Poort isolatie mikrotik naar appartementen

[t link]

Beste medetweakers,

Ik heb meerdere appartementen naar wie ik internet moet leggen. ik heb hier een router switch combi van microtik voor die direct op een fritzbox modem aangesloten gaat zijn. Maar terwijl ik bezig was met uitvogelen hoe ik vlan's goed instel begon ik me af te vragen of dat wel nodig is. van wat ik veel lees is VLAN vooral bedoelt om poorten te bundelen en niet om ze gescheiden te houden van elkaar, of zit ik daarmee ernaast? Ik zat te denken dat een DHCP server op iedere interface genoeg zou zijn, en dan in de firewall de isolatie van de subnets instellen. Zou iemand hier me verder op weg kunnen helpen bij mn keuzes?

[CurlyMo]

Zolang je maar voorkomt dat iemand door handmatig ingestelde ip in een ander ip range toegang krijgt tot het andere netwerk.

Zover ik weet is VLAN echt de meest harde softwarematige scheiding die je kan maken.

[johnkeates]

Als je losse netwerken wil is een VLAN gebruiken een manier om de hoeveelheid hardware die je nodig hebt om die netwerken te realiseren te reduceren.

[Thralas]

t link schreef op woensdag 18 december 2019 @ 21:44:
van wat ik veel lees is VLAN vooral bedoelt om poorten te bundelen en niet om ze gescheiden te houden van elkaar, of zit ik daarmee ernaast?

Er zijn twee belangrijke noties. De eerste is dat een router met interfaces in verschillende vlans precies dat zal doen waar 'ie voor bedoeld is: routeren (laag 3). Dus enkel een vlan is nooit de oplossing.

De tweede is dat je bij MikroTIk inderdaad geen (zichtebare) vlans nodig hebt om poorten op laag 2 van elkaar te scheiden: gewoon niet in dezelfde bridge stoppen.

Onder water gebruikt dat wel vlans (want alles gaat over hetzelfde lijntje van (interne) switch naar CPU), maar daar merk je niets van.

Ik zat te denken dat een DHCP server op iedere interface genoeg zou zijn, en dan in de firewall de isolatie van de subnets instellen. Zou iemand hier me verder op weg kunnen helpen bij mn keuzes?

Dat kan. Schrijf je firewall dan niet zo dat je de poorten expliciet isoleert, maar zet een DROP aan het einde van de chain en sta expliciet toe wat wèl mag: dat is netter en minder foutgevoelig.

Echter, met die oplossing heb je n verschillende subnets en DHCP-servers nodig. Niet heel handig.

Als het goed is kun je ook gewoon alles op één bridge gooien en port isolation aanzetten. Let wel: dat regelt L2, niet L3. Een goede firewall is dus ook nog van belang, inclusief rekening houden met zaken als je DHCP pool (op de CRS kun je een limiet zetten op MAC learning, lijkt me dat dat helpt).

[t link]

Thralas schreef op donderdag 19 december 2019 @ 20:49:
[...]


Er zijn twee belangrijke noties. De eerste is dat een router met interfaces in verschillende vlans precies dat zal doen waar 'ie voor bedoeld is: routeren (laag 3). Dus enkel een vlan is nooit de oplossing.

De tweede is dat je bij MikroTIk inderdaad geen (zichtebare) vlans nodig hebt om poorten op laag 2 van elkaar te scheiden: gewoon niet in dezelfde bridge stoppen.

Onder water gebruikt dat wel vlans (want alles gaat over hetzelfde lijntje van (interne) switch naar CPU), maar daar merk je niets van.


[...]


Dat kan. Schrijf je firewall dan niet zo dat je de poorten expliciet isoleert, maar zet een DROP aan het einde van de chain en sta expliciet toe wat wèl mag: dat is netter en minder foutgevoelig.

Echter, met die oplossing heb je n verschillende subnets en DHCP-servers nodig. Niet heel handig.

Als het goed is kun je ook gewoon alles op één bridge gooien en port isolation aanzetten. Let wel: dat regelt L2, niet L3. Een goede firewall is dus ook nog van belang, inclusief rekening houden met zaken als je DHCP pool (op de CRS kun je een limiet zetten op MAC learning, lijkt me dat dat helpt).

Waarom is verschillende subnets en DHCP-servers niet handig? ik zat er zelf aan te denken om iedere poort subnet 10.10.n.0/24 te geven met 10.10.n.n als gateway. waarbij n het nummer van de poort op de switch is. dat leek mij wel overzichtelijk.
Ik probeer de setup idiot proof te maken, zodat het voor de mensen in hun appartment en hun apparaten is alsof ze aan een normaal consumenten routertje zitten. dan werkt hun chromecast e.d. ook nog gewoon vroolijk met hun telefoon mochten ze hun router in AP mode zetten ofzo. iemand die ik ken zei "gewoon client isolation aanzetten" maar dat leek me echt een halfbakke oplossing.

[DJSmiley]

Lijkt mij een prima idee, elke gebruiker een eigen /24 per poort en een DHCP server per poortje.

(Zo doe ik het ook)

Wel even een firewall rule toevoegen om te voorkomen dat ze onderling bij elkaar komen (Denk niet dat dit wenselijk is)

Ervanuitgaand dat ze alleen internet moeten hebben is 1 rule genoeg om alles te blokkeren wat niet naar internet moet:

add action=drop chain=forward out-interface=!<jewan>

Indivuele rules per subnet is CPU zuipend....

Met queues kun je per gebruiker een limiet instellen. Gaat wel ten koste van fasttracking.


Welke router/switch combi? Veel switches zijn krap kwa CPU power, dus niet echt geschikt voor dit soort geintjes. Mijn persoonlijke voorkeur zou een 4011 zijn als je een stuk of 7-8 huurders hebt, en anders er een CRS achter zetten (En dan een stapel vlans op 1 poort naar de CRS) en de gebruikers op de CRS.


Client isolatie op L2 nivo doe je met een bridge-horizon
( https://wiki.mikrotik.com...ridge_split-horizon_usage )


Mijn voorkeur (en zo zet ik t ook vaker weg) is gewoon een /24 per huurder en met 1 firewall rule alle onderlinge traffic blocken.

Da's makkelijker dan een L2 domein maken welke weer isolated poorten heeft enz.

[ Voor 14% gewijzigd door DJSmiley op 20-12-2019 11:19 ]

[Thralas]

DJSmiley schreef op vrijdag 20 december 2019 @ 11:17:
Lijkt mij een prima idee, elke gebruiker een eigen /24 per poort en een DHCP server per poortje.

Mja, met een handjevol downstream-poorten is het zo gek nog niet inderdaad. Het feit dat TS over een router-switchcombi spreekt deed me de single bridge-oplossing suggereren.

Dan zit je wel met een gedeelde DHCP pool, dus misschien ben ik er toch niet zo van overtuigd als ik in eerste instantie dacht.

Indivuele rules per subnet is CPU zuipend....

Je kunt daar sowieso interface lists voor gebruiken, dan is het één rule. Qua CPU performance zou het niet uit moeten maken, na de eerste packet van een sessie hit je FastTrack en merk je er niets meer van.

Client isolatie op L2 nivo doe je met een bridge-horizon
( https://wiki.mikrotik.com...ridge_split-horizon_usage )

Dat is een beetje een oldschool hack. De moderne manier is Manual:Switch Chip Features#Port Isolation - met een horizon op je bridge is alle hardware acceleration ook weg (al heeft dat hier geen impact).

[t link]

DJSmiley schreef op vrijdag 20 december 2019 @ 11:17:
Lijkt mij een prima idee, elke gebruiker een eigen /24 per poort en een DHCP server per poortje.

(Zo doe ik het ook)

Wel even een firewall rule toevoegen om te voorkomen dat ze onderling bij elkaar komen (Denk niet dat dit wenselijk is)

Ervanuitgaand dat ze alleen internet moeten hebben is 1 rule genoeg om alles te blokkeren wat niet naar internet moet:

add action=drop chain=forward out-interface=!<jewan>

Indivuele rules per subnet is CPU zuipend....

Met queues kun je per gebruiker een limiet instellen. Gaat wel ten koste van fasttracking.


Welke router/switch combi? Veel switches zijn krap kwa CPU power, dus niet echt geschikt voor dit soort geintjes. Mijn persoonlijke voorkeur zou een 4011 zijn als je een stuk of 7-8 huurders hebt, en anders er een CRS achter zetten (En dan een stapel vlans op 1 poort naar de CRS) en de gebruikers op de CRS.


Client isolatie op L2 nivo doe je met een bridge-horizon
( https://wiki.mikrotik.com...ridge_split-horizon_usage )


Mijn voorkeur (en zo zet ik t ook vaker weg) is gewoon een /24 per huurder en met 1 firewall rule alle onderlinge traffic blocken.

Da's makkelijker dan een L2 domein maken welke weer isolated poorten heeft enz.

Dit is de config die ik nu heb, Maar om een of andere reden krijg ik geen IP op interface 2_man. Hopelijk is dit allemaal niet te noob ingesteld hahaha. Bedankt voor de hulp in ieder geval.

code:

# dec/23/2019 14:02:47 by RouterOS 6.46.1
/interface ethernet
set [ find default-name=ether1 ] loop-protect=on name=1_WAN
set [ find default-name=ether2 ] loop-protect=on name=2_Man
set [ find default-name=ether3 ] disabled=yes loop-protect=on name=3
set [ find default-name=ether4 ] disabled=yes name=4
set [ find default-name=ether5 ] disabled=yes loop-protect=on name=5
set [ find default-name=ether6 ] disabled=yes loop-protect=on name=6
set [ find default-name=ether7 ] disabled=yes loop-protect=on name=7
set [ find default-name=ether8 ] disabled=yes loop-protect=on name=8
set [ find default-name=ether9 ] disabled=yes loop-protect=on name=9
set [ find default-name=ether10 ] loop-protect=on name=10_234
set [ find default-name=ether11 ] loop-protect=on name=11_234A
set [ find default-name=ether12 ] loop-protect=on name=12_234B
set [ find default-name=ether13 ] loop-protect=on name=13_236
set [ find default-name=ether14 ] loop-protect=on name=14_236A
set [ find default-name=ether15 ] loop-protect=on name=15_236B
set [ find default-name=ether16 ] loop-protect=on name=16_236C
set [ find default-name=ether17 ] loop-protect=on name=17_236D
set [ find default-name=ether18 ] loop-protect=on name=18_236E
set [ find default-name=ether19 ] loop-protect=on name=19_236F
set [ find default-name=ether20 ] loop-protect=on name=20
set [ find default-name=ether21 ] disabled=yes loop-protect=on name=21
set [ find default-name=ether22 ] disabled=yes loop-protect=on name=22
set [ find default-name=ether23 ] disabled=yes loop-protect=on name=23
set [ find default-name=ether24 ] disabled=yes loop-protect=on name=24
set [ find default-name=sfp1 ] disabled=yes loop-protect=on
/interface list
add name=Appartementen
add name=WAN
add name=Management
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=pool10 ranges=10.10.10.11-10.10.10.254
add name=pool11 ranges=10.10.11.12-10.10.11.254
add name=pool12 ranges=10.10.12.13-10.10.12.254
add name=pool13 ranges=10.10.13.14-10.10.13.254
add name=pool2 ranges=10.10.2.3-10.10.2.254
add name=pool3 ranges=10.10.3.4-10.10.3.254
add name=pool4 ranges=10.10.4.5-10.10.4.254
add name=pool5 ranges=10.10.5.6-10.10.5.254
add name=pool6 ranges=10.10.6.7-10.10.6.254
add name=pool7 ranges=10.10.7.8-10.10.7.254
add name=pool8 ranges=10.10.8.9-10.10.8.254
add name=pool9 ranges=10.10.9.10-10.10.9.254
add name=pool14 ranges=10.10.14.15-10.10.14.254
add name=pool15 ranges=10.10.15.16-10.10.15.254
add name=pool16 ranges=10.10.16.17-10.10.16.254
add name=pool17 ranges=10.10.17.18-10.10.17.254
add name=pool18 ranges=10.10.18.19-10.10.18.254
add name=pool19 ranges=10.10.19.20-10.10.19.254
add name=pool20 ranges=10.10.20.21-10.10.20.254
add name=pool21 ranges=10.10.21.22-10.10.21.254
add name=pool22 ranges=10.10.22.23-10.10.22.254
add name=pool23 ranges=10.10.23.24-10.10.23.254
add name=pool24 ranges=10.10.24.25-10.10.24.254
/ip dhcp-server
add address-pool=pool10 bootp-support=dynamic disabled=no interface=10_234 \
    name=dhcp10
add address-pool=pool11 bootp-support=dynamic disabled=no interface=11_234A \
    name=dhcp11
add address-pool=pool12 bootp-support=dynamic disabled=no interface=12_234B \
    name=dhcp12
add address-pool=pool13 bootp-support=dynamic disabled=no interface=13_236 \
    name=dhcp13
add address-pool=pool14 bootp-support=dynamic disabled=no interface=14_236A \
    name=dhcp14
add address-pool=pool15 bootp-support=dynamic disabled=no interface=15_236B \
    name=dhcp15
add address-pool=pool16 bootp-support=dynamic disabled=no interface=16_236C \
    name=dhcp16
add address-pool=pool17 bootp-support=dynamic disabled=no interface=17_236D \
    name=dhcp17
add address-pool=pool18 bootp-support=dynamic disabled=no interface=18_236E \
    name=dhcp18
add address-pool=pool19 bootp-support=dynamic disabled=no interface=19_236F \
    name=dhcp19
add address-pool=pool20 bootp-support=dynamic disabled=no interface=20 name=\
    dhcp20
add address-pool=pool2 bootp-support=dynamic disabled=no interface=2_Man name=\
    dhcp2
/ip neighbor discovery-settings
set discover-interface-list=all
/interface list member
add interface=10_234 list=Appartementen
add interface=11_234A list=Appartementen
add interface=12_234B list=Appartementen
add interface=13_236 list=Appartementen
add interface=14_236A list=Appartementen
add interface=15_236B list=Appartementen
add interface=16_236C list=Appartementen
add interface=17_236D list=Appartementen
add interface=18_236E list=Appartementen
add interface=19_236F list=Appartementen
add interface=20 list=Appartementen
add interface=21 list=Appartementen
add interface=22 list=Appartementen
add interface=23 list=Appartementen
add interface=24 list=Appartementen
add interface=1_WAN list=WAN
add interface=2_Man list=Management
/ip address
add address=10.10.10.0/24 interface=10_234 network=10.10.10.0
add address=10.10.11.0/24 interface=11_234A network=10.10.11.0
add address=10.10.12.0/24 interface=12_234B network=10.10.12.0
add address=10.10.13.0/24 interface=13_236 network=10.10.13.0
add address=10.10.14.0/24 interface=14_236A network=10.10.14.0
add address=10.10.15.0/24 interface=15_236B network=10.10.15.0
add address=10.10.16.0/24 interface=16_236C network=10.10.16.0
add address=10.10.17.0/24 interface=17_236D network=10.10.17.0
add address=10.10.18.0/24 interface=18_236E network=10.10.18.0
add address=10.10.19.0/24 interface=19_236F network=10.10.19.0
add address=10.10.20.0/24 interface=20 network=10.10.20.0
add address=10.10.21.0/24 interface=21 network=10.10.21.0
add address=10.10.22.0/24 interface=22 network=10.10.22.0
add address=10.10.23.0/24 interface=23 network=10.10.23.0
add address=10.10.24.0/24 interface=24 network=10.10.24.0
/ip dhcp-client
add disabled=no interface=1_WAN
/ip dhcp-server alert
add disabled=no interface=10_234 valid-server=CC:2D:E0:8E:78:A5
add disabled=no interface=11_234A valid-server=CC:2D:E0:8E:78:A6
add disabled=no interface=12_234B valid-server=CC:2D:E0:8E:78:A7
add disabled=no interface=13_236 valid-server=CC:2D:E0:8E:78:A8
add disabled=no interface=14_236A valid-server=CC:2D:E0:8E:78:A9
add disabled=no interface=15_236B valid-server=CC:2D:E0:8E:78:AA
add disabled=no interface=16_236C valid-server=CC:2D:E0:8E:78:AB
add disabled=no interface=17_236D valid-server=CC:2D:E0:8E:78:AC
add disabled=no interface=18_236E valid-server=CC:2D:E0:8E:78:AD
add disabled=no interface=19_236F valid-server=CC:2D:E0:8E:78:AE
add disabled=no interface=20 valid-server=CC:2D:E0:8E:78:AF
/ip dhcp-server network
add address=10.10.2.0/24 dns-server=10.10.2.2 gateway=10.10.2.2
add address=10.10.10.0/24 gateway=10.10.10.10
add address=10.10.11.0/24 gateway=10.10.11.11
add address=10.10.12.0/24 gateway=10.10.12.12
add address=10.10.13.0/24 gateway=10.10.13.13
add address=10.10.14.0/24 gateway=10.10.14.14
add address=10.10.15.0/24 gateway=10.10.15.15
add address=10.10.16.0/24 gateway=10.10.16.16
add address=10.10.17.0/24 gateway=10.10.17.17
add address=10.10.18.0/24 gateway=10.10.18.18
add address=10.10.19.0/24 gateway=10.10.19.19
add address=10.10.20.0/24 gateway=10.10.20.20
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/lcd
set backlight-timeout=never default-screen=informative-slideshow
/lcd interface
set "1_WAN" timeout=1s
set "2_Man" timeout=1s
set "4" timeout=1s
set "5" timeout=1s
set "6" timeout=1s
set "7" timeout=1s
set "8" timeout=1s
set "9" timeout=1s
set "10_234" timeout=1s
set "11_234A" timeout=1s
set "12_234B" timeout=1s
set "13_236" timeout=1s
set "14_236A" timeout=1s
set "15_236B" timeout=1s
set "16_236C" timeout=1s
set "17_236D" timeout=1s
set "18_236E" timeout=1s
set "19_236F" timeout=1s
set "21" timeout=1s
set "22" timeout=1s
set "23" timeout=1s
set "24" timeout=1s
set sfp1 timeout=1s
/lcd screen
set 0 timeout=1s
set 1 timeout=1s
set 2 timeout=1s
set 3 timeout=1s
set 4 timeout=1s
set 5 timeout=1s
/system clock
set time-zone-name=Europe/Amsterdam

[Thralas]

Juist, zie hier het nadeel van méér dan een handjevol interfaces en per-interface networks: je bent het overzicht zo kwijt: je helemaal geen IP aan 2_man toegekend.

Verder gebruik je het network address (.0) als adres voor je router op alle interfaces, dat gaat ook niet werken. Eentje opschuiven (.1). De gateway die je DHCP-server pusht lijkt ook arbitrair gekozen: dat zou het adres van de router moeten zijn.

Weet je zéker dat je ISP wilt spelen?

[t link]

Thralas schreef op maandag 23 december 2019 @ 18:36:
Juist, zie hier het nadeel van méér dan een handjevol interfaces en per-interface networks: je bent het overzicht zo kwijt: je helemaal geen IP aan 2_man toegekend.

Ah je hebt gelijk daarover idd! ik mis

code:

/ip adress add adress=10.10.2.0/24 interface=2_man network=10.10.2.0

toch?

Verder gebruik je het network address (.0) als adres voor je router op alle interfaces, dat gaat ook niet werken. Eentje opschuiven (.1). De gateway die je DHCP-server pusht lijkt ook arbitrair gekozen: dat zou het adres van de router moeten zijn.

hmm geen idee waarom hij dat heeft gedaan, heb alles ingesteld via winbox want dat is gewoon een stuk overzichtelijker. en de gateway kan je negeren, die had ik toegevoegt om te kijken of dat het oploste maar dat was niet zo . maar thanks voor het antwoord ik ga het morgen meteen proberen!

En ja ik wil nogsteeds voor ISP spelen haha, je moet het op een manier leren toch? of denk je dat ik echt dingen doe die mn pet ver te boven gaan en dat het me nooit gaat lukken? dan moet ik namelijk even iemand anders inschakelen. t is geen probleem als t n paar weken duurt en vindt t leuk om t uit te vogelen.

[Thralas]

t link schreef op maandag 23 december 2019 @ 20:37:
[...]

Ah je hebt gelijk daarover idd! ik mis

code:

/ip adress add adress=10.10.2.0/24 interface=2_man network=10.10.2.0

Zo gebruik je nog steeds het network address van de reeks. Ik zou .1 gebruiken.

En ja ik wil nogsteeds voor ISP spelen haha, je moet het op een manier leren toch?
of denk je dat ik echt dingen doe die mn pet ver te boven gaan en dat het me nooit gaat lukken? dan moet ik namelijk even iemand anders inschakelen. t is geen probleem als t n paar weken duurt en vindt t leuk om t uit te vogelen.

Dat het initiëel gaat lukken geloof ik wel, maar als het eruitligt moet je ook snel en efficient kunnen debuggen..

[t link]

Thralas schreef op maandag 23 december 2019 @ 21:52:
[...]


Zo gebruik je nog steeds het network address van de reeks. Ik zou .1 gebruiken.


[...]


Dat het initiëel gaat lukken geloof ik wel, maar als het eruitligt moet je ook snel en efficient kunnen debuggen..

Ik kan het netwerk niet aanpassen naar .1 omdat dat geen geldige instelling is. routerOS veranderd dat automatisch terug naar .0 . De wan autoconfigureert ook naar .0 dus het lijkt me dat dit gewoon kloppende instellingen zijn.

[ Voor 9% gewijzigd door t link op 24-12-2019 09:43 ]

[DJSmiley]

t link schreef op dinsdag 24 december 2019 @ 09:42:
[...]

Ik kan het netwerk niet aanpassen naar .1 omdat dat geen geldige instelling is. routerOS veranderd dat automatisch terug naar .0 . De wan autoconfigureert ook naar .0 dus het lijkt me dat dit gewoon kloppende instellingen zijn.

Een /1 netwerk kan idd niet, je moet het IP wijzigen, dus niet het netwerk

Dus

code:

/ip adress add adress=10.10.2.1/24 interface=2_man network=10.10.2.0

Maar eens met @Thralas: Dit moet je niet willen.

Zijn al die appartementen je eigen hobbyprojectje en als het stuk is boeit het niet? Zo klinkt het namelijk niet.

Als je de basiskennis al mist dan is zo'n project gedoemd om te mislukken. Mensen gaan als je pech hebt maar een eigen abbo nemen, jij stop er tijd en kosten in die nooit terugverdiend worden, en de ervaring met jouw is 'geprobeerd maar wat een amateur'.

Doe het of goed (weet wat je wegzet en snap het), of zorg voor een partij die het voor je regelt en je ondersteunt, of doe het niet.