[MikroTik-apparatuur] Ervaringen & Discussie

[Shinji]

AtomicShockwave schreef op zondag 23 februari 2025 @ 15:43:
[...]

Ja, maar als ik deze route ga. Moet ik iets verzinnen dat unify draait voor het management van de ap's. Wordt wel weer duurder en complexer.

Al lees ik dat ie theoretisch in een docker kan draaien vanaf de router.

Zolang je niet per se actief wil monitoren kan je de controller gewoon op pc draaien en alleen starten als je wat wil wijzigen. Voor basis wifi hoeft die niet altijd aan te staan.

[Jef61]

AtomicShockwave schreef op zondag 23 februari 2025 @ 15:43:
[...]

Ja, maar als ik deze route ga. Moet ik iets verzinnen dat unify draait voor het management van de ap's. Wordt wel weer duurder en complexer.

Al lees ik dat ie theoretisch in een docker kan draaien vanaf de router.

Ik weet niet wat je precies zoekt qua AP's maar ik ben na de perikelen met de Mikrotik's aan de hand van een review op Tweakers bij een triple setje Asus ZenWiFi XD5 uitgekomen. Ze vallen onder meshwifi maar ik gebruik ze bedraad als AP. Ik heb voor deze gekozen omdat de instel mogelijkheden uitgebreid zou zijn (maar ten opzichte van een Mikrotik nog steeds beperkt ).

De review op Tweakers:
https://tweakers.net/reviews/12260/

Ik ben er tevreden over, is rotsstabiel en simple te installeren (ze werken uit de verpakking al samen).

[AtomicShockwave]

Jef61 schreef op zondag 23 februari 2025 @ 17:05:
[...]

Ik weet niet wat je precies zoekt qua AP's maar ik ben na de perikelen met de Mikrotik's aan de hand van een review op Tweakers bij een triple setje Asus ZenWiFi XD5 uitgekomen. Ze vallen onder meshwifi maar ik gebruik ze bedraad als AP. Ik heb voor deze gekozen omdat de instel mogelijkheden uitgebreid zou zijn (maar ten opzichte van een Mikrotik nog steeds beperkt ).

De review op Tweakers:
https://tweakers.net/reviews/12260/

Ik ben er tevreden over, is rotsstabiel en simple te installeren (ze werken uit de verpakking al samen).

Ik ben op zoek naar ceiling mount AP's met POE en wired backhaul.

Het ceiling idee is met die zenwifi niet zo handig zie ik

Uiteraard als doel om een super stabiel netwerk te krijgen. Topsnelheden boeien mij minder maar ik geef wel de voorkeur aan 5ghz. Dus iets wat als "groep" te managen is heeft wel de voorkeur.

[lier]

De problemen die veelvuldig gemeld worden, heb ik niet. Je zou dus, vanuit mijn perspectief, voor de wAP AX of cAP AX kunnen kiezen. Ik draai nu alweer een tijdje met alleen (3) wAP AX-en en het draait bij mij echt superstabiel. Heb thuis voldoende kritische gebruikers, zij zullen dit beamen. Gebruik trouwens CAPsMAN.

Tips over een goede configuratie heb ik altijd. Ook op het MikroTik forum trouwens.

[AtomicShockwave]

lier schreef op zondag 23 februari 2025 @ 20:44:
De problemen die veelvuldig gemeld worden, heb ik niet. Je zou dus, vanuit mijn perspectief, voor de wAP AX of cAP AX kunnen kiezen. Ik draai nu alweer een tijdje met alleen (3) wAP AX-en en het draait bij mij echt superstabiel. Heb thuis voldoende kritische gebruikers, zij zullen dit beamen. Gebruik trouwens CAPsMAN.

Tips over een goede configuratie heb ik altijd. Ook op het MikroTik forum trouwens.

Ik had de cAP ax op het oog inderdaad. Dat is nu niet waar de grote problemen mee gemeld worden als ik het goed lees.

Toch wel een interessante thread op dat mikrotik forum van @Jef61. Vraag me af wanneer ze dit oplossen want het duurt wel lang.

[lier]

Het punt is dat het lastig te reproduceren is en dat veel gebruikers helemaal geen problemen ervaren.

Bij mijn ouders staat een hAP ax2 en mijn schoonmoeder heeft een cAP XL ac en wAP ac (met de wifi-qcom-ac driver), beiden hebben geen problemen.

[Jef61]

AtomicShockwave schreef op zondag 23 februari 2025 @ 20:57:
[...]

Ik had de cAP ax op het oog inderdaad. Dat is nu niet waar de grote problemen mee gemeld worden als ik het goed lees.

Toch wel een interessante thread op dat mikrotik forum van @Jef61. Vraag me af wanneer ze dit oplossen want het duurt wel lang.

Ah oke, gaat in mijn geval om de hAP ax2. Die doen nu nog dienst als switch
Als ik ze update naar een nieuwere RouterOS versie dan is het binnen een half uur raak en beginnen de disconnects. Super irritant en het humeur van huisgenoten werd er ook niet beter van

[AtomicShockwave]

lier schreef op zondag 23 februari 2025 @ 20:58:
Het punt is dat het lastig te reproduceren is en dat veel gebruikers helemaal geen problemen ervaren.

Bij mijn ouders staat een hAP ax2 en mijn schoonmoeder heeft een cAP XL ac en wAP ac (met de wifi-qcom-ac driver), beiden hebben geen problemen.

Ja lastig dit. Ik sta op de drempel om eea. aan te schaffen en dan zijn dit soort perikelen wel moeilijk. Mikrotik is niet zo bekend bij het "normale" publiek (ik ken persoonlijk niemand die er ervaring mee heeft) En als je dan zo'n thread voor je krijgt dan is dat toch schrikken. Het is voor mij heel lastig inschatten of nou veel of weinig mensen deze issues ervaren.

En helemaal wegpoetsen kun je het natuurlijk ook niet. Er is wel degelijk iets aan de hand (vaak afhankelijk van wat voor device er wil connecten). Je kunt je natuurlijk 80 huis tuin en keuken situaties voorstellen waarbij je oma niet eens in de gaten heeft dat dit gebeurt.

Ik zou het alleen wel echt prettig vinden om alles in een ecosysteem te hebben. Dus het brengt me wel aan het twijfelen.

Want wat die users daar meemaken, dat is echt precies wat ik niet wil. En MT lijkt iig niet bij machte om er in zeer forse tijdspannen iets aan te doen. En dat baart me wel zorgen.

[ocf81]

Vraagje: Hoe vergelijkt RouterOS zich met OPNsense of pfSense? Ik wil graag de doorvoersnelheid van inter-VLAN routering maximaliseren. Heeft het dan zin om over te stappen van OPNsense naar RouterOS?

[lier]

Heb zelf geen "Sense-ervaring", wat is exact je vraag?

[Miki]

ocf81 schreef op dinsdag 25 februari 2025 @ 16:11:
Vraagje: Hoe vergelijkt RouterOS zich met OPNsense of pfSense? Ik wil graag de doorvoersnelheid van inter-VLAN routering maximaliseren. Heeft het dan zin om over te stappen van OPNsense naar RouterOS?

Dat is eigenlijk appels met peren vergelijken. Zowel OPNsense als pfSense zijn sterk gericht op de firewall component en bieden daaromheen allerlei extra’s in zowel inzichten als ook mogelijkheden. Zoek je een vooral een goede firewall, kies dan voor één van de sense opties.

RouterOS is juist heel sterk in het bieden van router software en blinkt vooral uit in dat het met “beperkte hardware” optimaal weet te presteren en daardoor een aantrekkelijke prijs/ kwaliteit verhouding heeft. Zoek je veel voor weinig dan is Mikrotik een aanrader, zeker als het gaat om routers, switches en in iets mindere mate AP’s.

Het is dus maar net wat je specifiek nodig hebt maar echt vergelijken zou ik je niet aanraden. Daarvoor is de oorsprong waar vanuit de software is opgebouwd te verschillend.

[ocf81]

Tja, wat moet het kunnen? Ik heb een netwerk met een aantal Unifi 10 gbit switches en een 2.5 gbit switch. Een aantal van de VLANs serveren verkeer dat een publiek karakter heeft, dus het verkeer moet wel enigszins in de gaten worden gehouden. Helaas zijn Unifi routers ruk als het om de routeringssnelheid met IPS aan gaat, dus ik heb een OPNsense router op basis van Epyc3101 met 2x 10gbit aansluiting. OPNsense is langzaam met PPPoE verbindingen omdat het op FreeBSD gebaseerd is. Van wat ik ervan begrijp is RouterOS op linux gebaseerd, en dat schijnt de routeringssnelheid ten goede te komen. Kan ik mijn routering versnellen met RouterOS maar ook het verkeer monitoren of moet ik dan op zoek naar iets anders dat ik hiervoor kan inzetten?

[ Voor 8% gewijzigd door ocf81 op 25-02-2025 18:44 ]

[Freeaqingme]

Dus eigenlijk ben je op zoek naar een IPS-oplossing? Mikrotik kan echt wel dingen offloaden naar z'n ASIC's, maar ik denk niet dat daar IPS-achtige functionaliteit in zit. Voor zover dat uberhaupt al te vinden is in RouterOS...

[sambaloedjek]

PPPoE op routeros heeft helaas ook zijn beperkingen en kan dit niet offloaden. Doet het beter dan sense door toepassing van meerdere cores, maar kan meestal niet op tegen de ruwe x86 CPU snelheden. Het blijft een software oplossing. Je zou OpenWRT eens kunnen proberen ipv sense.

[AtomicShockwave]

Toch, als je kijkt naar de hardware specs van de wat duurdere CCR modellen, moet daar toch wel wat te halen zijn tov. je Epyc machine. Of gaat de vraag puur over RouterOS op je huidige hardware?

[lolgast]

AtomicShockwave schreef op dinsdag 25 februari 2025 @ 18:31:
Toch, als je kijkt naar de hardware specs van de wat duurdere CCR modellen, moet daar toch wel wat te halen zijn tov. je Epyc machine. Of gaat de vraag puur over RouterOS op je huidige hardware?

Je hebt echt geen CCR nodig om 1gbit vol te trekken over PPPoE. Ik heb een RB4011 en die doet dat met 2 vingers in de neus

[ Voor 4% gewijzigd door lolgast op 25-02-2025 18:37 ]

[ocf81]

Als ik het dus goed begrijp zal RouterOS geen significante verbetering in prestaties realiseren wanneer ik dat op een AMD64 systeem draai?

@AtomicShockwave Ja, ik ben puur de software aan het evalueren vis-a-vis *sense versies.

[ Voor 25% gewijzigd door ocf81 op 25-02-2025 18:50 ]

[sambaloedjek]

ocf81 schreef op dinsdag 25 februari 2025 @ 18:42:
Als ik het dus goed begrijp zal RouterOS geen significante verbetering in prestaties realiseren wanneer ik dat op een AMD64 systeem draai?

@AtomicShockwave Ja, ik ben puur de software aan het evalueren vis-a-vis *sense versies.

Als je de eerdere reacties hierboven bekijkt lijkt dit niet te kunnen verbeteren. IP deep monitoring (IPS) is een no-go met RouterOS. Aannemende dat je 10gbps internet via PPPoe hebt maakt het ook niet beter met RouterOS, hoewel een CCR2216 aardig in de buurt zal komen. Maar dan praat je al over de top (dure) modellen.

[ocf81]

10gbps is intern verkeer. naar buiten is 1gbit. Maar het is mij nu wel duidelijk dat het dus betere hardware vereist om het gewenste prestatieniveau te bereiken. Iedereen bedankt voor de antwoorden!

[kaaas]

Als je 10 Gb wilt routeren zou ik dat lekker door een l3 switch (Asic) laten doen.
1Gb internet over ppoe kan al heel snel met bijv een rb4011 of een rb5009. IPS kun je niet doen met router os, maar je kunt het wel zo inrichten dat je een mirror naar een machine stuurt die dat wel kan.
Je zou ook router os op je epic server kunnen proberen dan heb je in ieder geval multicore support voor pppoe.
Maar als je ook IPS wilt doen zijn er ook linux firewall distro's die dat al ingebouwd hebben.
Dan heb je de multicore pppoe support en je IPS in 1 systeem.
Zie hier een lijst.
Wikipedia: List of router and firewall distributions

[pimlie]

Nieuwe nieuwsbrief is uit: https://mt.lv/news123 met een geheel nieuw type product, een data server: https://mikrotik.com/product/rds2216

YouTube: RouterOS enterprise Data Server: storage, networking, compute... ALL-IN-ONE!

Vraag me af waar die geclaimde Massive energy savings in de praktijk op uit komen met al die connectiviteit...

[AtomicShockwave]

Zo het draait.


Gisterenavond alles in het rack geschroefd en vandaag aan de configuratie gerommeld

Ik heb een PPP verbinding die werkt
NAT doet het
DHCP doet wat ik wil.
En ik heb zelfs WiFi met CapsMan. Maar nog niet helemaal hoe ik het wil.

Probleem:
Er komen max 4x cap-wifi (interfaces? ) Dit wordt volgens mij automatisch geprovisioned door capsman
Dus dat is 2 per Accespoint met eigen mac adres.
Deze lopen vol met mijn 2ghz ssid en mijn 5ghz ssid.

Als ik nu mijn guest ssid aanzet komt er geen interface bij. Ik heb al 10x door de configuratie gescrolld maar ik snap gewoon niet hoe het werkt. Dat ik op internet "oude" capsman en de "nieuwe" integratie tegenkom helpt ook niet

code:

/interface wifi security
add authentication-types=wpa2-psk,wpa3-psk disabled=no name=sec1
add authentication-types=wpa2-psk,wpa3-psk disabled=no name=sec2
/interface wifi configuration
add channel.band=5ghz-ac .frequency=5170-5330 .skip-dfs-channels=all .width=\
    20/40/80mhz country=Netherlands disabled=no name=5ghz security=sec1 \
    security.authentication-types=wpa2-psk,wpa3-psk ssid=JanKarin5G
add channel.band=2ghz-n country=Netherlands disabled=no name=2ghz security=sec1 \
    ssid=JanKarin2G
add channel.band=2ghz-n country=Netherlands disabled=no name=JanKarinGast \
    security=sec1 ssid=JanKarinGast
/interface wifi
add configuration=5ghz disabled=no name=cap-wifi1 radio-mac=F4:1E:57:1D:B5:C3
add configuration=2ghz disabled=no name=cap-wifi2 radio-mac=F4:1E:57:1D:B5:C4
add configuration=5ghz disabled=no name=cap-wifi3 radio-mac=F4:1E:57:1D:B1:89
add configuration=2ghz disabled=no name=cap-wifi4 radio-mac=F4:1E:57:1D:B1:8A
/interface wifi cap
set discovery-interfaces=LAN
/interface wifi capsman
set ca-certificate=auto certificate=auto enabled=yes interfaces=LAN \
    package-path="" require-peer-certificate=no upgrade-policy=none
/interface wifi provisioning
add action=create-enabled disabled=no master-configuration=5ghz supported-bands=\
    5ghz-n
add action=create-enabled disabled=no master-configuration=2ghz supported-bands=\
    2ghz-n
add action=create-enabled disabled=no master-configuration=JanKarinGast \
    supported-bands=2ghz-n

[babbelbox]

Ik weet zo ff niet uit m'n hoofd alle config commands, maar ik weet wel dat ik op m'n caps-man geen interfaces heb gemaakt.
Via de provision tab kun je de remote devices koppelen, daar zullen dan interfaces komen, afhankelijk van je config.
Enige dat je op de remote caps moet doen is ze laten zoekne naar een caps-man op de interface die naar deze connect

[AtomicShockwave]

babbelbox schreef op zaterdag 1 maart 2025 @ 19:41:
Ik weet zo ff niet uit m'n hoofd alle config commands, maar ik weet wel dat ik op m'n caps-man geen interfaces heb gemaakt.
Via de provision tab kun je de remote devices koppelen, daar zullen dan interfaces komen, afhankelijk van je config.
Enige dat je op de remote caps moet doen is ze laten zoekne naar een caps-man op de interface die naar deze connect

Ik denk dat het iets met master en slave interfaces te maken heeft. Maar het is een gevalletje klok en klepel

Nouja, niemand zei ooit dat RouterOS makkelijk zou zijn.

[lier]

code:

/interface wifi provisioning
add action=create-enabled disabled=no master-configuration=5ghz supported-bands=5ghz-n
add action=create-enabled disabled=no master-configuration=2ghz supported-bands=2ghz-n
add action=create-enabled disabled=no master-configuration=JanKarinGast supported-bands=2ghz-n

De derde provision rule wordt nooit geraakt omdat degene ervoor al een hit is.
Zou daarom moeten zijn:

code:

/interface wifi provisioning
add action=create-enabled disabled=no master-configuration=5ghz supported-bands=5ghz-n
add action=create-enabled disabled=no master-configuration=2ghz supported-bands=2ghz-n slave-configurations=JanKarinGast

Zie ook de documentatie:
https://help.mikrotik.com...mpleconfigurationexample:

Als je nog tips wil (bijvoorbeeld dingen niet herhalen, zogenaamd "DRY"), laat het weten. Bijvoorbeeld create-dynamic-enabled in plaats van create-enabled. En als je "wat verder bent", zou je VLAN's kunnen overwegen. Het is een mooie setup die je hebt!

[ Voor 14% gewijzigd door lier op 02-03-2025 10:37 ]

[AtomicShockwave]

lier schreef op zondag 2 maart 2025 @ 10:34:

code:

/interface wifi provisioning
add action=create-enabled disabled=no master-configuration=5ghz supported-bands=5ghz-n
add action=create-enabled disabled=no master-configuration=2ghz supported-bands=2ghz-n
add action=create-enabled disabled=no master-configuration=JanKarinGast supported-bands=2ghz-n

De derde provision rule wordt nooit geraakt omdat degene ervoor al een hit is.
Zou daarom moeten zijn:

code:

/interface wifi provisioning
add action=create-enabled disabled=no master-configuration=5ghz supported-bands=5ghz-n
add action=create-enabled disabled=no master-configuration=2ghz supported-bands=2ghz-n slave-configurations=JanKarinGast

Zie ook de documentatie:
https://help.mikrotik.com...mpleconfigurationexample:

Als je nog tips wil (bijvoorbeeld dingen niet herhalen, zogenaamd "DRY"), laat het weten. Bijvoorbeeld create-dynamic-enabled in plaats van create-enabled. En als je "wat verder bent", zou je VLAN's kunnen overwegen. Het is een mooie setup die je hebt!

Top! Dankjewel!
Het moet dus idd een slave worden omdat er niet meer fysieke radio interfaces zijn. Ik ga hier zsm mee aan de knutsel.

Ik moet zeggen dat ik het best wel pittig vind om vanuit de GUI naar een configuratie te komen. Er zitten allemaal tabbladen achter elkaar waardoor je als noob heel snel de configuratie uit het oog verliest. Je moet van hot naar her om iets in te stellen. Vervolgens zit ik dan met de terminal af en toe "print detail" te doen om te kijken wat het nou onderaan de streep is geworden. (ook om te vergelijken met andere configuraties)
Maar ik ben ook niet ervaren genoeg in de syntax om direct CLI te doen. Want eigenlijk is de GUI voor de meeste configuratie suboptimaal. Je klikt je een ongeluk, voor wat je in een korte instructie in de CLI zou kunnen rammen.

Je zou bijna met een tekst editor de config file willen editen ofzo

Maargoed VLAN staat zeker op de planning. Baby steps..


Edit:

Yes hij doet het!

Die traffic processing melding is wel echt irritant btw

[ Voor 3% gewijzigd door AtomicShockwave op 02-03-2025 12:15 ]

[InflatableMouse]

Ik zoek een vervanger voor opnsense, deze draait nu op een low budget pctje met celeron processor. Ding is te langzaam met name wanneer ik Wireguard over 1Gbps vol probeer te duwen. Daarnaast ook wat poblemen / bugs in opnsense waar ik hier niet op in wil gaan (daar is dit topic niet voor ).

Ik heb al heel veel zelf uitgezocht en uitgeprobeerd met demo license, maar ik kom niet overal zelf uit mede omdat ik RouterOS nog helemaal niet ken.

Ik zou graag nog het volgende willen weten over RouterOS:

• kan het dhcp leases van ipv4 en 6 in dns registeren?
• kan het dhcp scopes aanbieden per interface (vlans)?
• kan het dhcpv6 scopes aanbieden voor stateful en assisted (laatste via track wan interface met prefix id?
• kan het per interface (vlan) outbound nat configureren?
• Split horizon DNS?

En minder spannende vragen die ik ook op andere manieren kan oplossen:

• heeft het een HAProxy of iets vergelijkbaars?
• Aliases voor objecten die je bv in firewall rules kan gebruiken?
• DNSSEC and DNS64 ondersteuning?
• DNS over HTTPS and DNS over TLS?
• DNS blocklists (DNSBL) met whitelist override ondersteuning
• NAT reflection Ja, heb ik al gevonden.
• Kan het NAT on LAN/internal interfaces?

Iemand die hier (een deel van) kan beantwoorden zou ik erg tof vinden!

[ernstoud]

InflatableMouse schreef op maandag 17 maart 2025 @ 14:20:
Ik zoek een vervanger voor opnsense, deze draait nu op een low budget pctje met celeron processor. Ding is te langzaam met name wanneer ik Wireguard over 1Gbps vol probeer te duwen. Daarnaast ook wat poblemen / bugs in opnsense waar ik hier niet op in wil gaan (daar is dit topic niet voor ).

Ik heb al heel veel zelf uitgezocht en uitgeprobeerd met demo license, maar ik kom niet overal zelf uit mede omdat ik RouterOS nog helemaal niet ken.

Ik zou graag nog het volgende willen weten over RouterOS:

• kan het dhcp leases van ipv4 en 6 in dns registeren?
• kan het dhcp scopes aanbieden per interface (vlans)?
• kan het dhcpv6 scopes aanbieden voor stateful en assisted (laatste via track wan interface met prefix id?
• kan het per interface (vlan) outbound nat configureren?
• Split horizon DNS?

En minder spannende vragen die ik ook op andere manieren kan oplossen:

• heeft het een HAProxy of iets vergelijkbaars?
• Aliases voor objecten die je bv in firewall rules kan gebruiken?
• DNSSEC and DNS64 ondersteuning?
• DNS over HTTPS and DNS over TLS?
• DNS blocklists (DNSBL) met whitelist override ondersteuning
• NAT reflection Ja, heb ik al gevonden.
• Kan het NAT on LAN/internal interfaces?

Iemand die hier (een deel van) kan beantwoorden zou ik erg tof vinden!

Handleiding: https://help.mikrotik.com...ROS/pages/328059/RouterOS (ook in pdf). Als je daarin op je trefwoorden zoekt heb je denk ik al wat antwoorden.

[InflatableMouse]

ernstoud schreef op maandag 17 maart 2025 @ 15:08:
[...]


Handleiding: https://help.mikrotik.com...ROS/pages/328059/RouterOS (ook in pdf). Als je daarin op je trefwoorden zoekt heb je denk ik al wat antwoorden.

Heb ik de indruk gewekt zelf geen moeite te hebben gedaan voodat ik de vraag stelde? Oprechte vraag hoor, dat idee krijg ik als iemand met enkel een linkje naar een handleiding kom. Voor de goede orde: ik zit al dagen te lezen en heb (zonder voorkennis) de router draaien met pppoe, allerlei firewall rules, natting, dhcp, etc. Dat doe je niet zonder een handleiding te lezen.

De demo license is verder te beperkt om veel meer te doen. Ik heb bijvoorbeeld al een vlan nodig voor internet access via kpn, en daarmee kan ik geen tweede vlan meer aanmaken. Een aantal vragen kan ik zelf dus niet eens goed beantwoorden. Ik kan de router ook niet laten draaien omdat er teveel afhankelijkheden in mijn omgeving zitten, dus na een aantal uur moet ik opnsense terugzetten. De VM met routerOS krijgt geen IPv6 (dat moet van WAN met interface tracking afkomen), ik weet in elk geval geen andere manier.

Dan komt er een moment dat ik denk: laat ik het vragen! Dan komt een linkje naar een handleiding. Komt beetje lullig over als ik zo eerlijk mag zijn. En das niet lullig bedoeld verder. .

[ernstoud]

InflatableMouse schreef op maandag 17 maart 2025 @ 15:43:
[...]


Heb ik de indruk gewekt zelf geen moeite te hebben gedaan voodat ik de vraag stelde? Oprechte vraag hoor, dat idee krijg ik als iemand met enkel een linkje naar een handleiding kom. Voor de goede orde: ik zit al dagen te lezen en heb (zonder voorkennis) de router draaien met pppoe, allerlei firewall rules, natting, dhcp, etc. Dat doe je niet zonder een handleiding te lezen.

De demo license is verder te beperkt om veel meer te doen. Ik heb bijvoorbeeld al een vlan nodig voor internet access via kpn, en daarmee kan ik geen tweede vlan meer aanmaken. Een aantal vragen kan ik zelf dus niet eens goed beantwoorden. Ik kan de router ook niet laten draaien omdat er teveel afhankelijkheden in mijn omgeving zitten, dus na een aantal uur moet ik opnsense terugzetten. De VM met routerOS krijgt geen IPv6 (dat moet van WAN met interface tracking afkomen), ik weet in elk geval geen andere manier.

Dan komt er een moment dat ik denk: laat ik het vragen! Dan komt een linkje naar een handleiding. Komt beetje lullig over als ik zo eerlijk mag zijn. En das niet lullig bedoeld verder. .

Mijn reactie met de link naar de handleiding was niet vervelend bedoeld maar je stelt veel vragen die ook redelijk diep gaan. Dus respect voor je kennis. Maar misschien is het teveel verwachting dat iemand hier de halve handleiding gaat overtypen. Vandaar de link.

Er zullen best een aantal antwoorden komen, ik ben op mijn rb5009 ook nog niet zover gekomen om je te helpen.

[InflatableMouse]

@ernstoud Geen probleem hoor, ik begrijp het ook wel.

Ter verduidelijking, ik ben niet enkel op zoek naar handleiding antwoorden. Daar kan bijvoorbeeld in staan dat het iets kan, maar dat daar wat haken en ogen aanzitten staat er dan niet bij. Ik zoek ook antwoorden die uit ervaring spreken.

Ik heb zojuist vanalles gevonden over IPv6 interface tracking en de mogelijkheden voor het instellen van router advertisements. Dat lijkt dus allemaal wel te kunnen.

Split Horizon DNS schijnt niet (makkelijk) te kunnen. Niet standaard ondersteund, maar ik lees ook wel over work arounds. Ook op dit gebied zijn ervaringen welkom! Is er iemand die lokaal door zn router laat resolven en public queries door een pi-hole? ben benieuwd!

[pimlie]

• kan het dhcp leases van ipv4 en 6 in dns registeren?

Bedoel je mDNS? Dan ja maar alleen ipv4: https://help.mikrotik.com/docs/spaces/ROS/pages/37748767/DNS, maar je kan waarschijnlijk van alles wat je wilt scripten via static dns entries: https://help.mikrotik.com.../pages/47579229/Scripting

• kan het dhcp scopes aanbieden per interface (vlans)?

Dit configureer je in RouterOS meestal via Bridges, maar je kan een dhcp server op elke (master) interface draaien dus sowieso ja: https://help.mikrotik.com...68/Bridging+and+Switching

• kan het dhcpv6 scopes aanbieden voor stateful en assisted (laatste via track wan interface met prefix id?

Weet ik niet

• kan het per interface (vlan) outbound nat configureren?

RouterOS is linux based, Firewall & routing in RouterOS werkt daarom eigenlijk grotendeels hetzelfde als in linux. Dus ja.

• Split horizon DNS?

Volgens mij niet, zou dit ook graag willen. Maar je kan evt Bind in een container draaien en daar verschillende zones configureren

• heeft het een HAProxy of iets vergelijkbaars?

Niet native, maar als je een ARM/x86-based device hebt zou je een HAProxy container kunnen draaien: https://help.mikrotik.com...95651/Container+-+HAProxy

• Aliases voor objecten die je bv in firewall rules kan gebruiken?

In beperkte vorm. Zie ip -> firewall -> address lists in WinBox. Deze werken alleen in firewall rules en alleen gebaseerd op ip. MAC support zou je echter kunnen toevoegen via of een dhcp lease script of een scheduled script, maar dan nog werken address lists alleen in firewall.

• DNSSEC and DNS64 ondersteuning?

Volgens mij niet, maar je kan wederom evt een eigen DNS resolver draaien in een container die dit wel ondersteunt

• DNS over HTTPS and DNS over TLS?

https://help.mikrotik.com...#DNS-dohDNSoverHTTPS(DoH)

• DNS blocklists (DNSBL) met whitelist override ondersteuning

https://help.mikrotik.com...8767/DNS#DNS-adlistAdlist of anders draai pihole in een container: https://help.mikrotik.com...ainer-Containeruseexample

• Kan het NAT on LAN/internal interfaces?

Inprincipe is elke bridge die je aanmaakt een LAN/internal interface, dus ja

[lolgast]

InflatableMouse schreef op maandag 17 maart 2025 @ 14:20:
Ik zoek een vervanger voor opnsense, deze draait nu op een low budget pctje met celeron processor. Ding is te langzaam met name wanneer ik Wireguard over 1Gbps vol probeer te duwen. Daarnaast ook wat poblemen / bugs in opnsense waar ik hier niet op in wil gaan (daar is dit topic niet voor ).

Ik heb al heel veel zelf uitgezocht en uitgeprobeerd met demo license, maar ik kom niet overal zelf uit mede omdat ik RouterOS nog helemaal niet ken.

Ik zou graag nog het volgende willen weten over RouterOS:

• kan het dhcp leases van ipv4 en 6 in dns registeren?
• kan het dhcp scopes aanbieden per interface (vlans)?
• kan het dhcpv6 scopes aanbieden voor stateful en assisted (laatste via track wan interface met prefix id?
• kan het per interface (vlan) outbound nat configureren?
• Split horizon DNS?

En minder spannende vragen die ik ook op andere manieren kan oplossen:

• heeft het een HAProxy of iets vergelijkbaars?
• Aliases voor objecten die je bv in firewall rules kan gebruiken?
• DNSSEC and DNS64 ondersteuning?
• DNS over HTTPS and DNS over TLS?
• DNS blocklists (DNSBL) met whitelist override ondersteuning
• NAT reflection Ja, heb ik al gevonden.
• Kan het NAT on LAN/internal interfaces?

Iemand die hier (een deel van) kan beantwoorden zou ik erg tof vinden!

Ik kan op een paar vragen antwoord geven:
kan het dhcp leases van ipv4 en 6 in dns registeren?
Ja, door een script aan de DHCP server te hangen: lolgast in "[MikroTik-apparatuur] Ervaringen & Discussie"

kan het dhcp scopes aanbieden per interface (vlans)?
Ja. Je hangt een DHCP scope aan een interface. Dat kan ook een VLAN interface zijn

kan het per interface (vlan) outbound nat configureren?
Ja, absoluut

heeft het een HAProxy of iets vergelijkbaars?
Nee, er zit geen reverse proxy functionaliteit in. Hoewel sommige modellen met Docker ondersteuning komen dacht ik

Aliases voor objecten die je bv in firewall rules kan gebruiken?
Ja, volgens mij heten ze officieel 'addresslists'

DNSSEC and DNS64 ondersteuning?
Pin me er niet op vast, maar volgens mij niet

DNS blocklists (DNSBL) met whitelist override ondersteuning
Ja, dat zit er in. Nooit gebruikt, geen idee wat het format van de list moet zijn. Het mag een online file zijn, mag ook lokaal op de router staan

[babbelbox]

Ik weet niet beter dan dat een trial licentie alle functies gewoon bevat, alleen een limiet heeft op bandbreedte...

[InflatableMouse]

@babbelbox klopt, maar max 24 uur. Ik wil ook nog slapen en andere dingen doen dus dat is nooit genoeg tijd voor mij om alles te testen wat ik wil testen met ook nog eens "learning on the job".

@pimlie en @lolgast Tof, dank jullie!

Ik heb mijn oog op de CCR2004-1G-12S+2XS ivm met de 10G en SFP28 poorten dus geen self hosted x86 en daarmee denk ik ook geen container ondersteuning.

Ik zit toevallig net te lezen over scripting, en daarmee in theorie de mogelijkheid dns queries te evalueren tegen een lijst met local domains om te bepalen waar de queries heen moeten (lees: zelf resolven of naar pi-hole sturen).

Het begint er op te lijken dat alles wat ik belangrijk vind mogelijk is. Ik ga zo de router weer aanslingeren wanneer de kids de deur uit zijn.

[pimlie]

InflatableMouse schreef op maandag 17 maart 2025 @ 16:27:
Ik heb mijn oog op de CCR2004-1G-12S+2XS ivm met de 10G en SFP28 poorten dus geen self hosted x86 en daarmee denk ik ook geen container ondersteuning.

Alle arm/arm64/x86 devices ondersteunen containers: https://help.mikrotik.com.../pages/84901929/Container De CCR2004 is een arm64 device.

[InflatableMouse]

pimlie schreef op maandag 17 maart 2025 @ 16:13:
[...]


Bedoel je mDNS? Dan ja maar alleen ipv4: https://help.mikrotik.com/docs/spaces/ROS/pages/37748767/DNS, maar je kan waarschijnlijk van alles wat je wilt scripten via static dns entries: https://help.mikrotik.com.../pages/47579229/Scripting

Nee, geen multicast DNS.

Ik bedoel dat (wanneer een client een hostnaam aanbiedt bij het vragen voor een dhcp lease), deze hostnaam wordt geregistreerd in DNS zodat alle lokale clients die hostnaam kunnen resolven. Bij OPNsense doe je dit onder Unbound, door aan te vinken "Register ISC DHCP4 Leases" en " Register DHCP Static Mappings". Hoe het precies werkt met DHCPv6 addressen weet ik niet, die resolvede wel altijd voordat ze deze feature kapot maakte .

Ik krijg tegenstrijdige antwoorden van LLM's op deze vraag, en in de docs kan ik het niet terugvinden. Dit is wel een beetje breaking point als dit niet mogelijk is (ook niet via scripting bv).

[pimlie]

@InflatableMouse Als ik heel ouderwets zoek met een zoekmachine () op routeros hostname to dns dan krijg ik verschillende scripts terug die dit verzorgen. Bv

• https://gist.github.com/SmartFinn/acc7953eaeb43cece034
• https://www.reddit.com/r/...er_entries_in_dns_server/
• https://wiki.mikrotik.com...ecord_for_each_DHCP_lease

Helaas niet zo makkelijk als in OPNsense dus waar je alleen een vinkje hoeft aan te zetten...

[lolgast]

DHCP naar DNS registratie werkt prima via die scripts. Misschien niet zo eenvoudig als een vinkje, wel zo eenvoudig als copy paste

Met als bijkomend voordeel dat je per DHCP scope (en dus VLAN) andere voorwaarde aan de DNS entries kunt geven. Of bepaalde scopes helemaal niet laat terugkomen in je DNS entries

[InflatableMouse]

Yes, dat had ik gevonden hoor @pimlie .

Via een scriptje is ook goed, als het maar kan.

En het is erg tof dat containers ook op hun ARM appliances werken!

Ik denk dat ik dat ding wel ga bestellen.

[InflatableMouse]

Sterker nog: besteld!

[babbelbox]

Ik was toch eigenwijs en heb ff met een VM zitten testen met betrekking tot die genoemde 24 uur.
Ik denk dat er een verschil is tussen een VM installeren met behulp van de ISO en het downloaden van de CHR disk image.
In mijn geval maak ik gebruik van Hyper-V, dus heb ik de VHDX gedownload, maar die heeft dan een 'free' license, daar kan ik meerdere VLAN interfaces maken. Verder niet heel erg door getest, maar ik meen mij te herinneren dat je op deze manier gewoon een volwaardige router kan testen, met alleen niet de maximale doorvoersnelheid.
Als ik een ISO installatie doe dan zie ik in de license inderdaad een remaining time, en blijkbaar sluit de VM gewoon direct af als deze tijd voorbij is.

Ik lees net wel dat er op de Mikrotik website een tabelletje staat waar dan inderdaad weer instaat dat bij een free license er maar 1 VLAN interface gebruikt kan worden.
Wat dan het nu is/de werking zal zijn als je er meerder aanmaakt is mij nog even ontgaan.
RouterOS license

Best lastig, alle info in 1 keer hebben en DAARNA pas een post hier maken, maar ja.
Voor CHR blijkt er dus weer een andere opzet te zijn. Daar is de free license inderdaad gemaximaliseerd op een snelheid van 1MBit per interface.
CHR-license

[ Voor 36% gewijzigd door babbelbox op 26-03-2025 22:31 . Reden: typo ]

[Roetzen]

Hallo allemaal,
Mikrotek is nieuw voor mij. Ik heb een HEX Mikrotek routertje in huis gehaald om samen met een Nokia XS-010X-Q de Nokia XS-2426 modem/router te vervangen die ik van Delta in bruikleen heb heb gekregen. Ik moet zeggen dat Mikrotek een uitdaging is. Bijna alles is anders dan ik gewend ben. Ik ben gevorderd tot het punt dat IPv4 uitgaand werkt. Ik loop vast bij het bereikbaar maken van mijn Binkp server. Het lukt al niet eens die vanaf het eigen LAN te bereiken. Op het 192.168.88.xx adres dus. Wat mis ik?

[pimlie]

@Roetzen Lastig te zeggen zo zonder je configuratie. Kan je misschien iets uitgebreider beschrijven hoe je eea wilt instellen en de configuratie die je tot nu toe hebt? (liefst /export hide-sensitive, controleer uiteraard altijd zelf of er echt geen gevoelige informatie in staat)

Paar tips iig wat betreft debugging:

• Voeg bovenaan in je firewall regels toe die alleen het verkeer loggen waar je in geinteresseerd bent. Vaak kan je dan zien of het verkeer misschien onverwacht gerouteerd wordt of niet
• Gebruik Tools -> Torch om te kijken wat voor verkeer er voorbij komt. Meestal doe ik dit eerst, en als ik het daarna nog niet snap voeg ik firewall log regels toe.

[Roetzen]

@pimlie
Ik heb het apparaat gereset met de reserknop.

Ik heb het wachtwoord veranderd.

Ik heb een VLAN 100 geconfigureerd en daar een DHCP client aan gekoppeld en het opgenomen in de WAN lijst

Ik heb een port mapping gemaakt voor een bepaalde poort en die weer verwijderd.

Dat is alles wat ik tot dusver aan de default configuratie heb gewijzigd.

[pimlie]

@Roetzen Waar staat die binkp server, intern of extern?

Mijn tips:

• RouterOS is linux based, als je ervaring hebt met netwerk configuratie onder linux dan zal je veel herkennen
• Probeer anders eerst eens alles werkend te krijgen zonder vlan's als dit je eerste keer is. VLAN's kunnen wat lastiger zijn onder RouterOS omdat je zowel software matige VLAN's heb (vlan tab onder interfaces) maar ook hardware matige VLAN support op de switch chip. Omdat je alleen beschrijft wat je hebt gedaan maar niets laat zien, kunnen we nu niet zeggen wat je precies hebt geprobeerd
• Wat betreft port mapping, geen idee hoe de default firewall werkt maar als die standaard verkeer blokkeert dan moet je zowel een NAT rule aanmaken (om het verkeer om te leiden) als een Filter rule (om het verkeer toe te staan).

Wat betreft het hardware versus software matige gebeuren, bekijk het block diagram van de hex. Je ziet dat als je wire speed switching tussen de gigabit ports wilt hebben dan moet je er voor zorgen dat het verkeer niet via de cpu loopt, want de switch chip is maar met 1GB/s verbonden met de cpu. Daarom is het ook altijd goed om te controleren welke switch chip features worden ondersteund door je device. De HEX maakt gebruik van een MT7621 switch chip en deze ondersteunt iig wel hardwarematige VLAN offloading & filtering

[esphome]

@Roetzen

Zoek eens op de term "hairpin" in de help documentatie. In het forum: https://forum.mikrotik.com/viewtopic.php?t=172380

Verder zijn er twee hEX routers. De laatste uitvoering heeft een andere chipset en heet hEX refresh

Het block diagram vertelt dat eth1 via de CPU loopt en dat eth2-eth5 via een switch chip gaat en hou er dan rekening meer. Het is dan verstandig om eth1 als WAN poort te gebruiken. Immers de PPPoE naar Freedom is softwarematig en zo moet je in interfaces op die PPPoE vlan6 aanzetten.

[ Voor 34% gewijzigd door esphome op 05-04-2025 15:07 ]

[pimlie]

@esphome Zelf ben ik niet echt een voorstander van hairpin nat. Liever b.v. gewoon een interne DNS draaien (bv static entries op de mikrotik) dat naar het interne server ip verwijst en de NAT rule alleen voor verkeer inkomend van buiten laten werken.

[llagendijk]

Roetzen schreef op vrijdag 4 april 2025 @ 21:40:
@pimlie
Ik heb het apparaat gereset met de reserknop.

Ik heb het wachtwoord veranderd.

Ik heb een VLAN 100 geconfigureerd en daar een DHCP client aan gekoppeld en het opgenomen in de WAN lijst

Ik heb een port mapping gemaakt voor een bepaalde poort en die weer verwijderd.

Dat is alles wat ik tot dusver aan de default configuratie heb gewijzigd.

Heb je de standaard firewall ingesteld?
Post evt eens de output van /export verbose

[ Voor 4% gewijzigd door llagendijk op 10-04-2025 22:10 ]

[Mattie112]

pimlie schreef op zaterdag 5 april 2025 @ 15:17:
@esphome Zelf ben ik niet echt een voorstander van hairpin nat. Liever b.v. gewoon een interne DNS draaien (bv static entries op de mikrotik) dat naar het interne server ip verwijst en de NAT rule alleen voor verkeer inkomend van buiten laten werken.

Behalve als je zowel binnenom als buitenom je spullen wil kunnen benaderen (en dan over het internet niet over VPN). Dan is het opeens toch wel heel erg handig!

[lier]

Mattie112 schreef op vrijdag 11 april 2025 @ 10:26:
Behalve als je zowel binnenom als buitenom je spullen wil kunnen benaderen (en dan over het internet niet over VPN). Dan is het opeens toch wel heel erg handig!

Als je intern (al dan niet via vpn) laat resolven naar het interne IP adres en publiek naar het publieke adres...dan ben je er toch? Of begrijp ik je nu verkeerd?
Oftewel...ik ben ook voorstander van lokale DNS entries

[lier]

Roetzen schreef op vrijdag 4 april 2025 @ 16:14:
Het lukt al niet eens die vanaf het eigen LAN te bereiken. Op het 192.168.88.xx adres dus. Wat mis ik?

Je benadert hem dus op basis van het IP adres? Als je client aan de LAN kant zit, zou dat geen enkel probleem mogen zijn. Weet je zeker dat je het juiste IP adres gebruikt? Zie je dat ook in de DHCP leases? Of maak je gebruik van een vast IP adres?

Wil je de server publiek beschikbaar maken? En dan via een port forward of kan je hem via VPN ook gebruiken? Wat is het eigenlijk voor server?

[Roetzen]

llagendijk schreef op donderdag 10 april 2025 @ 22:05:
[...]

Heb je de standaard firewall ingesteld?

Ik heb de default instellingen van de firewall.

Post evt eens de output van /export verbose

Eh??? Waar vind ik zo iets?

[Roetzen]

lier schreef op vrijdag 11 april 2025 @ 11:22:
[...]

Je benadert hem dus op basis van het IP adres?

Ja, voor de test.

Als je client aan de LAN kant zit, zou dat geen enkel probleem mogen zijn.

Dat dacht ik ook en in de twintig jaar dat ik hier mee speel is het ook nooit een probleem geweest. Niet met IPv4 en niet met IPv6. Tot nu met Mikrotik.

Weet je zeker dat je het juiste IP adres gebruikt? Zie je dat ook in de DHCP leases? Of maak je gebruik van een vast IP adres?

Ja, ja en nee.

Wil je de server publiek beschikbaar maken? En dan via een port forward

Uiteindelijk wel, maar zo lang ik hem niet eens intern kan bereiken heeft het weinig zin het extern te gaan proberen lijkt me.

Wat is het eigenlijk voor server?

Brinkd. Een protocol voor Fidonet. Heeft hier altijd gewerkt met andere routers…

[Roetzen]

@llagendijk @pimlie @esphome
Ik heb nog wat testjes gedaan en het lijkt er op dat alle apparaten op het LAN grotendeels van elkaar afgeschermd zijn. Ping werkt wel met de lokale adressen en de globale IPv6 adressen maar dat is het dan zo’n beetje. Het LAN bestaat interface “bridge” en dat zijn ether1-ether5.

Ik zie nu bij “Switch” iets staan met “Port isolation”. Kan dat iets zijn?

[llagendijk]

Roetzen schreef op maandag 14 april 2025 @ 13:54:
[...]

Ik heb de default instellingen van de firewall.

[...]

Eh??? Waar vind ik zo iets?

gebruik een terminal (ssh of klik op terminal bovenin de web interface). Type dan
/export verbose file=filename
en dan download die file (webinterface, files filename.rsc).

Port forwarding zou een probleem op kunnen leveren maar alleen als je zelf wat hebt gewijzigd daar. Maar dat zou uit de export output moeten blijken

[ Voor 16% gewijzigd door llagendijk op 14-04-2025 17:37 ]

[Mattie112]

lier schreef op vrijdag 11 april 2025 @ 11:15:
[...]

Als je intern (al dan niet via vpn) laat resolven naar het interne IP adres en publiek naar het publieke adres...dan ben je er toch? Of begrijp ik je nu verkeerd?
Oftewel...ik ben ook voorstander van lokale DNS entries

Dat kan, maar dan moet je wel je DNS server draaien intern (of fixed entries toevoegen). Die je weer los van je externe DNS moet bijhouden. Niet mijn ding maar ieder zn smaak natuurlijk.

[Roetzen]

llagendijk schreef op maandag 14 april 2025 @ 17:20:
[...]

gebruik een terminal (ssh of klik op terminal bovenin de web interface). Type dan
/export verbose file=filename en dan download die file (webinterface, files filename.rsc).

Mijn kennis van Linux schiet te kort. Ik heb ooit OpenWrt gedraaid op een wrt zoveel maar dat was 15 jaar geleden en ik heb geen idee hoe ik waar file die ik kennelijk aangemaakt heb gebleven is en hoe ik hem zou kunnen dowloaden. Maar ik heb wel de inhoud van het scherm van de Mikrotik terminal kunnen opvangen. Zie verderop.

Ik zei overigens dat ik niets aan de default instellingen heb veranderd maar dat klopt natuurlijk niet helemaal. Om te beginnen heb ik de firmware opgewaardeerd naar 7.18.2. Verder hen ik VLAN 100 aangemaakt en IPv6 geactiveerd. En geprobeerd een IPv6 pinhole aan te maken voor poort 24554.

Port forwarding zou een probleem op kunnen leveren maar alleen als je zelf wat hebt gewijzigd daar. Maar dat zou uit de export output moeten blijken

Wat voor probleem dan?

Hier is wat ik krijg met export:

code:

[admin@MikroTik] > /export 
# 2025-04-16 16:44:59 by RouterOS 7.18.2
# software id = KDQG-E3VI
#
# model = RB750Gr3
# serial number = HGVXXXXXX
/interface bridge
add admin-mac=F4:1E:57:XX:XX:XX auto-mac=no comment=defconf name=bridge
/interface vlan
add interface=ether1 name=vlan1 vlan-id=100
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=default-dhcp interface=bridge name=defconf
/disk settings
set auto-media-interface=bridge auto-media-sharing=yes auto-smb-sharing=yes
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set wan-interface-list=WAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
add comment="Delta Fiber" interface=vlan1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=192.168.88.0
/ip dhcp-client
add comment=defconf interface=ether1
add comment="IP krijgen op Delta Fiber" default-route-tables=main interface=vlan1
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan type=A
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN
/ip hotspot profile
set [ find default=yes ] html-directory=hotspot
/ipv6 address
add comment="Local LAN" from-pool=Delta interface=bridge
/ipv6 dhcp-client
add add-default-route=yes interface=vlan1 pool-name=Delta pool-prefix-length=56 request=address,prefix
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" dst-port=33434-33534 protocol=udp
add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=fasttrack-connection chain=forward comment="defconf: fasttrack6" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="Allow binkp" dst-port=24554 protocol=tcp
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
[admin@MikroTik] >

[orvintax]

Roetzen schreef op woensdag 16 april 2025 @ 17:38:
[...]

Mijn kennis van Linux schiet te kort. Ik heb ooit OpenWrt gedraaid op een wrt zoveel maar dat was 15 jaar geleden en ik heb geen idee hoe ik waar file die ik kennelijk aangemaakt heb gebleven is en hoe ik hem zou kunnen dowloaden. Maar ik heb wel de inhoud van het scherm van de Mikrotik terminal kunnen opvangen. Zie verderop.

Ik zei overigens dat ik niets aan de default instellingen heb veranderd maar dat klopt natuurlijk niet helemaal. Om te beginnen heb ik de firmware opgewaardeerd naar 7.18.2. Verder hen ik VLAN 100 aangemaakt en IPv6 geactiveerd. En geprobeerd een IPv6 pinhole aan te maken voor poort 24554.

[...]

Wat voor probleem dan?

Hier is wat ik krijg met export:

=== begin ===

[admin@MikroTik] > /export

# 2025-04-16 16:44:59 by RouterOS 7.18.2

# software id = KDQG-E3VI

#

# model = RB750Gr3

# serial number = HGVXXXXXX

/interface bridge

add admin-mac=F4:1E:57:XX:XX:XX auto-mac=no comment=defconf name=bridge

/interface vlan

add interface=ether1 name=vlan1 vlan-id=100

/interface list

add comment=defconf name=WAN

add comment=defconf name=LAN

/ip pool

add name=default-dhcp ranges=192.168.88.10-192.168.88.254

/ip dhcp-server

add address-pool=default-dhcp interface=bridge name=defconf

/disk settings

set auto-media-interface=bridge auto-media-sharing=yes auto-smb-sharing=yes

/interface bridge port

add bridge=bridge comment=defconf interface=ether2

add bridge=bridge comment=defconf interface=ether3

add bridge=bridge comment=defconf interface=ether4

add bridge=bridge comment=defconf interface=ether5

/ip neighbor discovery-settings

set discover-interface-list=LAN

/interface detect-internet

set wan-interface-list=WAN

/interface list member

add comment=defconf interface=bridge list=LAN

add comment=defconf interface=ether1 list=WAN

add comment="Delta Fiber" interface=vlan1 list=WAN

/ip address

add address=192.168.88.1/24 comment=defconf interface=bridge network=192.168.88.0

/ip dhcp-client

add comment=defconf interface=ether1

add comment="IP krijgen op Delta Fiber" default-route-tables=main interface=vlan1

/ip dhcp-server network

add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=192.168.88.1

/ip dns

set allow-remote-requests=yes

/ip dns static

add address=192.168.88.1 comment=defconf name=router.lan type=A

/ip firewall filter

add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked

add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid

add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp

add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1

add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN

add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec

add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes

add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked

add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid

add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN

/ip firewall nat

add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN

/ip hotspot profile

set [ find default=yes ] html-directory=hotspot

/ipv6 address

add comment="Local LAN" from-pool=Delta interface=bridge

/ipv6 dhcp-client

add add-default-route=yes interface=vlan1 pool-name=Delta pool-prefix-length=56 request=address,prefix

/ipv6 firewall address-list

add address=::/128 comment="defconf: unspecified address" list=bad_ipv6

add address=::1/128 comment="defconf: lo" list=bad_ipv6

add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6

add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6

add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6

add address=100::/64 comment="defconf: discard only " list=bad_ipv6

add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6

add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6

add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6

/ipv6 firewall filter

add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked

add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid

add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6

add action=accept chain=input comment="defconf: accept UDP traceroute" dst-port=33434-33534 protocol=udp

add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10

add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp

add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah

add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp

add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec

add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN

add action=fasttrack-connection chain=forward comment="defconf: fasttrack6" connection-state=established,related

add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked

add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid

add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6

add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6

add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6

add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6

add action=accept chain=forward comment="defconf: accept HIP" protocol=139

add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp

add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah

add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp

add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec

add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN

add action=accept chain=forward comment="Allow binkp" dst-port=24554 protocol=tcp

/system clock

set time-zone-name=Europe/Amsterdam

/system note

set show-at-login=no

/tool mac-server

set allowed-interface-list=LAN

/tool mac-server mac-winbox

set allowed-interface-list=LAN

[admin@MikroTik] >


=== einde ===

Gelieve je export in een code block te zetten, dat maakt het stukken leesbaarder.

[Roetzen]

orvintax schreef op woensdag 16 april 2025 @ 20:12:
[...]

Gelieve je export in een code block te zetten, dat maakt het stukken leesbaarder.

Done.

[DJP!]

Roetzen schreef op woensdag 16 april 2025 @ 17:38:
[...]

Mijn kennis van Linux schiet te kort. Ik heb ooit OpenWrt gedraaid op een wrt zoveel maar dat was 15 jaar geleden en ik heb geen idee hoe ik waar file die ik kennelijk aangemaakt heb gebleven is en hoe ik hem zou kunnen dowloaden. Maar ik heb wel de inhoud van het scherm van de Mikrotik terminal kunnen opvangen. Zie verderop.

Ik zei overigens dat ik niets aan de default instellingen heb veranderd maar dat klopt natuurlijk niet helemaal. Om te beginnen heb ik de firmware opgewaardeerd naar 7.18.2. Verder hen ik VLAN 100 aangemaakt en IPv6 geactiveerd. En geprobeerd een IPv6 pinhole aan te maken voor poort 24554.

[...]

Wat voor probleem dan?

Hier is wat ik krijg met export:

code:

[admin@MikroTik] > /export 
# 2025-04-16 16:44:59 by RouterOS 7.18.2
# software id = KDQG-E3VI
#
# model = RB750Gr3
# serial number = HGVXXXXXX
/interface bridge
add admin-mac=F4:1E:57:XX:XX:XX auto-mac=no comment=defconf name=bridge
/interface vlan
add interface=ether1 name=vlan1 vlan-id=100
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=default-dhcp interface=bridge name=defconf
/disk settings
set auto-media-interface=bridge auto-media-sharing=yes auto-smb-sharing=yes
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set wan-interface-list=WAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
add comment="Delta Fiber" interface=vlan1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=192.168.88.0
/ip dhcp-client
add comment=defconf interface=ether1
add comment="IP krijgen op Delta Fiber" default-route-tables=main interface=vlan1
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan type=A
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN
/ip hotspot profile
set [ find default=yes ] html-directory=hotspot
/ipv6 address
add comment="Local LAN" from-pool=Delta interface=bridge
/ipv6 dhcp-client
add add-default-route=yes interface=vlan1 pool-name=Delta pool-prefix-length=56 request=address,prefix
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" dst-port=33434-33534 protocol=udp
add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=fasttrack-connection chain=forward comment="defconf: fasttrack6" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="Allow binkp" dst-port=24554 protocol=tcp
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
[admin@MikroTik] >

Heb je niets ingesteld bij IPv6 ND? Waarschijnlijk krijg je namelijk nu wel een IPv6 adres en prefix van Delta alleen zet je deze niet door naar je clients.

[Roetzen]

DJP! schreef op woensdag 16 april 2025 @ 20:56:
[...]


Heb je niets ingesteld bij IPv6 ND? Waarschijnlijk krijg je namelijk nu wel een IPv6 adres en prefix van Delta alleen zet je deze niet door naar je clients.

Ik heb niets ingesteld bij IPv6 ND maar ik heb wel een /64 aangevraagd uit de pool "Delta voor het interface "bridge". De clients op het LAN krijgen IPv6 adressen.

Dat is dan ook niet mijn probleem. Het probleem is dat de apparaten op het LAN van elkaar geïsoleerd lijken te zijn waardoor ik de server die op een er van draait niet eens lokaal kan bereiken. Niet op IPv4 en niet op IPv6.

[ Voor 20% gewijzigd door Roetzen op 16-04-2025 21:35 ]

[pimlie]

@Roetzen Zijn je desktop en server beide met een netwerk kabel aangesloten op de mikrotik? En je hebt geverifieerd dat beide een 192.168.88.x ip adres krijgen via dhcp? Dat wil zeggen dat je zowel het lokale ip adress + netmask hebt gecontroleerd van de desktop/server als de dhcp leases tab en je hebt gecontroleerd dat beide hetzelfde zijn.

Het zou raar zijn dat het niet zo werken als dat zo was, want verkeer van/naar 192.168.88.x kan direct over de switch chip lopen en komt dus niet eens op de cpu/firewall terecht.

Kan je de server wel pingen vanaf je desktop? Zo nee, zet een doorlopende ping aan (`ping -t` in windows) en door loop de eerder genoemde stappen van torch/firewall om te controleren of je die icmp packets ziet. Voor de duidelijkheid, je zou dus geen icmp packets moeten zijn als je die 2 pingt omdat het verkeer over de switch chip zou moeten gaan en niet de cpu.

Die dhcp client op ether1 zou trouwens niet nodig hoeven te zijn, ether1 hoeft ook niet aan de WAN interface list toegevoegd te worden.

Laatste tip, probeer eerst alleen ipv4 werkend te krijgen (ie disable alle ipv6 gedoe op de mikrotik). Voor hetzelfde geldt is er een ipv4/ipv6 routing voorkeur probleem.

[babbelbox]

@Roetzen Ik zie in je config ook niets geks wat kan verklaren waarom je vanaf je desktop PC je server niet kan bereiken. Wat pimlie ook aangeeft, kan je wel pingen van PC naar server, en zitten ze ook daadwerkelijk aan de poorten van de MikroTik de je in je bridge hebt gekoppeld.
En verder nog, misschien een firewall op je server die de boel blokkeert?

[Roetzen]

pimlie schreef op woensdag 16 april 2025 @ 23:17:
@Roetzen Zijn je desktop en server beide met een netwerk kabel aangesloten op de mikrotik? En je hebt geverifieerd dat beide een 192.168.88.x ip adres krijgen via dhcp? Dat wil zeggen dat je zowel het lokale ip adress + netmask hebt gecontroleerd van de desktop/server als de dhcp leases tab en je hebt gecontroleerd dat beide hetzelfde zijn.

Driemaal ja.

Het zou raar zijn dat het niet zo werken als dat zo was, want verkeer van/naar 192.168.88.x kan direct over de switch chip lopen en komt dus niet eens op de cpu/firewall terecht.

Het is inderdaad heel raar en ik snap er dan ook niets van. Dit heeft in het verleden met andere routers ook altijd gewerkt. Alleen nu met Mikrotek niet. Sterker nog het werkt zelfs niet als ik via een externe switch de client en de server op dezelfde ethernet poort op de Mikrotik zet. (ether3 in dit geval). Het lijkt er dus op dat zelfs dan het via de cpu van de Mikrotek gaat.

Kan je de server wel pingen vanaf je desktop?

Ja pingen gaat wel. Zowel op IPv4 als op IPv6. Pingen op IPv6 werkt ook van buiten af.

Als ik de client op dezelfde PC draai als waar de server op draait, dan is de server wel bereikbaar.

Die dhcp client op ether1 zou trouwens niet nodig hoeven te zijn, ether1 hoeft ook niet aan de WAN interface list toegevoegd te worden.

Maar het kan ook geen kwaad? Volgens mij is dat gewoon de default configuratie en is die blijven staan toen ik VLAN 100 aanmaakte en koppelde aan ether1.

Laatste tip, probeer eerst alleen ipv4 werkend te krijgen (ie disable alle ipv6 gedoe op de mikrotik). Voor hetzelfde geldt is er een ipv4/ipv6 routing voorkeur probleem.

Dat heb ik ook al gehad. Ik ben begonnen met IPv4 only. En toen dat niet ging heb ik IPv6 ingeschakeld om te zien of ik daar hetzelfde probleem zou hebben. En dat heb ik dus inderdaad.

[orvintax]

Roetzen schreef op donderdag 17 april 2025 @ 10:50:
[...]

Driemaal ja.

[...]

Het is inderdaad heel raar en ik snap er dan ook niets van. Dit heeft in het verleden met andere routers ook altijd gewerkt. Alleen nu met Mikrotek niet. Sterker nog het werkt zelfs niet als ik via een externe switch de client en de server op dezelfde ethernet poort op de Mikrotik zet. (ether3 in dit geval). Het lijkt er dus op dat zelfs dan het via de cpu van de Mikrotek gaat.

[...]

Ja pingen gaat wel. Zowel op IPv4 als op IPv6. Pingen op IPv6 werkt ook van buiten af.

Als ik de client op dezelfde PC draai als waar de server op draait, dan is de server wel bereikbaar.

[...]

Maar het kan ook geen kwaad? Volgens mij is dat gewoon de default configuratie en is die blijven staan toen ik VLAN 100 aanmaakte en koppelde aan ether1.

[...]

Dat heb ik ook al gehad. Ik ben begonnen met IPv4 only. En toen dat niet ging heb ik IPv6 ingeschakeld om te zien of ik daar hetzelfde probleem zou hebben. En dat heb ik dus inderdaad.

Begrijp ik het nu goed dat zelfs als je een switch tussen de Mikrotik router en je server/client hangt dat het dan nog altijd niet werkt? In dat geval zou de data niet eens bij de router moeten komen.

[pimlie]

@Roetzen Weet je zeker dat die binkp server wel op 0.0.0.0 bind? Of bind die nog op een oud/specifiek ip adres?

--edit--
Voor de duidelijkheid, ik bedoel de service zelf die op de server met het 192.168.88.x ip draait

[ Voor 32% gewijzigd door pimlie op 17-04-2025 11:04 ]

[Roetzen]

babbelbox schreef op donderdag 17 april 2025 @ 07:05:
@Roetzen Ik zie in je config ook niets geks wat kan verklaren waarom je vanaf je desktop PC je server niet kan bereiken.

Het blijft dus een mysterie..

Wat pimlie ook aangeeft, kan je wel pingen van PC naar server, en zitten ze ook daadwerkelijk aan de poorten van de MikroTik de je in je bridge hebt gekoppeld.

Ja, het klopt echt allemaal. En het werkte intern ook toen het nog aan de Nokia XG2426 hing die ik van Delta had gekregen. Ik ben juist naar een eigen ONT en router overgestapt omdat ik daar de port forwarding en pinholing niet aan de praat kreeg.
En ik heb mijn Ziggo lijntje ook nog even aan gehouden en als ik het aan mijn Ziggo modem/router hang dan werkt alles zoals verwacht.

En verder nog, misschien een firewall op je server die de boel blokkeert?

Tja, het heeft meer dan tien jaar gewerkt. Totdat ik met een Mikrotek router aan de gang ging..En het werkt nog steeds weer als ik even terug ga naar mijn Ziggo configuratie met de zwarte Sagemcom modem/router van Ziggo...

[Roetzen]

orvintax schreef op donderdag 17 april 2025 @ 10:53:
[...]

Begrijp ik het nu goed dat zelfs als je een switch tussen de Mikrotik router en je server/client hangt dat het dan nog altijd niet werkt? In dat geval zou de data niet eens bij de router moeten komen.

Je begrijpt het goed, zelfs dan werkt het niet.

[Roetzen]

pimlie schreef op donderdag 17 april 2025 @ 10:58:
@Roetzen Weet je zeker dat die binkp server wel op 0.0.0.0 bind? Of bind die nog op een oud/specifiek ip adres?

--edit--
Voor de duidelijkheid, ik bedoel de service zelf die op de server met het 192.168.88.x ip draait

Ja, dat weet ik zeker.

[pimlie]

@Roetzen Kan je screenshots maken van de netwerk configuratie van je desktop & server? Liefst ook de routes op beide (dus ipconfig /all & route print op windows of ip a & ip r op linux). Het is niet dat ik je niet geloof, maar als het allemaal klopt wat je zegt dan zou het gewoon moeten werken.
Maar omdat je aangeeft dat het toch nog niet werkt, moet er dus ergens iets aan de hand zijn. Het is moeilijk om vanaf hier te achterhalen wat het is, vooral ook omdat je vooral de hele tijd zegt dat het klopt maar je laat het ons niet zien dat het klopt. Dus voor hetzelfde geldt heb jij nu al 5x ergens over heen gekeken waarvan jij het idee hebt dat het klopt, maar waarvan wij direct zouden zien dat het niet klopt.

Het lijkt er dus op dat zelfs dan het via de cpu van de Mikrotek gaat.

Heb je dit gecontroleerd? Zie je verkeer naar de binkp server voorbij komen in Torch of als je een firewall regel logt? Zie ook mijn laatste zin boven deze quote

En ik heb mijn Ziggo lijntje ook nog even aan gehouden en als ik het aan mijn Ziggo modem/router hang dan werkt alles zoals verwacht.

Welke ip reeks geeft dat Ziggo modem uit? Als je op de Mikrotik alle 192.168.88.x ip reeksen aanpast naar dezelfde als op je Ziggo modem, werkt het dan wel?

[kaaas]

@Roetzen Het is mij nog niet helemaal duidelijk wat het exacte probleem is.
Feitelijk zeg je 2 dingen kun je dit bevestigen?
-Pingen naar lokale adressen werkt (ipv4 of 6 is onduidelijk)
-Binkp service is niet bereikbaar op het lokale adres (ipv4 of 6 is onduidelijk)

Zou je het volgende willen testen?
Kun je de binkp server pingen op zijn lokale ipv4 adres
Kun je een telnet sessie op zetten naar je binkp server op het lokale ipv4 adres en poort 24554?

Zoals hierboven aangegeven kan het zijn dat doordat je adres reeks is veranderd van 192.168.2.0/24 naar 192.168.88.0/24 de instellingen op je binkp server niet meer kloppen?
Bijv een statisch adres, default gateway, statische routes, dns settings, firewall regels, binkp service luistert op een specifiek adres noem maar op.

Als ik naar je config kijk en het feit dat het via een switch ook niet werkt heb ik een sterk vermoeden dat het probleem niet in je mikrotik zit.

[Roetzen]

babbelbox schreef op donderdag 17 april 2025 @ 07:05:
@Roetzen
En verder nog, misschien een firewall op je server die de boel blokkeert?

Na nog wat testen ben ik er niet zo zeker meer van.

Wordt vervolgd....

[Roetzen]

@pimlie @kaaas @orvintax @babbelbox @DJP!
Het is potjankukeltje toch de firewall op de PC waar de server op draait. Om één of andere reden stond die om verder onverklaarbare redenen op “ openbaar netwerk”. Nadat ik dat gewijzigd had in “thuisnetwerk” kon ik de server wel bereiken vanaf clients in het LAN.

Nu nog de port IPv4 forward en de IPv6 pinholing. Morgen is er weer een dag.

Iedereen hartelijk bedankt voor het meedenken tot zo ver.

[kaaas]

Ooh het is een windows machine dan snap ik het wel

[Roetzen]

De port forward en de pinholing bleken geen probleem meer te vormen. Het werkt nu allemaal zoals bedoeld.
Iedereen nogmaals bedankt voor het meedenken.

[martinschilder]

Hi allen

Ik heb een dilema.... Ik zie even door de bomen het bos niet meer..

Ik krijg mijn kpn tv multicast niet werkend en ik zie even niet waar ik nu de mist in ga.

Zou iemand mij kunnen helpen?

Alvsat dank

code:

add igmp-snooping=yes name=Bridge_KPN_TV
add igmp-snooping=yes igmp-version=3 multicast-querier=yes name=bridge-lan \
    vlan-filtering=yes
/interface ethernet
set [ find default-name=ether16 ] disabled=yes
/interface wireguard
add listen-port=51820 mtu=1420 name=wireguard1
/interface vlan
add comment=internet interface=sfp-sfpplus1 name=internet vlan-id=6
add interface=sfp-sfpplus1 name=televisie vlan-id=4
add comment=Management interface=bridge-lan name=vlan190 vlan-id=190
add comment=Streaming interface=bridge-lan name=vlan3500 vlan-id=3500
add comment=Televisie interface=bridge-lan name=vlan3501 vlan-id=3501
add comment=Radio interface=bridge-lan name=vlan3502 vlan-id=3502
/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=internet name=\
    pppoe-out1 use-peer-dns=yes user=internet
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip pool
add name=dhcp_pool0 ranges=192.168.150.2-192.168.150.254
add name=dhcp_pool1 ranges=192.168.60.2-192.168.60.254
add name=dhcp_pool2 ranges=192.168.150.2-192.168.150.254
add name=dhcp_pool3 ranges=192.168.160.2-192.168.160.254
add name=dhcp_pool4 ranges=192.168.190.2-192.168.190.254
add name=dhcp_pool5 ranges=192.168.191.2-192.168.191.254
/ip dhcp-server
add address-pool=dhcp_pool1 interface=vlan3500 name=dhcp1
add address-pool=dhcp_pool2 interface=vlan3502 name=dhcp2
add address-pool=dhcp_pool3 interface=vlan3501 name=dhcp3
add address-pool=dhcp_pool4 interface=vlan190 name=dhcp4
add address-pool=dhcp_pool5 interface=bridge-lan name=dhcp5
/port
set 0 name=serial0
set 1 name=serial1
/interface bridge port
add bridge=bridge-lan interface=sfp-sfpplus2
add bridge=bridge-lan interface=ether2 pvid=3500
add bridge=bridge-lan interface=ether3 pvid=3500
add bridge=bridge-lan interface=ether4 pvid=3500
add bridge=bridge-lan interface=ether5 pvid=3501
add bridge=bridge-lan interface=ether6 pvid=3501
add bridge=bridge-lan interface=ether7 pvid=3501
add bridge=bridge-lan interface=ether8 pvid=3501
add bridge=bridge-lan interface=ether9 pvid=3502
add bridge=bridge-lan interface=ether10 pvid=3502
add bridge=bridge-lan interface=ether11 pvid=3502
add bridge=bridge-lan interface=ether12 pvid=3502
add bridge=bridge-lan interface=ether13
add bridge=Bridge_KPN_TV interface=televisie
/ip firewall connection tracking
set udp-timeout=10s
/ip neighbor discovery-settings
set discover-interface-list=!dynamic
/interface bridge vlan
add bridge=bridge-lan tagged=sfp-sfpplus2 untagged=ether2,ether3,ether4 \
    vlan-ids=3500
add bridge=bridge-lan tagged=sfp-sfpplus2 untagged=\
    ether5,ether6,ether7,ether8 vlan-ids=3501
add bridge=bridge-lan tagged=sfp-sfpplus2 untagged=\
    ether9,ether10,ether11,ether12 vlan-ids=3502
add bridge=bridge-lan tagged=sfp-sfpplus2 vlan-ids=1,190
/interface ovpn-server server
add mac-address=FE:E8:4B:1C:72:F4 name=ovpn-server1

/ip address
add address=10.138.138.1/24 interface=wireguard1 network=10.138.138.0
add address=192.168.60.1/24 interface=vlan3500 network=192.168.60.0
add address=192.168.150.1/24 comment="Radio Management" interface=vlan3502 \
    network=192.168.150.0
add address=192.168.160.1/24 interface=vlan3501 network=192.168.160.0
add address=192.168.190.1/24 interface=vlan190 network=192.168.190.0
add address=192.168.191.1/24 interface=bridge-lan network=192.168.191.0
/ip dhcp-client
add add-default-route=special-classless default-route-distance=250 \
    dhcp-options=option60-vendorclassx interface=Bridge_KPN_TV use-peer-dns=\
    no use-peer-ntp=no
/ip dhcp-server lease
add address=192.168.150.247 comment=Aeron0 mac-address=6C:3B:E5:16:FB:9C \
    server=dhcp2
/ip dhcp-server network
add address=192.168.60.0/24 dns-server=195.121.1.34,195.121.1.66 gateway=\
    192.168.60.1
add address=192.168.150.0/24 dns-server=195.121.1.34,195.121.1.66 gateway=\
    192.168.150.1
add address=192.168.160.0/24 dns-server=195.121.1.34,195.121.1.66 gateway=\
    192.168.160.1
add address=192.168.190.0/24 dns-server=195.121.1.34,195.121.1.66 gateway=\
    192.168.190.1
add address=192.168.191.0/24 gateway=192.168.191.1
/ip firewall address-list
add address=192.168.60.0/24 list=BGP-Martin
add address=192.168.150.0/24 list=BGP-Martin
add address=192.168.160.0/24 list=BGP-Martin
add address=192.168.190.0/24 list=BGP-Martin
add address=192.168.191.0/24 list=BGP-Martin
/ip firewall filter
add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=\
    tcp
add action=accept chain=input comment=Wireguard dst-port=51820 in-interface=\
    pppoe-out1 protocol=udp
add action=accept chain=input comment="KPN TV Multicast IN" dst-address=\
    224.0.0.0/4 in-interface=Bridge_KPN_TV protocol=igmp
add action=reject chain=input in-interface=pppoe-out1 protocol=tcp \
    reject-with=icmp-network-unreachable
/ip firewall nat
add action=masquerade chain=srcnat comment=Radio out-interface=pppoe-out1 \
    src-address=192.168.150.0/24
add action=masquerade chain=srcnat out-interface=pppoe-out1 src-address=\
    100.64.1.0/24
add action=masquerade chain=srcnat out-interface=pppoe-out1 src-address=\
    192.168.190.0/24
add action=masquerade chain=srcnat out-interface=pppoe-out1 src-address=\
    192.168.60.0/24
add action=masquerade chain=srcnat comment="televisie subnet" out-interface=\
    pppoe-out1 src-address=192.168.160.0/24
add action=masquerade chain=srcnat comment="lan vlan1" out-interface=\
    pppoe-out1 src-address=192.168.191.0/24
add action=dst-nat chain=dstnat comment="Nat naar Alarmcentrale" dst-address=\
    x.x.x.x.x  dst-port=10001 in-interface=pppoe-out1 protocol=tcp \
    to-addresses=192.168.190.110 to-ports=10001
add action=dst-nat chain=dstnat dst-address=x.x.x.x.x dst-port=9000 \
    in-interface=pppoe-out1 protocol=udp to-addresses=192.168.150.221 \
    to-ports=9000
add action=masquerade chain=srcnat comment="KPN TV" dst-address=\
    217.166.0.0/16 out-interface=Bridge_KPN_TV
add action=masquerade chain=srcnat comment="KPN TV" dst-address=213.75.0.0/16 \
    out-interface=Bridge_KPN_TV
add action=masquerade chain=srcnat dst-address=10.207.0.0/20 out-interface=\
    Bridge_KPN_TV
add action=masquerade chain=srcnat comment="NAT Voor KPN TB" out-interface=\
    Bridge_KPN_TV
/ip ipsec profile
set [ find default=yes ] dpd-interval=2m dpd-maximum-failures=5
/ip smb shares
set [ find default=yes ] directory=flash/pub
/routing igmp-proxy
set query-interval=30s
/routing igmp-proxy interface
add interface=bridge-lan
add alternative-subnets=0.0.0.0/0 interface=Bridge_KPN_TV upstream=yes
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/tool romon
set enabled=yes

[pimlie]

@martinschilder In je igmp proxy zou je iig direct de interface met vlan 4 als upstream moeten kunnen configureren, niet een bridge. Volgens mij noem je de iptv vlan interface 'televisie'? Zelfde met je firewall rules.

[Roetzen]

pimlie schreef op woensdag 16 april 2025 @ 23:17:
ether1 hoeft ook niet aan de WAN interface list toegevoegd te worden.

Nog even een aanvulling. Ik leer er steeds een beetje bij. ether1 hoeft inderdaad niet aan de WAN interface list toegevoegd te worden in dit geval. De communicatie met de buitenwereld loopt immers geheel over VLAN100. Maar ja omdat het deel was van de default configuratie durfde ik dat aanvankelijk niet te veranderen, aangenomen dat het geen kwaad kon.

Maar nu komt het toch van pas omdat ik een toevoeging heb gemaakt waardoor ik vanaf de apparaten op het LAN toch bij het webinterface van de Nokia ONT kan komen. Dat bleek heel eenvoudig. Gewoon een vrij adres in de range 192.168.100.0/24 aan ether1 toevoegen et voila! Met dank aan @mvdnes

Heel nuttig is het verder niet, je kan eigenlijk niks met de WEBgui van de Nokia XS-010X-Q. Maar het is leuk om nu eens te snappen wat ik doe.

[babbelbox]

Roetzen schreef op zondag 27 april 2025 @ 16:28:
[...]

Nog even een aanvulling. Ik leer er steeds een beetje bij. ether1 hoeft inderdaad niet aan de WAN interface list toegevoegd te worden in dit geval. De communicatie met de buitenwereld loopt immers geheel over VLAN100. Maar ja omdat het deel was van de default configuratie durfde ik dat aanvankelijk niet te veranderen, aangenomen dat het geen kwaad kon.

Maar nu komt het toch van pas omdat ik een toevoeging heb gemaakt waardoor ik vanaf de apparaten op het LAN toch bij het webinterface van de Nokia ONT kan komen. Dat bleek heel eenvoudig. Gewoon een vrij adres in de range 192.168.100.0/24 aan ether1 toevoegen et voila! Met dank aan @mvdnes

Heel nuttig is het verder niet, je kan eigenlijk niks met de WEBgui van de Nokia XS-010X-Q. Maar het is leuk om nu eens te snappen wat ik doe.

Ook zonder de toevoeging aan de WAN list kan het werken zoals je omschrijft. Mits je maar de juiste firewall filter rules maakt en evt. een NAT rule.

[martinschilder]

Hi ik heb een vraagje

Ik zit met de volgende situatie

Ik heb op Lokatie A op ether1 2 vlans

vlan2 internet
vlan10 lan

daarnaast heb ik ook vxlan draaien

de vxlan interface heeft verbinding met lokatieB

op side A heb ik een bridge aangemaak waar vlan10 en vxlan1 in hangen

op side B als ik daar torch op vxlan1 dan zie ik de data van vlan10

Nu wil ik dat de vlan10 data op lokatieB terecht komt in vlan241 zodat ik dat verder het netwerk in kan laten vloeien.

dus ik heb ook op lokatie B een bridge gemaakt en daar vxlan1 en vlan241 in gehangen.


Als ik nu ga snifen op vlan241 zie ik niet de data echter op de bridge wel..

Wat doe ik fout?

Alvast dank

[pimlie]

@martinschilder Vertel svp eerst eens of / hoe je vorige probleem is opgelost voordat we je met het volgende probleem helpen.

Sowieso is het aan te raden altijd alle relevante configs & test commandos te delen

[martinschilder]

pimlie schreef op vrijdag 2 mei 2025 @ 12:44:
@martinschilder Vertel svp eerst eens of / hoe je vorige probleem is opgelost voordat we je met het volgende probleem helpen.

Sowieso is het aan te raden altijd alle relevante configs & test commandos te delen

naar welk vorig probeem?

[pimlie]

martinschilder in "[MikroTik-apparatuur] Ervaringen & Discussie"

[martinschilder]

pimlie schreef op vrijdag 25 april 2025 @ 12:02:
@martinschilder In je igmp proxy zou je iig direct de interface met vlan 4 als upstream moeten kunnen configureren, niet een bridge. Volgens mij noem je de iptv vlan interface 'televisie'? Zelfde met je firewall rules.

Nou dit geloof je niet maar de itv plus box daar heb je een functie om wel of geen multicast te gebruiken.
Aldus het menu stond deze aan maar door heen en weer te schakelen tussen unicast en mulitcast begon het te werken.

[martinschilder]

pimlie schreef op vrijdag 2 mei 2025 @ 13:06:
martinschilder in "[MikroTik-apparatuur] Ervaringen & Discussie"

zie reactie

[pimlie]

martinschilder schreef op zondag 4 mei 2025 @ 10:13:
Nou dit geloof je niet maar de itv plus box daar heb je een functie om wel of geen multicast te gebruiken.
Aldus het menu stond deze aan maar door heen en weer te schakelen tussen unicast en mulitcast begon het te werken.

Hmm, klinkt raar inderdaad. Je hebt nog altijd die bridge als igmp upstream? Hoe was je erachter gekomen dat dit het was?

Als ik nu ga snifen op vlan241 zie ik niet de data echter op de bridge wel..

Kan je wat meer uitleggen hoe en wat, bv subnets/ips/routes etc? Wat voor verkeer zie je wel en waarom verwacht je dat dat verkeer over vlan241 wordt gerouteerd?

[martinschilder]

pimlie schreef op zondag 4 mei 2025 @ 17:09:
[...]


Hmm, klinkt raar inderdaad. Je hebt nog altijd die bridge als igmp upstream? Hoe was je erachter gekomen dat dit het was?


toeval

[...]


Kan je wat meer uitleggen hoe en wat, bv subnets/ips/routes etc? Wat voor verkeer zie je wel en waarom verwacht je dat dat verkeer over vlan241 wordt gerouteerd?

Lokatie A:

Ehter1 heeft 2 vlans

vlan2 hier zit het default internet op
vlan30 hier zit lan verkeer op

Lokatie A heeft via wireguard verbinding met Lokatie B

WG ip A 100.80.1.1
WB ip B 100.80.1.2

A & B kunnen netjes met elkaar praten via de wireguard interface


Op lokatie A is een VXLAN interface gemaakt met VNI 9852 en local address 100.80.1.1 VTEP Remote ip 100.80.1.2

Lokatie B zelfde VXLAN/9862 en local address 100.80.1.2 VTEP remote ip 100.80.1.1


Voor Lokatie A heb ik een bridge aangemaakt waar dus het VXLAN interface en vlan30 heb toegevoegd met de gedachtegang dat het verkeer untagged doorvloeid naar de bridge.

Lokatie B idem bridge en vxlan maar dan een vlan241 interface toegevoegd.

Die vlan241 interface is vervolgens weer toegevoegd aan sfp-plus1 welke daar op B aan het netwerk hangt.

Ik zou verwachten dat ik nu het verkeer van vlan30 zou zien maar dit is niet het geval.... Ik loop dus een beetje vast

[verguldebarman]

Vraagje. Ik heb gisteravond een Mikrotik hEX refresh geplaatst met de defaulf config in de firewall. Om te kijken wat er allemaal gedropped wordt heb ik de log aangezet voor "defconf: drop all not coming from LAN". Daarmee wordt alles op de WAN gedropped, muv de lijst met NAT regels.

Binnen een half uur loopt mijn log vervolgens helemaal vol met regels als:

2025-05-07 13:31:16 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto TCP (SYN), 20.169.104.255:35233->XXX.XXX.XXX.XXX:9200, len 40
2025-05-07 13:31:19 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto TCP (SYN), 23.94.28.175:48875->XXX.XXX.XXX.XXX:10459, len 40
2025-05-07 13:31:21 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto UDP, 84.116.46.20:53->XXX.XXX.XXX.XXX:5678, len 80
2025-05-07 13:31:26 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto TCP (SYN), 59.125.205.245:1209->XXX.XXX.XXX.XXX:80, len 40
2025-05-07 13:31:35 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto TCP (SYN), 83.222.191.38:40005->XXX.XXX.XXX.XXX:49026, len 40
2025-05-07 13:31:35 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto TCP (SYN), 104.248.161.168:43516->XXX.XXX.XXX.XXX:18043, len 44
2025-05-07 13:31:49 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto UDP, 159.148.147.229:30000->XXX.XXX.XXX.XXX:5678, len 60
2025-05-07 13:31:57 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto TCP (SYN), 167.94.138.128:22588->XXX.XXX.XXX.XXX:8443, len 60
2025-05-07 13:32:00 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto TCP (SYN), 216.144.248.22:23142->XXX.XXX.XXX.XXX:9091, len 60
2025-05-07 13:32:01 firewall,info input: in:ether1-WAN out:(unknown 0), connection-state:new src-mac xx:xx:xx:xx:xx:xx, proto TCP (SYN), 216.144.248.22:23142->XXX.XXX.XXX.XXX:9091, len 60

Zou het kunnen zijn dat iemand via mijn public IP de router als DDoS traffic generator probeert te gebruiken?
Of is er iets anders aan de hand?

Enig advies wat te doen?

[lier]

Ruis van het Internet, niet zo spannend. Logging uitzetten

[verguldebarman]

lier schreef op woensdag 7 mei 2025 @ 15:54:
Ruis van het Internet, niet zo spannend. Logging uitzetten

Ruis van het Internet... mooie term

[FrankHe]

Ik heb denk ik even wat hulp nodig aangaande een Huawei LTE USB-stick in combinatie met RouterOS.

In het forum kwam ik de volgende post tegen van @mbovenka die kennelijk een werkende situatie heeft:
mbovenka in "[MikroTik-apparatuur] Ervaringen & Discussie"

Nu wil het geval dat ik ook met zo'n combinatie aan het spelen ben. In mijn geval betreft het de Huawei E3372-325 met een Mikrotik E50UG (hEX refresh)

De hEX refresh is nieuw uit doos en ben van plan deze verder naar mijn wens in te richten. Heb al enkele hAP ax lite's in gebruik en ben ondertussen redelijk thuis in RouterOS.

Waar ik nu tegenaan loop is dat de stick wordt herkend maar dat RouterOS er geen traffic naartoe routeert. Voor mijn gevoel is het iets simpels maar ik kan het niet vinden.

Er zijn geen Routing Tables of Rules ingericht. Bij Routing Nexthops is de 'lte1' netjes te zien.
Bij IP Route zit ook alles er keurig uit.

De LTE USB-stick heb ik ingericht als subnet 192.168.33.0/24. Zodra ik de USB-stick direct in mijn laptop steek dan kan ik netjes de webinterface 192.168.33.1 van de stick benaderen. Zodra ik de stick in de Mikrotik steek dan lukt het me niet om die 192.168.33.1 te benaderen. Verder is 'lte1' helemaal zichtbaar en bij de IP Routes zie ik ook netjes het subnet 192.168.33.0/24 verschijnen. Het lukt me wel om het 'lokale adres' van dat subnet te pingen, het adres wat de DHCP-server in de stick heeft toegekend aan de Mikrotik. Wanneer ik de stick zelf probeer te pingen dan komt er geen response.

Het subnet van de hEX refresh is de standaard 192.168.88.0/24 en zit elkaar dus niet in de weg.
Edit, voor aankoop heb ik goed op de compatibility gelet: "Models with suffixes -325 works only with arm cpu", of te wel, deze stick is compatible met de CPU in de Mikrotik.
Edit 2, de stick werkt naar behoren wanneer ik deze in mijn GL-iNET AX1800 travelrouter steek. Ik doe dus iets fout op de hEX refresh maar ik zie het zo snel niet.

Het is wellicht iets simpels, hopelijk schiet iemand iets te binnen?

Bij voorbaat hartelijk dank!

[ Voor 10% gewijzigd door FrankHe op 20-05-2025 22:15 ]

[kaaas]

Zou je een export van je config kunnen posten?

[lier]

Heb je de LTE interface toegevoegd aan de WAN interface list?

[FrankHe]

lier schreef op woensdag 21 mei 2025 @ 08:34:
Heb je de LTE interface toegevoegd aan de WAN interface list?

Dat was hem inderdaad! Toegevoegd en het werkt nu, hartelijk dank!

Dit is de eerste keer dat ik met multi-WAN aan de slag ben. Weer iets geleerd.

[GarBaGe]

Zijn hier ook mensen die ervaring hebben met Mikrotik configuratie extern bewaren / beheren?
Via Git -> Ansible -> Mikrotik ?
Dan kan je op 1 centrale plek alle configuratie bijhouden en in 1 keer uitrollen?

Of wellicht een alternatief voor Ansible?

[Freeaqingme]

@GarBaGe Ik heb het wel andersom. Daarbij doe ik Mikrotik -> Oxidized -> Git. Daarbij pullt Oxidized bijvoorbeeld ieder uur de config naar een centrale git repo toe. Op die manier kan je makkelijk zien wanneer welke wijziging gemaakt is en kan je 't eventueel als backup gebruiken.

Afhankelijk van wat je exact wilt bereiken sluit dat precies wel of niet aan bij wat je zoekt

[mgom]

Zijn er op dit forum Hex Refresh gebruikers in combinatie met KPN galsvezel 1gb. Ik ben benieuwd of deze router de volle snelheid aan kan over de PPPoe WAN-verbinding. Ben benieuwd.

[FrankHe]

@mgom Wel de hEX refresh maar ik zit niet bij KPN. De ARM CPU in de MikroTik E50UG is echt bijzonder krachtig voor dat geld. Het zou me verbazen als die problemen heeft met 1 Gbps PPPoE.

Enkele weken geleden heb ik twee hEX refreshes gekocht en ben er mee aan het spelen. Ik zal komende week eens een PPPoE opzetten tussen beide units en kijken hoe dat performt.

[sambaloedjek]

mgom schreef op woensdag 28 mei 2025 @ 18:17:
Zijn er op dit forum Hex Refresh gebruikers in combinatie met KPN galsvezel 1gb. Ik ben benieuwd of deze router de volle snelheid aan kan over de PPPoe WAN-verbinding. Ben benieuwd.

Niet Hex refresh, maar nog het voorgaande model die gewoon 1Gbps haalt over KPN PPPoe. Wat je vraagt hangt af van jouw use-case. Downloaden/uploaden van grote bestanden met 1Gbps geen probleem met KPN PPPoe dankzij offloading, wel kun je latency problemen krijgen voor andere connecties tijdens deze bulk acties. Voor normaal huis tuin en keuken gebruik met enkele gebruikers werkt ie prima.

Er is nu ook een nieuwe Hex S refresh met identieke specs als Hex refresh, waarbij je de KPN SFP direct in kunt pluggen! https://mikrotik.com/product/hex_s_2025