Mikrotik - za početnika

[Pomo]

Autor SinfulSaint

Evo prije nego što krenem pisat samo da rečem da je stvar proradila. Pod DHCP, Networks sam za 192.168.1.0 ubacio 192.168.0.1 kao prvi DNS. Googleovi su 2. i 3. Gateway ide na 192.168.1.1.
Sad sve radi.
Pomo, svi portovi su pod istim bridgeom. Sve je u istom lan-u sa speedportom. DHCP na s-portu je isključen i prije nego je zno da ide kod mene doma. Tik im dodjeljuje adrese, tik im je izlaz.
Nikky, oprosti na mučenju s proredom. Nisam skužio.

Samo za info, Tik si od pravog routera, maksimalno napravio glupav uređaj.
Radi jer si sve bacio u istu bcast domenu i ćao.
Mogao si isto tako i speedport koristit ko router/ap i mir.

[Nikky]

@Pomo
"Jel ima na speedportu mogućnost dodavanja ruta?" > nisam siguran, vjerojatno ima ali je pitanje jeli dostupno (l)useru.

@SinfulSaint
Ajd neka sad tako radi ali prvom prilikom stavi (dodaj) neki uređaj u AP funkciji spojen "iza" Tika.
Pitao sm te jel ti "ostao" koji stari router (za prvu ruku) ?

[SinfulSaint]

@Pomo
Hvala na trudu i na vremenu stari. Učim polako. Dobio sam ovaj Tik u nekoj razmjeni pa reko eto prilike malo za testirat kako stvar radi. Nemam neko obilno znanje o ovim stvarima generalno govoreći. Istražujem sam malo po malo.

@Nikky
Šrotport zasad dobro radi ko AP. Ako bude to išlo OK možda ga i ostavim.

[Nikky]

"Dobro" to trenutno radi ali se ne radi takav setup jer nije siguran,
vračaš Lan stranu (koju se sa razlogom štiti kroz NAT i FW) na WAN mada je Speedšrot u Bridge modu.

[SinfulSaint]

ok niki, kužim.
kad bude vremena malo više složit ću to onako kako si napiso u postu #43

[Nikky]

I nađi neki AP / Router za AP funkciju na Lan strani Tika,
tada gasiš WiFi na Speedšrotu.

[dadoremix]

Al ste ga spetljali
Ja bi samo skrenuo paznju
Ako ti mikrotik sad boss za net, user i pass stavi
Zatvori ulaze sa neta na mtik
Fw podesit da blokira dolazne dns zahtjeve 53 port
Jer za 2-3 dana bude mikrotik postao zombie

[Kruno M]

Za sada mi stvar radi ovako:

Kačim se na router od susjeda (naravno da je dogovor) sa AP-om, sebi sam stavio switch i nakačio na njega šta mi treba i u AP-u podesio svoj SSID i u biti je to to.

Sad sam nabavio mikrotik RB951 i želio bih napraviti isto. "pokupit" wifi mrežu od susjeda, sebi ju proširiti po stanu uz drugi SSID. Isti range kao i susjed, ja bih DHCP davao poslije 192.168.1.200, a susjed do .200.

Da li ima negdje kakav tut i može li pomoć?

Thx

[dadoremix]

repetitor možeš stavit

ali ne tako kako si ti zamislio


dhcp moze bit samo 1
mogu bit i 2.. ali trebaš onda subneta razdjelit .. klasika je 192.168.x.1/24
ako ides na pola .. /25 pa ti ide od 1 do 128 i dalje 129 do 254

tako da dhcp u prvom uređaju zna do kuda smije .. i drugi od kuda smije počet


najbolje da si uzeo neki ap sa 2 wifi kartice u sebi

pa prvi hvata što treba .. druga kartica daje kaj treba, i onda ide i ovo što si zamislio


a ovako.. repetitor mode .. i vozi miki koliko ide

[Kruno M]

Logika mi je ovakva i pokušavam to napraviti ali mi fale koraci izgleda

Na mikrotiku

- wifi Station mode, nakačim se na router sa netom.
- Bridgam wifi sa ethernetima
- napravim virtual wifi sa mojim podacima

uz sve to dhcp je na speedportu do .200, a na mikrotiku bi dao od .201. (ovo se odnosi na wifi)

To sve sad radim sa asusom od 150kn pa mi malo nejasno zašto mikrotik to nebi mogao, ali eto pate me točne postavke.

Samo me pati sve po redu

[jp_rv]

ako se tikom spajaš na drugi tik, onda ti je mod rada station-bridge, a ne station jer neće bit komunikacije.

tik da bi radio routing, mora raditi routing u drugi subnet. ne radi kao obični routeri (šta i mene smeta jer jednostavnu stvar od 2 klika, na tiku ili ne radi ili mi treba 3 mjeseca faksa da skužim kako da proradi).

znači tebi treba wlan1 biti station bridge, dhcp client na njemu (ili static ip).
wlan2 ti je ap-bridge . on je dodan u bridge sa ostalim portovima.
dhcp server ti je na bridge-u, ali u nekom drugom subnetu. tu ti je i firewall u điru. meni taj dio malo zapinje pa mi je najlakše quicksetom mu stavit da je wisp client, jer se automatski stvore firewall roule-ovi, pa ručno kasnije mijenjam šta treba.

[Kruno M]

Thx

Nije drugi mikrotik, speedport od tcoma

Eo uspio sam iskonfigurirati željeno.

Svi LANovi i virtual wifi(wlan2) su mi bridgani i na njima imam net koji kupim sa tikom u station modu sa speedporta (tcom), ali sve na drugom subnetu.

Taman da ću pokušati prebaciti na isti subnet pa od adrese do adrese.

Znaći to da ni ne pokušavam? To jednostavno nejde.



Sad me pati portforward.

Da li ja na tcom routeru koji je u range 192.168.1.x puštam port na adresi 192.168.88.x port 500 recimo? Šta trebam na mikrotiku onda odraditi da bi mi taj port bio otvoren?

[Nikky]

Naravno da Tik to može i točno je da te malo zezaju koraci.
Isto tako može se složiti na 2 načina:
a) Happy big family
b) Repeter WiFi u drugom mrežnom segmentu kako bi se odvojilo od ostatka mreže
(po potrebi Lan portovi u grupi sa prvim ili drugim)

a)
- napravi reset i potegni default config (za početak ti je tako jednostavnije),
u tom konfigu je Lan1 predviđen kao WAN, a Wifi + svi Lan - ovi su u jednom bridge - u, taj bridge ima IP=192.168.88.1, ...

- Lan1 stavi na disable, nećeš ga koristiti

- nađi gdje je definirao IP=192.168.88.1 (vjerojatno na bridge) i promijeni ga u IP=192.168.1.254 (da bude u istom nizu)

- isto tako postoji definiran DHCP Server u 192.168.88.x nizu, njega izbriši a kasnije ćeš definirati Relay

- glavni Wlan1 > station > spoji na gl. router (to si već radio)

- na tom istom Wlan1 stavi DHCP Client da dobije ip adresu gl. routera kada se spoji

- na Wlan1 napravi virtualni interface > AP mode ...

- definiraj DHCP Relay na Wlan1, stavi da "gleda" gl. router na 192.168.1.1

- definiraj DNS Server, za servere stavi 192.168.1.1, 8.8.8.8, 1.1.1.1

- nije nužno ali je zgodno definirati sntp da sinhronizira datum / sat pa je lakše analizirati logove ako bude trebalo

Ima i nekakav Repeter wizzard pa možeš probati i sa njim.

Za kraj evo par videa, ovaj prvi objašnjava b varijantu, malo zbrčkano tumači a navedeni add-on paket ti nije nužan
https://www.youtube.com/watch?v=SrW4OVa84O8
https://www.youtube.com/watch?v=mBC9Nd-MceE
...

[jp_rv]

Autor Kruno M

Thx

Nije drugi mikrotik, speedport od tcoma

Eo uspio sam iskonfigurirati željeno.

Svi LANovi i virtual wifi(wlan2) su mi bridgani i na njima imam net koji kupim sa tikom u station modu sa speedporta (tcom), ali sve na drugom subnetu.

Taman da ću pokušati prebaciti na isti subnet pa od adrese do adrese.

Znaći to da ni ne pokušavam? To jednostavno nejde.



Sad me pati portforward.

Da li ja na tcom routeru koji je u range 192.168.1.x puštam port na adresi 192.168.88.x port 500 recimo? Šta trebam na mikrotiku onda odraditi da bi mi taj port bio otvoren?

daj mikrotiku na wlan1 statičnu ip adresu da bude uvijek ista (recimo 192.168.1.254).
na glavnom routeru, tu ip adresu stavljaš u DMZ, šta znači da on sve portove otvori na ip od mikrotika.
dalje se igraš sa firewall-om na tiku, firewall->nat dodaješ rule-ove.

ip adrese su ti u ip->addresses

dhcp relay ne vidim svrhu, jer ILI će glavni router ionako proslijediti ip adresu svim tikovim klijentima ako imaš bridge (tj repeater mod rada), ili će dhcp server biti na tiku. tako da relay kao takav, neznam čemu služi.

[Kruno M]

Hvala obojici na pomoći.

Ipak mi nejde konfiguracija na istom subnetu. Negdje nešta fulam a neznam šta, budem spojen ali ne prolazi mi net ni ping, ništa.

[Kruno M]

Složio sam ga i sa istim subnetom i sa drugim.

Ali sad me pati portforward, nikako ne mogu pustiti port van.

Znaći:
- mikrotik mi u station modu kupi router sa netom

- na routeru sa netom je u DMZ stavljena ip adresa koju wifi od mikrotika dobije

- na mikrotiku pod NAT:
-general-
chain: dstnat
dst port: 5901
in interface: wlan1

-action-
action: dst-nat
to adress: adresa od kompa sa vnc-om
port: 5901


EDIT:
Pod firewall-NAT- rulom vidim da paketi dolaze jer pokušavam pristupiti, što bi znaćilo da sam prošao glavni tcom router, samo me pati mikrotik?

Šta moram staviti pod firewall-filter rulles ?

[Velikus]

ima li netko iskustva sa dodavanjem eksterne antene na RB941?

[dadoremix]

ajmo malo jači znalci ..

trebam help
pppoe konekcija na internet
šta imate u firewall rules ?


ja več neki config furam preko godinu+ dana
I donedavno sve bilo ok .. sad me počeo zezat .. IPTV
jednostavno, ne mogu šaltat kanale, ne uspostavi vezu sa serverom
tek nakon x pokušaja i kada kanal dođe.. rock stabilan
kao firewall ugasim .. konekcije počistim .. sve je ok
ali naravno, onda imam terror nad mikrotikom iz internet okruženja


ajd udjelite nešto
ovo je moj config
https://pastebin.com/tB2qfhjq


uglavnom, došao do saznanja da me nešto hebe rule 9 .. output

[Cuky]

Nemam niakkav "forward" rule slozen za internet konekciju. Jedino za skakanje iz jednog u drugi subnet.

I nisam ni blizu stitio mtik kao ti s tom hrpom ruleova.

[dadoremix]

a filter je malo jači, jer ima se i korisnika interneta malo vise
al ne štiti od njih samih, da si utrpaju viruse na svoja računala


ajde, podjelite.. šta vi imate, a da je minimum.
Jer sam danas toliko popizdio, da mi došlo da vratim modemu neka se bavi podizanjem veze, u njemu si forvardam portove koje trebam a dalje mikrotik neka svoje radi i BMK.

[Cuky]

Posaljem ti veceras kad dodem s puta jer cu tad bit uz komp.

[dadoremix]

/ip firewall filter
add chain=input comment="Accept established and related packets" connection-state=established,related
add chain=input comment="Accept all connections from local network" in-interface=BR_lan
add action=drop chain=input comment="Drop invalid packets" connection-state=invalid
add action=drop chain=input comment="Drop all packets which are not destined to routes IP address" dst-address-type=!local
add action=drop chain=input comment="Drop all packets which does not have unicast source IP address" src-address-type=!unicast
add action=drop chain=input comment="Drop all packets from public internet which should not exist in public network" in-interface=optika src-address-list=NotPublic

add chain=forward comment="Accept established and related packets" connection-state=established,related
add action=drop chain=forward comment="Drop invalid packets" connection-state=invalid
add action=drop chain=forward comment="Drop new connections from internet which are not dst-natted" connection-nat-state=!dstnat connection-state=new in-interface=optika
add action=drop chain=forward comment="Drop all packets from public internet which should not exist in public network" in-interface=optika src-address-list=NotPublic
add action=drop chain=forward comment="Drop all packets from local network to internet which should not exist in public network" dst-address-list=NotPublic in-interface=BR_lan
add action=drop chain=forward comment="Drop all packets in local network which does not have local network address" in-interface=BR_lan src-address=!192.168.0.0/24

trenutno sam na ovome
jer ne mogu otkrit šta mi hebe iptv, da konekcije ne otvara, sa ovime je sad ok
al lupaju po ssh, telnet itd, to sam trenutno u servisima ograničio da može se spajat samo lokalna mreža 192.168.0.0/24

[extasy]

hvala, idem probat danas i sebi to iskoristit jer sam u istom problemu

[dadoremix]

update
skonto sam sljedece .. malo frendove zval i skuzil da updejt mikrotika mi to zhebal
6.34.4 verzija ok radi sa mojim FW rules
e sad, ili su z*jebali novi 6.34.8
ili moji rulovi hebejo novi 6.34.8
Čitao njihov log, al ništa konkretno nisam skuzio


tak da, odi na 6.34.4 ili niže .. stable kanal
fora da i bugfix kanal nije dobar 6.42.10 verzija


edit
posipat se pepelom
firewall >> mangle rule mi falio
chain=forward action=change-mss new-mss=clamp-to-pmtu passthrough=yes tcp-flags=syn protocol=tcp out-interface=optika tcp-mss=1453-65535 log=no log-prefix=""



sreca pa ima pametnijih i koji imaju ovih dana vremena mozgat
Nadam se da je to to..

ako ne.. bude još koji EDIT

[dadoremix]

al još nisam siguran da je to to ..

ajmo . pametniji
prijedlog još kakav ili je to to

[Nikky]

Može li jedno glupo (koje kasnije ispadne da ni tak glupo) ?
Ako se ne varam, igra / važno je gdje je u listi koji rule (pravilo).
Probaj rule (ove) koji imaju veze sa IpTv (radi preko njih) postaviti ranije na listi (aka prioritet).

[dadoremix]

nemas tu rulove za iptv


i da, vazno je gdje je kaj u listi na mikrotiku, recimo potegni ovaj zadnji rule na vrh i eto ti veselja
drop all

[Cuky]

Autor Cuky

Posaljem ti veceras kad dodem s puta jer cu tad bit uz komp.

evo link na moje postavke

https://pastebin.com/w8HUPrui

[dadoremix]

a kaj imas u mangle tabu ?

[Cuky]

Nista, prazno.