Setup van MikroTik RouterBoard met meerdere VLan's en SSID's

[Stampertje-w]

Beste Tweakers,

Enige tijd geleden heb ik MikroTik RouterBoard RB951G-2HND aangeschaft om een draadloze verbinding te kunnen maken met verschillende netwerk(apparaten). Deze apparaten werken binnen specifieke ip-ranges en worden niet verbonden met het internet (een firewall in de router is dus niet nodig). De router wordt on the road als access point gebruikt waarbij de fysieke apparaten van dag op dag wisselen. Betrouwbaarheid van de instellingen is een dingetje. Daarnaast wil ik voorkomen dat ik iedere keer de router in moet om instellingen te wijzigen om het netwerk op te zetten.

Inmiddels ben ik er achter dat ik hiervoor meerdere Vlan's op moet zetten in de router. Helaas houdt hier mijn kennis van netwerken op. Ik heb ervaren dat RouterOS dermate uitgebreid is dat een foutje in een kleine hoek zit en dus wel wat extra hulp kan gebruiken .

De volledige setup ziet er uit als volgt:

1) (Wireless) iPhone/Laptop met een static ip (automatisch zou fijner zijn maar volgens mij kan dit niet anders)
2) (Wired) 1x PC met static ip 192.168.0.xxx, subnet 255.255.255.0
3) (Wired) 2x Node met static ip 2.xxx.xxx.xxx, subnet 255.0.0.0
4) (Wired) 1x Node met static ip 10.xxx.xxx.xxx, subnet 255.0.0.0
5) 1x MikroTik RouterBoard RB951G-2HND (RouterOS)

De router wil ik dus gebruiken om een draadloze verbinding te maken tussen (1) en (2), (1) en (3) of (1) en (4) waarbij apparaten (2, 3, en 4) of direct op de MikroTik worden gestoken of via een bestaand netwerk.

Ik heb een opzet gemaakt van hoe ik denk dat dit zou moeten/kunnen werken. Verdeeld over de vijf ethernetpoorten.

eth1: Vlan1 SSID 1: Netwerk range: IP: 192.168.0.xxx subnet: 255.255.255.0
eth2: Vlan1 SSID 2: Netwerk range: IP: 2.xxx.xxx.xxx subnet: 255.0.0.0
eth3: Vlan2 SSID 2: Netwerk range: IP: 2.xxx.xxx.xxx subnet: 255.0.0.0
eth4: Vlan3 SSID 2: Netwerk range: IP: 10.xxx.xxx.xxx. subnet: 255.0.0.0
eth5: Trunk

Idealiter kan ik zowel eth3 als eth4 via het zelfde SSID bereiken echter weet ik niet of dit fysiek mogelijk is. Zo niet dan zou dit een 3e SSID worden. Op eth1, 2 en 4 worden iedere keer andere apparaten verbonden.

Zouden jullie mij kunnen helpen met de setup van deze router?

Op het forum ben ik al verschillende topic's tegen gekomen met RouterOS en/of Vlan's echter geen enkele met deze specifieke setup. Het is mij tot dus ver nog niet gelukt om de koppeling te maken met mijn wensen en in RouterOS zie ik door de bomen het bos niet meer. Ook zag ik op het internet iets voorbij komen over het volledig op nieuw installeren van de router via Winbox waarbij je vervolgens zelf de benodigde onderdelen installeert. Dit durf ik met mijn huidige kennis helaas nog niet aan.



-Edit:

Op het MikroTik forum had ik al het een en ander gevonden waaronder deze tread. Dit lijkt al redelijk op waar ik naar opzoek ben maar ik mis nog de meerdere SSID's. Daarnaast is de hele codering nog hocus pocus, ik begrijp wat er staat maar ik zou niet weten hoe ik dit moet vertalen naar mijn situatie.

https://forum.mikrotik.com/viewtopic.php?f=13&t=153028

Waar ik concreet naar opzoek ben
De volledige setup van deze router zodat ik een plug&play, stabiel en betrouwbaar netwerk op kan zetten tussen (1) en (2,3, of 4) waarbij de apparaten 2,3 en 4 optioneel al in een netwerk aanwezig zijn (er wordt dan ingeprikt op een (un)managed switch). Schematische overzichten:

Optie 1, Optie 2

Binnen optie 2 gaat het er om dat het AP toegang biedt tot het netwerk, dus niet één specifieke PC of Node aangezien dit er in dat geval vaak meerdere zijn waarmee een connectie moet worden gemaakt.

De concrete vragen die hier uit rollen:
1) Hoe zet ik meerdere SSID's op?
2) Hoe zet ik een Vlan op?
3) Hoe koppel ik een SSID met een Vlan?
4) Kan ik met één SSID meerdere netwerkranges bereiken?
5) Tagged of untagged Vlan/bridge?
6) Is een DHCP-server voor de wireless apparaten mogelijk en geeft dit een stabiele oplossing?

Wat ik hoop te voorkomen met jullie hulp is dat ik eindeloos moet prutsen totdat het werkt maar ik vervolgens geen idee meer heb waarom.

- Mand!

[ Voor 37% gewijzigd door Stampertje-w op 11-11-2019 17:25 . Reden: Extra informatie ]

[Thralas]

Stampertje-w schreef op maandag 11 november 2019 @ 13:02:
1) Hoe zet ik meerdere SSID's op?

Zie Manual:Interface/Wireless#VirtualAP. Geloof echter niet dat je die nodig hebt.

2) Hoe zet ik een Vlan op?

Manual:Interface/Bridge en Manual:Interface/VLAN

Één is layer 2, de andere tbv. routering (layer 3). Belangrijk om het verschil goed te snappen.

Maar of je ze werkelijk nodig hebt weet ik niet (zie onder)

3) Hoe koppel ik een SSID met een Vlan?

Ik neem aan dat je met 'koppel' bedoelt: hoe routeer ik van een AP op m'n MikroTik naar een specifiek VLAN. Het antwoord is flauw: door simpelweg IPs toe te kennen aan enerzijds het VLAN en anderzijds je wireless interface - in afwezigheid van een firewall (defaults wel verwijderen) zal het ding precies doen waar hij naar vernoemd is: routeren.

4) Kan ik met één SSID meerdere netwerkranges bereiken?

Natuurlijk - mits je alles routeert.

5) Tagged of untagged Vlan/bridge?

Niet op poorten richting een van je 'netwerken', tenzij die dat verwachten.

Wat je met de trunk op eth5 bedoelt snap ik echter niet (daar moet je wel taggen natuurlijk).

6) Is een DHCP-server voor de wireless apparaten mogelijk en geeft dit een stabiele oplossing?

Natuurlijk.

Wat ik hoop te voorkomen met jullie hulp is dat ik eindeloos moet prutsen totdat het werkt maar ik vervolgens geen idee meer heb waarom.

Ik denk dat het wel goed is als je zelf iets prutst - vermoed dat er niet veel zin hebben om de hele config voor je uit te tikken, Probeer eens iets, en post concrete vragen op basis van (geprobeerde) config snippets.

Dat gezegd hebbende, je probeert een complex probleem op te lossen, waarvoor er bovendien niet één oplossing bestaat, afhankelijk van de randvoorwaarden, die je niet ontzettend expliciet hebt gemaakt.

Als ik de aanname mag doen dat het voorbeeldje uit je TS van de verdeling over poorten impliceert dat je iedere poort op een vast netwerk wilt gebruiken en je netwerken niet overlappen is het (relatief) simpel: VLANs heb je dan helemaal niet nodig - al snap ik niet wat je met die trunk op poort 5 precies probeert te bereiken - misschien kun je dat toelichten?

• Stel een DHCP client of statisch adres in op iedere poort, afhankelijk van wat het achterliggende netwerk verwacht
• Maak een wireless interface in 'ap bridge' mode aan, met SSID en statisch IP naar keuze
• Stel een DHCP server in op de wireless interface
• Maak een MASQUERADE nat rule aan voor iedere individuele poort, zodat verkeer van je wireless client altijd een IP uit het achterliggende netwerk gebruikt, vanuit het netwerk zelf gezien.
• Voeg eventueel statische routes toe
• Vergeet de firewall niet, tenzij het wenselijk is dat individuele netwerken naar elkaar kunnen routeren..

Probeer dat eens uit te werken, ofzo.

Als je de VLANs wel nodig hebt is het iets complexer: dan heb je een bridge nodig, met daarop alle poorten juist getagged (zie het voorbeeldje in Interface/Bridge waar ik naar link). Vervolgens heb je voor ieder netwerk óók een Interface/VLAN nodig (op die bridge) om dáár bovenstaande mee te herhalen (maar dan met 'interface vlan' overal waar er 'poort' staat)

[ Voor 4% gewijzigd door Thralas op 11-11-2019 21:48 ]

[Stampertje-w]

Super bedankt voor je reactie.

Ik ben niet opzoek naar een voorgekauwd script, dat heb ik wellicht verkeerd verwoord. Ik begrijp het goed niemand het werk voor gaat kauwen. Ik wil graag zelf de AP instellen zodat ik ook begrijp wat er mee gebeurd mocht er in de toekomst toch een probleem verholpen moeten worden .

SSID's
Wat ik ben vergeten te vermelden is dat de wireless verbinding altijd in dezelfde ip-range moet werken als de pc of node waarmee verbonden wordt. Vandaar mijn twijfel of het mogelijk is met één SSID de verschillende apparaten te bereiken, de ene keer moet de iPhone/laptop verbonden zijn met een IP 192.168.0.x en de andere keer met 2.x.x.x of 10.x.x.x.

Enkel de apparaten binnen de zelfde ip-range (2.x.x.x) hoeven met elkaar te kunnen communiceren. Uit jouw antwoord begrijp ik dat ik dan dus alsnog een firewall op moet zetten? Er is geen "dreiging van buitenaf" aangezien de AP dan wel de apparaten niet met internet verbonden zullen zijn.

Trunk
Ik ben enkel tot de trunk poort gekomen door de zoektocht op internet. Daarin werd iedere AP of router met VLAN's voorzien van een trunk poort. Ik was tot zover in de veronderstelling dat dit ondermeer gebruikt wordt om toegang te krijgen tot de instellingen van de AP. Na wat verder zoeken zie ik nu dat dit bedoeld is wanneer meerdere AP's met beide dezelfde VLAN instellingen aan elkaar gehangen worden. Dit zal in mijn situatie niet het geval zijn dus komt deze te vervallen.

Hierdoor heb ik er voor gekozen de indeling iets te wijzigen.

eth1: 192.168.0.x
eth2: 192.168.0.x
eth3: 2.0.0.x
eth4: 2.0.0.x
eth5: 10.0.0.x

In de tussentijd heb ik het volgende gedaan:

3 vlan's aangemaakt vlan1, vlan2, vlan3.

3 bridges aangemaakt, bridge1, bridge 2, bridge 3.

Binnen bridge->Ports, de volgende interfaces aan de drie bridges toegekend:

bridge1: ether1, ether2, vlan 1
bridge2: ether3, ether 4, vlan 2
bridge3: ether 5, vlan 3

Binnen ip->adress list, 3 ip's toegekend aan de drie bridges

bridge1: 192.168.0.1/24 (network 192.168.0.0)
bridge2: 2.0.0.1/8 (network 2.0.0.0)
bridge3: 10.0.0.1/8 (network 10.0.0.0)

Binnen ip->pool, 3 pools aangemaakt

pool1: 192.168.0.1-192.168.0.255
pool2: 2.0.0.1-2.0.0.255
pool3: 10.0.0.1-10.0.0.255

Binnen ip->DHCP Server->DHCP, 3 servers aangemaakt

server1: bridge1, pool1
server2: bridge2, pool2
server3: bridge3, pool3

Binnen ip->DHCP Server->Networks, 3 netwerken aangemaakt

Adress: 192.168.0.0; Gateway: 192.168.0.1; Netmask: 24
Adress: 2.0.0.0; Gateway 2.0.0.1; Netmask: 8
Adress: 10.0.0.0; Gateway 10.0.0.1: Netmask: 8

Zoals het er nu uit ziet klopt het geloof ik. Mijn (wireless) devices krijgen een ip-adres in de juiste range wanneer ze verbonden zijn met vlan1, 2 of 3 of eth1,2,3,4,5. Ook de onderlinge communicatie tussen wireless en wired werkt dus de bridges werken ook.

Nu blijft alleen het volgende over.

Wifi master interface
Door het gebruiken van 3vlan's is de master interface (wlan1) ook actief ook al wordt deze niet gebruikt. Hierdoor zijn er nu 4 wifi netwerken in de lucht en ik kan me voorstellen dat hoe minder hoe beter. De vraag is dus hoe ik het wifi netwerk van de master interface uitschakel zonder de vlan's uit te schakelen.

Firewall/MASQUERADE
De netwerken hoeven onderling (buiten de bridges) niet met elkaar te communiceren. Ik neem aan dat het dan ook beter is dat ze dit niet doen. Is het alsnog nodig om een firewall/masquerade in te stellen zoals je beschrijft? Zonder de bridge is er geen communicatie mogelijk right?

Rest mij enkel nog de vraag of er nog settings zijn in het AP waarmee ik het netwerk kan verbeteren/stabieler maken. Volgensmij werkt het nu in de basic maar zijn er nog een hoop dingen die ik over het hoofd zie van wat er allemaal mogelijk is met dit AP.

[Thralas]

Post eens een export van je huidige config? Ik begrijp niet helemaal hoe je de VLANs hebt ingericht - want zoals je zelf eerst ook concludeert zou je ze niet nodig moeten hebben.

Wat ik ben vergeten te vermelden is dat de wireless verbinding altijd in dezelfde ip-range moet werken als de pc of node waarmee verbonden wordt. Vandaar mijn twijfel of het mogelijk is met één SSID de verschillende apparaten te bereiken,

Dat realiseer je in principe al met NAT op de uitgaande (bedrade) interface (ie. een MASQUERADE rule) - tenminste, als je ervanuit kunt gaan dat je alleen verbinding wilt maken vanaf WiFi naar een vast netwerk.

Als het ook andersom moet werken (bedraad -> WiFi) dan kun je, mits je maar één wireless client hebt met 'vast' adres, een NAT regel de 'andere kant' op maken.

Voor wat betreft de firewall: theoretisch kan iemand van bridge 3 naar 2 worden gerouteerd. Wil je dit absoluut voorkomen, dan zul je moeten firewallen. Hoe realistisch dat is mag je zelf inschatten.

[Stampertje-w]

Geen idee of ik de huidige config op deze manier moet delen maar bij deze.

# jan/02/1970 03:33:13 by RouterOS 6.43.7
# software id = XA71-8D3C
#
# model = 951G-2HnD
# serial number = XXXXXXX
/interface bridge
add name="bridge1"
add name="bridge2"
add name="bridge3"
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n disabled=no frequency=auto \
hide-ssid=yes mode=ap-bridge ssid="AP1" wireless-protocol=\
802.11 wps-mode=disabled
/interface ethernet
set [ find default-name=ether1 ] name="ether1"
set [ find default-name=ether2 ] name="ether2"
set [ find default-name=ether3 ] name="ether3"
set [ find default-name=ether4 ] name="ether4"
set [ find default-name=ether5 ] name="ether5"
/interface wireless
add disabled=no hide-ssid=yes keepalive-frames=disabled mac-address=\
BA:69:F4:9E:32:00 master-interface=wlan1 multicast-buffering=disabled \
name="vlan2" ssid="vlan2" wds-cost-range=0 \
wds-default-cost=0 wps-mode=disabled
add disabled=no hide-ssid=yes keepalive-frames=disabled mac-address=\
BA:69:F4:9E:32:01 master-interface=wlan1 multicast-buffering=disabled \
name="vlan3" ssid="vlan3" wds-cost-range=0 \
wds-default-cost=0 wps-mode=disabled
add disabled=no hide-ssid=yes keepalive-frames=disabled mac-address=\
BA:69:F4:9E:31:FF master-interface=wlan1 multicast-buffering=disabled \
name="vlan1" ssid="vlan1" wds-cost-range=0 \
wds-default-cost=0 wps-mode=disabled
/interface list
add name=WAN
add name=LAN
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk eap-methods="" mode=\
dynamic-keys supplicant-identity=MikroTik wpa2-pre-shared-key=XXXXXXXX
/ip pool
add name="pool1" ranges=192.168.0.1-192.168.0.255
add name="pool2" ranges=2.0.0.1-2.0.0.255
add name="pool3" ranges=10.0.0.1-10.0.0.255
/ip dhcp-server
add address-pool="pool1" interface="bridge1" name=\
"server1"
add address-pool="pool2" disabled=no interface="bridge2" name=\
"server2"
add address-pool="pool3" disabled=no interface="bridge3" name=\
"server3"
/interface bridge port
add bridge="bridge1" interface="ether1"
add bridge="bridge1" interface="ether2"
add bridge="bridge2" interface="ether3"
add bridge="bridge2" interface="ether4"
add bridge="bridge3" interface="ether5"
add bridge="bridge1" interface="vlan1"
add bridge="bridge2" interface="vlan2"
add bridge="bridge3" interface="vlan3"
/interface list member
add interface=wlan1 list=WAN
add list=LAN
/ip address
add address=192.168.0.1/24 interface="bridge1" \
network=192.168.0.0
add address=2.0.0.1/8 interface="bridge2" network=\
2.0.0.0
add address=10.0.0.1/8 interface="bridge3" network=\
10.0.0.0
/ip dhcp-client
add dhcp-options=hostname,clientid disabled=no interface="bridge1"
add dhcp-options=hostname,clientid disabled=no interface="bridge2"
add dhcp-options=hostname,clientid disabled=no interface="bridge3"
/ip dhcp-server network
add address=2.0.0.0/8 gateway=2.0.0.1 netmask=8
add address=10.0.0.0/8 gateway=10.0.0.1 netmask=8
add address=192.168.0.0/24 gateway=192.168.0.1 netmask=24
/tool traffic-monitor
add interface="bridge2" name=tmon1 threshold=0

Firewall
Vanuit jouw beschrijving heb ik geen firewall nodig. Er zitten geen kwaadwilligen op het netwerk aangezien het enkel door mijzelf gebruikt wordt.

NAT
Wat ik nog niet helemaal begrijp is het volgende. Voor een juiste verbinding tussen de wireless en wired apparaten is het een eis dat het wireless apparaat in dezelfde ip-range zit. Ik hoef nooit tegelijkertijd met het wireless apparaat contact te maken met twee verschillende wired apparaten met een verschillend ip.

Daarnaast, stel ik zet een "hoofd wifi" (kan even geen betere naam bedenken) op met een willekeurige ip-range welke niet gelijk is aan dat van een van de wired apparaten dan krijgt mijn wireless device toch nooit een ip-range van een van de wired devices? Mocht dit wel het geval zijn blijft nog de vraag hoe dit dan overgeschakeld zou kunnen/moeten worden om van het ene naar het andere apparaat te gaan.

Dit is een beetje een vage omschrijving maar hopelijk begrijp je mijn gedachtespinsel hierin

[jvanhambelgium]

Wow wat een verhaal, zowaar de gekste use-case die ik de afgelopen jaren gehoord heb ;-)

My 2 cents ;

Firewall -> Het is geen verplichting de firewall iets te laten doen, je kan op de Mikrotik perfect alle segmenten/bridges onderling laten communiceren.
De Masquerade (=specifieke variant van NAT) heb je dan helemaal niet nodig hier indien je wireless-clients al een "correct" IP krijgt doordat hij de corrected SSID kiest voor de toepassing.


NAT -> Dat is een gekke, die "eis" dat het wireless apparaat in dezelfde IP-range zit als het wired van wie komt die ? Is het je applicatie die vb dmv een vorm van broadcasting werkt oid ? Welk soort applicatie ? Industrieel/PLC/ stuff ?? Zeer merkwaardige eis vandaar m'n vraag....
Echter, als dat echt een eis is dan kan je bijna niet anders, ALS je het simpel wil houden, om met meerder SSID's te werken die dan telkens op een andere VLAN gemapped zitten. Je hoeft dan nog maar enkel de juiste SSID te kiezen, je krijgt dan netjes van de DHCP een juiste IP in dezelfde ranges als wired device X of Y en kan jan prima werken.
Er zijn mogelijkheden om met 1 SSID dmv van een achterliggende server (RADIUS) op basis van een bepaalde policy in een bepaalde VLAN te "mappen". Maar vergeet deze setup maar even.

Ja hoe minder SSID's in de lucht hoe beter, maar je moet het ook niet dramatiseren. Ik weet niet hoeveel network-traffic je doet etc maar dat loop wel los.

[Thralas]

Stampertje-w schreef op donderdag 14 november 2019 @ 17:52:
Geen idee of ik de huidige config op deze manier moet delen maar bij deze.

Dat is prima.

Je hebt iets onhandigs gedaan: je netwerkpoorten delen een bridge met je WiFi. Dat maakt het één netwerk (nouja, drie), waardoor de DHCP-server ook het aangesloten netwerk van IP's gaat voorzien. Lijkt me niet wenselijk (en dan heeft firewalling ook geen nut + het is tegenstrijdig met het feit dat je óók een DHCP client hebt).

Handiger is wat ik in m'n eerste post zei, dan routeer je alles, en kun je (dankzij NAT) alle netwerken van één SSID bereiken.

Dus geen bridges, enkel één WiFi-interface waarop je 192.168.0.0/24 uitdeelt en op alle poorten een DHCP-client. Vervolgens zorgt de MASQUERADE-regel (zie onder) ervoor dat je alle netwerken kunt bereiken.

Daarnaast, stel ik zet een "hoofd wifi" (kan even geen betere naam bedenken) op met een willekeurige ip-range welke niet gelijk is aan dat van een van de wired apparaten dan krijgt mijn wireless device toch nooit een ip-range van een van de wired devices? Mocht dit wel het geval zijn blijft nog de vraag hoe dit dan overgeschakeld zou kunnen/moeten worden om van het ene naar het andere apparaat te gaan.

Dat is dus exact wat NAT doet. Je router heeft een IP in dat netwerk (dmv. DHCP), de NAT regel maakt het alsof het verkeer van je WiFi dát IP heeft. Gewoon een MASQUERADE rule op alle interfaces.

Hetzelfde principe als wat je thuisrouter doet (die heeft een publiek IP) voor je LAN-apparaten.

[Stampertje-w]

Excuses voor de wat late reactie. De afgelopen dagen onvoldoende tijd gehad om nog wijzigingen te doen in het systeem.

Het systeem zoals eerder gepost werkt en is in gebruik. Ik ga op een later moment nog proberen of ik het met de tips van @Thralas en @jvanhambelgium kan verbeteren. Daar zal ik dan een update over schrijven.

@jvanhambelgium Het is inderdaad een wat rare user-case. Eentje industrie specifiek. Het gaat om netwerken welke gebruikt worden om showverlichting aan te sturen (theater, festival, etc.).

Voor nu in ieder geval hartelijk dank voor jullie hulp!