Der SFP-Cage ermöglicht das Nachrüsten verschiedenster Schnittstellen. Z.B. könntest Du dort ein SFP-VDSL-Modem einstecken. Oder irgendwas, was dir ein physikalisches vorhandenes Medium jenseits von CAT nutzbar macht.
[luckysh0t@MikroTik] > /ip firewall filter export
# may/13/2020 15:16:25 by RouterOS 6.46.6
#
#
# model =
# serial number =
/ip firewall filter
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
"defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=\
invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" \
connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
add action=drop chain=forward comment=Itunesserver src-mac-address=\
xx:xx:xx:xx:xx:xx
add action=drop chain=forward comment=Filer src-mac-address=xx:xx:xx:xx:xx:xx
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes:global ddnsuser "usr"
:global ddnspass "token"
:global theinterface "pppoe-out1"
:global ddnshost xxx.dyndns.org
:global ipddns [:resolve $ddnshost];
:global ipfresh [ /ip address get [/ip address find interface=$theinterface ] address ]
:if ([ :typeof $ipfresh ] = nil ) do={
:log info ("DynDNS: No ip address on $theinterface .")
} else={
:for i from=( [:len $ipfresh] - 1) to=0 do={
:if ( [:pick $ipfresh $i] = "/") do={
:set ipfresh [:pick $ipfresh 0 $i];
}
}
:if ($ipddns != $ipfresh) do={
:log info ("DynDNS: IP-DynDNS = $ipddns")
:log info ("DynDNS: IP-Fresh = $ipfresh")
:log info "DynDNS: Update IP needed, Sending UPDATE...!"
:global str "/nic/update\?hostname=$ddnshost&myip=$ipfresh&wildcard=OFF&system=dyndns&mx=&backmx=NO"
/tool fetch address=members.dyndns.org src-path=$str mode=http user=$ddnsuser \
password=$ddnspass dst-path=("/DynDNS.".$ddnshost)
:delay 1
:global str [/file find name="DynDNS.$ddnshost"];
/file remove $str
:global ipddns $ipfresh
:log info "DynDNS: IP updated to $ipfresh!"
} else={
:log info "DynDNS: dont need changes";
}
}/system scheduler
add interval=1m name=DynDns on-event=DynDns policy=ftp,reboot,read,write,policy,test,winbox,password,sniff,sensitive,api start-time=startup/ip dns
set allow-remote-requests=yes
/ip dns static
add address=00.00.00.00 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
"defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
ipsec-policy=out,none out-interface-list=WAN
add action=dst-nat chain=dstnat comment="xxx" dst-port=000 \
in-interface=pppoe-out1 protocol=udp to-addresses=00.00.00.00 to-ports=\
000Das Script startet über den Scheduler wenn der Router gestartet wird ( start-time=startup ) und wird dann jede Minute 1x ausgeführt ( interval=1m ), dauert also im schlimmsten Fall eine Minute bis nach einer Trennung die neue IP an DynDNS übermittelt wurde. Das lässt sich von Scripting Veteranen bestimmt auch auf mehrere Hosts anpassen, für den Anfang hätte ich es mir einfach gemacht und für jeden DynDNS Host ein Script angelegt und alle Scripte im Scheduler hinterlegt.
Einfach ausgedrückt:
Das stimmt nicht ganz. Die Default Regeln beziehen sich auf alles außer Liste LAN. Wenn er es dort nicht aktiv eingetragen hat, ändert sich nichts und er ist safe.
Die Geschichte mit dem zweiten DNS als Backup-DNS funktioniert leider fast nie, wie man intuitiv denken würde. Es gehen (egal ob Windows oder andere) auch im Normalfall (erster DNS erreichbar) auch Requests an den zweiten. Und sobald der erste fehlschlägt, gehen auch auch dorthin noch nachfolgende Requests.
Ich lass es erst mal laufen, es wird sich zeigen wie es sich verhält. Aktuell sieht es gut aus. Die Verbindung bleibt aktiv.
Die Sachlage is so das ich von meinem Handy im WLAN (die Ubiquiti APs beziehen per DHCP) problemlos per Ts3 App auf externe TS Server ausserhalb meines Netzwerkes verbinden kann.
Jetzt wo ich das so lese wird mir einiges klar. Das erklärt so manches verhalten. Wenn ich nur den MT als DNS per DHCP verteile, wo wird dann der Pihole hinterlegt, das dieser noch seinen Dienst verrichtet?
Mach das mal. Wirklich erkennen kann ich das Problem anhand bisher gestellter Infos nicht. Kannst mal einen "/export hide-sensitive" auf alles machen, dann wühle ich mich bei Gelgenheit mal durch.
Alle Geräte (egal ob DHCP oder statisch sollten den MT bekommen. Der kümmert sich dann um den Rest. Im Regelfall sollte der MT dann den piHole als DNS haben und Du in der PPPoE Verbindung die Dynamic DNS Servers ausschalten.
/system script
add dont-require-permissions=no name=dns-failover owner=martin policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon source=":local queryDomain \"google.de\"\r\
\n:local dnsServerList { 10.1.10.2; 10.0.10.2; 1.1.1.1; 8.8.8.8 }\r\
\n\r\
\n:local currentDnsServer [ /ip dns get servers ]\r\
\n:local newDnsServer false\r\
\n\r\
\n:foreach dnsServer in=\$dnsServerList do={\r\
\n :if ( \$newDnsServer = false ) do={\r\
\n :do {\r\
\n :resolve server=\$dnsServer domain-name=\$queryDomain\r\
\n :set newDnsServer { \$dnsServer }\r\
\n } on-error={\r\
\n :log info \"DNS failed resolving \$queryDomain: \$dnsServer\"\r\
\n }\r\
\n }\r\
\n}\r\
\n\r\
\n:if ( \$newDnsServer = false ) do={\r\
\n :log error \"All DNS failed resolving \$queryDomain. Assuming common failure and aborting withoud doing anything.\"\r\
\n :error \"All DNS failed resolving \$queryDomain. Assuming common failure and aborting withoud doing anything.\"\r\
\n} else={\r\
\n :if ( \$currentDnsServer != \$newDnsServer ) do={\r\
\n :log warning \"DNS changed: \$currentDnsServer -> \$newDnsServer\"\r\
\n /ip dns set servers=\$newDnsServer\r\
\n } else={\r\
\n :log debug \"DNS seems fine, staying at \$currentDnsServer.\"\r\
\n }\r\
\n}\r\
\n"
/system scheduler
add interval=1m name=dns-failover on-event="/system script run dns-failover" policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon start-date=apr/26/2020 start-time=15:03:05Ja, ich.
