May 02, 2022

2492

Anfängerfrage: hex und DHCP

Hallo,

ich fange mal mit einer für Mikrotik Profis sicher simplen Frage an,
bevor ich dann später gerne ins Detail gehen würde mit meinem Anliegen.

Kann ich mit dem hex 2 DHCP Server ausführen?
Falls nicht, beherrscht andere RouterOS Hardware diese Möglichkeit?

Please also mark the comments that contributed to the solution of the article

Content-Key: 2669038831

Url: https://administrator.de/contentid/2669038831

Printed on: April 26, 2024 at 12:04 o'clock

35 Comments

Latest comment

Zitat von @Foley76:

Hallo,

Hi,

ich fange mal mit einer für Mikrotik Profis sicher simplen Frage an,
bevor ich dann später gerne ins Detail gehen würde mit meinem Anliegen.

Klar

Kann ich mit dem hex 2 DHCP Server ausführen?

Ja, das geht. Klare Antwort.
In der winbox im DHCP-Menü kannst du beliebig viele Instanzen anlegen.

Grüße

tomolpi

Willkommen!

Ja, das geht. Klare Antwort.

Bestätigt. Bei mir laufen gerade 8.
Mit dem hEX kannst Du fast alles machen, was RouterOS so bietet. Was das im DHCP-Bereich so ist, kannst Du hier nachlesen. Falls Du mit VLANs arbeiten willst, google mal das Mikrotik-Tutorial des Kollegen @aqui hier im Forum. Ein vorzügliches Stück Arbeit!

Der hEX macht vieles in Software, was andere Router von MT teils in Hardware machen und ist daher nicht in allem superschnell (logisch, bei dem Preis). Für den Einstieg/Hausgebrauch/Office aber mehr als ausreichend und im Regelfall deutlich schneller als das, was andere Heimanwendergeräte so bieten. Wenn Du noch nicht gekauft hast, erwäge vielleicht einen hAP ac2. Der ist kaum teurer, etwas leistungsfähiger und hat gleich noch WLAN an Bord. Den hEX finde ich aber auch irgendwie schick, in seiner Schlichtheit.

Mach Dich im Übrigen auf eine steile Lernkurve gefasst. Eigentlich ist das Gerät was für einen langen dunklen Winter

Viele Grüße, commodity

Wow, vielen Dank für eure super schnellen Antworten!
Ich werde mir mal die Links in Ruhe durchlesen.

Den hex habe ich übrigens schon liegen, habe ihn aber nur bestellt, um die
Möglichkeiten vom RouterOS auszuprobieren.

Im späteren endgültigen Einsatz muss etwas leistungsstärkere Hardware ran.

Am Ende soll dieses dabei raus kommen:

Ich bin da auch nicht unbedingt auf Mikrotik festgelegt, habe aber nichts anderes gefunden, um das so, wenn überhaupt, zu realisieren.
Eigentlich wäre mir als Nicht-Netzwerk-Profi eine einfachere Bedienoberfläche lieber.
Aber vielleicht bekomme ich die Sache mittelfristig mit eurer Hilfe ja hin.

P.S.: Die anderen 4 Switches (die in Wirklichkeit 2 sind -> VLAN) und die NAS sind bereits vorhanden.
P.P.S.: Ich bin zwar des Englischen mächtig, aber einfacher wäre das Ganze aufgrund der Komplexität für mich in Deutsch, aber ich vermute deutsche Dokumentationen von Mikrotik sind (noch) nirgends zu finden!?

habe ihn aber nur bestellt, um die Möglichkeiten vom RouterOS auszuprobieren

Da bist Du nicht allein. Für einen

Nicht-Netzwerk-Profi

aber viel Arbeit. Und nein, Deutsch und Netzwerk gibt's nur hier

Viele Grüße, commodity

Hier, und in den weiterführenden Links zum Tutorial, findest du alles was du zu dem Thema und für dein Setup wissen musst:

Mikrotik VLAN Konfiguration ab RouterOS Version 6.41

Vielen herzlichen Dank!

Eine letzte Frage dann noch zunächst an dieser Stelle:

Welches Hardware Gerät würdet ihr empfehlen, um dann in der
endgültigen Konstellation den hex durch ein 10GB/s taugliches
Gerät zu ersetzen? (Mit mindestens drei 10GB/s Ports)

Dies sollte natürlich halbwegs bezahlbar sein, aber auch nicht bremsen.

CRS305 wenn dir 4mal 10G Ports reichen... Du bist ja nicht gerade sehr informativ mit deinen Angaben welche Anforderungen du hast!

Das tut mir leid, das ist nicht meine Absicht.
Ich bin da wirklich extremer Anfänger in diesen Dingen.

Also wir bekommen in unser 3-Parteien Haus demnächst einen
Internet Anschluss mit 10GB/s und wollen im Voraus schon mal
die nötige Hardware planen.

Ziel ist es eigentlich "nur" diesen einen Anschluss auf
zwei Netzwerke im Haus zu verteilen, die sich untereinander
nicht sehen sollen. Das eine Netzwerk nutzt mein Bruder, ich
das andere.

Dieses Netzwerk ist mit einer zentralen Struktur im Keller auch schon vorhanden.
Es besteht momentan aus einem 48-Port 1Gbit/s HP Switch und einem 12 Port
10 Gbit/s Qnap Switch, sowie einem 10Gbi/s Qnap NAS, welches 2 Ports hat, quasi
für jedes Netzwerk einen.
Diese beiden Switches sind genau zur Hälfte per VLAN aufgeteilt.
Im Moment sind jedoch 2 Router angeschlossen, da jeder von uns noch
einen eigenen Internetzugang, sprich Vertrag, nutzt.

Dies soll sich nun ändern und der eine Internetzugang auf die 2 Netzwerke verteilt werden.
Gäbe es einen Router mit (min.) drei 10Gbit/s Ports wäre das ja kein Problem, so ein Gerät
konnte ich bisher nur nicht finden.
Bei den Mikrotik Routern trauen wir uns nicht zu, eine verlässliche Firewall zu konfigurieren.
Daher nun der Gedanke den "üblichen" 10Gbit/s Router von Qnap Qhora-301W vorzuschalten,
der eben leider nur 2 schnelle Ports hat und die Verteilung nachgeschaltet von einem anderen
Gerät übernehmen zu lassen, und da scheint uns bisher Mikrotik am geeignetsten!?

Für Netzwerkprofis wie euch hier wahrscheinlich ein simples Problem, daher bin ich ja jetzt hier.

Denn selbst unser zukünftiger Provider hatte da in ersten Gesprächen erst mal keine Idee.

Ich hoffe jetzt ist es etwas klarer mit den Anforderungen.

Ergänzung zu den Anforderungen:
Die Hardware sollte natürlich mit der Geschwindigkeit voll umgehen können, also
keinen Flaschenhals bilden.

einen Internet Anschluss mit 10GB/s

Holla die Waldfee, welch ein Luxus! 😉

Ziel ist es eigentlich "nur" diesen einen Anschluss auf zwei Netzwerke im Haus zu verteilen

Dann reicht der o.a. CBS305 ja aus, alternativ den neuen CRS-310. Der 310er hat aber mit 4x10G nicht mehr 10G Ports als der 305er sondern nur 5x1Gig Ports mehr.
Haben sogar eine redundante Stromversorgung.
Wenn du mehr 10G Ports benötigst nimmst du den CRS-309

Bei den Mikrotik Routern trauen wir uns nicht zu, eine verlässliche Firewall zu konfigurieren.

Das müsst ihr auch gar nicht, denn Mikrotik liefert mit der Default Konfig bei RouterOS in jedem System eine wasserdicht konfigurierte Internet Firewall frei Haus!
Sehr verwunderlich das du das bei deinem hEX noch nicht bemerkt hast?!
Einfach beim Connecten der WinBox nach einem Factory Reset die Verwendung der Default Konfig abnicken und fertig ist der Lack!
Im Karteireiter "Firewall" des WinBox Tools hast du dann gleich eine Blaupause so einer sicheren FW Konfig bzw. auch mit export dann auf dem CLI das du immer wieder verwenden kannst als sichere und wasserdichte Firewall Vorlage. Einfacher gehts nicht...

Denn selbst unser zukünftiger Provider hatte da in ersten Gesprächen erst mal keine Idee.

Oha...das ist aber mehr als peinlich für einen Provider. Wirft ja kein gutes Licht auf den.

Vielen Dank für deine Hilfe und deine Links!

Bevor wir uns in deine Tutorials vertiefen noch mal eine Nachfrage:

Wenn wir den CRS312 nehmen, dann könnten wir doch im obigen Setup auf den bisherigen 10Gbit/s Qnap Switch verzichten, sehe ich das richtig?
Hat der genug Dampf um auch nicht zu bremsen (ggf. Firewall, Statisches Routing, VLANs, DHCP)?
650MHz CPU ist ja nicht so wirklich viel, auch zum Beispiel im Vergleich zum CCR2004-1g-12s-2xs.
Der erstere hätte für uns halt den Vorteil der RJ45 Buchsen, die wir doch im Moment noch am meisten benötigen und nicht noch extra einige SFP+ auf RJ45 Module kaufen müssten.

Kann ich denn bei diesen Routern einen Port als WAN Port konfigurieren, dann 5 Ports für das erste VLAN z.B. 192.168.1.0/24 und 5 weitere Ports für das zweite VLAN 192.168.2.0/24 ?
Ebenfalls müsste der Router in jedem VLAN einen DHCP Server bereitstellen können.
Die beiden Netze sollen sich, wie gesagt, gegenseitig nicht sehen, sondern nur die selbe "Internetleitung" nutzen.

P.S.: Unseren zukünftigen Provider muss ich da nochmal etwas in Schutz nehmen, da habe ich mich falsch ausgedrückt. Ich hatte da bisher nur Kontakt mit dem Vertrieb, bzgl. Tiefbau usw., bis zu den Netzwerktechnikern bin ich noch nicht vorgedrungen. Aber lieber wäre uns natürlich sowieso das ganze schon im Vorfeld mit eurer Hilfe hier zu lösen.
Dann können wir auch sicher sein, dass ein (Internet)Vertrag reicht.

auf den bisherigen 10Gbit/s Qnap Switch verzichten

Ja, das ist richtig. Was den Dampf anbetrifft einfach mal ins Datenblatt sehen, wie immer! Da hast du es dann schwarz auf weiß.

650MHz CPU ist ja nicht so wirklich viel

Du solltest als Netzwerker wissen das bei einem Switch nicht die CPU das Paket Forwarding macht sondern die ASICs. Die CPU macht nur Management.

Sorgen solltest du dir immer über RJ-45 Nutzung bei 10G machen. Das ist für eine Infrastruktur Verkabelung generell keine gute Idee, denn das nutzt immer Negotiation und die ist abhängig von der Kabelqualität. Schlechter Stecker oder schlecht gecrimpt, Knick im Kabel, Längen über 10m usw. sorgen oft dafür das keine 10G mehr ankommen sondern nur noch Bruchteile.
RJ-45 macht nur Sinn auf kurzen Strecken und dann mit gutem bis sehr guten Kabel.
Schlimm ist auch der horrende Stromverbrauch bei RJ-45 Ports. Alles Dinge die immer gegen RJ-45 sprechen. Besonders im Heimbereich wo es auf Kosten ankommt.
Es ist immer besser mit SFP+ zu arbeiten und dann DAC-Kabel oder AOC-Kabel zu verwenden oder eben stinknormale LC Optiken mit fertigen LC-Patchkabeln! Diese garantieren immer 10G Bandbreite.

Kann ich denn bei diesen Routern einen Port als WAN Port konfigurieren

Die Systeme sind wie Premium Switches völlig frei konfigurierbar zumindestens wenn sie mit RouterOS laufen. Es gibt keine "WAN" usw. Ports. Welche Ports du wie nutzen willst bestimmst du einzig und allein nur mit DEINER Konfig.
Ebenso welchem VLAN du wieviel Ports zuweist bestimmst DU selber durch DEINE Konfig und natürlich wieviele Ports du physisch zur Verfügung hast.

Das Problem ist, dass ich die Datenblätter leider nicht wirklich "lesen" kann, ich bin nämlich leider kein Netzwerker, sondern nur jahrzehntelanger Computer Fan, mein Bruder ist allerdings immerhin gelernter IT-ler, kennt aber eben das RouterOS auch (bisher) nicht.
Mal ganz simpel gefragt, kann ich davon ausgehen, dass der CRS312 drei bis vier gleichzeitige Dateioperationen bei voller Geschwindigkeit packt oder ist der dann schon am Limit?

Die Sache mit den RJ-45 ist leider für uns nicht zu umgehen

Wir haben unser Haus 2018 komplett renoviert und dabei Haus-intern "nur" Cat. 7 verlegt.
Zu diesem Zeitpunkt war absolut nicht damit zu rechnen, dass hier im Ort jemals Glasfaser gelegt wird.

Die Verbindungen im Keller, z.B. zwischen NAS oder dem HP 1Gig Switch zu dem 10G Qnap Switch machen wir natürlich mit optischen Kabeln.
Aber die Verbindungen vom Keller in die Wohnungen zu den PCs und (m)einem weitern NAS müssen halt weiter über Cat. 7 Kabel laufen, daran lässt sich leider wirklich absolut nichts ändern.
Und da ist es doch dann egal ob der Router direkt die RJ-45 Buchsen verbaut hat oder ob ich erst mit GBICs "adaptere" oder?

Mit der Geschwindigkeit zwischen meinen 2 PCs mit jeweils 10G Netzwerkkarte und Kupferverbindung in den Keller an den 10G Qnap Switch bin ich eigentlich recht zufrieden.

dass ich die Datenblätter leider nicht wirklich "lesen" kann

Na ja, dann würdest du ja auch schon an einem Auto Datenblatt scheitern. Einfach die Durchsatzzahlen zu vergleichen ob die eine größer ist als die andere, das solltest du doch sicher noch schaffen, oder?! 😉 Nach denen schafft das der 312er.

Die Sache mit den RJ-45 ist leider für uns nicht zu umgehen

Schlecht aber dann musst du halt damit leben. Das hätte man auch 2018 schon wissen müssen das Kupfer schlecht skalierbar ist und Glas verlegen sollen. Zumindestens Leerrohre um es später einfach einziehen zu können. Nundenn...nicht nachgedacht.

da ist es doch dann egal ob der Router direkt die RJ-45 Buchsen verbaut hat oder ob ich erst mit GBICs "adaptere" oder?

Ja, denn 10G über ein Kupfer PHY bleibt da immer schlecht, da Negotiation. Egal ob Adapter oder fest eingebaut.

Mit der Geschwindigkeit bin ich eigentlich recht zufrieden.

Na denn ist ja alles gut. Eine Messung mit iPerf3 was da real rübergeht wäre aber mal ganz interessant. In jedem Falle solltest du immer bei 10G auf allen Komponenten Jumbo Frames aktivieren !

Einfach die Durchsatzzahlen zu vergleichen ob die eine größer ist als die andere, das solltest du doch sicher noch schaffen, oder?! 😉 Nach denen schafft das der 312er.

Ja, vergleichen schaffe ich schon, nur ob der der 312er reicht, kann ich nicht so richtig einschätzen.
Nach dem Datenblatt schafft der Routing Mode nur zwischen 21.4 und 451.8 Mbps, was ja nur ein Bruchteil von dem ist, was z.B. der CCR2004 schafft.
Und ist das beim CRS312 dann nicht weit entfernt von dem was in einem 10G Netzwerk machbar sein sollte?
Ich sage mal, als Beispiel, da sind 4 10G PCs angeschlossen, 2 laden was aus dem 10G Internet und 2 verschieben untereinander Daten von und auf SSDs. Liefert der CRS312 dafür genug Power ohne zu bremsen?
Dass das Internet vermutlich keine so schnellen Daten liefert und das ja auch nicht sein muss, mal außen vor gelassen, nur als theoretisches Beispiel mal.

Das hätte man auch 2018 schon wissen müssen das Kupfer schlecht skalierbar ist und Glas verlegen sollen

Wir haben im Haus circa 800m Cat. 7 verlegt, das wäre als Glasfaser vermutlich zu teuer geworden. Leerrohre sind da, aber nicht ohne größeren Aufwand zu erreichen. Im Nachhinein hätte man aber zumindest die Räume in denen die PCs stehen so vernetzen können, das ist wohl wahr.

Eine messing mit [ iPerf3] was da real rübergeht wäre aber mal ganz interessant. In jedem Falle solltest du immer bei 10G auf allen Komponenten Jumbo Frames aktivieren !

Wie baut man so ein Testszenario am besten auf? Dann kann ich da gerne mal durchmessen

Das mit den Jumbo Frames hatte ich zumindest auf meinem NAS so eingestellt, leider habe ich bis heute die Option im Qnap Switch nicht gefunden. Aber der fällt ja nun auch bald weg.

schafft der Routing Mode nur zwischen 21.4 und 451.8 Mbps

korrekt. It's a switch, not a router. Wird gern übersehen.

Viele Grüße, commodity

Wie baut man so ein Testszenario am besten auf? Dann kann ich da gerne mal durchmessen

Das ist kinderleicht. Binaries auf 2 Rechner kopieren, einen im Server Mode starten, den anderen als Client, Werte ablesen, färdsch.
https://iperf.fr/iperf-doc.php#3doc
https://www.youtube.com/watch?v=Tl9TQ9G5nqk
https://www.youtube.com/watch?v=GE3MsbTP_G4

korrekt. It's a switch, not a router. Wird gern übersehen.

Also ist der CCR2004 dann schon die optimalere Wahl, weil der sowohl als Switch, wie auch als Router besser performt,
verstehe ich das richtig?
Man fragt sich, warum bringt Mikrotik dann so einen Switch raus mit den 10G Ports UND Router Funktion, wenn der "Router-Teil" nicht mal annähernd die Geschwindigkeit liefern kann.

Binaries auf 2 Rechner kopieren, einen im Server Mode starten, den anderen als Client, Werte ablesen, färdsch.

Werde ich machen sobald ich zuhause Zeit habe

Wäre es vielleicht insgesamt der bessere Weg einen 10G Router (Qhora) zu nehmen und einen Layer 3 Switch dahinter zu schalten?

warum bringt Mikrotik dann so einen Switch raus

Bei den kleineren Geräten geht es wahrscheinlich darum, möglichst das ganze Featureset zu bieten. Leistung wird da für den Preis nur bedingt erwartet.

Bei den hier diskutierten Geräten muss man dann doch genauer hinschauen: 305, 310 und 312 sind zwar Switche und keine Router. Das bisherige Routing (unter RouterOS 6) bei solchen Geräten erfolgte über die CPU und das eben ziemlich lahm. Mikrotik hat aber vorausschauend geplant: Die neueren Geräte haben Switch-Chips, die in der Lage sind, Routing und auch VLAN-Routing im Layer3 HW-Offloading in nahezu Wirespeed zu leisten. D.h. der Switch-Chip kann routen und das mit völlig anderer Leistung als die CPU. Das hatte ich ja ganz oben auch schon zum hEX erwähnt (der das nicht kann).

Die Implementierung dieser Fähigkeit ist recht neu und hatte ich bei meiner Anmerkung

("it's a switch...")

oben auch nicht auf dem Schirm. Die Werte sind in den Testdaten nicht eingepflegt. Diese beziehen sich auf das bisherige Routing durch die CPU. Wenn Du L3 HW-Offloading konfiguriert bekommst und es zu Deinem Usecase passt, solltest Du also mit allen vom Kollegen @aqui genannten Geräten satt Leistung bekommen.

Aber: Auch hier muss man wieder genau hinschauen. Firewalling macht wiederum die CPU, ebenso wie NAT. Dies aber nicht, wenn die Connection im Fasstrack-Mode läuft (was der Regelfall ab dem zweiten Paket ist). Ab dann geht es wieder schnell. Ob und wie das dann läuft, wenn man zwischen den VLANs firewallen oder ACLs einsetzen will, habe ich noch nicht angeschaut. Insgesamt alles nicht ganz unkomplex. Dein Bruder darf sich freuen, dass er mal wieder richtig "IT" machen darf

. Der Fall ist geradezu eine Steilvorlage für ein neues Tutorial von @aqui.

Alles im obigen Link erläutert. Viel Spaß dabei. Ich versuche mich demnächst mal dran, meinen 326er mit L3-HW-Offloading einzurichten. Mal sehen, ob ich das vor dem Herbst hinbekomme...

Viele Grüße, commodity

Vielen Dank für eure Unterstützung, da gibt es wirklich viel zu lernen.

Ganz entscheiden kann ich mich bei der Hardware aber immer noch nicht so richtig.
Zusammengefasst für mich als Laien lese ich das so:
Der 312 reicht, wenn er hundertprozentig richtig konfiguriert ist, der CCR2004 ist
das performantere Gerät und gleicht Konfigurationsfehler ein wenig durch
Hardware-Power aus.
Könnte man das so sagen?

Hier übrigens meine Ergebnisse der Iperf3 Messung zwischen meinen beiden PCs.
Diese sind jeweils ausgestattet mit 90€ Qnap 10GB PCI-E Karten, der Switch ist ebenfalls
von Qnap. Der Kabelweg zum Switch beträgt jeweils(!) etwa 25-30m, also insgesamt etwa
50-60m.
Ich ahne schon was aqui sagen wird, mit Glasfaser wäre ich sicher näher am Maximum und das
stimmt natürlich auch.
Nichtsdestotrotz ist das so natürlich trotzdem etwa 8-10 mal schneller als 1G.

Könnte man das so sagen?

Nicht wirklich. So wie ich das verstehe, ist der 312 ist auf Wirespeed 5x so schnell wie der 2004. 305 und 310 noch 2x. Und das für ein Bruchteil des Geldes. Beim Firewalling ist der Router mit mehr CPU-Power natürlich besser dran.
Vielleicht sagt Kollege @aqui noch was, aber nach meiner Einschätzung gehört der Router an die Front und der Switch dahinter. Mir ist bislang nicht einmal ganz klar, ob Du nun den Router, den Switch oder beides ersetzen willst. Anfangs sprachst Du von Router, später von Switch ersetzen. Auch ist die Lastsituation weiter unbekannt. Es sollte klar sein, dass man ein 10Gbit Netzwerk kaum unter Volllast mit einem "Switch" für 200 EUR abdeckt.

Ich glaube aber auch nicht, dass hier im Forum jemand Deine Fragen viel befriedigender beantworten kann. Euer Setup ist sehr speziell und ich habe hier noch von niemandem gelesen, der den großen 2004er einsetzt.
Ich würde an Deiner Stelle mal im Mikrotik-Forum fragen. Immerhin sind da die Spezialisten. Oder gleich direkt bei Mikrotik (oder alternativen Herstellern). Ergebnisse kannst Du dann ja gern für die Nachwelt auch hier weiter geben

Viele Grüße, commodity

mit Glasfaser wäre ich sicher näher am Maximum und das stimmt natürlich auch.

Sind aber für Layer 2 und Cat Kabel gute und durchaus tolerierbare Werte bei der Länge. Das ist schon ok.

aber nach meiner Einschätzung gehört der Router an die Front

Was der TO ja auch will wenn man ihn richtig versteht. Er macht dort ja Routing mit NAT wenn das System den Provider Anschluss direkt bedienen soll. Relevant sind dann also immer die "Routing" Durchsatzzahlen, denn die bestimmen die Layer 3 Forwarding Rate dieser Systeme. Internet Traffic sind in der Regel kleine Pakete also 512 und kleiner. So weiss man bei der HW dann auch was da zu erwarten ist.
Die o.a. iPerf3 Werte sind ja auch im simplen Layer 2 Mode gemessen worden wie die IP Adressen verraten und definitiv nicht im Layer 3 Mode (geroutet). Es ist immer ein Unterschied ob ein Switch/Router L2 oder L3 Forwarding macht.

Ich würde an Deiner Stelle mal im Mikrotik-Forum fragen. Immerhin sind da die Spezialisten. Oder gleich direkt bei Mikrotik (oder alternativen Herstellern).

Ich gebe zu, dass ich das bisher gescheut habe, weil es mir schwerfällt diesen, wie du schon sagst, sehr speziellen Fall auf Englisch zu formulieren. Englisch lesen ist für mich zwar kein Problem, aber diese Sache hier schriftlich zu formulieren, da bräuchte ich schon eine Weile.

Mir ist bislang nicht einmal ganz klar, ob Du nun den Router, den Switch oder beides ersetzen willst.

Sorry, wenn ich da missverständlich formuliert habe.
Unser jetziger Router ist für den kommenden Glasfaseranschluss natürlich nicht zu gebrauchen und daher zu ersetzen.
Unser jetziger Switch ist zwar "managed", aber nicht ausreichend konfigurierbar für unser zukünftiges Setup.
Daher sind Router und Switch zu ersetzen und bei Mikrotik schien sich dann die Möglichkeit zu ergeben beides in einem Gerät zusammenführen zu können.
Weiterhin habe ich auch kein anderes Gerät gefunden, das unser zukünftiges Setup unterstützen würde.

wie du schon sagst, sehr speziellen Fall

Was ist denn daran so "speziell" ? Ist doch stinknormales Routing mit NAT. Für einen Router doch nix wirklich "Spezielles"?!

Unser jetziger Switch ist zwar "managed"

Kann vermutlich auch gar kein Layer 3, oder ?

und bei Mikrotik schien sich dann die Möglichkeit zu ergeben beides in einem Gerät zusammenführen zu können.

Das ist richtig!

habe ich auch kein anderes Gerät gefunden

Cisco, Juniper, Extreme und die anderen üblichen Verdächtigen haben soviel davon das sie es schon verkaufen müssen. Auch die üblichen Firewall Kandidaten.
Eine pfSense oder OPNsense auf einer geeigneten Plattform (z.B. kleines Supermicro Board usw.) mit 2 mal 10G NIC erledigt das auch mit Links. Richtig gesucht hast du also scheinbar nicht...

Wie Kollege @commodity oben schon richtig sagt wäre das der bessere Weg. 10G Firewall mit OPNsense oder pfSense und dahinter dann den QNAP Switch.

Hallo zusammen! Habe mich jetzt auch mal angemeldet. Ich bin quasi der Bruder von Foley und zweiter Nutzer um den es in der Frage hier geht.

Da es, so wie es aussieht immer noch Verwirrung gibt wie der Mikrotik eingesetzt werden soll (wenn denn machbar) hier noch mal eine ganz einfache Aufzeichnung:

(Wobei die Ports für das NAS und den HP Switch ja auch zu den beiden eingekreisten Bereichen gehört)

Die Performancefrage bezog sich auf die Wege der Grünen/Blauen Pfeile. Ist hier untereinander, zumindest annähernd 10Gbit, zu erreichen. (So wie jetzt, siehe IPerf Post von Foley).
So wie ich das verstehe sind in dem 312 ja 3 Blöcke a 4 Ports Hardwareseits geswitcht darüber hinaus müsste man ja Softwareseitig eine Bridge bauen wo dann ja die Performance sicherlich nicht so wäre?

Kann vermutlich auch gar kein Layer 3, oder ?

Nein! Layer 2. Müsse also wenn dann auch getauscht werden.

Cisco, Juniper, Extreme

Da sind wir dann noch 4 Stellig? €. Noch haben wir den Eurojackpot nicht geknackt. Da können wir uns ja lieber gleich 2 x 10G Leitungen vom ISP holen, trennen das Netz und dann haben wir dieses ganze "Problem" nicht, um das es hier geht

10G Firewall mit OPNsense oder pfSense und dahinter dann den QNAP Switch.

Der der kein Layer 3 kann, macht die Statischen Routen dann wie? Oder mit einem Tagged VLAN (da ja nur 2 mal 10G NIC in deinem Vorschlag und das Routing macht dann OPNsense oder pfSense? Kenne den Funktionsumfang nicht, irgendwie eins nach dem anderen, hatten uns ja jetzt erst die Mikrotik Geschichten angeschaut). Und die Frage ist, ist das dann allgemein einfacher zu konfigurieren für uns Planlosen?

Das ist richtig!

Warum dann s.o.?

Die beiden parallelen Links zum QNAP und HP sind das LACP LAGs ??
Link Aggregation (LAG) im Netzwerk
In jedem Falle ist das stinknormales Layer 3 Switching also nicht wirklich etwas Spezielles
Ein etwas effizienteres Design sähe so aus:

Der der kein Layer 3 kann, macht die Statischen Routen dann wie?

Nein! Das Layer 3 Geschäft macht die Firewall und der Switch nur Layer 2 wie HIER beschrieben.

Noch haben wir den Eurojackpot nicht geknackt.

Wenn man nur oberflächlich beschreibt und kein Budget nennt...

Warum dann s.o.?

Ägypten!? Bezog sich auf das Zusammenführen und war ein Ja. Als nicht Erleuchtete sollte man sich ggf. dann auch Hilfe an die Hand nehmen!

Die beiden parallelen Links zum QNAP und HP sind das LACP LAGs ??

Nein, "bedienen" jeweils für sich genommen die Untagged VLANs. Wir haben es Momentan so aufbaut als wenn es physisch getrennt wäre, wenn man das so sagen kann.

Nein! Das Layer 3 Geschäft macht die Firewall und der Switch nur Layer 2 wie HIER beschrieben.

Werde ich mir morgen durchlesen, habe momentan noch 4-6 weite Tutorials von dir offen die ich so durchspringe und parallel auf dem hEX rumprobiere.

Wenn man nur oberflächlich beschreibt und kein Budget nennt...

face-wink

Naja in dem Mikrotik Rahmen wollten wir schon bleiben. Max. 1000€ würde ich mal sagen (bei den zuletzt genannten Kandidaten waren wir ja so bei ~600€ +ggf. einige Module SFP+ -> RJ45). Wo ja immer noch nicht endgültig geklärt ist ob die das packen (im Sinne von "vollen" 10G am Hahn...)

Ägypten!? Bezog sich auf das Zusammenführen und war ein Ja.

Das bezog sich auf das: Es geht mit Mikrotik und dann doch mit drölf anderen oder doch mit OPNsense oder pfSense. Gibt vermutlich dutzende Möglichkeiten, aber immer mehr Verwirrung bei den nicht erleuchteten unter uns

Zitat von @aqui:
Was ist denn daran so "speziell"

Musst Du nicht drauf rumreiten. Den Terminus hatte ich eingebracht und der bezog sich auf die 10Gbit Zuleitung in Bezug auf Leistungsdaten und Erfahrungen unter Firewalling/Routing im Kontext mit L3HW-Offload. Dazu kann hier wohl kaum jemand mit Daten dienen. Vielleicht hat ja ein Kollege das hier schon und meldet sich noch, ich habe aber Zweifel. Das Setup hingegen selbst ist wirklich nicht speziell.

Naja in dem Mikrotik Rahmen wollten wir schon bleiben.

Dann wird es Mikrotik werden müssen. (Was ja eine gute Wahl ist)

Willkommen auch, Borsti!

Zitat von @aqui:
Nein! Das Layer 3 Geschäft macht die Firewall und der Switch nur Layer 2 wie HIER beschrieben.

Da hast Du oben nicht gelesen, @aqui. Thema Layer3HW-Offload. Da fehlt definitiv noch ein Tutorial

So schön, wie die Senses sind: Ich würde, keine PfSense/OPNsense nehmen, es sei denn, Ihr braucht die Features und kennt das System. Reines Firewalling macht der MT genausogut. Allerdings könnte Preis/Leistung bei der von @aqui vorgeschlagenen Combo besser sein, wenn 10 Gbit unbedingt erreicht werden sollen.

Ich würde mit dem (einem) CCR am Perimeter arbeiten und intern L3HW-Offload-Switching machen. So habt Ihr intern sichere 10Gbit und von extern das für unter 1000 EUR wohl maximal Mögliche. Nach den Daten des 2004 sollten da im Normalbetrieb knapp 5Gbit rüber kommen. Mehr gibt's dann gegen Aufpreis:

https://mikrotik.com/product/ccr2116_12g_4splus#fndtn-specifications
Leider mit 12 für Euch wahrscheinlich sinnlosen Gbit-Ports, dafür nur 900 EUR

oder https://mikrotik.com/product/ccr2216_1g_12xs_2xq
für 2.500

Für Euch doch das optimale Gerät. Hat halt nen 10Gbit-Preis.
Immerhin kann man sich bei dem Gerät den Switch dann wahrscheinlich sparen...

Viele Grüße, commodity

Edit: Rom wurde auch nicht an einem Tag erbaut.

Bevor wir weiter über die Hardware Rätsel raten, kann vielleicht zwischendurch mal jemand auf die Config schauen:

Ich probiere mich ja langsam heranzutasten. Mein Ziel war jetzt ersteinmal mit dem hEX:

Port 1: Internetzugang über den momentanen Telekom Router (Digibox)
Port 2/3: ins Netz 192.168.10.0/24
Port 4/5: ins Netz 192.168.20.0/24
Momentan als Bridge konfiguriert, vermutlich besser als VLAN machen?
DHCP in beiden Adressbereichen.
Firewall erstmal nichts weiter machen. Eins nach dem andern....

Routing ins Internet funktioniert aber nicht. Mit der Default Config ging es, an die ich mich auch etwas gehalten habe, + ein paar Sachen aus anderen Tutorials. Aber ich will es ja verstehen "from scratch" mehr oder weniger.

# may/06/2022 17:08:39 by RouterOS 7.2.3
# software id = BT3V-H6MK
#
# model = RB750Gr3
# serial number = CC210F97688E
/interface bridge
add name="bridge 2/3"  
add name="bridge 4/5"  
/interface list
add name=WAN
add name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=dhcp_pool1 ranges=192.168.20.100-192.168.20.200
add name=dhcp_pool2 ranges=192.168.10.100-192.168.10.200
/ip dhcp-server
add address-pool=dhcp_pool1 interface="bridge 4/5" lease-time=3d name=dhcp1  
add address-pool=dhcp_pool2 interface="bridge 2/3" lease-time=3d name=dhcp2  
/port
set 0 name=serial0
/interface bridge port
add bridge="bridge 2/3" interface=ether2  
add bridge="bridge 2/3" interface=ether3  
add bridge="bridge 4/5" interface=ether4  
add bridge="bridge 4/5" interface=ether5  
/ip neighbor discovery-settings
set discover-interface-list=LAN
/ip settings
set rp-filter=strict tcp-syncookies=yes
/interface list member
add interface=ether1 list=WAN
add interface="bridge 2/3" list=LAN  
add interface="bridge 4/5" list=LAN  
/ip address
add address=192.168.10.1/24 interface="bridge 2/3" network=192.168.10.0  
add address=192.168.20.1/24 interface="bridge 4/5" network=192.168.20.0  
/ip dhcp-client
add interface=ether1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.10.1 name=router.lan
/ip firewall nat
add action=masquerade chain=srcnat ipsec-policy=out,none out-interface-list=WAN
/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.2.1 routing-table=main scope=30 suppress-hw-offload=no
/ip service
set telnet address=192.168.0.0/16
set ftp address=192.168.0.0/16
set www address=192.168.0.0/16
set ssh address=192.168.0.0/16
set www-ssl address=192.168.0.0/16
set api address=192.168.0.0/16
set winbox address=192.168.0.0/16
set api-ssl address=192.168.0.0/16
/system clock
set time-zone-name=Europe/Berlin
/system ntp client
set enabled=yes
/system ntp client servers
add address=pool.ntp.org
add address=time.google.com
/tool graphing interface
add allow-address=192.168.0.0/16

Euch allen schon mal ein schönes Wochenende!

Viele Grüße Borsti

kann vielleicht zwischendurch mal jemand auf die Config
Bevor wir weiter ...

in diesem Thread fortfahren erlaube ich mir den Hinweis zur sinnvollen Nutzung eines Forums:
1 Problem, 1 Thread. Je kürzer, desto besser.
Außer dem Kollegen @aqui und meiner Wenigkeit, die noch die Meldungen bekommen, wird sich kaum jemand hierher verlaufen, der Euch helfen wird. Denn

a) sieht er eine ganz andere Frage und
b) einen ewig langen Thread, der ihm aa) sagt, die Frage ist längst durch oder bb) der TO ist wahnsinnig nervig oder rafft es nicht.
Beides von b) ist hier nicht der Fall, deshalb tut Euch den gefallen und schließt die "Anfängerfrage zum hEX" mal ab, indem Axel auf gelöst setzt und gib denen, die sich um die Lösung bemüht haben ein "zur Lösung beigetragen".

Danach machst Du einen neuen Thread auf, mit einer neuen Frage und entsprechenden Inhalten. Nur ein Vorschlag, aber das findet dann vielleicht den einen oder anderen, der noch mitmacht. Kollege @aqui und ich können ja nicht zu Euren einzigen privat-Supportern mutieren. Es ist und bleibt ein Forum.

Die Begrenzung auf ein begrenztes Thema im Thread hat auch den Vorteil, dass dieser vielleicht auch der Nachwelt hilft. Multithemen-Threads führen gern auch mal zu Mischmasch, dazwischen gestreuten Fehlinfos usw. und das kann dann ein anderer, der ebenfalls Hilfe sucht, nicht mehr auseinanderdividieren.

So far, schönes WE!

Viele Grüße, commodity

Da fehlen die DHCP-Server Networks vollständig, dein DHCP Server ist deswegen unvollständig und die Clients erhalten so keine vollständige Konfiguration mit Default GW und DNS Server.

/ip dhcp-server network
add address=192.168.10.0/24 dns-server=192.168.10.1 gateway=192.168.10.1 netmask=24
add address=192.168.20.0/24 dns-server=192.168.20.1 gateway=192.168.20.1 netmask=24

Des weiteren, wenn du einen DHCP-Client am WAN aktiv hast brauchst du die statisch angelegte Default-Route nicht, dort brauchst du nur den Haken bei "Use default gateway" im DHCP Client setzen, die Route wird dann dynamisch bei gültiger Lease hinzugefügt.

Momentan als Bridge konfiguriert, vermutlich besser als VLAN machen?

Wenn du später einen/mehrere Switches an den Router hängst und noch mehr segmentierst dann auf jeden Fall. Problem mit dem schwachen hEx Modell ist das es kein Layer2 Hardware Offload für das vLAN Filtering supported und somit Inter-VLAN Traffic durch die CPU muss was dann den Traffic massiv ausbremst. Hier wäre dann potentere Hardware nötig, außer man schafft sich einen separaten Switch mit L3 Routing-Fähigkeiten an und verlagert das Routing da amit auf andere HW.
Zum "spielen" und kennenlernen reicht es aber alle mal.

Viel Erfolg.
Grüße Uwe

@commodity Ich werde es bei der nächsten Frage deine Anmerkung berücksichtigen! Du hast vollkommen Recht, ich war mir nicht sicher weil es zur eigentlichen Ausgangsfrage gepasst hatte. Aber nun hat der @colinardo die Frage ja schon beantwortet, so das ich kein neuen Thread machen werde. (ist das ok?)

@colinardo Vielen Dank Uwe für deine Antwort. Das habe ich tatsächlich nicht bemerkt, da ich nur geschaut habe ob Adressen verteilt werden an die beiden Rechner die da grad dran hängen. Denn das hat ja so schon funktioniert.
Ich werde das Montag direkt testen. Hab den hEX im Büro stehen

Und ja, der hEX ist nur zum testen und sich versuchen ein bisschen mit der Sache vertraut zu machen. Wir haben nun schon ein größeres Modell bestellt, den CCR2004-1G-12S+2XS in der Hoffnung das der ehr in die Richtung der gewünschten Leistung geht. dauert aber noch, da lange Lieferzeit, wie so vieles im Moment. Aber der FTTB Anschluss ist ja auch noch nicht da.

Commodity hatte ja auch schon erwähnt das ich mit mit dem L3HW-Offload-Switching beschäftigen soll. Habe mir dazu diese Tutorial rausgesucht: https://help.mikrotik.com/docs/display/ROS/L3+Hardware+Offloading
Ich hoffe das wird mir dabei weiter helfen. Aber bis dahin ist für mich wohl noch ein weiter Weg. Ob ich es bis dahin schaffe muss man noch sehen.
Wie @aqui schon schrieb

Als nicht Erleuchtete sollte man sich ggf. dann auch Hilfe an die Hand nehmen!

Denn beliebt wird man sich hier vermutlich nicht machen wenn man zu jedem zweiten Schritt ne Frage absetzt. Ist halt kein ehr kein Forum für interessierte Laien mit wenig Kenntnissen in der Thematik.

@aqui
Danke für deinen Vorschlag mit den LACP LAGs. Ich werde den alsbald umsetzten. Zumindest zum HP. Beim Qnap weiß ich jetzt gar nicht so ob das unterstützt wird. Aber vermutlich ja, wenn du es so vorschlägst. Ggf. reicht auch eh ein Link tagged, da die Platten ja eh nicht die 10G Geschwindigkeit machen. Spart man sich noch einen teuren schnellen Port

Viele Grüße
Borsti

Beim Qnap weiß ich jetzt gar nicht so ob das unterstützt wird.

Du hast Recht, der ist ja unmanaged und supportet deshalb kein LACP LAG.

Der kann nur ein Balancing mit ALB oder TLB. Müsste man mal sehen ob der MT das in der Auswahl der Bonding Optionen ggf. auch supportet?! Ansonsten fällt die Option dann zumindestens für die QNAP Gurke flach.

Ist halt kein ehr kein Forum für interessierte Laien mit wenig Kenntnissen in der Thematik.

Das siehst du jetzt aber zu negativ und sollte dich nicht von deinen Fragen abhalten! Als IT Profi bist du ja nun auch kein Laie.

Zitat von @Borsti83:
Aber nun hat der @colinardo die Frage ja schon beantwortet, so das ich kein neuen Thread machen werde. (ist das ok?)

Der Thread hatte ja den DHCP des Mikrotik zum Thema, ist also noch vollkommen "On-Topic" und i.O. wenn du zu diesem Thema hier noch Fragen stellst.

(ist das ok?)

Aber natürlich! Insbesondere, nachdem sich noch eine Seele (und absolut vorzügliche Kompetenz) in diesem Thread eingefunden hat.
Mein Hinweis bezog sich auf eine grundsätzlich effektivere Vorgehensweise. Sowohl in Eurem Sinne, als auch im Sinne etwaiger späterer Ratsuchender - und ist selbstverständlich nur (m)eine bescheidene Meinung.

Im Übrigen gehe ich ganz mit dem Kollegen @aqui: Du/Ihr seid hier schon völlig an der richtigen Stelle.
Für darüber hinaus gehende Spezialfragen bleibt ja ggf. immer noch das Mikrotik-Forum. Wobei ich glaube, mit der Güte der Unterstützung von @aqui und @colinardo kann sich auch dort nicht viel messen.

Viele Grüße, commodity

Kurze Rückmeldung:

Da fehlen die DHCP-Server Networks vollständig, dein DHCP Server ist deswegen unvollständig und die Clients erhalten so keine vollständige Konfiguration mit Default GW und DNS Server.

Das war natürlich das Problem. Läuft jetzt!

@aqui

Du hast Recht, der ist ja unmanaged und supportet deshalb kein LACP LAG.

Doch, der Switch ist managed. Aber nur Layer2. Ich glaube du dachtest ich meine den? Ich meinte aber ob das beim Qnap NAS geht, mit den beiden SFP+ Anschlüssen. Hab das aber auch noch nicht nachgeschaut, zugegeben.

Als IT Profi bist du ja nun auch kein Laie.

face-wink

Ähm, naja...ich habe InformatikKAUFMANN gelernt. Also quasi wie Bürokaufmann nur das man seinen Toner im Drucker selber wechseln kann. Weiiiiittt weg von solchen Thematiken die hier so zur Sprache kommen...(und außerdem schon einige Jahre nicht mehr beruflich tätig in dem Bereich.)

So, ich werde mich dann mal weiter ans Ausprobieren setzten....

German solved Question MikroTik Other systems