aangesloten. Ik ging er hierdoor vanuit dat al het verkeer via de HexS loopt.

Ik ga me eens verdiepen in client isolation. Als er iemand pointers heeft, dan hoor ik dat graag.

Edit: het lijkt er inderdaad op dat alle LAN-verkeer helemaal niet via de firewall gaat. Ik begrijp wel dat het mogelijk is om dit als dusdanig te configureren, maar verhoogt de load op de HexS. Dat is dus niet wenselijk.

Het is vermoedelijk het handigst om dat ding te verbinden met een ander SSID op een ander subnet.

[ Voor 18% gewijzigd door sOid op 18-09-2024 13:35 ]

[Shinji]

sOid schreef op woensdag 18 september 2024 @ 13:28:
[...]

Hmm goed punt. Dat is misschien een verkeerde aanname van mij.

In dit geval is de configuratie:
Mikrotik HexS > Unifi AP > betreffend device

Op de HexS is ook nog een (domme) switch aangesloten. Ik ging er hierdoor vanuit dat al het verkeer via de HexS loopt.

Ik ga me eens verdiepen in client isolation. Als er iemand pointers heeft, dan hoor ik dat graag.

Edit: het lijkt er inderdaad op dat alle LAN-verkeer helemaal niet via de firewall gaat. Ik begrijp wel dat het mogelijk is om dit als dusdanig te configureren, maar verhoogt de load op de HexS. Dat is dus niet wenselijk.

Het is vermoedelijk het handigst om dat ding te verbinden met een ander SSID op een ander subnet.

Je kan vaak op switch/AP niveau client isolation aanzetten; in elk geval op enterprise spul. Daarmee forceer je het verkeer via de router/firewall.

Maar denk dat in jou geval apart vlan en subnet makkelijker is.

[ Voor 3% gewijzigd door Shinji op 18-09-2024 13:53 ]

[Boeshnl]

babbelbox schreef op maandag 16 september 2024 @ 11:34:
Ik haal toch maar weer even de FS.com SFP module discussie open:
Ik testte vanmorgen (puur uit interesse) de speedtest en wat schetst mijn verbazing
In 2 richtingen +700 Mbit!!! en meermaals zelfs +850Mbit.
Ik heb zelf geen wijzigingen gemaakt binnen mijn devices.

Misschien wat laat maar heb ook een SFP van FS en heb zeker geen klachten hierover. Gebruik de
https://www.fs.com/products/133619.html
GPON ONU Stick with MAC SFP 1310nm-TX/1490nm-RX 1.244G-TX/2.488G-RX Class B+ 20km DOM Simplex SC/APC SMF Optical Transceiver Module (Industrial) voor de router L009UiGS-RM.

[peterstr]

Boeshnl schreef op woensdag 18 september 2024 @ 15:54:
[...]


Misschien wat laat maar heb ook een SFP van FS en heb zeker geen klachten hierover. Gebruik de
https://www.fs.com/products/133619.html
GPON ONU Stick with MAC SFP 1310nm-TX/1490nm-RX 1.244G-TX/2.488G-RX Class B+ 20km DOM Simplex SC/APC SMF Optical Transceiver Module (Industrial) voor de router L009UiGS-RM.

Ook ik heb een SFP van FS (De SFP die bij het Netrebel abonnement zit). Ik haal in een optimale situatie tot ver boven de 900 mbit/s up en down. Mijn router is een RB4011.

[ari2asem]

even een paar vragen mbt mikrotik router, switch.

op dit moment heb ik kpn glasvezel 100mbit met nokia zwarte schuifdoos (ONT) over glasvezelaansluiting.

router: ccr2004
switch: crs309

1). gaat deze combinatie werken met kpn tv?

2). als ik 1gbps aansluiting wil, kan deze combinatie, nagenoeg 1gbps halen?

kabel is cat7 sftp

[lier]

De CCR2004 kan nog wel heel veel meer. Gigabit is geen enkel probleem.
Werkt KPN tv routed? Zo ja, dan is dat ook geen probleem. Zo nee, zal je met IGMP snooping moeten werken (en ook dat is geen probleem).

[ari2asem]

ee nieuwe vraag/probleem van mij.

ik heb in mijn crs309 (als SwOS en als RouterOS) qiniyek sfp+ modules in zitten.
deze worden door crs309 herkend, maar kan geen verbinding mee maken.

https://www.amazon.de/-/e...=ppx_pop_mob_b_asin_image

ik krijg modules actief (groen lampje bij crs309) als ik IGNORE RX_LOS aanvink. maar heb nog steeds geen verbinding.


en als ik AUTO-NEGOTIATION uitvink en op 1gbaseT of 1gbaseX zet, ook geen verbinding.
10gbaseX of 10gbaseT zie ik niet staan in de lijst van module.

ik heb wel cat5 kabel van 2m gebruikt voor deze. kan het aan de kabel liggen dat ik geen verbinding krijg.

enige verbinding is via BOOT port mogelijk. maar dit is dus alleen voor instellingen.
niet voor gewone data

[ Voor 5% gewijzigd door ari2asem op 07-10-2024 10:25 ]

[lier]

Zou natuurlijk prima kunnen dat deze niet door MikroTik ondersteund wordt.
Heb je geen mogelijkheid om met glas te werken? Dat heeft in ieder geval als voordeel dat de warmteontwikkeling een stuk lager is.

[MasterL]

Even een vraagje ik heb thuis een Mikrotik routertje staan (CCR2004-16G-2S+PC) en ben de boel een beetje opnieuw aan het inrichten vanwege de aanschaf van een nieuwe (10Gbit) switch.
Het idee is om de twee SFP+ poorten te uplinken naar de switch (LACP) en daar alle VLANS over te transporteren maar... Ik heb natuurlijk nog wat oude 1000/100 Mbps hardware staan waarvan ik het zonde zou vinden om daar relatief dure 10/5/2.5Gbps poorten voor te gebruiken. Dus mijn idee was om de (14?) plus extra poorten in de CCR te gebruiken met behulp van de bridge configuratie.

Maar.. De CCR2004 is natuurlijk geen switch en heeft aparte "lanes" naar de CPU, als ik het goed heb:
1 Lane voor SFP+1
1 Lane voor SFP+2
1 Lane voor switch chip 1: (poort 1-8)
1 Lane voor switch chip 2: (poort 9-16)

https://cdn.mikrotik.com/...R2004-16G-2SPC_240129.png

Dus wat zouden jullie doen?
1: LACP IF member maken van de bridge (zonder HW offload?)
2: Een hele simpele bridge aanmaken (IF 1-8) en een kabel vanaf de switch in de "bridge" inpluggen?
3: Een slimmere oplossing als bovenstaande?

[lier]

Heb je LACP nodig? Volgens mij heb je geen snelle devices op de CCR2004-16G-2S+PC en, dus dat zou alleen via WAN kunnen komen (welke bandbreedte krijg je binnen?) of van InterVLAN verkeer. Of is het vanuit het oogpunt van redundantie?

Ik zou gewoon een bridge aanmaken met daarin ook de ethernet poorten en die gebruiken voor de langzame devices. Afhankelijk van de switch chipset ga je of VLAN via de bridge of via de switch configureren. Kan een hoop schelen!

[MasterL]

lier schreef op maandag 7 oktober 2024 @ 13:25:
Heb je LACP nodig? Volgens mij heb je geen snelle devices op de CCR2004-16G-2S+PC en, dus dat zou alleen via WAN kunnen komen (welke bandbreedte krijg je binnen?) of van InterVLAN verkeer. Of is het vanuit het oogpunt van redundantie?

Nouja nodig...Het is geen HA enterprise omgeving natuurlijk maar InterVLAN traffic zou inderdaad wel een 10Gbit lijn kunnen voltrekken ja.
Sowieso zit hier een verschil in qua configuratie? Ook al zou ik geen LACP gebruiken zou de traffic van SFP+ <> switch chip (om het maar even zo te zeggen) toch altijd al via de CPU lopen? Wat ik heb begrepen heeft LACP niet z'n grote performance penalty maar ik kan er naast zitten natuurlijk.

Ik zou gewoon een bridge aanmaken met daarin ook de ethernet poorten en die gebruiken voor de langzame devices. Afhankelijk van de switch chipset ga je of VLAN via de bridge of via de switch configureren. Kan een hoop schelen!

Je bedoeld de SFP+ poort in de bridge opnemen zonder hw offload?
Hoe bedoel je dit precies via de switch configureren?

[lier]

De vraag mbt LCAP is vooral ingegeven door de noodzaak. Uiteraard staat het je vrij om op te zetten.

Ten aanzien van de bridge versus switch:
https://help.mikrotik.com...T7621andMT7531switchchips

Deze (88E6191) switch chip doe je configureren via de /interface bridge. Er zijn ook devices met andere switch chip die je via /interface ethernet switch instelt.

[ari2asem]

lier schreef op maandag 7 oktober 2024 @ 10:42:
Zou natuurlijk prima kunnen dat deze niet door MikroTik ondersteund wordt.
Heb je geen mogelijkheid om met glas te werken? Dat heeft in ieder geval als voordeel dat de warmteontwikkeling een stuk lager is.

glas is helaas geen mogelijkheid.

ik ben nu erachter wat het "probleem" is.
10gbit sfp+ module in mikrotik werd aangesloten op een 1gbit port van modem fritzbox 7590.

kort gezegd, qiniyek functioneert niet in AUTO-NEGOTIATION mode. auto-negotiation uitgevinkt en sfp+ module op 1 gb baseT gezet...en het werkt

[llagendijk]

llagendijk schreef op woensdag 4 september 2024 @ 12:50:
[...]

Nee dit een nieuwere: ik had een alpha64 en dit is alpha100. Die herkent de zaram inderdaad en werkt (ik kan de zaram nu pingen). Alleen webfig werkt niet... Hoe dan ook: progress

Ik heb net na 7.11.3 versie 7.16.1 geinstalleerd nu ik even de ruimte had (even geen SLA omdat de familie weg is).

Met die 7.16.1 werkt de Zaram. Nog niet veel getest, maar alles lijkt ok.

Let wel op: vanaf 7.11.3 ga je eerst naar 7.12.1 en daar zou de Zaram niet kunnen werken. Blijbaar was de routerboot nog niet geupdate (en werkte de Zaram nog) en kon ik nog upgraden naar 7.16.1.

Na 7.16.1 wel de routerboard updaten (voor de Zaram support). Het beste is dus wel 7.16.1 eerst te downloaden (incl. wireless package) of na de installatie van 7.12.1 eerst wireless package verwijderen.

[semi-passief]

llagendijk schreef op zaterdag 12 oktober 2024 @ 17:37:
[...]

Ik heb net na 7.11.3 versie 7.16.1 geinstalleerd nu ik even de ruimte had (even geen SLA omdat de familie weg is).

Met die 7.16.1 werkt de Zaram. Nog niet veel getest, maar alles lijkt ok.

Let wel op: vanaf 7.11.3 ga je eerst naar 7.12.1 en daar zou de Zaram niet kunnen werken. Blijbaar was de routerboot nog niet geupdate (en werkte de Zaram nog) en kon ik nog upgraden naar 7.16.1.

Na 7.16.1 wel de routerboard updaten (voor de Zaram support). Het beste is dus wel 7.16.1 eerst te downloaden (incl. wireless package) of na de installatie van 7.12.1 eerst wireless package verwijderen.

Op mijn CRS317 is dit ook het geval, alleen werkte Auto Negotiation niet meer met de Zaram op 7.16.1. Ik moest de snelheid handmatig op 10G SR LR of 1G X zetten. Was dat bij jou ook?

[lier]

Had je naast RouterOS ook de firmware bijgewerkt, @semi-passief?

[llagendijk]

semi-passief schreef op woensdag 16 oktober 2024 @ 19:13:
[...]


Op mijn CRS317 is dit ook het geval, alleen werkte Auto Negotiation niet meer met de Zaram op 7.16.1. Ik moest de snelheid handmatig op 10G SR LR of 1G X zetten. Was dat bij jou ook?

Nee, ik heb autonegotiaton gewoon aan staan. Werkt prima. Ik heb wel RX en TX flow control aangezet. Dat lijkt wel een consistentere verbinding op te leveren.

[semi-passief]

lier schreef op donderdag 17 oktober 2024 @ 09:20:
Had je naast RouterOS ook de firmware bijgewerkt, @semi-passief?

Ja, de packages en routerboard zijn beiden 7.16.1. Het is verder ook een nagenoeg lege config omdat ik met eerdere testen een downgrade had gedaan en hij nog niet 'in productie' is. Vreemd dat ik de enige ben dan, ik wacht wel even af wat Mikrotik er verder over te zeggen heeft... Maakt natuurlijk ook niet zoveel uit als je het eenmaal weet.

[sambaloedjek]

Binnenkort beschikbaar: Hex E50UG, opvolger van de laatste Hex. Identiek maar met dubbele performance.

Source:
YouTube: hEX - the most affordable Ethernet router RE-RELEASED
https://download.axilogi.com/MikroTik/Datasheet/E50UG.pdf
https://mikrotikbg.shop/en/routers/475-hex-e50ug.html

[ Voor 11% gewijzigd door sambaloedjek op 20-10-2024 20:42 ]

[lier]

Binnenkort (?) beschikbaar: wAP AX, opvolgeer van de wAP ac. Op het eerste gezicht dezelfde behuizing als de wAP ac, maar dan sneller.

Source:
https://www.wifihw.cz/img.asp?attid=3848208
YouTube: wAP ax: fast, reliable Wi-Fi 6 on your porch, garden, anywhere!

[ Voor 25% gewijzigd door lier op 21-10-2024 11:20 ]

[pimlie]

Hmm, die wAP AX is leuk maar ik had eigenlijk verwacht dat Mikrotik dit jaar al met Wifi7 producten zou komen...

[lier]

Verwacht?

[Shinji]

pimlie schreef op maandag 21 oktober 2024 @ 12:51:
Hmm, die wAP AX is leuk maar ik had eigenlijk verwacht dat Mikrotik dit jaar al met Wifi7 producten zou komen...

Waarom, met AX waren ze ook heel laat.

[pimlie]

Shinji schreef op maandag 21 oktober 2024 @ 13:23:

Waarom, met AX waren ze ook heel laat.

Is dat zo? Qualcomm Wifi7 chips zijn ook al weer ruim 1,5 jaar beschikbaar, had dus verwacht dat ze al wel iets met Wifi7 zouden uitbrengen. Maar misschien is dat ook meer hoop dan verwachting omdat ik eigenlijk graag een opvolger van de hAP AX2/3 zou willen zien met minimaal 2x 2.5Gbit (liefst 5) en Wifi7

[Shinji]

pimlie schreef op maandag 21 oktober 2024 @ 14:04:
[...]


Is dat zo? Qualcomm Wifi7 chips zijn ook al weer ruim 1,5 jaar beschikbaar, had dus verwacht dat ze al wel iets met Wifi7 zouden uitbrengen. Maar misschien is dat ook meer hoop dan verwachting omdat ik eigenlijk graag een opvolger van de hAP AX2/3 zou willen zien met minimaal 2x 2.5Gbit (liefst 5) en Wifi7

Hap AX2/3 en andere MT AX producten zijn ook pas sinds 2022 op de markt.

[pimlie]

Hmm, dat is waar. Dan zou het dus nog wel eens twee jaar kunnen duren voordat we Wifi7 producten gaan zien

[sambaloedjek]

lier schreef op maandag 21 oktober 2024 @ 13:22:
Verwacht?

Zal niet lang meer duren want ze staan nu beiden officieel op hun website:

https://mikrotik.com/product/wap_ax#fndtn-specifications
https://mikrotik.com/product/hex_2024#fndtn-specifications

Zag al ergens een prijs voorbij komen voor de E50UG van rond de 53 euro netto volgens mij wisp.pl.

[lier]

sambaloedjek schreef op donderdag 24 oktober 2024 @ 18:24:
Zal niet lang meer duren want ze staan nu beiden officieel op hun website:

Was naar aanleiding van de verwachting van @pimlie over wifi7. Die kent MikroTIk nog niet zo goed.
Ze zijn al verkrijgbaar (in Europa), heb zelf 2x wAP AX (pre)ordered in NL.

[GarBaGe]

Ik heb al een aantal jaren een (eenvoudige) Mikrotik router voor mijn thuisnetwerk.
Nu heb ik recent een switch erbij gekocht.
Deze kan echter zowel RouterOS draaien als SwitchOS.
Standaard wordt ie geleverd met een installatie van RouterOS, wat ik eigenlijk niet zou verwachten.

Wat zijn nu de verschillen, pros en cons voor RouterOS vs SwitchOS?

Ik wil de switch relatief voor eenvoudige zaken gebruiken, zoals uhm... switching...
Hooguit een beetje VLAN assignment op specifieke poorten.

Wat zijn jullie ervaringen met RouterOS vs SwitchOS op apparaten die beide ondersteunen?
Wat vind je fijner werken? en waarom?

[lier]

Ik heb geen ervaring met dual boot systemen. Heb wel een RB260GPS bij mijn ouders en schoonmoeder neergezet (als goedkoopste optie van PoE en VLAN ondersteuning). Deze gebruikt SwOS, terwijl mijn RB960GS-en RouterOS draaien.

Bij dual boot zou ik voor RouterOS gaan omdat ik daar mijn weg in ken. Vziw zou het qua performance niet uit moeten maken.

Maar SwOS is ook prima te bedienen, lekker vlot. Misschien een nadeel dat het over IP beheerd moet worden (terwijl je met Winbox ook via MAC address kan beheren).

[EverLast2002]

GarBaGe schreef op maandag 28 oktober 2024 @ 11:11:
Ik heb al een aantal jaren een (eenvoudige) Mikrotik router voor mijn thuisnetwerk.
Nu heb ik recent een switch erbij gekocht.
Deze kan echter zowel RouterOS draaien als SwitchOS.
Standaard wordt ie geleverd met een installatie van RouterOS, wat ik eigenlijk niet zou verwachten.

Wat zijn nu de verschillen, pros en cons voor RouterOS vs SwitchOS?

Ik wil de switch relatief voor eenvoudige zaken gebruiken, zoals uhm... switching...
Hooguit een beetje VLAN assignment op specifieke poorten.

Wat zijn jullie ervaringen met RouterOS vs SwitchOS op apparaten die beide ondersteunen?
Wat vind je fijner werken? en waarom?

Misschien heb ik het verkeerd begrepen, maar ik lees op de forums dat SwitchOS wat achter loopt t.o.v. RouterOS.
Heeft te maken dat RouterOS meer prioriteit krijgt bij de MikroTik ontwikkelaars.
Je kan het ook zien aan de frequentie van updates ten opzichte van elkaar.

[MasterL]

Iemand ervaring met scripting hier? Ik zie waarschijnlijk iets heel doms over het hoofd maar goed.
Casus: Meerdere VRF's met dynamic route leaking (/routing/bgp/vpn), route leaking in/naar the main table werkt (schijnbaar) niet maar wil daar wel een default route hebben. Probleem alleen is dat de default route voor 1 van de ISP's via DHCP komt en dus niet "statisch" is. De andere wel dus kan ik gewoon een static route aanmaken geen probleem.

Hier is een script voor (werkt) welke je default route update die je kunt toepassen in de /ip dhcp-client config, zoiets dus:

code:

:if ($bound=1) do={/ip route set [find where dst-address=0.0.0.0/0 ] gateway=$"gateway-address" }

Dit werkt maar...hier moet een interface/VRF achter wat ik wel kan doen met de static route.

code:

add dst-address=0.0.0.0/0 gateway="1.1.1.1@VRF-ISP1" routing-table=main comment=ISP1-Default-Main

Op een of andere manier waar ik de "@VRF-ISP1" ook plak in het script krijg ik of een error of niet het gewenste resulaat. Weet iemand de syntax?

[pimlie]

@MasterL Even gezocht voor je op het mikrotik forum en hier heeft iemand een script gepost dat ook dynamisch een vrf route toevoegt: https://forum.mikrotik.com/viewtopic.php?p=1070806

[GarBaGe]

Mijn switch is de MikroTik CRS310-1G-5S-4S+IN
Ik heb gekozen deze toch maar met RouterOS te doen ipv SwitchOS, ook omdat RouterOS voor mij bekender overkomt.

Wat ik wel een nadeel vind van deze switch:
1. De fan is een 30x30x10mm fan, terwijl er veel vaker een 40x40mm fan geinstalleerd is. Er is dus geen Noctua fan voor te krijgen voor deze super kleine afmeting.
Met een beetje prutsen is er wellicht wel een 40x40 in te proppen.

2. De fan staat standaard op max rpm te draaien (11K rpm).
De fan is 4 pins, dus met RPM en PWM, waarmee ik verwacht dat deze wel temperatuur gestuurd zou zijn.
Kijkend in /System/Health zou dat ook moeten kunnen, echter....
de "fan-min-speed" (Sets the minimum percentage of fan speed thus not allowing fans to have a lower rpm than this value.) staat standaard op 25.
Toch staat de fan op 100% met de echte temperatuur lager dan de "fan-full-speed-temp" en de "fan-target-temp"

Wat blijkt... RouterOS kan de ventilator kennelijk alleen "aan" of "uit" schakelen.
Je moet dan de "fan-min-speed-percent" op "0"zetten.
Dan blijft de fan uit, totdat de temperatuur theshold bereikt wordt en dan gaat ie vol aan 100%.

Dit is met de meest recente RouterOS, versie 7.16.1

[X-DraGoN]

Wij willen gaan overstappen van een virtueel draaiende routerOS (LVL6 license) naar een fysieke router (eventueel met diezelfde licentie op of als dat niet gaat, een nieuwe).
Ik kan informatie vinden over de hEX refresh dat die geleverd wordt met licentie lvl 4, maar kan ik daar ook mijn licentie LVL 6 op zetten of niet?
Moet ik met andere woorden een device kopen dat sowieso rees geleverd word met LVL6 om ook effectief LVL6 te ondersteunen?

[mbovenka]

Nee, je kunt voor ieder device een hogere licentie kopen. Overzetten kan volgens mij niet. Maar kijk eerst in de lijst met licentie-limieten of je wel level 6 nodig hebt, voor gewone routing zijn de verschillen klein.

[Hmmbob]

download: RouterOS 7.16.2

Voor mij volgens mij niet echt belangrijke fixes, misschien voor jullie

[k-janssen]

Hmmbob schreef op woensdag 27 november 2024 @ 16:55:
download: RouterOS 7.16.2

Voor mij volgens mij niet echt belangrijke fixes, misschien voor jullie

Had hem als gezien maar niet aangemeld als software update aangezien tweakers het van mij niet wil horen of iig geen update melding (meer) doet als ik de redactie tip.
Wel geïnstalleerd op een L009 en draait tot op heden stabiel.

[FrankHe]

Zonet de firmware van een hAP ax lite geupgrade van 7.15.1 naar 7.16.2. Als die enkele dagen stabiel draait dan upgrade ik daarna ook de rest.

[Dadona]

Reboot was voldoende...

[ Voor 95% gewijzigd door Dadona op 11-01-2025 23:15 ]

[lier]

Je moet de DHCP server(s) koppelen aan de VLAN. Overigens net als het IP adres.
Kijk anders eens naar dit topic, daar kan je alles over VLAN's vinden:
https://forum.mikrotik.com/viewtopic.php?t=143620

[Dadona]

Dat is als de Mikrotik zelf de DHCP moet leveren, dat lukt wel, en het geval voor andere VLANs. Maar het punt is dat bij vLAN5 de DHCP geleverd dient te worden door de router die aan Ether5 hangt. Op die router is DHCP gewoon actief, maar op Ether5 zie ik geen DHCP requests binnenkomen. Maar op de bridge zie ik ze wel (en op vLAN25 uiteraard ook).

[lier]

Aah, helder. Kan je je /interface export hier posten?

Of anders:

code:

/interface bridge export
/interface bridge vlan export
/interface bridge port export
/interface vlan export

[ Voor 7% gewijzigd door lier op 11-01-2025 23:06 ]

[Dadona]

Hmm, er zal wel op de achtergrond iets hebben gedraaid. Het werkt nu opeens wel.

[chaoscontrol]

Hier de wAP AC's vervangen met wAP AX'en.Tevreden over. Ik gebruik nog een station-bridge tussen 2 RB2011 om LAN in de garage te hebben. Die moet ik nu upgraden naar L009's omdat ik er niet tegen kan dat de oude RB2011 nu niet in mijn nieuwe capsman beheerd kan worden.

Op termijn wil ik ook nog de RB5009 vervangen met de PoE versie. Dan kan de RB960PGS er uit en ben ik weer helemaal modern! (Op de CRS125-24G na dan...)

[Dadona]

Ah, toch niet. Met een reboot was het feest weer gedaan...

code:

[admin@MikroTik] /log> /interface bridge export

/interface bridge
add admin-mac=D4:01:C3:B4:0C:F9 auto-mac=no comment=defconf igmp-snooping=yes name=bridge vlan-filtering=yes
add fast-forward=no frame-types=admit-only-vlan-tagged name=iptv_bridge pvid=40 vlan-filtering=yes
add frame-types=admit-only-untagged-and-priority-tagged igmp-snooping=yes multicast-querier=yes name=wanBridge vlan-filtering=yes
/interface bridge port
add bridge=bridge comment=defconf interface=ether3 pvid=100
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=ether6
add bridge=bridge comment=defconf interface=ether7
add bridge=bridge comment=defconf interface=ether8
add bridge=bridge comment=defconf interface=sfp-sfpplus1
add bridge=wanBridge interface=ether2
add bridge=iptv_bridge ingress-filtering=no interface=vTV pvid=40
add bridge=iptv_bridge ingress-filtering=no interface=ether4 pvid=40
/interface bridge vlan
add bridge=bridge comment=VLAN_MG tagged=ether5,ether6,ether7 vlan-ids=101
add bridge=bridge comment="VLAN_IPTV" tagged=ether7,ether5,ether6 vlan-ids=40
[admin@MikroTik] /log> /interface bridge vlan export
X
/interface bridge vlan
add bridge=bridge comment=VLAN_MG tagged=ether5,ether6,ether7 vlan-ids=101
add bridge=bridge comment="VLAN_vTV" tagged=ether7,ether5,ether6 vlan-ids=40
[admin@MikroTik] /log> /interface bridge port export

/interface bridge port
add bridge=bridge comment=defconf interface=ether3 pvid=100
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=ether6
add bridge=bridge comment=defconf interface=ether7
add bridge=bridge comment=defconf interface=ether8
add bridge=bridge comment=defconf interface=sfp-sfpplus1
add bridge=wanBridge interface=ether2
add bridge=iptv_bridge ingress-filtering=no interface=vTV pvid=40
add bridge=iptv_bridge ingress-filtering=no interface=ether4 pvid=40
[admin@MikroTik] /log> /interface vlan export

/interface vlan
add interface=bridge name="v101 (MG)" vlan-id=101
add comment="vTV LAN" interface=bridge name=vTV vlan-id=40
[admin@MikroTik] /log>

Inmiddels kan ik wel iets beter aangeven waar het fout loopt.

• Zodra ik ether2 uit de wanBridge haal (/interface bridge port, en dan wanBridge uitschakel), dan kan ik vanuit interface vTV een IP ophalen over ether4. Maar dan heb ik geen Internet over de bridge (specifiek vanuit VLAN101 op de bridge).
• Zodra ik ether2 aan de wanBridge toevoeg, dan krijgt ik geen IP vanuit vTV, maar kan ik vanuit VLAN101 wel op het internet

Maar ik zie niet waarom juist met wanBridge het een impact heeft. Ether2 zit alleen daarop, doet niet mee aan de andere twee bridges. Het enige is dat Ether2 en Ether4 naar dezelfde (unmanaged) router gaan die een DHCP server draait.
Ik heb het idee dat het in de VLAN filtering opties in de bridges zit. Maar dan nog snap ik niet waarom Ether4 met vTV in de iptv_bridge last heeft van ether2 dat op een wanbridge zit.

[ Voor 12% gewijzigd door Dadona op 12-01-2025 14:02 ]

[pimlie]

@Dadona Welke IPTV provider heb je?

En als de uplink router unmanaged is, hoe weet die router welk verkeer hij naar ether2 respectievelijk ether4 moet sturen?

[Dadona]

Gaat hier om een KPN omgeving. Ik weet dat er opties zijn om de Mikrotik zelf het af te laten handelen, in plaats van die de KPN box, maar uit voorzorg kies ik liever de optie van de box er (nog) tussen.

Ether2 en ether4 hebben wel een MAC adres. Dus in principe zou de router moeten weten vanuit welke de DHCP requests komen lijkt mij. Maar in de gewenste situatie zou ik het allemaal over ether2 doen. Ether2 voor de WAN, en dan een VLAN op ether2 die specifiek voor de IPTV bridge is. Maar ook die configuratie werkte niet. Met de Ether4 kreeg ik het wel (even) voor elkaar tot een reboot.

[pimlie]

Dadona schreef op zondag 12 januari 2025 @ 14:26:
Gaat hier om een KPN omgeving. Ik weet dat er opties zijn om de Mikrotik zelf het af te laten handelen, in plaats van die de KPN box, maar uit voorzorg kies ik liever de optie van de box er (nog) tussen.

Ether2 en ether4 hebben wel een MAC adres. Dus in principe zou de router moeten weten vanuit welke de DHCP requests komen lijkt mij. Maar in de gewenste situatie zou ik het allemaal over ether2 doen. Ether2 voor de WAN, en dan een VLAN op ether2 die specifiek voor de IPTV bridge is. Maar ook die configuratie werkte niet. Met de Ether4 kreeg ik het wel (even) voor elkaar tot een reboot.

Uit voorzorg van wat? Ben je KPN IPTV voor de eerste keer werkend proberen te krijgen of ben je aan een optimalisatie bezig?

Maar als ik je setup goed begrijp, dan is de KPN router unaware van enige VLAN's? Indien zo, dan zou het verkeer op ether4 untagged zijn en zou je dit vb moeten kunnen volgen om ether4 als untagged port voor vlan 40 te configureren: https://help.mikrotik.com...ample-TrunkandAccessPorts (zie vooral die opmerking over Bridge ports with frame-types set to admit-only-untagged-and-priority-tagged will be automatically added as untagged ports for the pvid VLAN).
Wellicht zijn er meer verbeterpunten maar dit was het eerste wat me opviel.

[Dadona]

Als ik de KPN box weghaal, en de Mikrotik direct aan het Internet hang, dan moet ik wel goed zeker zijn dat ik alles goed geconfigureerd heb. En vooralsnog ben ik (nog) niet bedreven genoeg om daar zeker van te zijn.

De KPN router weet inderdaad niets van VLANs, maar ik had al de pvid op ether4 toegevoegd. Los daarvan heb ik nu ook untagged toegevoegd op de iptv_bridge (want daar hangt ether4 aan). Maar dat maakt geen verschil. Ik snap vooral niet wat ether2 op de wanbridge nu voor effect heeft op of ik een DHCP van ether4 krijg.

edit: Overigens zit ik ook te denken hoe ik het überhaupt over ether2 allemaal geregeld krijg met een unmanaged router aan de voorkant.

[ Voor 11% gewijzigd door Dadona op 12-01-2025 17:03 ]

[pimlie]

@Dadona Kan je misschien een netwerk diagram maken van wat nu eigenlijk je bedoeling is van hoe al het verkeer zou moeten lopen?

Voor zover ik je setup begrijp heeft de KPN doos een enkel intern netwerk en is het je bedoeling dat alle apparaten op je netwerk vooralsnog een DHCP adres krijgen van de KPN doos? Enige verschil is dat je IPTV decoder box via VLAN 40 vanaf de Mikrotik gaat (en dan via ether4 naar de KPN doos) terwjil normale apparatuur over een compleet untagged netwerk naar de Mikrotik gaan en dan via ether2 naar de KPN doos? En als jedus op de Mikrotik een dhcp client toevoegt aan bridge en bridge-iptv krijg je op beide interfaces een IP adres uit dezelfde range?

Als dat het geval is vergeet dan niet dat de Mikrotik een router is, en als je verkeer toch via de cpu loopt ipv op de switch chip blijft dat die adhv je routing & forwarding rules kan beslissen dat verkeer van VLAN 40 met eindbestemming de gateway op de KPN doos alsnog over ether2 gaat en niet over ether4 als je dat niet afdwingt via bv routing rules of een vrf.
Om te achterhalen wat er gebeurd, gebruik Tools -> Torch. Indien je configuratie goed werkt zou je volgens mij daar eigenlijk geen vlan 40 verkeer moeten zien, want al het verkeer zou op de switch chip moeten blijven en niet bij de cpu terug moeten komen. Als je wel vlan 40 verkeer in Torch ziet, dan loopt het verkeer dus toch over de cpu met al het mogelijke routing gedoe enzo.

[superyupkent]

Goedemiddag,

Ik heb thuis een RB3011, een CRS328P 24 poort poe switch, plus de CRS312 en 305, beide 10Gbe switches.

Ik heb mijn kpn glasvezel direct op een transceiver in de 24 poort poe switch. Een DAC kabel naar de 3011 en alle andere switches.

Op de 3011 komt vlan 6 binnen waarna ik de kpn pppoe sessie opbouw. Daarnaast verschillende vlans voor LAN, devices en TV. Ik heb mijn Synology plus 3 werkplekken op 10Gbe.

Mijn lan is vlan60 en mijn devices zijn vlan 70. Het viel me laatst op dat ik van vlan 60 naar vlan 70 mijn 10gbit niet haal. Mijn werkplekken zitten in 60 en mijn Synology in 70. Als ik mijn werkplek naar 70 verhuis haal ik met iperf 9,5gbit maar van 60 naar 70 max 1Gbit.

Na veel testen bleek het te komen door de zwakste schakel, de SPF cage op de 3011 is 1Gbit. En omdat alle vlans op de 3011 staan loopt het verkeer via die route. Nu kan ik natuurlijk alle vlans verplaatsen naar de crs328, of ik kan upgraden naar een rb5009 die SPF+ cages heeft. Of mijn netwerk segmentatie opgeven, maar dat doe ik liever niet.

Maar dacht, ik gooi het ook hier in de groep. Is er misschien wat slims te bouwen waardoor de routering netjes op de 3011 blijft maar al eerder op het trace bekend is dat het verkeer van vlan 60 naar 70 moet?

[GarBaGe]

superyupkent schreef op dinsdag 14 januari 2025 @ 12:23:
...Maar dacht, ik gooi het ook hier in de groep. Is er misschien wat slims te bouwen waardoor de routering netjes op de 3011 blijft maar al eerder op het trace bekend is dat het verkeer van vlan 60 naar 70 moet?

Tja, vlan naar vlan routing (of beter gezegd subnet naar subnet) loopt eigenlijk altijd over de gateway van het subnet (dat is de ontsluiting van je subnet) en daarmee min of meer automatisch via de router die het subnet definieert.
Je kan je natuurlijk afvragen of het slim is om je werkplekken en je Synology in verschillende vlans te plaatsen?
Wat wil je daarmee bereiken?
Veel Synologies hebben meerdere netwerk interfaces.
Misschien is het zinvol je Synology tegelijkertijd aan meerdere subnets te hangen?

[superyupkent]

De gedachte was om alle devices die zelf services draaien of 24/7 aan het internet hangen, te scheiden van mijn werkplekken.

Ook omdat alle cameras in het huis tegen de synology praten was dat logisch. Maar vanuit data en content oogpunt is het meer in de lijn der verwachting om dat binnen werkplek lan te houden.

[sambaloedjek]

Meest practische is om beide vlans naar een van de de CRS3 switches te verplaatsen en alleen het internet verkeer via de 3011 laten lopen.

[ Voor 7% gewijzigd door sambaloedjek op 14-01-2025 21:27 ]

[orvintax]

sambaloedjek schreef op dinsdag 14 januari 2025 @ 18:34:
Meest practische is om beide vlans naar een van de de CRS3 switches te verplaatsen en alleen het internet verkeer via de 3011 laten lopen.

Hoe zie je dat voor je? Want word dan niet een van de switches een tweede router?

[sambaloedjek]

orvintax schreef op woensdag 15 januari 2025 @ 16:29:
[...]

Hoe zie je dat voor je? Want word dan niet een van de switches een tweede router?

yep; een CRS3 switch gaat dan 10gbs duplex inter-vlan routen zonder CPU verbruik. Daar zijn die modellen voor gemaakt.
https://help.mikrotik.com...loading-Inter-VLANRouting

[ Voor 15% gewijzigd door sambaloedjek op 15-01-2025 18:13 ]

[Hmmbob]

Versie 7.17 is uit, met een flinke lijst aan changes

download: RouterOS 7.17

[chaoscontrol]

Goede update. Geen problemen meer met ESP32-S3 connecties met de AX AP's. Eindelijk band informatie in het registration scherm van de Wifi Qcom driver. Lijkt hier overal goed te werken.

[EverLast2002]

vraag:
ik heb een RB750Gr3 geconfigureerd als zijnde een switch (incl vlans).
Nu vroeg ik me af, is het nodig om firewall regels toe te voegen omdat die momenteel ontbreken (leeg).

[lier]

De vraag stellen is hem beantwoorden, @EverLast2002.
Uiteraard kan het (alles is mogelijk met MikroTik), denk niet dat het nodig hebt.
Je zou eventueel beheer van deze switch via een VLAN kunnen beperken.

Kijk voor meer info naar: https://forum.mikrotik.com/viewtopic.php?t=143620

[EverLast2002]

lier schreef op zaterdag 18 januari 2025 @ 16:41:
De vraag stellen is hem beantwoorden, @EverLast2002.
Uiteraard kan het (alles is mogelijk met MikroTik), denk niet dat het nodig hebt.
Je zou eventueel beheer van deze switch via een VLAN kunnen beperken.

Kijk voor meer info naar: https://forum.mikrotik.com/viewtopic.php?t=143620

Ik vraag dit omdat ik (inmiddels) wat ingewerkt ben met MikroTik,
maar soms nog wat vraagtekens heb in hun denkwijze.

Mijn hoofdrouter (OPNsense) regelt het VLAN verkeer en daarin staan ook firewall regels.
Misschien denk ik te ingewikkeld, maar is mijn RB750Gr3 switch dan (zonder VLAN firewall regels)
ook "op de hoogte van" de regels tussen VLANs ?

[babbelbox]

EverLast2002 schreef op zaterdag 18 januari 2025 @ 18:19:
[...]


Ik vraag dit omdat ik (inmiddels) wat ingewerkt ben met MikroTik,
maar soms nog wat vraagtekens heb in hun denkwijze.

Mijn hoofdrouter (OPNsense) regelt het VLAN verkeer en daarin staan ook firewall regels.
Misschien denk ik te ingewikkeld, maar is mijn RB750Gr3 switch dan (zonder VLAN firewall regels)
ook "op de hoogte van" de regels tussen VLANs ?

Ik zou je MikroTik slechts 1 IP address geven, in je management vlan. Dan valt er voor de MT niets te routeren en heb je ook geen lokale firewall regels nodig.

[EverLast2002]

babbelbox schreef op zaterdag 18 januari 2025 @ 18:28:
[...]

Ik zou je MikroTik slechts 1 IP address geven, in je management vlan. Dan valt er voor de MT niets te routeren en heb je ook geen lokale firewall regels nodig.

Zo heb ik het inderdaad geconfigureerd.

[babbelbox]

EverLast2002 schreef op zaterdag 18 januari 2025 @ 18:30:
[...]


Zo heb ik het inderdaad geconfigureerd.

Ik ook
Met dat verschil dan mijn router ook een MikroTik is.

[ Voor 13% gewijzigd door babbelbox op 18-01-2025 18:38 ]

[lier]

VLAN's zijn er om netwerken te scheiden, routers om deze al dan niet (via firewall rules) aan elkaar te knopen.

Oftewel, het volstaat om alleen VLAN's (goed) te configureren.

[babbelbox]

lier schreef op zaterdag 18 januari 2025 @ 19:50:
VLAN's zijn er om netwerken te scheiden, routers om deze al dan niet (via firewall rules) aan elkaar te knopen.

Oftewel, het volstaat om alleen VLAN's (goed) te configureren.

Eens.
Maar een MikroTik gaat routeren als er meerdere IP adressen op zitten, moet je uiteraard wel dát IP als next-hop gebruiken, maar het kan. Slechts 1 IP tbv management op je niet-core router is een goede stap tegen ongewenste routing, en neemt de noodzaak tot firewalling grotendeels weg. Je zou uiteraard als extra beveiliging de input chain kunnen configureren om toegang tot de router te limiteren, maar ik zou dat in de core router oplossen.

[sambaloedjek]

Voor IPv6 liefhebbers:

What's new in 7.18beta2 (2025-Jan-21 11:27):
*) ipv6 - added FastTrack support;
*) ipv6 - added routing FastPath support;

Heb het nu een dag draaien en werkt!

[orvintax]

sambaloedjek schreef op vrijdag 24 januari 2025 @ 13:59:
Voor IPv6 liefhebbers:

What's new in 7.18beta2 (2025-Jan-21 11:27):
*) ipv6 - added FastTrack support;
*) ipv6 - added routing FastPath support;

Heb het nu een dag draaien en werkt!

Sorry, maar is dit niet een flinke performance boost voor ipv6?

[mbovenka]

orvintax schreef op vrijdag 24 januari 2025 @ 15:33:
[...]

Sorry, maar is dit niet een flinke performance boost voor ipv6?

Zeker. De performance voor IPv6 wordt hiermee in principe gelijkgetrokken met die van IPv4.

[Erhnam]

Ik heb een probleem met het configureren van de firewall op mijn KPN verbinding. Ik wil graag een poort (3000) openstellen van buiten en deze forwarden naar een intern IP adres (192.168.0.247). Ik heb al van alles geprobeerd, maar ik kom er niet uit. De interne server is trouwens wel gewoon goed te bereiken, alleen dus van buiten kom ik er niet bij. Iemand een idee waar dit aan kan liggen. Bijgaan het stukje van de firewall settings. ik heb zowel de firewall filter als de firewall nat aangepast.

code:

/ip firewall filter
add action=accept chain=input comment="accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="drop invalid" connection-state=invalid
add action=accept chain=input comment="accept ICMP" in-interface=pppoe-client protocol=icmp
add action=accept chain=input comment="allow SSH" in-interface=pppoe-client port=2200 protocol=tcp
add action=accept chain=input comment="allow 3000" in-interface=pppoe-client port=3000 protocol=tcp
add action=drop chain=input comment="block everything else" in-interface=pppoe-client
add action=fasttrack-connection chain=forward comment="fast-track for established,related" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="accept established,related" connection-state=established,related
add action=drop chain=forward connection-state=invalid
add action=drop chain=forward comment="drop access to clients behind NAT from WAN" connection-nat-state=!dstnat connection-state=new in-interface=ether1
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe-client
add action=redirect chain=dst-nat dst-port=80 protocol=tcp src-address=192.168.0.0/24 to-ports=8080
add action=dst-nat chain=dstnat connection-type="" dst-port=3000 in-interface=pppoe-client protocol=tcp to-addresses=192.168.0.247 to-ports=3000

[nescafe]

Ik vind het nogal gevaarlijk om hierop te reageren @Erhnam, maar doe het toch even. De veiligste optie is om de default firewall van MikroTik te nemen, bij voorkeur met interface lists, en deze als volgt aan te passen:

Voor ssh:
Voeg een chain=input action=accept-regel toe voor ssh maar beperk het inkomende ssh-verkeer bij voorkeur met een address list

Voor poort 3000:
Voeg een action=dst-nat-rule toe, het eerste voorbeeld van de handleiding ( https://help.mikrotik.com/docs/spaces/ROS/pages/3211299/NAT ) maar dan met dst-address-type: /ip firewall nat add chain=dstnat action=dst-nat dst-address-type=local dst-port=3000 to-addresses=192.168.0.247 protocol=tcp

Ik zou dan ook nog even een hairpin-rule toevoegen.

In de default config koppel je pppoe-client aan interface list WAN en je firewall is compleet: filtering en masquerade op basis van interface lists.

De situatie die je nu hebt gecreëerd is een 'drop all' in je forward chain met in-interface=ether1 die niets uitricht omdat je internet (vermoedelijk) via pppoe-client binnenkomt. Daar heb je geen last van in de nieuwe firewall als je ether1 en pppoe-client in je WAN interface list opneemt.

De default config kun je verkrijgen via een /system default-configuration print (maak wel je terminal breed genoeg, of anders output naar file met print file=bestandsnaam).

[esphome]

Ik gebruik geen NAT om verkeer door te geleiden maar ik route het. Voordeel daarvan is dat het externe bron IP adres behouden blijft en zo kun je daar ook op filteren in de server.

De router moet wel weten waar het interne doel IP adres zich bevindt.

code:

add action=route chain=prerouting comment="Gaat niet door de NAT om het bron IP adres te behouden." dst-address=\
    x.x.x.x dst-port=3000 in-interface=pppoe-client passthrough=no protocol=tcp route-dst=192.168.0.247

En zo als eerder aangeven hierboven zorg dat je de beveiliging op orde hebt en zodat je geen vreemde gasten via poort 3000 binnenlaat. Ik zorg zelf dat ik meteen bij binnenkomst de filtering doe en dat is dan in RAW.

Als je een vast IP adres hebt dan kun je die op de x.x.x.x invullen.

[Erhnam]

nescafe schreef op maandag 27 januari 2025 @ 18:59:
Ik vind het nogal gevaarlijk om hierop te reageren @Erhnam, maar doe het toch even. De veiligste optie is om de default firewall van MikroTik te nemen, bij voorkeur met interface lists, en deze als volgt aan te passen:

Voor ssh:
Voeg een chain=input action=accept-regel toe voor ssh maar beperk het inkomende ssh-verkeer bij voorkeur met een address list

Voor poort 3000:
Voeg een action=dst-nat-rule toe, het eerste voorbeeld van de handleiding ( https://help.mikrotik.com/docs/spaces/ROS/pages/3211299/NAT ) maar dan met dst-address-type: /ip firewall nat add chain=dstnat action=dst-nat dst-address-type=local dst-port=3000 to-addresses=192.168.0.247 protocol=tcp

Ik zou dan ook nog even een hairpin-rule toevoegen.

In de default config koppel je pppoe-client aan interface list WAN en je firewall is compleet: filtering en masquerade op basis van interface lists.

De situatie die je nu hebt gecreëerd is een 'drop all' in je forward chain met in-interface=ether1 die niets uitricht omdat je internet (vermoedelijk) via pppoe-client binnenkomt. Daar heb je geen last van in de nieuwe firewall als je ether1 en pppoe-client in je WAN interface list opneemt.

De default config kun je verkrijgen via een /system default-configuration print (maak wel je terminal breed genoeg, of anders output naar file met print file=bestandsnaam).

Dank! Ik heb nu gedaan wat jij adviseert. Dus een interface list gemaakt:

code:

/interface list
add name=WAN
add name=LAN
/interface list member
add interface=bridge-local list=LAN
add interface=pppoe-client list=WAN
add interface=ether1 list=WAN

Verder had ik eerder deze tutorial gevolgt: https://help.mikrotik.com.../First+Time+Configuration

Hierin adviseert Mikrotik de volgende firewall rules:

code:

/ip firewall filter
  add chain=input action=accept connection-state=established,related,untracked comment="accept established,related,untracked"
  add chain=input action=drop connection-state=invalid comment="drop invalid"
  add chain=input in-interface=ether1 action=accept protocol=icmp comment="accept ICMP"
  add chain=input in-interface=ether1 action=accept protocol=tcp port=8291 comment="allow Winbox";
  add chain=input in-interface=ether1 action=accept protocol=tcp port=22 comment="allow SSH";
  add chain=input in-interface=ether1 action=drop comment="block everything else";

Let wel in mijn geval moet ik ether1 vervangen door pppoe-client.

In de default export krijg ik deze lijst te zien:

code:

/ip firewall nat add chain=srcnat out-interface-list=WAN ipsec-policy=out,none action=masquerade comment="defconf: masquerade"
/ip firewall {
   filter add chain=input action=accept connection-state=established,related,untracked comment="defconf: accept established,related,untracked"
   filter add chain=input action=drop connection-state=invalid comment="defconf: drop invalid"
   filter add chain=input action=accept protocol=icmp comment="defconf: accept ICMP"
   filter add chain=input action=accept dst-address=127.0.0.1 comment="defconf: accept to local loopback (for CAPsMAN)"
   filter add chain=input action=drop in-interface-list=!LAN comment="defconf: drop all not coming from LAN"
   filter add chain=forward action=accept ipsec-policy=in,ipsec comment="defconf: accept in ipsec policy"
   filter add chain=forward action=accept ipsec-policy=out,ipsec comment="defconf: accept out ipsec policy"
   filter add chain=forward action=fasttrack-connection connection-state=established,related comment="defconf: fasttrack"
   filter add chain=forward action=accept connection-state=established,related,untracked comment="defconf: accept established,related, untracked"
   filter add chain=forward action=drop connection-state=invalid comment="defconf: drop invalid"
   filter add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN comment="defconf: drop all from WAN not DSTNATed"
}

Adviseer je nu de firewall te vervangen door de default export? Of wat Mikrotik op de website meegeeft als tutorial?

[ Voor 5% gewijzigd door Erhnam op 27-01-2025 19:43 ]

[pimlie]

esphome schreef op maandag 27 januari 2025 @ 19:12:
Ik gebruik geen NAT om verkeer door te geleiden maar ik route het. Voordeel daarvan is dat het externe bron IP adres behouden blijft en zo kun je daar ook op filteren in de server.

De router moet wel weten waar het interne doel IP adres zich bevindt.

code:

add action=route chain=prerouting comment="Gaat niet door de NAT om het bron IP adres te behouden." dst-address=\
    x.x.x.x dst-port=3000 in-interface=pppoe-client passthrough=no protocol=tcp route-dst=192.168.0.247

Er is wel een belangrijk en potentieel groot verschil tussen action=route en action=dstnat, en ik zou dat daarom zeker niet zomaar adviseren om te gebruiken zonder dat mensen dat verschil goed begrijpen

[nescafe]

@Erhnam klopt, dat zou mijn advies zijn. Default firewall is prima. De router is in zijn fabrieksconfiguratie veilig. Het 'hardenen' van deze configuratie is in sommige situaties (publieke gebouwen) inderdaad aan te raden, maar in een default huis-tuin-en-keukensituatie niet echt noodzakelijk te noemen.

[Erhnam]

nescafe schreef op maandag 27 januari 2025 @ 19:45:
@Erhnam klopt, dat zou mijn advies zijn. Default firewall is prima. De router is in zijn fabrieksconfiguratie veilig. Het 'hardenen' van deze configuratie is in sommige situaties (publieke gebouwen) inderdaad aan te raden, maar in een default huis-tuin-en-keukensituatie niet echt noodzakelijk te noemen.

Super bedankt! Ik heb het nu allemaal werkend. Ook met de hairpin NAT rule. Dus als ik nu het internet ip adres intik, dan gaat die netjes terug naar binnen. Zie hier de volledige lijst met regels:

code:

/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN
add action=dst-nat chain=dstnat comment="forward 3000" dst-address-type=local dst-port=3000 protocol=tcp to-addresses=192.168.0.247
add action=dst-nat chain=dstnat dst-address-type=local dst-port=80 protocol=tcp to-addresses=192.168.0.247 to-ports=8080
add action=masquerade chain=srcnat dst-address=192.168.0.247 out-interface-list=LAN src-address=192.168.0.0/24

[Hmmbob]

download: RouterOS 7.17.1

[EverLast2002]

Ik had het idee om een Raspberry Pi Zero 2 via PoE aan te sluiten
op een hAP ax2.
Echter is de PoE output maar 0.6A van de ax2, dus veel te weinig om de RPi van stroom te voorzien (2.5A).

Daarom vraag ik me af wat je eigenlijk qua PoE apparatuur op de Mikrotik kan aansluiten,
als een RPi al 2.5A vraagt...

[chaoscontrol]

EverLast2002 schreef op zaterdag 15 februari 2025 @ 16:07:
Ik had het idee om een Raspberry Pi Zero 2 via PoE aan te sluiten
op een hAP ax2.
Echter is de PoE output maar 0.6A van de ax2, dus veel te weinig om de RPi van stroom te voorzien (2.5A).

Daarom vraag ik me af wat je eigenlijk qua PoE apparatuur op de Mikrotik kan aansluiten,
als een RPi al 2.5A vraagt...

2,5a op 5volt is iets heel anders dan 2,5a op 12/24/48 volt.

[EverLast2002]

chaoscontrol schreef op zaterdag 15 februari 2025 @ 16:10:
[...]

2,5a op 5volt is iets heel anders dan 2,5a op 12/24/48 volt.

ik heb 0 ervaring met PoE en ben geen electricien, je opmerking is waarschijnlijk goed bedoeld maar ik snap hem niet...