Buenos días,
Soy nuevo por estos lares. Hace una rato he pasado por el foro general a presentar mi debido respeto a esta comunidad.
El caso es que ayer estrené un Mikrotik hAP ax3 y quería que le dieseis un vistazo a mi configuración a ver si se puede afinar. La verdad es que lo puse a trabajar en menos tiempo y con menos dificultad de lo que pensaba. En lo que más tiempo he perdido es en cambiar manualmente las IP estáticas que tenía fijadas en la mayoría de equipos por las nuevas en otro rango (192.168.10.0/24). Mi setup ahora mismo es el siguiente:
* HGU en monopuesto
* hap ax3
* Switch Netgear GS308E (gestionable de 8 puertos)
Todo lo conectado por cable nace del switch: Raspberry Pi, NAS, PC, PLC TP-Link. Por wifi tengo conectados los smartphones, tablet y otros dispositivos (altavoces inteligentes, reproductor multimedia, etc). Tengo también algún dispositivo de domótica, aunque la mayoría de ésta va por zigbee.
Puse en marcha el router con la configuración por defecto y posteriormente apliqué el Quick Set, donde pude cambiar los ssid de las wifi, etc, y configurar el PPPoE, rango de red local, DHCP Server, etc. Todo funcionó a la perfección, salvo que con wifi no podía navegar. Esto último parece que se solucionó al añadir dos DNS en DHCP Server - Networks - DHCP Servers. A pesar de que todo parece funcionar correctamente me gustaría afinar lo máximo posible la configuración para hacer un backup y utilizarla para futuros posibles restores.
Tratando de afinar la configuración, al intentar, por ejemplo, tocar los canales de la red wifi, he probado algunas órdenes que he encontrado en algún otro hilo, como:
Pero me aparecen errores. Primero "/interface wireless" me dice "bad command name wireless" y he de cambiar el "wireless" por "wifiwave2", según he encontrado en la ayuda (F1). Después al ejecutar la orden set [ find default-name...] me contesta "Expected end of command...". Si en vez de intentarlo por terminal lo intento de manera visual, no me aparecen canales a seleccionar. No sé si será la actualización a RouterOS 7.7 que ha cambiado algo en este sentido.
Lo dicho, adjunto un export de la configuración actual. Agradecería si pudierais echarle un vistazo y puedierais decirme si veis que se puede optimizar algo. Quiero estar seguro que, sobre todo a nivel de seguridad no la esté cagando.
Por último, me podríais decir como acceder al HGU sin tener que andar cambiando cables y la configuración de red en el PC?
Y sé que me dejo alguna cosa, pero la memoria ya no está como a los 20
Muchas gracias por vuestro tiempo.
Saludos,
Donette
Soy nuevo por estos lares. Hace una rato he pasado por el foro general a presentar mi debido respeto a esta comunidad.
El caso es que ayer estrené un Mikrotik hAP ax3 y quería que le dieseis un vistazo a mi configuración a ver si se puede afinar. La verdad es que lo puse a trabajar en menos tiempo y con menos dificultad de lo que pensaba. En lo que más tiempo he perdido es en cambiar manualmente las IP estáticas que tenía fijadas en la mayoría de equipos por las nuevas en otro rango (192.168.10.0/24). Mi setup ahora mismo es el siguiente:
* HGU en monopuesto
* hap ax3
* Switch Netgear GS308E (gestionable de 8 puertos)
Todo lo conectado por cable nace del switch: Raspberry Pi, NAS, PC, PLC TP-Link. Por wifi tengo conectados los smartphones, tablet y otros dispositivos (altavoces inteligentes, reproductor multimedia, etc). Tengo también algún dispositivo de domótica, aunque la mayoría de ésta va por zigbee.
Puse en marcha el router con la configuración por defecto y posteriormente apliqué el Quick Set, donde pude cambiar los ssid de las wifi, etc, y configurar el PPPoE, rango de red local, DHCP Server, etc. Todo funcionó a la perfección, salvo que con wifi no podía navegar. Esto último parece que se solucionó al añadir dos DNS en DHCP Server - Networks - DHCP Servers. A pesar de que todo parece funcionar correctamente me gustaría afinar lo máximo posible la configuración para hacer un backup y utilizarla para futuros posibles restores.
Tratando de afinar la configuración, al intentar, por ejemplo, tocar los canales de la red wifi, he probado algunas órdenes que he encontrado en algún otro hilo, como:
Código:
/interface wireless
set [ find default-name=wifi1 ] band=2ghz-g/n country=spain channel-width=20mhz frequency=2462
set [ find default-name=wifi2 ] band=5ghz-n/ac country=spain channel-width=20/40/80mhz-XXXX frequency=autoPero me aparecen errores. Primero "/interface wireless" me dice "bad command name wireless" y he de cambiar el "wireless" por "wifiwave2", según he encontrado en la ayuda (F1). Después al ejecutar la orden set [ find default-name...] me contesta "Expected end of command...". Si en vez de intentarlo por terminal lo intento de manera visual, no me aparecen canales a seleccionar. No sé si será la actualización a RouterOS 7.7 que ha cambiado algo en este sentido.
Lo dicho, adjunto un export de la configuración actual. Agradecería si pudierais echarle un vistazo y puedierais decirme si veis que se puede optimizar algo. Quiero estar seguro que, sobre todo a nivel de seguridad no la esté cagando.
Por último, me podríais decir como acceder al HGU sin tener que andar cambiando cables y la configuración de red en el PC?
Código:
# jan/22/2023 13:18:17 by RouterOS 7.7
# software id = NKP3-BE2A
#
# model = C53UiG+5HPaxD2HPaxD
# serial number = MI SERIAL
/interface bridge
add admin-mac=MI MAC ADRESS auto-mac=no comment=defconf name=bridge
/interface wifiwave2
# changed intended channel to 5320/ax/eeeC
set [ find default-name=wifi1 ] channel.skip-dfs-channels=10min-cac \
configuration.country=Spain .mode=ap .ssid=Palindromo_red_PLUS disabled=\
no security.authentication-types=wpa2-psk,wpa3-psk
set [ find default-name=wifi2 ] channel.skip-dfs-channels=10min-cac \
configuration.country=Spain .mode=ap .ssid=Palindromo_red disabled=no \
security.authentication-types=wpa2-psk,wpa3-psk
/interface pppoe-client
add add-default-route=yes disabled=no interface=ether1 name=pppoe-out1 \
use-peer-dns=yes user=adslppp@telefonicanetpa
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=dhcp ranges=192.168.10.10-192.168.10.254
add name=vpn ranges=192.168.89.2-192.168.89.255
/ip dhcp-server
add address-pool=dhcp interface=bridge name=defconf
/port
set 0 name=serial0
/ppp profile
set *FFFFFFFE local-address=192.168.89.1 remote-address=vpn
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=wifi1
add bridge=bridge comment=defconf interface=wifi2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface l2tp-server server
set enabled=yes use-ipsec=yes
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
add interface=pppoe-out1 list=WAN
/ip address
add address=192.168.10.1/24 comment=defconf interface=bridge network=\
192.168.10.0
/ip cloud
set ddns-enabled=yes
/ip dhcp-client
add comment=defconf disabled=yes interface=ether1
/ip dhcp-server network
add address=192.168.10.0/24 comment=defconf dns-server=192.168.10.80,1.1.1.1 \
gateway=192.168.10.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=192.168.10.80,1.1.1.1
/ip dns static
add address=192.168.10.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=accept chain=input comment="allow IPsec NAT" dst-port=4500 \
protocol=udp
add action=accept chain=input comment="allow IKE" dst-port=500 protocol=udp
add action=accept chain=input comment="allow l2tp" dst-port=1701 protocol=udp
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
"defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
ipsec-policy=out,none out-interface-list=WAN
add action=masquerade chain=srcnat comment="masq. vpn traffic" src-address=\
192.168.89.0/24
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
33434-33534 protocol=udp
add action=accept chain=input comment=\
"defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
ipsec-esp
add action=accept chain=input comment=\
"defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
"defconf: drop everything else not coming from LAN" in-interface-list=\
!LAN
add action=accept chain=forward comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
"defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
ipsec-esp
add action=accept chain=forward comment=\
"defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
"defconf: drop everything else not coming from LAN" in-interface-list=\
!LAN
/ppp secret
add name=vpn
/system clock
set time-zone-name=Europe/Madrid
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LANY sé que me dejo alguna cosa, pero la memoria ya no está como a los 20
Muchas gracias por vuestro tiempo.
Saludos,
Donette
Última edición por un moderador:
