OLT Alcatel en PEPEPHONE. No funcionan Ufiber nano, ni ZTE F601, Ni Tp-link........

Ninotaire dijo:

Hola Pokoyo,
Estoy usando ARP para ver la lista de dispositivos y luego cuando lo identifico, elijo "Make Static".
Es la forma correcta de asignar ip's desde el mikrotik? Aconsejas otra forma de hacerlo?
Gracias Pokoyo

Haz clic para expandir...

Pero el make static lo estás haciendo en la tabla arp o en los leases del dhcp? El sitio para hacerlo es el segundo, si creas una entrada de estática en el ARP y te equivocas o cambias la IP, dejas sin navegación a ese equipo.

Saludos!

pokoyo dijo:

Pero el make static lo estás haciendo en la tabla arp o en los leases del dhcp? El sitio para hacerlo es el segundo, si creas una entrada de estática en el ARP y te equivocas o cambias la IP, dejas sin navegación a ese equipo.

Saludos!

Haz clic para expandir...

Lo hacía en ARP, ahora lo he hecho en IP - DHCP Server - Leases - Make Static.
Ahora voy a mirar cómo abrir puertos para dicha IP/Mac, ¿Hay alguna manera más acertada que otra de hacerlo?
Gracias Pokoyo.

Ninotaire dijo:

Lo hacía en ARP, ahora lo he hecho en IP - DHCP Server - Leases - Make Static.
Ahora voy a mirar cómo abrir puertos para dicha IP/Mac, ¿Hay alguna manera más acertada que otra de hacerlo?
Gracias Pokoyo.

Haz clic para expandir...

A mi la que más me gusta hacer es la que pongo en el manual de tips&tricks: el hairpin nat y así aprovechar la url del ddns que te regala mikrotik para resolver tu IP pública y usarla como filtro. De esa manera no secuestras el tráfico de los puertos delicados, como pueda ser el 80 o el 443, al especificar el sentido (dirección) en el que hacer la apertura (de fuera a dentro).

Saludos!

pokoyo dijo:

A mi la que más me gusta hacer es la que pongo en el manual de tips&tricks: el hairpin nat y así aprovechar la url del ddns que te regala mikrotik para resolver tu IP pública y usarla como filtro. De esa manera no secuestras el tráfico de los puertos delicados, como pueda ser el 80 o el 443, al especificar el sentido (dirección) en el que hacer la apertura (de fuera a dentro).

Saludos!

Haz clic para expandir...

Gracias.
He probado primero el sistema Firewall - Nat, pero no hay manera, apunto a la IP que toca, pero no se abren los puertos, he probado primero con el emule, y no hay forma, Low Id.
Es un portátil que se conecta por wifi, pero a los AP Unifi, no a la wifi del Mikrotik que la tengo desactivada, de manera que en la opción In-Interface, he probado casi todas las opciones, todos los puertos ethernet, bridge, internet, etc.
No hay manera, espero que no sea por culpa del F680.
Alguna idea?
Gracias Pokoyo.

Dame un export. Si el AP está en modo AP y no router, o es cosa de que está mal hecha la apertura o es cosa del F680

Ese último equipo, el F680, ¿cómo lo tienes? ¿Estás abriendo ahí los mismos puertos a la IP del Mikrotik o lo tienes en DMZ?

Saludos!

pokoyo dijo:

Dame un export. Si el AP está en modo AP y no router, o es cosa de que está mal hecha la apertura o es cosa del F680

Ese último equipo, el F680, ¿cómo lo tienes? ¿Estás abriendo ahí los mismos puertos a la IP del Mikrotik o lo tienes en DMZ?

Saludos!

Haz clic para expandir...

El F680 lo tengo en el modo Bridge descrito en este foro, de manera que al no ser un bridge real, más bien un apaño, espero que no esté fastidiando.
En el desplegable IN-INTERFACE qué debo elegir? Todos los puertos Ethernet?
Te paso la configuración:

# apr/03/2021 18:37:51 by RouterOS 6.48.1
# software id = 3ZL9-6G19
#
# model = RBD52G-5HacD2HnD
# serial number = XXXXXXXXXXX
/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN
add action=dst-nat chain=dstnat dst-port=4662 in-interface=all-ethernet protocol=tcp to-addresses=192.168.2.251 to-ports=4662
add action=dst-nat chain=dstnat dst-port=4672 in-interface=all-ethernet protocol=udp src-address-list="" to-addresses=192.168.2.251 to-ports=4672

Perdona, que se me olvidaba que habías puesto el F680 en bridge. La interfaz no es necesaria indicarla. Aquí tienes un ejemplo de apertura de puertos. Sino, como te comentaba, con el hairpin NAT y usando la IP pública para especificar el sentido de la apertura.

Saludos!

pokoyo dijo:

Perdona, que se me olvidaba que habías puesto el F680 en bridge. La interfaz no es necesaria indicarla. Aquí tienes un ejemplo de apertura de puertos. Sino, como te comentaba, con el hairpin NAT y usando la IP pública para especificar el sentido de la apertura.

Saludos!

Haz clic para expandir...

Mañana probaré el hairpin NAT.
Te mantengo informado.
Gracias Pokoyo.

Ninotaire dijo:

Mañana probaré el hairpin NAT.
Te mantengo informado.
Gracias Pokoyo.

Haz clic para expandir...

pokoyo dijo:

Perdona, que se me olvidaba que habías puesto el F680 en bridge. La interfaz no es necesaria indicarla. Aquí tienes un ejemplo de apertura de puertos. Sino, como te comentaba, con el hairpin NAT y usando la IP pública para especificar el sentido de la apertura.

Saludos!

Haz clic para expandir...

Buenas tardes Pokoyo,
He probado todo para abrir los puertos.
He utilizado varios métodos, tutoriales, etc, sin éxito.
Mañana me llegará una ONT Alcatel-Nokia para poder quitar definitivamente el F680.
Voy a poner algún comentario en el hilo del Bridge del F680, referente a los puertos, para el 99% de los usuarios ese sistema será válido, pero cuando quieres abrir puertos, hay problemas.
Dudo que sea un problema del Mikrotik. Tiene activado el UPNP y a pesar de que crea las reglas NAT de apertura de forma automática, no abre los puertos. El F680 tiene que bloquear de alguna manera el tráfico NAT.
Por otro lado, tenía una consulta sobre si existe algún SFP Gpon, que se pueda usar con un Mikrotik con puerto SFP+ y directamente prescindir también de cualquier ONT externa.
Gracias Pokoyo, voy a poner ahora el comentario en el hilo bridge del F680.
Saludos cordiales.

¿Has llegado a comprobar si el mikrotik está recibiendo IP pública? Si recibe IP pública, el problema está en el mikrotik. Si la que recibe es privada, el problema lo tienes en el F680.

Por otro lado, comprueba también el tema del CG-NAT, a ver si vas a estar metido en uno y entonces ni puertos ni nada, hay que pedir primero que te saquen de él.

Saludos!

pokoyo dijo:

¿Has llegado a comprobar si el mikrotik está recibiendo IP pública? Si recibe IP pública, el problema está en el mikrotik. Si la que recibe es privada, el problema lo tienes en el F680.

Por otro lado, comprueba también el tema del CG-NAT, a ver si vas a estar metido en uno y entonces ni puertos ni nada, hay que pedir primero que te saquen de él.

Saludos!

Haz clic para expandir...

Tracert realizado y sólo una línea con la Ip dinámica.
Recibe ip pública el Mikrotik. Sigo sin poder abrir los puertos.
Seguro que no pinta nada el F680? No lo tengo claro.
Gracias Pokoyo.

Si en IP -> Address, en la interfaz de la vlan 20, te aparece una IP pública, el problema es del mikrotik seguro. ¿cómo estás validando si un puerto está abierto o no? Si necesitas mandarme algún dato sensible, tienes mi privado disponible, te puedo echar una mano a comprobar si de verdad están abiertos o no. Recuerda que para que una herramienta te marque los puertos como abiertos, ha de haber un servicio levantado en dicho puerto y dicha IP escuchando activamente esa conexión, ene el caso de un puerto TCP. Y, si es UDP, sólo te lo marcará abierto cuando este activamente recibiendo tráfico por ese puerto, cualquier tool te lo va a marcar como cerrado si es UDP y no está moviendo tráfico en este momento (udp no es orientado a conexión).

Saludos!

pokoyo dijo:

Si en IP -> Address, en la interfaz de la vlan 20, te aparece una IP pública, el problema es del mikrotik seguro. ¿cómo estás validando si un puerto está abierto o no? Si necesitas mandarme algún dato sensible, tienes mi privado disponible, te puedo echar una mano a comprobar si de verdad están abiertos o no. Recuerda que para que una herramienta te marque los puertos como abiertos, ha de haber un servicio levantado en dicho puerto y dicha IP escuchando activamente esa conexión, ene el caso de un puerto TCP. Y, si es UDP, sólo te lo marcará abierto cuando este activamente recibiendo tráfico por ese puerto, cualquier tool te lo va a marcar como cerrado si es UDP y no está moviendo tráfico en este momento (udp no es orientado a conexión).

Saludos!

Haz clic para expandir...

En IP - Adresses, tengo dos interfaces:
1. Internet, con la Ip pública.
2. Bridge, con la Ip privada.

Gracias Pokoyo.

Dame un pantallazo de eso, please, que veamos si es de verdad o no una IP pública. Y, por otro lado, quita el UPnP y abre un puerto a manija, uno que uses para algún servicio interno, preferiblemente TCP, que probamos rápidamente si está o no abierto.

Saludos!

pokoyo dijo:

Dame un pantallazo de eso, please, que veamos si es de verdad o no una IP púbolica. Y, por otro lado, quita el UPnP y abre un puerto a manija, uno que uses para algún servicio interno, preferiblemente TCP, que probamos rápidamente si está o no abierto.

Salud

Haz clic para expandir...

Mañana te paso los datos Pokoyo,
Pero me extraña, porque he abierto el 4662 TCP y el 4672 UDP, para usar en emule, y he abierto esos puertos para la ip del ordenador, sin cortafuegos ni nada del sistema operativo que cause problemas.
Y el test de puertos del emule, me sigue diciendo que los puertos están cerrados, incluso usando ese servicio que habilita trafico por esos puertos. Además de la típica ID baja de emule.
Mañana te lo miro y te paso los datos por privado.
Por cierto, el tema del SFP+ Gpon, sabes de alguno que sea factible para quitar la ONT y gestionar todo por el mMikrotik?
Gracias Pokoyo.
Buenas noches.

OK, ya me dices.

GPON haberlos hailos, pero no te recomiendo meterte en ese fregao. Pasa por comprar una ONT-ONU vía china y sin garantías ninguna de que funcione, tipo los Zisa. Hay alguien que las vende aquí en España (un tal CarlitoxxPro) que te las prepara, pero el tema es caro (100€) y a mi juicio creo que no merece la pena. Cuando abran el melón de usar otro tipo de unidades GPON-ONU interoperables, quizá merezca la pena, pero ahora mismo, diría que no.


Saludos!

pokoyo dijo:

OK, ya me dices.

GPON haberlos hailos, pero no te recomiendo meterte en ese fregao. Pasa por comprar una ONT-ONU vía china y sin garantías ninguna de que funcione, tipo los Zisa. Hay alguien que las vende aquí en España (un tal CarlitoxxPro) que te las prepara, pero el tema es caro (100€) y a mi juicio creo que no merece la pena. Cuando abran el melón de usar otro tipo de unidades GPON-ONU interoperables, quizá merezca la pena, pero ahora mismo, diría que no.

▷ Gpon ONT SFP Zisa OP151s Funcionando Con Mikrotik

Después de obtener la configuración de ONT, vamos a quitar la ONT y usar Mikrotik para todo, incluido un SFP ONT Zisa OP151s como un todo en uno.

www.alferez.es

https://m.facebook.com/pg/CarlitoxxPro/posts/

Saludos!

Haz clic para expandir...

Ya he resuelto el problema, he reseteado el Mikrotik y he abierto los puertos con la aplicación de móvil.
Los abre perfectamente.
Por cierto, he pillado una oferta de Amazon por el RB4011 Wifi. El principal motivo es quitar un Switch que tengo al lado del router y aprovechar los puertos extra que lleva el RB4011 Wifi.
Lo he comprado Wifi, pero la tendré desactivada, porque no la utilizo de momento.
Me ha llegado la ONT Alcatel-Lucent. El viernes la pondré y espero no tener problemas, aunque la OLT es Alcatel, hasta que no funcione no me quedo tranquilo.
Ahora tengo un HAP Ac2, un HEX y un RB4011 Wifi.
El HAP Ac2 se lo pondré a mi padre, que tiene ADSL con Pepephone, pero va a pedir el cambio a fibra.
El HEX me lo quedo de Backup y funcionaré con el RB4011 Wifi.
Gracias por todo Pokoyo, si tengo alguna duda, te aviso.
Saludos cordiales.

pokoyo dijo:

OK, ya me dices.

GPON haberlos hailos, pero no te recomiendo meterte en ese fregao. Pasa por comprar una ONT-ONU vía china y sin garantías ninguna de que funcione, tipo los Zisa. Hay alguien que las vende aquí en España (un tal CarlitoxxPro) que te las prepara, pero el tema es caro (100€) y a mi juicio creo que no merece la pena. Cuando abran el melón de usar otro tipo de unidades GPON-ONU interoperables, quizá merezca la pena, pero ahora mismo, diría que no.

▷ Gpon ONT SFP Zisa OP151s Funcionando Con Mikrotik

Después de obtener la configuración de ONT, vamos a quitar la ONT y usar Mikrotik para todo, incluido un SFP ONT Zisa OP151s como un todo en uno.

www.alferez.es

https://m.facebook.com/pg/CarlitoxxPro/posts/

Saludos!

Haz clic para expandir...

Hola Pokoyo.
Me pasa una cosa curiosa con la ONT Alcatel-Lucent. Es el modelo I-010G-U, a diferencia del modelo habitual I-010G-P.
Lo que me pasa es bastante curioso:
Cuando haces un reset a los valores de fábrica de la ONT, se adjudica la IP 192.168.1.251, de manera que configuro la red en ese rango, entro en la ONT y sólo me pide un dato, el SLID, no me deja tocar nada más, es la única cosa configurable.
Una vez que pongo la contraseña SLID, espero a que se aplique, desconecto todo y pongo el cable de fibra y sigo conectado por el RJ45 a la ONT.
La ONT tiene todos los leds ok, sincronizando, sin ningún error ni led intermitente, pero cuando conecto el router neutro, no me recepciona ningún dato, no hay manera.
No sé si será porque tengo que cambiar alguna configuración del Mikrotik, lo dudo.
Lo más sorprendente es que ya no puedo entrar a la ONT por ninguna dirección IP, una vez aplicado el SLID, desconozco la IP asignada, desde luego no es la misma y he probado los rangos habituales, ni siquiera un escaneo de IP me da dato alguno.
Teniendo en cuenta que ya he probado con tres ONT diferentes, y que la OLT es Alcatel, no entiendo qué puede fallar, teniendo en cuenta que la ONT conecta según la información de los leds de la misma.
Gracias por adelantado, espero que alguien me pueda arrojar un poco de luz sobre el problema.
Saludos cordiales.

Si la ONT tiene los leds en verde, suponemos que ha sincronizado y tiene los datos correctos. Te quedaría dar de alta la vlan correspondiente en el mikrotik, no? Porque tú servicio llega por una vlan, no en plano, razón por la cual no estás obteniendo la IP pública en el mikrotik ahora mismo.

Lo tienes explicado en el manual de las configuraciones básicas de los ISP’s.

Saludos!

pokoyo dijo:

Si la ONT tiene los leds en verde, suponemos que ha sincronizado y tiene los datos correctos. Te quedaría dar de alta la vlan correspondiente en el mikrotik, no? Porque tú servicio llega por una vlan, no en plano, razón por la cual no estás obteniendo la IP pública en el mikrotik ahora mismo.

Lo tienes explicado en el manual de las configuraciones básicas de los ISP’s.

Saludos!

Haz clic para expandir...

En teoria, es la misma configuración que con el F680 en modo puente.
Vlan Id: 20, y todo debería funcionar sin problema.
Pero no es así, no recibe ip pública el mikrotik con este engendro de ONT Alcatel, sin embargo, con el F680 en modo puente, si recibe ip pública.
Puede que tampoco sean compatibles estas ONT I-010G-U, pudiendo ser un nuevo problema de incompatibilidad con la OLT y sea el modelo I-010G-P el único que funciona.
Tengo una colección de ONT's para todos los proveedores, pero para Pepephone no hay manera de que funcionen.
Acabo de poner de nuevo el F680 en modo puente, ya que me quedo sin internet.
No se acaba nunca este suplicio de quitármelo de encima, es como la maldición del F680 con Pepephone.
Gracias Pokoyo.