[Sammelthread] MikroTik Geräte

[0 8 15 User]

set bridge=BR1 tagged=ether24 [find vlan-ids=10]
...
set bridge=BR1 ingress-filtering=yes frame-types=admit-only-vlan-tagged [find interface=ether24]
...
An port 24 hängt ein "Uplink" zur Fritzbox

Die FRITZ!Box kann doch gar kein tagged VLAN?

 

[0xsepa]

Die FRITZ!Box kann doch gar kein tagged VLAN?

Deswegen wird PVID=1 greifen.

 

[0 8 15 User]

Bei obiger Konfiguration prallen die Pakete, die von der FRITZ!Box kommen, einfach am Switch ab.

 

[0xsepa]

Oh stimmt - habe das ingress-filtering=yes und frame-types=admit-only-vlan-tagged überlesen. Damit werden ja nur explizit getaggte Pakete verarbeitet.

 

[Shihatsu]

Das ist bei obiger Konfiguration auch erstmal kein Problem, so meine Denke - die Fritzbox stellt ja erstmal nur die WAN-Seite da. Ich kriege aber unten rum garkein Netz - ich kann das Gateway (die OPNSense) nicht pingen, d.h. zur Fritzbox komme ich eh nicht. Aber die obige Konfiguration war auch nur mein Versuch RoaS umzusetzen. Ich bau gerade nochmal alles neu auf (langsam werd ich schneller) und mala parallel dazu das Bild UND ziehe eine zweite OPNSense hoch. Gibt es eine Möglichkeit die komplette Config mittels Script auf den Switch zu laden? Ich hatte das versucht, das führte aber nur zu einem Reset...

 

[Shihatsu]

So, sorry für den Doppelpost, hier nun die Bilder, das hier ist der derzeitge Stand:

Im Switch sieht das so aus:

ether 2 und 3 haben die pvid10, ehther15 und 24 die 1:

Und im Moment will ich erstmal das die beiden Testclients ins VLAN kommen. Und dann will ich nach und nach weitere VLANs aufbauen die dann bestimmte Sachen nicht dürfen oder eben dürfen (Mein Fernseher soll nicht ins Internet, z.B...).

 

[0 8 15 User]

Die OpnSense ist richtig konfiguriert? DHCP-Server läuft auf VLAN 10?

 

[Shihatsu]

Ich denke das sie das ist, ja.
VLAN angelegt, dem Port zugewiesen, DHCP angemacht und ne Range zugewiesen und Firewall-Regeln angelegt die alles auf machen.
In einer anderen Switch-config hat es ja schon geklappt das ich per DHCP eine Adresse bekomme - und seit dem hab ich daran auch nichts angefasst, insofern: Ich glaube in der OPNSense ist das sauber.

 

[0 8 15 User]

Im Switch sieht das so aus:

Warum sind ether3 und ether2 bei 'Current Tagged' aufgelistet? Sollten das nicht einfache Access Ports sein? Du willst doch vermutlich, dass die Ethernet-Frames bei den Testclients untagged ankommen oder nicht?

 

[hominidae]

Im Switch sieht das so aus:
Anhang anzeigen 634159
ether 2 und 3 haben die pvid10, ehther15 und 24 die 1:
Und im Moment will ich erstmal das die beiden Testclients ins VLAN kommen. Und dann will ich nach und nach weitere VLANs aufbauen die dann bestimmte Sachen nicht dürfen oder eben dürfen (Mein Fernseher soll nicht ins Internet, z.B...).

...sind die Clients VLAN aware? "Current" tagged/untagged ist das, was der Switch sieht, nicht was er damit macht. Was steht im Konfig Dialog von VLAN10? ether2/3 tagged oder untagged?
Wenn die Clients "dumm" sind, dann die beiden Ports auf untagged und wieder ingress-filtering=yes und frame-types=admit-only-vlan-tagged Edit: admit-only-untagged-and-priority-tagged einbauen, damit diese beiden ein Access Port werden.

Edit: oups, zu spät ;-)

 

[0 8 15 User]

dann die beiden Ports auf untagged und wieder ingress-filtering=yes und frame-types=admit-only-vlan-tagged einbauen

Du meinst 'admit-only-untagged-and-priority-tagged' oder steh ich grad voll auf dem Schlauch?

 

[Shihatsu]

Warum sind ether3 und ether2 bei 'Current Tagged' aufgelistet? Sollten das nicht einfache Access Ports sein? Du willst doch vermutlich, dass die Ethernet-Frames bei den Testclients untagged ankommen oder nicht?

War so gedacht als Access-Points, in dem Fall einfach mal "dum" weil mitlerweile völlig confused. Ist geändert, und siehe da, es geht.

...sind die Clients VLAN aware? "Current" tagged/untagged ist das, was der Switch sieht, nicht was er damit macht. Was steht im Konfig Dialog von VLAN10? ether2/3 tagged oder untagged?
Wenn die Clients "dumm" sind, dann die beiden Ports auf untagged und wieder ingress-filtering=yes und frame-types=admit-only-vlan-tagged einbauen, damit diese beiden ein Access Port werden.

Edit: oups, zu spät ;-)

Was bedeuted "VLAN aware" in diesem Fall genau? Es sind ganz "normale" Linux Clients - ein Laptop und eine VM mit eigenem physischem Port (und keinem virtuellen).

Du meinst 'admit-only-untagged-and-priority-tagged' oder steh ich grad voll auf dem Schlauch?

Wenn ich die so lasse (admit all und ingress nicht aktiviert) funktioniert es - ich komme ins Internet, yay. Sobald ich aber ingress aktiviere und admit-only-vlan-tagged mache, komme ich nicht mehr ins internet - aber natürlich will ich die aktiviert haben...

 

[0 8 15 User]

Was bedeuted "VLAN aware" in diesem Fall genau? Es sind ganz "normale" Linux Clients - ein Laptop und eine VM mit eigenem physischem Port (und keinem virtuellen).

Linux kann prinzipiell mit tagged VLAN umgehen, aber nicht ohne es explizit zu konfigurieren. Wenn du Frames mit VLAN Tag 10 an den Client sendest, dann weiß er erst mal nicht, was er damit anfangen soll.

Sobald ich aber ingress aktiviere und admit-only-vlan-tagged mache

Macht an dem Port keinen Sinn, weil der Client dir ja auch keine tagged Frames schickt, es sei denn, du konfigurierst den Client entsprechend um, was hier aber auch keinen Sinn macht.

aber natürlich will ich die aktiviert haben...

Kannst du ja auch, aber eben in Kombination mit frame-types=admit-only-untagged-and-priority-tagged.

 

[hominidae]

Kannst du ja auch, aber eben in Kombination mit frame-types=admit-only-untagged-and-priority-tagged.

Wenn ich die so lasse (admit all und ingress nicht aktiviert) funktioniert es - ich komme ins Internet, yay. Sobald ich aber ingress aktiviere und admit-only-vlan-tagged mache, komme ich nicht mehr ins internet - aber natürlich will ich die aktiviert haben...

...mein Fehler, sorry....hatte sich überschnitten und Du hattest das Edit nicht mehr gesehen....@0 8 15 User hat recht.

 

[Shihatsu]

Mit "admin only vlan tagged " meinte ich natürlich "admit-only-untagged-and-priority-tagged".
Also, mitlerweile verstehe ich garnichts mehr. Ich habe jetzt an der Firewall nichts geändert, sondern nur etwas die Einstellung an den ports selber hin und her getestet. Jetzt kriege ich tatsächlich keine DNS-Auflösung mehr hin, das ist super strange. Ich kann sauber nach außen pingen, aber nichts auflösen, dabei wird ein DNS gesetzt und ich kann den auch erreichen (das gateway selber aka die OPNSense). Man man man, woran das wieder liegt...

Also, ich will nicht meinen Geräten sagen müssen "Hey, du bist Member eines VLANs, kümmer dich drum". Ich hab also nur dumme Geräte, keines ist VLAN-aware. D.H. doch für alles was in den jeweiligen Ethernetport am Switch reinkommt hänge ich (weil ich die PVID setze) ein VLAN-Tag an den untagged Datenverkehr. Damit stelle ich sicher das jedes daran angeschlossene Gerät Datenpakete (weiter) sendet die mit dem entsprechenden VLAN-Tag versehen sind. Oder habe ich das falsch verstanden?
Zum port:

1. Wenn ich jetzt admit all && ingres filtering off habe, nimmt der port die pakete an, packt die pvid dran und schickt sie richtung bridge
2. Wenn ich admit only VLAN tagged && Ingress Filtering=(off/on, sollte keine rolle spielen) mache droppt er ja alles, weil meine Clients nicht selber taggen.
3. Wenn ich admit only untagged and priority tagged && Ingress Filtering=off ist das ja das selbe wie 1., weil meine traffic ja untagged ist

Was passiert jeweils wenn ich ingress filtering=on setze?

Edit: DAs DNS-Problem kann von der Liste gestrichen werden, die Gui von OPNSense ist komisch. Man kann zwar einen DNS-Server setzen, aber der tuts nicht wenn er explizit gesetzt ist - warum auch immer.

 

[hominidae]

Unifi: 290-300Mbps

cAP-ac: 240Mbps (aber die Reichweite ist nicht ausreichend)
wAP-ac (new/r3): 270-290Mbps (Reichweite besser, aber nur 90-120Mbps an der anderen Seite des Raumes (ca. 9m)
hap-ac3 (ROS6): 290-310Mbps (Reichweite deutlich besser, 120-130Mbps auf der anderen Seite)
hap-ac3 (ROS7.1b6, standard wireless package): 270-290Mbps (Reichweite auch schlechter, 80-100Mbps)
hap-ac3 (ROS7.1b6, wifiwave2 package): 310-340Mbps (laptop) bzw 420-500Mbps (S9)...(Reichweite top, 170-190Mbps auf der anderen Seite)

Der hap-ac3 scheint mit den Antennen doch etwas zu bringen. ROS7 bringt mit standard wireless package nix, aber mit wifiwave2 geht vergleichsweise die Post ab im Vergleich zu vorher
Wegen einer Fehlkonfig hatte ich beim hap-ac3 und wifiwave2 auch mal das 2G Band am start...der cap-ac und der Unifi kommen da auf 80-100Mbps...der hap-ac3 auf 100-120.

Am WE hänge ich die Dinger an die gleichen Stellen der UAP und teste nochmal genauer mit iperf3

Grrr... also heute habe ich nochmal getestet...beide Unifi sind durch hap-ac3 ersetzt.
Erstmal mit capsman getestet, im hap ac3 ROSv6.48.3.
Da ist der Durchsatz - aber immer nur im download - glatt 100Mbps schlechter ... statt 290Mbps nur 190Mbps down, aber (manchmal) bis 290Mbps im Up

Der hap ac3 kommt aber weiter als der cAP-ac...der FireStick 4K sagt zwar die Verbindung wäre nur gerade so ausreichend, aber spielt brav alles ab....das ging mit dem cAP-ac schief.
Unterschied: hier im EG hängt der AP an der Wand...da sind die externen Antennen das hap-ac3 wohl etwas von Vorteil...aber Mann, ist das ein grosses, schwarzes Schiff

Dann habe ich mit einer lokalen Konfig, ohne capsman getestet und bin wieder bei 290-310Mbps up&down gelandet.
5G Channel steht auf 5G-n/ac und Extension XXXX.

Capsman sagt zum Status des wlan-IF:
:

...bei lokaler Confif sieht das IF so aus:

set [ find default-name=wlan2 ] adaptive-noise-immunity=ap-and-client-mode \
    band=5ghz-n/ac channel-width=20/40/80mhz-XXXX country=germany \
    installation=indoor mode=ap-bridge name=SSID1_5G security-profile=\
    SecSSID1 ssid=SSID1_5G wireless-protocol=802.11 wps-mode=disabled

Jemand ne Idee?

 

[0 8 15 User]

ohne capsman getestet und bin wieder bei 290-310Mbps up&down gelandet.

Der Local Forwarding Mode ist aber schon eingeschaltet? Sprich 'datapath.local-forwarding=yes'.

Da ist der Durchsatz - aber immer nur im download - glatt 100Mbps schlechter ... statt 290Mbps nur 190Mbps down, aber (manchmal) bis 290Mbps im Up

Der Upload ist bei meinem hAP ac2 - insbesondere in geringer Entfernung zum AP und insbesondere mit eingeschalteter 'adaptive-noise-immunity' - auch oft schneller als der Download.

 

[Shihatsu]

So, meine VLANs laufen - nächster Schritt: alles von QS nach Produktiv versetzen.
Ich habe den Plan erstmal alles was jetzt gerade am unmanaged Switch läuft auf den Mikrotik zu migrieren - also physisch umzustecken.
Ich komme von hier:

Das Ziel soll dann so aussehen:

Und dann will ich nach und nach die Clients in die VLANs verschieben.
Das Vorgehen dazu ist doch folgendes: Die Ports am Mikrotik auf die ich Geräte vom D-Link umstecke lasse ich erst einmal auf PVID / admit all und hänge sie an die bridge, sonst nichts - richtig?
Jetzt zum tricky part:
Ein Großteil davon ist visualisiert, z.B. auch die OPNSense und das piHole. Ich würde den proxmox-Host analog zu den anderen Geräten an einen Port hängen der in pvid1 hängt und auf admit all steht. Aber wie verschiebe ich den Host selber denn dann in ein VLAN? Geschweige denn die Maschinen? Kein Bock mich total aus zu sperren...

 

[hominidae]

Der Local Forwarding Mode ist aber schon eingeschaltet? Sprich 'datapath.local-forwarding=yes'.

Ja, sonst ist es sogar noch schlechter...das ist noi ....mal sehen, was da nch falsch läuft...der RB4011 mit Capsman ist über 10G an den CRS326 angeschlossen....da sollte genug Luft sein.

Der Upload ist bei meinem hAP ac2 - insbesondere in geringer Entfernung zum AP und insbesondere mit eingeschalteter 'adaptive-noise-immunity' - auch oft schneller als der Download.

...nur kann ich adaptive-noice-immunity garnicht auswählen im Capsman, sondern nur bei lokaler Konfig und da ist er ja schnell.

 

[PStran]

Ein Großteil davon ist visualisiert, z.B. auch die OPNSense und das piHole. Ich würde den proxmox-Host analog zu den anderen Geräten an einen Port hängen der in pvid1 hängt und auf admit all steht. Aber wie verschiebe ich den Host selber denn dann in ein VLAN? Geschweige denn die Maschinen? Kein Bock mich total aus zu sperren...

Blöd gefragt: Warum arbeitest du überhaupt mit VLAN wenn in deiner Zielconfig alles in einem Netz ist? Für ein Gästenetz?

Ansonsten würde ich Opensense und pihole einfach auf dem untagged Port lassen, denn dafür ist der ja da: Clients in ein VLAN packen, die selbst keine Pakete taggen können oder sollen.

Wenn es ein Besuchernetz (bspw. VLAN 9) geben soll, dann legst du in pihole und opensense zusätzliche VLAN-Interfaces an und aktivierst auf dem switchport an dem die proxmox-Mühle hängt, das entsprechende tagged VLAN. Dann ist der Port untagged-member von VLAN 1 und tagged-member von VLAN 9.

Im pihole gibts dann zwei Netzwerkinterfaces: eth0 und eth0.9. eth0 ist das primäre untagged interface für dein internes Netz und eth0.9 ist ein virtuelles Interface im VLAN 9, über das die tagged Pakete gehen. Das heißt: pihole schickt Pakete über eth0 untagged (also ohne VLAN im Header) und Pakete über eth0.9 getagged (also mit VLAN im Header).

Wo hakt es denn generell noch beim Verständnis?

 

[Shihatsu]

Ich habe "Die Clients" weg gelassen. Die packe ich in Kategorien (VLANs), die dann Dinge dürfen oder nicht dürfen (OPNSense Firewall Rules bzw. Aliase).
Bisherige Kategorien:

• Diverse WLAN-Geräte denen ich unterschiedlich "weit" traue, mit "Unterkategorie
• Diverse Mobilfunkgeräte
• Weitere Workstations
• Weitere Workstations die nur per Tunnel ins Netz kommen (Homeofficeausrüstung vom Arbeitgeber)
• Fernseher und Co (die müssen z.B. nirgendwohin, nur die Nvidia Shield darf ins Internet und genau einen Server (TrueNAS), die wird vielleicht ne eigene Kategorie)
• Homeautomation und Fernsteuerungen

Meine Frau und ich arbeiten beide von zu Hause aus und ich habe 3 Kinder, von denen die älteste in die 4te Klasse kommt und zum lernen schon tablet und Laptop "besitzt". Das will ich alles sauber trennen.
OPNSense und PiHole auf einem untagged Port lassen ist glaub ich eh gesetzt - dafür muss ich das PiHole erstmal getrennt aus proxmox "rausholen".
Die oben erwähnte Workstation kommt zum Beispiel in das 10er VLAN - je niedriger desto mehr Rechte, 0 ist "Management-LAN" aka VLAN1 - so der Plan. Und 90 ist dann TV - die dürfen nirgendwo hin.

 

[PStran]

OPNSense und PiHole auf einem untagged Port lassen ist glaub ich eh gesetzt - dafür muss ich das PiHole erstmal getrennt aus proxmox "rausholen".

Das dürfte ein Trugschluss sein. Meine Topologie unterschiedet sich von deiner in einem wesentlichen Punkt: Deine Opensense ist bei mir ein RB4011. Der hängt an einem hybrid-Port am Switch: Internes Netz mit allen Rechten ist untagged, die restlichen Netze liegen tagged an. Für das interne Netz spielt ein Linuxserver DHCP und DNS, für die anderen VLAN macht das der RB4011.

Wie hast du das geplant? Sollen die anderen VLAN per Firewallregel auch direkt auf 10.10.0.1 und 10.10.0.2 zugreifen dürfen oder sollen Opensense und Pihole ini jedem VLAN eigene IP-Adressen bekommen?

 

[quotengrote]

Moin, weiß jemand eine Idee mein Hairpin-NAT nicht funktioniert?

Spoiler

/ip firewall address-list
add address=192.168.2.0/24 comment="fuer fw und hairpin-nat" list=subnet2
add address=1.0.0.1 list=DOH-Server
[...]
add address=95.217.25.217 list=DOH-Server
add address=96.113.151.145 list=DOH-Server
add address=96.113.151.147 list=DOH-Server
/ip firewall filter
add action=accept chain=input comment="Established, Related" connection-state=established,related
add action=accept chain=input comment=ICMP protocol=icmp src-address-list=subnet2
add action=accept chain=input comment=SSH dst-port=22 protocol=tcp src-address-list=subnet2
add action=accept chain=input comment=winbox dst-port=8291 protocol=tcp src-address-list=subnet2
add action=accept chain=input comment=DNS dst-port=53 protocol=udp src-address-list=subnet2
add action=accept chain=input comment=DNS dst-port=53 protocol=tcp src-address-list=subnet2
add action=drop chain=input
add action=fasttrack-connection chain=forward comment=FastTrack connection-state=established,related
add action=accept chain=forward comment="Established, Related" connection-state=established,related
add action=drop chain=forward connection-state=invalid
add action=drop chain=forward comment="Drop incoming packets that are not NAT`ted" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
add action=drop chain=forward comment="Drop DNS-over-HTTPS" dst-address-list=DOH-Server log=yes log-prefix="Drop DoH: " port=443 protocol=tcp
/ip firewall nat
add action=masquerade chain=srcnat comment=srcnat-masquerade out-interface-list=WAN
add action=dst-nat chain=dstnat comment="Portweiterleitung Traefik" in-interface-list=WAN log=yes log-prefix="portweiterleitung_traefik: " port=80 protocol=tcp to-addresses=192.168.2.144 to-ports=80
add action=dst-nat chain=dstnat comment="Portweiterleitung Traefik" in-interface-list=WAN log=yes log-prefix="portweiterleitung_traefik: " port=443 protocol=tcp to-addresses=192.168.2.144 to-ports=443
add action=dst-nat chain=dstnat comment="Portweiterleitung Mango" in-interface-list=WAN log=yes log-prefix="portweiterleitung_mango: " port=51820 protocol=udp to-addresses=192.168.2.188 to-ports=51820
add action=masquerade chain=srcnat comment=Hairpin-NAT dst-address=192.168.2.20 dst-port=80 log=yes log-prefix="Hairpin-NAT: " out-interface-list=LAN protocol=tcp src-address=192.168.2.0/24
add action=masquerade chain=srcnat comment=Hairpin-NAT dst-address=192.168.2.20 dst-port=443 log=yes log-prefix="Hairpin-NAT: " out-interface-list=LAN protocol=tcp src-address=192.168.2.0/24
add action=dst-nat chain=dstnat comment=DNS-Redirect: dst-address=!192.168.2.1 dst-port=53 in-interface=!ether1 log=yes log-prefix="DNS-Redirect:: " protocol=udp src-address=!192.168.2.3 to-addresses=192.168.2.1 to-ports=53
add action=dst-nat chain=dstnat comment=DNS-Redirect: dst-address=!192.168.2.1 dst-port=53 in-interface=!ether1 log=yes log-prefix="DNS-Redirect:: " protocol=tcp src-address=!192.168.2.3 to-addresses=192.168.2.1 to-ports=53

Hat sich geklärt, die WAN-IP vom MT ist nicht die eigentliche WAN-IP da er als Exposed-Host hinter einer Fritte hängt… die Regel sollte also erst greifen wenn mein Vigor da ist…

 

[Shihatsu]

Das dürfte ein Trugschluss sein. Meine Topologie unterschiedet sich von deiner in einem wesentlichen Punkt: Deine Opensense ist bei mir ein RB4011. Der hängt an einem hybrid-Port am Switch: Internes Netz mit allen Rechten ist untagged, die restlichen Netze liegen tagged an. Für das interne Netz spielt ein Linuxserver DHCP und DNS, für die anderen VLAN macht das der RB4011.

Wie hast du das geplant? Sollen die anderen VLAN per Firewallregel auch direkt auf 10.10.0.1 und 10.10.0.2 zugreifen dürfen oder sollen Opensense und Pihole ini jedem VLAN eigene IP-Adressen bekommen?

Ich glaube du hast Recht. Die OPNSense muss die piHole VM erreichen, beides ist ja im untagged Netz.
Geplant ist das die anderen VLANs den "Standard" DNS nehmen, ich also keinen explizit einstelle. Sie nutzen dann die OPNSense, diese wiederum nimmt nur den piHole, alles andere ist geblockt (so wird man z.B. nervige Google-DNSe bei Androiden los). Aber ich denke ich werde mich von piHole verabschieden und unbound mit Listen in der OPNSense nehmen - lese mich da gerade ein, und man verliert fancy Auswertungen und gewinnt reduzierte Komplexität. Da ich meine OPNSense eh "HA-fähig" machen will, führt daran eh kein Weg vorbei.

 

[PStran]

Ah, ja, den Pihole als forward DNS für die Opensense einzutragen ergibt Sinn.

Ich hab mir das mit den VLAN übrigens mal in der Opensense angeschaut.

Hier legt man ein virtuelles VLAN-Interface auf einem "parent interface", also dem tatsächlichen Hardwareinterface, an:


Und hier wird das Interface sozusagen aktiviert:


Darauf aufbauend lässt sich ein DHCP-Server für das Netz anlegen etc. Das funktioniert also im Prinzip wie im RouterOS oder auch Linux.

Bei klappt es aber nicht aus der Vmware-VM heraus, dass über das VLAN auch Adressen vergeben werden.

 

[Shihatsu]

Ja, das ist quasi der "Kopf" meiner ganzen VLANs - diese Assignments in der OPNSense. Da hab ich gerade VLAN_[10..90] definiert, und der Mikrotik verteilt das dann auf Ports. Nur wie ich das auf einzelne VLANs in Proxmox und einzelne VLANs in einzelnen WLANs verteile ist noch offen. Aber eigentlich auch nur wegen Zeit.

 

[hominidae]

#
/caps-man channel
add band=5ghz-onlyac control-channel-width=20mhz extension-channel=XXXX frequency=5180,5200,5220,5240,5260,5280,5300,5320,5500,5520,5540,5560,5580 name=capsman-channel-list-5GHz reselect-interval=1h skip-dfs-c
add band=2ghz-b/g/n control-channel-width=20mhz extension-channel=XX frequency=2412,2417,2422,2427,2432,2437,2442,2447,2452,2457,2462,2467,2472 name=capsman-channel-list-2GHz reselect-interval=1h skip-dfs-chan

[...]

Das ist meine Konfiguration.
Ich hatte auch die einfache Konfiguration zuerst gewählt, wo Kanäle, Frequenzen etc. frei gewählt werden. Lief auch spitze, auf allen Endgeräten bis auf meine Windows10 Geräte.
Die wollten sich in bestimmte Kanäle vom 5G WLAN nicht einbuchen (eventuell war dies dasselbe Problem bei dir mit Unifi?) ; die haben sich nur mit 2.4G verbunden. Daher musste ich dann manuell ein paar Kanäle rausschmeißen.

Hier mal eine kurze Auflistung, welche Kanäle Windows 10 akzeptiert hat und welche nicht (Neuinstallation übrigens ohne Erfolg):
56 Lief
100 Lief
108 Lief nicht
116 Lief
120 Lief nicht

...es ist zum Mäusemelken.
Ich habe gestern, um das hinterste Zimmer im OG noch auszuleuchten, noch einen wAP ac aufgestellt.
Capsman verteilt brav die Frequenzen.....und was soll ich sagen...das S9, welches am hap ac3 im EG und OG jeweils 486-650Mbps-80Mhz connected kam am wAP ac nur auf 130Mbps-20Mhz
Das war am wAP der 5560er-eeCe Kanal, den Capsman da verteilt hatte.

Nun habe ich für alle DFS-Channels auf "skip" und siehe da, die 5G Clients kriegen wieder mehr Bandbreite.....allerdings sind alle auf dem ersten Kanal (5180-Ceee) .... muss ich wahrscheinlich mal irgendwann mit der TX-Power spielen, aber erstmal beobachten.
Das S9 kommt im Speedtest nun immerhin wieder auf 210/240Mbps (520/650Mbps-80MHz/2S/SGI, -42dbm in etwa 3m Entfernung)

 

[Shihatsu]

Was hast du eigentlich für ein Haus das du da so einen Ärger mit hast - und brauchst du die Bandbreite?
Ich hab einen (!) EAP 660HD mit Gigabit angeschlossen im DG (mittelgroßes Haus, Stahl in den Decken, Keller, EG, OG, DG), da komm ich im Keller noch auf 85MB/sec. Deine Geschichte hört sich gruselig an.

 

[0 8 15 User]

Dass manche Endgeräte mit manchen Funkfrequenzen nicht klar kommen, ist ja eigentlich nichts Neues.

muss ich wahrscheinlich mal irgendwann mit der TX-Power spielen

Wie macht man das bei den MikroTik Geräten eigentlich am besten? Bei meinem Ruckus kann ich ganz bequem '-6dB (Quarter)' einstellen und der Rest geht dann von alleine.

da komm ich im Keller noch auf 85MB/sec

2.4 GHz mit WiFi 6?

 

[Shihatsu]

Öhm das kann ich dir garnicht sagen - war kein richtiger "Test", sondern nur mit dem Lappi in den Keller gestiefelt und ne Datei gezogen (und das auch nur kurz) - mir gings dabei um Erreichbarkeit.
Ist Wi-Fi 6, eigentlich 5GHZ, kann aber durchaus sein das der unten die Frequenz gewechselt hat. Und ging dazu noch durch einen Tunnel, weil Arbeits-VPN.
Kann aber gerne nochmal ausführlicher testen wenn gewünscht. Mich verwundert das halt nur das die Geräte offenbar so krass unterschiedlich und "seltsam" performen.