MikroTik über LBS steuern | Edomi

[jonofe]

Ich denke dieses hier, oder?

http://www.mikrotik-shop.de/Interfac...lco::2192.html

Allerdings ist auch hier der Lagerbestand rot, wie bei dem Allnet Modem in allen anderen Shops auch. Wann hast du das bestellt?

Zur Info, fall noch andere beabsichtigen dieses DSL Modem (s.o.) im Mikrotik Router einzusetzen und somit den DSL Router/Modem des Telefonanbieters abzulösen:

Das Modem ist zwar jetzt wieder auf Lager, allerdings funktioniert es wohl (noch) nicht mit Telekom DSL Anschlüssen. Dies soll erst im nächsten Jahr möglich sein. Ich warte jetzt noch auf die Rückmeldung, ob es denn mit O2 DSL Anschlüssn funktioniert.

[benji]

Hi,

ich habe jetzt den Rat von Andre befolgt und für meine mobile Devices auf OpenVPN umgestellt. Verbindung vom iPhone aus klappt auch wunderbar. Bei iOS ist es so, dass onDemand nur mit Domain Namen funktioniert und nicht mit IP's. Jetzt wollte ich wie früher bei meiner FB auch, z.B edomi.lanXY aufrufen. Hierzu habe ich dem DHCP Server eine Domain mitgegeben welche ich erstmal einfach nur lan genannt habe. Diese Domain wird bei mir auch angezeigt wenn ich mich mit Laptop zum dhcp verbinde. SuchDomains: lan Wenn ich allerdings edomi.lan aufrufe dann kann er dies leider nicht auflösen. Reicht es nicht, wenn ich meinem DHCP eine Domain anhänge?

Gruß

[jonofe]

Mit /ip dns static kannst du dir einen DNS Server konfigurieren und somit eigene interne Domains definieren.

Ich habe z.B. eine Domain feld.home (192.168.0.0/24) und eine feld.dmz (192.168.1.0/24). Wenn du dann deinen Mikrotik Router als DNS Server an erster Stelle in den DNS-Einstellungen der DHCP Server und bei OpenVPN, etc. einstellst, dann werden immer zuerst die internen Namen erkannt und auch aufgelöst.

[benji]

Hi,

danke. Funktioniert jetzt zumindest schon mal local. Jetzt muss ich mal schauen wegen ovpn, dort will es noch nicht obwohl der Mikrotik als DNS an erster Stelle steht

du schreibst, bei dir würde feld.home auf (192.168.0.0/24) gehen, ich kann bei mir nur für alle Geräte einzeln anlegen. z.B für edomi.home dann die IP vom Edomi Server? Ist das richtig??

[jonofe]

Ja, genau das meinte ich. Ich habe hier ca. 100 Geräte in der Liste. Die musst du einmalig von Hand anlegen. Jedes mit Namen und der individuellen IP.

Bei OpenVPN würde ich nach dem Verbindungsaufbau mal auf dem Client schauen, welchen DNS Server er bekommen hat. (z.B. unter Windows mit ipconfig /all)

Wichtig ist natürlich auch, dass du DNS requests in der input chain der Firewall erlaubst.

[benji]

Ok, dann habe ich dies richtig verstanden. Hab ich mal für die wichtigsten Geräte jetzt erledigt.

OpenVPN App auf iPhone zeigt mir richtigen DNS Server an. Anfrage funktioniert allerdings nicht. Firewall habe ich mal den kompletten Port 53 (udp) auf accept.

Hast du DNS von deinen Geräten einzeln in der Firewall hinterlegt oder komplett den Port 53 erlaubt??

[jonofe]

Am besten mal ins Log schauen, ob Packets gedropped werden. Dazu solltest du natürlich bei der finalen INPUT DROP Regel das Logging aktivieren.
Außerdem mal TCP 53 freischalten, manchmal wird auch dieser Port für DNS verwendet.

Ich erlaube in der Firewall UDP/TCP/53 für das OpenVPN Server Binding Device.

[benji]

Ich habe in der Firewall die udp und tcp für port 53 auf accept gestellt, trotzdem wird die DNS anfrage gedropped laut Log. Hier mal ein ausschnitt aus der Firewall Regel, sollte doch so passen?? Vor diesen zwei Regeln liegt auch def. kein drop mehr.
dns.PNG


hier der ausschnitt aus log von Input drop

drop.PNG

[jonofe]

Die Regel scheint ja auch SRC=ether1-wan zu sein. Wie oben geschrieben musst du dort das OpenVPN Server Binding Device auswählen.

[benji]

so klappt es jetzt. Danke

[Janncsi]

Ich habe solch ein Brett vorm Kopf und brauche mal eure Hilfe...

Anbei mal der Export meiner Konfiguration...befinde ich mich in der Bridge=br1 funktioniert Internet und auch das Routing in die Vlans super sauber. Ich habe weder einen Delay beim Aufruf von Seiten noch sonst etwas. Was hier nicht geht ist das Routing von einem Vlan in das andere. Dies funktioniert aber, wenn ich manuell eine Route zur Dst. Adress setze mit dem Gateway des Ursprungs-Vlan.

Wenn ich aber nun im Anhang befindliche Konfiguration nutze, geht gar nichts mehr. Ich komme sowohl aus dem Vlan10, als auch Vlan99 nur noch sporadisch ins Internet. Manchmal habe ich den Eindruck, dass ich nur Seiten geöffnet bekomme, mit Wartezeit, die noch irgendwo im Cache des DNS hängen. Alle neuen DNS-Anfragen ergeben keine Antwort...

Vielleicht kann ja jemand was mit dem Export anfangen...irgendwo stehe ich so derbe auf dem Schlauch...ich meine alles richtig konfiguriert zu haben, aber ich finde den Fehler nicht.

[Oberwichtel@MikroTik] > /ip export 
# dec/04/2017 19:40:18 by RouterOS 6.41rc56
# software id = XXXX-XXXX
#
# model = CRS125-24G-1S
# serial number = XXXXXXXXXXXX
/ip pool
add name=pool_vlan99 ranges=10.0.0.2-10.0.0.20
add name=pool_vlan10 ranges=10.0.10.100-10.0.10.200
add name=pool_vlan20 ranges=10.0.20.100-10.0.20.110
add name=pool_vlan30 ranges=10.0.30.100-10.0.30.110
add name=pool_vlan40 ranges=10.0.40.100-10.0.40.150
add name=pool_vlan50 ranges=10.0.50.100-10.0.50.150
add name=pool_vlan60 ranges=10.0.60.100-10.0.60.150
/ip dhcp-server
add address-pool=pool_vlan99 always-broadcast=yes disabled=no interface=vlan99 lease-time=1w3d name=dhcp_vlan99
add address-pool=pool_vlan99 disabled=no interface=br1 lease-time=1w3d name=dhcp_br1
add address-pool=pool_vlan10 disabled=no interface=vlan10 lease-time=1w3d name=dhcp_vlan10
add address-pool=pool_vlan20 disabled=no interface=vlan20 lease-time=1w3d name=dhcp_vlan20
add address-pool=pool_vlan30 disabled=no interface=vlan30 lease-time=1w3d name=dhcp_vlan30
add address-pool=pool_vlan40 disabled=no interface=vlan40 lease-time=1w3d name=dhcp_vlan40
add address-pool=pool_vlan50 disabled=no interface=vlan50 lease-time=1w3d name=dhcp_vlan50
add address-pool=pool_vlan60 disabled=no interface=vlan60 lease-time=1w3d name=dhcp_vlan60
/ip address
add address=10.0.0.1/24 interface=br1 network=10.0.0.0
add address=10.0.0.1/24 interface=vlan99 network=10.0.0.0
add address=10.0.10.1/24 interface=vlan10 network=10.0.10.0
add address=10.0.20.1/24 interface=vlan20 network=10.0.20.0
add address=10.0.30.1/24 interface=vlan30 network=10.0.30.0
add address=10.0.40.1/24 interface=vlan40 network=10.0.40.0
add address=10.0.50.1/24 interface=vlan50 network=10.0.50.0
add address=10.0.60.1/24 interface=vlan60 network=10.0.60.0
/ip dhcp-client
add dhcp-options=hostname,clientid disabled=no interface=eth1_wan use-peer-dns=no use-peer-ntp=no
/ip dhcp-server network
add address=10.0.0.0/24 dns-server=8.8.8.8,8.8.4.4 gateway=10.0.0.1
add address=10.0.10.0/24 dns-server=8.8.8.8,8.8.4.4 gateway=10.0.10.1
add address=10.0.20.0/24 dns-server=8.8.8.8,8.8.4.4 gateway=10.0.20.1
add address=10.0.30.0/24 gateway=10.0.30.1
add address=10.0.40.0/24 gateway=10.0.40.1
add address=10.0.50.0/24 gateway=10.0.50.1
add address=10.0.60.0/24 gateway=10.0.60.1
/ip dns
set allow-remote-requests=yes cache-size=4096KiB servers=8.8.8.8,8.8.4.4
/ip firewall nat
add action=masquerade chain=srcnat out-interface=eth1_wan

P.S.: Ja, ich habe aktuell keine Firewall am Laufen ;-)

[Janncsi]

Hmm, hat keine eine Idee? jonofe Hatte hier auch auf dich gehofft, dass du hier eventuell einen Fehler findest, da du doch sehr tief in der Materie steckst...

Anbei nochmal meine Interfaces...

[Oberwichtel@MikroTik] /interface> export
# dec/04/2017 16:52:45 by RouterOS 6.41rc56
# software id = XXXX-XXXX
#
# model = CRS125-24G-1S
# serial number = XXXXXXXXXXXX
/interface bridge
add name=br1 protocol-mode=none
/interface ethernet
set [ find default-name=ether1 ] name=eth1_wan
set [ find default-name=ether2 ] name=eth2_nas
set [ find default-name=ether3 ] name=eth3_wap_unten
set [ find default-name=ether4 ] name=eth4_dmz
set [ find default-name=ether5 ] name=eth5_wap_oben
set [ find default-name=ether6 ] name=eth6_av_receiver
set [ find default-name=ether7 ] name=eth7_wap_outdoor
set [ find default-name=ether8 ] name=eth8_leer
set [ find default-name=ether9 ] name=eth9_leer
set [ find default-name=ether10 ] name=eth10_printer
set [ find default-name=ether11 ] name=eth11_kwl
set [ find default-name=ether12 ] name=eth12_fritzbox
set [ find default-name=ether13 ] name=eth13_schlafzimmer_tv
set [ find default-name=ether14 ] name=eth14_schlafzimmer_bett
set [ find default-name=ether15 ] name=eth15_knx
set [ find default-name=ether16 ] name=eth16_satreceiver
set [ find default-name=ether17 ] name=eth17_edomi
set [ find default-name=ether18 ] name=eth18_heos_link
set [ find default-name=ether19 ] name=eth19_heos_jonathan
set [ find default-name=ether20 ] name=eth20_heos_leonie
set [ find default-name=ether21 ] name=eth21_kueche
set [ find default-name=ether22 ] name=eth22_wohnzimmer_couch
set [ find default-name=ether23 ] disabled=yes name=eth23_wohnzimmer_tv
set [ find default-name=ether24 ] name=eth24_management
/interface vlan
add interface=br1 name=vlan10 vlan-id=10
add interface=br1 name=vlan20 vlan-id=20
add interface=br1 name=vlan30 vlan-id=30
add interface=br1 name=vlan40 vlan-id=40
add interface=br1 name=vlan50 vlan-id=50
add interface=br1 name=vlan60 vlan-id=60
add interface=br1 name=vlan99 vlan-id=99
/interface bridge port
add bridge=br1 interface=eth2_nas
add bridge=br1 interface=eth3_wap_unten
add bridge=br1 interface=eth4_dmz
add bridge=br1 interface=eth5_wap_oben
add bridge=br1 interface=eth6_av_receiver
add bridge=br1 interface=eth7_wap_outdoor
add bridge=br1 interface=eth8_leer
add bridge=br1 interface=eth9_leer
add bridge=br1 interface=eth10_printer
add bridge=br1 interface=eth11_kwl
add bridge=br1 interface=eth12_fritzbox
add bridge=br1 interface=eth13_schlafzimmer_tv
add bridge=br1 interface=eth14_schlafzimmer_bett
add bridge=br1 interface=eth15_knx
add bridge=br1 interface=eth16_satreceiver
add bridge=br1 interface=eth17_edomi
add bridge=br1 interface=eth18_heos_link
add bridge=br1 interface=eth19_heos_jonathan
add bridge=br1 interface=eth20_heos_leonie
add bridge=br1 interface=eth21_kueche
add bridge=br1 interface=eth22_wohnzimmer_couch
add bridge=br1 interface=eth23_wohnzimmer_tv
add bridge=br1 interface=eth24_management
add bridge=br1 interface=cap1
add bridge=br1 interface=cap2
/interface ethernet switch egress-vlan-tag
add tagged-ports=eth24_management,switch1-cpu vlan-id=99
add tagged-ports=eth3_wap_unten,eth5_wap_oben,switch1-cpu vlan-id=10
add tagged-ports=switch1-cpu vlan-id=20
add tagged-ports=switch1-cpu vlan-id=30
add tagged-ports=switch1-cpu vlan-id=40
add tagged-ports=switch1-cpu vlan-id=50
add tagged-ports=switch1-cpu vlan-id=60
/interface ethernet switch ingress-vlan-translation
add customer-vid=0 new-customer-vid=10 ports=eth2_nas,eth10_printer,eth14_schlafzimmer_bett,eth22_wohnzimmer_couch,eth21_kueche
add customer-vid=0 new-customer-vid=99 ports=eth3_wap_unten,eth5_wap_oben,eth7_wap_outdoor,eth24_management
add customer-vid=0 new-customer-vid=30 ports=eth12_fritzbox
add customer-vid=0 new-customer-vid=40 ports=eth6_av_receiver,eth13_schlafzimmer_tv,eth16_satreceiver,eth23_wohnzimmer_tv
add customer-vid=0 new-customer-vid=50 ports=eth18_heos_link,eth19_heos_jonathan,eth20_heos_leonie
add customer-vid=0 new-customer-vid=20 ports=eth11_kwl,eth15_knx,eth17_edomi
/interface ethernet switch vlan
add ports=eth2_nas,eth10_printer,eth14_schlafzimmer_bett,eth21_kueche,eth22_wohnzimmer_couch,switch1-cpu vlan-id=10
add ports=eth11_kwl,eth15_knx,eth17_edomi,switch1-cpu vlan-id=20
add ports=eth12_fritzbox,switch1-cpu vlan-id=30
add ports=eth6_av_receiver,eth13_schlafzimmer_tv,eth16_satreceiver,eth23_wohnzimmer_tv,switch1-cpu vlan-id=40
add ports=eth18_heos_link,eth19_heos_jonathan,eth20_heos_leonie,switch1-cpu vlan-id=50
add ports=eth3_wap_unten,eth5_wap_oben,eth24_management,switch1-cpu vlan-id=99

[jonofe]

Nach dem was du schreibst scheint es doch ein DNS Problem zu sein. Wie wird denn der DNS Server in den VLANs gesetzt? Kannst du per nslookup Namen auflösen?
Und wie sieht deine Routing Tabelle aus? (/ip route print)

[Janncsi]

Ich denke auch, dass es DNS ist.

Habe extra den einzelnen DHCP-Servern einen DNS zugeordnet...

Einmal die Routing-Tabelle:

[Oberwichtel@MikroTik] > /ip route print 
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          100.69.64.1               1
 1 ADC  10.0.0.0/24        10.0.0.1        br1                       0
                                           vlan99            
 2 ADC  10.0.10.0/24       10.0.10.1       vlan10                    0
 3 ADC  10.0.20.0/24       10.0.20.1       vlan20                    0
 4 ADC  10.0.30.0/24       10.0.30.1       vlan30                    0
 5 ADC  10.0.40.0/24       10.0.40.1       vlan40                    0
 6 ADC  10.0.50.0/24       10.0.50.1       vlan50                    0
 7 ADC  10.0.60.0/24       10.0.60.1       vlan60                    0
 8 ADC  100.69.64.0/18     100.69.77.212   eth1_wan                  0

[Oberwichtel@MikroTik] > /ip dhcp-server network print 
Flags: D - dynamic 
 #   ADDRESS            GATEWAY         DNS-SERVER      WINS-SERVER     DOMAIN                                                                                                        
 0   10.0.0.0/24        10.0.0.1        8.8.8.8        
                                        8.8.4.4        
 1   10.0.10.0/24       10.0.10.1       8.8.8.8        
                                        8.8.4.4        
 2   10.0.20.0/24       10.0.20.1       8.8.8.8        
                                        8.8.4.4        
 3   10.0.30.0/24       10.0.30.1      
 4   10.0.40.0/24       10.0.40.1      
 5   10.0.50.0/24       10.0.50.1      
 6   10.0.60.0/24       10.0.60.1

[Oberwichtel@MikroTik] > /ip dns print 
                      servers: 8.8.8.8,8.8.4.4
              dynamic-servers: 
        allow-remote-requests: yes
          max-udp-packet-size: 4096
         query-server-timeout: 2s
          query-total-timeout: 10s
       max-concurrent-queries: 100
  max-concurrent-tcp-sessions: 20
                   cache-size: 4096KiB
                cache-max-ttl: 1w
                   cache-used: 18KiB

[jonofe]

Hast du noch einen DSL Router davor, der NAT/masq macht? Oder wie sieht deine Internetanbindung aus?