MikroTik über LBS steuern | Edomi

[givemeone]

Hallo zusammen,

ich habe ein Performance-Problem, und zwar dass mir dieser Baustein den MySQL lahm legt, wenn man mehr als
ein Mikrotik-Gerät hat.
Am MySQL kommen extrem viele (grob jede ms eine neue?!?) Abfrage an.
Die Anfrage lautet: (id 1234 ist der Mikrotik LBS)

SELECT ts AS anz1 FROM edomiLive.logicExecQueue WHERE elementid=1234 ORDER BY ts ASC LIMIT 0,1

Nach wenigen Sekunden wird diese 1000nde mal aufgerufen,

Nur eigene Edomi-Systemaufrufe wie

SELECT value FROM edomiLive.RAMsysInfo WHERE id=1

werden noch häufiger abgesetzt.

Kann man hier irgendwo eingreifen, kann man(ich) das Polling (oder was das ist?) irgendwie
veringern?

9 Mikrotik LBS bringen mein System zu 100% Auslastung, 1 Mikrotik-LBS
reduziert es auf 6%-8% Systemlast.


Danke, herzliche Grüße
Joe

[jonofe]

Wenn die in der Fehlermeldung erwähnte Datei nicht vorhanden ist, dann ist irgendetwas bei der Installation schief gegangen.

Am besten mal das komplette Net_RouterOS Verzeichnis löschen und die Installationroutine nochmal komplett ausführen und dann die komplette Ausgaben hier posten.

[mondphil]

Hallo,

ich habe mit Version 1.3 des LBS leider Schwierigkeiten.
Als Fehler wird folgendes abgelegt:
mikrotik_lbs.png
Ich habe die zusätzlichen Pakete gemäß der Beschreibung in der LBS-Hilfe installiert. Auf dem CRS läuft die aktuellste Version (ROS 6.48.4).
Scheinbar wird die Verbindung zum CRS gar nicht erst aufgebaut (A1 bleibt leer/0). Die API ist unter IP-Services freigegeben, Port stimmt auch.

Danke und Gruß
Philipp

[saegefisch]

Schade, also kein Vollumstiegs-Beispiel… dann ist Jann wohl möglich der mutigste hier…

Aber dank‘ Dir für die Einordnung; damit kann ich es besser einschätzen… und komme der Entscheidung näher, den RB4011 als Testgelände mal zu ordern oder nicht…

bin gespannt auf weitere Erfahrungen anderer hier…

[givemeone]

Ich nutze aktuell kein capsman, sondern 7 eigene WLAN Wolken. Hatte bei Capsman aussetzer, die aber wohl auf den switch zurück zu führen sind. Wollte seither noch nicht wieder umkonfigurieren, da es so auch funktioniert. Als GW nutze ich noch 6.48.4, leite einfach die WG Ports an einen MT Router dahinter, der mit 7 läuft und mir das VPN macht (und partitionen unterstützt) . So habe ich vorne am Gateway keine überraschungen nach Updates der Beta Version.

[saegefisch]

WG empfehlen kann ich auf jeden Fall auch - nutze es schon nahezu seit Stunde Null, seit es für Produktiveinsatz empfohlen wurde und war begeistert von Einrichtung und Nutzung. Laptop im Hotel sowieso (Fritzbox-VPN war immer unfassbar kompliziert und langsam dagegen), aber auch alle iphone der Familie nutzen es schon lange automatisch in jedem WLAN != daheim.

Janncsi : Danke für Deine Einschätzung. Also FW, etc alles zumindest nicht schlechter. Irgendwas auffällig besser? Auffällig schlechter? Stabil?
Die WG-Einrichtung ist in der MT-onlinehilfe - zumindest schien es mir beim Blick darauf - recht gut beschrieben für Server + clients.

givemeone : Nutzt Du auch neben wg auch für FW, WLAN, Routing, etc.? Darum geht es mir. Das WG gut ist, ist klar und natürlich gut zu wissen, dass wg mit ROS 7 gut läuft. Aber was ist mit dem Rest?

CAPsMAN: Nutze ich seit Jahren mit dem RB3011 und 2 CAPs - läuft stabil. Weitere kommen dazu, sobald MT CAPs mit WiFi6/802.11ax anbietet. Die Frage halt, ob CAPsMAN unter ROS 7 vergleichbar sein wird und wie es mit CAPsMAN v2 aussieht, die in der MT-onlinehilfe beschrieben ist. Da werde ich nicht schlau draus.

[Janncsi]

Kannst du 1-2 Bilder deines wireguard-Server und eines Peer einstellen?!

Und funktionierte das Routing automatisch bei dir?

[givemeone]

Ich habe wg auf der 7er am laufen und es funktioniert. War ein bisschen ein gefummel, aber mittlerweile läuft es wunderbar. Ich hoffe, sie ergänzen noch die Erzeugung der QR Codes, das ist am Linux Client eine echt nette Sache! Im täglichen Gebrauch nutze ich es nicht (da nutze ich https mit Client Zertifikat - Authentifizierung, hat einen höheren WAF) aber immer wenn ich es brauche, geht es bisher! Die Performance ist top, und der Stromverbrauch, gerade auch am Handy, nicht zu merken Dort kann es eigentlich immer an bleiben, wenn man nur seine eigenen Server übers WG Routet.

[Janncsi]

Ich hab die 7er produktiv laufen, da ich auf 6 schon Probleme mit ovpn hatte und auf wireguard hoffte.

Dort bekomme ich übrigens auch eine Verbindung hin, es wird aber leider nichts geroutet. Wireguard fände ich persönlich noch xfach attraktiver
Capsman nutze ich aktuell nicht, aber zwei Cap liegen schon hier

[saegefisch]

Mag sein. Aber als Beta gibt es das schon und es funktioniert auch. Selbst mit der API. Am backup-LTE Router setze ich es schon ein, und es läuft dort seit Wochen stabil. Allerdings sind dort natürlich keine erweiterten Features genutzt, nichtmal die Firewall ist dort notwendig bzw. in Betrieb. Gehackt wurde er bisher jedenfalls nicht, trotz öffentlicher IP ;-).

Joe

Hallo MT-User,

meine Installation (RB3011) ist noch pre-6.41 und außer ein paar FW-Regeln seit dem unverändert und stabil. Neben dem bridging seit 6.41 ist mit ROS7.x mindestens zwei spannende neues Feature auf den Plan getreten: wireguard. Gerade vor ein paar Tagen während meines Urlaubs ist mir der proxmox eingefroren und damit auch meine VM mit wireguard. Klar, Ursache muss ich nachforschen (nix in Logs gefunden, war einfach weg. Nach hartem reboot alles wieder da), doch der Gedanke, dass VPN da hin kommt, wo es hingehört, finde ich spannend, weil verlässlicher: in den Router.
Dazu kommt WPA3 (im optionalen wave2-Package). Vielleicht weiteres?

* Hat schon jemand gewagt, auf 7.1beta6 zu gehen? Ich meine nicht nur testen, sondern der zentrale Router mit FW, VLAN, WLAN und allem drum und dran?
* Ich meine vor einiger Zeit gelesen zu haben, dass CAPsMAN (noch) nicht geht mit 7.x. Heute finde ich das nicht mehr.
* Hat jemand schon CAPsMAN V2 verwendet? Lohnt der Umstieg? Ist der Optional unter 6.4x und fest in 7.1? Oder auch dort optional?
* Gibt es andere Fortschritte, die einen Wechsel sinnvoll machen? Die neue Rest-API ist für edomi sicher spannend, aber vielleicht eher erst wenn, 7.x nicht mehr beta ist.
* Ist z.B. Multicast im VLAN besser geworden? Damit habe ich bis heute bedingt glücklich (durch teilweisen verzicht)

Ich weiß...es ist beta und sollte nicht produktiv eingesetzt werden und es ist immer auf eigene Verantwortung. Aber Was heißt bei uns im SOHO-Umfeld schon produktiv. Wenn es für "den Hausgebrauch" stabil ist und dafür Mehrwerte schafft, kann ein Wechsel dennoch sehenden Auges sinnvoll sein (z.B. erst mal auf paralleler HW während der Einrichtung, bis es läuft). Oder eben auch nicht, weil es die Zeit und den Aufwand noch nicht lohnt. Daher die Frage... Oder ist es zu früh und man sollte noch warten, bis sich das weiter entwickelt und stabilisiert hat?

[Janncsi]

Anbei meine aktuelle Serverkonfiguration:

ovpn_konfiguration.png

Wie man sieht, auch enabled

Ping geht auf den 61194 sowohl intern, wie extern (habe es auf den 61194 gewechselt, um nicht den Standardport zu nutzen, Verhalten bei 1194 ist aber identisch)

Anbei noch meine Firewall
firewall.png

[jonofe]

Wie ist denn der OVPN Server konfiguriert? (Screenshot Winbox)

OVPN Server enabled?

Geht ein "telnet <MT-IP> 1194" aus dem internen Netz?

Hast du in der MT Firewall eingehenden TCP Traffic auf Port 1194 erlaubt?

[Janncsi]

Ich kämpfe weiter

Also, ich habe auf meinem vserver mit 6tunnel eine direkte Weiterleitung auf den Port des ovpn-Server im Mikrotik gesetzt. In der Firewall sehe ich auch, dass ich von überall auf meinen Mikrotik zugreifen kann.

Mein Problem allerdings bleibt, der ovpn-Server interessiert sich laut log null für die Anfragen...

jonofe
Hast du vielleicht noch eine Idee, wo ich schauen kann? Wie gesagt, das ipv6/ipv4-Thema ist gelöst

[Janncsi]

Ich habe einen reinen ipv6-Anschluss. Die ipv4 ist eine Sammeladresse, sprich der Router ist hinter einem NAT des Providers (Deutsche Glasfaser)

Intern lasse ich alles weiter über ipv4 laufen (sprich dhcp und vlan laufen alle auf ipv4), trotzdem habe ich entsprechende ipv6-Pools je Vlan und gebe jedem Endgerät auch eine ipv6-Adresse

Habe gerade auf meinem vserver einen openVPN erstellt und konnte mich mit meinem Handy sofort verbinden. Jetzt muss ich schauen, wie ich ggf. den Mikrotik-Router inkl. meiner Endgeräte als Client an dem openVPN-Server anmelde....

[jonofe]

Ich muss zugeben, dass ich mich in dem Zusammenhang mit ipv6 nicht auskenne. Wo genau wird ipv6 verwendet? Im Mikrotik? Oder in nem Modem vor dem mikrotik.