Mikrotik Routerboard so möglich?

[jonasgrafe]

Hallo zusammen,

Folgende Situation, ich habe momentan Internet bei Telekom (bis zu 16000) mit Entertain. Meine Hardware ist wie folgt aufgebaut:
Speedport W921V -> Telefone und Entertain Receiver, und einen Intel Nuc mit 2 USB LAN Adaptern mit einer Sophos UTM (Port 1 Kabel vom Router, Port 2 internes Netz, Port 3 Gast/Kinder Netz mit diversen Beschränkungen wie YouTube gesperrt)

Im Februar bekommen wir nun einen Kabelanschluss von einem örtlichen Versorger mit 50000. Das wird aber der Nuc nicht schaffen, da dieser jetzt schon oft zu langsam ist, liegt wohl an den USB LAN Adaptern, da die CPU und RAM nicht ausgelastet wird.

Nun habe ich gedacht ob ich ein Mikrotik Routerboard RB951UI-2ND verbauen könnte und somit den Nuc ablösen kann.
Ich habe gesehen das ich mit dem Routerboard verschiedene Netze mit verschiedenen IP Bereichen aufbauen kann. Kann ich auch z.B. Youtube für ein bestimmtes Netz/LAN Port blocken und kann ich auch Zeiten festlegen in denen das Netzwerk deaktiviert wird?
Der Aufbau soll nachher wie folgt sein am Routerboard:
Port 1: Ankommend vom Modem
Port 2: internes Netz
Port 3: Gast/Kinder Netz (Youtube Sperre, evtl auch Zeitsperre)
Port 4: Für andere Mietpartei im Haus (nur Internet, kein Zugriff auf die anderen Daten)
Port 5: reserviert

Hoffe das war ein wenig verständlich.

Gesendet von meinem D5503 mit Tapatalk

 

[martingo]

Den hAP würde ich nicht nehmen, der hat zwar WLAN, aber noch 100MBit Ethernet Ports. Würde den moderneren hEX V3 vorziehen, hat aber kein WLAN: MikroTik Routers and Wireless - Products: hEX

Grundsätzlich kannst Du all das und noch viele mehr ohne weiteres mit RouterOS machen.
YouTube kann aber problematisch sein. Ich weiß nicht, wie Sophos das löst, aber normalerweise wird heutzutage https verwendet und Deine Inspektionsmöglichkeiten sind damit begrenzt. Du kannst Adresslisten verwenden (youtube.com YouTube m.youtube.com usw.) und dadurch die IPs dahinter blocken. Soweit sich jemand auskennt, ist aber relativ einfach zu umgehen.
Zeitsperre geht über den integrierten Scheduler. Z.b. zeitgesteuert Interface oder bestimmte Firewallregeln (de-)aktivieren.
Der Rest ist Standard.

Edit: Falls WLAN und Gigabit benötigt werden, kämen die hier noch in Frage:
MikroTik Routers and Wireless - Products: RB951G-2HnD
MikroTik Routers and Wireless - Products: RB2011UiAS-2HnD-IN
MikroTik Routers and Wireless - Products: hAP ac

 

[Opticum]

+1 für den Mikrotik hEX v3

würde für WLAN dann z.B. einen Ubiquiti Access Point nehmen.

 

[jonasgrafe]

Sophos regelt das über Applikationen Control, dort kann man auch speziell Spiele oder Apps sperren wie Pokemon Go, oder Supercell Spiele ala Clash of Clans.

Den hex habe ich mir auch schon angeschaut. Und was haltet ihr vom Edgerouter X?

WLAN kann ich Zur Not noch über vorhandene WLAN Router realisieren, bzw einen Ubiquiti AP habe ich auch noch liegen, bzw jetzt ein Verwendung.

Wobei mir gerade so einfällt, ich habe eh nur 100 MBit da meine LAN Verkabelung im Haus nur über missbrauchte Telefonkabel geht und meine Switche auch nur 100 können. Also würde der oben genannte evtl reichen.

Gesendet von meinem D5503 mit Tapatalk

 

[martingo]

Was Du vorhast, wird mit jedem, ich sage mal "non-typical-Consumer" Router gehen. Also Router mit umfangreichen Konfigurationen, die aber auch mehr Wissen und Konfigurationsaufwand erfordern. Fritz!Box ist ein guter, idiotensicherer Consumer Router, mit dem sowas jedoch nicht geht.

Geht sicher auch alles mit einem Ubiquiti Router. Erfahrung habe ich nur mit Mikrotik und ich sehe keinen Grund Routermäßig zu einem anderen Hersteller zu wechseln. Ubiquiti haben wir für WWAN Netzwerke im Einsatz. Funktionieren auch gut, die Konfigurierbarkeit fand ich bei MikroTik besser. Kann sein, dass Ubiquiti Router auch gut sind. Tendenziell teurer.

Dass es über Application Control geht, hatte ich per Google Suche gefunden. Was dahinter steckt, kann ich aber nicht sagen. Aus meiner Low-Level-Sicht ist eine dauerhaft funktionierende Blockade nur über ständig aktualisierte Adresslisten möglich. In https Traffic kann man ohne Zwischenterminierung (und folglich ungültige Zertifikate) nunmal nicht reinsehen. Möglich, dass Sophos Adresslisten pflegt, aber ich kann mir kaum vorstellen, dass sie die der kostenlosen Version zur Verfügung stellen.
Soweit ich das sehe, funktionieren diese Filter ebenfalls nur über Packet Inspection und domainbasierte Adresslisten was zur Folge hat, dass z.B. ein direkter https Video Aufruf auf eine nicht-standard Adresse möglich sein müsste.