Keine Verbindung mit Mikrotik Router

[skyacer]

Ich schicke dir morgen mal eine Konfig zu die du einmal importierst. Ich muss die nur erst einmal ein wenig bereinigen.
Danach müsste es gehen.

Grüße

[skyacer]

So ging doch schneller als Gedacht. Ich hoffe ich habe keine Fehler mitkopiert. Was du jedenfalls beachten musst ist das du die Zeile wo deine PPPoE Zugangsdaten drinstehen einmal nachträglich bearbeitest.

Code: Alles auswählen

add add-default-route=yes allow=pap,chap,mschap2 dial-on-demand=yes disabled=\
    no interface=P8-WAN keepalive-timeout=30 name="pppoe-out1" user=XXXXXXXXXXXXXXX

Dann noch ganz wichtig. Das Kabel für das Internet muss in Port 8 gesteckt werden. Die anderen Ports sind zu deiner freien Verfügung und in die kannst du dich ran mit deinem Rechner anstecken. Ein paar kleine Securityeinstellungen, DNS Server und Firewall habe ich dir schonmal vorkonfiguriert. Diese kannst du im Nachgang ja noch ändern. Dein Router ist danach unter der IP 192.168.88.254 erreichbar.

Du musst den Code über einen Texteditor in eine *.rsc Datei abspeichern. Das Forum erlaubt leider den Dateianhang nicht.
Kopier danach die die "*.rsc" in den den Fileordner rein und führe dann "/import *.rsc" im Terminal aus.

Wenn ich keinen Fehler ein gebaut habe dann sollte das Script so durchlaufen. Ansonsten sag mir einmal wo er abgebrochen hat dann korrigiere ich das.

Code: Alles auswählen

# 2024-29-10 09:44:14 by RouterOS 7.17beta2
# software id = EB2Q-MNCS
#
# model = L009UiGS
# serial number = HGC09RVBXXX
/interface bridge
add name=bridge
/interface ethernet
set [ find default-name=ether1 ] name="P1-"
set [ find default-name=ether2 ] name="P2-"
set [ find default-name=ether3 ] name="P3-"
set [ find default-name=ether4 ] name="P4-"
set [ find default-name=ether5 ] name="P5-"
set [ find default-name=ether6 ] name="P6-"
set [ find default-name=ether7 ] name="P7-"
set [ find default-name=ether8 ] name="P8-WAN"
set [ find default-name=sfp-sfpplus1 ] name="SFP01-MikrotikSwitch-SFP01-UpLink"
/interface pppoe-client
add add-default-route=yes allow=pap,chap,mschap2 dial-on-demand=yes disabled=\
    no interface=P8-WAN keepalive-timeout=30 name="pppoe-out1" user=XXXXXXXXXXXXXXX
/interface list
add comment="Untrusted network interfaces (internet, external etc)." name=WAN
add comment="Trusted network interfaces (internal, clients , etc)." exclude=\
    WAN name=LAN
/ip pool
add name=dhcp_pool0 ranges=192.168.88.50-192.168.88.199
/ip dhcp-server
add address-pool=dhcp_pool0 interface=bridge lease-script=\
    dhcp-lease-script lease-time=2w1h name=dhcp1
/interface bridge port
add bridge=bridge interface="P1-"
add bridge=bridge interface="P2-"
add bridge=bridge interface="P3-"
add bridge=bridge interface="P4-"
add bridge=bridge interface="P5-"
add bridge=bridge interface="P6-"
add bridge=bridge interface="P7-"
add bridge=bridge interface="SFP01-MikrotikSwitch-SFP01-UpLink"
/interface detect-internet
set detect-interface-list=WAN internet-interface-list=WAN lan-interface-list=\
    LAN wan-interface-list=WAN
/interface list member
add interface="P1" list=LAN
add interface="P2-" list=LAN
add interface="P3-" list=LAN
add interface="P4-" list=LAN
add interface="P5-" list=LAN
add interface="P6-" list=LAN
add interface="P7-" list=LAN
add interface="pppoe-out1" list=WAN
/ip address
add address=192.168.88.254/24 interface=bridge network=192.168.88.0
/ip dhcp-server network
add address=192.168.88.0/24 gateway=192.168.88.2
add address=192.168.88.0/24 dns-server=192.168.88.254 domain=home.arpa gateway=\
    192.168.88.254 ntp-server=192.168.88.254
/ip dns
set allow-remote-requests=yes servers=213.209.104.220,213.209.250,1.1.1.1
/ip firewall address-list
add address=0.0.0.0/8 comment=RFC6890 list=Bogons
add address=172.16.0.0/12 comment=RFC6890 list=Bogons
add address=192.168.0.0/16 comment=RFC6890 list=Bogons
add address=10.0.0.0/8 comment=RFC6890 list=Bogons
add address=169.254.0.0/16 comment=RFC6890 list=Bogons
add address=127.0.0.0/8 comment=RFC6890 list=Bogons
add address=224.0.0.0/4 comment=Multicast list=Bogons
add address=198.18.0.0/15 comment=RFC6890 list=Bogons
add address=192.0.0.0/24 comment=RFC6890 list=Bogons
add address=192.0.2.0/24 comment=RFC6890 list=Bogons
add address=198.51.100.0/24 comment=RFC6890 list=Bogons
add address=203.0.113.0/24 comment=RFC6890 list=Bogons
add address=100.64.0.0/10 comment=RFC6890 list=Bogons
add address=240.0.0.0/4 comment=RFC6890 list=Bogons
add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=\
    Bogons
/ip firewall filter
add action=drop chain=input comment="Ping vom WAN verwerfen" \
    in-interface-list=WAN protocol=icmp
add action=accept chain=input comment="Aufgebaute Verbindungen erlauben" \
    connection-state=established,related
add action=drop chain=input comment="Verwerfe ung\FCltige Pakete" \
    connection-state=invalid
add action=drop chain=input comment=\
    "Verwerfe Pakete vom WAN welche kein Ziel haben" connection-nat-state=\
    !dstnat connection-state=new in-interface-list=WAN
add action=drop chain=input comment="Verwerfe alles was nicht vom LAN kommt" \
    in-interface-list=WAN
add action=accept chain=input comment="Winbox und SSH zum Router (TCP 8291,22)" \
    dst-port=8291,22 in-interface="bridge" protocol=tcp
add action=accept chain=input comment="Ping zur Firewall vom LAN erlauben" \
    in-interface-list=LAN protocol=icmp
add action=accept chain=input comment="DNS erlauben (UDP)" connection-state=\
    new dst-port=53 in-interface-list=LAN protocol=udp
add action=accept chain=input comment="DNS erlauben (TCP)" connection-state=\
    new dst-port=53 in-interface-list=LAN protocol=tcp
add action=accept chain=input comment="NTP erlauben (UDP)" connection-state=\
    new dst-port=123 in-interface-list=LAN protocol=udp
add action=accept chain=input comment="Verwerfe Broadcast -> Router" \
    connection-state=new dst-address=255.255.255.255 dst-address-type=""
add action=accept chain=input comment="Verwerfe Broadcast -> Router" \
    connection-state=new dst-address-type=broadcast
add action=accept chain=input comment="Erlaube DHCP abfragen (UDP)" \
    connection-state=new dst-port=67 in-interface-list=LAN protocol=udp \
    src-port=68
add action=drop chain=input comment="Verwerfe alles andere" log=yes \
    log-prefix="Drop all - "
add action=fasttrack-connection chain=forward comment=\
    "fast-track for established,related" connection-state=established,related \
    hw-offload=yes
add action=accept chain=forward comment="Aufgebaute Verbindungen erlauben" \
    connection-state=established,related
add action=drop chain=forward comment="Verwerfe ung\FCltige Verbindungen" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "Verwerfe eingehende Verbindungen welche kein Ziel-NAT haben" \
    connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
add action=jump chain=forward comment="Erlaube ICMP" jump-target=ICMP
add action=drop chain=forward comment=\
    "Verwerfe eingehende Verbindungen welche keine \F6ffentliche IP haben" \
    in-interface-list=WAN src-address-list=Bogons
add action=jump chain=forward comment="Internetzugriff WAN" jump-target=\
    "WAN Zugriff" out-interface-list=WAN
add action=accept chain="WAN Zugriff" comment=\
    "Internetzugriff Port 1" in-interface="P1-" \
    out-interface-list=WAN
add action=accept chain="WAN Zugriff" comment=\
    "Internetzugriff Port 2" in-interface="P2-" \
    out-interface-list=WAN
add action=accept chain="WAN Zugriff" comment=\
    "Internetzugriff Port 3" in-interface="P3-" \
    out-interface-list=WAN
add action=accept chain="WAN Zugriff" comment=\
    "Internetzugriff Port 4" in-interface="P4-" \
    out-interface-list=WAN
add action=accept chain="WAN Zugriff" comment=\
    "Internetzugriff Port 5" in-interface="P5-" \
    out-interface-list=WAN
add action=accept chain="WAN Zugriff" comment=\
    "Internetzugriff Port 6" in-interface="P6-" \
    out-interface-list=WAN
add action=accept chain="WAN Zugriff" comment=\
    "Internetzugriff Port 7" in-interface="P7-" \
    out-interface-list=WAN
add action=drop chain=output comment="Drop invalid connections" \
    connection-state=invalid
add action=accept chain=ICMP comment="LAN -> FW | Erlaube \"echo reply\"" \
    icmp-options=0:0 protocol=icmp
add action=accept chain=ICMP comment=\
    "LAN -> FW | Erlaube \"net unreachable\"" icmp-options=3:0 protocol=icmp
add action=accept chain=ICMP comment=\
    "LAN -> FW | Erlaube \"host unreachable\"" icmp-options=3:1 protocol=icmp
add action=accept chain=ICMP comment=\
    "LAN -> FW | Erlaube \"host unreachable fragmentation required\"" \
    icmp-options=3:4 protocol=icmp
add action=accept chain=ICMP comment="LAN -> FW | Erlaube \"echo request\"" \
    icmp-options=8:0 protocol=icmp
add action=accept chain=ICMP comment="LAN -> FW | Erlaube \"time exceed\"" \
    icmp-options=11:0 protocol=icmp
add action=accept chain=ICMP comment="LAN -> FW | Erlaube \"parameter bad\"" \
    icmp-options=12:0 protocol=icmp
add action=drop chain=ICMP comment="Drop everthing elese" log=yes protocol=\
    icmp
/ip firewall nat
add action=masquerade chain=srcnat comment=\
    "LAN -> WAN | Masquerade - Normales NAT" out-interface-list=WAN
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
set rtsp disabled=no
/ip ipsec profile
set [ find default=yes ] dpd-interval=2m dpd-maximum-failures=5
/ip service
set telnet disabled=yes
set ftp disabled=yes
set ssh address=192.168.88.0/24
set api address=192.168.88.0/24
set winbox address=192.168.88.0/24
set api-ssl disabled=yes
/ip ssh
set host-key-size=8192 strong-crypto=yes
/system clock
set time-zone-name=Europe/Berlin
/system note
set note="\"Authorized administrators only. Access to this device is monitored\
    .\" " show-at-login=no
/system ntp client
set enabled=yes
/system ntp server
set enabled=yes multicast=yes
/system ntp client servers
add address=85.214.38.116
add address=213.202.247.29
/tool bandwidth-server
set authenticate=no enabled=no
/tool mac-server
set allowed-interface-list=none
/tool mac-server mac-winbox
set allowed-interface-list=LAN
/tool mac-server ping
set enabled=no

Grüße

[lulu99]

Danke dir, probiere ich die Tage mal aus und melde mich dann

[Dirty Harry]

Super, das klingt nach "Plug´n Play".
Damit könnten sich Wilhelm.tel und Willy.tel endlich endgültig von den Fritz!boxen verabschieden und allen Kunden diese kinderleicht einzurichtende Lösung als Standard anbieten.

[skyacer]

Keiner hat gesagt das Miktrotik einfach ist. Da ist schon eine gewisse Lernkurve Vorrausetzung. Wer es einfach haben will nimmt eine Fritzbox. Wer aber mehr machen will wie z.B. Vlans muss auf andere Hardware umsteigen.

[Tygat]

Das ist der Punkt. Endkundenprodukte von AVM, Asus, D-Link oder TP-Link sind vergleichsweise einfache Geräte mit vergleichsweise einfacher Software, welche für 95%*der Endkunden vollkommen ausreichen. Und AVM nimmt in diesem Segment durch gute und sichere Voreinstellungen und langer Geräteunterstützung eine Vorreiterrolle ein - die man sich aber auch bezahlen lässt.

Der Rest, der softwareseitig mehr möchte oder braucht, packt dann auf ihre Router, sofern möglich, eine alternative Firmware, zumeist ein OpenWRT-Derivat oder greift zu einem entsprechenden Hersteller wie z.B. Ubiquiti, Turris oder Mikrotik. Und da kommen dann Begriffe vor, die man zuvor nicht kannte. Und man braucht nicht nur auf eine Option klicken sondern muss ggf. Befehle von Hand eintippen. Befehle die man kennen muss.

Und auch wenn ich heute wirklich nicht mehr gerne Befehle in eine Konsole tippe, erinnert mich das ganze an die Zeiten, in denen man AT-Befehle in ein Script tippte in der Hoffnung dass das Modem damit eine Verbindung aufbaute und hielt... Auf beiden Kanälen, ich hatte doch ISDN. Danke Elsa...


Ich schweife ab...

*Die Zahlen sind nicht wissenschaftlich belegt.

[lulu99]

so, kam endlich dazu.

Wie vermutet, läuft genauso wenig. Weiterhin eine Ablehnung der Authentifizierung.

Mal schauen, Mitte November werde ich mal ne pfSense probieren. Werde dann hier berichten ob es mit der problemlos läuft wie so wie mit Draytek Geräten auch. Habe testweise mal einen anderen Draytek Vigor auf Werkseinstellungen gesetzt und angeschlossen, läuft.

Keine Ahnung, warum sich hier das Gerät von Mikrotik nicht mit dem Server versteht. Aber bin gespannt was bei der pfSense rauskommt.

[skyacer]

Dann ist seitens WT aber was falsches bei dir eingestellt. Ich würde bei der Hotline einmal anrufen und sagen du hast einen eigenen Router und ob da noch was freigeschaltet werden muss. Normalerweise sollte das von vornerein schon gehen. Vielleicht muss da nur noch ein extra Haken gesetzt werden bei dir.

[lulu99]

ist ja eingestellt, betreibe ja schon ewig eigene Hardware an der Leitung.

Und mehr Support machen sie ja nicht weil eigene Hardware und nicht ihre Fritzbox. Was für mich ja ok ist, müssen ja nicht für alle Geräte die es gibt Support liefern, der Anschluss läuft ja mit ihren Geräten. Damit bin ich fein.

Ich warte jetzt erstmal ab was die pfSense sagt, ist ja erstmal nur ein weiterer Test was läuft und was nicht.

War mit Draytek ja bis jetzt sehr zufrieden, wollte aber einfach mal was anderes ausprobieren.

[micneu]

die pfSense solltest du nach der grundinstallation einfach PPPoE einrichten (also nach ca. 5 Minuten solltest du im Internet sein)
Habe ich hier am Laufen mit einer Netgate 6100