Konfiguration von Vlans auf Mikrotik 750gr3

Wenn ich die erstellten Vlans weglasse, klappt die Vergabe der IP-Adressen wie gewünscht.

Mein Hintergedanke hinsichtlich der Erstellung von Vlans war, dass wenn ich bereits jetzt ein Vlan pro Port anlege, ich die Vlans später so schalten kann das alle auf einem Port liegen und nur noch ein Kabel vom Mikrotik Router zum zukünftigen managed Switch geführt werden muss.

Auf diese Art und Weise wollte ich meine jetzige Zeit nutzen um später weniger Aufwand zu haben.


Das ist in der Zukunft (in 1-2 Jahren) so geplant.


Lässt sich dies nicht in den Einstellungen irgendwo abändern, sodass die Geräte direkt an den Mikrotik angeschlossen werden können?

Wow. Vielen Dank für deinen umfangreichen Beitrag, aqui!


Sorry, das ist ein fehlerhafte Bezeichnung.
DG = Familie 1
EG + UG (Partyraum) = Familie 2
UG = Familie 3


Ich habe inzwischen die von dir angesprochene Punkte umgesetzt und bin deinem Tipp gefolgt, dem MikroTik eine IP fest per Fritzbox-DHCP zuweisen zu lassen.
Auch habe ich den einzelnen AP's und Druckern eine feste IP per Mikrotik DHCP zuweisen lassen. Nach Abschluss der ersten Tests scheint alles soweit gut zu laufen.

Was allerdings nicht Probleme bereitet ist die Funktion des Gast-Wlans an den Access Points. Wenn man sich mit dem Gastnetz verbindet erhält man keinen Zugang ins Internet.
Es handelt sich hierbei ebenfalls um Fritzbox Geräte (FB7362, FritzOS 6.5), welche auf "IP-Client" gestellt wurden. Der Haken bei "Einstellungen für den Gastzugang aus der FRITZ!Box übernehmen" wurde deaktiviert.

Wenn die AP's als IP-Client direkt mit der 1. Fritzbox (7490) verbunden werden, funktioniert der Gastzugang einwandfrei.

Hat jemand eine Idee wo hier das Problem liegt und wie man es behebt?

Als APs werden im ganzen Haus derzeit FritzBoxen eingesetzt. Das sind die einzigen Geräte mit denen z.B. meine Eltern halbwegs klar kommen und so in der Regel neue Geräte eigenständig per Wlan verbinden können.

Die APs der Familien haben unterschiedliche SSIDs und Kanäle mit ausreichendem Abstand.

Da Familie 2 Räume in unterschiedlichen Stockwerken besitzt (UG+EG) nutzt diese pro Stockwerk ein AP um guten Empfang sicherzustellen. Diese beiden APs haben die gleiche SSID bei unterschiedlichen Kanälen, sodass die Clients (z.B. Smartphones) bei Wechsel des Stockwerks eigenständig zum stärkeren AP wechseln.

Kanäle
DG: Kanal 11
EG: Kanal Kanal 6
UG: Kanal 1 (AP1) / Kanal 11 (AP2)
-> Im DG kann der andere AP auf Kanal 11 nicht mehr empfangen werden
-> IMHO saubere Kanalplanung sichergestellt



Für jeden AP bzw. jede Fritzbox kann temporär ein unabhängiges Gast-Wlan aktiviert werden (Eigene SSID, eigenes WPA2 Passwort, eigener IP-Bereich für alle Gast-Clients vordefiniert durch AVM, Beschränkung auf Mailen & Surfen durch Fritzbox).

Beispiel:
Familie 1 feiert Geburtstag und möchte seinen Gästen temporären Internetzugriff gewähren.
Hierzu wird das WebGui der Fritzbox aufgerufen und die Funktion des Gastzugangs in der Fritzbox aktiviert. Für diese wird eine beliebige SSID + WPA-Passwort festgelegt und den Gästen mitgeteilt. Wenn die Feier vorbei ist, wird der Gastzugang deaktviert und keiner der Gäste hat mehr Zugriff auf das Internet. Dies geht auf allen AP's der verschiedenen Familien unabhängig voneinander.


Update 09.11.2016
Offenbar ist das Gast-Wlan-Problem ein Problem der Fritzboxen, was nur durch eine ungewollte Routerkaskade gelöst werden kann. Schade, ich habe die Geräte bisher als gute all-in-one Lösung betrachtet über die ggf. später auch Telefone in die LAN-Infrastruktur geholt werden können. Vermutlich werde ich nach Trennung der Netze irgendwo noch einen Freifunk AP integrieren.



Vielleicht ist die Bezeichnung "IP-Client" von AVM ungünstig gewählt. Dort hat man die Wahl zwischen den folgenden Betriebsmodi:


Nur im aktuell aktivierten Modus B sind Firewall und DHCP deaktiviert. Also ist meiner Meinung nach quasi alles so wie im verlinkten Artikel eingestellt. Auch in diesem sogenannten IP-Client Modus hat man die Wahl ob man eine feste IP direkt im AP hinterlegen oder diese ggf. per Mikrotik DHCP bezogen wird.

Da aktuell letzteres Szenario der Fall ist, ist dies die einzige Abweichung zum verlinkten Artikel. Ich ändere das gerne, bin mir aber der Nachteile der anderen Methode nicht so ganz bewusst.



Ich selbst bin glücklicherweise nicht der Anschlussinhaber. Ein rechtssicherer Gastzugang ist daher erstmal nicht so wichtig. Das kann später, wenn die Fritzboxen ausgemustert und ersetzt werden müssen in Angriff genommen werden. Wenn alles erstmal läuft und die Netzwerke voneinander getrennt sind kann man gerne noch einmal überlegen wie man das Geschehen aller Familiennetze (inkl. der dazugehörigen Gastzugänge) rechtssicherer machen kann z.B. durch Logging. Ggf. wird irgendwann später auch ein Freifunk AP für Gäste genutzt um Gästen komfortabel und ohne Sorgen Internet anbieten zu können.


Hier noch einmal zur Sicherheit die Einstellungen des MT und der Fritzbox 7490:

Hier die Einstellungen an einem der Fritzbox7262 APs:


Hier eine überarbeitete und angereicherte Skizze des Aufbaus:
(ohne Gastnetz der FritzBoxen, aus Platzmangel)



Ich denke ich wäre dann Bereit für eine einfache Gestaltung der Firewall regeln .
Etwas eingelesen habe ich mich schon, aber vollständig durchdrungen habe ich es noch nicht. Ich bin dankbar für jede Hilfe!

p.s. sorry für diesen Beitrag in Monster-Länge

Korrekt.
Inzwischen habe ich Port 1 aber auch eine feste IP verpasst und eine Default Route erstellt, so wie es anfangs von dir beschrieben wurde.


Das war mir so schon bewusst.

Nicht bewusst war mir, das der Gastzugang der Fritzbox quasi gar nicht konfiguriert werden kann und nur in Verbindung mit anderen Fritzboxen funktioniert. Oder eben als Routerkaskade, die ich bei einem so schicken MT keinesfalls haben möchte. Wie im anderen Thread bereits angesprochen, wird es beim nächsten Hardwaretausch dann vermutlich ein Mikrotik AP werden. Bis dahin bin ich in der ganzen Materie fitter und habe alle involvierten Parteien weich geklopft.

Meinen Eltern und unserem Vermieter (Anschlussinhaber) machen sich nur sorgen, das keiner mehr im Netzwerk durchblickt und Störungen beseitigen kann, wenn ich ab nächstem Jahr nahezu dauerhaft im Ausland arbeite.
Als Störung zählt bereits, wenn jemand unfähig ist das Wlan Passwort korrekt abzutippen oder ein AP getauscht werden muss .
Naja - das ist erstmal zweitrangig.

Eine Frage wäre noch offen:
Ist es nicht leichter den Überblickt über die vergebenen festen IP-Adressen zu behalten, wenn diese via MAC-Adresse durch den DHCP des MT zugewiesen werden? - Wo liegt der Vorteil die IP direkt auf den APs zu vergeben?


Ja, absolut richtig:
- Uneingeschränkter Zugriff ins Internet für alle,
- Keine Kommunikation zwischen den Familiennetzen
- Kommunikation innerhalb der Familiennetze ist erlaubt


Ok. Ich glaube, das ich es hinbekommen habe:


Nochmal für mein Verständnis:
Ist es richtig, dass keine weitere Regel angelegt werden muss, welche die Kommunikation innerhalb der IP-Bereiche erlaubt, weil die Datenpakete zwischen den Clients des selben IP-Bereichs bereits auf dem unmanaged Switch bzw. den APs ausgetauscht werden und gar nicht erst bis zum MT geschickt werden?

Ist als Action "reject" in Ordnung, oder sollte "drop" gewählt werden?
Ich habe gelesen, das die Quelle bei reject eine Rückmeldung bekommt und bei drop Datenpakete im Nirvana verschwinden. Demnach müsste reject im vorliegenden Fall zu besserer Performance führen, richtig?
Falls dies der Fall ist, soll bei "Reject with" etwas spezielles ausgewählt werden?



In den meisten Anleitungen, die ich gefunden habe, wurden Connection States und Input/Output Chains verwendet.
Ich hatte direkt meine Zweifel ob ich so etwas überhaupt benötige und noch größere Zweifel wie diese Regeln genau zu definieren wäre.

Ja, eigentlich schon. Ich wollte mich aber sicherheitshalber noch einmal rückversichern.

Mir noch eine Kleinigkeit im Setup aufgefallen:

Vor wenigen Minuten brach der Internetzugriff über mein Notebook ab, lies sich nach kurzer Verwunderung durch eine neue Verbindung zum AP aber wieder herstellen. Nach einem kurzen Blick in den MT erkannte ich, das der Zeitpunkt des Abbruchs exakt mit dem Ablauf (12 Stunden) der geleasten IP-Adresse übereinstimmte.
Dies habe ich früher noch nie feststellen müssen, als der entsprechende AVM-AP zugleich als Router diente. Der Lease einer neuen Adresse lief meiner Meinung nach immer flüssig, ohne Aufbau einer neuen Verbindung ab.

Als Gegenmaßnahme würde mir lediglich einfallen, die Lease-Dauer zu erhöhen. Allerdings beseitigt dies das Problem des erneuten Verbindungsaufbaus nicht. Gibt es noch andere Stellschrauben oder Bereiche in denen potentiell falsche Einstellungen vorgenommen wurden?

Hier noch einmal die Einstellungen des DHCP-Servers:

Ich habe noch nicht überprüft, ob sich das Problem beim nächsten Ablauf der IP-Adresse reproduzieren lässt.

Ja, die aktuellste Firmware ist drauf.

Ich werde die lease Zeit auch mal auf 3 Tage hochstellen und das ganze Beobachten. Falls das Problem nicht mehr auftaucht markiere ich diesen Thread als gelöst.

Vielen Dank nochmal für deine große Hilfe und deine Geduld, aqui!

Ok. Das zuletzt angesprochene vermeintliche DHCP-Problem war keines. Es betraf lediglich mein Notebook, dessen Wlan-Chip offenbar Probleme mit dem ziemlich freien Funkkanal 11 hatte. Habe den Funkkanal am AP umgestellt und jetzt läuft alles einwandfrei.

Da die Einstellungen gründlich dokumentiert wurden im Laufe dieses Threads, spare ich mir einen weiteren Screenshot der Einstellungen. .

Ich habe das Problem nun als gelöst markiert.