Schlagwort: mikrotik

SNMP-Odysee mit Zabbix und Mikrotik

03.12.2025 / / Keine Kommentare

Aus mehreren Gründen (und aus Rache gegen vermeintlichen Vendor-Lock-In) bin ich auch privat auf Zabbix umgestiegen. Mikrotik mit SNMP einbinden und abfragen? Easy Peasy!

Bis zum Tag X, an dem zwei weitere Mikrotik Geräte mit RouterOS dazu kamen. Nix zu wollen! Ich dachte erst es ist ein Template-Problem bei Zabbix, weil ich Switche (aus guten Gründen, Danke Sandro 😉 mit RouterOS betreiben wollte.

cannot read from session: Bad parse of ASN.1 type (plaintext scopedPDU header type

snmpwalk mit v3, sah alles Top aus, keine Passwort oder IP oder Firewall Probleme. Alles ausgeschlossen. Nur sobald ich das in Zabbix haben wollte -> Nada!

Stunden später bin ich auf einen Beitrag aufmerksam geworden, dass die EngineID unterschiedlich sein muss, das auch sollte, aber aus irgendwelchen Gründen bei Mikrotik gleich ist.

Einfach einen eindeutigen String bei Engine ID suffix (ich hab mich dann für die Primäre MAC-Adresse ohne Doppelpunkte/Striche entschieden) eintragen, und das Thema ist durch.

Wechsel von WPA2 auf WPA3

26.01.2025 / / Keine Kommentare

Wird die Konfiguration der WLAN Access Points von WPA2 auf WPA3 geändert, loggen sich manche WLAN-Clients nicht mehr automatisch ein. In diesem Fall muss initial einmal mit dem neuen, per WPA3 abgesicherten WLAN manuell die Verbindung hergestellt werden.

Gleiches kann passieren, wenn bei einer Konfiguration von WPA2 und WPA3 der ältere Standard WPA2 deaktiviert wird.

MikroTik Hotspot Login Redirect mit Routing Marks

10.01.2025 / / Keine Kommentare

Symptom: Hotspot Login Page auf Endgeräten wird bei Setups mit mehreren WAN-Uplinks (Nutzung von Mangle Regeln und Routing Marks) nicht geladen.

Lösung:

/ip firewall mangle add action=accept chain=prerouting comment="no marking for hotspot traffic before authentication (else captive portal can't be reached)" hotspot=!auth in-interface-list=local src-address-list=hotspot

Quelle

MikroTik Failover, Load Balancing und Recursive Routing

03.09.2024 / / Keine Kommentare

Hinweise:

  • bei Default Routes (0.0.0.0/0):
    • Check Gateway mittels Ping aktivieren
    • Target-Scope auf 11
      Dies ist v.a. ab RouterOS 7.x relevant.
      Target-Scope bei den Default Routes muss größer als bei den „Testing Routes“ sein, welche den default Target-Scope 10 haben.

Quellen:

MikroTik CAPsMAN Version 2

17.07.2024 / / Keine Kommentare

Die neue CAPsMAN Version 2 hat einige Einschränkungen:

Der Manager Forwarding Mode wird von CAPsMAN nicht mehr unterstützt. Stattdessen müssen die VLANs aller SSIDs gesondert durch das gesamte Netzwerk bis zu den Access Points konfiguriert werden. (Quelle 1 2)

Lokale Access Points werden nicht mehr unterstützt. Es ist folglich nicht mehr möglich WLAN-Interfaces auf dem Gerät per CAPsMAN zu konfigurieren, auf dem auch der CAPsMAN läuft. (Quelle)

Generell empfiehlt sich, bei gleichzeitigem Betrieb beider CAPsMAN-Versionen, auf dem bestehenden Device (z. B. Router) weiterhin CAPsMAN in der alten Version 1 und die neue Version 2 auf einem gesonderten Gerät (z. B. Switch) zu betreiben.

MAC-Filter auf MikroTik

27.03.2024 / / Keine Kommentare

Um nur für bestimmte Clients bzw. deren MAC-Adressen Traffic zum oder durch den Router / Switch zu akzeptieren, können Bridge Filter eingesetzt werden:

/interface bridge filter add action=jump chain=forward jump-target=macfilter
/interface bridge filter add action=jump chain=input jump-target=macfilter
/interface bridge filter add action=accept chain=macfilter comment="Client ABC" src-mac-address=11:22:33:44:55:66/FF:FF:FF:FF:FF:FF
/interface bridge filter add action=accept chain=macfilter comment="Access Point 42" src-mac-address=AA:BB:CC:11:22:33/FF:FF:FF:FF:FF:FF
/interface bridge filter add action=log chain=macfilter comment="Log *" log-prefix="DROP macfilter"
/interface bridge filter add action=drop chain=macfilter comment="Drop *"

Zum vereinfachten Debugging empfiehlt sich, eine entsprechende Log-Regel zu implementieren.

Achtung: RoMON funktioniert auch bei aktivem MAC-Filter. Also nicht wundern, wenn Clients per RoMON erreichbar sind, aber andere Funktionalitäten wie IP-Zuweisung per DHCP oder generell der Trafficfluss nicht funktionieren.