MikroTik über LBS steuern | Edomi

[jonofe]

SwOS bietet keine API und kann nur per Web-Interface konfiguriert werden. Wenn man das o.g. Feature benötigt, sollte man die CRS Modelle verwenden, welche als Switch auch mit RouterOS verwendet werden können.

Einzelne Funktionen in SwOS können auch per CURL getriggert werden (z.B. Backup). Das ist dann aber inoffiziell und kann natürlich nach einem Update ggf. wieder anders sein.

[Marha]

Wird gerade bei UniFi diskutiert, ob es möglich ist bei Swichen Poe über API abzuschalten.
Gibt es bei MikroTik die Möglichkeit? Geräte mit RouterOS können das. Aber bei Switchen mit SwOS?
Anwendungsfälle wären vorhanden.

[jonofe]

Das könnte er auch über die HTTP-API von EDOMI. Dann müsste allerdings eine Verbindung aus dem unsicheren DMZ VLAN in das sichere interne VLAN gemacht werden. Das ist aus Sicherheitsgesichtspunkten eher unschön, aber technisch natürlich möglich.

[skyacer]

Ja okay. Die Reihenfolge wollt ich nur mal wissen. Hab mich schon die ganze Zeit gefragt wie der Reverseproxy den LBS triggern kann. Aber so wie du es machst klingt es ganz logisch.

Danke dir dafür...

[jonofe]

Was genau meinst du mit Zertifikatsdienst?
Der Reversproxy enthält natürlich das Letsencrypt Zertifikat. Genau das braucht er ja, weil dies ja der Server ist, der im Internet steht und von Alexa, Spotify, Homeconnect, Nextcloud, und CO getriggert wird.

Der EDOMI Server im internen Netz triggert per SSH das Zertifikatsupdate auf dem Reversproxy und schaltet vorher die Port-80-Weiterleitung auf dem MikroTik Router ein und kurz danach wieder aus.

[skyacer]

zu 2: Geht genauso wie bei Firewall Regeln über den Enable/Disable Eingang des Mikrotik LBS.
Code:

/ip firewall filter|comment|<Dein FW Regel Kommentar>
Hiermit wird die Firewall Regel, welche den Kommentar <Dein FW Regel Kommentar> hat, aktiviert bzw. deaktiviert, je nach dem auf welchen Eingang du den Befehl sendest.

Hi,

jetzt muss ich aber nochmal nachfragen. Liegt bei dir der Zertifikatdienst auch auf dem Reverseproxy? Wie triggerst du von da den LBS an um den Port 80 zu öffnen? Oder ist der dauerhaft bei dir auf.

Grüße

[jonofe]

Kannst Du vielleicht noch die Befehle zum Ein-/Ausschalten des WLAN bereitstellen

Ist derselbe Befehl, beim Senden auf den Enable Eingang wird die SSID aktiviert, beim Senden auf Disable wird sie deaktiviert:

/caps-man interface|name|[COLOR=#FF0000]<DEIN-WLAN-NAME>[/COLOR]

<DEIN-WLAN-NAME> ist nicht die SSID sondern der Name, den du inWinbox unter CAPsMAN->CAP-Interface siehst.

[Marha]

Danke für die Beispiele.

Wenn keine Gäste da sind, brauchts keine Gäste WLAN. Jede SSID ist ein zusätzlicher Angriffspunkt.

Kannst Du vielleicht noch die Befehle zum Ein-/Ausschalten des WLAN bereitstellen und sind die hier im Threat bereits erwähnt?

[jonofe]

1. WOL über VLAN Grenzen hinweg
2. Selektive (De)Aktivierung von Firewallregeln (Z.B. Zeitweise Abschaltung des Internets für bestimmte Geräte und Öffnung Port 80 bei Letsencrypt Zertifikatsupdate)
3. (De)Aktivierung von Simple Queues zur zeitweisen Bandbreiteneingrenzung bestimmter Geräte

Aber magst du einmal verraten wie du das gemacht hast und auch wie die Einstellungen im Router sind dafür?

zu 1: Der Befehl lautet:

/tool wol interface="[COLOR=#FF0000]<dein Interface>[/COLOR]" mac="[COLOR=#FF0000]xx:xx:xx:xx:xx:xx[/COLOR]"

Damit wird ein WOL Paket über das Interface an die MAC Adresse gesendet. Jedes VLAN hat ein eigenes Interface. Somit kann man VLAN spezifische WOL PAckets senden.

zu 2: Geht genauso wie bei Firewall Regeln über den Enable/Disable Eingang des Mikrotik LBS.

/ip firewall filter|comment|[COLOR=#FF0000]<Dein FW Regel Kommentar>[/COLOR]

Hiermit wird die Firewall Regel, welche den Kommentar <Dein FW Regel Kommentar> hat, aktiviert bzw. deaktiviert, je nach dem auf welchen Eingang du den Befehl sendest.

zu 3: ähnlich wie bei 2

/queue simple|name|[COLOR=#FF0000]<Dein Simple Queue Name>[/COLOR]

Hiermit wird die Queue aktiviert bzw. deaktiviert je nach dem auf welchen Eingang du den Befehl sendest.

Wie man mit Queues die Bandbreite limitieren kann, ist dann eher ein Mikrotik Thema und würde hier zu weit führen. Das ist aber natürlich Voraussetzung, denn mit. o.g. Befehl schaltest du diese Bandbreitenkontrolle nur ein bzw. aus. Eingerichtet werden muss sie am im Mikrotik Router per Winbox oder Terminal.
Dazu gibt es gute Tutorials:

[jonofe]

Was veranlasst Euch, das WLAN auszuschalten?

Wenn keine Gäste da sind, brauchts keine Gäste WLAN. Jede SSID ist ein zusätzlicher Angriffspunkt.

[givemeone]

Was veranlasst Euch, das WLAN auszuschalten?

Strahlenbelastung in der Nacht, zumindest in den unteren geschossen (nicht im Schlafzimmer ;-) ;-)
Und während dem Urlaub: Weniger IT-Einfalltore für neugierige

Gibts Erfahrungen/Messungen bezüglich Energieeinsparung?

Konnte keine Messen, hängt aber sicher auch von der Plattform ab (Mikrotik hat ja mehrere unterschiedliche...)
Ich habe 11 APs (sehr funkdichtes haus, daher viele, dafür aber mit reduzierter powerTX) und schalte die unbenutzten durchaus über POE direkt ab, wenn ich sie nicht benötige.

[Marha]

Super, danke für Eure Rückmeldung. An das Ein-/Ausschalten des WLAN hatte ich auch gedacht, allerdings aus Energiespargründen. Was veranlasst Euch, das WLAN auszuschalten? Gibts Erfahrungen/Messungen bezüglich Energieeinsparung?

[skyacer]

• WOL über VLAN Grenzen hinweg
• Selektive (De)Aktivierung von Firewallregeln (Z.B. Zeitweise Abschaltung des Internets für bestimmte Geräte und Öffnung Port 80 bei Letsencrypt Zertifikatsupdate)
• (De)Aktivierung von Simple Queues zur zeitweisen Bandbreiteneingrenzung bestimmter Geräte

Hi,
vielleicht etwas Offtopic. Aber magst du einmal verraten wie du das gemacht hast und auch wie die Einstellungen im Router sind dafür?

Grüße
Jascha

[jonofe]

Zu dem Airplay Thema kann ich leider nichts sagen. Ich hätte da auch erwartet, dass PIM dieses Problem löst.
Du hast vermutlich geprüft, dass nichts in der FW geblockt wird, oder?

Für weitere Anregungen wäre ich dankbar.

Weitere Einsatzzwecke des LBS bei mir sind:

• WOL über VLAN Grenzen hinweg
• Selektive (De)Aktivierung von Firewallregeln (Z.B. Zeitweise Abschaltung des Internets für bestimmte Geräte und Öffnung Port 80 bei Letsencrypt Zertifikatsupdate)
• (De)Aktivierung von Simple Queues zur zeitweisen Bandbreiteneingrenzung bestimmter Geräte
• Ein/Ausschalten des Gäste WLANs

[givemeone]

Eine ganz andere Frage hätte ich allerdings noch zu diesem LBS hier. Wozu setzt ihr diesen Baustein ein? Als Anwesenheitserkennung wurde bereits weiter oben genannt. Für weitere Anregungen wäre ich dankbar.

Grobe Peilung, wer in welchem Raum sich aufhält, an/aus von Wlans bei Abwesenheit, aktivierung/deaktivierung des externen Zugriffs sowie eines Supportzugriffs für eine IT-Firma, Anzeige der aktuellen Internetbandbreitennutzung (jedoch per snmp), umschalten von der Haupt-Internetleitung auf einen Backup-LTE Zugang....

Ach... da gibts viele Möglichkeiten, was man sich da im Laufe der Zeit alles zusammenbaut .