MikroTik über LBS steuern | Edomi

[Janncsi]

Zum Verteilen hast du Recht! Klang für mich nur so, dass die Scripte erstellt werden sollen, um Backup-Sicherheit zu haben...

Ich hab jedenfalls gerade erst einmal ein Backup auf meinen externen Host abgelegt.... Sowas wie vor drei Wochen passiert mir nie wieder :-D

[coliflower]

Backup-Funktion

Ich hoffe, ich erinnere mich richtig, aber hier sollte man die Export- anstatt des Backup-Funktion verwenden zum ein Setup zwischen verschiedenen Geräten zu verteilen ...

[Janncsi]

Was soll ich sagen....einfach mal n paar Tage nicht an dem Thema krampfhaft sitzen und versuchen, bisschen die Gedanken schweifen lassen und einfach mal was ausprobiert...im Ergebnis, dass es nun funktioniert :-D

Der Fehler ist im Rückblick gesehen auch total simpel, aber, und das finde ich die Perversität, nirgends dokumentiert in den Wiki's. Was bringt mir ein Wiki bei Mikrotik für CRS:Examples, wenn dort InterVlan-Routing beschrieben ist, aber kein einziger Hinweis auf die Routes gegeben wird?!
Ich habe soeben einfach mal die Routen so angegeben, wie ich eine Kommunikation zwischen den Vlans wünsche und zack funktioniert es...Anbei mal ein Bild:
Bildschirmfoto vom 2017-12-11 21:45:38.png

Alles läuft auf einmal ohne Probleme.....ich frage mich, wieso ich so viele Nächte fluchen musste, wnen es am Ende so einfach gewesen ist....

Jetzt werde ich mich erst einmal einer ordentlichen Firewall widmen

@saegefisch
Du hast die Backup-Funktion schon gefunden? Da brauchst keine Skripte schreiben ;-)

[saegefisch]

Seit ein paar MInuten! Freudentränen! Naja, zumindest fast... Bin mittlerweile ein deutliches Stück weiter mit CAPsMAN und mehreren VLANs und hAP. Es geht noch nicht alles (scheint aber - nach frustrierten Wochen - seit ein paar Minuten endlich nur noch FW sein). Wenn es geht, mache ich mir für meine Geräte ohnhin Scripte, um von den zurück gesetzten MT-Blechen jerdezeit zum Laufen zu kommen (derzeit: 6.41rc61). Die stelle ich dann hier gerne zur Verfügung und mit etwas Anpassung sollten die bei jedem laufen.
Wird aber vermutlich erst kommendes WE.

Nachtrag: hAP mit 2 Radios (2,4 + 5GHz) via CAPsMAN und 5 VLAN, an RB und hAP Trunk + AccessPorts, DNS, DHCP, schheint alles zu gehen. FW ist noch doof, aber wird schon...ein weites Feld mit neuen Abenteuern...

Zum NAT: Es reicht auf jeden Fall ein NAT für alle VLAN. Es sei denn, man will welche raus halten - dann per IP oder Interface-List einschränken.

Also: Keinesfalls verzweifeln!

[Janncsi]

Also, habe es leider erst jetzt gerade geschafft, aber es funktioniert leider auch nicht :-(

Ich bin echt am Verzweifeln...

den Test mit nslookup werde ich heute Abend machen können

[jonofe]

achso, ja, wenn du es ohne spezifische Netzangabe machst, dann reicht vermutlich ein Eintrag.

[Janncsi]

Jedes Vlan brauch eine NAT? Ich dachte nur der ausgehende Port?!

Mein Weib verschwindet gleich ins Bett, dann werde ich mich wohl mal kurz austoben und jedem Vlan mal ne NAT geben...gebe danach Rückmeldung

[jonofe]

Hast du denn für jedes VLAN die entsprechende masquerading Regel eingetragen?

/ip firewall nat print

sollte eigentlich für jedes VLAN einen Eintrag in folgender Form liefern.

chain=srcnat action=masquerade src-address=10.0.10.0/24 out-interface=eth1-wan log=no log-prefix=""

[Janncsi]

Internet habe ich über Deutsche Glasfaser, sprich FTTH

Realisiert über DHCP-Client am eth1.

/ip dhcp-client
add dhcp-options=hostname,clientid disabled=no interface=eth1_wan use-peer-dns=no use-peer-ntp=no

NAT ist auch im Mikrotik auf dem eth1. Auch nur ganz einfach masquerade

Auch eine Firewall habe ich erst einmal nicht aktiviert...

Das "use-peer-dns=no" habe ich übrigens auch schon auf yes gehabt....brachte keinen Unterschied

[jonofe]

Hast du noch einen DSL Router davor, der NAT/masq macht? Oder wie sieht deine Internetanbindung aus?

[Janncsi]

Ich denke auch, dass es DNS ist.

Habe extra den einzelnen DHCP-Servern einen DNS zugeordnet...

Einmal die Routing-Tabelle:

[Oberwichtel@MikroTik] > /ip route print 
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          100.69.64.1               1
 1 ADC  10.0.0.0/24        10.0.0.1        br1                       0
                                           vlan99            
 2 ADC  10.0.10.0/24       10.0.10.1       vlan10                    0
 3 ADC  10.0.20.0/24       10.0.20.1       vlan20                    0
 4 ADC  10.0.30.0/24       10.0.30.1       vlan30                    0
 5 ADC  10.0.40.0/24       10.0.40.1       vlan40                    0
 6 ADC  10.0.50.0/24       10.0.50.1       vlan50                    0
 7 ADC  10.0.60.0/24       10.0.60.1       vlan60                    0
 8 ADC  100.69.64.0/18     100.69.77.212   eth1_wan                  0

[Oberwichtel@MikroTik] > /ip dhcp-server network print 
Flags: D - dynamic 
 #   ADDRESS            GATEWAY         DNS-SERVER      WINS-SERVER     DOMAIN                                                                                                        
 0   10.0.0.0/24        10.0.0.1        8.8.8.8        
                                        8.8.4.4        
 1   10.0.10.0/24       10.0.10.1       8.8.8.8        
                                        8.8.4.4        
 2   10.0.20.0/24       10.0.20.1       8.8.8.8        
                                        8.8.4.4        
 3   10.0.30.0/24       10.0.30.1      
 4   10.0.40.0/24       10.0.40.1      
 5   10.0.50.0/24       10.0.50.1      
 6   10.0.60.0/24       10.0.60.1

[Oberwichtel@MikroTik] > /ip dns print 
                      servers: 8.8.8.8,8.8.4.4
              dynamic-servers: 
        allow-remote-requests: yes
          max-udp-packet-size: 4096
         query-server-timeout: 2s
          query-total-timeout: 10s
       max-concurrent-queries: 100
  max-concurrent-tcp-sessions: 20
                   cache-size: 4096KiB
                cache-max-ttl: 1w
                   cache-used: 18KiB

[jonofe]

Nach dem was du schreibst scheint es doch ein DNS Problem zu sein. Wie wird denn der DNS Server in den VLANs gesetzt? Kannst du per nslookup Namen auflösen?
Und wie sieht deine Routing Tabelle aus? (/ip route print)

[Janncsi]

Hmm, hat keine eine Idee? jonofe Hatte hier auch auf dich gehofft, dass du hier eventuell einen Fehler findest, da du doch sehr tief in der Materie steckst...

Anbei nochmal meine Interfaces...

[Oberwichtel@MikroTik] /interface> export
# dec/04/2017 16:52:45 by RouterOS 6.41rc56
# software id = XXXX-XXXX
#
# model = CRS125-24G-1S
# serial number = XXXXXXXXXXXX
/interface bridge
add name=br1 protocol-mode=none
/interface ethernet
set [ find default-name=ether1 ] name=eth1_wan
set [ find default-name=ether2 ] name=eth2_nas
set [ find default-name=ether3 ] name=eth3_wap_unten
set [ find default-name=ether4 ] name=eth4_dmz
set [ find default-name=ether5 ] name=eth5_wap_oben
set [ find default-name=ether6 ] name=eth6_av_receiver
set [ find default-name=ether7 ] name=eth7_wap_outdoor
set [ find default-name=ether8 ] name=eth8_leer
set [ find default-name=ether9 ] name=eth9_leer
set [ find default-name=ether10 ] name=eth10_printer
set [ find default-name=ether11 ] name=eth11_kwl
set [ find default-name=ether12 ] name=eth12_fritzbox
set [ find default-name=ether13 ] name=eth13_schlafzimmer_tv
set [ find default-name=ether14 ] name=eth14_schlafzimmer_bett
set [ find default-name=ether15 ] name=eth15_knx
set [ find default-name=ether16 ] name=eth16_satreceiver
set [ find default-name=ether17 ] name=eth17_edomi
set [ find default-name=ether18 ] name=eth18_heos_link
set [ find default-name=ether19 ] name=eth19_heos_jonathan
set [ find default-name=ether20 ] name=eth20_heos_leonie
set [ find default-name=ether21 ] name=eth21_kueche
set [ find default-name=ether22 ] name=eth22_wohnzimmer_couch
set [ find default-name=ether23 ] disabled=yes name=eth23_wohnzimmer_tv
set [ find default-name=ether24 ] name=eth24_management
/interface vlan
add interface=br1 name=vlan10 vlan-id=10
add interface=br1 name=vlan20 vlan-id=20
add interface=br1 name=vlan30 vlan-id=30
add interface=br1 name=vlan40 vlan-id=40
add interface=br1 name=vlan50 vlan-id=50
add interface=br1 name=vlan60 vlan-id=60
add interface=br1 name=vlan99 vlan-id=99
/interface bridge port
add bridge=br1 interface=eth2_nas
add bridge=br1 interface=eth3_wap_unten
add bridge=br1 interface=eth4_dmz
add bridge=br1 interface=eth5_wap_oben
add bridge=br1 interface=eth6_av_receiver
add bridge=br1 interface=eth7_wap_outdoor
add bridge=br1 interface=eth8_leer
add bridge=br1 interface=eth9_leer
add bridge=br1 interface=eth10_printer
add bridge=br1 interface=eth11_kwl
add bridge=br1 interface=eth12_fritzbox
add bridge=br1 interface=eth13_schlafzimmer_tv
add bridge=br1 interface=eth14_schlafzimmer_bett
add bridge=br1 interface=eth15_knx
add bridge=br1 interface=eth16_satreceiver
add bridge=br1 interface=eth17_edomi
add bridge=br1 interface=eth18_heos_link
add bridge=br1 interface=eth19_heos_jonathan
add bridge=br1 interface=eth20_heos_leonie
add bridge=br1 interface=eth21_kueche
add bridge=br1 interface=eth22_wohnzimmer_couch
add bridge=br1 interface=eth23_wohnzimmer_tv
add bridge=br1 interface=eth24_management
add bridge=br1 interface=cap1
add bridge=br1 interface=cap2
/interface ethernet switch egress-vlan-tag
add tagged-ports=eth24_management,switch1-cpu vlan-id=99
add tagged-ports=eth3_wap_unten,eth5_wap_oben,switch1-cpu vlan-id=10
add tagged-ports=switch1-cpu vlan-id=20
add tagged-ports=switch1-cpu vlan-id=30
add tagged-ports=switch1-cpu vlan-id=40
add tagged-ports=switch1-cpu vlan-id=50
add tagged-ports=switch1-cpu vlan-id=60
/interface ethernet switch ingress-vlan-translation
add customer-vid=0 new-customer-vid=10 ports=eth2_nas,eth10_printer,eth14_schlafzimmer_bett,eth22_wohnzimmer_couch,eth21_kueche
add customer-vid=0 new-customer-vid=99 ports=eth3_wap_unten,eth5_wap_oben,eth7_wap_outdoor,eth24_management
add customer-vid=0 new-customer-vid=30 ports=eth12_fritzbox
add customer-vid=0 new-customer-vid=40 ports=eth6_av_receiver,eth13_schlafzimmer_tv,eth16_satreceiver,eth23_wohnzimmer_tv
add customer-vid=0 new-customer-vid=50 ports=eth18_heos_link,eth19_heos_jonathan,eth20_heos_leonie
add customer-vid=0 new-customer-vid=20 ports=eth11_kwl,eth15_knx,eth17_edomi
/interface ethernet switch vlan
add ports=eth2_nas,eth10_printer,eth14_schlafzimmer_bett,eth21_kueche,eth22_wohnzimmer_couch,switch1-cpu vlan-id=10
add ports=eth11_kwl,eth15_knx,eth17_edomi,switch1-cpu vlan-id=20
add ports=eth12_fritzbox,switch1-cpu vlan-id=30
add ports=eth6_av_receiver,eth13_schlafzimmer_tv,eth16_satreceiver,eth23_wohnzimmer_tv,switch1-cpu vlan-id=40
add ports=eth18_heos_link,eth19_heos_jonathan,eth20_heos_leonie,switch1-cpu vlan-id=50
add ports=eth3_wap_unten,eth5_wap_oben,eth24_management,switch1-cpu vlan-id=99

[Janncsi]

Ich habe solch ein Brett vorm Kopf und brauche mal eure Hilfe...

Anbei mal der Export meiner Konfiguration...befinde ich mich in der Bridge=br1 funktioniert Internet und auch das Routing in die Vlans super sauber. Ich habe weder einen Delay beim Aufruf von Seiten noch sonst etwas. Was hier nicht geht ist das Routing von einem Vlan in das andere. Dies funktioniert aber, wenn ich manuell eine Route zur Dst. Adress setze mit dem Gateway des Ursprungs-Vlan.

Wenn ich aber nun im Anhang befindliche Konfiguration nutze, geht gar nichts mehr. Ich komme sowohl aus dem Vlan10, als auch Vlan99 nur noch sporadisch ins Internet. Manchmal habe ich den Eindruck, dass ich nur Seiten geöffnet bekomme, mit Wartezeit, die noch irgendwo im Cache des DNS hängen. Alle neuen DNS-Anfragen ergeben keine Antwort...

Vielleicht kann ja jemand was mit dem Export anfangen...irgendwo stehe ich so derbe auf dem Schlauch...ich meine alles richtig konfiguriert zu haben, aber ich finde den Fehler nicht.

[Oberwichtel@MikroTik] > /ip export 
# dec/04/2017 19:40:18 by RouterOS 6.41rc56
# software id = XXXX-XXXX
#
# model = CRS125-24G-1S
# serial number = XXXXXXXXXXXX
/ip pool
add name=pool_vlan99 ranges=10.0.0.2-10.0.0.20
add name=pool_vlan10 ranges=10.0.10.100-10.0.10.200
add name=pool_vlan20 ranges=10.0.20.100-10.0.20.110
add name=pool_vlan30 ranges=10.0.30.100-10.0.30.110
add name=pool_vlan40 ranges=10.0.40.100-10.0.40.150
add name=pool_vlan50 ranges=10.0.50.100-10.0.50.150
add name=pool_vlan60 ranges=10.0.60.100-10.0.60.150
/ip dhcp-server
add address-pool=pool_vlan99 always-broadcast=yes disabled=no interface=vlan99 lease-time=1w3d name=dhcp_vlan99
add address-pool=pool_vlan99 disabled=no interface=br1 lease-time=1w3d name=dhcp_br1
add address-pool=pool_vlan10 disabled=no interface=vlan10 lease-time=1w3d name=dhcp_vlan10
add address-pool=pool_vlan20 disabled=no interface=vlan20 lease-time=1w3d name=dhcp_vlan20
add address-pool=pool_vlan30 disabled=no interface=vlan30 lease-time=1w3d name=dhcp_vlan30
add address-pool=pool_vlan40 disabled=no interface=vlan40 lease-time=1w3d name=dhcp_vlan40
add address-pool=pool_vlan50 disabled=no interface=vlan50 lease-time=1w3d name=dhcp_vlan50
add address-pool=pool_vlan60 disabled=no interface=vlan60 lease-time=1w3d name=dhcp_vlan60
/ip address
add address=10.0.0.1/24 interface=br1 network=10.0.0.0
add address=10.0.0.1/24 interface=vlan99 network=10.0.0.0
add address=10.0.10.1/24 interface=vlan10 network=10.0.10.0
add address=10.0.20.1/24 interface=vlan20 network=10.0.20.0
add address=10.0.30.1/24 interface=vlan30 network=10.0.30.0
add address=10.0.40.1/24 interface=vlan40 network=10.0.40.0
add address=10.0.50.1/24 interface=vlan50 network=10.0.50.0
add address=10.0.60.1/24 interface=vlan60 network=10.0.60.0
/ip dhcp-client
add dhcp-options=hostname,clientid disabled=no interface=eth1_wan use-peer-dns=no use-peer-ntp=no
/ip dhcp-server network
add address=10.0.0.0/24 dns-server=8.8.8.8,8.8.4.4 gateway=10.0.0.1
add address=10.0.10.0/24 dns-server=8.8.8.8,8.8.4.4 gateway=10.0.10.1
add address=10.0.20.0/24 dns-server=8.8.8.8,8.8.4.4 gateway=10.0.20.1
add address=10.0.30.0/24 gateway=10.0.30.1
add address=10.0.40.0/24 gateway=10.0.40.1
add address=10.0.50.0/24 gateway=10.0.50.1
add address=10.0.60.0/24 gateway=10.0.60.1
/ip dns
set allow-remote-requests=yes cache-size=4096KiB servers=8.8.8.8,8.8.4.4
/ip firewall nat
add action=masquerade chain=srcnat out-interface=eth1_wan

P.S.: Ja, ich habe aktuell keine Firewall am Laufen ;-)

[benji]

so klappt es jetzt. Danke