:fill(white):strip_exif()/i/2000549950.jpeg?f=thumbmini)
:strip_exif()/i/2005749774.png?f=thumbmini)
:fill(white):strip_exif()/i/2001690973.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000609859.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000752202.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000752204.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000549946.jpeg?f=thumbmini)
:strip_exif()/i/2001630061.png?f=thumbmini)
:fill(white):strip_exif()/i/2000550046.jpeg?f=thumbmini)
:strip_exif()/i/2001729163.png?f=thumbmini)
:fill(white):strip_exif()/i/2001894267.jpeg?f=thumbmini)
:strip_exif()/i/2001602173.png?f=thumbmini)
:fill(white):strip_exif()/i/2000627608.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2001033897.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2001603121.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000897642.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2002281701.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2002281691.jpeg?f=thumbmini)
:strip_exif()/i/2004729478.png?f=thumbmini)
:fill(white):strip_exif()/i/2000549949.jpeg?f=thumbmini)
:strip_exif()/i/2000645685.png?f=thumbmini)
:fill(white):strip_exif()/i/2001344711.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000600066.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/1395229077.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/1396256832.jpeg?f=thumbmini)
:strip_exif()/i/1395224034.png?f=thumbmini)
:strip_icc():strip_exif()/u/198189/crop67ecf5f08705a_cropped.jpg?f=community)
Even een heel andere ervaring.
Ik monitor al geruime tijd de up/download snelheid van m'n lijn, jsut for fun en nu kwam ik er van de week achter dat de upload een flink stuk lager ligt de afgelopen tijd.
/f/image/s8D3qqCTXq8z0Aj4qjZbmLsM.png?f=fotoalbum_large)
Op de 10e, de dag dat het een flinke stap maakt zijn er electra werkzaamheden geweest hier in de buurt en heeft de stroom er een tijdje uitgelegen.
Begin me toch af te vragen of een full power-down van de nodige equipment dit tot gevolg heeft.....
Ik monitor al geruime tijd de up/download snelheid van m'n lijn, jsut for fun en nu kwam ik er van de week achter dat de upload een flink stuk lager ligt de afgelopen tijd.
:strip_exif()/f/image/s8D3qqCTXq8z0Aj4qjZbmLsM.png?f=user_large)
Op de 10e, de dag dat het een flinke stap maakt zijn er electra werkzaamheden geweest hier in de buurt en heeft de stroom er een tijdje uitgelegen.
Begin me toch af te vragen of een full power-down van de nodige equipment dit tot gevolg heeft.....
/u/135967/avatar4.png?f=community){kind=avatar}
:strip_icc():strip_exif()/u/265525/crop5d7bbb61dc4e7_cropped.jpeg?f=community)
Ha!
Hier nog zo 1!
Ik had gedoe met mijn Netgear Orbi dus ik dacht die (en ook mijn Edgerouter) eruit en een Europees merk ervoor terug.
Getwijfeld tussen AVM en MikroTik en dus een hAP ax S aangeschaft, want de prijs was heel mooi (vergelijkbaar met een Edgerouter X die ook veel bang for the bucks is).
Wanneer je er bekend mee bent zal het vast allemaal goed te doen zijn, maar what fhe f?
Nooit gedacht dat ik een zoveel training nodig zou hebben om een OS van een router te moeten begrijpen
Het begint er al mee dat je ding moet resetten nadat je hem hebt gereset. Hu?!
Ik heb er nu een paar avonden mee zitten stoeien en nu na heel veel factory resets heb ik sinds gister de wifi wel werkend, maar moet het even aankijken of het ook echt stabiel blijft werken (dat denk ik vooralsnog wel).
Was in eerste instantie van plan zowel mijn Edgerouter als Orbi (AP) te vervangen door de hAP ax S, maar kwam al gauw tot de conclusie een stapje terug te doen en eerst deze maar als ap te gaan gebruiken naast mijn huidige apparatuur.
Ben ook wel een beetje teleurgesteld in het apparaat. De snelheden zijn om en nabij wifi 5 snelheden, terwijl ze adverteren met wifi 6 tot 900mbps. Ik haal minder dan 600mbps met mijn werk laptop en die heeft wifi 6E.
Ben ik mooi in de marketing gestonken.
Via ethernet haal ik gelukkig wel rond de 900 mbps, want anders was het wel heel teleurstellend.
In principe dezelfde snelheden als mijn Edgerouter X en wifi 5 Orbi AP.
Het configureren als AP was een heel avontuur. Ik ben ook geen "pro", maar heb nog nooit zo'n moeizaam OS gezien voor een router. Zelfs Ubiquiti vind ik logischer en makkelijker, maar wellicht komt dit doordat ik er meer ervaring mee heb.
Het volgende avontuur wordt uitvogelen hoe ik het apparaat ook geconfigureerd krijg als router met KPN glasvezel om toch te kijken of die mijn huidige Edgerouter x en Orbi kan vervangen. Dat was mijn doel en aangezien dit apparaat in ieder geval niet trager is dan mijn huidige/oude apparaten is dat nog steeds waar ik voor ga.
Ik heb mij wel enorm verkeken op RouterOS en mezelf enorm overschat.
Gelukkig vind ik zulke dingen wel leuk om uit te zoeken zolang ik niet compleet vastloopt dus dat scheelt.
[ Voor 5% gewijzigd door Mit-46 op 03-04-2026 20:52 ]
RouterOS is meer dan een OS van een router. Het is de moeite waard om in te verdiepen. En nooit erg om vragen te stellen. De documentatie is best compleet...het YouTube kanaal is meer dan de moeite waard!:
Wanneer je er bekend mee bent zal het vast allemaal goed te doen zijn, maar what fhe f?
Nooit gedacht dat ik een zoveel training nodig zou hebben om een OS van een router te moeten begrijpen
https://www.youtube.com/@mikrotik
Eerst het probleem, dan de oplossing
Het is mij tot nu toe gelukt met een Youtube beginners guide en op het internet zoeken naar "basic ap" configuraties om zodoende een idee te krijgen.
Ik moet eerlijk bekennen dat ik het meeste ook probeer vanaf een Linux Mint computer waar ik ook nog geen jaar ervaring mee heb. Het één en ander werkt toch anders dan ik gewend ben onder Windows (de firewall moet bijvoorbeeld uit, want anders werkt Winbox niet lekker of helemaal niet).
Winbox op zichzelf was ook zo iets. Dat doe ik wel via de browser allemaal dacht ik in den beginne. Dat heb je toch helemaal niet nodig?
Al met al een vooralsnog leuk avontuur, want ik kom wel steeds verder en leer dus ook steeds meer..
Hier (op GoT) vragen is vaak een laatste redmiddel van mij of wanneer ik bevestiging nodig heb. Vooralsnog heb ik mezelf weten te redden, maar ik weet jullie te vinden mocht ik vastlopen!
Ik ga mij dit weekend in de router (en i.c.m. KPN) verdiepen.
Ik gebruik Winbox 4.0.1.
Ik ben te onervaren met Linux Mint om eigenlijk goed te begrijpen wat ik aan het doen ben. Ik kan wel uitvogelen hoe ik iets moet doen, maar weten wat ik doe is iets anders. Door het te gebruiken en te ervaren leer ik ervan
Winbox ziet geen MAC adressen wanneer de firewall is ingeschakeld. Mogelijk kan het aan de configuratie van de firewall liggen en kan het ook anders zonder deze helemaal uit te schakelen, maar ik las op het internet dat uitschakelen soms helpt dus dat ben ik gaan proberen.
In mijn geval helpt het. Verder heb ik volgens mij een standaard Linux Mint configuratie daar. Het werkt op deze manier dus prima.
Ik ben vandaag voor het eerst de hele dag verbonden met de hAP ax S en het draait verder als een zonnetje (zowel ethernet als wifi).
Sinds vanavond ook met de Quad9 DNS servers weer ingesteld in mijn (nu nog) Edgerouter X en geen enkel probleem of uitval zoals met de Netgear Orbi AP. Die heeft wel alweer lopen haperen ondertussen sinds ik dat weer heb ingesteld.
Los van de wat mindere wifi 6 snelheden ben ik wel tevreden.
[ Voor 11% gewijzigd door Mit-46 op 03-04-2026 21:04 ]
Inmiddels weer een stapje verder
Dankzij een hoop configs die hier op Tweakers zijn gedeeld heb ik nu ook de router met IPv4 werkend weten te krijgen
IPv6 is nog niet gelukt. Daar weet ik ook helemaal niets van dus daar moet ik nog goed induiken. Hetzelfde geldt voor de firewall.
In mijn speurtocht naar RouterOS kwam ik de VPN functionaliteit tegen, Back To Home.
Ik heb mij er nog niet in verdiept, maar het leek mij een mooie manier om remote bijvoorbeeld met Home Assistant te verbinden. Dat doe ik nu met mijn oude router nog d.m.v. poorten forwarden. Dit lijkt mij een betere oplossing.
Ik wil uiteindelijk ook een soort NAS achtig iets opzetten thuis en daar leek het ook geschikt voor volgens de marketing filmpjes
Zijn er mensen die dit gebruiken met bijvoorbeeld Home Assistant en/of een NAS (thuis opslag)?
Dankzij een hoop configs die hier op Tweakers zijn gedeeld heb ik nu ook de router met IPv4 werkend weten te krijgen
IPv6 is nog niet gelukt. Daar weet ik ook helemaal niets van dus daar moet ik nog goed induiken. Hetzelfde geldt voor de firewall.
In mijn speurtocht naar RouterOS kwam ik de VPN functionaliteit tegen, Back To Home.
Ik heb mij er nog niet in verdiept, maar het leek mij een mooie manier om remote bijvoorbeeld met Home Assistant te verbinden. Dat doe ik nu met mijn oude router nog d.m.v. poorten forwarden. Dit lijkt mij een betere oplossing.
Ik wil uiteindelijk ook een soort NAS achtig iets opzetten thuis en daar leek het ook geschikt voor volgens de marketing filmpjes
Zijn er mensen die dit gebruiken met bijvoorbeeld Home Assistant en/of een NAS (thuis opslag)?
@Mit-46 Back to home is inderdaad een Wireguard tunnel. Ik heb hem zelf en bij iemand anders ingesteld, is echt heel simpel en werkt prima. Ik gebruik zelf liever de Wireguard app (op iOS) omdat die on demand is en kan gedefinieerde SSIDs uitsluiten. Op Android werkt dat niet, dus dan is Back to home prima.
Voordeel van Back to home is dat hij dynamisch is en dus niet gefixeerd is op je ip adres maar op basis van een adres binnen *.vpn.mynetname.net. Ik gebruik hem dus als backup voor als mijn externe ip adres verandert, dan kan ik in ieder geval het nieuwe adres vinden voor in de Wireguard app.
@jeroen3 Heb laatst toevallig naar Zerotier gekeken, maar daar moet je meteen voor betalen wat ik zag? Tailscale en Netbird zijn iets ‘vriendelijker’ wat dat betreft, maar niet (zo eenvoudig) in te stellen op een MikroTik.
Voordeel van Back to home is dat hij dynamisch is en dus niet gefixeerd is op je ip adres maar op basis van een adres binnen *.vpn.mynetname.net. Ik gebruik hem dus als backup voor als mijn externe ip adres verandert, dan kan ik in ieder geval het nieuwe adres vinden voor in de Wireguard app
.@jeroen3 Heb laatst toevallig naar Zerotier gekeken, maar daar moet je meteen voor betalen wat ik zag? Tailscale en Netbird zijn iets ‘vriendelijker’ wat dat betreft, maar niet (zo eenvoudig) in te stellen op een MikroTik.
Dat klinkt super! Thanks voor de info!:
@Mit-46 Back to home is inderdaad een Wireguard tunnel. Ik heb hem zelf en bij iemand anders ingesteld, is echt heel simpel en werkt prima. Ik gebruik zelf liever de Wireguard app (op iOS) omdat die on demand is en enkele SSIDs uitsluiten. Op Android werkt dat niet, dus dan is Back to home prima.
Voordeel van Back to home is dat hij dynamisch is en dus niet gefixeerd is op je ip adres maar op basis van een adres binnen *.vpn.mynetname.net. Ik gebruik hem dus als backup voor als mijn externe ip adres verandert, dan kan ik in ieder geval het nieuwe adres vinden voor in de Wireguard app
@jeroen3 Heb laatst toevallig naar Zerotier gekeken, maar daar moet je meteen voor betalen wat ik zag? Tailscale en Netbird zijn iets ‘vriendelijker’ wat dat betreft! maar niet (zo eenvoudig) in te stellen op een MikroTik.
/u/35508/crop61e6aa7b579e2_cropped.png?f=community)
Tip; WG tunnel voor Android gebruiken.:
@Mit-46 Back to home is inderdaad een Wireguard tunnel. Ik heb hem zelf en bij iemand anders ingesteld, is echt heel simpel en werkt prima. Ik gebruik zelf liever de Wireguard app (op iOS) omdat die on demand is en kan gedefinieerde SSIDs uitsluiten. Op Android werkt dat niet, dus dan is Back to home prima.
Voordeel van Back to home is dat hij dynamisch is en dus niet gefixeerd is op je ip adres maar op basis van een adres binnen *.vpn.mynetname.net. Ik gebruik hem dus als backup voor als mijn externe ip adres verandert, dan kan ik in ieder geval het nieuwe adres vinden voor in de Wireguard app
@jeroen3 Heb laatst toevallig naar Zerotier gekeken, maar daar moet je meteen voor betalen wat ik zag? Tailscale en Netbird zijn iets ‘vriendelijker’ wat dat betreft, maar niet (zo eenvoudig) in te stellen op een MikroTik.
Die heeft al die functies wel voor een wireguard tunnel.
:strip_exif()/u/3157/sail4L_S70.gif?f=community)
I´d rather be a hypocrite than the same person forever (Yauch)| 🎸 Niets is zo permanent als een tijdelijke oplossing | Een goed probleem komt nooit alleen | Gibson guitar Fender Guitar God Damn Guitar
/u/1401/haroid_icon_60x60.png?f=community){kind=icon}
Dat is dus "WG Tunnel" zoals benoemd door @Vorkie
Ook beschikbaar op F-Droid
https://wgtunnel.com/download
WG Tunnel kreeg ik niet lekker aan de praat op Android, ben vergeten wat het probleem was, degene met Android is blij met Back to Home, dan ben ik ook blij .
.
@GarBaGe Andere optie is de uitvoering: MikroTik CRS326-4C+20G+2Q+RM. Mocht je meer dan 4x 10G nodig hebben kan je een qsfp+ splitter/breakout gebruiken (40Gb -> 4x10Gb). Dus CRS326 is dan max 12x 10G en 16x 2.5G
Wel prijzig
Wel prijzig
Ik zit nog in de late uurtjes mij te verdiepen in de router. Toevallig met de firewall rules en nu zag ik opeens allemaal rare meldingen in de logs.
Ik kijk continu in de logs aangezien ik RouterOS nog aan het ontdekken ben en er nogal vaak van alles niet goed gaat.
Vandaag heb ik volgens mij eindelijk de DNS instellingen echt werkend gekregen (DoH is nog me nog niet gelukt) en vanavond begonnen mij maar eens in de firewall te verdiepen.
Ik had tot nu een config van het internet geplukt zonder ook maar enig idee te hebben hoe het precies werkt, maar was nog tot vanavond nog aan het stoeien met IPv6 en DNS. Soms denk je dat iets werkt en dan opeens werkt het later toch niet
Zie ik tot mijn verbazing opeens allemaal inlogpogingen voorbijkomen. Dacht eerst dat de router vastgelopen was, maar toen het na een reboot bleef ben ik gaan Googlen en schrok ik wel. Het lijkt op een aanval. Ik kan er niets anders van maken.
Het lijkt erop alsof ze steeds een andere gebruikersnaam probeerde. Deze heb ik gelukkig gewijzigd en "admin" disabled, omdat ik dit in een filmpje op Youtube had gezien.
Daarin werd ook aangegeven alle inlogmethodes uit te schakelen die je niet gebruikt, maar dat had ik niet gedaan. Ik begrijp nu waarom
Heb meteen alles uitgeschakeld behalve Winbox en sindsdien is het gestopt. De logs zijn enorm. Vanaf het begin totdat ik het zag en ook begreep wat er gebeurde zijn er 25 oid minuten voorbij gegaan.
Ik schrok hier wel van. Het is dat ik een weekje vrij heb anders lag ik al lang te slapen.
Is dit nu echt waar het op lijkt?
Het ene IP adres komt uit China en de andere uit Nederland.
Het was niet alleen via telnet zoals op de screenshots. Ook via ssh, api en wellicht nog andere. Kan het niet meer allemaal zien vanwege de reboot.
Ik ga nu naar bed en om vannacht niet gillend wakker te schrikken trek ik de kabel maar uit de router voor deze nacht.
/f/image/5JvBsYiQ4ZZb0XxYE5z2eHha.png?f=fotoalbum_large)
/f/image/3CRGgouOgsp1Imyibd5myzul.png?f=fotoalbum_large)
Edit:
Typo's
Ik kijk continu in de logs aangezien ik RouterOS nog aan het ontdekken ben en er nogal vaak van alles niet goed gaat.
Vandaag heb ik volgens mij eindelijk de DNS instellingen echt werkend gekregen (DoH is nog me nog niet gelukt) en vanavond begonnen mij maar eens in de firewall te verdiepen.
Ik had tot nu een config van het internet geplukt zonder ook maar enig idee te hebben hoe het precies werkt, maar was nog tot vanavond nog aan het stoeien met IPv6 en DNS. Soms denk je dat iets werkt en dan opeens werkt het later toch niet
Zie ik tot mijn verbazing opeens allemaal inlogpogingen voorbijkomen. Dacht eerst dat de router vastgelopen was, maar toen het na een reboot bleef ben ik gaan Googlen en schrok ik wel. Het lijkt op een aanval. Ik kan er niets anders van maken.
Het lijkt erop alsof ze steeds een andere gebruikersnaam probeerde. Deze heb ik gelukkig gewijzigd en "admin" disabled, omdat ik dit in een filmpje op Youtube had gezien.
Daarin werd ook aangegeven alle inlogmethodes uit te schakelen die je niet gebruikt, maar dat had ik niet gedaan. Ik begrijp nu waarom
Heb meteen alles uitgeschakeld behalve Winbox en sindsdien is het gestopt. De logs zijn enorm. Vanaf het begin totdat ik het zag en ook begreep wat er gebeurde zijn er 25 oid minuten voorbij gegaan.
Ik schrok hier wel van. Het is dat ik een weekje vrij heb anders lag ik al lang te slapen.
Is dit nu echt waar het op lijkt?
Het ene IP adres komt uit China en de andere uit Nederland.
Het was niet alleen via telnet zoals op de screenshots. Ook via ssh, api en wellicht nog andere. Kan het niet meer allemaal zien vanwege de reboot.
Ik ga nu naar bed en om vannacht niet gillend wakker te schrikken trek ik de kabel maar uit de router voor deze nacht.
:strip_exif()/f/image/5JvBsYiQ4ZZb0XxYE5z2eHha.png?f=user_large)
:strip_exif()/f/image/3CRGgouOgsp1Imyibd5myzul.png?f=user_large)
Edit:
Typo's
/u/189310/crop571f5b38cbd6b_cropped.png?f=community)
:strip_icc():strip_exif()/u/340735/crop6448f8f93e3de.jpg?f=community)
Ik denk dat het daar ook fout is gegaan. Ik heb twee beginner guides op Youtube bekeken en daar wordt aangegeven meteen te beginnen zonder default config. Dat heb ik dus gedaan, maar bij de eerste guide waren de eerste stappen meteen een nieuw admin account aanmaken en het default admin account uitschakelen. Daarna meteen alle inlogmogelijkheden beperken. Het stukje m.b.t. de accounts heb ik gedaan, maar de inlogmodelijkbeden uitschakelen dan weer niet. Gevalletje PICNIC.
Ik zat mij gisternacht al af te vragen waarom de firewall dit niet had tegengehouden, maar dat komt dus omdat ik de firewall in den beginne meteen gewist had en maar heel beperkt had ingesteld. Ik was nog niet zover dat ik tot het stukje "firewall" was gekomen, want ik was erg gefocust op de verbindingen werkend krijgen.
Op zich zijn die guides niet verkeerd denk ik, maar ik heb nu beseft dat ik het niet goed heb aangepakt. Ik heb de wifi en IPv4 aan de gang gekregen en toen besloten mijn oude router meteen te vervangen. Ik had eerst het hele riedeltje van A tot Z moeten doorlopen/configureren en dan pas de boel in gebruik moeten nemen.
Ik zit nu anderhalf tot 2 weken een beetje onveilig op het internet.
Nu had ik wel firewall rules aangemaakt, maar heel minimaal om enkel de boel werkend te krijgen. Niet veilig dus.
Voor IPv6 heb ik oeletoeter.nl gebruikt en die heeft heel veel rules, maar of het nu goed is weet ik niet. Dat hoop ik vandaag te gaan leren.
Op zich is het wel een eye opener geweest en is het geluk bij een ongeluk dat ik het gezien heb. Anders had ik het nog steeds open staan allemaal zonder te begrijpen waarom je dit dus dicht moet zetten.
Ik heb mij nooit echt in security verdiept behalve oppervlakkige basisinstellingen. Ook niet bij mijn Ubiquity router. Daar gebruikte ik gewoon default aanbevolen instellingen wat misschien niet verkeerd hoeft te zijn, maar ik heb werkelijk geen idee.
Normaliter zit ik niet in mijn router te kijken wanneer alles draait. Laat staan in de logs.
Ben nu wel gemotiveerd om wat aandacht aan de firewall te besteden en daar wat meer over te leren. IPv6 is wel een uitdaging, want van IPv6 weet ik echt niets. Ik neem aan (of hoop eigenlijk) dat dit voor de firewall niet uitmaakt vergeleken met IPv4.
Zit er ook aan te denken om de boel straks te resetten en te beginnen met de default config en vanuit daar het verder in te gaan stellen om te kijken hoe dat eruit ziet.
Leuk dingetje is dat de Back To Home VPN heel goed werkt! Heel simpel (maakt zelf een firewall rule aan). Mijn Home Assistant benader ik nu daarmee en heb dus geen poorten opengezet zoals in mijn oude situatie. Ik moet nog wel even kijken hoe ik het verder kan gaan gebruiken mbt bestanden delen, maar dat komt wel.
/u/148921/meteoravatar.png?f=community){kind=avatar}
In de Wireguard van Mikrotik kan je ook een ddns meegeven aan de peers. Dat is dynamisch. In de /Cloud heb je de optie om Mikrotiks versie van ddns te activeren. Dan hoef je nooit meer in je Wireguard client opnieuw een ip adres in te stellen.:
@Mit-46 Back to home is inderdaad een Wireguard tunnel. Ik heb hem zelf en bij iemand anders ingesteld, is echt heel simpel en werkt prima. Ik gebruik zelf liever de Wireguard app (op iOS) omdat die on demand is en kan gedefinieerde SSIDs uitsluiten. Op Android werkt dat niet, dus dan is Back to home prima.
Voordeel van Back to home is dat hij dynamisch is en dus niet gefixeerd is op je ip adres maar op basis van een adres binnen *.vpn.mynetname.net. Ik gebruik hem dus als backup voor als mijn externe ip adres verandert, dan kan ik in ieder geval het nieuwe adres vinden voor in de Wireguard app
@jeroen3 Heb laatst toevallig naar Zerotier gekeken, maar daar moet je meteen voor betalen wat ik zag? Tailscale en Netbird zijn iets ‘vriendelijker’ wat dat betreft, maar niet (zo eenvoudig) in te stellen op een MikroTik.
Ik heb vandaag de default firewall regels vergeleken met mijn eigen regels en daar waar nodig mijn eigen aangevuld.
Zelf had ik meer regels (gevonden in video's en forums), maar toch niet alle default regels merkte ik.
Heb besloten ze naast elkaar te leggen en mijn eigen config aan te passen ipv opnieuw te beginnen en vervolgens de default config aan te vullen met wat ik al had.
Ik heb ook alle remote access uitgeschakeld en enkel Winbox ingeschakeld via lokale IP adressen. Dit lijkt mij het veiligst en scheelt een hoop firewall regels aangezien niets openstaat. Back To Home heb ik wel ingesteld.
Ik kwam op Youtube filmpjes tegen mbt port knocking en bruteforce protection.
Gezien ik alle remote access (en poorten) heb uitgeschakeld zijn de firewall regels m.b.t. port knocking en bruteforce protection toch niet nodig? Of zie ik dat verkeerd?
Ik heb zojuist een port scan gedaan m.b.v. de link die Kaaas heeft gedeeld en daar kwam enkel port 53 (DNS) naar voren.
DoH is me van de week niet gelukt , maar dat bewaar ik voor een volgende vakantie of lang weekend.
In ieder geval heb ik nu IPv4 en IPv6 ingesteld (ik heb KPN glasvezel btw), Wifi en LAN, firewall rules voor IPv4 en IPv6, alle remote access (op BTH na) uitgeschakeld en zoveel mogelijk poorten dichtgezet (ftp, etc.).
Ik heb van de week wel gemerkt dat ik soms s'morgens kort geen internetverbinding heb. Meestal is het weer terug nog voordat ik mijn bed uit ben. Hopelijk is dat na het aanpassen van de firewall regels nu ook opgelost en anders moet ik daar nog wel naar kijken.
Hopelijk voor nu even klaar met het RouterOS avontuur. Het waren een paar intensieve weken en met name afgelopen week
In de toekomst (nog ver weg) eens kijken naar een wifi 7 apparaat.
Ben voor nu wel blij.
Iedereen bedankt voor de tips and trics.
Zelf had ik meer regels (gevonden in video's en forums), maar toch niet alle default regels merkte ik.
Heb besloten ze naast elkaar te leggen en mijn eigen config aan te passen ipv opnieuw te beginnen en vervolgens de default config aan te vullen met wat ik al had.
Ik heb ook alle remote access uitgeschakeld en enkel Winbox ingeschakeld via lokale IP adressen. Dit lijkt mij het veiligst en scheelt een hoop firewall regels aangezien niets openstaat. Back To Home heb ik wel ingesteld.
Ik kwam op Youtube filmpjes tegen mbt port knocking en bruteforce protection.
Gezien ik alle remote access (en poorten) heb uitgeschakeld zijn de firewall regels m.b.t. port knocking en bruteforce protection toch niet nodig? Of zie ik dat verkeerd?
Ik heb zojuist een port scan gedaan m.b.v. de link die Kaaas heeft gedeeld en daar kwam enkel port 53 (DNS) naar voren.
DoH is me van de week niet gelukt , maar dat bewaar ik voor een volgende vakantie of lang weekend.
In ieder geval heb ik nu IPv4 en IPv6 ingesteld (ik heb KPN glasvezel btw), Wifi en LAN, firewall rules voor IPv4 en IPv6, alle remote access (op BTH na) uitgeschakeld en zoveel mogelijk poorten dichtgezet (ftp, etc.).
Ik heb van de week wel gemerkt dat ik soms s'morgens kort geen internetverbinding heb. Meestal is het weer terug nog voordat ik mijn bed uit ben. Hopelijk is dat na het aanpassen van de firewall regels nu ook opgelost en anders moet ik daar nog wel naar kijken.
Hopelijk voor nu even klaar met het RouterOS avontuur. Het waren een paar intensieve weken en met name afgelopen week
In de toekomst (nog ver weg) eens kijken naar een wifi 7 apparaat.
Ben voor nu wel blij.
Iedereen bedankt voor de tips and trics.
Ik heb 2 firewall regels aangemaakt, omdat ik dit op Youtube heb gezien.
Zijn die niet nodig?
code:
edit:1
2
3
4
5
6
7
| 10 ;;; Allow DNS to local (TCP)
chain=input action=accept protocol=tcp in-interface-list=LAN-list dst-port=53 log=no log-prefix=""
11 ;;; Allow DNS to local (UDP)
chain=input action=accept protocol=udp in-interface-list=LAN-list dst-port=53 log=no log-prefix=""
-- [Q quit|D dump|up|down] |
Had alle regels gepost, maar bedacht mij dat dit misschien niet zo slim is.
Edit 2:
Ik heb bovenstaande 2 regels disabled en twee rules Gegoogled om poort 53 te blokkeren via de WAN list interface list.
Ze krijgen nu ook een time out (net als alle andere common ports).
Dank voor de tip
[ Voor 84% gewijzigd door Mit-46 op 11-04-2026 21:03 ]
/u/358033/crop696e2e1aa88b6_cropped.png?f=community)
Dank weer voor de info. Ik zal zo eens kijken hoe ik de export correct kan maken.
Het werkt allemaal nog niet goed dus kan wel wat hulp gebruiken.
Vandaag maakt BTH opeens geen verbinding meer dus geen idee wat ik gister heb gedaan waardoor dit nu weer is ontstaan.
Per toeval op de trail and error toer kom ik erachter dat BTH de poort van Winbox nodig heeft. Die heb ik gister gewijzigd naar iets anders. Ik heb de nieuwe poort achter het IP adres geplakt in de app en daarmee kan ik weer verbinding maken.
Ook heb ik (nog steeds) dat apparaten soms geen internetverbinding meer hebben. Ik denk dat het alleen apparaten zijn die via wifi verbonden zijn, maar ik kan er niet echt de vinger op leggen.
Het valt mij vooral op bij telefoons in de ochtend als ik net wakker wordt. Soms heeft de ene wel internet en de andere niet terwijl ze beide met hetzelfde wifi netwerk verbonden zijn. Ik heb de 5G verbinding uitgesloten/uitgeschakeld bij het testen.
Het gebeurt soms ook met mijn laptop. Ik kan op zulke momenten wel verbinden met Winbox en lokaal werkt alles. In Winbox zie ik verder geen bijzondere meldingen in de logs. Althans niet voor zover ik het begrijp.
Het is niet zo dat de hele internetverbinding eruit ligt, want mijn NUC die verbonden is via ethernet blijft het gewoon doen als bijvoorbeeld de laptop de verbinding verliest. Zelfs niet alle wifi apparaten verliezen de verbinding.
Soms meerdere tegelijk, maar soms ook niet. Voor mijn gevoel is het ook compleet random (maar dit zal ongetwijfeld niet zo zijn, wanneer duidelijk is waar het aan ligt).
Heftig spul dat Mikrotik
Het werkt allemaal nog niet goed dus kan wel wat hulp gebruiken.
Vandaag maakt BTH opeens geen verbinding meer dus geen idee wat ik gister heb gedaan waardoor dit nu weer is ontstaan.
Per toeval op de trail and error toer kom ik erachter dat BTH de poort van Winbox nodig heeft. Die heb ik gister gewijzigd naar iets anders. Ik heb de nieuwe poort achter het IP adres geplakt in de app en daarmee kan ik weer verbinding maken.
Ook heb ik (nog steeds) dat apparaten soms geen internetverbinding meer hebben. Ik denk dat het alleen apparaten zijn die via wifi verbonden zijn, maar ik kan er niet echt de vinger op leggen.
Het valt mij vooral op bij telefoons in de ochtend als ik net wakker wordt. Soms heeft de ene wel internet en de andere niet terwijl ze beide met hetzelfde wifi netwerk verbonden zijn. Ik heb de 5G verbinding uitgesloten/uitgeschakeld bij het testen.
Het gebeurt soms ook met mijn laptop. Ik kan op zulke momenten wel verbinden met Winbox en lokaal werkt alles. In Winbox zie ik verder geen bijzondere meldingen in de logs. Althans niet voor zover ik het begrijp.
Het is niet zo dat de hele internetverbinding eruit ligt, want mijn NUC die verbonden is via ethernet blijft het gewoon doen als bijvoorbeeld de laptop de verbinding verliest. Zelfs niet alle wifi apparaten verliezen de verbinding.
Soms meerdere tegelijk, maar soms ook niet. Voor mijn gevoel is het ook compleet random (maar dit zal ongetwijfeld niet zo zijn, wanneer duidelijk is waar het aan ligt).
Heftig spul dat Mikrotik
[ Voor 16% gewijzigd door Mit-46 op 12-04-2026 19:53 ]
Dit is de /ip firewall en ook de /ip service config.
Doordat ik onderaan de /ip firewall service ports zag staan, met in eerste instantie alleen ftp en tftp, heb ik daar zojuist ook onderstaande 3 aan toegevoegd.
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
Als ik het goed lees zijn die voor VOIP en een verouderd VPN protocol. Ik denk dat dit slim is, maar weten doe ik eigenlijk (nog) niet
(Als ik het goed lees/begrijp heeft het geen effect op bijvoorbeeld Discord VOIP).
Mocht iemand zin hebben om het te beoordelen zou ik dat heel fijn vinden.
Volgens mij klopt de volgorde van de laatste 3 forward regels niet.
Ik heb IP adressen, poorten en andere cijfertjes weggehaald voor mijn eigen gemoedsrust. Welke er wel staan zijn gewijzigd op de port 53 na regels na.
Doordat ik onderaan de /ip firewall service ports zag staan, met in eerste instantie alleen ftp en tftp, heb ik daar zojuist ook onderstaande 3 aan toegevoegd.
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
Als ik het goed lees zijn die voor VOIP en een verouderd VPN protocol. Ik denk dat dit slim is, maar weten doe ik eigenlijk (nog) niet
(Als ik het goed lees/begrijp heeft het geen effect op bijvoorbeeld Discord VOIP).
Mocht iemand zin hebben om het te beoordelen zou ik dat heel fijn vinden.
Volgens mij klopt de volgorde van de laatste 3 forward regels niet.
Ik heb IP adressen, poorten en andere cijfertjes weggehaald voor mijn eigen gemoedsrust. Welke er wel staan zijn gewijzigd op de port 53 na regels na.
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
| /ip firewall filter
add action=accept chain=input comment=\
"Connection state established-related - untracked-ACCEPT" \
connection-state=established,related,untracked
add action=drop chain=input comment="Connection state - Invalid - DROP" \
connection-state=invalid
add action=accept chain=input comment=Ping-ACCEPT protocol=icmp
add action=accept chain=input comment="Local loopback for CAPsMAN - ACCEPT" \
dst-address=0.0.0.0 in-interface=lo src-address=0.0.0.0
add action=add-src-to-address-list address-list=port_scanners \
address-list-timeout=1d chain=input comment="Add port scanners to list" \
protocol=tcp psd=21,3s,3,1
add action=drop chain=input comment="Drop port scanners" src-address-list=\
port_scanners
add action=accept chain=input comment="LAN=list -ACCEPT" in-interface-list=\
LAN-list
add action=drop chain=input comment="DROP all not coming from LAN-list" \
in-interface-list=!LAN-list
add action=drop chain=input comment="WAN DNS port 53 UDP DROP" dst-port=53 \
in-interface-list=WAN-list protocol=udp
add action=drop chain=input comment="WAN DNS port 53 TCP DROP" dst-port=53 \
in-interface-list=WAN-list protocol=tcp
add action=drop chain=input comment="WAN (ether1) to router- DROP ALL" \
in-interface-list=WAN-list
add action=accept chain=forward comment="IPSEC policy IN - ACCEPT" \
ipsec-policy=in,ipsec
add action=drop chain=forward comment="IPSEC policy OUT - ACCEPT" \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment=\
"Fasttrack - established - related" connection-state=established,related
add action=accept chain=forward comment=\
"Connection state established-related-untracked ACCEPT" connection-state=\
established,related,untracked
add action=drop chain=forward comment="Connection state - Invalid - DROP" \
connection-state=invalid
add action=accept chain=forward comment="LAN to WAN - ACCEPT (2)" \
in-interface-list=LAN-list out-interface-list=WAN-list
add action=drop chain=forward comment="DROP all not coming from LAN-list" \
in-interface-list=!LAN-list
add action=drop chain=forward comment="DROP all from WAN not DSTNATed" \
connection-nat-state=!dstnat in-interface-list=WAN-list
add action=drop chain=input comment="Block Winbox default port 8291" \
dst-port=8291 in-interface=ether1 protocol=tcp
/ip firewall nat
add action=masquerade chain=srcnat comment=Masquerade out-interface=\
pppoe-client
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
/ip service
set ftp disabled=yes
set ssh disabled=yes
set telnet disabled=yes
set www disabled=yes
set winbox address=ipadresshere max-sessions=*** port=notdefault
set api disabled=yes
set api-ssl disabled=yes
/ip service webserver
set graphs-plain=no graphs-secure=no rest-plain=no rest-secure=no \
webfig-plain=no webfig-secure=no |
Ik had het wel ingesteld, maar weer weggehaald, omdat het niet werkte.
Dit zijn nu mijn DNS instellingen:
(Peer DNS staat uit in interface van PPPOE client.)
Vandaag heeft alles de hele dag gewerkt zonder hickup op de ochtend na bij 1 telefoon.
Dit zijn nu mijn DNS instellingen:
code:
Onder /IP DHCP server / Networks heb ik in de netwerkinstellingen onder DNS het lokale IP adres van de router ingevoerd. 1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
| /IP DNS servers: 9.9.9.9 149.112.112.112 (Quad 9 DNS servers) dynamic-servers: use-doh-server: verify-doh-cert: no doh-max-server-connections: 5 doh-max-concurrent-queries: 50 doh-timeout: 5s allow-remote-requests: yes max-udp-packet-size: 4096 query-server-timeout: 2s query-total-timeout: 10s max-concurrent-queries: 100 max-concurrent-tcp-sessions: 20 cache-size: 2048KiB cache-max-ttl: 1w address-list-extra-time: 0s vrf: main mdns-repeat-ifaces: cache-used: 47KiB |
(Peer DNS staat uit in interface van PPPOE client.)
Vandaag heeft alles de hele dag gewerkt zonder hickup op de ochtend na bij 1 telefoon.
Toeval of niet, maar ik ben vandaag weer aan het werk na een week vakantie en ook vanaf huis.
Voor het eerst sinds ik de router in gebruik heb genomen.
Vanochtend weer mijn Fairphone die geen internet had terwijl de Huawei wel. Viel mij als eerst op dat de Fairphone via 5Ghz verbonden was en de oude Huawei via 2Ghz dus wilde daar in gaan duiken.
Geen tijd voor gehad, want moest aan de bak, maar vervolgens verliest mijn werk laptop continu de verbinding.
Nu heb ik tot 2 maal toe de Windows DNS instelling gewijzigd van automatisch naar handmatig 8.8.8.8 en dat lost het probleem op!
Sterker nog, Edge kan dan wel verbinden met het internet, maar LibreWolf niet. In LibreWolf heb ik DoH ingesteld via ook Quad 9 (met malware protection). Op het moment dat ik dit uitschakel in de browser kan ook LibreWolf verbinden naar het internet (met dus 8.8.8.8 als DNS).
Mijn hele avontuur om van router en AP te gaan wisselen was omdat ik DNS problemen had. Heel specifiek met Quad 9.
Ik denk dat ik nu wel kan concluderen dat de problemen vooral aan Quad9 liggen, want ik heb een nieuwe router (met ingebouwd AP) en nog steeds DNS problemen met Quad9 zo lijkt het.
Dit speelt al de hele tijd sinds ik de router gebruik en als ik terugdenk dan heb ik ook een poging gedaan met de peer DNS instelling (dus van KPN) en dan had ik geen problemen. Dit was ook mijn tijdelijke oplossing met mijn oude Ubiquiti router en Netgear AP (Quad9 niet gebruiken).
Ik ga straks de DNS van DNSbunker proberen en kijken of dit verschil maakt. In LibreWolf heb ik nu Mullvad ingesteld als DoH. Even aankijken.
Ik zal straks ff op mijn eigen laptop kijken naar de DNS log zoals je hebt aangegeven.
edit:
Ik zie dat ik op Android (ik gebruik /e/OS) ook de DNS instellingen kan wijzigen. Ik zal deze vanavond voor ik ga slapen wijzigen naar 1.1.1.1 zodat ik morgenochtend kan kijken of ik wel internet heb aangezien het altijd in de ochtend niet werkt.
[ Voor 15% gewijzigd door Mit-46 op 13-04-2026 11:54 ]
net als je input en forward regels bij elkaar te houden, doe hetzelfde met de accepts en drops in deze chains.:
Dit is de /ip firewall en ook de /ip service config.
Doordat ik onderaan de /ip firewall service ports zag staan, met in eerste instantie alleen ftp en tftp, heb ik daar zojuist ook onderstaande 3 aan toegevoegd.
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
Als ik het goed lees zijn die voor VOIP en een verouderd VPN protocol. Ik denk dat dit slim is, maar weten doe ik eigenlijk (nog) niet
(Als ik het goed lees/begrijp heeft het geen effect op bijvoorbeeld Discord VOIP).
Mocht iemand zin hebben om het te beoordelen zou ik dat heel fijn vinden.
Volgens mij klopt de volgorde van de laatste 3 forward regels niet.
Ik heb IP adressen, poorten en andere cijfertjes weggehaald voor mijn eigen gemoedsrust. Welke er wel staan zijn gewijzigd op de port 53 na regels na.code:
/ip firewall filter add action=accept chain=input comment=\ "Connection state established-related - untracked-ACCEPT" \ connection-state=established,related,untracked add action=drop chain=input comment="Connection state - Invalid - DROP" \ connection-state=invalid add action=accept chain=input comment=Ping-ACCEPT protocol=icmp add action=accept chain=input comment="Local loopback for CAPsMAN - ACCEPT" \ dst-address=0.0.0.0 in-interface=lo src-address=0.0.0.0 add action=add-src-to-address-list address-list=port_scanners \ address-list-timeout=1d chain=input comment="Add port scanners to list" \ protocol=tcp psd=21,3s,3,1 add action=drop chain=input comment="Drop port scanners" src-address-list=\ port_scanners add action=accept chain=input comment="LAN=list -ACCEPT" in-interface-list=\ LAN-list add action=drop chain=input comment="DROP all not coming from LAN-list" \ in-interface-list=!LAN-list add action=drop chain=input comment="WAN DNS port 53 UDP DROP" dst-port=53 \ in-interface-list=WAN-list protocol=udp add action=drop chain=input comment="WAN DNS port 53 TCP DROP" dst-port=53 \ in-interface-list=WAN-list protocol=tcp add action=drop chain=input comment="WAN (ether1) to router- DROP ALL" \ in-interface-list=WAN-list add action=accept chain=forward comment="IPSEC policy IN - ACCEPT" \ ipsec-policy=in,ipsec add action=drop chain=forward comment="IPSEC policy OUT - ACCEPT" \ ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment=\ "Fasttrack - established - related" connection-state=established,related add action=accept chain=forward comment=\ "Connection state established-related-untracked ACCEPT" connection-state=\ established,related,untracked add action=drop chain=forward comment="Connection state - Invalid - DROP" \ connection-state=invalid add action=accept chain=forward comment="LAN to WAN - ACCEPT (2)" \ in-interface-list=LAN-list out-interface-list=WAN-list add action=drop chain=forward comment="DROP all not coming from LAN-list" \ in-interface-list=!LAN-list add action=drop chain=forward comment="DROP all from WAN not DSTNATed" \ connection-nat-state=!dstnat in-interface-list=WAN-list add action=drop chain=input comment="Block Winbox default port 8291" \ dst-port=8291 in-interface=ether1 protocol=tcp /ip firewall nat add action=masquerade chain=srcnat comment=Masquerade out-interface=\ pppoe-client /ip firewall service-port set ftp disabled=yes set tftp disabled=yes set h323 disabled=yes set sip disabled=yes set pptp disabled=yes /ip service set ftp disabled=yes set ssh disabled=yes set telnet disabled=yes set www disabled=yes set winbox address=ipadresshere max-sessions=*** port=notdefault set api disabled=yes set api-ssl disabled=yes /ip service webserver set graphs-plain=no graphs-secure=no rest-plain=no rest-secure=no \ webfig-plain=no webfig-secure=no
dus
chain input
- alle accept rules
- alle drop rules
chain forward
- alle accept rules
- alle drop rules
het principe is, alles is dicht door
/ip firewall filter add chain=input action=drop
/ip firewall filter add chain=forward action=drop
en dan ga je daarboven alleen die poorten open zetten die je nodig hebt
regels 10 en 13 kunnen volgens mij weg. want zie hierboven
zelfde geldt voor je DNS regels 19 & 21 (weet ik niet zeker, ik draai zelf een pihole met unbound voor dns, dus niet op de mikrotik )
regel 43 kan weg, want je dropt daarboven alles al
(had je niet je vpn op die poort zitten trouwens ? )
regel 37 omhoog: accept boven de drop rules
als je in winbox werkt, zet ook even fail safe aan. mocht je een fout maken kan je er na de timeout altijd weer terug in.
als je je firewall rules hebt aangepast, wel altijd weer even een goede poort-scan doen!
Ik ben hierin gedoken. Wist niet dat je de DNS ook kon loggen.
Er kwam een aantal keer "failure" naar voren mbt DNS en ik ben eigenlijk de hele avond aan het stoeien met verschillende DNS servers.
Lang verhaal kort; ik heb nu de standaard KPN servers ingesteld om te kijken of het nu (langdurig) stabiel draait en dit als basis te gebruiken om eventueel later andere te proberen.
Dank voor de tip. Weer wat geleerd. Super nuttig
Dank dat je de moeite hebt genomen om er doorheen te gaan
Ik heb regel 37 meteen (1 plaats) omhoog geplaatst. Doordat ik nu ook de DNS servers heb aangepast wil ik niet teveel tegelijk wijzigen, want anders weet ik niet wat nu welk effect heeft gehad.
Ik wil het zaterdag allemaal gaan aanpassen. Ik wist niet dat je alle accepts en drops van dezelfde chain onder elkaar kon zetten. Ik dacht juist dat het zo moest zoals ik het nu heb vanwege de volgorde die bepalend is.
Ik ga het zaterdag allemaal netjes maken en naar de andere regels kijken die je hebt genoemd .
Ga ik doen. Dank ook voor deze tips!!
Ik heb de firewall rules netjes geordend en ben deze week toch wat wezen spelen met de andere instellingen. De firewalls zien er nu inderdaad veel rustiger/overzichtelijker uit.
Ik had ook opgemerkt dat de IPv6 instellingen (mbt de IPv6 pool) niet goed stonden en dit heb ik gepast. Ik zie alleen nog best veel "failed" met MAC address 00:00:00:00:00 staan in IPv6/Neighbours, maar ik verdenk 1 of 2 IoT apparaatjes die zijn gekoppeld aan mijn Home Assistant. Dat moet ik nog uitzoeken.
Op mijn Windows 11 (werk) laptop na heeft geen van mijn computers (allemaal Linux Mint) en telefoons na deze wijzigingen nog verbindingsproblemen met IPv6 gehad (volgens de /IPv6/Neighbours lijst).
De werklaptop is een beheerd apparaat dus geen idee of daardoor IPv6 niet lekker werkt. Het apparaat krijgt wel een IPv6 adres, maar kan daarna volgens de logs niet meer verbinden met de router via IPv6 (failed staat er bij het IP adres in de router).
Gister heb ik ook de DNS instellingen weer aangepast door niet meer naar de router te laten verwijzen, maar direct naar Quad9.
Ik heb het idee dat ik sindsdien met geen enkel apparaat meer "internet issues" heb gehad. Ook niet met de W11 werklaptop terwijl ik voor deze wijziging gister nog wel issues had met deze laptop.
Ik heb nu 2 (Quad9) IPv4 en 2 IPv6 DNS servers ingesteld onder /IP/DNS en in /IP/DHCP server/Networks. Geen idee of dit dubbel en onzinnig is. Allow remote requests heb ik nu ook uitgeschakeld.
Moet het nog wel een paar dagen aankijken, maar "so far, so good".
Ook heb ik geprobeerd de wifi instellingen wat te tweaken. Ik heb de DFS channels uitgeschakeld en handmatig specifieke kanalen ingesteld voor zowel 2.4Ghz als 5Ghz.
Ik heb het idee dat het misschien een beetje geholpen heeft. Het is in ieder geval niet slechter geworden. De gemiddelde speedtest zit op 650mbps met een uitschieter gister rond de 750mbps, maar dat is daarna niet meer gelukt. Op zich prima voor dit goedkope wifi 6 apparaatje, denk ik.
Met de tijd eens op zoek naar een high end wifi 6 AP oid.
Het enige wat mij nu nog stoort zijn de meldingen: denied winbox/dude connect from 64.62.197.32 (met telkens een ander IP adres). Zijn die meldingen te voorkomen?
Ik zit ook vaak naar de logs te kijken en misschien moet ik dat gewoon niet doen. Deed ik met andere routers ook nooit, maar zit nu helemaal "in RouterOS"
De firewall doet zijn werk, maar het liefst zou ik willen dat ze helemaal niet kunnen proberen te verbinden.
Alles mbt Winbox is (volgens mij) dichtgezet. Een andere poort, neighbours discovery staat uit en het is alleen vanaf LAN te openen.
Af en toe zie ik nog zo'n poging voorbijkomen.
Alle andere mogelijke pogingen zie ik niet meer voorbijkomen in de logs.
Het heeft wat moeite gekost, maar ben inmiddels heel blij met de Mikrotik router.
Nogmaals dank voor jullie hulp allemaal! 
Ik had ook opgemerkt dat de IPv6 instellingen (mbt de IPv6 pool) niet goed stonden en dit heb ik gepast. Ik zie alleen nog best veel "failed" met MAC address 00:00:00:00:00 staan in IPv6/Neighbours, maar ik verdenk 1 of 2 IoT apparaatjes die zijn gekoppeld aan mijn Home Assistant. Dat moet ik nog uitzoeken.
Op mijn Windows 11 (werk) laptop na heeft geen van mijn computers (allemaal Linux Mint) en telefoons na deze wijzigingen nog verbindingsproblemen met IPv6 gehad (volgens de /IPv6/Neighbours lijst).
De werklaptop is een beheerd apparaat dus geen idee of daardoor IPv6 niet lekker werkt. Het apparaat krijgt wel een IPv6 adres, maar kan daarna volgens de logs niet meer verbinden met de router via IPv6 (failed staat er bij het IP adres in de router).
Gister heb ik ook de DNS instellingen weer aangepast door niet meer naar de router te laten verwijzen, maar direct naar Quad9.
Ik heb het idee dat ik sindsdien met geen enkel apparaat meer "internet issues" heb gehad. Ook niet met de W11 werklaptop terwijl ik voor deze wijziging gister nog wel issues had met deze laptop.
Ik heb nu 2 (Quad9) IPv4 en 2 IPv6 DNS servers ingesteld onder /IP/DNS en in /IP/DHCP server/Networks. Geen idee of dit dubbel en onzinnig is. Allow remote requests heb ik nu ook uitgeschakeld.
Moet het nog wel een paar dagen aankijken, maar "so far, so good".
Ook heb ik geprobeerd de wifi instellingen wat te tweaken. Ik heb de DFS channels uitgeschakeld en handmatig specifieke kanalen ingesteld voor zowel 2.4Ghz als 5Ghz.
Ik heb het idee dat het misschien een beetje geholpen heeft. Het is in ieder geval niet slechter geworden. De gemiddelde speedtest zit op 650mbps met een uitschieter gister rond de 750mbps, maar dat is daarna niet meer gelukt. Op zich prima voor dit goedkope wifi 6 apparaatje, denk ik.
Met de tijd eens op zoek naar een high end wifi 6 AP oid.
Het enige wat mij nu nog stoort zijn de meldingen: denied winbox/dude connect from 64.62.197.32 (met telkens een ander IP adres). Zijn die meldingen te voorkomen?
Ik zit ook vaak naar de logs te kijken en misschien moet ik dat gewoon niet doen. Deed ik met andere routers ook nooit, maar zit nu helemaal "in RouterOS"
De firewall doet zijn werk, maar het liefst zou ik willen dat ze helemaal niet kunnen proberen te verbinden.
Alles mbt Winbox is (volgens mij) dichtgezet. Een andere poort, neighbours discovery staat uit en het is alleen vanaf LAN te openen.
Af en toe zie ik nog zo'n poging voorbijkomen.
Alle andere mogelijke pogingen zie ik niet meer voorbijkomen in de logs.
Het heeft wat moeite gekost, maar ben inmiddels heel blij met de Mikrotik router.
Nogmaals dank voor jullie hulp allemaal!
[ Voor 7% gewijzigd door Mit-46 op 18-04-2026 20:12 ]
Interessant
Ik kan zo gauw niet vinden hoe ik mijn public IP kan verwijderen. Deze is dynamisch via pppoe. Als ik deze verwijder uit /IP/adresses dan valt mijn internetverbinding uit.
Daarnaast dacht ik dat ik de firewall al zo had ingesteld. Schijnbaar dus niet. Wat jammer
Ga ik daar maar weer naar kijken. Dank voor de tip.
Ah!
64.62.197.32 is niet mijn IP adres, maar het IP adres waarmee geprobeerd werd te verbinden.
Ik schrok al
Mijn Winbox is alleen beschikbaar vanaf mijn lokale LAN : 1**.**.*.***/24 en ook met een eigen verzonnen poort.
9 winbox **** tcp 19*********/24 main 2
10 D c winbox **** tcp 19************ 19********4*****0
Ik zal eens mijn rules posten. Ik zet wel eerst een back up terug, want anders wordt het erg verwarrend allemaal.
64.62.197.32 is niet mijn IP adres, maar het IP adres waarmee geprobeerd werd te verbinden.
Ik schrok al
Mijn Winbox is alleen beschikbaar vanaf mijn lokale LAN : 1**.**.*.***/24 en ook met een eigen verzonnen poort.
9 winbox **** tcp 19*********/24 main 2
10 D c winbox **** tcp 19************ 19********4*****0
Ik zal eens mijn rules posten. Ik zet wel eerst een back up terug, want anders wordt het erg verwarrend allemaal.
[ Voor 77% gewijzigd door Mit-46 op 18-04-2026 20:16 ]
Ik heb daar mijn LAN scope staan: 1********/24 (bij available from)
Ik heb een aantal regels die op 0 blijven staan, maar ik heb wel daarstraks een restore van een backup gedaan voordat ik hier de regels had gepost.
Goede tip. Zal dat in de gaten houden.
Ik heb een aantal regels die op 0 blijven staan, maar ik heb wel daarstraks een restore van een backup gedaan voordat ik hier de regels had gepost.
Goede tip. Zal dat in de gaten houden.
[ Voor 5% gewijzigd door Mit-46 op 18-04-2026 18:14 ]
Ik heb een regel aangemaakt om de poort te blokkeren en dat is gelukt volgens de port scanner, maar nu heb ik mezelf buitengesloten, want kom zelf Winbox niet meer in via wifi.
Even kijken of het met een kabel nog lukt. Ik heb mijn laatste backups niet gedownload. Niet zo slim
Even kijken of het met een kabel nog lukt. Ik heb mijn laatste backups niet gedownload. Niet zo slim
[ Voor 7% gewijzigd door Mit-46 op 18-04-2026 18:35 ]
Ha! Dit is wel ironisch. Ik wilde graag inlogpogingen in Winbox voorkomen en nu kan ik zelf niet eens meer inloggen. Heb ik in ieder geval bereikt wat ik wilde, maar het is nu wel een beetje overdreven. 
Ik ga even een boodschap doen en een frisse neus halen. Had niet helemaal gepland vandaag zo met de router in de weer te gaan. Dacht juist dat ik het wel goed had.
Volgens mij zit ik wel op het goede spoor met die poort die schijnbaar vanaf het internet te scannen is/was.
Ik had wel poort scans gedaan, maar dan weer niet specifiek op de custom Winbox poort.
Ga straks kijken of ik er in weet te komen en als het moet beginnen we (deels) overnieuw. Heb nog wel een oudere backup op mijn laptop, maar ik hoop dat bij een hard reset de backups nog in files staan. En anders staan al mijn regels hier op Tweakers aangezien ik deze hier vandaag gepost heb dus dat scheelt
Ik heb het idee dat ik ervoor moet zorgen dat die poort dicht staat voor WAN, maar wel open voor LAN en dat ik dan mijn doel heb bereikt. Althans, dat hoop ik.
Ik ga even een boodschap doen en een frisse neus halen. Had niet helemaal gepland vandaag zo met de router in de weer te gaan. Dacht juist dat ik het wel goed had.
Volgens mij zit ik wel op het goede spoor met die poort die schijnbaar vanaf het internet te scannen is/was.
Ik had wel poort scans gedaan, maar dan weer niet specifiek op de custom Winbox poort.
Ga straks kijken of ik er in weet te komen en als het moet beginnen we (deels) overnieuw. Heb nog wel een oudere backup op mijn laptop, maar ik hoop dat bij een hard reset de backups nog in files staan. En anders staan al mijn regels hier op Tweakers aangezien ik deze hier vandaag gepost heb dus dat scheelt
Ik heb het idee dat ik ervoor moet zorgen dat die poort dicht staat voor WAN, maar wel open voor LAN en dat ik dan mijn doel heb bereikt. Althans, dat hoop ik.
[ Voor 12% gewijzigd door Mit-46 op 18-04-2026 18:52 ]
Het is gelukt. Dank ook weer voor de safe mode tip. Die kende ik nog niet. Beter laat dan nooit, maar ik heb beseft dat die mij heel veel keren resetten had kunnen besparen.
Super handig!
Nu heb ik de poort weten te blokkeren door een input, op de pppoe interface, src, desbetreffende Winbox poort, drop.
Het enige wat ik nu niet begrijp is dat dit alleen werkt wanneer ik deze regel boven de laatste input, accept regel plaats. Dat is onderstaande regel.
;;; LAN=list -ACCEPT
chain=input action=accept in-interface-list=LAN-list log=no log-prefix=""
Ik zie nog activiteit op deze rule dus ik ga er vanuit dat ik deze hiermee niet om zeep heb geholpen.
De tip mbt de activiteit is ook erg nuttig. Zal de boel netjes opruimen.
Er waren vanavond weer een aantal denied winbox/dude connect from 85.10.157.92 meldingen (dit is niet mijn IP adres, maar waarmee geprobeerd wordt om in te loggen)
De laatste was om 21:09 uur en om 21:10 heb ik de regel zo gekregen dat ik via een port scan zie dat die geblokkeerd is. Sindsdien geen melding meer en het zijn er toch 24 geweest vanaf (toevallig) 20.24 uur. Dat is ongeveer het moment waarop ik de router had gereset en een backup terug had gezet zodat ik zelf weer Winbox in kon.
Fingers crossed dat dit de truc is.
Iedereen weer bedankt voor de wijze lessen vandaag! Het doel hopelijk bereikt en anders sowieso weer een hoop geleerd.
Super handig!
Nu heb ik de poort weten te blokkeren door een input, op de pppoe interface, src, desbetreffende Winbox poort, drop.
Het enige wat ik nu niet begrijp is dat dit alleen werkt wanneer ik deze regel boven de laatste input, accept regel plaats. Dat is onderstaande regel.
;;; LAN=list -ACCEPT
chain=input action=accept in-interface-list=LAN-list log=no log-prefix=""
Ik zie nog activiteit op deze rule dus ik ga er vanuit dat ik deze hiermee niet om zeep heb geholpen.
De tip mbt de activiteit is ook erg nuttig. Zal de boel netjes opruimen.
Er waren vanavond weer een aantal denied winbox/dude connect from 85.10.157.92 meldingen (dit is niet mijn IP adres, maar waarmee geprobeerd wordt om in te loggen)
De laatste was om 21:09 uur en om 21:10 heb ik de regel zo gekregen dat ik via een port scan zie dat die geblokkeerd is. Sindsdien geen melding meer en het zijn er toch 24 geweest vanaf (toevallig) 20.24 uur. Dat is ongeveer het moment waarop ik de router had gereset en een backup terug had gezet zodat ik zelf weer Winbox in kon.
Fingers crossed dat dit de truc is.
Iedereen weer bedankt voor de wijze lessen vandaag! Het doel hopelijk bereikt en anders sowieso weer een hoop geleerd.
[ Voor 9% gewijzigd door Mit-46 op 18-04-2026 21:29 ]
Ik denk dat ik het beter moeten leren te begrijpen voordat ik het zo kan toepassen. Ben nog nooit zo diep in een router, laat staan firewall regels, gedoken als afgelopen maand.
Ik ben niet uitgeleerd en nog gemotiveerd.
PS:
Vooralsnog geen denied meldingen!
Ik ben niet uitgeleerd en nog gemotiveerd.
PS:
Vooralsnog geen denied meldingen!
Heel vreemd, maar gisteravond ben ik gaan slapen terwijl alles normaal leek te werken. Ik had de Winbox poort via de IPv4 firewall had dichtgezet en ben daarna nog in Winbox bezig geweest.
Vanochtend kon ik alleen "opeens" weer niet inloggen.
Ik heb gister de safemode ook gebruikt dus ik begrijp het niet helemaal, want totdat ik ging slapen werkte het nog.
Verder werkte vanochtend ook opeens niet alle websites meer en viel de verbinding deels weg. Leek weer op vaag DNS gedrag. Heb gister ook veel zitten wijzigen, ook weer aan de DNS instellingen terwijl deze goed werkte daarvoor.
Ik ben dus 2 stapjes terug gegaan met een backup. Terug naar gisterochtend (eergisteravond) waarmee ik de dag begon, want toen werkte alles nog goed. Nu ben ik weer alles aan het aanpassen met de kennis die ik gister heb opgedaan
Iets super interessants wat ik vandaag heb opgemerkt is dat door een poortscan de melding, "denied winbox/dude connect from 85.10.157.92", verschijnt
Ik zat zelf te scannen en toen viel mij op dat de meldingen erbij kwamen wanneer de poort open staat vanaf het internet.
85.10.157.92" is het IP adres van: https://dw-its.nl/port-scanner/ waarmee ik de Winbox poort scan.
Het zijn dus geen aanmeldpogingen in Winbox zelf, maar alleen poort scans. Super verwarrend en het heeft mij (ons) lekker bezig gehouden!
Dit verklaart ook waarom ik gister zo bizar veel meldingen had, want ik was er hevig op los aan het scannen.
Ik ben er alleen nog niet achter hoe ik die poort nu kan blokkeren vanaf het internet, want elke keer dat het mij lukt kan ik vervolgens zelf ook niet meer inloggen.
Straks nog eens kijken of ik het voor elkaar krijg.
Ik heb nu een Input, Drop, dst port ****, (!) interface=LAN bridge.
De poort staat weer dicht van buitenaf dus nu maar hopen dat ik straks niet opeens weer "locked out" ben. Safe mode staat dus het zou niet moeten.
Wel heb ik nu ook voor de goede orde de IPv6 link local adres scope toegevoegd aan /IP/services/Winbox.
**edit:
Heb een regel aangemaakt.
Vanochtend kon ik alleen "opeens" weer niet inloggen.
Ik heb gister de safemode ook gebruikt dus ik begrijp het niet helemaal, want totdat ik ging slapen werkte het nog.
Verder werkte vanochtend ook opeens niet alle websites meer en viel de verbinding deels weg. Leek weer op vaag DNS gedrag. Heb gister ook veel zitten wijzigen, ook weer aan de DNS instellingen terwijl deze goed werkte daarvoor.
Ik ben dus 2 stapjes terug gegaan met een backup. Terug naar gisterochtend (eergisteravond) waarmee ik de dag begon, want toen werkte alles nog goed. Nu ben ik weer alles aan het aanpassen met de kennis die ik gister heb opgedaan
Iets super interessants wat ik vandaag heb opgemerkt is dat door een poortscan de melding, "denied winbox/dude connect from 85.10.157.92", verschijnt
Ik zat zelf te scannen en toen viel mij op dat de meldingen erbij kwamen wanneer de poort open staat vanaf het internet.
85.10.157.92" is het IP adres van: https://dw-its.nl/port-scanner/ waarmee ik de Winbox poort scan.
Het zijn dus geen aanmeldpogingen in Winbox zelf, maar alleen poort scans. Super verwarrend en het heeft mij (ons) lekker bezig gehouden!
Dit verklaart ook waarom ik gister zo bizar veel meldingen had, want ik was er hevig op los aan het scannen.
Ik ben er alleen nog niet achter hoe ik die poort nu kan blokkeren vanaf het internet, want elke keer dat het mij lukt kan ik vervolgens zelf ook niet meer inloggen.
Straks nog eens kijken of ik het voor elkaar krijg.
Ik heb nu een Input, Drop, dst port ****, (!) interface=LAN bridge.
De poort staat weer dicht van buitenaf dus nu maar hopen dat ik straks niet opeens weer "locked out" ben. Safe mode staat dus het zou niet moeten.
Wel heb ik nu ook voor de goede orde de IPv6 link local adres scope toegevoegd aan /IP/services/Winbox.
**edit:
Heb een regel aangemaakt.
[ Voor 15% gewijzigd door Mit-46 op 19-04-2026 13:42 ]
Waarschijnlijk heb ik daar iets verkeerd gedaan.
Anyway, vandaag alles opnieuw ingesteld en ik denk dat het voor nu wel goed staat.
Geen meldingen meer gezien m.b.t. WInbox of poort scans (de poort staat dicht vanaf WAN) en ook wat firewall rules opgeruimd.
Geen problemen meer gehad ook met de verbinding/DNS dus "once again, fingers crossed" dat het nu goed blijft
Iedereen
Anyway, vandaag alles opnieuw ingesteld en ik denk dat het voor nu wel goed staat.
Geen meldingen meer gezien m.b.t. WInbox of poort scans (de poort staat dicht vanaf WAN) en ook wat firewall rules opgeruimd.
Geen problemen meer gehad ook met de verbinding/DNS dus "once again, fingers crossed" dat het nu goed blijft
Iedereen