Mikrotik - IPTV - VLANS

[pimpom]

Hi,

Na een week puzzelen met mijn Mikrotik Routerboard 951G-2HnD ga ik toch maar eens om wat advies vragen

Ik heb een poging gedaan mijn Routerboard in te zetten als vervanger voor mijn Experiabox van KPN. Via netwerkje.com heb ik zowel internet als IPTV aan de praat gekregen. So far so good. Omdat ik ook mijn LAN opnieuw wilde inrichten, heb ik dat meteen gedaan. Ik heb in mijn Routerboard 4 vlans aangemaakt. 1 voor management, 1 voor publiek WiFi, 1 voor Prive Wifi (hier staan wat poorten open naar management LAN voor oa mijn NAS) en 1 voor mijn IoT spul.

vanuit mijn Routerboard loopt er een trunk naar mijn managed Netgear switch. Op deze Switch zitten mijn TP-Link AP's, die via VLANS verschillende SSID's uitzenden.

In het algemeen loop er tegenaan dat ik soms wat onverwacht gedrag ondervind op mijn netwerk. Soms hapert de verbinding bijv. kortstondig. Ook werken sommige firewall rules anders dan verwacht.

Verder loop ik ook tegen wat dingen aan omdat mijn kennis niet ver genoeg reikt:

- Hw-offloading, dit kan alleen op de "oude" manier (via de switch optie). Als ik echter IGMP snooping inschakel op mijn LAN bridge, kan dit niet meer. mijn IPTV zit op een andere bridge, dus ik weet niet of dit nodig is. Daarnaast vraag ik me af of het performance problemen oplevert?

-
- ik ondervind problemen met het instellen van mijn Nest Hub.
- Ik gebruik SONOS boxen, via de SONOS app werkt, echter spotify connect niet.
- Daarnaast wil ik graag mijn chromecasts, hub en SONOS buiten mijn prive LAN houden. Echter zou ik ze wel willen bedienen vanuit een telefoon die verbonden is met mijn prive VLAN.

Concreet kan ik 2 dingen doen:
1) het gehele VLAN gedeelte door mijn managed switch laten oppakken. En voor elk VLAN een aparte kabel van switch naar Routerboard. Hiermee haal ik veel complexiteit (en eventuele performance issues van de RB) weg.
2) Verder uitzoeken hoe ik de zaken goed kan inrichten op mijn Routerboard.

Wellicht kunnen jullie mij adviseren of in de goede richting sturen? Mijn config staat hieronder. Meer input lever ik graag waar nodig!

code:

# jan/18/2021 17:45:05 by RouterOS 6.48
# software id = AUR3-JSYE
#
# model = 951G-2HnD
# serial number = 557E04ADE149
/interface bridge
add arp=proxy-arp igmp-snooping=yes name=bridge-iptv protocol-mode=none
add arp=proxy-arp name=bridge-vlan protocol-mode=none
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX disabled=no distance=indoors frequency=auto \
    installation=indoor mode=ap-bridge name=wlan_vlan10 ssid=[xxxx] station-roaming=enabled vlan-id=10 vlan-mode=\
    use-tag wireless-protocol=802.11
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp loop-protect=off
/interface vlan
add interface=ether1 name=vlan4 vlan-id=4
add interface=ether1 loop-protect=off name=vlan6 vlan-id=6
add comment="management vlan" interface=bridge-vlan name=vlan10 vlan-id=10
add comment="prive vlan" interface=bridge-vlan name=vlan20 vlan-id=20
add comment="publiek vlan" interface=bridge-vlan name=vlan21 vlan-id=21
add comment="domotica vlan" name=vlan30 vlan-id=30
/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=vlan6 keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=\
    pppoe-client user=[xxxxxxx]
/interface ethernet switch port
set 3 default-vlan-id=20 vlan-header=always-strip vlan-mode=secure
set 4 vlan-header=add-if-missing vlan-mode=secure
set 5 vlan-mode=secure
/interface list
add comment=defconf name=WAN
add name=IPTV
add name=vlans
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa-psk,wpa-eap mode=dynamic-keys name="vlan10 - mngt" supplicant-identity=""
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
add code=28 name=option28-broadcast value="'192.168.1.255'"
/ip dhcp-server option sets
add name=IPTV options=option60-vendorclass,option28-broadcast
/ip dhcp-server
add dhcp-option-set=IPTV disabled=no interface=bridge-iptv name=DHCP_IPTV
/ip pool
add name=pool_vlan10 ranges=192.168.10.50-192.168.10.99
add name=pool_vlan20 ranges=192.168.20.50-192.168.20.99
add name=pool_vlan30 ranges=192.168.30.50-192.168.30.99
add name=pool_vlan21 ranges=192.168.21.50-192.168.21.99
/ip dhcp-server
add address-pool=pool_vlan10 disabled=no interface=vlan10 name=DHCP_vlan10
add address-pool=pool_vlan20 disabled=no interface=vlan20 name=DHCP_vlan20
add address-pool=pool_vlan30 disabled=no interface=vlan30 name=DHCP_vlan30
add address-pool=pool_vlan30 disabled=no name=DHCP_vlan31
add address-pool=pool_vlan21 disabled=no interface=vlan21 name=DHCP_vlan21
/ppp profile
set *0 only-one=yes use-compression=yes use-upnp=no
/routing bgp instance
set default disabled=yes
/interface bridge port
add bridge=bridge-iptv comment="IPTV port" interface=ether2
add bridge=bridge-vlan comment="Wireless accesport VLAN10" interface=wlan_vlan10 multicast-router=disabled pvid=10
add bridge=bridge-vlan comment="Acccesport VLAN 10" interface=ether4 pvid=10
add bridge=bridge-vlan comment="trunk port to SW01" interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=IPTV
/interface ethernet switch vlan
add independent-learning=yes ports=ether4,ether5,switch1-cpu switch=switch1 vlan-id=20
add independent-learning=no ports=ether5,switch1-cpu switch=switch1 vlan-id=10
add independent-learning=no ports=ether5,switch1-cpu switch=switch1 vlan-id=21
/interface list member
add interface=pppoe-client list=WAN
add interface=bridge-iptv list=IPTV
add interface=vlan4 list=IPTV
/ip address
add address=192.168.0.1/24 interface=bridge-iptv network=192.168.0.0
add address=192.168.10.1/24 interface=vlan10 network=192.168.10.0
add address=192.168.20.1/24 interface=vlan20 network=192.168.20.0
add address=192.168.30.1/24 interface=vlan30 network=192.168.30.0
add address=192.168.30.1/24 network=192.168.30.0
add address=192.168.21.1/24 interface=vlan21 network=192.168.21.0
/ip dhcp-client
add comment=defconf disabled=no interface=ether1
add default-route-distance=210 dhcp-options=option60-vendorclass disabled=no interface=vlan4 use-peer-dns=no \
    use-peer-ntp=no
/ip dhcp-server config
set store-leases-disk=15m
/ip dhcp-server lease
add address=192.168.0.2 comment="Decoder woonkamer" dhcp-option-set=IPTV mac-address=00:02:9B:D7:40:BA
/ip dhcp-server network
add address=192.168.0.0/24 dns-server=8.8.8.8 gateway=192.168.0.1
add address=192.168.10.0/24 comment="vlan management" dns-server=192.168.10.1,8.8.8.8,8.8.4.4 domain=mgnt.local \
    gateway=192.168.10.1
add address=192.168.20.0/24 dns-server=8.8.8.8,192.168.20.1,8.8.4.4 gateway=192.168.20.1
add address=192.168.21.0/24 dns-server=192.168.21.1,8.8.8.8,8.8.4.4 gateway=192.168.21.1
add address=192.168.30.0/24 dns-server=192.168.30.1,8.8.8.8,8.8.4.4 domain=domotica.local gateway=192.168.30.1
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d servers=8.8.8.8,8.8.4.4
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall filter
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="WAN -> LAN ICMP" in-interface=pppoe-client protocol=icmp
add action=reject chain=input comment="weiger al het inkomende TCP verkeer op WAN" in-interface=pppoe-client protocol=\
    tcp reject-with=icmp-port-unreachable
add action=reject chain=input comment="weiger al het inkomende UDP verkeer op WAN" in-interface=pppoe-client protocol=\
    udp reject-with=icmp-port-unreachable
add action=fasttrack-connection chain=forward connection-state=established,related
add action=accept chain=forward connection-state=established,related,untracked
add action=accept chain=forward connection-state=new out-interface-list=WAN
add action=accept chain=forward connection-state="" in-interface=vlan4 out-interface=bridge-iptv
add action=accept chain=forward connection-state=new in-interface=vlan10
add action=accept chain=forward connection-state=new dst-address=192.168.10.20 dst-port=5000 in-interface=vlan20 \
    protocol=tcp
add action=drop chain=forward connection-state="" disabled=yes
add action=accept chain=input comment="LAN - INPUT" connection-state=established,related,untracked
add action=accept chain=input in-interface=vlan10
add action=accept chain=input connection-state=new in-interface=vlan4
add action=drop chain=input
/ip firewall nat
add action=masquerade chain=srcnat comment=IPTV dst-address=213.75.112.0/21 out-interface=vlan4
add action=masquerade chain=srcnat comment=IPTV dst-address=217.166.0.0/16 out-interface=vlan4
add action=masquerade chain=srcnat comment="defconf: masquerade" disabled=yes ipsec-policy=out,none out-interface-list=\
    WAN
add action=masquerade chain=srcnat comment="lan naar wan" out-interface-list=WAN src-address=192.168.0.0/24
add action=masquerade chain=srcnat out-interface-list=WAN src-address=192.168.20.0/24
add action=masquerade chain=srcnat out-interface-list=WAN src-address=192.168.10.0/24
add action=masquerade chain=srcnat out-interface-list=WAN src-address=192.168.30.0/24
add action=masquerade chain=srcnat out-interface-list=WAN src-address=192.168.21.0/24
/ip upnp
set show-dummy-rule=no
/ip upnp interfaces
add interface=bridge-iptv type=internal
add interface=pppoe-client type=external
/routing imp-proxy
set quick-leave=yes
/routing igmp-proxy interface
add alternative-subnets=0.0.0.0/0 interface=vlan4 upstream=yes
add interface=bridge-iptv

[nescafe]

Misschien handiger om eerst bridge vlan filtering in te richten en de switch config te clearen. Of verwacht je veel inter-vlan-traffic? Ik verslik me regelmatig in de switch config & tagging en de nieuwe bridge vlan filtering werkt een stuk intuïtiever (echter zonder offloading).

Je definieert dan bridge pvid in bridge port, maakt bridge vlan aan (met optie tagged/untagged) en schakelt uiteindelijk VLAN filtering in op de bridge, doe dit laatste in safe mode en connect bij voorkeur met winbox via mac-adres.

code:

/interface bridge
add arp=proxy-arp igmp-snooping=yes name=bridge-iptv protocol-mode=none
add arp=proxy-arp name=bridge-vlan protocol-mode=none
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp loop-protect=off
/interface vlan
add interface=ether1 loop-protect=off name=vlan6 vlan-id=6

loop-protect mag uit en arp mag op enabled.

Ik zou persoonlijk vlan4 en vlan6 hernoemen naar ether1-vlan4 en ether1-vlan6 voor duidelijker onderscheid lan/wan.

code:

/ip dhcp-server
add address-pool=pool_vlan30 disabled=no name=DHCP_vlan31

Dit is een DHCP-server zonder interface.

Geef je andere servers een lease time van 02:00:00 voor Apple-devices.
Zet tevens de wireless security group timeout op 1h.

code:

/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=vlan6 keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=\
    pppoe-client user=[xxxxxxx]
/ip dhcp-client
add comment=defconf disabled=no interface=ether1

Je hebt nu zowel een pppoe-client op ether1-vlan6 als een dhcp-client op ether1. Tweede kan weg/disabled.

code:

/interface list member
add interface=pppoe-client list=WAN
add interface=bridge-iptv list=IPTV
add interface=vlan4 list=IPTV

Voeg vlan6, vlan4, ether1 toe aan WAN. Hierdoor worden ze (straks) gefirewalled en geNAT.
Bridge-iptv zou ik aan list=LAN toekennen.
vlan10, vlan20 zou ik aan LAN toekennen.
vlan21 en vlan30 zou ik aan (nieuwe list) DMZ toekennen met eigen firewalling (geen cross-vlan over ipv4).

code:

/ip firewall filter
...
/ip firewall nat
...

Met de bijgewerkte interface lists zou ik de firewall vervangen door de default firewall.

De default config vind je door in de terminal /system default-configuration print uit te voeren.

Met als extra regels (elke chain-specifieke sectie plaats je voor de specifieke drops):

code:

/ip firewall filter

[...]

add action=accept chain=input in-interface-list=DMZ
add action=accept chain=input dst-address-type=multicast in-interface-list=\
    IPTV protocol=igmp
add action=accept chain=input in-interface-list=IPTV protocol=udp

[...]

add action=accept chain=forward dst-address=!192.168.0.0/16 in-interface-list=DMZ
add action=accept chain=forward in-interface-list=IPTV protocol=udp

add action=drop chain=forward in-interface-list=DMZ
add action=drop chain=forward in-interface-list=IPTV

[...]

Geen vlan-specifieke en/of iptv/subnet-specifieke filtering en nat nodig.

Of dit iets gaat verbeteren? Geen idee

pimpom schreef op maandag 18 januari 2021 @ 17:49:
- Hw-offloading, dit kan alleen op de "oude" manier (via de switch optie). Als ik echter IGMP snooping inschakel op mijn LAN bridge, kan dit niet meer. mijn IPTV zit op een andere bridge, dus ik weet niet of dit nodig is. Daarnaast vraag ik me af of het performance problemen oplevert?

Staar je niet blind op hw-offloading. Een complexe setup vergt nu eenmaal cpu-power. Volgens mij moet het apparaat makkelijk > 200 Mbps kunnen verwerken zonder acceleration.

- ik ondervind problemen met het instellen van mijn Nest Hub.
- Ik gebruik SONOS boxen, via de SONOS app werkt, echter spotify connect niet.
- Daarnaast wil ik graag mijn chromecasts, hub en SONOS buiten mijn prive LAN houden. Echter zou ik ze wel willen bedienen vanuit een telefoon die verbonden is met mijn prive VLAN.

Voor zover ik weet is dat laatste niet mogelijk. Mogelijk hebben de eerste twee (beperkt omschreven) problemen daarmee te maken?

[ Voor 18% gewijzigd door nescafe op 18-01-2021 18:59 ]

[pimpom]

Wauw,

Enorm bedankt voor je uitgebreide antwoord! Ik ga dit morgen proberen toe te passen en kijken wat de effecten zijn.

Op dit moment 1 vraag. Je schrijft:

vlan21 en vlan30 zou ik aan (nieuwe list) DMZ toekennen met eigen firewalling (geen cross-vlan over ipv4).

Wat bedoel je met eigen firewalling? Eigen regels in firewall filter? Of iets anders?


Fijn ook om te lezen dat ik me niet al te druk moet maken over hw offoading. Er is zoveel info te vinden dat je soms gaat twijfelen ☺️

[nescafe]

De default firewall is gebaseerd op twee interface lists, WAN en LAN. WAN mag niks (muv dstnat) en LAN mag alles. Ik neem aan (..) dat dit niet wenselijk is voor je Guest- en IoT-netwerk. Vandaar het advies om deze in een aparte lijst op te nemen, genoemd DMZ.

De standaard firewall is nog niet voorzien van DMZ-entries. Vandaar dat ik aangeef dat je zelf wat regels toe moet voegen (eigenlijk invoegen), net boven de laatste drop van de betreffende chain (input, forward).

De 'eigen' regels heb ik voorgezet in de sectie eronder (input accept && forward accept dst-address=!192.168.0.0/16) (alleen verkeer naar router en verkeer naar buiten toegestaan).

Het is in dit scenario wel zo dat je vanuit je prive wifi volledige toegang hebt tot je management vlan. Als je dat niet wilt kun je voor die vlans eenzelfde aanpak hanteren ten opzichte van interface lists en firewall-rules.

[ Voor 4% gewijzigd door nescafe op 18-01-2021 20:23 ]

[pimpom]

nescafe schreef op maandag 18 januari 2021 @ 20:16:
De default firewall is gebaseerd op twee interface lists, WAN en LAN. WAN mag niks (muv dstnat) en LAN mag alles. Ik neem aan (..) dat dit niet wenselijk is voor je Guest- en IoT-netwerk. Vandaar het advies om deze in een aparte lijst op te nemen, genoemd DMZ.

De standaard firewall is nog niet voorzien van DMZ-entries. Vandaar dat ik aangeef dat je zelf wat regels toe moet voegen (eigenlijk invoegen), net boven de laatste drop van de betreffende chain (input, forward).

De 'eigen' regels heb ik voorgezet in de sectie eronder (input accept && forward accept dst-address=!192.168.0.0/16) (alleen verkeer naar router en verkeer naar buiten toegestaan).

Het is in dit scenario wel zo dat je vanuit je prive wifi volledige toegang hebt tot je management vlan. Als je dat niet wilt kun je voor die vlans eenzelfde aanpak hanteren ten opzichte van interface lists en firewall-rules.

Helder, thnx!

[Thralas]

Ik heb voor nu weinig MikroTik-inhoudelijks toe te voegen aangezien @nescafe een hoop zinnigs heeft gezegd waarna alles er waarschijnlijk al héél anders uitziet, maar:

nescafe schreef op maandag 18 januari 2021 @ 20:16:
Het is in dit scenario wel zo dat je vanuit je prive wifi volledige toegang hebt tot je management vlan. Als je dat niet wilt kun je voor die vlans eenzelfde aanpak hanteren ten opzichte van interface lists en firewall-rules.

Daar zou ik me niet al te druk over maken. Integendeel, ik tel nu 5 (!) verschillende subnets op een handvol vlans. Vraag jezelf nog even af welk problemen je aan het oplossen bent.

Met een apart gastennetwerk is niet zoveel mis, maar al die extra netwerken introduceren extra complexiteit waar je weinig tot niets aan hebt als je het niet héél nauwkeurig implementeert. Een 'management-vlan' voor je thuisnetwerk vind ik discutabel - en dat is als je het goed inricht.

De aparte bridge voor IPTV kun je ook laten vervallen, want je routeert dat toch (met IGMP proxy).

pimpom schreef op maandag 18 januari 2021 @ 20:05:
Fijn ook om te lezen dat ik me niet al te druk moet maken over hw offoading. Er is zoveel info te vinden dat je soms gaat twijfelen ☺️

Mwah, er is nog wel het één en ander aan impact bij een gebrek aan bridge(!) hardware offloading. Kleine delays zie je al heel snel terug in de vorm van haperende IPTV - bijvoorbeeld als je om de één of andere reden je CPU vol belast (met IPv6 gaat dat als snel omdat dat sowieso niet hardware accelerated is).

Je kunt je bridge in de praktijk toch niet hardware offloaden (want je wilt absoluut snoopen), maar het is wel iets om in het achterhoofd te houden als je last hebt van performanceproblemen..

[pimpom]

Thralas schreef op maandag 18 januari 2021 @ 22:00:
Ik heb voor nu weinig MikroTik-inhoudelijks toe te voegen aangezien @nescafe een hoop zinnigs heeft gezegd waarna alles er waarschijnlijk al héél anders uitziet, maar:


[...]


Daar zou ik me niet al te druk over maken. Integendeel, ik tel nu 5 (!) verschillende subnets op een handvol vlans. Vraag jezelf nog even af welk problemen je aan het oplossen bent.

Met een apart gastennetwerk is niet zoveel mis, maar al die extra netwerken introduceren extra complexiteit waar je weinig tot niets aan hebt als je het niet héél nauwkeurig implementeert. Een 'management-vlan' voor je thuisnetwerk vind ik discutabel - en dat is als je het goed inricht.

De aparte bridge voor IPTV kun je ook laten vervallen, want je routeert dat toch (met IGMP proxy).


[...]


Mwah, er is nog wel het één en ander aan impact bij een gebrek aan bridge(!) hardware offloading. Kleine delays zie je al heel snel terug in de vorm van haperende IPTV - bijvoorbeeld als je om de één of andere reden je CPU vol belast (met IPv6 gaat dat als snel omdat dat sowieso niet hardware accelerated is).

Je kunt je bridge in de praktijk toch niet hardware offloaden (want je wilt absoluut snoopen), maar het is wel iets om in het achterhoofd te houden als je last hebt van performanceproblemen..

toon volledige bericht

Ik snap wat je bedoeld. Het is (of lijkt) ook overkill. En het inrichten vraagt eea. Mijn doel is/was tweeledig;

1) een guest netwerk voor gasten, tablets van kinderen met onbetrouwbare apps, enz wat gescheiden is van m’n interne zaken zoals een NAS ed.
2) een Domotica netwerk waar zaken als camera’s, WiFi thermostaten, lichtschakelaars, Home Assistant, enz. in hangen. Dit wil ik namelijk weer gescheiden hebben van interne zaken EN van WAN.

Vandaar dat ik tot deze opzet ben gekomen. Het management lan en privé lan is eventueel samen te voegen (denk ik?). Of wellicht een Subnet laten delen?

Thnx voor je input!

[pimpom]

Thralas schreef op maandag 18 januari 2021 @ 22:00:
Ik heb voor nu weinig MikroTik-inhoudelijks toe te voegen aangezien @nescafe een hoop zinnigs heeft gezegd waarna alles er waarschijnlijk al héél anders uitziet, maar:


[...]


Daar zou ik me niet al te druk over maken. Integendeel, ik tel nu 5 (!) verschillende subnets op een handvol vlans. Vraag jezelf nog even af welk problemen je aan het oplossen bent.

Met een apart gastennetwerk is niet zoveel mis, maar al die extra netwerken introduceren extra complexiteit waar je weinig tot niets aan hebt als je het niet héél nauwkeurig implementeert. Een 'management-vlan' voor je thuisnetwerk vind ik discutabel - en dat is als je het goed inricht.

De aparte bridge voor IPTV kun je ook laten vervallen, want je routeert dat toch (met IGMP proxy).


[...]


Mwah, er is nog wel het één en ander aan impact bij een gebrek aan bridge(!) hardware offloading. Kleine delays zie je al heel snel terug in de vorm van haperende IPTV - bijvoorbeeld als je om de één of andere reden je CPU vol belast (met IPv6 gaat dat als snel omdat dat sowieso niet hardware accelerated is).

Je kunt je bridge in de praktijk toch niet hardware offloaden (want je wilt absoluut snoopen), maar het is wel iets om in het achterhoofd te houden als je last hebt van performanceproblemen..

toon volledige bericht

Ik heb hier vandaag over na zitten denken. Wat zou wel een goede setup zijn voor mijn situatie? een "gewoon lan" (dus geen VLAN) inc. eigen bridge waar alle rand apparatuur (router, managed switches, IPTV kastje, NAS, enz) in hangt met DHCP en een prive-WiFI en daarnaast dan 2x een VLAN met eigen DHCP op een eigen bridge voor IoT (WiFi) en Gasten WiFi?

Dat reduceert zowel mn aantal VLANs als het aantal subnets. Ik lees wel terug dat meerdere VLANs op een bridge met 1 DHCP server (op de bridge) niet kan. Ik heb dit ook geprobeerd maar krijg het ook niet voor elkaar

Ik hoor graag (nogmaals) jullie input

[Thralas]

pimpom schreef op dinsdag 19 januari 2021 @ 22:27:
Ik heb hier vandaag over na zitten denken. Wat zou wel een goede setup zijn voor mijn situatie? een "gewoon lan" (dus geen VLAN) inc. eigen bridge waar alle rand apparatuur (router, managed switches, IPTV kastje, NAS, enz) in hangt met DHCP en een prive-WiFI en daarnaast dan 2x een VLAN met eigen DHCP op een eigen bridge voor IoT (WiFi) en Gasten WiFi?

Ja, dat lijkt me een prima oplossing, ervan uitgaande dat je IoT wilt firewallen zodat het niet bij het internet kan - anders zie ik de meerwaarde niet.

Dat reduceert zowel mn aantal VLANs als het aantal subnets. Ik lees wel terug dat meerdere VLANs op een bridge met 1 DHCP server (op de bridge) niet kan.

Jawel, dat moet gewoon kunnen. De bridge zelf voor je LAN, daarbovenop twee vlan interfaces voor je gastennetwerk en IoT. Alle drie kunnen een eigen adres/dhcp server hebben.

Daarna zou ik firewallen op interface lists zoals @nescafe al min-of-meer voorstelde. IoT/guest kun je in de lijst 'DMZ' zetten, dan kun je daarna mooi firewallen op WAN/LAN/DMZ.

Als ik me niet vergis heeft MikroTik in de standaardfirewall geen DROP aan het einde van de FORWARD chain, maar dropt het alles-van-WAN-dat-niet-genat-is. Dat zou ik omschrijven door aan het einde van de chain een onvoorwaardelijke DROP te zetten (dus alles zonder regel mag niet), en dan definiëren wat er wel mag (dus: LAN → any, DMZ → WAN en daarnaast alles dat ESTABLISHED/RELATED is).

[Carl]

Thralas schreef op maandag 18 januari 2021 @ 22:00:

Mwah, er is nog wel het één en ander aan impact bij een gebrek aan bridge(!) hardware offloading. Kleine delays zie je al heel snel terug in de vorm van haperende IPTV - bijvoorbeeld als je om de één of andere reden je CPU vol belast (met IPv6 gaat dat als snel omdat dat sowieso niet hardware accelerated is).

Ik ben dan wel heel benieuwd hoe de bridge VLAN config er dan uit zou kunnen zien.
Zelf heb ik nl last dat met de Mikrotik RB2011 IPTV heel af en toe hapert. Vooral als er nog ergens in huis een data-stream loopt. Het is goed te reproduceren, als ik bijvoorbeeld een speedtest doe. Dan hapert IPTV sowieso en gaat de CPU van de RB2011 richting de 100%.

[Thralas]

Carl schreef op dinsdag 1 februari 2022 @ 23:05:
Ik ben dan wel heel benieuwd hoe de bridge VLAN config er dan uit zou kunnen zien.
Zelf heb ik nl last dat met de Mikrotik RB2011 IPTV heel af en toe hapert. Vooral als er nog ergens in huis een data-stream loopt. Het is goed te reproduceren, als ik bijvoorbeeld een speedtest doe. Dan hapert IPTV sowieso en gaat de CPU van de RB2011 richting de 100%.

Ik ben bang dat het niet op te lossen is en je dus betere hardware nodig hebt om het op te kunnen lossen.

Helemaal bridged wordt niet meer ondersteund, terwijl je in een gerouteerde setup altijd de CPU betrekt bij het multicast forwarden (tenminste, dat maak ik op uit het feit dat hij frames begint te droppen bij belasting).

Dat laatste zou weer iets te maken kunnen hebben met snooping (gaat niet in hardware op allesbehalve CRS3XX), maar dat kun je sowieso niet uitzetten zonder tegen andere problemen aan te lopen.

[Carl]

Thralas schreef op woensdag 2 februari 2022 @ 17:38:
[...]
Helemaal bridged wordt niet meer ondersteund,

Ja dat is best jammer, daarmee is het eigenlijk niet goed te doen (voor mij) met een RB2011. Al dacht ik op verschillende fora te lezen dat het allemaal zou werken. Maar wellicht ben ik wat kritischer.


En opzich wel postief dat je het maximale uit een product weet te halen. Was al aan het kijken, na 6 jaar, voor de RB4011 (omdat de RB5009 nog wat bug geeft).