Schlagwort: firewall

MikroTik: CAPsMAN und CAP auf einem Device

26.06.2021 / / Keine Kommentare

Wenn ein MikroTik-Device als CAPsMAN fungiert und gleichzeitig die internen WLAN-Interfaces im CAP-Mode betrieben werden sollen, so muss bei den CAP-Einstellungen unter „CAPsMAN Addresses“ die lokale IP des CAPsMAN eingetragen werden.

Ansonsten ist eine Verbindung zwischen CAPsMAN und CAP nicht möglich, so dass die CAP WLAN-Interfaces nicht durch den CAPsMAN verwaltet werden.

Zudem ist eine Firewall-Freigabe in der Input-Chain erforderlich, die den Zugriff der lokalen CAPsMAN-IP auf sich selbst (Loopback) gestattet.

Hinweis zu CAPsMAN 2

Lokale Access Points werden von CAPsMAN in der neuen Version 2 nicht mehr unterstützt! (Quelle)

New capsman explicitly doesn’t support provisioning local devices (MT is very clear on that).

Update: Eine alternative Lösung zum Management eigener WLAN-Interfaces auf dem CAPsMAN 2 Gerät ist hier beschrieben.

MikroTik FastTrack and FastPath

15.02.2020 / / Keine Kommentare

FastTrack = FastPath + Connection Tracking

All related information and sources:

FastPath
FastPath allows to forward packets without additional processing in the Linux kernel. It improves forwarding speeds significantly. For FastPath to work, interface support and specific configuration conditions are required. Automatically use of IPv4 FastPath if criterias are matching, see here.
Packets can be forwarded by fast path handler (e.g. ipv4 fasttrack) only if at least source interface support FastPath. For complete FastPath forwarding destination interface support is also required (see here).

FastTrack
IPv4 FastTrack handler is automatically used for marked connections. Use firewall action „fasttrack-connection“ to mark connections for FastTrack. Currently only TCP and UDP connections can be actually FastTracked. IPv4 FastTrack handler supports NAT.
Note that not all packets in a connection can be FastTracked, so it is likely to see some packets going through slow path even though connection is marked for FastTrack. This is the reason why fasttrack-connection is usually followed by identical accept-rule. FastTracked packets bypass firewall, connection tracking, traffic shaping queues, IPSec*, and several other configurations. So it is up to the administrator to make sure FastTrack does not interfere with other configuration.

Again, please keep in mind: Firewall filter and mangle rules will not be applied for FastTracked traffic!

*FastTrack can break connections running via IPSec! See video Most underused and overused RouterOS tools and features for details. Solutions: Disabling FastTrack or using Raw Firewalling rules for „no track“.