[Mikrotik] en Google Wifi Nest router

[r.hillebrand]

Beste tweakers,

Ik heb de experiabox vervangen door een CRS125 router en geconfigureerd met behulp van netwerkje.com.
IPTV en internet werken zonder de experia box. Provider is KPN.

Nu heb ik een 2-tal wifi routers aangesloten op de CRS125 :
1) Mesh router Velop (3 units) : deze staat in bridge mode dus werkt zonder problemen.
GW : 192.168.10.250 DHCP pool 192.168.10.40 - 192,168.10.99

2) Mesh router Wifi Nest, en deze kan ik niet aangesloten krijgen op de CRS125 en kan niet in bridge gezet worden omdat ik 2 units heb. Hierdoor ontstaat het double nat probleem volgens Google.
GW : 192.168.86.1 DHCP pool : 192.168.86.20 - 192.168.86.250

In de CRS125 heb ik een bridge-local t Vlan 6 en Vlan 4 (Internet KNP, PPPoE client en IPTV)., deze bridge zitten de ethernet poorten waarmee de wifi routers aangesloten zijn.

Hoe krijg ik het nu voor elkaar dat de Wifi router google connect wordt zonder de double Nat probleem.

Mijn gedachte was om een nieuwe bridge te maken : bridge-wifi en deze enkel te koppelen aan de PPPoE client, en samen met 2 dedicated ethernet poort waaraan de clients hangen. En zo dus een bridge-local enkel voor wired en in een bridge voor Wifi verbindingen.

Maar wat ik ook probeer het lukt me niet, wie kan me op de goede weg helpen.

Gr. Roland

[nescafe]

Het koppelen van bridge-wifi aan PPPoE gaat niet werken, met een pppoe-client krijg je MT het public ip; of je moet vlan6 gaan bridgen maar KPN zal geen tweede IP-adres gaan uitreiken op één aansluiting.

Kun je je Nest Wifi niet als meerdere losse (bridged) access points inzetten?

[ Voor 71% gewijzigd door nescafe op 12-01-2021 12:55 ]

[r.hillebrand]

Helaas lukt dat niet want dan verlies je de Mesh functionaliteit, de Nest wifi moet dan nl. in Bridge staan, zelfde als bij de Velop. Het voordeel van de velop is dat deze 3 band is and dus wel in bridge kan met mesh.

Zoiets wil ik voor elkaar krijgen :


IGMP proxy wil ik niet op mijn wifi, wordt daar ook niet gebruikt. De decoders zijn wired connected.

[ Voor 10% gewijzigd door r.hillebrand op 12-01-2021 13:46 ]

[nescafe]

Hmm, als je toch geen IGMP proxy gebruikt is double NAT toch niet zo'n bezwaar? Je zit dan alleen met device discovery (printers, iot) maar je kunt altijd op ip-adres connecten.

[r.hillebrand]

Maar hoe moet ik dit configureren, hoe krijg ik de uitgang van de PPPoE in de bridge-local en in de bridge-wifi.
Dat is mijn probleem. Of moet ik een andere opzet gebruiken zoals een DMZ.

Nu krijg ik problemen met de Iphones en Ipads als ik de Wifi router (google nest) connect aan de bridge-local, laptop en dergelijke werken wel gewoon.

[ Voor 29% gewijzigd door r.hillebrand op 12-01-2021 14:54 ]

[nescafe]

Ah, dat is inderdaad wel vreemd.. mogelijk kan Nest Wifi niet overweg met de multicast-streams hoewel die juist in routed mode netjes tegengehouden zouden moeten worden. Dus ik vraag me af of:

a) double NAT het probleem is (dat geeft namelijk geen problemen ten aanzien van uitgaande verbindingen; je mist L2-connectivity en hebt meer moeite met port-forwarding, verder zou het prima moeten werken)
b) IGMP het probleem is, je multicast-streams zouden namelijk niet zomaar over Wifi gegooid moeten mogen worden in routed mode van de Nest Wifi

Voor jouw gewenste situatie koppel je een ip-adres (in een ander subnet), dhcp-server, dhcp-netwerk en ip-pool aan bridge-wifi en plaats je bridge-wifi in interface list LAN. Daarmee heb je een tweede (routed) segment zonder IGMP-rommel puur voor wifi. Voor de te gebruiken gegevens kijk je naar de huidige config van je eerste lan-segment (/export) en vervangt het subnet, dus bijv. 192.168.89.x ipv 192.168.88.x.

[r.hillebrand]

Ik heb tot zo ver zoiets :

code:

 /interface bridge
add arp=proxy-arp igmp-snooping=no name=bridge-wifi protocol-mode=none

/ip pool
add name=WifiNetwork ranges=192.168.12.1-192.168.12.10

/ip dhcp-server
add address-pool==WifiNetwork disabled=no interface=\
    bridge-wifi lease-time=1h30m name=dhcp-WifiRouters

/ip address
add address=192.168.12.250/24 interface=bridge-wifi network=192.168.12.0

/interface bridge port
add bridge=bridge-Wifi hw=no interface=ether3

Maar hoe koppel ik de PPPoE client er nu aan of is dit al gedaan door de volgende regel (in orginele config) :

code:

/ip firewall filter
add action=masquerade chain=srcnat out-interface=pppoe src-address=\
    192.168.0.0/16 to-addresses=0.0.0.0

[nescafe]

Ik weet niet in hoeverre je de gare config van netwerkje.com hebt overgenomen (proxy-arp?) maar de MT is een router dus zal standaard routeren.. en je NAT rule include ook je nieuwe subnet. Dus het routen moet goed gaan.

De LAN interface list membership was bedoeld om je firewall filter rule (forward/accept) van toepassing te laten zijn, mocht je van de default config zijn afgeweken dan zelf nog even een een forward allow met src-address=192.168.12.0/24 toevoegen boven de finale drop.

Heb je wel een dhcp-network aangemaakt? En waarom zo'n kleine ip-pool?

[r.hillebrand]

Bedankt, ik vind het maar een lastige router om te begrijpen, maar leer steeds bij.

Gisteravond zat ik opeens in het donker (qa wifi), de PPPoE client was slave geworden door acties van mij.
En dat krijg je niet zomaar goed, enkel de door bridge te verwijderen, maar dan heb je geen toegang meer enkel via de kabel. Na restore konden de huisgenoten weer tv kijken.

De config van netwerkje.com heb ik nog wel aangepast, vind jij de config niet goed dan.
En wat bedoel je met dhcp-network : dat is toch de pool of mis ik iets.

De pool is zo klein omdat er maar max 2 devices aan de bridge-wifi komen te zitten, maar kan deze ook /24 maken, of maak ik daar ook een denk fout.

[nescafe]

Het probleem met de config van netwerkje.com is dat de voorkeursconfiguratie van 'een' hobbyist is, en is gebaseerd op een oudere versie van RouterOS. Daar waar de default-config inmiddels aardig is verbeterd, doe je dat teniet door de config van netwerkje.com aan te houden.

Volgende keer de bridge membership verwijderen ipv de hele bridge En met een beetje geluk kun je via MAC-adres verbinding maken, hoewel die tegenwoordig geknoopt is aan LAN interface membership en die heb je daarmee ook ongedaan gemaakt..

Dhcp-network is de configuratie van je dhcp-server; daarin definieer je de belangrijkste dhcp-options: subnet mask, router en DNS.

Zou de pool wel iets groter maken, volgens mij werkt /24 niet (als syntax), maar 192.168.12.100-192.168.12.200 wel.

[ Voor 8% gewijzigd door nescafe op 12-01-2021 16:33 ]

[r.hillebrand]

Bedankt,
Heb je dan ergens een voorbeeld wat wel goed is opgezet.

De dhcp-network was ik inderdaad vergeten.
De config heb ik in de MT geschoten maar zelfde probleem :: op Iphone kan ik geen website openen : krijg : melding deze site kan geen beveiligde verbinding leveren, op een laptop geen probleem. ERR_SSL_PROTOCOL_ERROR.

[nescafe]

Ah kijk.. nee ik heb niet echt een voorbeeld, eigenlijk zou de auteur het zaakje even bij moeten werken. Ik zou alleen de vlan4/vlan6+proxy-achtige zaken overnemen en de rest default laten.

Aangezien je nu hetzelfde gedrag hebt als bij bridge-local, lijkt het me sterk dat dit door a) double NAT en/of b) IGMP wordt veroorzaakt (hoewel je nog steeds double NAT hebt).

Het lijkt meer op een captive portal die niet goed is opgezet. Heb je toevallig guest wifi aangezet op de Nest?

[ Voor 4% gewijzigd door nescafe op 12-01-2021 16:42 ]

[r.hillebrand]

Probleem gevonden, de Wifi Nest router had mijn Iphone geblokeerd.

Ja ik heb Guest aanstaan, zal eens kijken of het daar beter gaat.
Bedankt voor je hulp, ben een stukje verder.
Ik zal nog eens de default config laden, en de Vlan's + proxies overzetten.