Mikrotik RB2011UAS-2HnD-IN -> Server

**Herbert** · 26/10/14 12:04

Hallo wie kan mij even opweg helpen met de Mikrotik RB2011UAS-2HnD-IN
Ik wil al het verkeer van buitenaf (public IP adres) naar mijn interne IP 192.168.2.100 hebben.
Ooit heb ik wel eens iets gevonden wat hetzelfde werkt als DMZ maar ik weet niet meer waar?
IP 192.168.2.100 staat op poort 5 (untagged)
Als ik mij niet vergis dan moet ik een NAT instellen, het gaat om VLAN 6 glasvezel.

Alvast bedankt
Gr, Herbert

**Cybafish** · 26/10/14 12:16

src/dst NAT'en

http://wiki.mikrotik.com/wiki/Manual...NAT#Source_NAT

**Boskoop** · 26/10/14 12:33

Oorspronkelijk geplaatst door Cybafish

src/dst NAT'en

http://wiki.mikrotik.com/wiki/Manual...NAT#Source_NAT

Dit dus, ik vraag me wel af of je echt alle poorten wil forwarden of slechts alleen de poorten die je nodig hebt, alle poorten is natuurlijk wel een beveiligingsrisico

**Mark17** · 26/10/14 13:06

Oorspronkelijk geplaatst door Boskoop

Dit dus, ik vraag me wel af of je echt alle poorten wil forwarden of slechts alleen de poorten die je nodig hebt, alle poorten is natuurlijk wel een beveiligingsrisico

Mijn advies is om NAT niet als beveiliging te zien. Denk eerder aan mogelijke hindernissen als je alle poorten zou forwarden en meer systemen wilt plaatsen die van buiten af bereikbaar moeten zijn.

**Herbert** · 26/10/14 13:26

Dat was de goede link, bedankt zover!
Ik zie NAT ook niet als beveiliging, op de server draait CSF en nog een paar dingen voor de beveiliging.
Volgens mij moet ik dan 1:1 mapping hebben?
11.11.11.0 is het IP van de ISP

Code:

/ip firewall nat add chain=dstnat dst-address=11.11.11.0/24 \
	action=netmap to-addresses=192.168.2.100/24

/ip firewall nat add chain=srcnat src-address=192.168.2.100/24 \
	action=netmap to-addresses=11.11.11.0/24

Klopt dit?
Meer hoeft dan niet als ik het goed heb..

**Herbert** · 27/10/14 15:36

Tot zover werkt alles, behalve het IP van de server (192.168.2.100) is niet gekoppeld aan het public IP adress (77.xx.xx.xx)
Hieronder mijn config, wat doe ik verkeerd?

Code:

MikroTik RouterOS 6.9 (c) 1999-2014    

[admin@MikroTik] > /export
# oct/27/2014 15:18:50 by RouterOS 6.9
# software id = BF8U-7VFR
#
/interface bridge
add admin-mac=XX:XX:XX:XX:XX:XX arp=proxy-arp auto-mac=no l2mtu=1598 name=\
    bridge-local
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp name=ether1-gateway speed=\
    1Gbps
set [ find default-name=ether2 ] speed=1Gbps
set [ find default-name=ether6 ] name=ether6-master-local
set [ find default-name=ether7 ] master-port=ether6-master-local name=\
    ether7-slave-local
set [ find default-name=ether8 ] master-port=ether6-master-local name=\
    ether8-slave-local
set [ find default-name=ether9 ] master-port=ether6-master-local name=\
    ether9-slave-local
set [ find default-name=ether10 ] master-port=ether6-master-local name=\
    ether10-slave-local
set [ find default-name=sfp1 ] name=sfp1-gateway
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=\
    20/40mhz-ht-above country=netherlands disabled=no distance=indoors l2mtu=\
    2290 mode=ap-bridge ssid=sambabij wireless-protocol=802.11
/ip neighbor discovery
set ether1-gateway discover=no
set sfp1-gateway discover=no
set wlan1 discover=no
/interface vlan
add interface=ether1-gateway l2mtu=1594 name=vlan1.6 vlan-id=6
/ip neighbor discovery
set vlan1.6 discover=no
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa-psk,wpa2-psk mode=\
    dynamic-keys wpa-pre-shared-key=XXXXXXXXXX wpa2-pre-shared-key=XXXXXXXXXX
/ip hotspot user profile
set [ find default=yes ] idle-timeout=none keepalive-timeout=2m \
    mac-cookie-timeout=3d
/ip pool
add name=dhcp ranges=192.168.2.0-192.168.2.50
add name=thuisnetwerk ranges=192.168.2.40-192.168.2.99
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge-local lease-time=10m name=\
    default
/port
set 0 name=serial0
/interface pppoe-client
add ac-name="" add-default-route=yes allow=pap,mschap2 \
    default-route-distance=1 dial-on-demand=no disabled=no interface=vlan1.6 \
    keepalive-timeout=20 max-mru=1480 max-mtu=1480 mrru=disabled name=pppoe \
    password=kpn profile=default service-name="" use-peer-dns=no user=\
    XX-XX-XX-XX-XX-XX@direct-adsl
/ip neighbor discovery
set pppoe discover=no
/routing bgp instance
set default disabled=yes
/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=ether6-master-local
add bridge=bridge-local interface=wlan1
/ip address
add address=192.168.88.1/24 comment="default configuration" interface=\
    bridge-local network=192.168.88.0
add address=192.168.2.250/24 interface=ether2 network=192.168.2.0
/ip dhcp-client
add comment="default configuration" dhcp-options=hostname,clientid disabled=\
    no interface=sfp1-gateway
add comment="default configuration" dhcp-options=hostname,clientid disabled=\
    no interface=ether1-gateway
/ip dhcp-server config
set store-leases-disk=15m
/ip dhcp-server network
add address=192.168.2.0/24 dns-server=192.168.2.250 domain=thuis.local \
    gateway=192.168.2.250
add address=192.168.88.0/24 comment="default configuration" dns-server=\
    192.168.88.1 gateway=192.168.88.1
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d servers=8.8.8.8,8.8.4.4
/ip dns static
add address=192.168.88.1 name=router
/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=established
add chain=input comment="default configuration" connection-state=related
add action=drop chain=input comment="default configuration" in-interface=\
    sfp1-gateway
add action=drop chain=input comment="default configuration" in-interface=\
    ether1-gateway
add chain=forward comment="default configuration" connection-state=\
    established
add chain=forward comment="default configuration" connection-state=related
add action=drop chain=forward comment="default configuration" \
    connection-state=invalid
add chain=input in-interface=pppoe protocol=icmp
add chain=input connection-state=related
add chain=input connection-state=established
add action=reject chain=input in-interface=pppoe protocol=tcp reject-with=\
    icmp-port-unreachable
add action=reject chain=input in-interface=pppoe protocol=udp reject-with=\
    icmp-port-unreachable
/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" \
    out-interface=sfp1-gateway
add action=masquerade chain=srcnat comment="default configuration" \
    out-interface=ether1-gateway
add action=masquerade chain=srcnat out-interface=pppoe src-address=\
    192.168.0.0/16 to-addresses=0.0.0.0
add action=dst-nat chain=dstnat comment=test dst-address=77.168.XX.XX \
    dst-port=0-65535 protocol=tcp to-addresses=192.168.2.100 to-ports=0-65535
add action=masquerade chain=srcnat out-interface=ether1-gateway
/ip traffic-flow
set cache-entries=4k
/ip upnp
set allow-disable-external-interface=no enabled=yes show-dummy-rule=no
/ip upnp interfaces
add interface=bridge-local type=internal
add interface=pppoe type=external
/lcd
set backlight-timeout=5m
/lcd interface
set sfp1-gateway interface=sfp1-gateway
set ether1-gateway interface=ether1-gateway
set ether2 interface=ether2
set ether3 interface=ether3
set ether4 interface=ether4
set ether5 interface=ether5
set ether6-master-local interface=ether6-master-local
set ether7-slave-local interface=ether7-slave-local
set ether8-slave-local interface=ether8-slave-local
set ether9-slave-local interface=ether9-slave-local
set ether10-slave-local interface=ether10-slave-local
set wlan1 interface=wlan1
/system clock
set time-zone-name=Europe/Amsterdam
/system ntp client
set enabled=yes mode=unicast primary-ntp=194.109.22.18
/system routerboard settings
set cpu-frequency=750MHz
/tool mac-server
set [ find default=yes ] disabled=yes
add interface=ether2
add interface=ether3
add interface=ether4
add interface=ether5
add interface=ether6-master-local
add interface=ether7-slave-local
add interface=ether8-slave-local
add interface=ether9-slave-local
add interface=ether10-slave-local
add interface=wlan1
add interface=bridge-local
/tool mac-server mac-winbox
set [ find default=yes ] disabled=yes
add interface=ether2
add interface=ether3
add interface=ether4
add interface=ether5
add interface=ether6-master-local
add interface=ether7-slave-local
add interface=ether8-slave-local
add interface=ether9-slave-local
add interface=ether10-slave-local
add interface=wlan1
add interface=bridge-local
[admin@MikroTik] >

**Herbert** · 01/11/14 15:37

Het werkt allemaal nu.
In RouterOs 6.9 is het iets anders, deze werkt:

Code:

/ip firewall nat
add action=dst-nat chain=dstnat comment=HairPin disabled=no dst-address=77.xxx.xxx.xxx to-addresses=192.168.2.100
add action=src-nat chain=srcnat disabled=no src-address=192.168.2.100 to-addresses=77.xxx.xxx.xxx

add action=masquerade chain=srcnat disabled=no dst-address=192.168.2.0/24 \
    src-address=192.168.2.0/24

Toch nog even een vraagje, in Winbox heb ik "bridge all lan ports" aangevinkt in "local network" en nu heb ik alleen nog maar toegang via SSH
Weet iemand hoe ik dit ongedaan kan krijgen via de command line zonder dat ik hem hoeft te restten?

Alvast bedankt voor het antwoord..

**Herbert** · 01/11/14 23:48

Het is allemaal opgelost, bedankt voor de antwoorden.
De snelheid op de 1GB poorten zijn bedroevend laag, ik zit rond de 200mb/s

Gr, Herbert

**Bart L** · 02/11/14 09:18

En hoe heb je het opgelost? Is wel leuk voor de volgende

Sent from my iPhone using webhostingtalk mobile app

**Tim.Bracquez** · 02/11/14 11:12

Oorspronkelijk geplaatst door Herbert

Het is allemaal opgelost, bedankt voor de antwoorden.
De snelheid op de 1GB poorten zijn bedroevend laag, ik zit rond de 200mb/s

Gr, Herbert

Je haalt gewoon gbit op die device in switch modus, maar uiteraard als je alles door de CPU haalt, haal je maar 200Mbit of minder... Kijk even onderaan:
http://routerboard.com/RB2011UiAS-2HnD-IN Ik vermoed zelfs als je 200Mbit er gaat door halen dat je zelfs packet loss gaat hebben omdat je CPU maxed is.

Performance: https://scrshot.eu/s/9b4ba20.png
Deze haalt gewoon gbit (door de cpu) en is beter voor datacenter use: http://routerboard.com/RB1100AHx2
Die van jou heeft geen actieve koeling en kan dus ook te warm worden.

Je moet dus goed weten hoe je aan de slag gaat met die devices....

**Herbert** · 03/11/14 02:21

@bart
Ik heb een voorbeeld gebruikt van http://www.netwerkje.com en daarna de regels uit mijn laatste post toegevoegd.
Als je het weet dan is het 5 minuten werk, maar voordat je het door hebt dat duurd iets langer

@tim
Ik zit op 210mb/s en heb de CPU van 600Mhz naar 750Mhz gezet, de CPU temp blijft onder de 40 graden.
Deze snelheid haal ik zonder packet loss en stabiel..
Ik laat alleen VLAN6 en VLAN7 door met minimale firewall rules, de server vangt het op.
Maar nog bedankt voor de link, ik zal eens kijken of het wat voor mij is.. ik denk het wel.

Gr, Herbert

Onderwerp Gereedschap

Toon

Onderwerp: Mikrotik RB2011UAS-2HnD-IN -> Server

Mikrotik RB2011UAS-2HnD-IN -> Server

Webhostingtalk.nl

Link met ons

Partners

Contact