MikroTik über LBS steuern | Edomi

[Janncsi]

Ihr könnt keine stable nutzen, sondern ihr müsst auf den release candidat upgraden, danach habt ihr alles, was ihr braucht.

Wenn man updatet, macht er automatisch aus allen master-slave-Zuordnungen je eine bridge. Und es läuft wirklich auf dem Switch-Chip, ganz klasse Sache!

Ich musste aber erst einmal wieder zurück auf die stable mit meinem Backup. Leider funktionierte dieser entstandene Bridge-WirrWarr nicht mehr nach aussen, sprich mein Intranet lief weiter wie gehabt, inkl. aller Clients und DHCP-Server, aber ich kam nicht mehr ins Internet. Per "ping www.google.de" direkt aus einem Terminal in winbox konnte ich dagegen pingen, was mir zeigt, dass er die Namensauflösung sauber hinbekommt.

Muss Mal schauen, wo da der Hase im Pfeffer liegt...

[saegefisch]

Janncsi : Du meinst den Hinweis im Wiki ... das liest sich so, als wenn ich mir künftig meine - an sich wohl valide - Frage sparen kann und in der Konfiguration auf Layer 3 (Routing/Bridge) das RouterOS selber die Optimierung auf Layer 2 vornimmt und Aufgaben in die Switch-HW verschiebt, richtig? Dabei verzichtet man künftig auf Master und löst es ausschließlich über bridges, damit das RouterOS dies erkennen und umsetzen kann. Das wär' ja cool und wäre tatsächlich sehr vereinfachend und dennoch effizient swtichend. Oder überwerte ich das nach Deiner Interpretaion/Test?

Es sieht so aus, dass nach dem Update ich die bridges aber neu anlegen muss, damit das auch zum Tragen kommt, "H = hw-offfload" wird mir noch nicht angezeigt. Gehe da jetzt mal ran... --> Danke für Deinen Hinweis!

Zur Info: Im Changelog steht noch dazu - damit man nicht nach neuen Optionen in in WinBox sucht...
!) switch - "master-port" conversion into a bridge with hardware offload "hw" option (undocumented, CLI only);
!) switch - CRS3xx switch VLAN configuration integrated within bridge VLAN configuration with hw-offload;

coliflower/Dariusz: Danke, das bringt mir auch Licht in meine Dunkelheit zum Thema. Ich werde erst einmal das obige versuchen und dann darauf das Deinige für die Verbindung zu den hAP umsetzen. Erfolg mit dem MirkoTik ist auf jeden Fall ein Weg, keine Moment... - aber dann, ja dann vermutlich auch sehr schön nachhaltig...

Marha : Melde mich, wenn ich es am laufen habe.

[Marha]

Ich bin, wie schon weiter oben erwähnt, auch noch in der Einarbeitung mit MikroTik. Ich habe die Switch-Funktion am Laufen (glaube ich jedenfalls). Hat ein wenig gedauert, bis es lief. Habe leider keinen Vergleich zur Softwarelösung.
Ich habe in meinem RB2011 dazu erstmal den Switch-Mode aktiviert und die Port 2-5 dem Port1 (als Masterport definiert) zugewiesen. Anschließend habe ich VLANs erstellt, die an den Masterport des Switch (Port1) gebunden sind. Auf jedem VLAN läuft ein DHCP-Server (oder eben auf der entsprechenden Bridge, in der das VLAN hängt) mit einem eigenen Netz. Im Switch habe ich dann die VLANs angelegt, die auf den Switch geleitet werden sollen. Anschließend jeden Port konfiguriert, auf welches VLAN er reagieren und ob an diesem Port ein tagging durchgeführt werden soll. Ich hänge mal zwei Bilder an, vielleicht hilft das etwas. Was auch vielleicht noch wichtig ist, im SwitchMode agiert nicht der Masterport mit der CPU sondern der switch1_cpu. Falls es jemand so ausprobiert, wie beschrieben, wäre eine Rückmeldung nicht schlecht.

[Janncsi]

Nettes Feature ist mir gerade vor die Augen getreten...

Auf 6.40 updaten und ihr müsst keine master-port Konfiguration mehr machen. Eine Bridge kann nun angelegt werden und einfach hw-offload mit aktiviert werden, dadurch wird automatisch der Switch-Chip genutzt....macht die Konfiguration sicher einfacher....

Werde das gleich Mal testen...

[coliflower]

H
ier noch ein paar Bilder:

Bildschirmfoto 2017-11-19 um 01.57.36.png

Bildschirmfoto 2017-11-19 um 01.57.45.png

[coliflower]

=> Kurz gesagt: Wie bekomme ich die hAP an einem vom RB3011 getagged Port an ihren eth1 zum Laufen?

Wie schon erwähnt, habe ich eine andere HW-Lösung aber wenn es "nur" um die APs geht, dann ja, du brauchst zwischen einem Switch/Router und dem hAP (der ist wohl VLAN-fähig) einen "Cisco"-Trunk, dh., der WLAN-Chip am hAP wird via VLAN1-untagged "versorgt" und all die vAP-tagged (WLAN-VLANs) werden auf den WLAN-Chip aufgebaut (ähnlich wie ein VLAN am LAN aufgebaut wird). Der hAP braucht all die Daten der VLANs (Kabel) um diese dan über einzeln vAP auszustrahlen ...

Hier eine kleine Grafik - vielleicht hilft es ...
https://knx-user-forum.de/filedata/fetch?id=1129210

[saegefisch]

Hi André,

ich kann das gut nachvollziehen und sehe den Charm Deiner Lösung. Ein Kabel lügt nicht. Ein Kabel ist einfach.
Ich hatte nur schlicht so oft einen wunderbar pragmatischen Spieltrieb bei Dir gesehen, dass ich mir sicher war, dass wenn es einer mit allen RouterOS-Möglichkeiten umsetzt, dann gaaaaanz sicher Du... nun, Du bist noch pragmatischer, als ich dachte... Deine Lösung hätt' ich ja auch schon fertig, aber es juckt mich einfach, das ganze Paket zu schnüren (auch weil ich die HW nun so habe) - obwohl derlei beruflich nicht mein Stammland ist und mir daher die Erfahrung dazu fehlt (jenseits der FB und IT-Architektur-Wissen). Mittlerweile sitze ich 3 Tage (und die letzte ganze Nacht) dran... :-/ Mein Spieltrieb...

Mein Ziel:
* Switch-Ansatz --> siehe Link von Janncsi in Post #74 und mein Link in Post #75
* Switch 1: Port 1-5 mit eth1 als Master: untagged VLAN "Haus"
* Switch 2: Port 6 - WAN (via DMZ/FB) | Port 7 als Master für 7-10: tagged, wobei 7+8 = managed Switch, 9 = hAP, 10 = hAPlite.

* Abbildung eben nicht primär über /interface vlan und /interface bridge und /interface bridge port, sondern sekundär.
* Primär soll der Verkehr der Haustechnik/edomi/DALI-Gateways (Switch 1 mit eth1-eth5) nur über die Switch-HW laufen. Ebenso das Switching getaggeder Daten (unverändert) in Switch 2 zwischen eth7-10 --> /interface ethernet switch vlan und /interface ethernet switch port
* Lediglich das "echte" Routing/Bridges zu den WLAN/CAPsMAN bzw. WAN und FW,DND, DHCP,... soll über die CPU

* die 2 (ggf. 3) hAP via CAPsMAN via RB3011 managen --> hier scheitere ich derzeit daran, dass auf eth1 der hAP ich die getagged Verbindung nicht hinbekomme, dass die hAP DND, DHCP, CAPs hinbekommen. Ohne VLAN hatte ich das schon mal am laufen.
* --> Zudem scheint es mir, dass man an einem Master-Port keine untagged Daten hinbekommt (bei mir eth1 an Switch 1) --> kann das jemand bestätigen oder widerlegen?
* Wenn das obige geht, ist der Rest die normale Handarbeit mit FW, DHCP, Routes. Der RB3011 ist schon im WWW, hat alle VLAN eingerichtet inkl. zugehörige Bridges, DHCP für jedes VLAN, etc geht schon alles (wenn man sich direkt an die Ports des RB hängt)

=> Kurz gesagt: Wie bekomme ich die hAP an einem vom RB3011 getagged Port an ihren eth1 zum Laufen? In den hAP hätte ich auch gerne die Switch-HW genutzt, aber da könnte ich auch das "normale" Routing nehmen als Plan B.
=> Da ich in den hAP alle 4-5 WLAN-VLAN unbedingt benötige, sehe ich zu der getagged Verbindung auch wenig Alternativen, richtig?
=> Oder ist da ein Denkfehler? Könnte ich die Daten einfach komplett ungetagged transportieren zu den hAP (mit einer hinreichend großen Netzmaske) und brauche das Tagging erst auf dem Weg zum 2. Switch?
bzw: Ist meine VLAN-Lösung über Switch-HW im RB3011 überhaupt tragfähig (Siehe mein letztes Posting) und sinnvoll?

Ich hoffe, so wird mein Ziel klarer. Wenn die hAP getagged verbunden sauber laufen, bekomme ich den Rest wohl hin.

[jonofe]

saegefisch: Hi Carsten,

Ja es ist kabeliger, da ich je VLAN ein Kabel zum Router führe. Damit bleiben die Netze etwas besser getrennt. Denn nur im Kabel vom wAP zum Switch sind beide vLANs. Zum Router hin sind sie schon physikalisch getrennt. Das funktioniert dann ganz gut, wenn man genug freie Ports am Router hat. Und der Router soll sich ja auch auf das konzentrieren, für das er gebaut wurde, nämlich das routen.

Vermutlich verstehe ich aber noch gar nicht so richtig was du genau machen willst. Was genau ist der Switch-HW Ansatz?
Möchtest du die Ports des Routers parallel zu anderen Switches auch als Switch nutzen? Das geht SW technisch als Bridge und HW technisch über den "Master Port".

[Janncsi]

Grundlage zum Thema Vlan und Switch-CPU ist eigentlich aus dem CRS:Example-Wiki das Thema InterVlan-Routing.

Jemand hat genau das Wiki nochmals etwas verständlicher zusammengefasst:
http://blogku-apik.blogspot.de/2015/...vlans.html?m=1

Grundsätzlich ist das wichtigste, dass die Switch-CPU immer genutzt wird, wenn ihr die Ports als Slaves einem Master zuordnet.

Auch wenn es neue und alte RouterOS gibt, die Grundlagen stimmen eigentlich immer, da hat sich in der Syntax nichts geändert.

[saegefisch]

hey Janncsi, danke.
Die Seite hatte ich vor einer Weile schon mal vor der Brust; sie scheint aber eine alte RouterOS-Version zu beschreiben, da die Nomenklatur sich dazu deutlich geändert hat und in meinem Verständnis auch das Vorgehensprinzip der Parameter. Die Beschreibung am Anfang der Seite war für mich damals der Ausgangspunkt, es über die Switch-HW machen zu wollen und eben nicht über den Router/CPU. Daher: Ja, hat mir auch geholfen.
Danach hatte ich die Seite nicht mehr auf dem Schirm; daher nehme ich Deinen Hinweis dankbar entgegen, meinen aktuellen Sachstand noch mal dagegen zu werfen...

Vielleicht auch interessant - hinsichtlich der Gründe für Switch-HW, nicht zur Lösung - leider... http://www.fmsweb.de/index.html?inhalt=3712

[Janncsi]

Hat mir gut geholfen:
http://www.breekeenbeen.nl/2014/12/1...hout-bridging/

[saegefisch]

@André: Danke für Deine Einordnung. Ich hoffte, dass gerade Du es mit dem MT ausreizt - Deine Lösung ist viel "kabeliger" und weniger "RouterOS" , als ich es erwartete...

@Dariusz: Auch Dir mein Dank für Deine Einordnung für shortyle - wenngleich ich selber diesen Teil schon lauffähig habe. Aber es ist immer gut, es zu prüfen.

@André: Auf Deinen LBS freue ich mich schon sehr - aber erst einmal muss ich die MT-Hürde schaffen. Oder meine gesamte HW-Stratgie überdenken...
Die sieht so aus: Ich wollte mit möglichst wenigen Geräten das innerer LAN über alle Etagen abdecken: RB3011 (mit 10 Ports) + manged 24-Switch + hAP (WLAN + weitere 4 Ports) + hAPlite (nur WLAN) und dies hinter einer FB für die DMZ (ReverseProxy). Im inneren LAN sehe ich Bedarf für VLAN intern, firma, haus, Media, Iot, Gäste. Das sollte komplett im RB abgbildet werden und die VLAN-Ausläufer im manged switch...

@all: hat jemand das Switching per Switch-HW schon mal im MikroTik hin bekommen - aber mit CAPsMAN?
Oder kennt jemand eine Seite eim WWW genau dazu? Also abseits des MikroTik-Wikis, die Seiten dazu kenne ich schon auswendig...
@all: Es bleibt für mich die Frage, ob es das lohnt oder doch akademisch ist - und es lieber per Router/Bridge = CPU lösen sollte...

Steile Lernkurve hinter und leider auch noch vor mir... definitiv...

[coliflower]

DANKE André, dann werde ich mich einlesen :-)

[jonofe]

Hallo André,

Kann man mit deinem LBS das Radio eines vAP (VLANs) einfach EIN-/AUS-schalten ?
Hintergrund ist das WLAN (vAP) für die Kinder ...

Alles was man in der Winbox (de)aktivieren kann, kann man auch mit dem LBS machen.

[coliflower]

Ja, es macht Sinn, denn die Kinder dürfen - wahrscheinlich - nicht auf alles und nicht zu jeder Zeit wie die Erwachsenen, die Gäste grundsätzlich noch weniger .. Und wenn Hausautomation/IoT separiert ist dann sollte das auch nicht schlecht sein - wer weiß wohin diese Dinger "telefonieren" und oder worauf diese im Hausnetzwerk zugreifen.

EDIT: ausserdem wird dadurch der Datenverkehr von einander nicht gestört und mann die VLANs auch priorisieren kann - zB: VoIP sollte die höchste Priorität haben ...

Welche Geräte du dann tatsächlich in welchen VLAN steckst, dass wird dir die Erfahrung/Komfort/Sicherheitsdenken/... zeigen ... Nun mal das eine nach dem anderen.

Grundsätzlich machst du mit MikroTik nichts falsch :-)
Du brauchst einen stärkeren Router(Firewall)/Switch der das "Gehirn" deines Netzwerks ist, diesen kannst du je nach Notwendigkeit mit einem weiteren Switch erweitern, weshalb du dir vorab überlegen solltest, wieviele Anschüsse so ein Router/Switch haben sollt und ob du auch POE benötigst (=POE-fähige Geräte wie zB: APs, Kameras, etc benötigen keinen extra Stromanschluss - du muss kein extra Kabel für diese Geräte verlegen).
Die Praxis zeigt auch, lieber ein zwei bis drei kleinere Geräte, als ein Megading ...