[MikroTik-apparatuur] Ervaringen & Discussie

[Theone098]

@lier @babbelbox check, ordenen op input en dan forward (post hierboven aangepast met nieuwe ordening).

Ik had ook verwacht dat als ik dat doe, winbox en dergelijke niet bereikbaar zou zijn. Toch zie ik winbox/dude denied, terwijl ik het nergens toe sta en aan het einde een block forward heb, of moet daar ook een input bij?

Nog zoiets wat mijn niet lukt op te lossen: mijn arris gaat spontaan aan. Waarschijnlijk door multicast? Maar ik heb geen mDNS draaien en het vlan wordt alleen door Arris gebruikt. Kan dat zijn omdat ik de vlans nog moet firewallen? Voor iptv makkelijk: geen verkeer van andere vlans 😁.

[ Voor 36% gewijzigd door Theone098 op 24-08-2025 19:21 ]

[lier]

Input=router, forward is achter de router.

[Theone098]

lier schreef op zondag 24 augustus 2025 @ 18:45:
Input=router, forward is achter de router.

De theorie van mikrotik ken ik. Ik ken ook de schema’s met prerouting, input, forward, output etc. Maar de praktijk is weerbarstig en het staat in productie (lees: mijn gezin wil wel dat het werkt ).

En er moet ook nog een VPN komen, ike2 IPSec. Die werkt ook maar nu nog al het verkeer dat een tag heeft die kant op sturen maar alleen als de bestemming niet lokaal is (ook DNS). Zucht…. Nog zoveel te doen.

Heel eerlijk: ik ben de laatste jaren verwend met pfsense. Die neemt veel denkwerk uit handen. Maar na de laatste update werkt de mailserver niet meer en als ik dan toch bezig ben, maar een heel redesign van het netwerk gedaan. En de mikrotik lag er nog.

Voor zover ik weet kan de mikrotik niet als CA fungeren voor interne certificaten. Klopt dat?

Sorry, ik ben het een beetje verleerd/vergeten in al die jaren met pfsense.

[ Voor 50% gewijzigd door Theone098 op 24-08-2025 18:58 ]

[jeroen3]

@Theone098 Als je op je mikrotik ZeroTier of WireGuard kan gebruiken zou ik dan aanbevelen boven al het andere gehobby met ipsec e.d.

Als mensen aankloppen of je winbox port doe je iets ernstig fout. Dan heb je mogelijk een van de default regels verwijderd of je interface lists door de war gehaald.
Dus, check je interface lists, en kijk mogelijk even naar de default firewall die nu in ros 7 zit.

[Theone098]

jeroen3 schreef op zondag 24 augustus 2025 @ 19:22:
@Theone098 Als je op je mikrotik ZeroTier of WireGuard kan gebruiken zou ik dan aanbevelen boven al het andere gehobby met ipsec e.d.

Als mensen aankloppen of je winbox port doe je iets ernstig fout. Dan heb je mogelijk een van de default regels verwijderd of je interface lists door de war gehaald.
Dus, check je interface lists, en kijk mogelijk even naar de default firewall die nu in ros 7 zit.

Ja, wireguard heeft mijn voorkeur maar NordVPN ondersteunt dit niet. Er is wel ooit iemand die dit op MT aan de praat heeft gekregen, maar dat werkte voor mij niet (meer). Het commando om de private key te tonen werkt niet bij mij (https://forum.mikrotik.co...r-running-ros-v7-x/178901).

# LIST INTERFACE
0 LAN bridge
1 WAN ether01-WAN
2 LAN MGMT
3 LAN vlan13-DMZ
4 LAN vlan20-SERVERS
5 LAN vlan30-AV
6 LAN vlan40-EUC
7 LAN vlan50-MZP
8 LAN vlan60-IOT
9 LAN vlan66-GASTEN
10 LAN vlan253-RB
11 TV VLAN100-IPTV

[ Voor 8% gewijzigd door Theone098 op 24-08-2025 19:29 ]

[jeroen3]

@Theone098 Jouw vlan1.6 en ppp etc. staan niet in de WAN lijst.

[Theone098]

jeroen3 schreef op zondag 24 augustus 2025 @ 20:38:
@Theone098 Jouw vlan1.6 en ppp etc. staan niet in de WAN lijst.

Aangepast, en 1.4 meteen in TV gezet. Thanks!

[babbelbox]

Theone098 schreef op zondag 24 augustus 2025 @ 21:44:
[...]

Aangepast, en 1.4 meteen in TV gezet. Thanks!

In je firewall rules zie ik ook interface pppoe.
Lijkt mij dat die ook aan WAN toegevoegd moet zijn.
Overigens ben ik zelf geen fan van die interface groepen, maar dat terzijde.

[jeroen3]

@babbelbox de interface lists staan het toe de firewall rules onafhankelijk te maken van het exacte model routerboard dat je hebt. Zodoende kun je dus altijd de default firewall gebruiken en hoef je daar niet in te gaan rommelen met verzetten van interfaces e.d. zodat je de exacte kwetsbaarheden die Theone098 nu heeft kan vermijden.
Vergeet ook je ipv6 firewall niet te controleren.

[lier]

Theone098 schreef op zondag 24 augustus 2025 @ 18:51:
Voor zover ik weet kan de mikrotik niet als CA fungeren voor interne certificaten. Klopt dat?

Nee: https://help.mikrotik.com...ages/2555969/Certificates

[LEDfan]

Een kleine tip voor wie containers draait op Mikrotik: steek de VETH interfaces in een aparte bridge en subnet. Ik gebruik al een tijdje wireguard op mijn CCR2004-16G-2S+ en haalde hier altijd (minstens) 1Gbit mee. Daarnaast draai ik een pihole en unbound container op de router. Dit heeft altijd goed gewerkt, tot ik met VLANs begon te werken. Vanaf dan was het verkeer dat vanuit wireguard naar een device op de bridge gaat beperkt tot 1 Mbps. De omgekeerde route werkte wel snel, net zoals UDP. Ook verkeer van een wireguard peer naar een ander peer (via de router) haalde de volledige snelheid. Na wat experimenteren, blijkt dat ik wel de volledige snelheid haal als ik de containers in hun eigen bridge steek. Dit is sowieso netter natuurlijk.

[Theone098]

Ik begin weer een beetje te wennen aan de MT firewall. Ondertussen ben ik er achter wat het probleem was: pppoe is de poort om te gebruiken om WAN verkeer te monitoren/blocken etc, of de WAN address list als pppoe ook in de WAN address-list staat.

Grappig detail: ik heb een rule die "information leakage"* moet voorkomen en dit naar mijn MT log stuurt. En ik had hits op remote logging (poort 514), omdat ik een ip adres verkeerd had ingetypt op de client. 191.x.x.x<>192.x.x.x .

Volgende project is vlan verkeer scheiden en een VPN opzetten voor bepaald verkeer. Leuk!

* van bepaalde poorten wil je niet dat deze met het internet communiceren, zoals SNMP, logging, DHCP, etc, vandaar een rule die dit monitort.

[ Voor 11% gewijzigd door Theone098 op 27-08-2025 11:49 ]

[lier]

Theone098 schreef op woensdag 27 augustus 2025 @ 11:47:
Volgende project is vlan verkeer scheiden en een VPN opzetten voor bepaald verkeer. Leuk!

Verplicht leesvoer
https://forum.mikrotik.com/viewtopic.php?t=143620
https://help.mikrotik.com.../pages/69664792/WireGuard

[Theone098]

Ja, ben nog steeds tevreden met mijn Mikrotik apparatuur . De Hex S spint er vrolijk op los, nu met Wireguard roadwarrior (lekker makkelijk) en Ike2/IPSec VPN (hardwarematig ondersteunt door Hex S) voor downloads.

Ik heb mijn netwerk compleet opnieuw ingericht, met layer 2 vlans en inter-vlan routing op de Hex S. Veel problemen zijn hiermee opgelost, vooral performance. Alles is weer zo snel als je zou verwachten. Héérlijk . Ik ben er wel al een paar weekenden zoet mee, maar het is het waard. Het is meer dan alleen het netwerk, ook met name de servers hebben wat herconfiguratie nodig ivm gewijzigde IP's.

Eén ding krijg ik nog niet opgelost. Mijn Arris KPN settopbox gaat vanzelf aan. Daar zal ik eens wat monitoring opzetten om te kijken wat de oorzaak is, ondanks een eigen vlan en router poort. Tips zijn welkom.

Verder nog de wens om mDNS te gaan draaien. En ik wil de MT als CA inrichten. Voorlopig houd ik daarvoor de pfsense router achter de hand, zodat ik toch mijn eigen certificaten kan verlengen.

Getting there..... .

[ZwarteIJsvogel]

Theone098 schreef op vrijdag 29 augustus 2025 @ 12:45:
En ik wil de MT als CA inrichten.

Ik weet niet of ik dit soort taken op een router zou willen hebben. Ik gebruik al jaren XCA als CA. XCA is open source en beschikbaar voor Linux, MacOS en Windows.

[Theone098]

ZwarteIJsvogel schreef op vrijdag 29 augustus 2025 @ 16:40:
[...]

Ik weet niet of ik dit soort taken op een router zou willen hebben. Ik gebruik al jaren XCA als CA. XCA is open source en beschikbaar voor Linux, MacOS en Windows.

Ik geef je helemaal gelijk, ik zou ook nooit adviseren dit op een router te doen.

Mijn probleem is dat andere, goede en veilige oplossingen zoals XCA, mijn doel voorbij schieten. Héél goed opgezet, goed te beveiligen, maar overkill voor de 8 certificaten die ik intern gebruik om het niet al te makkelijk te maken om te sniffen. Als ze toegang hebben tot mijn router, hebben ze toch al de sleutels tot het koninkrijk. Via een MitM kunnen ze dan alles al lezen, of ze mijn certificaten hebben of niet.

[ZwarteIJsvogel]

Ik gebruik XCA voor slechts 3 certificaten (het waren er ooit meer) met een SQLite database als backend..Dat bestand kun je desgewenst veilig offline opslaan op een USB-stick. XCA ondersteunt ook diverse RDBMS backends, maar dat zou met een handvol certificaten inderdaad een veel te zware oplossing zijn.

[The Lord]

Gewoon ter informatie:

Ik wilde de eSIM functionaliteit van Mikrotik proberen. Zodoende afgelopen weken een wAP ac LTE kit (2024) met Sysmocom fysieke SIM-kaart (met eSIM functionaliteit) gebruikt als 'IoT' router (enkel DNS en sMQTT verkeer mogelijk naar bepaalde end-points over LTE).

Bottom line: dat werkt.

Zorg dat de router (tijdelijk) via een andere weg internet heeft, de activatie informatie van je provider in de eSIM en dat was het.

[Theone098]

ZwarteIJsvogel schreef op zaterdag 30 augustus 2025 @ 07:36:
Ik gebruik XCA voor slechts 3 certificaten (het waren er ooit meer) met een SQLite database als backend..Dat bestand kun je desgewenst veilig offline opslaan op een USB-stick. XCA ondersteunt ook diverse RDBMS backends, maar dat zou met een handvol certificaten inderdaad een veel te zware oplossing zijn.

Heb het maar eens geprobeerd. Het lijkt een zware applicatie maar het stelt niets voor. CA geïmporteerd en de eerste certificaten zijn al uitgegeven. Dank voor de tip.

[jeroen3]

LEDfan schreef op woensdag 27 augustus 2025 @ 08:15:
Een kleine tip voor wie containers draait op Mikrotik: steek de VETH interfaces in een aparte bridge en subnet. Ik gebruik al een tijdje wireguard op mijn CCR2004-16G-2S+ en haalde hier altijd (minstens) 1Gbit mee. Daarnaast draai ik een pihole en unbound container op de router. Dit heeft altijd goed gewerkt, tot ik met VLANs begon te werken. Vanaf dan was het verkeer dat vanuit wireguard naar een device op de bridge gaat beperkt tot 1 Mbps. De omgekeerde route werkte wel snel, net zoals UDP. Ook verkeer van een wireguard peer naar een ander peer (via de router) haalde de volledige snelheid. Na wat experimenteren, blijkt dat ik wel de volledige snelheid haal als ik de containers in hun eigen bridge steek. Dit is sowieso netter natuurlijk.

Ik had pihole inderdaad via een losse bridge. Maar dan krijgt pihole alleen verzoeken van de router zelf, kan hij de clients niet herkennen en tript hij soms de limiet.
Dus ik heb het pas omgebouwd dat de veth direct gaat zodat pihole requests ontvangt met juist src ip erin. En dat werkt prima. Wat gaat er precies mis als je dat niet doet dan?

[LEDfan]

Als het allemaal in 1 bridge zit en VLAN filtering staat aan voor de bridge, werkt mijn wireguard verbinding maar met 1Mbps. Misschien dat dit gedrag nog wel afhankelijk is van de architectuur van de router.

Maar dan krijgt pihole alleen verzoeken van de router zelf, kan hij de clients niet herkennen en tript hij soms de limiet.

Dit werkt voor mij wel gewoon, maar pihole zit dus in een andere IP subnet dan de devices op de bridge en de clients gebruiken dan ook dit IP adres:

code:

/interface veth
add address=192.168.50.5/24 gateway=192.168.50.1 gateway6="" name=pihole
add address=192.168.50.6/24 gateway=192.168.50.1 gateway6="" name=unbound
/ip address
add address=192.168.51.1/24 interface=wg1 network=192.168.51.0
add address=192.168.42.1/24 interface=VLAN-DEFAULT network=192.168.42.0
add address=192.168.50.1/24 interface=container network=192.168.50.0
/ip dhcp-server network
add address=192.168.42.0/24 dns-server=192.168.50.5 gateway=192.168.42.1

Het is dus niet zo dat ik de DNS server van Mikrotik er nog tussen zet, de clients verbinden rechtstreeks met pihole.

Los daarvan gebruik ik wel een firewall rule om al het DNS verkeer naar pihole te sturen, zelfs als clients met een andere DNS server proberen te verbinden. Hierbij ga je met standaard DNAT rules dan wel hebben dat alles van 1 IP adres lijkt te komen. Om dit te vermijden map ik de verschillende subnets naar een andere range. Op die manier kan ik de clients nog wel identificeren:

code:

/ip firewall nat
add action=netmap chain=srcnat dst-address=192.168.50.5 protocol=tcp src-address=192.168.42.0/24 to-addresses=192.168.142.0/24
add action=netmap chain=srcnat dst-address=192.168.50.5 protocol=udp src-address=192.168.42.0/24 to-addresses=192.168.142.0/24
add action=netmap chain=srcnat dst-address=192.168.50.5 protocol=tcp src-address=192.168.51.0/24 to-addresses=192.168.151.0/24
add action=netmap chain=srcnat dst-address=192.168.50.5 protocol=udp src-address=192.168.51.0/24 to-addresses=192.168.151.0/24
add action=netmap chain=dstnat dst-address-list=!NoDNSFilter dst-port=53 protocol=tcp src-address-list=!NoDNSFilter to-addresses=192.168.50.5 to-ports=53
add action=netmap chain=dstnat dst-address-list=!NoDNSFilter dst-port=53 protocol=udp src-address-list=!NoDNSFilter to-addresses=192.168.50.5 to-ports=53


/ip firewall address-list
add address=192.168.50.0/24 list=NoDNSFilter
add address=192.168.42.26 list=NoDNSFilter
add address=192.168.42.160 list=NoDNSFilter

[LEDfan]

Ik gebruik al lang Mikrotik, en wist wel dat ze in Letland zitten, maar had geen idee dat de hardware ook in Letland (en buurlanden) wordt gemaakt:

[FrankHe]

LEDfan schreef op donderdag 25 september 2025 @ 19:58:
Ik gebruik al lang Mikrotik, en wist wel dat ze in Letland zitten, maar had geen idee dat de hardware ook in Letland (en buurlanden) wordt gemaakt:

[YouTube: Touring the COOLEST Networking Company]

Dat is inderdaad een mooie video, alle deuren gaan open. MikroTik is een prachtig Europees bedrijf.

[Boudewijn]

Vadaag mtcna behaald, ik ben echt geen netwerkkoning maar in iets meer dan anderhalve dag de theorie gedaan en daarna examen. 89% . Echt heel goed te doen dus.

offtopic:
ik denk dat ik subnetmasks oprecht 20 jaar geleden voor het laatst had berekend. arp tables enzo was ook niet gisteren voor het laatst.

Foutje in welke protocollen pppoesecrets ondersteunt (had denk ik ppp ook aan moeten vinken) en twee x dezelfde vraag over redirect optie in nat. Ze vroegen daar iets met omleiden naar een andere server... En ik heb vrolijk redirect gekozen. Beetje zonde omdat het 2x dezelfde vraag was.

offtopic:
en nog een routeros6 vraag uit het examen gevist

[ Voor 15% gewijzigd door Boudewijn op 07-10-2025 20:55 ]

[Boudewijn]

En ook MTCRE gehaald. Stuk leuker qua 'lekker hobbien' dan MTCNA.

Morgen nog even MTCSE en dan ben ik er voor nu weer klaar mee.

Vervelende is wel dat ik nu mijn ubiquiti-setup thuis (4 switches, 1 router, 7 APs) eruit wil gooien en vervangen door Mikrotik

[Robi]

Boudewijn schreef op donderdag 9 oktober 2025 @ 19:13:
En ook MTCRE gehaald. Stuk leuker qua 'lekker hobbien' dan MTCNA.

Morgen nog even MTCSE en dan ben ik er voor nu weer klaar mee.

Vervelende is wel dat ik nu mijn ubiquiti-setup thuis (4 switches, 1 router, 7 APs) eruit wil gooien en vervangen door Mikrotik

Waar doe je deze examens precies? Is dit online of fysiek?

[Boudewijn]

Fysiek, ik doe ze in Zwolle.

[Boudewijn]

MTCSE ook binnen, heel lekker.

Naast de HAP die ik bij de cursus kreeg heb ik ook nog een cheap-ass switch met 4x PoE gekocht, de RB260GSP. Dit om in mijn schuur te functioneren en een paar PoE devices te voeden.

Dit zijn:

• Een SLZB-06 (zigbee antenne) : You can power your SLZB-06 device either through PoE or Type-C. PoE 802.5af standard is supported
• Een reolink trackmix: PoE IEEE 802.3af, 48V active
• Een ubiquiti AP AC Pro
• Een ubiquiti Bullet G3 camera

Als ik dit alles aansluit op de Mikrotik switch (die ik via de DC plug voed) trekt hij dat overduidelijk niet, diverse poorten komen niet op.
Heb nu maar 3 injectors achter de switch gehangen (voor camera's en AP).

morgen maar eens een voor een de injectors eruit vissen en kijken wat er gebeurt.

Ik kom overigens uit een ubiquiti landschap en vind SWoS een stuk kariger dan RouterOS en mis wel wat features; het maken van een commentaar (device name) bij een MAC-adres bijvoorbeeld. Ik wil langzaam over naar Mikrotik maar ga dat niet in 1x doen (kost ook bij MT gewoon serieus geld) en wil langzaam leren.

Is ergens wel iets voor gecentraliseerd management van je infrastructuur? CAPSMAN doet kennelijk alleen access points... ik zou zoiets als een centrale controller wel heel mooi vinden (met 6 switches 1 router, 6 APs, een 50+ clients en een zootje VLANs is dat ook wel fijn).

[Freeaqingme]

@Boudewijn Gratz met je cert! Met welk doel haal je die certs, en welke heb je nog meer?

Wat SwOs betreft, ik was wel eens heel teleurgesteld toen ik een PoE switch gekocht had en enkel SwOs bleek te kunnen draaien. Weet niet of ze daar nog verder in investeren. In mijn beleving was dat ooit gemaakt zodat ze 'iets' hadden om op de hardware met de slechtste specs nog te kunnen draaien. Maar als 't even kan, zou ik altijd RouterOS pakken.

[Boudewijn]

Freeaqingme schreef op dinsdag 14 oktober 2025 @ 23:38:
@Boudewijn Gratz met je cert! Met welk doel haal je die certs, en welke heb je nog meer?

Wat SwOs betreft, ik was wel eens heel teleurgesteld toen ik een PoE switch gekocht had en enkel SwOs bleek te kunnen draaien. Weet niet of ze daar nog verder in investeren. In mijn beleving was dat ooit gemaakt zodat ze 'iets' hadden om op de hardware met de slechtste specs nog te kunnen draaien. Maar als 't even kan, zou ik altijd RouterOS pakken.

Ja die teleurstelling had ik ook, de trainer vertelde in de training dat routeros overal op draait. Soit.


Ik heb verder geen netwerk-certificaten oid, ik heb gewoon HBO+WO + berg infosec certificaten. Mogelijk ga ik her en der wat MT spul managen, dus vandaar wat achtergrondkennis. Ook dingen als OSPF enzo waren black boxes voor mij

[Freeaqingme]

Boudewijn schreef op woensdag 15 oktober 2025 @ 00:14:
[...]


Ik heb verder geen netwerk-certificaten oid, ik heb gewoon HBO+WO + berg infosec certificaten. Mogelijk ga ik her en der wat MT spul managen, dus vandaar wat achtergrondkennis. Ook dingen als OSPF enzo waren black boxes voor mij

Oh right. Ik las:

MTCSE ook binnen

Dus dacht dat daarom dat je er al meer had. Ik lees nu ook even een stukje verder terug, en realiseer me dat die 'ook' op andere users sloeg, niet op andere certificaten.

[Boudewijn]

Freeaqingme schreef op woensdag 15 oktober 2025 @ 01:01:
[...]


Oh right. Ik las:

[...]


Dus dacht dat daarom dat je er al meer had. Ik lees nu ook even een stukje verder terug, en realiseer me dat die 'ook' op andere users sloeg, niet op andere certificaten.

Ik heb MTCNA, MTCRE en MTCSE vorige week gehaald

[ZwarteIJsvogel]

Boudewijn schreef op dinsdag 14 oktober 2025 @ 23:01:
MTCSE ook binnen, heel lekker.

Naast de HAP die ik bij de cursus kreeg heb ik ook nog een cheap-ass switch met 4x PoE gekocht, de RB260GSP. Dit om in mijn schuur te functioneren en een paar PoE devices te voeden.

Dit zijn:

• Een SLZB-06 (zigbee antenne) : You can power your SLZB-06 device either through PoE or Type-C. PoE 802.5af standard is supported
• Een reolink trackmix: PoE IEEE 802.3af, 48V active
• Een ubiquiti AP AC Pro
• Een ubiquiti Bullet G3 camera

Als ik dit alles aansluit op de Mikrotik switch (die ik via de DC plug voed) trekt hij dat overduidelijk niet, diverse poorten komen niet op.

Dat is niet verwonderlijk. MikroTik maakt apparaten met Passive PoE en apparaten die de PoE standaarden 802.3af en 802.3at ondersteunen. Die twee smaken kun je niet door elkaar gebruiken (verschillende voedingsspanning, geen/wel protocol tussen apparaten). De RB260GSP ondersteunt alleen Passive PoE en kan dus geen 802.3af apparaten voeden (en ook geen apparaten die meer dan 24V verwachten bij Passive PoE), ongeacht het opgenomen vermogen van die apparaten.

Ik heb MTCNA, MTCRE en MTCSE vorige week gehaald

Ik vraag mij af wat daar over PoE wordt verteld

[ Voor 7% gewijzigd door ZwarteIJsvogel op 15-10-2025 08:03 ]

[Boudewijn]

ZwarteIJsvogel schreef op woensdag 15 oktober 2025 @ 07:38:
[...]

Dat is niet verwonderlijk. MikroTik maakt apparaten met Passive PoE en apparaten die de PoE standaarden 802.3af en 802.3at ondersteunen. Die twee smaken kun je niet door elkaar gebruiken (verschillende voedingsspanning, geen/wel protocol tussen apparaten). De RB260GSP ondersteunt alleen Passive PoE en kan dus geen 802.3af apparaten voeden (en ook geen apparaten die meer dan 24V verwachten bij Passive PoE), ongeacht het opgenomen vermogen van die apparaten.

Ok duidelijk. Heb maar een hex PoE besteld.

Ik vraag mij af wat daar over PoE wordt verteld

helemaal niets. De term is niet eens gevallen. Die andere user vroeg welke certificaten ik heb, dus vandaar mijn antwoord.

[ZwarteIJsvogel]

Boudewijn schreef op woensdag 15 oktober 2025 @ 08:09:
Ok duidelijk. Heb maar een hex PoE besteld.

Dat gaat denk ik wel werken (al heb ik niet gekeken naar de opgenomen vermogens van je apparaten).

[...]
helemaal niets. De term is niet eens gevallen.

Een gemiste kans van MikroTik. PoE is bij MikroTik een mijnenveld waarin je gemakkelijk kunt verongelukken, zoals je zelf al hebt gemerkt.

Toen ik eind vorig jaar mijn MikroTik spullen ging bestellen, heb ik uiteindelijk gekozen voor 802.3af/at i.v.m. compatibiliteit met andere merken (maar het is geen garantie). Nu staat hier een RB5009UPr+S+IN in de meterkast met daaraan o.a. 2x MikroTik wAP ax en 1x Gigaset NI510 IP Pro. Dat werkt probleemloos.

[canonball]

ZwarteIJsvogel schreef op woensdag 15 oktober 2025 @ 09:01:
Een gemiste kans van MikroTik. PoE is bij MikroTik een mijnenveld waarin je gemakkelijk kunt verongelukken, zoals je zelf al hebt gemerkt.

Het zit wel in de mtcswe (switching ) training/certificatie, het is ook niet echt een security of routing onderwerp (al zit security natuurlijk overal .

[Boudewijn]

ZwarteIJsvogel schreef op woensdag 15 oktober 2025 @ 09:01:
[...]

Dat gaat denk ik wel werken (al heb ik niet gekeken naar de opgenomen vermogens van je apparaten).

[...]

Een gemiste kans van MikroTik. PoE is bij MikroTik een mijnenveld waarin je gemakkelijk kunt verongelukken, zoals je zelf al hebt gemerkt.

Yup, had ik de specs maar beter moeten lezen.

Toen ik eind vorig jaar mijn MikroTik spullen ging bestellen, heb ik uiteindelijk gekozen voor 802.3af/at i.v.m. compatibiliteit met andere merken (maar het is geen garantie). Nu staat hier een RB5009UPr+S+IN in de meterkast met daaraan o.a. 2x MikroTik wAP ax en 1x Gigaset NI510 IP Pro. Dat werkt probleemloos.

Ja hier woont dus van alles qua PoE, een stuk ubiquiti, een stuk overige meuk. Tot nu toe werkte het meeste prima met Ubiquiti, maar daar wil ik dus op termijn vanaf.

Ik ga eens naar dingen als Unimus kijken voor centraal management. Ook RoMon staat nog op het lijstje. Wilde gisteren uitzoeken vanaf binnen wat aan welke poort van die switch hangt; mac-adresjes en porten uit de "hosts" table halen (eigenlijk dus een ARP tabel) en dan maar in ubiquiti zoeken welke hostname bij dat mac-adres hoort. Niet heel efficient op deze wijze.

[Boudewijn]

canonball schreef op woensdag 15 oktober 2025 @ 09:10:
[...]

Het zit wel in de mtcswe (switching ) training/certificatie, het is ook niet echt een security of routing onderwerp (al zit security natuurlijk overal .

Neuh maar een globaal beeld schetsen van wat MT heeft was leuk geweest. Maar goed ik kan het de cursus/instructeur zeker niet verwijten dat het er niet in zit.

[kaaas]

@boudewijn Heb je al naar thedude gekeken?
Ik dacht niet dat ie met swos werkt, maar alles met routeros zou er wel in moeten verschijnen

[Boudewijn]

kaaas schreef op woensdag 15 oktober 2025 @ 12:55:
@boudewijn Heb je al naar thedude gekeken?
Ik dacht niet dat ie met swos werkt, maar alles met routeros zou er wel in moeten verschijnen

Ja dat is met name monitoring dus vandaar dat hij niet op het primaire lijstje staat/stond. Monitoring is leuk maar ik een stukje centraal beheer is ook wel fijn. Die swos-switch, daar is dus nu al een ROS switch voor besteld. Jammer dat ik het doosje al weg heb gegooid

Edit: oh wacht, the dude is windows. Laat maar. client-server is prima, maar het moet wel ook gewoon op Linux draaien. Webbased is ook prima, ik spin wel een dockertje op.

Bij die cursussen krijg je netjes alles in Winbox, ik heb zelf vrij veel ad hoc naar console vertaald en gewoon via SSH gewerkt. Maar dit soort dingen komt dus niet aan bod.

[ Voor 24% gewijzigd door Boudewijn op 15-10-2025 13:13 ]

[kaaas]

Hmm ja nu ik de documentatie bekijk kan ik inderdaad niets nuttigs vinden over management in the dude.

Routeros lijkt me trouwens heel geschikt om via ansible te managen.
https://docs.ansible.com/...unity/routeros/index.html
Daarnaast ondersteunt ROS TR069, dus dan kun je zelf een management tool kiezen die dat ondersteunt.

[babbelbox]

Best geinig om te zien trouwens dat sinds een upgrade van ROS 7.18.1 naar 7.20.1 het CPU verbruik van m'n RB2011 zichtbaar naar beneden is gegaan

[Robi]

babbelbox schreef op donderdag 23 oktober 2025 @ 12:52:
Best geinig om te zien trouwens dat sinds een upgrade van ROS 7.18.1 naar 7.20.1 het CPU verbruik van m'n RB2011 zichtbaar naar beneden is gegaan
[Afbeelding]

Welke tool gebruik je voor deze grafiek?

[Freeaqingme]

Ik zat op CCR1072 nog op 7.18. Het viel me daar gisteren op dat de VRRP interfaces op Invalid stonden, en wat ik ook deed niets kon dat oplossen (ook geen reboot etc). Daarna geupgrade naar 7.20, en spontaan ging het weer werken. Toch de monitoring maar nog wat verder verbeteren.

[babbelbox]

Robi schreef op donderdag 23 oktober 2025 @ 13:00:
[...]

Welke tool gebruik je voor deze grafiek?

De grafiek zelf wordt gepresenteerd in Grafana.
De data zit in InfluxDB en komt daar dmv een script op de MikroTik.
Ik heb een schedule lopen die elke 10 seconden draait, deze haalt diverse parameters op en maakt daar een influxdb insert string van.

[Jef61]

babbelbox schreef op donderdag 23 oktober 2025 @ 13:18:
[...]

De grafiek zelf wordt gepresenteerd in Grafana.
De data zit in InfluxDB en komt daar dmv een script op de MikroTik.
Ik heb een schedule lopen die elke 10 seconden draait, deze haalt diverse parameters op en maakt daar een influxdb insert string van.

Ah mooi, ik monitor mijn Mikrotik ongeveer op dezelfde manier maar dan via snmp. De interfaces kan ik hiermee ook monitoren.

[babbelbox]

Ik heb ook een scriptje draaien voor het loggen van de interface statistics, ander script, zelfde principe met influxdb

[TheFirepit]

Op dit moment heb ik een RB5009 met drie cAP ax'en draaien naar alle tevredenheid. Vanaf de RB5009 heb ik op dit moment nog een ethernet kabel lopen naar de ONT toe en deze wou ik graag vervangen door een SFP+ module in de RB5009 zelf. Na wat rondkijken dacht ik dat de FS XGS-ONU-25-20NI een goede kandidaat zou zijn.

Het probleem waar ik nu tegenaan loop is dat wanneer ik de ONU in de RB5009 doe de RB5009 crasht. Hij komt ook niet meer in de lucht totdat ik de ONU er weer uithaal. De cAP ax'en blijven wel voorzien van stroom (PoE) via de RB5009, maar de wifi netwerken liggen wel plat (op zich logisch aangezien die via de RB5009 geprovisioned worden).

Logs: geen. Hij crasht dus kennelijk echt hard want er wordt niet eens een log regel van de crash weggeschreven. Volgens FS zou de module wel compliant moeten zijn met Mikrotik apparatuur.

Heeft iemand enig idee wat dit probleem veroorzaakt? Of nog beter: hoe je het op kan lossen? Of is FS niet compliant met de RB5009 (terwijl dat FS dat zelf wel aangeeft)?

[lier]

De RB5009 is, in mijn ervaring, wat selectief op het gebied van SFP modules. Maar vastlopen is gelijk wel heel erg. Draait hij de laatste RouterOS en firmware versie (nu is dat 7.20.2)?

Je kan support inschakelen door een supout file te uploaden op de support pagina van MikroTik:
https://help.mikrotik.com...login?destination=portals

Hiervoor heb je een account nodig (kan niet met het forum account).

[TheFirepit]

Hij draait de laatste versie (7.20.2). Ik heb ondertussen ook even een ticket aangemaakt naar support toe.

[peterstr]

TheFirepit schreef op maandag 27 oktober 2025 @ 13:55:
Hij draait de laatste versie (7.20.2). Ik heb ondertussen ook even een ticket aangemaakt naar support toe.

Ik hoop het niet voor jou maar ik verwacht dat ze gaan zeggen dat je een SFP moet kiezen die Mikrotik zelf als compatible heeft aangewezen.

Voor de 5009 zie hier: https://help.mikrotik.com...d+interface+compatibility

[ Voor 8% gewijzigd door peterstr op 27-10-2025 14:41 ]

[BaseBoyNL]

Wellicht een schot voor openboeg hier maar wel de plek waar de meeste kennis zit.

Voor mijn nieuwbouw woning mag ik nieuwe netwerk apperatuur aanschaffen en zit nu heel erg te twijfelen tussen Mikrotik en Unify. Ik snap dat de meeste hier in het Mikrotik ecosysteem zitten maar wil jullie toch vragen zouden jullie deze keuze opnieuw maken wanneer je opnieuw zou starten?

Inmiddels loopt Unify wel wat voor op hardware gebied en misschien ook wel op software gebied (dat kan ik niet zo goed beoordelen). En dan heb je nog de stijlere leercurve van MT. Voordeel van MT vind ik wel dat het uit Europa komt en de lange ondersteuning van de producten.

Ben benieuwd naar jullie mening. Alvast bedankt!

[ernstoud]

TheFirepit schreef op maandag 27 oktober 2025 @ 13:55:
Hij draait de laatste versie (7.20.2). Ik heb ondertussen ook even een ticket aangemaakt naar support toe.

Een reboot is wel heel bijzonder. In mijn rb5009 gebeurt dat niet met deze SFP+ en ook niet met de Zaram SFP+.

Wel oudere RouterOS versie, nl. 7.11.2.

Wellicht ten overvloede maar heb je behalve de update van RouterOS ook de firmware van de rb5009 geüpdatet?

[TheFirepit]

peterstr schreef op maandag 27 oktober 2025 @ 14:38:
[...]


Ik hoop het niet voor jou maar ik verwacht dat ze gaan zeggen dat je een SFP moet kiezen die Mikrotik zelf als compatible heeft aangewezen.

Voor de 5009 zie hier: https://help.mikrotik.com...d+interface+compatibility

Misschien ontbreekt het aan mijn zoekkwaliteiten, maar Mikrotik heeft zelf geen XGS-PON SFP's toch?

[jeroen3]

BaseBoyNL schreef op maandag 27 oktober 2025 @ 14:43:
Voor mijn nieuwbouw woning mag ik nieuwe netwerk apperatuur aanschaffen en zit nu heel erg te twijfelen tussen Mikrotik en Unify. Ik snap dat de meeste hier in het Mikrotik ecosysteem zitten maar wil jullie toch vragen zouden jullie deze keuze opnieuw maken wanneer je opnieuw zou starten?

Allebei?
Ik heb Mikrotik als router op kpn glas. Dat is waar ze goed in zijn.
En Unifi voor de WiFi, dat is waar zij goed in zijn.
Sure je kunt ook Unifi routers nemen, maar ik heb ik de indruk dat de config voor KPN dan een stuk minder makkelijk is dan bij Mikrotik.
Daarnaast heb ik ook pihole container en zerotier in rb5009, en volgens mij kan unifi dat helemaal niet.

[TheFirepit]

ernstoud schreef op maandag 27 oktober 2025 @ 14:47:
[...]


Een reboot is wel heel bijzonder. In mijn rb5009 gebeurt dat niet met deze SFP+ en ook niet met de Zaram SFP+.

Wel oudere RouterOS versie, nl. 7.11.2.

Wellicht ten overvloede maar heb je behalve de update van RouterOS ook de firmware van de rb5009 geüpdatet?

Yep, firmware is ook op de nieuwste versie.

[kaaas]

BaseBoyNL schreef op maandag 27 oktober 2025 @ 14:43:
Wellicht een schot voor openboeg hier maar wel de plek waar de meeste kennis zit.

Voor mijn nieuwbouw woning mag ik nieuwe netwerk apperatuur aanschaffen en zit nu heel erg te twijfelen tussen Mikrotik en Unify. Ik snap dat de meeste hier in het Mikrotik ecosysteem zitten maar wil jullie toch vragen zouden jullie deze keuze opnieuw maken wanneer je opnieuw zou starten?

Inmiddels loopt Unify wel wat voor op hardware gebied en misschien ook wel op software gebied (dat kan ik niet zo goed beoordelen). En dan heb je nog de stijlere leercurve van MT. Voordeel van MT vind ik wel dat het uit Europa komt en de lange ondersteuning van de producten.

Ben benieuwd naar jullie mening. Alvast bedankt!

Ja ik zou zeker weer voor mikrotik kiezen.
Maar als je config niet al te gek is en je het niet erg vind dat de support op een goed moment vervalt kun je zeker voor een ubiquity gaan.
Qua hardware vind ik ubiquity vooral voor lopen op het gebied van wifi. Qua routers zou ik zeggen dat mikrotik een hoop meer hardware bied voor het zelfde geld.

[lier]

BaseBoyNL schreef op maandag 27 oktober 2025 @ 14:43:
Wellicht een schot voor openboeg hier maar wel de plek waar de meeste kennis zit.

Beiden gebruikt, voor mij is het MikroTik. Onder andere dat ik inmiddels gewend ben aan RouterOS, de actieve community waardeer en merk dat het contact met eindgebruikers beter op orde is.

Daarnaast, minstens 5 voor EOL, maar mijn 13 jaar oude RB951 krijgt (als ik dat wil) nog steeds updates. Bij wijze van spreken, ik gebruik hem niet meer.

Overigens...houdt wel rekening met de leercurve die steiler is bij MikroTik. Je leert er ook meer van (ook netwerken in het algemeen).

[Freeaqingme]

Het is geen of/of wat mij betreft. Ik pak zelf altijd Access Points van Unifi, en verder alle routers/switches van Mikrotik. Het grote nadeel van Unifi vind ik dat ze er een jaar of 5 geleden voor gekozen hebben voor de consumentenroute te gaan. Het ziet er allemaal wel heel slick uit, maar als je iets wilt dat ook maar een klein beetje afwijkt van het 'standaardpad' dan kan dat niet. Terwijl Mikrotik echt een prosumer product heeft dat je ook in professionele settings kan toepassen.

[Theone098]

babbelbox schreef op donderdag 23 oktober 2025 @ 12:52:
Best geinig om te zien trouwens dat sinds een upgrade van ROS 7.18.1 naar 7.20.1 het CPU verbruik van m'n RB2011 zichtbaar naar beneden is gegaan
[Afbeelding]

Ik blijf nog even op 7.9.6. Mijn backup-script werkt niet meer in 7.20.x en ik ben er nog niet achter wat het probleem is. In de logging zie ik dat er iets met de filename is, maar die werkt prima in 7.9.6 en "alle" versies 7 daarvoor. Overigens, mijn scripting-script, waarbij de filename op eenzelfde manier wordt opgebouwd werkt ook nog prima.

Oh ja, plaatjes .....

CPU


WAN Interface


De tool die ik gebruik is inderdaad checkmk, zoals @lolgast hier beneden aangeeft .

[ Voor 4% gewijzigd door Theone098 op 28-10-2025 11:31 . Reden: checkmk ]

[lolgast]

Zet er meteen even bij dat je CheckMK gebruikt voor de monitoring, voordat die vraag gesteld wordt

[lier]

Theone098 schreef op dinsdag 28 oktober 2025 @ 11:24:
De tool die ik gebruik is inderdaad checkmk, zoals @lolgast hier beneden aangeeft .

Nice, heb het gelijk ook geïnstalleerd en geconfigureerd (op basis van SNMP).

[babbelbox]

lier schreef op dinsdag 28 oktober 2025 @ 16:37:
[...]

Nice, heb het gelijk ook geïnstalleerd en geconfigureerd (op basis van SNMP).

Die ga ik binnenkort ook maar eens bekijken

edit:
Hmm, jammer. Ik draai diverse containers op Raspberry en CheckMK is er helaas alleen voor AMD64

[ Voor 19% gewijzigd door babbelbox op 29-10-2025 07:44 ]

[Boudewijn]

Ik heb van de week een CSR328-24P-4S+RM gekocht en het mikrotik 10u rackje, omdat mijn oude 16 poorts ubiquiti switch er nogal bruusk mee stopte. Echter wilde ik hem vandaag in het rackje hangen en ik heb de rack-oortjes nog wel maar de schroefjes niet meer. Behoorlijk suf, maar ik denk dat ik ze weg heb gegooid.

Weet iemand welke maat schroefjes gebruikt worden? Mn de lengte is van belang, ik zou het vervoelnd vinden als ik wat kapot draai.

Als ik dit lees zijn het 6mm M3'tjes of M4tjes: https://forum.mikrotik.co...nt-rack-ear-screws/179700

[ Voor 11% gewijzigd door Boudewijn op 01-11-2025 18:47 ]

[franssie]

@Boudewijn heb je niet ergens wat M3 liggen? Als dat sloppy is, is het M4 (zo doe ik dat altijd).

[Boudewijn]

franssie schreef op zaterdag 1 november 2025 @ 19:07:
@Boudewijn heb je niet ergens wat M3 liggen? Als dat sloppy is, is het M4 (zo doe ik dat altijd).

Ja maar hoe lang moeten ze zijn? Ik wil ook niet tegen een print aan schroeven oid.
De switch openmaken zou kunnen maar doe ik liever niet ivm garantie, die switch was niet helemaal gratis.

[franssie]

Boudewijn schreef op zaterdag 1 november 2025 @ 20:22:
[...]

Ja maar hoe lang moeten ze zijn? Ik wil ook niet tegen een print aan schroeven oid.
De switch openmaken zou kunnen maar doe ik liever niet ivm garantie, die switch was niet helemaal gratis.

Wat ik in je links lees is M4 8mm en M3 6 mm - denk niet dat die twee mm het verschil gaan maken als je voorzichtig schroeft en weerstand voelt.
Ik gebruik zelf liever te korte schroeven waardoor en wel eens aan achterkant van een laptop toch loskomt, dan weet ik het.
Maar het is nuatuurlijk beter als iemand nog een setje dat bij de voetjes zat (volgens inet) heeft liggen. Die gaan bij mij altijd de junk-box in, en na 12 jaar gooi ik ze weg (en heb ze alsnog nodig voor iets anders maar soit).

[DRAFTER86]

Boudewijn schreef op zaterdag 1 november 2025 @ 20:22:
[...]

Ja maar hoe lang moeten ze zijn? Ik wil ook niet tegen een print aan schroeven oid.
De switch openmaken zou kunnen maar doe ik liever niet ivm garantie, die switch was niet helemaal gratis.

Schroefjes vinden die lang genoeg zijn om iets kapot te draaien valt niet mee denk ik: https://www.servethehome....oe-and-4x-10gbe-switch/2/

[Boudewijn]

DRAFTER86 schreef op zondag 2 november 2025 @ 07:40:
[...]


Schroefjes vinden die lang genoeg zijn om iets kapot te draaien valt niet mee denk ik: https://www.servethehome....oe-and-4x-10gbe-switch/2/

Goed ik was gisteren heel moe. Kom vanochtend boven en er ligt netjes een zakje met rubbervoetjes en 8 schroefjes naast het rackje. Denk bijna dat iemand dat er vannacht neer heeft gelegd

Het zijn m3'tjes van een mm of 6 inderdaad. Verzonken kopjes. Heb er even kort een eigen M3'tje ingedraaid (dat zakje zag ik toen ik mijn eigen M3 erin draaide), gewoon standaard spoed. Nothing fancy.

[ Voor 10% gewijzigd door Boudewijn op 02-11-2025 11:35 ]

[Fingie]

Gisteren had ik hier een stroomstoring. Alles uit, inclusief de Miktotik hap ac3 die de internet aansluiting door het huis verspreid. Toen de stroom enkele uren later weer terug was, startte alles netjes op, behalve de Mikrotik. Deze startte wel, maar deed niets en was onbereikbaar. Enkel een blauwe led op de voorzijde.

En dit is niet de eerste keer. Normaal staat dat apparaat altijd aan en doet het zijn ding. Maar als hij dan eens herstart wordt, dan zie ik met name na langere tijd niet herstarten dit gedrag. Ik moet dan via netinstall RouterOS weer installeren en de configuratie terugzetten. Daarna werkt het apparaat weer. Herstart ik bijvoorbeeld een dag later de router, dan is er ook geen probleem. Het is alleen als hij langere tijd niet herstart is.

Ik heb al gezocht naar vergelijkbare situaties, maar kan alleen een paar berichten vinden over apparaten die na iedere herstart de configuratie kwijt zijn. Dit is hier dus niet het geval. Het is (in mijn beleving) alleen na een lange uptime (meerdere weken/maanden). Net als gisteren. Waarbij ook toen herstel via netinstall en restore van een backup werkte. Gisteren was ik niet thuis, waardoor ik pas in de avond de boel weer werkend kon maken. Tot grote frustratie van de thuiswerkers die de hele dag niets konden. Daarom hoop ik dat iemand dit wellicht herkent of een suggstie heeft waarnee dit gedrag voorkomen kan worden.

[ernstoud]

Fingie schreef op donderdag 6 november 2025 @ 16:30:
Gisteren had ik hier een stroomstoring. Alles uit, inclusief de Miktotik hap ac3 die de internet aansluiting door het huis verspreid. Toen de stroom enkele uren later weer terug was, startte alles netjes op, behalve de Mikrotik. Deze startte wel, maar deed niets en was onbereikbaar. Enkel een blauwe led op de voorzijde.

En dit is niet de eerste keer. Normaal staat dat apparaat altijd aan en doet het zijn ding. Maar als hij dan eens herstart wordt, dan zie ik met name na langere tijd niet herstarten dit gedrag. Ik moet dan via netinstall RouterOS weer installeren en de configuratie terugzetten. Daarna werkt het apparaat weer. Herstart ik bijvoorbeeld een dag later de router, dan is er ook geen probleem. Het is alleen als hij langere tijd niet herstart is.

Ik heb al gezocht naar vergelijkbare situaties, maar kan alleen een paar berichten vinden over apparaten die na iedere herstart de configuratie kwijt zijn. Dit is hier dus niet het geval. Het is (in mijn beleving) alleen na een lange uptime (meerdere weken/maanden). Net als gisteren. Waarbij ook toen herstel via netinstall en restore van een backup werkte. Gisteren was ik niet thuis, waardoor ik pas in de avond de boel weer werkend kon maken. Tot grote frustratie van de thuiswerkers die de hele dag niets konden. Daarom hoop ik dat iemand dit wellicht herkent of een suggstie heeft waarnee dit gedrag voorkomen kan worden.

Kleine UPS ervoor?

Als echt RouterOS verloren raakt na langere tijd geen voeding lijkt me dit een slechte flash memory chip.

[nescafe]

@Fingie heb je toevallig je hap ac3 gepartitioneerd? Ik heb al vaker meegemaakt dat de MikroTik een failover doet bij een unclean startup, bijv. [aan]-[uit]-[aan] binnen een paar seconden.

[Fingie]

ernstoud schreef op donderdag 6 november 2025 @ 16:39:
[...]


Kleine UPS ervoor?

Als echt RouterOS verloren raakt na langere tijd geen voeding lijkt me dit een slechte flash memory chip.

Dat is symptoombestrijding en geen oplossing. En het gaat niet specifiek om langere tijd geen stroom, maar ook om een herstart nadat dit langere tijd niet gedaan is. Net geprobeerd, nu een reboot (vanuit Winbox) geeft geen probleem en binnen een minuut werkt alles weer.

nescafe schreef op donderdag 6 november 2025 @ 16:50:
@Fingie heb je toevallig je hap ac3 gepartitioneerd? Ik heb al vaker meegemaakt dat de MikroTik een failover doet bij een unclean startup, bijv. [aan]-[uit]-[aan] binnen een paar seconden.

De hap is niet gepartitioneerd. Er is maar 1 partitie van 128mb.

[ Voor 6% gewijzigd door Fingie op 06-11-2025 17:04 ]

[peterstr]

Fingie schreef op donderdag 6 november 2025 @ 16:30:
Het is alleen als hij langere tijd niet herstart is.

Het is geen oplossing maar misschien wel een workaround tot de tijd dat je een echte oplossing hebt maar je zou via de system scheduler een agelijkse reboot kunnen laten uitvoeren bv om 3 uur 's nachts.

En het idee van partitioneren is zo wie zo aan te raden. Heb ik ook op mijn twee mikrotiks. Ook handig als een update niet blijkt te werken zols je zou verwachten. Je bent dan snel weer terug naar de oude versie.

[babbelbox]

peterstr schreef op donderdag 6 november 2025 @ 17:07:
[...]


Het is geen oplossing maar misschien wel een workaround tot de tijd dat je een echte oplossing hebt maar je zou via de system scheduler een agelijkse reboot kunnen laten uitvoeren bv om 3 uur 's nachts.

En het idee van partitioneren is zo wie zo aan te raden. Heb ik ook op mijn twee mikrotiks. Ook handig als een update niet blijkt te werken zols je zou verwachten. Je bent dan snel weer terug naar de oude versie.

Je kan toch sowieso makkelijk terug door de oudere files op de storage te zetten?
Backup van je config heb je uiteraard altijd paraat

En scheduled rebooten zou ik niet doen. Wordt je een keer wakker moet bij je eerst aan de knutsel voor je naar je werk kan.

Heb in het verleden ook een 3tal HAP Ax units gehad (weet het model niet meer precies, die kleine met maar 16MB flash).
Meermaals 1 met NetInstall moeten herstellen

[ Voor 17% gewijzigd door babbelbox op 06-11-2025 20:35 ]

[pimlie]

@Fingie Ik heb dat jaren geleden ook gehad, ook vaak na niet clean shutdowns. Heb helaas geen oplossing voor je, op een gegeven moment deed hij het weer goed zonder dat ik iets (bewust) had gedaan.

Heb je ook expliciet de firmware geupgrade (System -> Routerboard)? Vroeger stond auto upgrade standaard uit, dus als je nog een oude config gebruikt kan dat nu ook nog uitstaan.

[zenlord]

Hallo,
Ik moet jullie niet vragen of jullie Unifi dan wel Miktrotik verkiezen - deze vraag is herboven reeds beantwoord: ofwel 100% Miktrotik, ofwel Mikrotik als router en unifi voor de WiFi.
Ik had graag jullie opinie gehad ivm de keuze aan hardware om mijn netwerk op te frissen (Opnsense > 12-jaar oude Cisco 48p switch > 3* Unifi Wifi5 AP's). Ik dacht aan:
1. De RB5009 als router - Telenet modem in 1GB poort en VLAN setup
2. De CRS418-8P-8G-2S+5axQ2axQ-RM - via SFP naar de router
3. 3x Mikrotik hAP AX s verspreid doorheen het huis - die dan wel elders moeten worden opgesteld, want deze hang ik niet aan mijn plafonds
Lijkt jullie dit iets? Ik ben een tweaker, maar eerder aan de sysadmin-zijde dan aan de netwerk-zijde. Daarnaast: moet ik mij aan veel lawaai verwachten? Ik heb geen dedicated server room, maar alles staat in een kast die aan de binnenzijde van geluidswering is voorzien.

[lier]

De CRS418-8P-8G-2S+5axQ2axQ-RM levert 802.3af/at terwijl de hAP ax s alleen Passive PoE ondersteunt. Oftewel, je kan de hAP niet voorzien van stroom met deze switch.

Persoonlijk zou ik deze hAP nooit nemen, tenzij het als "1 trick pony" gebruikt wordt. Altijd voor de "echte" standaardaarden kiezen.

Verder: RB5009 is een geweldige router, prima keuze. Als CAPS zou ik de wAP AX kiezen, tenzij je hem aan het plafond hangt (dan kan je beter de cAP AX kiezen). Let op dat de wAP onder een beperkte hoek straalt. Je krijgt dus een ander patroon dan je huidige Unify's. Hoeveel poorten heb je op je switch nodig?

Naar aanleiding van je opmerking over sysadmin tweaker: houdt rekening met een stijle leercurve. Tegelijkertijd, de community van MikroTik is echt geweldig. Dus mensen met een gezond verstand en beetje interesse kunnen prima een omgeving opzetten.

[ Voor 16% gewijzigd door lier op 07-11-2025 10:43 ]

[pimlie]

lier schreef op vrijdag 7 november 2025 @ 10:41:
houdt rekening met een stijle leercurve.

Alhoewel dat zeker niet onwaar is, het helpt enorm als je als sysadmin ervaring zou hebben met geavanceerde netwerk configuraties onder Linux via de cli. Veel zaken zijn dan niet van 'hoe moet ik iets doen' maar 'waar moet ik dit doen'. Althans in mijn ervaring...

[ZwarteIJsvogel]

@lier Je neemt me de woorden uit de mond

Ik heb hier (140 m² woonoppervlak verdeeld over 2 woonlagen) een RB5009UPr+S+IN met 2x wAP ax gevoed via PoE vanuit de RB5009. Werkt als een tierelier. De RB5009 is misschien wel de beste router die MT ooit heeft gemaakt.

De 2 stuks wAP ax hangen bij mij tegen de buitenmuren i.v.m. het antennediagram. MikroTik publiceert die informatie zelf niet, maar van de meeste producten is ze hier beschikbaar.

[Fingie]

pimlie schreef op donderdag 6 november 2025 @ 23:55:
@Fingie Ik heb dat jaren geleden ook gehad, ook vaak na niet clean shutdowns. Heb helaas geen oplossing voor je, op een gegeven moment deed hij het weer goed zonder dat ik iets (bewust) had gedaan.

Heb je ook expliciet de firmware geupgrade (System -> Routerboard)? Vroeger stond auto upgrade standaard uit, dus als je nog een oude config gebruikt kan dat nu ook nog uitstaan.

Dank voor de tip over de firmware. Ik zie nu dat hij is geleverd met versie 6.47.8 en ik zit nu op versie 6.48.3 en dat beschikbaar is 7.16.2. Heb ik dus nooit bijgewerkt. Wel RouterOS, daar zit ik nu op 7.16.2. Misschien dat dit gaat helpen. Van het weekend maar even proberen in de hoop dat dat de oplossing gaat zijn.

[lier]

Werk dan ook RouterOS bij, naar versie 7.20.4 (huidige laatste Stable) of 7.19.6 (volgens velen meer stabiel). En inderdaad firmware vervolgens ook bijwerken, zeker nu is er een groot verschil.

[franssie]

Ik lurk al even in dit topic, Voor de users met een Mikrotek router en Unifi AP'd - hoe beheren jullie de AP's?
Ga een schaduw netwerk opzetten met een MikroTik hEX S Gigabit router, en wil daarvandaan mijn Unifi AP's migreren. De Unifi Express (6) zal ik dan uitfaseren (of tijdelijk als AP gebruiken, moet ik nog uitzoeken). Via de Unifi app oid of een actieve controller in een docker?

[ZwarteIJsvogel]

lier schreef op vrijdag 7 november 2025 @ 13:52:
Werk dan ook RouterOS bij, naar versie 7.20.4 (huidige laatste Stable) of 7.19.6 (volgens velen meer stabiel).

Ik zou een conservatief updatebeleid willen aanbevelen (dus kiezen voor 7.19.6).

Een nieuwe 7.x(.0) minor release in het stable channel is vaak niet wat ik stabiel zou willen noemen. Meestal komen er dan ook na de eerste versie heel snel een paar patch releases met een waslijst fixes. Als dat nodig is, doe je iets niet goed. Dat nieuwe features niet meteen 100% correct werken is relatief klein bier, maar MikroTik sloopt ook regelmatig bestaande functionaliteit (zo regende het bij 7.20 klachten over bv. de PPPoE server). Dat wordt dan weer verholpen in een volgende patch release.

Daarom zit ik hier nog op 7.19.6 (de laatste uit de 7.19 reeks). Een upgrade naar 7.20.x ga ik pas doen als 7.21(.0) uit is. Het zou mij niet verbazen als dat 7.20.6 of zelfs 7.20.7 zal zijn. De Routerboard firmware loopt nog een minor release verder achter. De reden daarvan is dat ik de flash in twee partities heb verdeeld om snel terug te kunnen gaan naar de vorige RouterOS productieversie (hier 7.18.2).

[zenlord]

lier schreef op vrijdag 7 november 2025 @ 10:41:
De CRS418-8P-8G-2S+5axQ2axQ-RM levert 802.3af/at terwijl de hAP ax s alleen Passive PoE ondersteunt. Oftewel, je kan de hAP niet voorzien van stroom met deze switch.

Persoonlijk zou ik deze hAP nooit nemen, tenzij het als "1 trick pony" gebruikt wordt. Altijd voor de "echte" standaardaarden kiezen.

Verder: RB5009 is een geweldige router, prima keuze. Als CAPS zou ik de wAP AX kiezen, tenzij je hem aan het plafond hangt (dan kan je beter de cAP AX kiezen). Let op dat de wAP onder een beperkte hoek straalt. Je krijgt dus een ander patroon dan je huidige Unify's. Hoeveel poorten heb je op je switch nodig?

Naar aanleiding van je opmerking over sysadmin tweaker: houdt rekening met een stijle leercurve. Tegelijkertijd, de community van MikroTik is echt geweldig. Dus mensen met een gezond verstand en beetje interesse kunnen prima een omgeving opzetten.

Dankjewel! Dan denk ik dat ik al zeker ben van de router en van de AP's (cAP AX kan ik 1 op 1 ter vervanging van de unifi's ophangen, dus dat is al 1 zorg minder).
Ik moet het aantal benodigde poorten nog eens tellen. Ik heb nu 48 poorten, maar die zijn niet allemaal in gebruik, zeker aangezien ik over de jaren heen enkele toestellen verplaatst heb naar een aparte ruimte met daar een aparte switch. Ik denk dat ik centraal met 24 poorten (RB5009+CRS418) zal toekomen, en een 8p switch (CRS310) in de berging. Dan nog even uitvissen hoe ik die connecteer over fiber/SFP, en Dan vermoed ik dat ik een goeie basis heb voor een stabiel en snel netwerk...

[babbelbox]

Toch wel nieuwsgierig hoe jullie omgaan met POE gevoede devices en het updaten van de voedende kant.
Ik heb 1 van m'n HAP AX² units met POE aan een RB4011 hangen en ben er toch nog niet helemaal uit wat nou de beste manier is. Tijdelijk adapter aansluiten, device uitzetten voor het rebooten van de RB4011, tijdelijk helemaal loskoppelen......

[lier]

In ieder geval (voor de zekerheid) devices die PoE leveren niet gelijk updaten met de devices die hij voedt. Mijn switches draaien LTS, die worden bijna nooit bijgewerkt. De router en accesspoints draaien daarentegen de laatste V7 beta release.

Overigens blijft PoE vaak gewoon doorwerken tijdens een upgrade en/of reboot.

[Theone098]

Theone098 schreef op dinsdag 28 oktober 2025 @ 11:24:
[...]

Ik blijf nog even op 7.19.6. Mijn backupexport-script werkt niet meer in 7.20.x en ik ben er nog niet achter wat het probleem is.

Mijzelf maar eens quoten …..

Aan het begin van de filename van de config export mag geen / staan. Wel in backup.

Lijkt mij een bug….

[Boudewijn]

BaseBoyNL schreef op maandag 27 oktober 2025 @ 14:43:
Wellicht een schot voor openboeg hier maar wel de plek waar de meeste kennis zit.

Voor mijn nieuwbouw woning mag ik nieuwe netwerk apperatuur aanschaffen en zit nu heel erg te twijfelen tussen Mikrotik en Unify. Ik snap dat de meeste hier in het Mikrotik ecosysteem zitten maar wil jullie toch vragen zouden jullie deze keuze opnieuw maken wanneer je opnieuw zou starten?

Inmiddels loopt Unify wel wat voor op hardware gebied en misschien ook wel op software gebied (dat kan ik niet zo goed beoordelen). En dan heb je nog de stijlere leercurve van MT. Voordeel van MT vind ik wel dat het uit Europa komt en de lange ondersteuning van de producten.

Ben benieuwd naar jullie mening. Alvast bedankt!

Grappig, ik heb nieuwbouw gekocht 3 jaar geleden en alles van ubiquiti. Gateway pro 4, 4 switches, 7 APs, NVR. Ben nu om aan het gaan naar mikrotik, puur omdat er veel meer aan te configgen valt. Ook biedt MT veel meer hardware voor het geld voor mijn gevoel.

Waar is ubiquiti beter in:
- De APs bevallen me prima. Mogelijk is MT ook goed.
- De tante-sjaan-kan-het-instellen-factor
- Er zijn heel veel minder updates. Dit is voor- en nadeel tegelijk. Voordeel want minder werk en reboots, nadeel want geen nieuwe dingen.
- kant-en-klare cloud management als je dat tof vindt.
- Overzicht en de controller. Die mis ik echt bij MT. Gewoon een lijstje met alle hosts op het netwerk en een overzicht van met welke hardware ze verbonden zijn. VLANs instellen is ook heel veel simpeler.

De controller is ook wel een beetje een nadeel ; het is echt een java-resource-hog op mijn simpele virtualisatiebakje. Verder heef MT veel minder vendor-lock-in voor mijn gevoel (probeer maar eens een externe camera aan je NVR te koppelen).

[ Voor 14% gewijzigd door Boudewijn op 07-11-2025 23:21 ]

[babbelbox]

lier schreef op vrijdag 7 november 2025 @ 22:31:
[...]

Overigens blijft PoE vaak gewoon doorwerken tijdens een upgrade en/of reboot.

Als ik mijn RB4011 reboot gaat die POE echt wel ff uit hoor.

[lier]

babbelbox schreef op zaterdag 8 november 2025 @ 08:44:
Als ik mijn RB4011 reboot gaat die POE echt wel ff uit hoor.

Goed dat je het meldt...ik zei het op basis van mijn switches (die PoE leveren). Geen ervaring met router die PoE levert.

[ed1703]

franssie schreef op vrijdag 7 november 2025 @ 17:50:
Ik lurk al even in dit topic, Voor de users met een Mikrotek router en Unifi AP'd - hoe beheren jullie de AP's?
Ga een schaduw netwerk opzetten met een MikroTik hEX S Gigabit router, en wil daarvandaan mijn Unifi AP's migreren. De Unifi Express (6) zal ik dan uitfaseren (of tijdelijk als AP gebruiken, moet ik nog uitzoeken). Via de Unifi app oid of een actieve controller in een docker?

Ik beheer mijn Unifi AP's en mijn Unifi switches vanuit een controller in docker. Ik heb met mijn MikroTik HEX RB750GR3 de VLANS opgebouwd met gatewayadres -1 (253 ipv 254) en bij het omzetten naar het juiste adres gezet. Wil alleen nog een keer omwisselen voor een HEX refresh. Meer dan dat heb ik toch niet nodig.

[pimlie]

@Boudewijn
- Grappig, ik vind zelf dat Mikrotik al weinig updates heeft. Alhoewel dat voornamelijk is omdat ik me altijd afvraag of Mikrotik uberhaupt aan security updates doet. De keren dat ze dat expliciet noemen is minimaal.
- Beste overzicht kan je waarschijnlijk krijgen door naar de DHCP leases te kijken. Daar staan uiteraard geen static hosts in, dus anders arp table met status reachable. Een groot gemis tov Cisco etc is dat je met Mikrotik geen namen kan toewijzen aan bv een mac adres en dat die dan overal gebruikt worden. Kan ubiquiti dat wel?
- VLAN's is inderdaad een crime, ik snap niet waarom ze de software + hardware configuraties niet geabstraheerd / samengevoegd hebben.

[orvintax]

franssie schreef op vrijdag 7 november 2025 @ 17:50:
Ik lurk al even in dit topic, Voor de users met een Mikrotek router en Unifi AP'd - hoe beheren jullie de AP's?
Ga een schaduw netwerk opzetten met een MikroTik hEX S Gigabit router, en wil daarvandaan mijn Unifi AP's migreren. De Unifi Express (6) zal ik dan uitfaseren (of tijdelijk als AP gebruiken, moet ik nog uitzoeken). Via de Unifi app oid of een actieve controller in een docker?

Ik heb naast mijn netwerk spul ook nog een server staan. Daar draait de Unifi controller in een Docker omgeving.

[BaseBoyNL]

Boudewijn schreef op vrijdag 7 november 2025 @ 23:07:
[...]

Grappig, ik heb nieuwbouw gekocht 3 jaar geleden en alles van ubiquiti. Gateway pro 4, 4 switches, 7 APs, NVR. Ben nu om aan het gaan naar mikrotik, puur omdat er veel meer aan te configgen valt. Ook biedt MT veel meer hardware voor het geld voor mijn gevoel.

Waar is ubiquiti beter in:
- De APs bevallen me prima. Mogelijk is MT ook goed.
- De tante-sjaan-kan-het-instellen-factor
- Er zijn heel veel minder updates. Dit is voor- en nadeel tegelijk. Voordeel want minder werk en reboots, nadeel want geen nieuwe dingen.
- kant-en-klare cloud management als je dat tof vindt.
- Overzicht en de controller. Die mis ik echt bij MT. Gewoon een lijstje met alle hosts op het netwerk en een overzicht van met welke hardware ze verbonden zijn. VLANs instellen is ook heel veel simpeler.

De controller is ook wel een beetje een nadeel ; het is echt een java-resource-hog op mijn simpele virtualisatiebakje. Verder heef MT veel minder vendor-lock-in voor mijn gevoel (probeer maar eens een externe camera aan je NVR te koppelen).

Tegen welke config beperking liep je aan wat unify niet kan maar mt wel?

[Boudewijn]

Ik wil spelen met BGP en OSPF bijvoorbeeld. Of wireguard. Equal cost multipath dingen, je ARP-tabel makkelijk inzien. Dat soort gein is allemaal niet/moeilijk te doen bij ubiquiti.

Ook dingen als scripts draaien (geen containers) op de hardware, en meer routing en firewalling mogelijkheden.

Edit: iets waar ik nu net mee zit te knoeien: doe me maar eens een lijst (CSV, yaml, whatever) met mac-adres, ip, commentaar van alle DHCP-leases in het netwerk. Succes ermee met ubiquiti, je moet de backup die je kunt downloaden decrypten, 2x uitpakken , in mongo laden en dan wat python-code schrijven. Tsja .

[ Voor 61% gewijzigd door Boudewijn op 10-11-2025 00:52 ]

[Boudewijn]

pimlie schreef op zaterdag 8 november 2025 @ 12:00:
@Boudewijn
- Grappig, ik vind zelf dat Mikrotik al weinig updates heeft. Alhoewel dat voornamelijk is omdat ik me altijd afvraag of Mikrotik uberhaupt aan security updates doet. De keren dat ze dat expliciet noemen is minimaal.

Ja goeie vraag. Nemen we aan dat er geen kwetsbaarheden inzitten?

- Beste overzicht kan je waarschijnlijk krijgen door naar de DHCP leases te kijken. Daar staan uiteraard geen static hosts in, dus anders arp table met status reachable. Een groot gemis tov Cisco etc is dat je met Mikrotik geen namen kan toewijzen aan bv een mac adres en dat die dan overal gebruikt worden. Kan ubiquiti dat wel?

Ja dit gaat veel makkelijker.

- VLAN's is inderdaad een crime, ik snap niet waarom ze de software + hardware configuraties niet geabstraheerd / samengevoegd hebben.

Ja hier zit ik ook wel lekker mee te knoeien. Op zich snap ik de basis MTCNA-dingen wel , maar het nu in een wat groter netwerk toepassen... waar ook andere hardware staat. Lekker hobbien dus.

[FrankHe]

Gisteren heb ik in stapjes alle apparatuur een update gegeven van RouterOS 7.20.2 naar versie 7.20.4. Dat ging eigenlijk allemaal prima.

Vanochtend leek het erop dat er op één apparaat geen WireGuard verbindingen binnen kwamen. Kon zo snel geen aanleiding vinden waarom het niet zou werken. De uitgaande WireGuard naar een andere site werkte gewoon. Andere locaties deden wat ze moesten doen. Mijn conclusie is dat er wellicht een tijdelijk routing probleem was bij de ISP aangezien binnenkomend HTTPS-verkeer ook niet van overal werd toegelaten. Even later werkte het weer. Of te wel, dit lijkt op een probleem dat niet gerelateerd is aan de RouterOS upgrade, het was alleen wel heel erg toevallig dat het zich exact de volgende ochtend voordeed. Opmerkelijk.

[Robi]

FrankHe schreef op maandag 17 november 2025 @ 10:48:
Gisteren heb ik in stapjes alle apparatuur een update gegeven van RouterOS 7.20.2 naar versie 7.20.4. Dat ging eigenlijk allemaal prima.

Vanochtend leek het erop dat er op één apparaat geen WireGuard verbindingen binnen kwamen. Kon zo snel geen aanleiding vinden waarom het niet zou werken. De uitgaande WireGuard naar een andere site werkte gewoon. Andere locaties deden wat ze moesten doen. Mijn conclusie is dat er wellicht een tijdelijk routing probleem was bij de ISP aangezien binnenkomend HTTPS-verkeer ook niet van overal werd toegelaten. Even later werkte het weer. Of te wel, dit lijkt op een probleem dat niet gerelateerd is aan de RouterOS upgrade, het was alleen wel heel erg toevallig dat het zich exact de volgende ochtend voordeed. Opmerkelijk.

Misschien last van deze storing?

[FrankHe]

Robi schreef op maandag 17 november 2025 @ 10:53:
[...]

Misschien last van deze storing?

Ben daar Simpel geen klant
Eurofiber kan van toepassing zijn op die specifieke remote locatie, een bedrijfsverzamelgebouw waarbij de verhuurder wel eens glas van Eurofiber zou kunnen hebben.

Dank!