Mikrotik RouterOS einstellen

[hominidae]

...die Frage beim switch1 war, welche Ports Master und welche Slave sind....nochmals dieser Link zum lesen: Manual:Switch Chip Features - MikroTik Wiki

Welche Ports willst Du routen und welche switchen? Den switch1 kannst Du nicht "löschen", nur die Switch=slave Beziehung auflösen....alle Ports auf MASTER und Du hast einen Router mit 5 individuellen Ports. Standard ist mMn eth1 Master, eth2 Master und eth3-5 sind slave auf eth2 (bilden also einen 4-port switch).
Kann aber sein, das MT da in neueren RouterOS-Releases was geändert hat und man es auch über die Bridge-Config ändern kann....ich setze keinen MT mit Switch-Chip ein, kann daher nicht nachgucken.

Bei Deinem aktuellen Setup (Modem/I-net an eth1 und alle IP-Netze an eth5) musst Du zumindest mal zwischen diesen beiden Interfaces alle Netze da drauf routen können. Entsprechende Einträge in der Routing-Tabelle solltest Du haben...default-route zum eth1 nicht vergessen ;-)

 

[katzenhai]

@hominidae,
das Manual ist aber für ROS < Version 6.41. Seit 6.41 wird der Switch in der Bridge konfiguriert Manual:Interface/Bridge - MikroTik Wiki.

 

[hominidae]

...das sieht jetzt erstmal OK aus, zumindest für den MT-Router...zum Switch kann ich nix sagen.
Nebensache für später: Die DNS-Config im DHCP sieht komisch aus...ist davon abhängig das Dein Routing vom Client aus komplett funzt, weil DNS nicht immer im gleichen Netz liegen...das würde ich mit nem Portforwarding im MT erledigen und den Clients immer den MT als DNS-Server im gleichen Netz anbieten, aber die Routen müssen halt im MT auch passen.
Ideen zum Debug:

- MT hat unter "tools" ein "Torch"-Tool...das zeigt Dir an, was auf dem Interface passiert...mit VLAN-tags usw.
das würde ich mal ausprobieren...evtl. hat auch der MT-Switch sowas?
- ich würde den MT-Switch mal aus der Gleichung rausnehmen und den Proxmox-Port mit VL100 vom Switch direkt in eth5/eth4/ethx einstecken

- - - Updated - - -

@katzenhai: Ah...genau....da war was im Hinterkopf, danke! ...habe schon seit langem keine MT-Hardware mehr rumstehen...nutze nur noch (virtualisierte) CHRs, die haben sowas defaultmässig nicht

 

[MisterY]

Switch hat, wie du sagst, auf Ether1 ein "R" für Running und Ether2-5 ist "S", also Slave. Auflösen kann ich das nur, wenn ich die Bridge lösche.

Zum DNS: Ich habe zwei DNS Server (192.168.0.113 und 192.168.0.3). Die sollen für alles zuständig sein. Wie trage ich das ein?
Zum Torch-Tool: Gute Idee, jedoch ist da absolute Funkstille. Der Ping zwischen den beiden LXC funktionierte auch nur, weil beide auf der selben vmbr saßen. Auf unterschiedlichen vmbrs erhalte ich "no route to host".

Stecke mal den Server direkt in den Router.
Stelle ich übrigens VLAN-Filtering ein auf der Bridge, dann habe ich kein Internetzugriff mehr

- - - Updated - - -

So, habe mal Eth4 direkt in den Server gesteckt. Dann Eth4 aus der Bridge entfernt und dann VLAN20 versucht. Nichts. Ich kriege noch nichtmal eine IP über den DHCP-Server im VLAN...



Mag mir vielleicht einer von euch mal seine config zeigen? Ich habe mal alles bezüglich VLANs nun wieder mal entfernt um nochmal von vorn anzufangen

ein DHCP-Server in den VLANs benötige ich eigentlich nicht, zumindest in VLAN100, da ich hier nur mit statischen IPs arbeite.

 

[hominidae]

....hier: Imgur: The magic of the Internet
Aber, wie gesagt, kein Switch/keine Bridge...ist ein CHR in einer VM mit einer durchgereichten Intel-Quad...eine Dual-WAN Konfig (Ether1=wan1. ether2=wan2, ether3=VLAN10/20/30/40 und ether4=Home-LAN

 

[MisterY]

danke dir. was hast du bei "intercase list" stehen?

Ich habe es mal so ähnlich gemacht. Bridge habe ich deaktiviert.




Funktioniert immernoch nicht. die Test-LXC (der PVE ist wieder am Switch angeschlossen) kriegen auch keine IP über DHCP zugewiesen. Auch kein Zugriff auf DNS.

 

[hominidae]

...glaube, das was Du unter "interfaces list" stehen hast ist bei mir der View "Interfaces" (weil ich=Web-Ui und Du=Windoof)...siehe mein erstes Screenshot.

OK, wenn der MT-Switch wieder dazwischen ist, tippe ich mal auf den oder eben proxmox VLAN tagging selbst....würde es halt erstmal direkt probieren.
zu DHCP: nach der Änderung mit der Bridge nochmal in die Pools und DHCP-Server konfigs und sie einnmal dis-/re-enablen mit zwischenspeichern...evtl. hat sich was verschluckt...sowas hatte ich auch mal.

 

[MisterY]

Mit Interface-List meinte ich den zweiten Reiter in deinem ersten Bild.

Ich reboote den Router mal. Mal schauen

edit: Reboot hat nichts geändert.
Habe die NIC direkt in den Router gesteckt bzw angeschlossen. Erhalte immernoch keine DHCP-IP...

 

[hominidae]

...ah, das hier: Imgur: The magic of the Internet ...ist aber mMn nicht relevant...was hast Du da angelegt?
DHCP auf dem 192.168.0.x funzt?
Probiere wirklich mal bei einem Pool und Server (im Web-UI) disable-apply-enable-apply-close...reboot hat es bei mir auch nicht als es hing gebracht....evtl. lag es hier aber auch am Web-UI (nutze das Win-Tool nicht).

 

[MisterY]

Bei Interface-List ist bei mir auch ein LAN angelegt. Der war auf der Bridge, nun habe ich ihn auf Eth5 gelegt, damit das Internet wieder funktioniert.

DHCP auf 192.168.0.x funktioniert.

hab es disabled und enables. nichts..

 

[hominidae]

Hmm...ja, OK...grübel....also die Brige ist weg, sagst Du?
Dann hast Du evtl. noch was in der Firewall drin, was da stört. Interface-Lists ist nur eine Zusammenstellung von Interfaces unter dem Namen der Liste...Namen kann man selbst vergeben.
Listen werden in RouterOS für alles mögliche verwendet (Interfaces, Adressen, User, ...) um an bestimmten Stellen eben nur einen Parameter (den Listennamen) an die Funktion/Einstellung zu übergeben.
So kann man zB in der FW eine Regel auf eine Gruppe von Interfaces oder Adressen anwenden, muss diese Regel also nur einmal speichern statt n-Mal.

Was hast Du unter IP->Firewall -> "Filter Rules", "NAT" und "Mangle"?

...probier mal ein weiteres, normales, nicht-VLAN IP-Netz mit DHCP-Server auf dem Port

 

[MisterY]

In Filter Rules ist nichts, genau wie in Mangle. In NAT ist lediglich meine Portweiterleitung von 443 und 80 auf meinen Reverseproxy und der zu meinem OpenVPN-Server.

Ich habe nun mal die NIC direkt in den Router eingesteckt und tada --> ich erhalte eine DHCP-IP im 192.168.100.0/24 Netzwerk und kann google.de anpingen. Blöderweise habe ich aber auch vollen Zugriff auf alles in meinem 192.168.0.0/24, und genau DAS will ich ja nicht.

 

[hominidae]

Ah...also doch der MT-Switch...bravo.
Das der Router routet ist ja klar und die VLs musst Du ja routen um ins I-net zu kommen.....jetzt im Filter die Netze in der "forward"-Chain gegenseitig "droppen" und das ist dann auch fertig.
Von meinen VLs 10,20,30,40 dürfen zB das VL20+30 nicht miteinander sprechen -> Imgur: The magic of the Internet
Evtl. noch den Router selbst gegen die VL-Netze sperren ("drop" "input" für "Dest-IPs" 192.168.x.1 - die IPs in eine Address-List packen)

 

[MisterY]

Habe ich gemacht. Das klappt soweit auch. Nun habe ich meine Websites und reverseproxy auf diese NIC gepackt und das klappt soweit. Danke dir

Dennoch würde ich gerne VLANs nutzen, wenn ich mein Netzwerk erweitere.

 

[hominidae]

...also das 192.168.100.x ist doch schon am Router und am Proxmox als VL getagged, oder hast Du das nochmal geändert?
Dein VL-Setup (-Problem) ist damit im MT-Switch...steck den wieder dazwischen und versuche das 100er wieder über den Switch zu verbinden...dann die anderen VLs nach gleichen Muster dazupacken.

...oder habe ich Dich falsch verstanden?

 

[MisterY]

ich habe aktuell kein VLAN am laufen. Ich habe nur eine eigene IP für die NIC am Router erstellt.

 

[hominidae]

Seufz, aha....dann wäre die erste Massnahme dem Proxmox mal tagged VLAN beizubringen.

Also - alles noch ohne den MT-Switch:

- das .100er Netz im MT-Router wieder auf VLAN-ID=100 stellen, an dem phys. Eth-NIC wo es jetzt ist. (Interfaces -> VLAN) und im Proxmox auch VLAN tagging mit ID=100.
- die Adresse/das Netz im MT-Router auf dem VLAN-Interface erstellen (192.168.100.0/24 auf VLAN100): IP -> Addresses.
- Den DHCP-Server im Router auch auf das VL100 (um-)aktivieren (IP -> DHCP Server).
- dem Proxmox Interface beibringen, das es ein VLAN-Interface mit ID=100 ist (getagged, keine Ahnung wie).

...wenn Proxmox das nicht hinkriegt, musst Du es mal zunächst mit nem anderen System versuchen. Den MT-Switch dazwischen zu hängen um einen Port vom Proxmox zu taggen ginge auch, aber ich würde mal empfehlen sicherzustellen, dass ein VLAN 1:1 zwischen Client und MT-Router funzt....da Du proxmox hast, evtl. ginge es ja ein/zwei phsy. NIC an eine VM durchzureichen und zB ein pfsense oder MT-CHR in der VM zu verwenden und mal ein paar Pings zu starten.

Edit: oder Du lässt die .100 wie es ist und packst zum testen ein .199 oben drauf...never change a running beta ;-)

 

[MisterY]

wenn ich das ins VLAN100 umziehe, dann erhalte ich noch nicht mal mehr eine IP vom DHCP-Server, auch wenn ich den auf VLAN100 umstelle

 

[hominidae]

Schaff Dir eine simple Test-Situation mit der Du den VLAN Aufbau gut testen kannst....
Das die direkte, pyhs. Ethernet-Verbindung zwischen Router und Proxmox-Server funzt hast Du bewiesen. Nimm diese Verbindung und lege da drüber ein VLAN.
Im MT-Router ist nur der Eintrag unter (VLAN-)Interfaces und ein IP-Netzwerk (unter Adresses) erforderlich. Nimm zum testen eine feste IP im VL100 beim Proxmox...dann solltest Du zumindest das 192.168.100.1 als Gateway anpingen können.
...wenn das nicht klappt, dann funzt das tagging auf der anderen Seite wohl nicht.
Versuche dann also ein Netz aufzubauen mit Geräten, von denen Du weisst, dass sie VLAN tagging beherrschen...Vorschlag: pack auf dem Proxmox ein pfsense oder MT-CHR-Free in eine VM und reiche die/eine phys. NIC an die VM durch....teste mit und ohne VLAN aus der VM.
Wenn VLAN damit klappt, pack den MT-Switch dazwischen bis es mit dem klappt
Dann bau die anderen Komplikationen/Layer/Elemente Deines Setups ein bzw. um

 

[MisterY]

Das mit der Bridge ist wohl von Mikrotik empfohlen seit der Version 6.41: Manual:Interface/Bridge - MikroTik Wiki

edit: Hab mal mein Laptop direkt an den Mikrotik angeschlossen. Im treiber VLAN20 eingegeben und tadaa - es läuft. Stecke ich Proxmox ein: nichts. Da kriegt der nichtmal ne DHCP-IP....

edit2: es liegt definitiv an Proxmox bzw an der Realtek-NIC.
Mit meinem Laptop funktioniert das VLAN auch über den Switch einwandfrei.

 

[hominidae]

OK, also doch der Proxmox...da musst Du mal gucken...Linux mit ReallTek kann auf jeden Fall VLANs..habe es hier auf meinem unRAID Server so am laufen.

Ja, die Switch-Chip Funktionalität wurde ab der Version in das Bridge-Interface integriert (HW-Unterstützung in der Bridge)...wurde ja oben schonmal behandelt.
Aber das ist für L2 Traffic, also wenn Du VLANs switchen willst. Dein MT-Router hat ja mehrere Ports, die Du allein oder als Switch oder gemischt konfigurieren kannst.
Damit aber Pakete von VL100 nach VL20 oder das "non-VL" Netz gehen musst Du routen, also L3...da spielt das VLAN L2-Feature der Bridge doch keine Rolle.