[MikroTik-apparatuur] Ervaringen & Discussie

[maarud]

Klik hier om naar het einde van de OP te springen

Inleiding Naar aanleiding van het verzameltopic Unifi/Meraki/Mikrotik is in overleg besloten om de huidige topics (een zooitje) te laten voor wat het is en voor eens en voor altijd duidelijke en normale topics de starten. Zo ook dit topic, waar ervaringen gedeeld kunnen worden of vragen gesteld kunnen worden over de apparatuur van MikroTik. Wired MikroTik maakt ontzettend veel routers (of RouterBOARDS). De populairste is de 2011-serie, die als RM (rackmount) of standalone kan worden gekocht. Daarnaast wordt het zgn. RouterOS beschreven. RB2011UiAS-IN CPU: Atheros AR9344 (600Mhz) Ethernet: 5x RJ-45 Gigabit Ethernet, 5x Fast Ethernet waarvan 1x PoE Geheugen: 128 MB RAM Console: 1 RJ-45 seriële consolepoort Overig: microUSB poort, LCD scherm, RouterOS L5 licentie, SFP cage. Inclusief L5-licentie. Prijs: +/- € 65 Multifunctionele router boordevol opties. De routers draaien op RouterOS, welke helemaal naar eigen smaak in te stellen is. Zo ook het LCD-paneel wat aanwezig is, hier kan allerlei soorten informatie op weergegeven worden. Denk aan snelheden, aangesloten apparaten, etc. RouterOS Meegeleverd op de routers, draait ook op PC (Linux-gebaseerd) Bereikbaar via WinBox, CLI, Telnet, SSH en Web Bevat: Firewall, routing, forwarding, MPLS, VPN, Wireless, Hotspot, QoS, Proxy, monitoring tools en meer Prijs: Aanwezig met licentie op de routers, werkt voor op een PC via een licentiemodel (zie PDF) Wireless RB2011UiAS-2HnD-IN CPU: Atheros AR9344 (600Mhz) Ethernet: 5x RJ-45 Gigabit Ethernet waarvan 1x PoE, 5x Fast Ethernet Geheugen: 128 MB RAM Console: 1 RJ-45 seriële consolepoort WiFi: 802.11b/g/n 2.4Ghz (tot 1W zendvermogen) Overig: microUSB poort, LCD scherm, RouterOS L5 licentie, SFP cage. Prijs: +/- € 65 Multifunctionele router boordevol opties. De routers draaien op RouterOS, welke helemaal naar eigen smaak in te stellen is. Zo ook het LCD-paneel wat aanwezig is, hier kan allerlei soorten informatie op weergegeven worden. Denk aan snelheden, aangesloten apparaten, etc. SXT Lite5 CPU: Atheros AR9344 600MHz Ethernet: 1x 10/100 Geheugen: 32MB DDR SDRAM WiFi: Onboard dual chain 5GHz 802.11a/n Atheros AR9344-BC2A wireless module Overig: Gevoed via PoE Inclusief L3-licentie. Prijs: -[/url] Device voor het outdoor opzetten van 5Ghz PtP verbindingen. Ook beschikbaar in een high-power versie (1250mW) Overige Een veelgenoemde webwinkel voor deze apparatuur is bijvoorbeeld www.interprojekt.com.pl. Deze prijzen (net als bovenstaande) zijn wel excl. BTW.

[ElCondor]

Meld: Een RB750GL.
Fijn kastje. Destijds waren de switches nog niet zo wijd verbreid, dus heb toen voor twee HP procurve switches gekozen. Ik gebruik de MikroTik als default gateway. Hij krijgt van Tele2 netjes vijf publieke IP adressen die ik weer verdeel binnen mijn netwerkje.
Het ding heeft wel een stijle leercurve, maar als je eenmaal weet hoe de boel een beetje in elkaar zit, dan is het een beetje een fire and forget set-up. Gewoon inrichten en het doet wat hij moet doen.

Compliementen aan de makers voor de eenvoud van het dingetje. In dit geval is het echt waar: Less is more!

[babbelbox]

Ik heb thuis 2 maal een RB2011UAS-2HnD staan.
Inkomend op m'n Ziggo internet verbinding.
Deelt 2 netwerken, prive en gas toegang en tussen de 2 borden een trunk.
Ook beheer ik de nodige RB750UP/GL's
Ik vind die MikroTik RouterBoards echt goed spul met super veel mogelijkheden.
Merk alleen wel (ook wel op het MikroTik forum terug te vinden) dat MikroTik wat slordig omgaat met de updates de laatste tijd. De nadruk licht niet meer zo bij het oplossen van bugs en soms komen er alleen maar meer bij. Ik heb overigens niet zoveel verstand van het ontwikkelen van een Router OS.

[PeterEs]

Ik heb een RB2011UiAS-2HnD-IN en een RB750, beide 100-240v input.

De RB2011 heeft alleen PoE in. Je kunt er dus geen andere apparaten mee voeden.

[Kridri]

Ik zou voor mij persoolijk mijn netwerk moeten vernieuwen omdat ik vaak op een tweede lokatie zit. Nu had ik gedacht om dit om op de main lokatie een RB 750 Gl te zetten met tweemaal een RB951 geconfigureed als AP en op de tweede locatie een RB 951 als router/AP met tussen de beide locaties een VPN tunnel. Heeft iemand ervaring met de RB951 te gebruiken als en router? En zijn er betere AP van mikrotip of is de algemene setup ok?

[PeterEs]

Hmm probleempje hier. Situatie:

We hebben op kantoor een CCR1009 hangen als internet firewall/router. Deze heb ik ingericht als L2TP ipsec VPN server. Dit werkt prima, vanuit windows en iphones kan men gewoon verbinden.

Nu heb ik ook een paar RB750 ingericht als L2tp ipsec VPN client. De bedoeling is dat gebruikers deze thuis achter hun huidige router aansluiten om een aantal devices (printers, VoIP telefoon) te verbinden met het LAN op kantoor. Deze RB750 komen achter de bestaande routers van de gebruikers, dus achter een NAT.

Dit werkt prima, echter komt geregeld de volgende melding terug in de logs van de clients: "phase1 negotiation failed due to time up {private IP van user}[500]<=>{public IP van kantoor}[500]" is dit een configuratie dingetje, of wordt dit veroorzaakt door de internetrouter aan de gebruikers zijde?

server side

code:

/ip ipsec proposal
set [ find default=yes ] enc-algorithms=3des pfs-group=none
/interface l2tp-server server
set authentication=mschap2 default-profile=default enabled=yes ipsec-secret=geheim use-ipsec=yes

Client side:

code:

/ip ipsec proposal
set [ find default=yes ] enc-algorithms=3des
/interface l2tp-client
add add-default-route=no allow=mschap2 connect-to={publiek kantoor IP} dial-on-demand=no disabled=no keepalive-timeout=60 max-mru=1450 max-mtu=1450 mrru=1600 name=naam password=wachtwoord profile=default-encryption user=gebruiker

[rohaantje]

maarud schreef op vrijdag 12 juni 2015 @ 19:58:
Ik heb nu een RB2011 die als router fungeert (simpel NAT routertje voor ADSL) met daarop een hotspot voor 30 users op vlan 20 (ik heb gewoon internet untagged). Een Unifi AP zorgt voor Wifi.

Zou zo'n zelfde setup ook met een hAP lite werken? Dat lijkt de goedkoopste MikroTik 'router' die er is. Hij hoeft eigenlijk alleen maar te zorgen dat er voor 30 man een hotspot is op een VLAN. Hij draait op RouterOS dus dan kan ik bijna letterlijk de configuratie kopieren, bij wijze van spreken, lijkt me?

Of kan ik beter een iets duurder device neerzetten?

Zelf denk ik dat die hAP dat niet helemaal lekker gaat trekken.
Misschien als kale AP, maar volledig als router wordt het wat te veel vermoed ik.
Vooral omdat je maar 32mb ram hebt.

Ik denk dat een RB2011 met een hAP als ap een betere situatie zou zijn.

Check ook deze even de hEX lite(rb750r2). Paar euro duurder, maar dan heb je wel een dikkere router.

[ Voor 9% gewijzigd door rohaantje op 12-06-2015 20:07 ]

[rohaantje]

De CCR1072 is ook gelanceerd via de routerboard website. Prijs is een dikke $3000. Opzich niet gek voor een Professionele router die een 10 Mpps door kan voeren.

De RB750Gr2(hEX) is ook gelanceerd via de routerboard website. Prijs is ongeveer $60. Ik vraag me af of dit het helemaal waard is. Maar de RB750r2(hEX lite) heeft wel een zeer gunstige prijs/prestatie verhouding. Het is een klein, handig, functioneel apparaatje.

chaoscontrol schreef op vrijdag 31 juli 2015 @ 17:19:
Nog steeds niets over een nieuwe release date voor de RB3011.

Ik zit ook te wachten op deze router. Volgens de sheets zou het Q2 zijn.
Ik benieuwd naar de prijs/prestatie verhouding. Deze was bij de RB2011 zeer gunstig.

[rohaantje]

Product catalogus Q4, 2015

Met als opvallendste nieuwtjes, na mijn inzicht:

• hEX POE lite (RB750UP revisie 2)
• photoshop versie van de 3011(RM) met als CPU: Two core QCA8337-AL3C 1.4 GHz CPU

[chaoscontrol]

rohaantje schreef op vrijdag 18 september 2015 @ 10:38:
Product catalogus Q4, 2015

Met als opvallendste nieuwtjes, na mijn inzicht:

• hEX POE lite (RB750UP revisie 2)
• photoshop versie van de 3011(RM) met als CPU: Two core QCA8337-AL3C 1.4 GHz CPU

Laten we maar hopen dat ze Q4 dan wel halen, zit er nu toch echt op te wachten. Trek met de RB2011 geen 500mbit naar binnen, heb er goede hoop in dat de rb3011 dat wel trekt.

[chaoscontrol]

rohaantje schreef op dinsdag 22 december 2015 @ 13:04:
[afbeelding]
De Routerboard hAP ac Lite is op de routerboard website geplaatst. Helaas nog niet te bestellen via de Inter Project website.

Leuk ding hoor maar met 100mbit poorten en een single band 5GHz is het nou niet echt een heel nuttig apparaat. Ook jammer dat de cpu op 650 draait niet 850 zoals de rb750r2 (hex lite).

Vind het jammer dat Mtik achterblijft op wifi met echt goede wireless AC devices.

(Wel erg goedkoop zie ik!)

[ Voor 3% gewijzigd door chaoscontrol op 22-12-2015 13:32 ]

[rohaantje]

chaoscontrol schreef op dinsdag 22 december 2015 @ 13:29:
[...]

Leuk ding hoor maar met 100mbit poorten en een single band 5GHz is het nou niet echt een heel nuttig apparaat. Ook jammer dat de cpu op 650 draait niet 850 zoals de rb750r2 (hex lite).

Vind het jammer dat Mtik achterblijft op wifi met echt goede wireless AC devices.

(Wel erg goedkoop zie ik!)

Wil je die hoge performance moet je voor de hAP ac gaan.
Ik denk dat dit apparaatje op een ander segment is gericht.

Ik heb zelf hier in huis ook hAP lite's liggen.
Deze gebruik ik alleen in ruimtes waar mijn andere wifi-signaal niet kan komen.
Als een soort versterking.

[Thralas]

Nog meer upgrades:

hEXr3 aka. RB750Gr3 (upgrade van RB750Gr2).

Het gebruikelijke QCA-silicon is ingeruild voor een dualcore MediaTek MT7621A, waardoor 'ie 1600 Mbps routeert en bijna 500 Mbit/s AES-128 haalt.

Als de OpenVPN-support van MikroTik nu eens niet zo brak was, was dit echt een mooie VPN router.

EDIT: Ik vraag me trouwens af of OpenVPN uberhaupt accelerated is..

[ Voor 8% gewijzigd door Thralas op 21-10-2016 13:46 ]

[rohaantje]

Thralas schreef op zaterdag 08 oktober 2016 @ 14:04:
Nog meer upgrades:

hEXr3 aka. RB750Gr3 (upgrade van RB750Gr2).

Het gebruikelijke QCA-silicon is ingeruild voor een dualcore MediaTek MT7621A, waardoor 'ie 1600 Mbps routeert en bijna 500 Mbit/s AES-128 haalt.

Als de OpenVPN-support van MikroTik nu eens niet zo brak was, was dit echt een mooie VPN router.

Aah nice, ik denk dat ik deze is ga bestellen als VPN server.
Ik gebruik L2TP/IPsec als vpn verbinding naar mijn nas en thuisnetwerk.
Omdat mijn RB2011 geen hardware encryptie heeft ga ik het maar is met deze proberen.

[Thralas]

Nieuw: RB960PGS, aka. hEX POE.

De RB750Gr3 is nu ook in stock bij interprojekt. De RB960PGS staat op preorder voor december...

@ hierboven: ik zou sowieso geen Gr2 meer kopen, maar de Gr3 die ik hier link

Verder zijn de hAP ACs misschien wel een beetje karig met 1x1 802.11ac. Als je ook laptops in huis hebt dan zou ik vlotters overwegen, met enkel mobile devices kom je er misschien nog wel mee weg (die doen toch vaak maar 1x1) - maar ik heb geen concrete ervaring met de lite.

Met bijvoorbeeld een hAP AC in de woonkamer zou je die zelfs kunnen laten routeren, dan heb je die hEX in principe niet nodig, ware het niet dat ik vermoed dat je dan een switch tekort komt om ethernet naar boven te krijgen...

[ Voor 55% gewijzigd door Thralas op 21-10-2016 12:45 ]

[pr0mpt]

Thralas schreef op vrijdag 21 oktober 2016 @ 12:38:
Nieuw: RB960PGS, aka. hEX POE.

De RB750Gr3 is nu ook in stock bij interprojekt. De RB960PGS staat op preorder voor december...

@ hierboven: ik zou sowieso geen Gr2 meer kopen, maar de Gr3 die ik hier link

Verder zijn de hAP ACs misschien wel een beetje karig met 1x1 802.11ac. Als je ook laptops in huis hebt dan zou ik vlotters overwegen, met enkel mobile devices kom je er misschien nog wel mee weg (die doen toch vaak maar 1x1) - maar ik heb geen concrete ervaring met de lite.

Met bijvoorbeeld een hAP AC in de woonkamer zou je die zelfs kunnen laten routeren, dan heb je die hEX in principe niet nodig, ware het niet dat ik vermoed dat je dan een switch tekort komt om ethernet naar boven te krijgen...

Ik had de Gr3 ook al gezien op de InterProject site, maar ik had voor alsnog even de product links van de officiele pagina gebruikt indien ze bij InterProject iets zouden wijzigen.

Voor alleen een hAP AC in de woonkamer zou het kunnen, ware het niet dat ik maar 1x CAT6 naar de woonkamer heb liggen en in de meterkast staat de Synology en de aansluitingen naar boven [1ste + zolder].

Dat zou dan betekenen dat al het verkeer van die devices van Meterkast -> Woonkamer -> Meterkast -> Boven zou moeten gaan, maar al het verkeer van de Woonkamer gaat over hetzelfde kabeltje.

Lijkt me niet echt gewenst toch?

[lier]

Deze week krijg ik de RB750Gr3 binnen als vervanging van mijn huidige EdgeLite. Van het weekend bezig geweest met mijn (oude) RB951G en ik loop tegen het volgende probleem:

In mijn huidige router heb ik een Guest VLAN toegevoegd met eigen DHCP server die zorgt voor het gastnetwerk. Op de Unifi accesspoint heb ik twee SSID's geconfigureerd waarvan het guest netwerk gekoppeld is aan het Guest VLAN. Is dit ook mogelijk met de MikroTik (daar twijfel ik niet aan) en vooral...hoe?

Ik ben uitgegaan van de standaard configuratie en wil poort 2 t/m 4 voorzien van een Guest VLAN.

VPN server is nu heel eenvoudig (in vergelijking met een paar jaar geleden). Heb een L2TP VPN opgezet die van binnen het netwerk te benaderen is. Deze kan ik echter niet benaderen vanuit de WAN kant. Moet hiervoor de firewall aangepast worden?

[DJSmiley]

Gisteren tegen een bugje aangelopen op de Hex (RB750gr3)... De laatste 'current' release (6.37.1) voor de mmips 'sloopt' de switch opties.

Hele 'switch' knopje in webfig/winbox is pleite.. Met 6.36.1 was dat niet.

Oplossing is dus teruggaan of een RC draaien.

sinds 6.38rc19 is het opgelost:

*) winbox - fixed missing switch menu for mmips devices;

Morgen eens kijken wat ze op de MUM te melden hebben

[lier]

Momenteel mijn wAP ac aan het configureren. Heb een RB750G3 als router en ben gewend aan Unifi. Heb voor het Guest netwerk een VLAN ingesteld:

default: 192.168.50.0/24, guest: 192.168.10.0/24

Mijn vragen:
Hoe kan ik op het draadloze netwerk gebruik blijven maken van de DHCP servers van de RB?Bridgen dus...
Heb ik een DHCP server nodig op de wAP?Nope

Alleen nog uitzoeken hoe ik het VLAN ook goed in de lucht krijg...

[ Voor 13% gewijzigd door lier op 04-02-2017 12:08 ]

[Zaffo]

lier schreef op zaterdag 4 februari 2017 @ 11:21:
Alleen nog uitzoeken hoe ik het VLAN ook goed in de lucht krijg...

"VLAN Mode" en "VLAN ID" instellen bij de wlan interface config?

Edit: Ik heb zelf een RB750Gr2 en een EnGenius AP welke al ingesteld waren voor VLAN. Een ander apparaat met DD-WRT is me nog niet gelukt.

Net even aan de slag geweest om op een andere RB750Gr2 ook een VLAN toe te voegen (remote via VPN). Op de mAP een extra SSID aangemaakt met VLAN mode en ID, maar dus nog niet kunnen testen. Dit stond al wel een tijdje op mijn todo lijst, dus maar gelijk gedaan

[ Voor 45% gewijzigd door Zaffo op 04-02-2017 14:27 . Reden: achtergrond ]

[Zaffo]

vali schreef op zondag 5 februari 2017 @ 12:10:
(...)

Verder ben ik echt super tevreden met de router, had hem echt veel eerder moeten kopen.

Dat ken ik wel. Echter zit ik momenteel niet verlegen om netwerkapparatuur.

Zodra er een desktop versie in de RB3011 serie is wordt er wel een RB750Gr2 vervangen. De andere wordt tegen die tijd afgelost door een RB750Gr3. Zo krijgt de VPN performance ook een boost. De Gr2's kunnen dan twee kleine switchen vervangen.

Misschien maar een rack aanschaffen om de RB3011UiAS-RM is te hangen.

[nescafe]

Winbox 3.8 had een bugje:

quote: http://forum.mikrotik.com/viewtopic.php?t=116821#p577542

Winbox 3.8, RB750GL 6.39rc12 - can not change/set firewall NAT rule's dst-port, src-port by winbox. Fields are grayed out/disabled whatever I do. On existing NAT rules and new ones as well. Already reported to [e-mail]

Even upgraden naar 3.11 => https://mikrotik.com/download
(Of makkelijker: in connection screen naar Tools > Check For Updates)

[Verwijderd]

Als je veel over de VPN gaat "pompen", dan kan je beter twee stuks RB750G3 nemen. Deze heeft een hardwarematige IPSec chip.

De RB2011 gaat over zijn nek (processor 100%) bij 20-30 Mbps aan VPN traffic (SSTP).

Als het puur voor connectivity is, of andere beheer dingen, geen probleem.

SFP poort voor WAN: ja, goed idee. Poort 10 voor WAN: niet doen.
CRS: is goed in switching (daar staat die S voor). CCR is goed in zware routering.

Advies: Neem de RB2011 (of de RB750 G3) voor routering etc... En zet een HP, Cisco of andere merken switch in voor daadwerkelijke distributie naar de gebruikers.

Maar er zijn meerdere wegen naar Rome.

[ Voor 3% gewijzigd door Verwijderd op 27-02-2017 11:52 ]

[DJSmiley]

Of de 3011. Die is ook krachtiger. Nadeel is wel dat je 2 switch chips hebt en daartussen maar 1Gbit. De CCR heeft 1Gbit direct naar de CPU per poort, maar is ook weer stuk duurder.

Een RB750g3 + losse switch + los AP is de beste oplossing denk ik. Je AP kun je dan ook slim plaatsen om optimale dekking te krijgen. Een Unifi ofzo

[SpikeHome]

over de vpn gaat niet zoveel alleen tijdens het syncen van de nassen dat duurt momenteel een 10min. dagelijks.
Ik zag ook overigens de 3011 die heeft wat meer power helaas geen wifi

Edit @DJSmiley je was me voor


edit2: liefst zo min mogelijk rand apparatuur.
de RB750G3 is ook een leuk ding en heel goedkoop! mist dan idd een aantal poorten en wifi.

Edit3. Ik ga even kijken naar een 2ehhandse 2011 om mee te gaan testen.
Dank voor de antwoorden.

[ Voor 43% gewijzigd door SpikeHome op 28-02-2017 16:50 ]

[Zaffo]

Wegens goede ervaringen ben ik aan het kijken om twee RB750Gr2 (aka HEXv2) te vervangen. De beide apparaten hebben hun eigen locale netwerk, wat verbonden is via OpenVPN. Ze zijn zowel server als client, voor het geval een IP adres veranderd. Deze verbinding wordt gebruik voor management, backup en toegang tot servers. Daarnaast hangen er nog enkele losse OpenVPN clients aan.

Dit draait inmiddels bijna een jaar naar grote tevredenheid. Echter is de doorvoersnelheid over de VPN beperkt door de CPU en zijn alle ethernet poorten in gebruik. Vandaar dat ik aan het kijken ben (lees: een excuus gevonden heb) voor nieuwe hardware.

Momenteel twijfel ik tussen de volgende hardware:
HEXv3 - encryptie performance update. Met als bonus de mogelijkheid om een dude server te draaien. Geen extra ethernet poorten.
RB2011UiAS-IN - geeft 5 extra fast ethernet poorten (helaas geen gigabit), maar hoe zit het met de CPU encryptie? Deze is al lange tijd op de markt en bevat IMHO relatief oude hardware.
RB3011UiAS-RM - geeft 5 extra Gbit poorten, maar is ook gelijk weer een stuk duurder. Ook is deze alleen nog beschikbaar als RM en redelijke overkill voor een SOHO omgeving.

Wat denken jullie?

[SanderH_]

Ik zou mijn netwerk (200/20 verbinding) willen upgraden en ben momenteel wat aan het kijken naar de verschillende opties:

1. MikroTik router + AP('s)
2. Ubiquiti EdgeRouter Lite + UniFi AC Lite
3. pfSense op een apu2 bordje + TBD

Uiteraard zou ik het hier graag over #1 hebben.

Qua router lees ik erg mooie dingen over de RB750Gr3 - hEX. Blijkbaar is de opvolger (RB960PGS ook net geïntroduceerd? Mijn 200/20 verbinding voltrekken zal denk ik geen probleem mogen zijn. Qua VPN snelheden heb ik geen idee welke snelheden ik kan verwachten.

Aangezien alle netwerkinfrastructuur op een nogal ongelukkige plek binnenkomt (zolder) ga ik werken met 1 of meerdere AP's om de WiFi te voorzien. Ik heb ethernet aansluitingen op ongeveer 10m zitten van de toestellen die van WiFi gebruik maken. Ik zie echter het bos door de bomen niet meer, gezien de vele verschillende soorten, waarvan sommige blijkbaar specifiek op outdoor gebruik gericht zijn?

• cAP (voor aan het plafond)
• wAP
• wAP ac
• mAP
• mAP Lite
• ...

Wat raden jullie aan voor mijn specifieke use case? Ik denk dat een mAP lite op elk verdiep geen slecht idee is? Of sla ik de bal verkeerd?

[ Voor 6% gewijzigd door SanderH_ op 26-05-2017 20:24 ]

[Petervanakelyen]

De mAP's zijn voornamelijk bedoeld als travel router. Zowel de mAP als de mAP lite passen dan ook gewoon in je handpalm De wAP ac kan je inderdaad goed vergelijken met de Unifi AC's. De RB960PGS is niet de opvolger van de RB750Gr3, die laatste gebruikt een andere SoC en is sneller (zie de testresultaten onderaan de specs).

[ Voor 21% gewijzigd door Petervanakelyen op 26-05-2017 21:27 ]

[Zaffo]

@Thralas Aangezien ik een RB750Gr2 gebruik als switch met VLANs, en alle poorten op mode=secure staan, heb ik maar even gechecked of traffic nog binnen kwam. Ik heb geen problemen gevonden. Het is een eenvoudige setup met verschillende untagged poorten en een uplink.

Edit: De RB750Gr2 heeft een QCA8337 chip en de RB951G-2HnD een Atheros8327.

[ Voor 12% gewijzigd door Zaffo op 28-12-2017 21:52 ]

[Thralas]

Hmmbob schreef op vrijdag 5 januari 2018 @ 15:02:
Hmm, zou ik het ook firewall-technisch kunnen doen? Dus AL het verkeer naar/van die devices blokkeren behalve naar mijn Pi?

Ik zou het juist met de firewall oplossen op laag 3. Je hebt geen VLANs of extra interfaces op je Raspberry pi nodig, tenzij je ze op MAC-niveau moet kunnen aanspreken.

Pi heeft al static adres, die apparaten heb ik natuurlijk ook zo een statisch adres toegewezen.

Je hoeft ook niet perse statische adressen uit te delen, je kunt ook gewoon firewall rules op een interface matchen.

Ik zou een extra virtuele AP aanmaken, en dan gewoon je firewall goed afstellen. Zorg dat je FORWARD chain eindigt met een DROP en allow de volgende zaken:

• LAN naar internet
• LAN naar IoT interface
• Alles met conntrack stae ESTABLISHED[, RELATED]

Zaffo schreef op donderdag 28 december 2017 @ 21:51:
@Thralas Aangezien ik een RB750Gr2 gebruik als switch met VLANs, en alle poorten op mode=secure staan, heb ik maar even gechecked of traffic nog binnen kwam. Ik heb geen problemen gevonden. Het is een eenvoudige setup met verschillende untagged poorten en een uplink.

Edit: De RB750Gr2 heeft een QCA8337 chip en de RB951G-2HnD een Atheros8327.

Ik ben er inmiddels achter na een mailwisseling met support. Blijkbaar had ik nog een ingress vlan filter staan op de bridge (my bad, die is goed verstopt in Winbox) - zonder verdere port rules, na deze te hebben verwijderd kan ik weer gewoon m'n port op mode=secure zetten.

Maar het feit dat die bridge filter helemaal niets doet tenzij je de port in het switch menu op secure zet lijkt me alsnog niet helemaal juist. Ze mogen het effect van bridge vlan's op de switch chip (en vice versa) wel wat duidelijker weergeven, of voorkomen dat die twee elkaar kunnen bijten.

Helpt ook niet dat hardware-offload dus wegvalt als je bridge vlans gebruikt, maar dat ingress filter blijkbaar alsnog de switch chip gebruikt (ik dacht dat het allemaal in software gebeurde).

[daansan]

Ik heb je configuratie geheel over genomen behalve de bridge voor iptv met spoofed mac address, mijn rb750gr3 heeft internet op eth1 en een lan connectie naar mijn switch (met igmp snooping op de switch) op eth2.

Eigenlijk werkt alles maar krijg ik af en toe “zender niet beschikbaar” op de tv, soms gebeurt dat na 10 minuten tv kijken; wel krijg ik deze melding frequent maar nooit binnen 3 seconden.

De igmp proxy lijkt zijn werk dus wel te doen maar toch gaat er iets mis.

Gebruik ik mijn fritzbox (van xs4all) ipv de mikrotik dan werkt alles goed; de topologie blijft dan hetzelfde.

Heeft een van jullie een idee wat dit zou kunnen zijn?

Hmmbob schreef op maandag 12 maart 2018 @ 09:52:
Mijn werkende configuratie staat in het KPN topic: Hmmbob in "[KPN Glasvezel] Ervaringen & Discussie - Deel 2"

[TF0]

Ben nieuw in de MikroTik-wereld en wil graag een radius server installeren op mijn RB750Gr3.

Heb het/een user-manager package al gedownload van de MikroTik site (user-manager-6.41.3-mipsbe.npk).
De router zit ook op 6.41.3.
*.npk bestand in de file explorer slepen via WinBox en opnieuw opstarten doet niet wat het zou moeten doen. Bestand verdwijnt wel, maar ik zie geen nieuw package verschijnen in het package menu.

Je kunt blijkbaar 2 *.zip bestanden downloaden voor deze router als je zoekt op de MikroTik website op "RB7", je moet de bovenste pakken om de user-manager te krijgen, de andere heeft het niet.

De RB750Gr3 heeft echter een MMIPS processor en niet een MIPSBE (https://mikrotik.com/product/RB750Gr3#fndtn-specifications).

Ook hier lijken ze hetzelfde te ondervinden:
https://forum.mikrotik.com/viewtopic.php?t=115196

Lijkt me dus (nog) niet mogelijk en er zit dus een fout in de MikroTik website door "RB7xx" te vermelden bij de MIPSBE. MIPSBE is niet compatible met MMIPS.

Kan iemand dat bevestigen? Ik kan een Radius server ook niet in een ander package vinden?

Bronnen:
https://mikrotik.com/download
http://systemzone.net/mik...lation-and-configuration/
YouTube: Tutorial Mikrotik : Install Userman di Mikrotik RB750 Hex Lite

[Zaffo]

De RB750Gr3 staat onder MMIPS op de download pagina. Ik heb geen idee of ze de user-manager eindelijk hebben toegevoegd aan de extra packages voor MMIPS.

Edit:
https://wiki.mikrotik.com/wiki/User_Manager/Introduction

Package zou er voor v6.42 en later moeten zijn.

[ Voor 27% gewijzigd door Zaffo op 25-03-2018 10:58 ]

[DutchITMaster]

TF0 schreef op zaterdag 24 maart 2018 @ 18:08:
Ben nieuw in de MikroTik-wereld en wil graag een radius server installeren op mijn RB750Gr3.

Heb het/een user-manager package al gedownload van de MikroTik site (user-manager-6.41.3-mipsbe.npk).
De router zit ook op 6.41.3.
*.npk bestand in de file explorer slepen via WinBox en opnieuw opstarten doet niet wat het zou moeten doen. Bestand verdwijnt wel, maar ik zie geen nieuw package verschijnen in het package menu.

Je kunt blijkbaar 2 *.zip bestanden downloaden voor deze router als je zoekt op de MikroTik website op "RB7", je moet de bovenste pakken om de user-manager te krijgen, de andere heeft het niet.

De RB750Gr3 heeft echter een MMIPS processor en niet een MIPSBE (https://mikrotik.com/product/RB750Gr3#fndtn-specifications).

Ook hier lijken ze hetzelfde te ondervinden:
https://forum.mikrotik.com/viewtopic.php?t=115196

Lijkt me dus (nog) niet mogelijk en er zit dus een fout in de MikroTik website door "RB7xx" te vermelden bij de MIPSBE. MIPSBE is niet compatible met MMIPS.

Kan iemand dat bevestigen? Ik kan een Radius server ook niet in een ander package vinden?

Bronnen:
https://mikrotik.com/download
http://systemzone.net/mik...lation-and-configuration/
YouTube: Tutorial Mikrotik : Install Userman di Mikrotik RB750 Hex Lite

Als je winbox gebruikt kan je in de titelbalk zien welke versie en architectuur je device heeft. Als je een verkeerde versie in je mikrotik zet zal hij die niet installeren.

Je moet na installatie ook even controleren bij system/packages je nou dan. Enablen. Controleer ook of je firmware van je hardware geüpgraded moet worden bij system/routerboard

[CaptJackSparrow]

Ik wil een router aanschaffen die onder andere in staat is om zelfstandig ad-blocking voor zijn rekening te nemen. Van o.a. de pricewatch: Ubiquiti EdgeRouter X en de pricewatch: MikroTik Routerboard RB750Gr3 - hEX zijn beschrijvingen te vinden hoe je dat kunt doen.

https://community.ubnt.co...239/highlight/true#M17854

https://medium.com/@olegs...otik-adblock-6c5de15c9d06

Nou kan het misschien ook wel handig zijn om een versie met WiFi te nemen zoals de pricewatch: MikroTik Routerboard RB951G-2HnD of evt. de pricewatch: MikroTik RB962UiGS-5HacT2HnT hAP ac . Alhoewel de kans groot is dat die dat ook ondersteunen vind ik daar niet zo gauw een expliciete vermelding van. Kan men hier bevestigen dat in principe alle huidige Mikrotik Routerboards deze ad-blocking ondersteunen?

Nou zijn zowel deze Ubiquiti als Mikrotik routers wat meer 'feature-rich' dan de gemiddelde consumentenrouter naar ik begrijp en zou Mikrotik (nog) wat minder gebruiksvriendelijk zijn dan de Edgerouter X qua UI omdat de basis- en de meer geavanceerde instellingen wat minder gescheiden zouden zijn maar gezellig door elkaar staan. Ik zal er allemaal wel uitkomen maar ik zou die verschillende management UI's het liefst eens in een gesimuleerde omgeving willen bekijken maar het lijkt erop dat noch Ubiquiti noch Mikrotik zo'n testomgeving aanbieden. Klopt dat? Ik heb dat vroegen van een eerder apparaat dat ik had wel gezien en zo moeilijk lijkt het me ook niet om dat aan te bieden maar men lijkt de moeite niet te willen nemen.

Zijn er nog relevante verschillen in mogelijkheden tussen de Edgerouter X en de Routerboard(s) te melden door mensen die meerdere apparaten kennen?

Wat ik ook zag is dat OpenWrt ook beschikbaar is voor deze routers. Is dat nou omdat dat nóg meer features biedt dan ze zelf al hebben of is het vooral om een meer vertrouwde UI te bieden voor mensen die OpenWrt ook al op andere apparaten gebruikt hebben? Of omdat de UI wat handiger is? Of 'omdat het kan'?

[CaptJackSparrow]

Thralas schreef op donderdag 21 juni 2018 @ 21:15:
[...]

'Bridge mode' impliceert dat een apparaat transparant is op layer 2. Ofwel, apparaten aan weerszijden kunnen elkaar dmv. ARP vinden zonder tussenkomst van een router.

Daar waar men typisch over 'router mode' spreekt is er sprake van tenminste 2 netwerken die niet op laag 2 verbonden zijn. Bij een typische thuisrouter is de WAN-interface één netwerk, en vormen alle andere poorten het LAN. Om van LAN naar WAN te kunnen communiceren is tussenkomst van de router nodig (op laag 3, IP).

Ja, dat verschil over L2 en L3 was ik ook wel tegengekomen maar dat vertelt me niet direct hoe dat zich vertaalt naar eventuele verschillen in werking/functionaliteit van het apparaat. Wat het ding bijv. wel of niet kan als het apparaat in de ene of de andere modus staat.

MikroTik kent niet iets als 'bridge mode' of 'router mode', tenzij je daar op wat Quick Set-opties doelt. Alle poorten kun je volledig flexibel bridgen ('bridge mode') of routeren.

Voor de goede orde: 'bridge mode' zegt niets over of een apparaat wel-of-niet bereikbaar is, ondanks het feit dat veel providermodems in 'bridge mode' zichzelf geen IP toekennen.

Ik doelde inderdaad op die optie in de quick settings. Als Mikrotik het zo noemt wie ben ik om dat dan anders te benoemen. Ik had ook gezien dat je het ondanks die Quick Set ook per poort kan instellen. Hoe dat nuttig kan zijn ben ik nog niet achter.

En in router-mode kent de MT zich ook niet direct een IP adres toe als je voor 'static' kiest maar dan staat dat op 0.0.0.0. Mag je zelf iets uitkiezen. Het noemt dat stukje van de instellingen in de Quick Set dan wat vaag 'Internet' maar het is schijnbaar niet hetzelfde als het IP adres dat ik aan de WAN kant van mijn ISP heb gekregen. Dat ga ik pas gebruiken als ik voor PPPoE kies neem ik aan en de Fritz in bridge-mode zou zetten. Als ik voor 'Automatic' kies krijgt de MT er blijkbaar een van de DHCP in de Fritz maar het is me nog niet duidelijk wat het verschil is tussen dat IP adres en die waarmee het vanaf het LAN te benaderen is ('Local Network' in de Quick Set) en die standaard op 192.168.88.1 staat en die ik heb aangepast aan mijn subnet. Is dat 'Internet' IP adres soms een speciaal IP adres voor fysieke poort 1, die als je PPPoE gebruikt voor de WAN kant is? Ik heb daar nog geen duidelijke uitleg over gevonden. Als ik dat IP adres dan in mijn browser intik gebeurt er niets. In router-mode heb ik dan ook geen verbinding met het internet. Dat werkt momenteel alleen in bridge-mode, zo achter de Fritz.

[...]

Je MikroTik staat in jouw situatie in je LAN, en kent dus maar één netwerk. Je kunt de zaken dus het beste configureren zodanig dat alle poorten onder 1 bridge hangen. Eventuele WiFi-interfaces hang je ook aan de bridge.

Als je Quickset wilt gebruiken op een router met WiFi dan is dat 'HomeAP dual'.

Vervolgens configureer je op de bridge interface een statisch IP binnen het subnet van je LAN. Gateway is je Fritzbox.

Ik ben voor een RB750Gr3 gegaan omdat de hAP ac2 maar 128MB RAM heeft (de vroege exemplaren met 256MB was niet echt meer aan te komen) en de WiFi meer 'nice to have' was. Er is dus geen WiFi interface in het apparaat zelf en voor WiFi gebruik ik de Fritz. Ik vraag me wel af of ik die toch ook via de MT zou kunnen gebruiken als ik de Fritz in bridge-mode zou zetten.

[nescafe]

Ah.. dat had ik inderdaad gemist. Met dit script heb je iets meer controle over wat je doet. Resultaat:



Afgezien van wat quotejes die rechtgebogen moeten worden, werkt het prima volgens de stappen die zijn beschreven. Ik ben met je eens dat de scheduler-entry overbodig is, om meerdere redenen:

• De file adblock.rsc moet handmatig worden geupload; dan importeer je toch ook handmatig ipv te wachten op een automatisch import
• De file verdwijnt bij reboot op devices zonder persistent storage (ook het geval bij de RB750Gr3)
• De scheduler lacks een flush dus verdwenen entries worden niet verwijderd (op te lossen door /ip dns static remove [/ip dns static find address=127.0.0.1] bovenin het script te plaatsen)

Ik moest in dit geval wel script runnen in de terminal om de syntax error te zien. "Run script" doet dat niet.

[CaptJackSparrow]

De RB750Gr3 heeft 16MB flashgeheugen. Ik weet alleen nog niet hoe ik zo'n script daarheen verplaats of waar dat adblock_apply script is weggeschreven dat ik in Winbox heb aangemaakt.

Ik had ook ontdekt dat bij plakken van dat script er wat vreemde tekens voor de quotes en evt. spaties stonden dus die heb ik vervangen door die alsnog handmatig in te voeren. Maar het werkt ook daarna nog steeds niet. Dat adblock_apply script en die scheduler zijn op zich best nuttig als tenminste het script niet alleen in RAM staat. Ik heb al gezegd dat ik vermoed dat daar het probleem zit.

En moeten die log info opdrachten inderdaad leiden tot vermeldingen in het log-file? Want daar komt dus niets te staan zoals ik ook al eerder meldde. Dát zijn vragen waarmee ik bij duidelijkheid daarover evt. verder kom.

[CaptJackSparrow]

Na een stroomuitval met harde shut-off van een computer waren er wat netwerkverbindingsprobleempjes met een andere computer die ik moest verhelpen. Toen dat weer liep had ik plotseling een nogal vreemd probleem met via een browser verbinding maken met mijn RB750Gr3.

Terwijl de verbinding met mijn Fritzbox volkomen normaal gaat krijg ik bij de RB750 wel het inlogscherm maar als ik daar de gegevens ingevuld heb krijg ik na enter:

Error 406: Not Acceptable

Met WinBox krijg ik wel verbinding. Ik had dacht ik kort ervoor een firmware-update gedaan waarna ik nog niet eerder met een browser had ingelogd dus voor de zekerheid heb ik een firmware downgrade geprobeerd maar dat had ook geen effect.

Uit wát ik erover kan vinden lijkt het een potentieel nogal lastige foutmelding te zijn. Zijn er hier mensen die er, misschien specifiek met Mikrotik hardware, ervaring mee hebben?

Vanaf andere computers kom ik er overigens wel in dus het ligt deels aan die computer maar gezien de Fritzbox wel werkt is het toch ook specifiek voor de RB750.

[ Voor 8% gewijzigd door CaptJackSparrow op 05-12-2018 16:34 ]

[daansan]

Ik heb een (in mijn ogen) vreemd probleem met een Mikrotik Router (RB750Gr3):

Een keukenapparaat wil via wifi een ip adres verkrijgen en gebruikt daarvoor DHCP, dit werkt prima met mijn Fritzbox router en ook met mijn Ubiquiti Edgerouter Lite.

Probeer ik het echter met de RB750Gr3 dan ontstaat er een constante DHCP handshake loop:
- Keukenapparaat stuurt een discover (zichtbaar in routeros log)
- RB750Gr3 stuurt een offer (zichtbaar in routeros log)
- Keukenapparaat stuurt een request (ook zichtbaar)
- RB750Gr3 stuurt een ack (ook zichtbaar)

En dan begint het riedeltje weer opnieuw, dus dat keukenapparaat stuurt wederom een discover.

Nou zou je op basis hiervan denken dat het aan het keukenapparaat ligt, echter snap ik er dan niets meer van dat het wel werkt met de Fritzbox en de Edgerouter Lite.

Snapt iemand hier iets van?

[Vorkie]

daansan schreef op vrijdag 1 maart 2019 @ 21:17:
Ik heb een (in mijn ogen) vreemd probleem met een Mikrotik Router (RB750Gr3):

Een keukenapparaat wil via wifi een ip adres verkrijgen en gebruikt daarvoor DHCP, dit werkt prima met mijn Fritzbox router en ook met mijn Ubiquiti Edgerouter Lite.

Probeer ik het echter met de RB750Gr3 dan ontstaat er een constante DHCP handshake loop:
- Keukenapparaat stuurt een discover (zichtbaar in routeros log)
- RB750Gr3 stuurt een offer (zichtbaar in routeros log)
- Keukenapparaat stuurt een request (ook zichtbaar)
- RB750Gr3 stuurt een ack (ook zichtbaar)

En dan begint het riedeltje weer opnieuw, dus dat keukenapparaat stuurt wederom een discover.

Nou zou je op basis hiervan denken dat het aan het keukenapparaat ligt, echter snap ik er dan niets meer van dat het wel werkt met de Fritzbox en de Edgerouter Lite.

Snapt iemand hier iets van?

Heb je hier wat aan?

https://forum.mikrotik.com/viewtopic.php?t=7822

[Tacoos]

Sinds een week heb ik een Mikrotik HEX en ik probeer nu mijn Experiabox V9 te vervangen door de Hex.
Kwa internet loopt dat prima, maar met IPTV heb ik nog wat moeite. Ik volg de stappen zoals in netwerkje.com, toch werkt niet alles
Op ether4 krijgt de settop box wel signaal, maar dat stokt na 2 seconden.
Wat zit er nog fout in mijn config?

code:

# jan/03/2020 13:08:55 by RouterOS 6.46.1
# software id = G1LH-ARVC
#
# model = RB750Gr3
# serial number = xxxx
/interface bridge
add admin-mac=xx:xx:xx:xx:xx:xx auto-mac=no comment=defconf name=bridge
add arp=proxy-arp igmp-snooping=yes name=bridge-LAN protocol-mode=none
add arp=proxy-arp name=bridge-local
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp l2mtu=1598 loop-protect=off
set [ find default-name=ether2 ] l2mtu=1598
/interface vlan
add interface=ether1 name=vlan1.4 vlan-id=4
add interface=ether1 loop-protect=off name=vlan1.6 vlan-id=6
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
add code=28 name=option28-broadcast value="'192.168.10.255'"
/ip dhcp-server option sets
add name=IPTV options=option60-vendorclass,option28-broadcast
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
add name=thuisnetwerk ranges=192.168.10.40-192.168.10.99
/ip dhcp-server
add address-pool=default-dhcp disabled=no interface=bridge name=defconf
add address-pool=thuisnetwerk disabled=no interface=bridge-local lease-time=\
    1h30m name=dhcp-thuis
/ppp profile
set *0 only-one=yes use-compression=yes use-ipv6=no use-upnp=no
add name=default-ipv6 only-one=yes use-compression=yes use-upnp=no
/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=vlan1.6 \
    keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=pppoe-client profile=\
    default-ipv6 user=1234@provider
/routing bgp instance
set default disabled=yes
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge-LAN interface=ether3
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=\
    192.168.88.0
add address=192.168.10.250/24 interface=bridge-local network=192.168.10.0
/ip dhcp-client
add comment=defconf disabled=no interface=ether1
add default-route-distance=210 dhcp-options=option60-vendorclass disabled=no \
    interface=vlan1.4 use-peer-dns=no use-peer-ntp=no
/ip dhcp-server config
set store-leases-disk=15m
/ip dhcp-server lease
add address=192.168.10.101 comment="Decoder 2" dhcp-option-set=IPTV \
    mac-address=00:02:9B:F6:DD:31 server=dhcp-thuis
/ip dhcp-server network
add address=192.168.10.0/24 dns-server=192.68.10.250 domain=thuis.local \
    gateway=192.168.10.250
add address=192.168.88.0/24 comment=defconf gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d servers=8.8.8.8,8.8.4.4
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
add action=accept chain=input in-interface=pppoe-client protocol=icmp
add action=accept chain=input connection-state=related
add action=accept chain=input connection-state=established
add action=reject chain=input in-interface=pppoe-client protocol=tcp \
    reject-with=icmp-port-unreachable
add action=reject chain=input in-interface=pppoe-client protocol=udp \
    reject-with=icmp-port-unreachable
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
add action=masquerade chain=srcnat comment="Needed for internet" \
    out-interface=pppoe-client src-address=192.168.0.0/16
add action=masquerade chain=srcnat comment="Needed for IPTV" dst-address=\
    213.75.112.0/21 out-interface=vlan1.4
add action=masquerade chain=srcnat comment="Needed for IPTV" dst-address=\
    217.166.0.0/16 out-interface=vlan1.4
/ip upnp
set show-dummy-rule=no
/ip upnp interfaces
add interface=bridge-local type=internal
add interface=pppoe-client type=external
/ipv6 firewall filter
add action=accept chain=input connection-state=established in-interface=\
    pppoe-client
add action=accept chain=input connection-state=related in-interface=\
    pppoe-client
add action=accept chain=input in-interface=pppoe-client protocol=icmpv6
add action=accept chain=input comment="DHCPv6 for public addresses" \
    dst-address=fe80::/64 dst-port=546 in-interface=pppoe-client log-prefix=\
    DHCPv6 protocol=udp
add action=reject chain=input in-interface=pppoe-client reject-with=\
    icmp-port-unreachable
add action=accept chain=forward connection-state=related in-interface=\
    pppoe-client
add action=accept chain=forward connection-state=established in-interface=\
    pppoe-client
add action=reject chain=forward in-interface=pppoe-client reject-with=\
    icmp-no-route
/ipv6 nd
set [ find default=yes ] disabled=yes
/routing igmp-proxy
set quick-leave=yes
/routing igmp-proxy interface
add alternative-subnets=0.0.0.0/0 interface=vlan1.4 upstream=yes
add interface=bridge-LAN
/system clock
set time-zone-name=Europe/Amsterdam
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

[ Voor 78% gewijzigd door Tacoos op 03-01-2020 13:10 ]

[Zerobase]

@starpc:

Ik gebruik een RB750Gr3 (Hex) router waar oa een Asterisk centrale achter hangt. Deze centrale en alle toestellen hangen in hun eigen vlan (192.168.60.0/24). Ik heb een VDSL aansluiting van Budget Alles in 1 (Telfort).

MIjn firewall (forward chain) ziet er zo uit:

code:

/ip firewall filter
add action=fasttrack-connection chain=forward connection-state=established,related
add action=accept chain=forward connection-state=established,related
add action=accept chain=forward connection-state=new src-address=192.168.10.0/24 in-interface=vlan10
add action=accept chain=forward connection-state=new src-address=192.168.60.0/24 in-interface=vlan-voip out-interface=vdsl-inet
add chain=forward action=drop

/ip firewall nat
add action=masquerade chain=srcnat out-in-interface=vdsl-inet

Ik eindig de forward chain altijd met een drop all. Wat ik niet expliciet toelaat wordt zo altijd geblokkeerd. Voor de NAT rule hoef je zo ook geen moeilijke config te bouwen, de 'drop all' filter regel voorkomt zowiezo dat de NAT rule wordt aangesproken voor verkeer dat geblokkeerd wordt.

Vanaf mijn lokale LAN (192.168.10.0/24) wil ik overal bij kunnen. Voip verkeer ((192.168.60.0/24) mag alleen naar internet.

Op de INPUT chain drop ik alles, behalve ICMP, IGMP (iptv) en vanaf vlan 10 SSH/Winbox access.

Forward rules zet je bij voorkeur bovenaan (Meeste verkeer gaat door de router heen en termineert niet op de router zelf). Aangezien de router firewall rules sequentieel afhandelt, komt wat bovenaan staat als 1e aan de beurt. Kijk in Winbox en sleep de rules die het meeste aantal hits krijgen naar boven.

Wat je nog zou kunnen doen is met de sniffer (/tool sniffer) kijken wat er gebeurt als je zelf een verbinding opzet. Geen audio is inderdaad meestal een NAT issue.

starpc schreef op woensdag 15 april 2020 @ 12:48:
... bij Gesprek ontvangen op de N510 gaat het goed. en heb ik aan 2 kanten geluid.

maar bij een Gesprek starten van af de N510..... blijft het still. aan 2 kanten van de lijn.
...

[starpc]

Zerobase schreef op woensdag 29 april 2020 @ 12:02:
@starpc:

Ik gebruik een RB750Gr3 (Hex) router waar oa een Asterisk centrale achter hangt. Deze centrale en alle toestellen hangen in hun eigen vlan (192.168.60.0/24). Ik heb een VDSL aansluiting van Budget Alles in 1 (Telfort).

MIjn firewall (forward chain) ziet er zo uit:

code:

/ip firewall filter
add action=fasttrack-connection chain=forward connection-state=established,related
add action=accept chain=forward connection-state=established,related
add action=accept chain=forward connection-state=new src-address=192.168.10.0/24 in-interface=vlan10
add action=accept chain=forward connection-state=new src-address=192.168.60.0/24 in-interface=vlan-voip out-interface=vdsl-inet
add chain=forward action=drop

/ip firewall nat
add action=masquerade chain=srcnat out-in-interface=vdsl-inet

Ik eindig de forward chain altijd met een drop all. Wat ik niet expliciet toelaat wordt zo altijd geblokkeerd. Voor de NAT rule hoef je zo ook geen moeilijke config te bouwen, de 'drop all' filter regel voorkomt zowiezo dat de NAT rule wordt aangesproken voor verkeer dat geblokkeerd wordt.

Vanaf mijn lokale LAN (192.168.10.0/24) wil ik overal bij kunnen. Voip verkeer ((192.168.60.0/24) mag alleen naar internet.

Op de INPUT chain drop ik alles, behalve ICMP, IGMP (iptv) en vanaf vlan 10 SSH/Winbox access.

Forward rules zet je bij voorkeur bovenaan (Meeste verkeer gaat door de router heen en termineert niet op de router zelf). Aangezien de router firewall rules sequentieel afhandelt, komt wat bovenaan staat als 1e aan de beurt. Kijk in Winbox en sleep de rules die het meeste aantal hits krijgen naar boven.

Wat je nog zou kunnen doen is met de sniffer (/tool sniffer) kijken wat er gebeurt als je zelf een verbinding opzet. Geen audio is inderdaad meestal een NAT issue.


[...]

supper voor het mee denken. ik zelf zit ook heel erg te denken over wat het kan zijn.
ik zat er zelf gewoon aan te denken, maar heb geen idee hoe dit te doen. de N510 gewoon direct aan internet te hangen zonder firewall. maar goed dan ben ik ook gewoon gevaarlijk bezig. en schiet ook niet ect op.

u VLAN optie zou kunnen. maar geen idee hoe ik dat precies moet bewerk stellen.
mijn n510 zit nu op static adress 192.168.10.78 op de normale bridge.

ik heb in middels wel al een kleine verbetering. ik zit op 50% van de oplossing.

het probleem zit m in de uitgaande gesprekken met het geluid.
als ik nu met de N510 bel naar mijn GSM dan hoor ik nu wel geluid van mijn GSM op de vaste lijn, maar het geluid van de N510 naar de GSM hoor ik nogsteeds niet.

eerst had ik van af de N510 helemaal geen geluid.
dit heb ik voor elkaar gekregen met een beetje hulp.
ik heb nu deze NAT regels

code:

/ip firewall nat
add action=dst-nat chain=dstnat comment="SIP Poorten" dst-port=5060-5061 \
 protocol=udp to-addresses=192.168.10.78 to-ports=5060-5061
add action=dst-nat chain=dstnat comment="RTP Poorten" dst-port=16384-32767 \
 protocol=udp to-addresses=192.168.10.78 to-ports=16384-32767

met wat ik zeg ik heb de helf van de audio werkend. enige probleem wat ik nu nog heb ik dat de verbinding maar voor de helft werkt.
mijn idee zegt dat ik anders om ook nog wat moet doen. dus richting de SIP server.
dus de RTP en SIP porten forwarden richting WAN of zo iets.


de fire wall ziet er bij mij in ze geheel zo uit

code:

/ip firewall address-list
add address=1.2.3.4 list=VERTROUWD
add address=2.3.4.5 list=VERTROUWD
add address=192.168.77.0/24 list="Gast DHCP"
add address=ims.imscore.net disabled=yes list=sip
/ip firewall filter
add action=accept chain=input comment=\
 "defconf: accept established,related,untracked" connection-state=\
 established,related,untracked disabled=yes
add action=accept chain=input comment="defconf: accept ICMP" disabled=yes \
 protocol=icmp
add action=accept chain=input comment=\
 "defconf: accept to local loopback (for CAPsMAN)" disabled=yes \
 dst-address=127.0.0.1
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
 disabled=yes ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
 disabled=yes ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
 connection-state=established,related disabled=yes
add action=accept chain=forward comment=\
 "defconf: accept established,related, untracked" connection-state=\
 established,related,untracked disabled=yes
add action=accept chain=input connection-state=related
add action=accept chain=input connection-state=established
add chain=input in-interface=vlan1.4 protocol=igmp
add chain=input in-interface=vlan1.4 protocol=udp
add chain=forward in-interface=vlan1.4 protocol=udp
add action=accept chain=input in-interface=pppoe protocol=icmp
add action=accept chain=forward disabled=yes in-interface=!vlan1.6 protocol=\
 udp
add action=reject chain=input in-interface=pppoe protocol=tcp reject-with=\
 icmp-port-unreachable
add action=reject chain=input in-interface=pppoe protocol=udp reject-with=\
 icmp-port-unreachable
add action=drop chain=forward comment="Drop LAN -> Gastnetwerk" dst-address=\
 192.168.77.0/24 src-address=192.168.10.0/24
add action=drop chain=forward comment="Drop Gastnetwerk -> LAN" dst-address=\
 192.168.10.0/24 src-address=192.168.77.0/24
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
 invalid disabled=yes
add action=drop chain=forward comment="defconf: drop invalid" \
 connection-state=invalid disabled=yes
add action=drop chain=forward comment=\
 "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
 connection-state=new disabled=yes in-interface-list=WAN
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
 disabled=yes in-interface-list=LAN
/ip firewall nat
add action=passthrough chain=unused-hs-chain comment=\
 "place hotspot rules here" disabled=yes
add action=dst-nat chain=dstnat comment="SIP Poorten" dst-port=5000-5080 \
 protocol=udp to-addresses=192.168.10.78 to-ports=5000-5080
add action=dst-nat chain=dstnat comment="RTP Poorten" dst-port=16384-32767 \
 protocol=udp to-addresses=192.168.10.78 to-ports=16384-32767
add action=masquerade chain=srcnat out-interface=pppoe src-address=\
 192.168.10.0/24
add action=masquerade chain=srcnat comment="NAT voor gastnetwerk" \
 out-interface=pppoe src-address=192.168.77.0/24
add action=masquerade chain=srcnat comment="NAT voor smartWifi" \
 out-interface=pppoe src-address=10.1.1.0/24
add action=dst-nat chain=dstnat comment="nas interface" dst-address=\
 WAN IP dst-port=8080 protocol=tcp to-addresses=192.168.10.250
add action=dst-nat chain=dstnat comment=Torrent dst-address=WAN IP \
 dst-port=3799 protocol=tcp to-addresses=192.168.10.10 to-ports=3799
add action=dst-nat chain=dstnat comment=server dst-address=WAN IP \
 dst-port=8080 protocol=tcp to-addresses=192.168.10.200 to-ports=8080
add action=masquerade chain=srcnat comment="ROUTED IPTV" dst-address=\
 213.75.112.0/21 out-interface=vlan1.4
add action=masquerade chain=srcnat comment="ROUTED IPTV" dst-address=\
 217.166.0.0/16 out-interface=vlan1.4
add action=dst-nat chain=dstnat dst-address=WAN IP to-addresses=\
 192.168.10.63
add action=src-nat chain=src-nat src-address=192.168.10.63 to-addresses=\
 WAN IP
add action=masquerade chain=srcnat out-interface=bridge-local
add action=masquerade chain=srcnat comment="defconf: masquerade" \
 ipsec-policy=out,none out-interface-list=WAN
/ip firewall service-port
set sip disabled=yes

[Goof2000]

Mijn eerste stappen met MikroTik apparatuur, ik heb een MikroTik Routerboard RB750Gr3 gekocht om tussen mijn glasvezelmodem en de rest van mijn netwerk te zetten. (vervanging van een oude Fritzbox)

Nog tips voor documentatie om te lezen, YouTube filmpjes en/of best practice?

Wat wil ik doen:
- buiten laten wat buiten hoort (Firewall)
- poort open zetten voor mijn Wireguard (Port forwarding)
- DHCP server

Wat heb ik al gedaan:
- Update naar laatste versie en firmware update gedaan
- De admin verwijderd en een user aangemaakt met full access
- Daarvoor Winbox gebruikt

Note: Ik zal ook nog een Wifi access point gaan plaatsen, ik zit te denken aan een https://tweakers.net/pric...unifi-6-professional.html

[ Voor 0% gewijzigd door Goof2000 op 04-08-2021 10:47 . Reden: Note toegevoegd ]

[lolgast]

@Theone098 Jep, bij mij werkte het perfect, zie de log hieronder


Ik heb een RB750Gr3 (heX), geen performance beest dus

[sambaloedjek]

lolgast schreef op zondag 10 oktober 2021 @ 11:37:
Gisteren mijn hEX vervangen voor een RB4011. Was totaal niet nodig, die hEX heeft me echt bijzonder geïmponeerd voor de prijs en de grootte. Maar de RB4011 was dermate goedkoop dat ik nu in ieder weet dat ik goed zit zodra hier later dit jaar glas wordt afgemonteerd.

Ik heb met man en macht geprobeerd voor elkaar te krijgen om hardware offloading actief te houden op de bridge ports, maar óf ik denk te moeilijk óf het gaat gewoon niet icm met de VLAN configuratie die ik wil. Dus dan maar zonder

Heb ook lange tijd een RB750Gr3 gebruikt en werkt op zich prima met 1Gbps glas icm externe L3 switch. Maar een RB4011 met routeros 7.1rc3 geeft nogal wat voordelen. Bijv. bridge HW offloading icm VLAN, en Wireguard VPN. Hierdoor heb ik geen switch meer nodig. Heb deze 7.1rc3 al een tijdje draaien en lijkt stabiel.

[lolgast]

sambaloedjek schreef op zondag 10 oktober 2021 @ 21:35:
[...]


Heb ook lange tijd een RB750Gr3 gebruikt en werkt op zich prima met 1Gbps glas icm externe L3 switch. Maar een RB4011 met routeros 7.1rc3 geeft nogal wat voordelen. Bijv. bridge HW offloading icm VLAN, en Wireguard VPN. Hierdoor heb ik geen switch meer nodig. Heb deze 7.1rc3 al een tijdje draaien en lijkt stabiel.

Ik heb hier net eens naar gekeken, want ik heb niet veel features nodig en durf dus best ROS 7 te draaien. Enige dat ik inderdaad moest doen was IGMP Snooping uitschakelen, dat slikt hij niet met HW offloading. Maar verder werkt alles, ook RSTP wordt ondersteund nu met HW offloading zie ik. Dat is bij ROS 6 ook niet het geval.

[martinschilder]

Aesculapius schreef op zaterdag 5 februari 2022 @ 23:07:
[...]


Ik krijg IPTV nog niet werkend op de RB5009 met 7.1. Waar kan je deze optie voor multicast-querier aanvinken? Kan hem niet vinden....

Dat gaat ook niet werken... Ik heb er uren aan gespendeerd en nooit werkend gekregen. Ik heb nu de rb750 en geen enkel probleem

[Hmmbob]

martinschilder schreef op woensdag 9 februari 2022 @ 08:20:
[...]


Dat gaat ook niet werken... Ik heb er uren aan gespendeerd en nooit werkend gekregen. Ik heb nu de rb750 en geen enkel probleem

Dan doe je iets niet goed (sorry to say), want KPN IPTV werkt hier prima op de RB5009 met 7.1.1.

[martinschilder]

S4All schreef op woensdag 23 februari 2022 @ 23:50:
[...]


@hmmbob en @martinschilder hadden jullie dit nog geprobeerd?

Vrijdag wordt hier het internet van kpn op de glasvezel gezet en kan ik zelf gaan testen met mijn RB5009.
Ik had al een config van Me_dusa voor het Telfort profiel, dus die kan ik ook nog verbouwen en proberen.

Maar liever een direct goede config voor het KPN profiel
Dus voor alle prutsers en mijzelf: Is er niemand die zijn stabiele kpn config (liefst met vlans) wil delen?

Anders ga ik zelf prutsen, ik heb gelukkig een maand twee verbindingen en dus genoeg tijd om het stabiel te krijgen

Om eerlijk te zijn ik heb de rb5009 even in de kast gelegd. Ik heb nu de rb750 draaien met versie 6.49.3 er op en die doet eigenlijk wat het moet doen zonder de kpn error messages

[martinschilder]

GarBaGe schreef op zondag 27 februari 2022 @ 17:45:
Ik heb nu een Ubi EdgeRouter X, maar ben niet zo tevreden.
Wat ie doet, doet ie goed, maar...
Geen nieuwe images / support van Ubi
IPv6 instellingen zijn niet zichtbaar in de GUI
Ubi wil waarschijnlijk graag dat ik overstap op Unifi, maar hiermee lijkt nog minder mogelijk kwa instellingen (bijvoorbeeld DNS kan niet)

Daarom denk ik eraan om "vreemd te gaan" en over te stappen op Mikrotik.
Ik had de Hex op het oog mijn ERX te vervangen.

Ik heb weinig zin in configuratie via CLI of config files
Liever via een GUI.
Niet al te complex...
DHCP, DNS (eigen domein voor lokale netwerk, vaste namen voor machines FQDN), VLAN (kan ik ook VLAN op een poort configureren? Dat kan met ERX niet), firewall, IPv6.
Acme script (via timer 1x per 24 uur) voor automatisch installeren en verversen van Let's encrypt certificaten.
Wellicht een Pihole?

Als ik kijk voor een Hex, welke zijn dan aan te raden? Welke niet?
Ik heb nu 100Mbit internet.
Zelfs als ik over 5 jaar overstap op glasvezel, verwacht ik onder de 1Gbit te blijven kwa internet snelheid.
Mijn lokale netwerk verkeer loopt in principe niet over deze router, omdat de switches dat wel doen.
Alleen internet verkeer.
De ERX schijnt max 800Mbit aan te kunnen. Iets waar ik nog nooit problemen mee heb gehad.

Wat raden jullie aan?
Wat zijn jullie ervaringen?

Nou je moet even de tijd nemen. Het is heel erg wennen op het begin maar zodra je een paar keer gevallen bent wordt het steeds logischer. Beetje net als fietsen
Verder zou ik de rb750 kiezen die is qua prijs ook nog leuk

[Miki]

Sculas schreef op maandag 7 maart 2022 @ 08:40:
@Me_dusa Ah oke, dankjewel!

Zou VLANs (wat zover ik weet nodig is om IPTV werkend te krijgen) een impact maken op throughput? Dit had ik namelijk toen ik ging testen met de EdgeRouter-X. Hij kon met alleen internet 1000/1000 halen, maar zodra ik VLANs had ingesteld voor IPTV ging upload naar de 400 (en CPU usage ging naar 95%, blijkbaar werkt hardware offloading met VLANs niet goed? Is een bekend probleem bij de ER-X.).

Staat hardware offloading wel aan is het eerste wat in mij opkomt? De Edgerouter moet met hardware offloading zonder enige SQM of IDS/IPS makkelijk een Gbit aankunnen. Ditzelfde geldt ook voor de tegenhanger van Mikrotik, de RB750Gr3 die precies dezelfde SOC heeft als de ER-X en dus kwa prestaties nauwelijks afwijkt.

[Sculas]

Miki schreef op maandag 7 maart 2022 @ 16:03:
[...]

Staat hardware offloading wel aan is het eerste wat in mij opkomt? De Edgerouter moet met hardware offloading zonder enige SQM of IDS/IPS makkelijk een Gbit aankunnen. Ditzelfde geldt ook voor de tegenhanger van Mikrotik, de RB750Gr3 die precies dezelfde SOC heeft als de ER-X en dus kwa prestaties nauwelijks afwijkt.

Dit dacht ik dus ook, maar toen ik via de CLI hardware offloading had aangezet kreeg ik het bericht dat hardware offloading al aan stond..? (na dat ik de configuratie van KPN had ingesteld)

[ Voor 4% gewijzigd door Sculas op 07-03-2022 16:07 ]

[CeesBak]

Ik hoop dat iemand hier even op wil reageren. In de meterkast zit een Mikrotik RB750GR3. Op andere plaatsen in huis twee Mikrotik Access Points die via CAPsMAN verbonden zijn met de Mikrotik in de meterkast. Een apart gastnetwerk waar ik voor de gasten "Local Forwarding"en "Client to Client Forwarding" uit heb staan. Verder heb ik in de firewall van IPv4 de volgende regel opgenomen:

code:

/ip firewall filter
add action=accept chain=forward\
    comment="Alles van Gast Netwerk direct naar buiten"\
    out-interface=ether1 src-address=192.168.10.0/24

Nu heeft een apparaat op het gastnetwerk geen enkele kans bij mijn privé netwerk te komen. Als ik een scan doe op een aangesloten apparaat op het gastnetwerk zie ik inderdaad alleen het apparaat zelf en het adres van de gateway. Nu heb ik de volgende vragen:

1) Dit lijkt prima te werken. Is er iets mis mee?
2) Ik merk dat ik op mijn privé netwerk IPv6 volledig aan de praat heb. Echter als ik aangesloten ben op mijn gastnetwerk dan werkt IPv6 in het geheel niet???

[orvintax]

CeesBak schreef op dinsdag 15 maart 2022 @ 09:33:
Ik hoop dat iemand hier even op wil reageren. In de meterkast zit een Mikrotik RB750GR3. Op andere plaatsen in huis twee Mikrotik Access Points die via CAPsMAN verbonden zijn met de Mikrotik in de meterkast. Een apart gastnetwerk waar ik voor de gasten "Local Forwarding"en "Client to Client Forwarding" uit heb staan. Verder heb ik in de firewall van IPv4 de volgende regel opgenomen:

code:

/ip firewall filter
add action=accept chain=forward\
    comment="Alles van Gast Netwerk direct naar buiten"\
    out-interface=ether1 src-address=192.168.10.0/24

Nu heeft een apparaat op het gastnetwerk geen enkele kans bij mijn privé netwerk te komen. Als ik een scan doe op een aangesloten apparaat op het gastnetwerk zie ik inderdaad alleen het apparaat zelf en het adres van de gateway. Nu heb ik de volgende vragen:

1) Dit lijkt prima te werken. Is er iets mis mee?
2) Ik merk dat ik op mijn privé netwerk IPv6 volledig aan de praat heb. Echter als ik aangesloten ben op mijn gastnetwerk dan werkt IPv6 in het geheel niet???

Het ligt een beetje aan jouw andere firewall rules denk ik. Persoonlijk lijkt het me netter (beter?) om jouw gastnetwerk in een VLAN te gooien en dan inmiddels twee drop rules verkeer van en naar jouw prive netwerk te droppen. Het enigste wat deze rule nu doet (zover ik weet) is het toestaan van het verkeer van het gast netwerk (eigenlijk elk IP adres in die range, welk daadwerkelijk netwerk maakt niet uit) naar jouw WAN (?) interface.

[CeesBak]

Ik heb IPv6 aan de praat op mijn prive netwerk op mijn Mikrotik RB750GR3. Kompleet met twee access points en CAPsMAN en IPv6, perfect!
Voor de wifi heb ik een gast netwerk op een aparte Bridge. Bij IPv6 geef je voor een basis adres ::1 de privé bridge aan voor het router IPv6 adres.
Als ik test met het privé netwerk dan werkt IPv6 top.
Als ik test met het gast netwerk dan werkt IPv6 niet.
Een extra adres in de IPv6 pool lukt niet "Pool Exhausted".

Als iemand me een hint wil geven zou ik enorm op prijs stellen.

[Zerobase]

Ik gebruik nu een RB750Gr3 (hex-S) router op een 100/30 VDSL aansluiting. Hoewel mijn configuratie niet meer erg standaard is (ik gebruik oa BGP, OSPF, GRE/IPsec) voldoet de RB750 prima voor de VDSL aansluiting.

Binnenkort volgt de overstap naar KPN glas 1Gbit. KPN maakt gebruik van PPPoE.

Zijn er mensen zijn die de combinatie PPPoE en een RB750Gr3 gebruiken en zoja, wat is de maximale doorvoersnelheid die jullie halen?

PPPoE is single-core bound en als ik zie dat de router het met 100Mbit/s GRE/IPsec al redelijk voor z'n kiezen krijgt is mijn vermoeden dat ik 1Gbit PPPoE wel kan vergeten.

Ben al aan het kijken naar de RB5009, maar ook daar kan ik geen speedtests met PPPoE van vinden. Iemand die ervaring heeft met de RB5009 icm KPN PPPoE?

[Zerobase]

@nero355: Waarschijnlijk verkeerd gezocht, maar inderdaad even teruggescrollt en gevonden

@kaaas: Nu nog een Rb5009 zien te vinden, het ding is overal uitverkocht. En anders tot die tijd 'behelpen' met de RB750Gr3

[Zerobase]

Ik gebruik een Mikrotik RB750Gr3 met de laatste stable software versie (6.49.6) icm een Vigor-130 VDSL modem. In full-bridge ondersteunt de Vigor een maximale MTU van 1500.

Sinds ik overgestapt ben naar PPPoE (migratie van Telfortprofiel naar KPN) heb ik eindelijk de beschikking over IPv6. Het interne netwerk is inmiddels volledig dual-stack. Linux / Windows systemen in het netwerk draaien volledig IPv6 met fall-back naar IPv4 indien nodig.

De MTU van de PPPoE tunnel is 1480. Een mangle rule zorgt verder voor MSS clamping (clamp-to-pmtu) van de PPPoE tunnel. Over een tijdje migreer ik naar glas, dan ben ik hopelijk van de MTU/MRU problemen verlost.

Waar ik nu tegenaan loop is dat draadloze devices in huis (iPad, iPhone, Android) hun IPv6 verbinding 'spontaan' verliezen als deze een tijdje niet gebruikt zijn.

De enige manier om IPv6 weer aan de praat te krijgen is de WiFi verbinding uitzetten/aanzetten. IPv6 werkt dan weer als een speer. Leg ik deze devices een minuutje aan de kant en herlaad dan bijv ipv6.google.com (of een andere IPv6-only site), dan krijg ik geen contact.

Is er iemand die dit gedrag bekend voorkomt?

[Zerobase]

Ik gebruik (nog) een RB750Gr3 met RouterOS versie 6.49.6, dus geen ROSv7. Overweeg wel de overstap naar een RB5009 ivm Gbit glas dat er aan zit te komen, maar ROSv7 is ook weer niet bugvrij.

Omdat ik een work-around heb gevonden heb ik geen contact opgenomen met Mikrotik.

De oplossing is overigens 'simpel': Verhuis de multicast-querier naar een ander apparaat dat wel vlan-aware is..

(Het op de router toevoegen van de betreffende vlan-interfaces aan '/routing pim interface' zou een multicast-querier election op de betreffende vlans moeten forceren, maar dat werkt niet.)

Zo ziet mijn bridge-config er nu uit:

code:

[admin@router] > /interface bridge print
Flags: X - disabled, R - running
 0 R ;;; Local LAN Bridge
     name="br-lan" mtu=auto actual-mtu=1500 l2mtu=1596 arp=enabled
     arp-timeout=auto mac-address=6C:3B:6B:XX:XX:XX protocol-mode=rstp
     fast-forward=yes igmp-snooping=yes multicast-router=temporary-query
     multicast-querier=no startup-query-count=2 last-member-query-count=2
     last-member-interval=1s membership-interval=4m20s querier-interval=4m15s
     query-interval=2m5s query-response-interval=10s
     startup-query-interval=31s250ms igmp-version=2 mld-version=1
     auto-mac=yes ageing-time=5m priority=0x8000 max-message-age=20s
     forward-delay=15s transmit-hold-count=6 vlan-filtering=yes
     ether-type=0x8100 pvid=1 frame-types=admit-all ingress-filtering=no
     dhcp-snooping=no

Ik heb de optie 'multicast-querier' op 'no' gezet omdat die toch niet veel doet (Stuurt alleen maar untagged queries en daar heb je op de vlans niet veel aan).

Ik kan op mijn switch (Netgear GS110TP) per vlan een IGMP-querier instellen. De switch stuurt nu netjes de multicast-queries uit over de juiste vlans en IPv6 blijft werken. Je zou hiervoor ook bijv een RaspberryPi kunnen inzetten (mrouted).

Nadeel is wel: Als ik de switch uitzet dan werkt na een paar minuten ook IPv6 niet meer. Maar aangezien alle devices (ook wifi) aan de betreffende switch hangen maakt dat niet uit.

kaaas schreef op dinsdag 17 mei 2022 @ 09:29:
[...]

Wauw goed gevonden. Das dan weer een van de geneugten van ROSv7 . Weet jij of mikrotik er al mee bezig is?

[Miki]

lier schreef op zaterdag 18 juni 2022 @ 09:19:
Eindelijk vanuit MikroTik een informele aankondiging dat zij ook op de 802.11ax tour gaan:


[...]


Doe mij maar 3x wAP ax (deze verzin ikzelf!)

Een opvolger voor de RB750Gr3 in de vorm van een afgeslankte RB5009 zou ik ook wel toejuichen hoor

[ElCondor]

Vandeweek even een Holy-crap momentje voor mezelf. Heb mijn RB750GL al jaren op ROS6 draaien, naar alle tevredenheid. Maar kwam er laatst achter dat ik de router zonder problemen kon upgraden naar ROS7 Dat had ik helemaal niet door! Ik was al aan het rondkijken naar een nieuw model. De support is echt super op deze dingetjes. Beste investering ooit, wat mij betreft

[tikkietrugjaap]

Goedemorgen,

Na wat wikken en wegen heb ik niet al te lang geleden ook een Mikrotik router (RB750Gr3 / Hex) gekocht om de Experiabox te vervangen. Ik heb al een Ubiquiti EdgeSwitch en 3 AC-Lite's waardoor een EdgeRouter een logische keuze was geweest maar gezien de ontwikkelingen bij Ubi heb ik daar maar van afgezien.

Aanvankelijk had ik netwerkje.com gevonden maar het lijkt erop dat de informatie op die site wat achterhaald is. Gelukkig heb ik onlangs de Github pagina van project 'Eigenrouter' gevonden: https://github.com/Eigenr...tree/main/guides/mikrotik.
Ik gok dat de auteurs van die pagina hier ook wel te vinden zijn, dus hartelijk bedankt!

Na die stappen te hebben gevolg heb ik nog mijn firewall aangevuld met hetgeen Mikrotik zelf aangeeft op https://help.mikrotik.com...lding+Your+First+Firewall. Ook heb ik de nodige zaken uitgezet na het lezen van een site zoals https://www.manitonetwork...mikrotik-router-hardening. Mijn beveiliging lijkt nu redelijk solide in elkaar te steken.

Het enige wat ik nu nog wil doen is:

• VLAN's uitvogelen zodat ik de verschillende zaken van mijn LAN kan scheiden (TV-kastje, Chromecast, Gast-netwerk, etc).
• Port forwarding voor mijn Ubuntu server.
• Wireguard verbinding voor mijn Ubuntu server.
• DNS via zoiets als Pi-hole laten lopen.
• Deze RB750Gr3/Hex is een probeersel. Daarna wil ik de router upgraden naar een zwaarder model zodra ik vind ik dat genoeg kennis/controle heb over RouterOS.

Hieronder mijn export bestand. Ik zou het tof vinden als jullie hem kunnen bekijken en kritiek/tips zouden kunnen geven.

code:

# feb/23/2023 09:28:06 by RouterOS 7.7
# software id = 
#
# model = RB750Gr3
# serial number = 
/interface bridge
add arp=proxy-arp name=local
/interface vlan
add interface=ether1 name=vlan1.4 vlan-id=4
add interface=ether1 name=vlan1.6 vlan-id=6
/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=vlan1.6 \
    keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=ppoe-client user=kpn
/interface list
add comment="ether2 - ether5" name=LAN
add comment="Only ether1" include=static name=WAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
add code=28 name=option28-broadcast value="'192.168.0.255'"
/ip dhcp-server option sets
add name=IPTV options=option60-vendorclass,option28-broadcast
/ip hotspot profile
set [ find default=yes ] html-directory=hotspot
/ip pool
add name=dhcppoolhome ranges=192.168.0.10-192.168.0.254
/ip dhcp-server
add address-pool=dhcppoolhome dhcp-option-set=IPTV interface=local \
    lease-time=8h name=dhcp-home
/port
set 0 name=serial0
/interface bridge port
add bridge=local interface=ether2
add bridge=local interface=ether3
/ip neighbor discovery-settings
set discover-interface-list=none
/interface list member
add interface=ether2 list=LAN
add interface=ether3 list=LAN
add interface=ether4 list=LAN
add interface=ether5 list=LAN
add interface=ether1 list=WAN
/ip address
add address=192.168.0.1/24 interface=local network=192.168.0.0
/ip dhcp-client
add add-default-route=special-classless default-route-distance=210 \
    dhcp-options=option60-vendorclass interface=vlan1.4 use-peer-dns=no \
    use-peer-ntp=no
/ip dhcp-server network
add address=192.168.0.0/24 dns-server=192.168.0.1 domain=home.local gateway=\
    192.168.0.1
/ip dns
set allow-remote-requests=yes servers=1.1.1.1
/ip firewall address-list
add address=0.0.0.0/8 comment=RFC6890 list=not_in_internet
add address=10.0.0.0/8 comment=RFC6890 list=not_in_internet
add address=100.64.0.0/10 comment=RFC6890 list=not_in_internet
add address=127.0.0.0/8 comment=RFC6890 list=not_in_internet
add address=172.16.0.0/12 comment=RFC6890 list=not_in_internet
add address=169.254.0.0/16 comment=RFC6890 list=not_in_internet
add address=192.0.0.0/24 comment=RFC6890 list=not_in_internet
add address=192.0.2.0/24 comment=RFC6890 list=not_in_internet
add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=\
    not_in_internet
add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet
add address=198.18.0.0/15 comment=RFC6890 list=not_in_internet
add address=198.51.100.0/24 comment=RFC6890 list=not_in_internet
add address=203.0.113.0/24 comment=RFC6890 list=not_in_internet
add address=224.0.0.0/4 comment=Multicast list=not_in_internet
add address=240.0.0.0/4 comment=RFC6890 list=not_in_internet
/ip firewall filter
add action=accept chain=input in-interface=ppoe-client protocol=icmp
add action=accept chain=input connection-state=established,related
add action=drop chain=input in-interface=ppoe-client
add action=drop chain=forward comment=\
    "Drop incoming from internet which is not public IP" in-interface=ether1 \
    log=yes log-prefix=!public src-address-list=not_in_internet
add action=drop chain=forward comment="Drop invalid" connection-state=invalid \
    log-prefix=invalid
add action=drop chain=forward comment=\
    "Drop incoming packets that are not NATted" connection-nat-state=!dstnat \
    connection-state=new in-interface=ether1 log=yes log-prefix=!NAT
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ppoe-client
add action=masquerade chain=srcnat comment=IPTV dst-address=213.75.0.0/16 \
    out-interface=vlan1.4
add action=masquerade chain=srcnat comment=IPTV dst-address=217.166.0.0/16 \
    out-interface=vlan1.4
add action=masquerade chain=srcnat comment=IPTV dst-address=10.207.0.0/20 \
    out-interface=vlan1.4
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set sip disabled=yes
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ip ssh
set strong-crypto=yes
/routing igmp-proxy
set quick-leave=yes
/routing igmp-proxy interface
add alternative-subnets=0.0.0.0/0 interface=vlan1.4 upstream=yes
add interface=local
/system clock
set time-zone-name=Europe/Amsterdam
/tool bandwidth-server
set enabled=no
/tool mac-server
set allowed-interface-list=none
/tool mac-server mac-winbox
set allowed-interface-list=LAN
/tool mac-server ping
set enabled=no

[TF0]

Ik ben de laatste tijd (ook) bezig geweest met VPNs:
1. Er is een IPSEC site-to-site tunnel naar een andere locatie en dat werkt
2. Er is een Wireguard interface waar ik verbinding mee kan maken met o.a. mijn telefoon.
3. Ik ben ook begonnen met het maken van een Wireguard interface naar een externe VPN provider (Mullvad), maar die lijkt half te werken.

Nu heb ik nog enkele ideeën om het beter te maken:
1. Ik wil een apparaat van mijn netwerk het internet op laten gaan via de site-to-site VPN tunnel (via IPSEC)
2. Ik wil graag van een ander apparaat via Mullvad laten lopen (via Wireguard)

Ik heb allerlei methodes getest maar kom er niet uit, ik zou hulp goed kunnen gebruiken.

Ik heb onder andere hier gekeken (maar nog veel meer bronnen geraadpleegd):
YouTube: Mullvad - The World's Most Anonymous VPN on MikroTik!
zx9r_mario in "[MikroTik-apparatuur] Ervaringen & Discussie"
https://forum.mikrotik.com/viewtopic.php?t=152303

Er zijn blijkbaar verschillende manieren (VRF, routing table/rule, IPSEC policy etc) maar ik weet niet wat het verschil precies is en er werkt niets in mijn geval.

Details probleem 1:
Ik begrijp dat ik dit moet oplossen met een policy binnen ip/IPSEC.
Client met IP adres 192.168.10.103 moet via de IPSEC tunnel gaan.
Ik ben er al achter gekomen dat je daarvoor moet switchen naar 'unique' ipv 'require' maar er mist nog iets anders.

code:

/ip/ipsec/policy> print
Flags: T - TEMPLATE; A - ACTIVE; * - DEFAULT
Columns: PEER, TUNNEL, SRC-ADDRESS, DST-ADDRESS, PROTOCOL, ACTION, LEVEL, PH2-COUNT
#     PEER    TUNNEL  SRC-ADDRESS        DST-ADDRESS      PROTOCOL  ACTION   LEVEL   PH2-COUNT
0 T *                 ::/0               ::/0             all                                 
1     NAAM  yes     192.168.10.103/32  0.0.0.0/32       all       encrypt  unique          0
2  A  NAAM  yes     192.168.10.0/24    192.168.11.0/24  all       encrypt  unique          1

Waarbij de eerste niet actief wordt ('no phase 2'). Het lijkt mij dat dáár het probleem is en niet zozeer de firewall.

Andere kant van de vpn tunnel heb ik 1 enkele policy gemaakt om van 192.168.11.0/24 naar mijn 192.168.10.0/24 te gaan. Mijns inziens zou dat voldoende moeten zijn, maar waarschijnlijk maak ik een denkfout:

code:

/ip/ipsec/policy> print
Flags: T - TEMPLATE; A - ACTIVE; * - DEFAULT
Columns: PEER, TUNNEL, SRC-ADDRESS, DST-ADDRESS, PROTOCOL, ACTION, LEVEL, PH2-COUN
T
#     PEER  TUNNEL  SRC-ADDRESS      DST-ADDRESS      PROTOCOL  ACTION   LEVEL   P
0 T *               ::/0             ::/0             all                         
1  A  NAAM yes     192.168.11.0/24  192.168.10.0/24  all       encrypt  unique  1

Ik weet niet welke informatie nog meer relevant is om hier in te duiken, dat hoor ik graag!

Probleem 2 begin ik wel over op het moment dat ik probleem 1 opgelost heb, anders wordt het een te grote post.

offtopic:
Ik heb voor IPSEC site-to-site gekozen omdat de MikroTiks daar HW ondersteuning voor hebben (twee keer RB750Gr3).
Om dingen voor mezelf relatief simpel te houden (2 verschillende protocollen voor 2 verschillende doelen) en wegens de goede recensies over Wireguard ben ik daarna begonnen met Wireguard --> dat beviel heel goed met de juiste tutorial en maakt snel verbinding.
Als het blijkt dat de site-to-site met Wireguard (veel) beter te beheren is, dan kan ik uiteraard alles omzetten, maar het gaat me ook om het leren .

[Goof2000]

lier schreef op dinsdag 18 juli 2023 @ 16:39:
Bedoel je 7.11beta5, @Goof2000?

Downgrade is niet heel veel moeilijker (tenzij je ook de wifiwave2 package nodig hebt?):
https://help.mikrotik.com.../RKB/Downgrading+RouterOS

Ja, beta5 bedoel ik.

Bedankt!
Ik kon niet downloaden vanaf met werklaptop. Kijk vanavond of ik naar een oude versie terug kan. Iemand hier had over 2 partities met verschillende versies, dat va ik ook eens uitzoeken.
Ik heb een: uitvoering: MikroTik Routerboard RB750Gr3 - hEX
Verder allemaal Ubiquiti erachter.

[Illidan]

Goof2000 schreef op dinsdag 18 juli 2023 @ 16:46:
[...]


Ja, beta5 bedoel ik.

Bedankt!
Ik kon niet downloaden vanaf met werklaptop. Kijk vanavond of ik naar een oude versie terug kan. Iemand hier had over 2 partities met verschillende versies, dat va ik ook eens uitzoeken.
Ik heb een: uitvoering: MikroTik Routerboard RB750Gr3 - hEX
Verder allemaal Ubiquiti erachter.

Maar waarom zou je downgraden als de meest recente beta5 gewoon stabiel draait bij jou? Als je nog even wacht kun je weer upgraden naar stable 7.11. Zomaar een idee 😅

[Nitroglycerine]

Heeft iemand een werkende configuratie voor het gebruik van een MikroTik Routerboard RB750Gr3 - hEX router achter een Delta sagencom kabelmodem? Ik heb gisteren mijn hEX achter de kabelmodem (welke ik op bridge had gezet) getest. nslookups werkte, netwerk verkeer naar buiten niet. Ook kon ik op de een of andere manier niet meer via de webbrowser bij de configuratie pagina van de router komen, winbox was ook niet stabiel. Omdat de kinderen en vrouwlief begonnen te klagen dat ze al meer dan een half uur geen internet meer hadden (first world problems... ) maar alles teruggezet.

[babbelbox]

Nitroglycerine schreef op donderdag 7 september 2023 @ 12:49:
Heeft iemand een werkende configuratie voor het gebruik van een MikroTik Routerboard RB750Gr3 - hEX router achter een Delta sagencom kabelmodem? Ik heb gisteren mijn hEX achter de kabelmodem (welke ik op bridge had gezet) getest. nslookups werkte, netwerk verkeer naar buiten niet. Ook kon ik op de een of andere manier niet meer via de webbrowser bij de configuratie pagina van de router komen, winbox was ook niet stabiel. Omdat de kinderen en vrouwlief begonnen te klagen dat ze al meer dan een half uur geen internet meer hadden (first world problems... ) maar alles teruggezet.

Zou een redelijk standaard setup moeten kunnen zijn. Modem inderdaad in bridge mode.
DHCP client op de modem connected interface (WAN) van je MikroTik. Zorg er wel voor dat deze interface geen bridge port is.
Voor de snelle check kan je beginnen met een setup zonder firewall filter rules. Wel heb je een masquerade NAT nodig op je WAN interface. Voor interne devices ff een IP address op je bridge (neem even aan dat je resterende poorten en wlan bridged) en DHCP server met juiste gateway en DNS. Als je Mikrotik DNS server voor je interne clients moet zijn, vergeet niet ' allow remote requests" aan te zetten.

[tagican]

Mede Mikrotik gebruiker hiero (nog een mooie ol' school RB750GL). Is het iemand hier gelukt om - los van performance - IKEv2 werkend te krijgen met de Android native client? Ik zit er op dit moment vooral mee te strugglen, zonder echte vooruitgang. De vorige set up was een L2TP/IPSec PSK, die werkte, maar is inmiddels niet meer in te stellen op Android.

[Thralas]

ernstoud schreef op woensdag 13 september 2023 @ 22:06:
Voorlopig gebruik ik voor wat kennis op doen met RouterOS de default configuratie, dus internet (dubbel NAT achter een router) op eth1, PC op eth2 en de SFP zit wel in het slot maar verzorgt dus nog niet de internet verbinding. In de default config is er een bridge tussen eth1 en alle overige poorten.

In de default config zit eth2 t/m rest in een bridge - eth1 is je WAN en is dus routed.

De oplossing van hierboven zou inderdaad moeten werken.

tagican schreef op woensdag 13 september 2023 @ 22:32:
Mede Mikrotik gebruiker hiero (nog een mooie ol' school RB750GL). Is het iemand hier gelukt om - los van performance - IKEv2 werkend te krijgen met de Android native client? Ik zit er op dit moment vooral mee te strugglen, zonder echte vooruitgang.

Zet het loglevel voor IPsec op debug op je MikroTik en wie weet vertelt 'ie je wel waarom het niet werkt. Post daar de relevante stukken ook van als je er dan alsnog niet uitkomt (naast, zoals gezegd, de config).

Of, beter idee: vergeet dat IPsec bestaat en gebruik WireGuard. Houd je ook nog eens tijd over die je anders kwijt bent aan IPsec debuggen.

[Raymond P]

tagican schreef op woensdag 13 september 2023 @ 22:32:
Mede Mikrotik gebruiker hiero (nog een mooie ol' school RB750GL). Is het iemand hier gelukt om - los van performance - IKEv2 werkend te krijgen met de Android native client? Ik zit er op dit moment vooral mee te strugglen, zonder echte vooruitgang. De vorige set up was een L2TP/IPSec PSK, die werkte, maar is inmiddels niet meer in te stellen op Android.

Dat is al een poosje bewust-kapot/bugged/known-issue van de Android native client. Bron moet ik je schuldig blijven, ik heb het achter mij gelaten.
Verder met @Thralas, de non-native wireguard client werkt wel ok, en je kunt vrij makkelijk een button ervoor toevoegen in het pull-down venster.

[EverLast2002]

lier schreef op zaterdag 2 december 2023 @ 19:07:
In MikroTik-land stel je vlan id 1 nooit in. Deze is wel (impliciet) aanwezig.

Ik heb een rb750gr3 die ligt stof te verzamelen in de kast.
Wat dat betekent is dat routeros en ik geen goede combinatie zijn…
Zelfs met openwrt erop was het geen succes.
Teveel configuratie opties, geen idee waar het misgaat.
Ik zag een YouTube video waarin een MikroTik engineer ging uitleggen dat je vlans op twee manieren kon configureren en dat de ene manier juist vertragend zou werken maar deed je het via de andere manier dan was het correct en optimaal.
Hey…. Waarom maakt MikroTik het zo moeilijk. Duizend manieren om iets simpels te realiseren.

[sambaloedjek]

Indrukwekkend:
een goedkope RB750Gr3 met een recente OpenWRT 23.05: L3 hardware offloading in de ASIC blijkt nu, uiteindelijk, toch wel mogelijk, en tnt stabiel met deze cheap-ass router. Vrijwel nul procent CPU met 1/1 Gbps stress tests via KPN (pppoe+vlan6).
Mijn RB5009 is nu gedelegeerd naar switch achter deze mini router.

UPDATE: upload vreet wel veel CPU en gaat dus niet via offloading. Wellicht een PPPOE ding? Gelukkig doen we meer down dan up in onze use-case dus hebben we hier niet zoveel last van.

UPDATE: pppoe default met 1492 en mss clamp heeft het eerdere upload CPU gebruik verholpen. 1/1 Gbps dus; beide offloaded naar ASIC.

[ Voor 33% gewijzigd door sambaloedjek op 05-01-2024 22:30 ]

[EverLast2002]

sambaloedjek schreef op maandag 4 december 2023 @ 21:21:
Indrukwekkend:
een goedkope RB750Gr3 met een recente OpenWRT 23.05: L3 hardware offloading in de ASIC blijkt nu, uiteindelijk, toch wel mogelijk, en tnt stabiel met deze cheap-ass router. Vrijwel nul procent CPU met 1/1 Gbps stress tests via KPN (pppoe+vlan6).
Mijn RB5009 is nu gedelegeerd naar switch achter deze mini router.

Interessant!
Ik heb nog een RB750gr3 liggen, ongebruikt in de doos...
Bijna wilde ik hem op marktplaats gaan zetten

[kaaas]

@sambaloedjek Wacht zit er pppoe hardware offloading in de RB750GR?

[EverLast2002]

lier schreef op woensdag 13 december 2023 @ 19:28:
[...]

Deze tutorial is een must-read voor het gebruik van VLAN:
https://forum.mikrotik.com/viewtopic.php?t=143620


[...]

Ik denk dat elke radio een amplifier heeft. Krijg altijd de kriebels van Wifi en boosten...volstrekt nutteloos. Antennes doen enorm veel, uiteindelijk ben je altijd beperkt door wetgeving voor wat betreft zendvermogen.

Bedankt, ik sla die op in mijn favorieten 👍🏼

Ik vind wel dat er hier en daar mensen elkaar tegenspreken. Bijv over wifi kwaliteit en bereik. De een zegt geweldig en een ander beweert dat MikroTik niet zo krachtig hierin is. Zelfde met switching snelheden.
Na een week veel gelezen en met de ax2 bezig te zijn geweest ben ik wel enthousiast geworden.
Nu heb ik mijn rb750gr3 ook weer uit de doos gehaald. Met routeros 7.12 heeft deze router hardware offloading erbij gekregen. 👍🏼 Was geen hardware tekortkoming maar puur een software kwestie.

[zx9r_mario]

EverLast2002 schreef op woensdag 13 december 2023 @ 20:06:
[...]


Bedankt, ik sla die op in mijn favorieten 👍🏼

Ik vind wel dat er hier en daar mensen elkaar tegenspreken. Bijv over wifi kwaliteit en bereik. De een zegt geweldig en een ander beweert dat MikroTik niet zo krachtig hierin is. Zelfde met switching snelheden.
Na een week veel gelezen en met de ax2 bezig te zijn geweest ben ik wel enthousiast geworden.
Nu heb ik mijn rb750gr3 ook weer uit de doos gehaald. Met routeros 7.12 heeft deze router hardware offloading erbij gekregen. 👍🏼 Was geen hardware tekortkoming maar puur een software kwestie.

Waar is die optie voor hardware offloading te vinden van de RB750GR3?

[mukky]

zx9r_mario schreef op woensdag 13 december 2023 @ 23:33:
[...]


Waar is die optie voor hardware offloading te vinden van de RB750GR3?

Ik dacht dat dat Fasttrack heette en dat het een regel in de firewall was.

[EverLast2002]

zx9r_mario schreef op woensdag 13 december 2023 @ 23:33:
[...]


Waar is die optie voor hardware offloading te vinden van de RB750GR3?

Ik las het in een reply op een forum waarin iemand toelichtte dat er vanaf firmware 7.x de optie hardware offloading is toegevoegd, oa voor de rb750gr3.
Kan zijn dat je de test firmware moet installeren (7.13rc4).
Ik heb de optie nu ook in mijn rb750gr3, bijv in Bridge > Ports.
Ook bij Interfaces zit het er nu bij als ik het goed herinner.

[EverLast2002]

zx9r_mario schreef op woensdag 13 december 2023 @ 23:33:
[...]


Waar is die optie voor hardware offloading te vinden van de RB750GR3?

Dit is de betreffende post/topic hierover.

[mbovenka]

mukky schreef op woensdag 13 december 2023 @ 23:49:
Ik dacht dat dat Fasttrack heette en dat het een regel in de firewall was.

Nee, wat de hEX/RB750Gr3 niet had en nu wel is hardware offloading voor L2 switching. Vroeger moest de CPU de afhandling van VLANs doen, en nu doet de switch chip in de SOC dat.

Fasttrack is een L3/routing dingetje.

[EverLast2002]

Graag wil ik een RB750Gr3 gaan gebruiken als switch in mijn thuisnetwerk.
Hier draait dus RouterOS op.
Nu ben ik aan het nalezen en zoeken op internet en kwam de RB260GS tegen,
die in feite een "echte" switch is, en draait op SwitchOS.

Wat voor wezenlijk verschil zit er tussen deze 2 apparaten en RouterOS/SwitchOS?
Met andere woorden, draait een RB750Gr3 (met RouterOS) net zo goed als pure switch?

[sambaloedjek]

kaaas schreef op dinsdag 5 december 2023 @ 14:14:
@sambaloedjek Wacht zit er pppoe hardware offloading in de RB750GR?

Download stress-test geeft <1% CPU bij 1gbps, dus dat hebben ze (openwrt) goed voor elkaar incl PPPOE. Alleen de upload geeft veel CPU usage en wordt helaas beperkt tot 500Mbps in mijn geval. Niet zeker wat hier de oorzaak van kan zijn (pppoe?).

Wat me wel opvalt bij stress testen is dat OpenWRT geen ramp-up vertoont; volle snelheid direct beschikbaar. Bij RouterOS duurt het meerdere seconden voordat ie die full-speed bereikt. TCP window instelling verschillen?
Openwrt geeft dus wel een snellere response in dagelijks gebruik dan RouterOS. Maar kan een placebo zijn.

[sambaloedjek]

k-janssen schreef op maandag 25 december 2023 @ 09:56:
[...]

Twee hypothesen:
- fragmentering door een te grote mtu in het lan
- encryptie is een stuk intensiever voor de router (mogelijk niet in asic) dan decryptie.

Het was een mtu issue. Bij een wan mtu van 1500 (dus met mss-clamp voor pppoe) vrijwel 0 procent cpu gebruik bij 1Gbps uploads. Blijkbaar kan OpenWRT hardware nat offload op de RB750gr3 niet omgaan met >1500 mtu. Dank voor de tip.

[EmbarrassedBit]

Betwijfel of dit de beste draad is om dit te vragen, maar weet iemand wat de beste manier is om, in een huis met een MikroTik hEX RB750Gr3 als router en DHCP-server, en een RPI 400 als DNS-server, via een bedrade backhaul een drietal WiFi AP's toe te voegen? In het bestaande subnet van de router, met één SSID, hetzelfde wachtwoord en versleutelingsinstellingen, en een seamless handoff tussen de verschillende AP's. Budget 300 Euro.

Ik heb wel eens naar TP-Link spul zitten kijken, maar dat lijkt enkel te werken als een TP-Link-toestel in routermodus ingesteld staat.

Je hoeft me niet de pap in de mond te geven, me vertellen wat voor type setup het is dat ik nodig heb, is ook al genoeg.

[ Voor 11% gewijzigd door EmbarrassedBit op 29-01-2024 02:08 ]

[Illidan]

EmbarrassedBit schreef op zondag 28 januari 2024 @ 22:58:
Betwijfel of dit de beste draad is om dit te vragen, maar weet iemand wat de beste manier is om, in een huis met een MikroTik hEX RB750Gr3 als router en DHCP-server, en een RPI 400 als DNS-server, via een bedrade backhaul een drietal WiFi AP's toe te voegen? In het bestaande subnet van de router, met één SSID, hetzelfde wachtwoord en versleutelingsinstellingen, en een seamless handoff tussen de verschillende AP's. Budget 300 Euro.

Ik heb wel eens naar TP-Link spul zitten kijken, maar dat lijkt enkel te werken als een TP-Link-toestel in routermodus ingesteld staat.

Je hoeft me niet de pap in de mond te geven, me vertellen wat voor type setup het is dat ik nodig heb, is ook al genoeg.

Waarom niet gewoon 3* AP's van MicroTik zelf...? Met een budget van €300 kom je een heel eind daarmee denk ik... 😅

[GarBaGe]

EmbarrassedBit schreef op zondag 28 januari 2024 @ 22:58:
Betwijfel of dit de beste draad is om dit te vragen, maar weet iemand wat de beste manier is om, in een huis met een MikroTik hEX RB750Gr3 als router en DHCP-server, en een RPI 400 als DNS-server, via een bedrade backhaul een drietal WiFi AP's toe te voegen? In het bestaande subnet van de router, met één SSID, hetzelfde wachtwoord en versleutelingsinstellingen, en een seamless handoff tussen de verschillende AP's. Budget 300 Euro.

Ik heb wel eens naar TP-Link spul zitten kijken, maar dat lijkt enkel te werken als een TP-Link-toestel in routermodus ingesteld staat.

Je hoeft me niet de pap in de mond te geven, me vertellen wat voor type setup het is dat ik nodig heb, is ook al genoeg.

Ik gebruik Unifi APs icm een MikroTik router.
Werkt prima.
Unifi heeft de bekende centrale controller, dus makkelijk om alles vanuit 1 punt te configureren.
Ik had de Unifi's voordat ik de MikroTik had. Unifi had geen fatsoenlijke router, dus MikroTik aangeschaft.
Absoluut goede beslissing daar.
De VLANs gedefinieerd op de MikroTik router kunnen feilloos gebruikt worden door de Unifi APs

Echter, 300 euro voor 3 APs is wel wat krap.
Met Wifi 5... oke, maar zeker Wifi 6(E) of 7 zijn doorgaans een stuk duurder en ben je met EUR 100 per AP niet klaar.

[EmbarrassedBit]

nescafe schreef op maandag 29 januari 2024 @ 19:44:
[...]


Dat TP-Link spul werkt prima met fast roaming (802.11k/r?), centraal beheer via de app in access point-modus. Alleen de typische routerdingetjes werken niet als access control en bandwidth control.. zie ook https://www.tp-link.com/us/support/faq/2420/

De situatie achter de MikroTik RB750Gr3 nu: een TP-Link Archer AX53 in AP-modus en een TP-Link RE190 WiFi-repeater (geen AP-modus mogelijk, da's de RE200 en dan enkel 100 Mbit/s maximum). Die tweede gekregen van een onderbuur die 'm in de vuilbak wilde gooien . Ga ik naar de configuratie-pagina, dan zie ik daar dat ik EasyMesh kan aanzetten om zo één SSID te hebben. Maar wil ik hetzelfde doen op de AX53, dan krijg ik de melding dat dit enkel gaat wanneer die is ingesteld in router mode. Vandaar dat ik deze route (haha...) opgegeven heb. I.i.g. de hAP ax2's zijn besteld, dus het wordt weer RouterOS studeren.

[ElCondor]

Geen vraag, wilde alleen delen dat ik gisteravond een avondje heb besteed om de configuratie van mijn oude RB750GL over te zetten naar de nieuw te installeren L009UiGS. Vanavond ga ik de eerste poging doen om 'm te vervangen. De RB750 heeft bijna 12 jaar zijn werk gedaan zonder problemen. Ik denk dat reboots per jaar op een hand te tellen zijn geweest. uiteindelijk nog de upgrade van 6 naar 7 kunnen doen en daarmee WireGuard kunnen gaan gebruiken.

Wat me onlangs echter opviel was dat de webinterface nagenoeg onbereikbaar begon te worden. Dat en het feit dat hij al aardig op leeftijd begon te komen heeft me doen besluiten om een nieuwe aan te schaffen.
Ik was even bevreesd dat de L009 een flinke unit zou zijn om in de meterkast te hangen, totdat ik een review video op YT tegen kwam. Het is geen RB750, maar wel netjes compact. Ik blijf me erover verbazen dat ze het voor die prijs kunnen maken met zo veel functionaliteit er in.
In deze zit al een glas aansluiting, dus ruimte om naar glas over te stappen als ik Ziggo echt zat wordt
Ben benieuwd

Aanvulling 21:30:
Operatie geslaagd, Pro-tip: herstart ook je modem in bridge-mode, als je die nog vóór de MikroTik router hebt hangen. Ik heb meerdere IP adressen en ik vermoed dat het modem de mac table nog bij moest werken. Ik kreeg op het primaire IP adres van mijn verbinding antwoord, maar alle andere IP adressen en een ingestelde sourcenat voor mijn werkstation wilden niet functioneren. Modem rebooten, bam, alles online, jongûh!

[ Voor 17% gewijzigd door ElCondor op 09-04-2024 21:33 ]

[EmbarrassedBit]

Weet iemand een makkelijke manier om de opslag van een RB750Gr3 uit te breiden?
Ben er nooit mee bezig geweest, maar bij de laatste upgrade geraakte hij in een boot loop, vermoedelijk vanwege de honderden adressen en wireguard peers.

Er zijn vast verschillende manieren, maar ik denk aan iets in de aard van steek een oude USB2-stick van een halve gigabyte in de USB-poort en je bent klaar.

[sjorsjuhmaniac]

EmbarrassedBit schreef op donderdag 13 juni 2024 @ 01:05:
Weet iemand een makkelijke manier om de opslag van een RB750Gr3 uit te breiden?
Ben er nooit mee bezig geweest, maar bij de laatste upgrade geraakte hij in een boot loop, vermoedelijk vanwege de honderden adressen en wireguard peers.

Er zijn vast verschillende manieren, maar ik denk aan iets in de aard van steek een oude USB2-stick van een halve gigabyte in de USB-poort en je bent klaar.

Nooit zelf gedaan maar dit zou moeten werken:
Geluid uit en meeklikken vanaf 8:00
YouTube: How To Increase Memory 32 GB Of MikroTik | Routerboard | RB 750 Gr3 ...

[EverLast2002]

vraag:
ik heb een RB750Gr3 geconfigureerd als zijnde een switch (incl vlans).
Nu vroeg ik me af, is het nodig om firewall regels toe te voegen omdat die momenteel ontbreken (leeg).

[EverLast2002]

lier schreef op zaterdag 18 januari 2025 @ 16:41:
De vraag stellen is hem beantwoorden, @EverLast2002.
Uiteraard kan het (alles is mogelijk met MikroTik), denk niet dat het nodig hebt.
Je zou eventueel beheer van deze switch via een VLAN kunnen beperken.

Kijk voor meer info naar: https://forum.mikrotik.com/viewtopic.php?t=143620

Ik vraag dit omdat ik (inmiddels) wat ingewerkt ben met MikroTik,
maar soms nog wat vraagtekens heb in hun denkwijze.

Mijn hoofdrouter (OPNsense) regelt het VLAN verkeer en daarin staan ook firewall regels.
Misschien denk ik te ingewikkeld, maar is mijn RB750Gr3 switch dan (zonder VLAN firewall regels)
ook "op de hoogte van" de regels tussen VLANs ?

[babbelbox]

EverLast2002 schreef op zaterdag 18 januari 2025 @ 18:19:
[...]


Ik vraag dit omdat ik (inmiddels) wat ingewerkt ben met MikroTik,
maar soms nog wat vraagtekens heb in hun denkwijze.

Mijn hoofdrouter (OPNsense) regelt het VLAN verkeer en daarin staan ook firewall regels.
Misschien denk ik te ingewikkeld, maar is mijn RB750Gr3 switch dan (zonder VLAN firewall regels)
ook "op de hoogte van" de regels tussen VLANs ?

Ik zou je MikroTik slechts 1 IP address geven, in je management vlan. Dan valt er voor de MT niets te routeren en heb je ook geen lokale firewall regels nodig.

[Roetzen]

llagendijk schreef op maandag 14 april 2025 @ 17:20:
[...]

gebruik een terminal (ssh of klik op terminal bovenin de web interface). Type dan
/export verbose file=filename en dan download die file (webinterface, files filename.rsc).

Mijn kennis van Linux schiet te kort. Ik heb ooit OpenWrt gedraaid op een wrt zoveel maar dat was 15 jaar geleden en ik heb geen idee hoe ik waar file die ik kennelijk aangemaakt heb gebleven is en hoe ik hem zou kunnen dowloaden. Maar ik heb wel de inhoud van het scherm van de Mikrotik terminal kunnen opvangen. Zie verderop.

Ik zei overigens dat ik niets aan de default instellingen heb veranderd maar dat klopt natuurlijk niet helemaal. Om te beginnen heb ik de firmware opgewaardeerd naar 7.18.2. Verder hen ik VLAN 100 aangemaakt en IPv6 geactiveerd. En geprobeerd een IPv6 pinhole aan te maken voor poort 24554.

Port forwarding zou een probleem op kunnen leveren maar alleen als je zelf wat hebt gewijzigd daar. Maar dat zou uit de export output moeten blijken

Wat voor probleem dan?

Hier is wat ik krijg met export:

code:

[admin@MikroTik] > /export 
# 2025-04-16 16:44:59 by RouterOS 7.18.2
# software id = KDQG-E3VI
#
# model = RB750Gr3
# serial number = HGVXXXXXX
/interface bridge
add admin-mac=F4:1E:57:XX:XX:XX auto-mac=no comment=defconf name=bridge
/interface vlan
add interface=ether1 name=vlan1 vlan-id=100
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=default-dhcp interface=bridge name=defconf
/disk settings
set auto-media-interface=bridge auto-media-sharing=yes auto-smb-sharing=yes
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set wan-interface-list=WAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
add comment="Delta Fiber" interface=vlan1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=192.168.88.0
/ip dhcp-client
add comment=defconf interface=ether1
add comment="IP krijgen op Delta Fiber" default-route-tables=main interface=vlan1
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan type=A
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN
/ip hotspot profile
set [ find default=yes ] html-directory=hotspot
/ipv6 address
add comment="Local LAN" from-pool=Delta interface=bridge
/ipv6 dhcp-client
add add-default-route=yes interface=vlan1 pool-name=Delta pool-prefix-length=56 request=address,prefix
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" dst-port=33434-33534 protocol=udp
add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=fasttrack-connection chain=forward comment="defconf: fasttrack6" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="Allow binkp" dst-port=24554 protocol=tcp
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
[admin@MikroTik] >

[orvintax]

Roetzen schreef op woensdag 16 april 2025 @ 17:38:
[...]

Mijn kennis van Linux schiet te kort. Ik heb ooit OpenWrt gedraaid op een wrt zoveel maar dat was 15 jaar geleden en ik heb geen idee hoe ik waar file die ik kennelijk aangemaakt heb gebleven is en hoe ik hem zou kunnen dowloaden. Maar ik heb wel de inhoud van het scherm van de Mikrotik terminal kunnen opvangen. Zie verderop.

Ik zei overigens dat ik niets aan de default instellingen heb veranderd maar dat klopt natuurlijk niet helemaal. Om te beginnen heb ik de firmware opgewaardeerd naar 7.18.2. Verder hen ik VLAN 100 aangemaakt en IPv6 geactiveerd. En geprobeerd een IPv6 pinhole aan te maken voor poort 24554.

[...]

Wat voor probleem dan?

Hier is wat ik krijg met export:

=== begin ===

[admin@MikroTik] > /export

# 2025-04-16 16:44:59 by RouterOS 7.18.2

# software id = KDQG-E3VI

#

# model = RB750Gr3

# serial number = HGVXXXXXX

/interface bridge

add admin-mac=F4:1E:57:XX:XX:XX auto-mac=no comment=defconf name=bridge

/interface vlan

add interface=ether1 name=vlan1 vlan-id=100

/interface list

add comment=defconf name=WAN

add comment=defconf name=LAN

/ip pool

add name=default-dhcp ranges=192.168.88.10-192.168.88.254

/ip dhcp-server

add address-pool=default-dhcp interface=bridge name=defconf

/disk settings

set auto-media-interface=bridge auto-media-sharing=yes auto-smb-sharing=yes

/interface bridge port

add bridge=bridge comment=defconf interface=ether2

add bridge=bridge comment=defconf interface=ether3

add bridge=bridge comment=defconf interface=ether4

add bridge=bridge comment=defconf interface=ether5

/ip neighbor discovery-settings

set discover-interface-list=LAN

/interface detect-internet

set wan-interface-list=WAN

/interface list member

add comment=defconf interface=bridge list=LAN

add comment=defconf interface=ether1 list=WAN

add comment="Delta Fiber" interface=vlan1 list=WAN

/ip address

add address=192.168.88.1/24 comment=defconf interface=bridge network=192.168.88.0

/ip dhcp-client

add comment=defconf interface=ether1

add comment="IP krijgen op Delta Fiber" default-route-tables=main interface=vlan1

/ip dhcp-server network

add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=192.168.88.1

/ip dns

set allow-remote-requests=yes

/ip dns static

add address=192.168.88.1 comment=defconf name=router.lan type=A

/ip firewall filter

add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked

add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid

add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp

add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1

add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN

add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec

add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes

add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked

add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid

add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN

/ip firewall nat

add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN

/ip hotspot profile

set [ find default=yes ] html-directory=hotspot

/ipv6 address

add comment="Local LAN" from-pool=Delta interface=bridge

/ipv6 dhcp-client

add add-default-route=yes interface=vlan1 pool-name=Delta pool-prefix-length=56 request=address,prefix

/ipv6 firewall address-list

add address=::/128 comment="defconf: unspecified address" list=bad_ipv6

add address=::1/128 comment="defconf: lo" list=bad_ipv6

add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6

add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6

add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6

add address=100::/64 comment="defconf: discard only " list=bad_ipv6

add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6

add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6

add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6

/ipv6 firewall filter

add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked

add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid

add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6

add action=accept chain=input comment="defconf: accept UDP traceroute" dst-port=33434-33534 protocol=udp

add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10

add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp

add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah

add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp

add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec

add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN

add action=fasttrack-connection chain=forward comment="defconf: fasttrack6" connection-state=established,related

add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked

add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid

add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6

add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6

add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6

add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6

add action=accept chain=forward comment="defconf: accept HIP" protocol=139

add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp

add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah

add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp

add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec

add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN

add action=accept chain=forward comment="Allow binkp" dst-port=24554 protocol=tcp

/system clock

set time-zone-name=Europe/Amsterdam

/system note

set show-at-login=no

/tool mac-server

set allowed-interface-list=LAN

/tool mac-server mac-winbox

set allowed-interface-list=LAN

[admin@MikroTik] >


=== einde ===

Gelieve je export in een code block te zetten, dat maakt het stukken leesbaarder.

[DJP!]

Roetzen schreef op woensdag 16 april 2025 @ 17:38:
[...]

Mijn kennis van Linux schiet te kort. Ik heb ooit OpenWrt gedraaid op een wrt zoveel maar dat was 15 jaar geleden en ik heb geen idee hoe ik waar file die ik kennelijk aangemaakt heb gebleven is en hoe ik hem zou kunnen dowloaden. Maar ik heb wel de inhoud van het scherm van de Mikrotik terminal kunnen opvangen. Zie verderop.

Ik zei overigens dat ik niets aan de default instellingen heb veranderd maar dat klopt natuurlijk niet helemaal. Om te beginnen heb ik de firmware opgewaardeerd naar 7.18.2. Verder hen ik VLAN 100 aangemaakt en IPv6 geactiveerd. En geprobeerd een IPv6 pinhole aan te maken voor poort 24554.

[...]

Wat voor probleem dan?

Hier is wat ik krijg met export:

code:

[admin@MikroTik] > /export 
# 2025-04-16 16:44:59 by RouterOS 7.18.2
# software id = KDQG-E3VI
#
# model = RB750Gr3
# serial number = HGVXXXXXX
/interface bridge
add admin-mac=F4:1E:57:XX:XX:XX auto-mac=no comment=defconf name=bridge
/interface vlan
add interface=ether1 name=vlan1 vlan-id=100
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server
add address-pool=default-dhcp interface=bridge name=defconf
/disk settings
set auto-media-interface=bridge auto-media-sharing=yes auto-smb-sharing=yes
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set wan-interface-list=WAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
add comment="Delta Fiber" interface=vlan1 list=WAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=192.168.88.0
/ip dhcp-client
add comment=defconf interface=ether1
add comment="IP krijgen op Delta Fiber" default-route-tables=main interface=vlan1
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan type=A
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN
/ip hotspot profile
set [ find default=yes ] html-directory=hotspot
/ipv6 address
add comment="Local LAN" from-pool=Delta interface=bridge
/ipv6 dhcp-client
add add-default-route=yes interface=vlan1 pool-name=Delta pool-prefix-length=56 request=address,prefix
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" dst-port=33434-33534 protocol=udp
add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=fasttrack-connection chain=forward comment="defconf: fasttrack6" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="Allow binkp" dst-port=24554 protocol=tcp
/system clock
set time-zone-name=Europe/Amsterdam
/system note
set show-at-login=no
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
[admin@MikroTik] >

Heb je niets ingesteld bij IPv6 ND? Waarschijnlijk krijg je namelijk nu wel een IPv6 adres en prefix van Delta alleen zet je deze niet door naar je clients.