Nuevo en esto. Mikrotik y domótica.

Torpe_motivado · 5 Julio 2022

Buenos días.

Seguimos con lo mismo, con el HGU en monopuesto el ac3 no sale a fuera.
Adjunto el Log y en el si parece que se conecte.

Saludos.

pokoyo · 5 Julio 2022

Mándame un export, porfa. Y fíjate si en IP -> address tienes una IP pública en la interfaz "internet"

Saludos!

pokoyo · 5 Julio 2022

Vale joder, ya sé lo que es, que me estaba volviendo loco. Te falta definir un DNS, porque no lo hemos puesto automático en la interfaz del PPPoE. Mete esto por terminal, y nos vamos de paseo a internet.

Código:

/ip dns
set allow-remote-requests=yes servers=1.1.1.2,1.0.0.2

Saludos!

Torpe_motivado · 5 Julio 2022

En principio si aparece una ip.

Código:

# jan/02/1970 01:22:45 by RouterOS 7.3.1
# software id = Y3ZQ-0PU1
#
# model = RBD53iG-5HacD2HnD
# serial number = E72C0E5E0E7A
/interface bridge
add admin-mac=2C:C8:1B:A0:51:71 auto-mac=no comment=defconf frame-types=\
    admit-only-vlan-tagged name=bridge vlan-filtering=yes
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \
    disabled=no distance=indoors frequency=auto installation=indoor mode=\
    ap-bridge ssid=MikroTik-A05175 wireless-protocol=802.11
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=\
    20/40/80mhz-XXXX disabled=no distance=indoors frequency=auto \
    installation=indoor mode=ap-bridge ssid=MikroTik-A05176 \
    wireless-protocol=802.11
/interface vlan
add interface=bridge name=vlan-domotica vlan-id=78
add interface=bridge name=vlan-home vlan-id=77
add interface=bridge name=vlan-invitados vlan-id=79
/interface pppoe-client
add add-default-route=yes disabled=no interface=ether1 name=internet user=\
    adslppp@telefonicanetpa
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
add name=ISOLATED
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
add name=dhcp-home ranges=192.168.77.10-192.168.77.254
add name=dhcp-domotica ranges=192.168.78.10-192.168.78.254
add name=dhcp-invitados ranges=192.168.79.10-192.168.79.254
/ip dhcp-server
add address-pool=default-dhcp interface=bridge name=defconf
add address-pool=dhcp-home interface=vlan-home name=dhcp-home
add address-pool=dhcp-domotica interface=vlan-domotica name=dhcp-domotica
add address-pool=dhcp-invitados interface=vlan-invitados name=dhcp-invitados
/interface bridge port
add bridge=bridge comment=defconf frame-types=\
    admit-only-untagged-and-priority-tagged interface=ether2 pvid=77
add bridge=bridge comment=defconf frame-types=\
    admit-only-untagged-and-priority-tagged interface=ether3 pvid=77
add bridge=bridge comment=defconf frame-types=\
    admit-only-untagged-and-priority-tagged interface=ether4 pvid=77
add bridge=bridge comment=defconf frame-types=\
    admit-only-untagged-and-priority-tagged interface=ether5 pvid=77
add bridge=bridge comment=defconf interface=wlan1
add bridge=bridge comment=defconf interface=wlan2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface bridge vlan
add bridge=bridge comment=home tagged=bridge vlan-ids=77
add bridge=bridge comment=domotica tagged=bridge vlan-ids=78
add bridge=bridge comment=invitados tagged=bridge vlan-ids=79
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=internet list=WAN
add interface=vlan-home list=LAN
add interface=vlan-domotica list=ISOLATED
add interface=vlan-invitados list=ISOLATED
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=\
    192.168.88.0
add address=192.168.77.1/24 interface=vlan-home network=192.168.77.0
add address=192.168.78.1/24 interface=vlan-domotica network=192.168.78.0
add address=192.168.79.1/24 interface=vlan-invitados network=192.168.79.0
/ip dhcp-server network
add address=192.168.77.0/24 comment=home dns-server=192.168.77.1 gateway=\
    192.168.77.1
add address=192.168.78.0/24 comment=domotica dns-server=8.8.8.8,8.8.4.4 \
    gateway=192.168.78.1
add address=192.168.79.0/24 comment=invitados dns-server=8.8.8.8,8.8.4.4 \
    gateway=192.168.79.1
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=\
    192.168.88.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
add action=reject chain=forward comment="vlans: can only access internet" \
    in-interface-list=ISOLATED out-interface-list=!WAN reject-with=\
    icmp-network-unreachable
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Saludos.

Torpe_motivado · 5 Julio 2022

¡¡¡Dale que sí!!! ¡¡Ya estamos fuera!!!

¡¡Artista!!

pokoyo · 5 Julio 2022

Venga, pues en un ratito te paso la config de CAPsMAN que vamos a aplicar. Como de momento tienes dos APs doble banda (ac3/ac2), ves obteniendo las direcciones MAC de cada interfaz inalámbrica (2G/5G) tal que creemos reglas de provisioning específicas. Las puedes ver en el apartado inalámbrico de ambos equipos.

Saludos!

Torpe_motivado · 5 Julio 2022

Estupendo, no hay prisa, cuando buenamente puedas.

ac3: 2 GHz ...2C:C8:1B:A0:51:75
5 Ghz ...2C:C8:1B:A0:51:76

ac2: 2Ghz ...DC:2C:6E:F6:08:B0
5GHZ ...DC:2C:6E:F6:08:B1
Este último estuvo manejado antes por mi configuración chusquera con CAPSMAN, ¿debería resetarlo, o asume las nuevas reglas?.

Aprovecho para dejarte una pregunta, ya que estuve tan ofuscado con el HGU que no caí,...

¿Se puede levantar temporalmente una vlan en el .88?.
Se supone que los contenedores y el Host del Proxmox estan por DHCP, pero solo los contenedores consiguen una ip en la .77. El Host no la coge, y me imagino que a manubrio podría. (no lo he hecho nunca pero por probar).

Saludos.

pokoyo · 5 Julio 2022

Torpe_motivado dijo:
Estupendo, no hay prisa, cuando buenamente puedas.

ac3: 2 GHz ...2C:C8:1B:A0:51:75
5 Ghz ...2C:C8:1B:A0:51:76

ac2: 2Ghz ...DC:2C:6E:F6:08:B0
5GHZ ...DC:2C:6E:F6:08:B1
Este último estuvo manejado antes por mi configuración chusquera con CAPSMAN, ¿debería resetarlo, o asume las nuevas reglas?.

Aprovecho para dejarte una pregunta, ya que estuve tan ofuscado con el HGU que no caí,...

¿Se puede levantar temporalmente una vlan en el .88?.
Se supone que los contenedores y el Host del Proxmox estan por DHCP, pero solo los contenedores consiguen una ip en la .77. El Host no la coge, y me imagino que a manubrio podría. (no lo he hecho nunca pero por probar).

Saludos.

Vale, apuntadas las MAC. En el CAP no tienes que hacer nada. Yo lo resetearía, marcando el CAPS Mode y simplemente le quitaría el usuario de admin por uno propio. No te hace falta nada más en ese equipo.

Con respecto a la .88, ¿para qué la quieres? Tienes algún equipo con IP estática en la red? porque, de no ser así, todo lo conectado físicamente por cable al router debería estar ahora mismo en la .77, a menos que tengas IPs metidas a capón. La subred .88 está destinada a morir como parte de esta configuración.

Saludos!

Torpe_motivado · 5 Julio 2022

Ok. Reseteado en CAPS mode, (Keep users/ Ya tenía otro y el admin borrado).

Lo dicho el Servidor Proxmox (que tiene DHCP activado), no ve la .77, pero las maquinas que tiene funcionando si.¿? Como se ve en Leases .252 .253 son contenedores, (.254 el portátil), Pero el Host (que también tiene DHCP) no coge.

Y como soy muy listo la copia de esas maquinas estan en,.... (no hay

).

De todas maneras, no importa las monto de nuevo.

Saludos.

Torpe_motivado · 5 Julio 2022

Lamentablemente, lo vuelvo a tener que dejar por el momento. Ya seguiré contestando en cuanto pueda.

No se como agradecerte todo elesfuerzo y dedicación que le estás poniendo. (ya buscaremos una manera de compensártelo).

Como siempre, mil gracias.

¡Saludos!

pokoyo · 5 Julio 2022

Mira a ver con esto para CAPsMAN. Copia este contenido en un fichero capsman.rsc y, al igual que hicimos para las vlans, lo importas. Primero, necesitas editar la parte de las variables, para meter el nombre de tus redes y sus contraseñas.

La wifi de 2,4GHz la he puesto a medio gas en ac3 y ac2, y a lo que da de sí en el futuro wAP (luego lo tocaremos acorde). En 5GHz se emite a lo que da la banda en el canal seleccionado.

Las reglas de provisioning para el wAP están deshabilitadas, habría que meter la MAC correcta del equipo, habilitarlas, y luego poner ese equipo en modo CAP al igual que has hecho con el hAP-ac2.

Código:

################## VARIABLES ##################
:local passhome "passwordW1f1H0me"
:local passdomotica "passwordW1f1D0m0"
:local passinvitados "passwordW1f1Inv1t4d0s"
:local ssidhome "WifiHome"
:local ssiddomotica "WifiDomomotica"
:local ssidinvitados "WifiInvitados"
###############################################

/caps-man channel
add band=2ghz-g/n control-channel-width=20mhz extension-channel=disabled \
    frequency=2412 name=2ghz-ch01-20
add band=2ghz-g/n control-channel-width=20mhz extension-channel=disabled \
    frequency=2437 name=2ghz-ch06-20
add band=2ghz-g/n control-channel-width=20mhz extension-channel=disabled \
    frequency=2462 name=2ghz-ch11-20
add band=5ghz-n/ac control-channel-width=20mhz extension-channel=Ceee \
    frequency=5180 name=5ghz-ch036-80
add band=5ghz-n/ac control-channel-width=20mhz extension-channel=Ceee \
    frequency=5260 name=5ghz-ch052-80
add band=5ghz-n/ac control-channel-width=20mhz extension-channel=Ceee \
    frequency=5500 name=5ghz-ch100-80

/caps-man datapath
add bridge=bridge client-to-client-forwarding=yes name=home vlan-id=77 \
    vlan-mode=use-tag
add bridge=bridge client-to-client-forwarding=no name=domotica vlan-id=78 \
    vlan-mode=use-tag
add bridge=bridge client-to-client-forwarding=no name=invitados vlan-id=79 \
    vlan-mode=use-tag

/caps-man security
add authentication-types=wpa2-psk encryption=aes-ccm group-encryption=aes-ccm \
    name=home passphrase=$passhome
add authentication-types=wpa2-psk encryption=aes-ccm group-encryption=aes-ccm \
    name=domotica passphrase=$passdomotica
add authentication-types=wpa2-psk encryption=aes-ccm group-encryption=aes-ccm \
    name=invitados passphrase=$passinvitados

/caps-man configuration
add channel=2ghz-ch01-20 channel.tx-power=17 country=spain datapath=home \
    installation=indoor mode=ap name=2ghz-home-ap0 security=home ssid=$ssidhome
add channel=2ghz-ch06-20 channel.tx-power=17 country=spain datapath=home \
    installation=indoor mode=ap name=2ghz-home-ap1 security=home ssid=$ssidhome
add channel=2ghz-ch11-20 country=spain datapath=home \
    installation=outdoor mode=ap name=2ghz-home-ap2 security=home ssid=$ssidhome
add channel=5ghz-ch036-80 country=spain datapath=home installation=indoor \
    mode=ap name=5ghz-home-ap0 security=home ssid=$ssidhome
add channel=5ghz-ch052-80 country=spain datapath=home installation=indoor \
    mode=ap name=5ghz-home-ap1 security=home ssid=$ssidhome
add channel=5ghz-ch100-80 country=spain datapath=home installation=outdoor \
    mode=ap name=5ghz-home-ap2 security=home ssid=$ssidhome
add country=spain datapath=domotica mode=ap name=\
    domotica security=domotica ssid=$ssiddomotica
add country=spain datapath=invitados mode=ap name=\
    invitados security=invitados ssid=$ssidinvitados

/caps-man provisioning
add action=create-dynamic-enabled comment=ac3-cfg-2ghz \
    master-configuration=2ghz-home-ap0 \
    name-format=prefix-identity name-prefix=2ghz radio-mac=2C:C8:1B:A0:51:75 \
    slave-configurations=domotica,invitados
add action=create-dynamic-enabled comment=ac3-cfg-5ghz \
    master-configuration=5ghz-home-ap0 \
    name-format=prefix-identity name-prefix=5ghz radio-mac=2C:C8:1B:A0:51:76 \
    slave-configurations=domotica,invitados
add action=create-dynamic-enabled comment=ac2-cfg-2ghz \
    master-configuration=2ghz-home-ap1 \
    name-format=prefix-identity name-prefix=2ghz radio-mac=DC:2C:6E:F6:08:B0 \
    slave-configurations=domotica,invitados
add action=create-dynamic-enabled comment=ac2-cfg-5ghz \
    master-configuration=5ghz-home-ap1 \
    name-format=prefix-identity name-prefix=5ghz radio-mac=DC:2C:6E:F6:08:B1 \
    slave-configurations=domotica,invitados
add action=create-dynamic-enabled comment=wAP-cfg-2ghz \
    master-configuration=2ghz-home-ap2 \
    name-format=prefix-identity name-prefix=2ghz radio-mac=AA:BB:CC:11:22:33 \
    slave-configurations=domotica,invitados disbled=yes
add action=create-dynamic-enabled comment=wAP-cfg-5ghz \
    master-configuration=5ghz-home-ap2 \
    name-format=prefix-identity name-prefix=5ghz radio-mac=AA:BB:CC:11:22:34 \
    slave-configurations=domotica,invitados disbled=yes

/caps-man manager interface
set [ find default=yes ] forbid=yes
add disabled=no interface=vlan-home
/caps-man manager
set enabled=yes upgrade-policy=suggest-same-version

/interface wireless cap
set bridge=bridge caps-man-addresses=127.0.0.1 enabled=yes interfaces=\
    wifi-2ghz,wifi-5ghz

Torpe_motivado · 6 Julio 2022

Buenas.

Para empezar disculparme, por los retrasos para contestar, pero mis circunstancias son ,...

Cometarte también, que ayer me pasé con el rurnrún, de la IP del Proxmox, hasta que caí en la cuenta, que gracias a @pokoyo , ya no tengo ese problema, pués estoy comprendiendo como hacer las cosas, puedo volver atrás, y hacia adelante, con los backups (disculpas por mi torpeza).

Con respecto al Script de Capsman, lo he importado y me han salido un error .

Código:

failure: can not have multiple enabled entries with same interface

Por otro lado, me ha parecido curioso lo de las variables en primer término.

Lo que no llego a entender es el concepto de "Provisioning". ¿Puede ser "una manera de indicar a cada AP las instrucciones individualmente"?.

De nuevo, mil gracias, y disculpas.

Saludos.

pokoyo · 6 Julio 2022

Dame un export, a ver dónde se te ha quedado. Sospecho que el problema es esta última instruacción, pero por estar seguro:

Código:

/interface wireless cap
set bridge=bridge caps-man-addresses=127.0.0.1 enabled=yes interfaces=wifi-2ghz,wifi-5ghz

Copié esa configuración de un router mío, y me acabo de dar cuenta que probablemente en el tuyo no se llaman "wifi-2ghz" ni "wifi-5ghz". Si es sólo eso, sería tan sencillo como que te vayas al apartado Wireless y vayas al botón CAP (en el hAP-ac3) y selecciones esto:

El concepto de regla de provisioning no es más que la manera en la que juntas toda la configuración que has hecho antes y le dices "todo esto, se lo das a este radio de este AP concreto, en modo plantilla. Eso hará que en la primera pestaña se creen dinámicamente las interfaces inalámbricas con esa configuración específica, de manera automática.

Saludos!

Torpe_motivado · 7 Julio 2022

Buenas.

Como siempre, muchas gracias por tu tiempo y dedicación.

Adjunto el export.

Código:

# jul/07/2022 09:30:09 by RouterOS 7.3.1
# software id = Y3ZQ-0PU1
#
# model = RBD53iG-5HacD2HnD
# serial number = E72C0E5E0E7A
/caps-man channel
add band=2ghz-g/n control-channel-width=20mhz extension-channel=disabled \
    frequency=2412 name=2ghz-ch01-20
add band=2ghz-g/n control-channel-width=20mhz extension-channel=disabled \
    frequency=2437 name=2ghz-ch06-20
add band=2ghz-g/n control-channel-width=20mhz extension-channel=disabled \
    frequency=2462 name=2ghz-ch11-20
add band=5ghz-n/ac control-channel-width=20mhz extension-channel=Ceee \
    frequency=5180 name=5ghz-ch036-80
add band=5ghz-n/ac control-channel-width=20mhz extension-channel=Ceee \
    frequency=5260 name=5ghz-ch052-80
add band=5ghz-n/ac control-channel-width=20mhz extension-channel=Ceee \
    frequency=5500 name=5ghz-ch100-80
/interface bridge
add admin-mac=2C:C8:1B:A0:51:71 auto-mac=no comment=defconf frame-types=\
    admit-only-vlan-tagged name=bridge vlan-filtering=yes
/interface wireless
# managed by CAPsMAN
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \
    distance=indoors frequency=auto installation=indoor mode=ap-bridge ssid=\
    MikroTik-A05175 wireless-protocol=802.11
# managed by CAPsMAN
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=\
    20/40/80mhz-XXXX distance=indoors frequency=auto installation=indoor \
    mode=ap-bridge ssid=MikroTik-A05176 wireless-protocol=802.11
/interface vlan
add interface=bridge name=vlan-domotica vlan-id=78
add interface=bridge name=vlan-home vlan-id=77
add interface=bridge name=vlan-invitados vlan-id=79
/caps-man datapath
add bridge=bridge client-to-client-forwarding=yes name=home vlan-id=77 \
    vlan-mode=use-tag
add bridge=bridge client-to-client-forwarding=no name=domotica vlan-id=78 \
    vlan-mode=use-tag
add bridge=bridge client-to-client-forwarding=no name=invitados vlan-id=79 \
    vlan-mode=use-tag
/interface pppoe-client
add add-default-route=yes disabled=no interface=ether1 name=internet user=\
    adslppp@telefonicanetpa
/caps-man security
add authentication-types=wpa2-psk encryption=aes-ccm group-encryption=aes-ccm \
    name=home
add authentication-types=wpa2-psk encryption=aes-ccm group-encryption=aes-ccm \
    name=domotica
add authentication-types=wpa2-psk encryption=aes-ccm group-encryption=aes-ccm \
    name=invitados
/caps-man configuration
add channel=2ghz-ch01-20 channel.tx-power=17 country=spain datapath=home \
    installation=indoor mode=ap name=2ghz-home-ap0 security=home ssid=\
    Castillo
add channel=2ghz-ch06-20 channel.tx-power=17 country=spain datapath=home \
    installation=indoor mode=ap name=2ghz-home-ap1 security=home ssid=\
    Castillo
add channel=2ghz-ch11-20 country=spain datapath=home installation=outdoor \
    mode=ap name=2ghz-home-ap2 security=home ssid=Castillo
add channel=5ghz-ch036-80 country=spain datapath=home installation=indoor \
    mode=ap name=5ghz-home-ap0 security=home ssid=Castillo
add channel=5ghz-ch052-80 country=spain datapath=home installation=indoor \
    mode=ap name=5ghz-home-ap1 security=home ssid=Castillo
add channel=5ghz-ch100-80 country=spain datapath=home installation=outdoor \
    mode=ap name=5ghz-home-ap2 security=home ssid=Castillo
add country=spain datapath=domotica mode=ap name=domotica security=domotica \
    ssid=Castillo_IOT
add country=spain datapath=invitados mode=ap name=invitados security=\
    invitados ssid=Castillo_Invitados
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
add name=ISOLATED
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
add name=dhcp-home ranges=192.168.77.10-192.168.77.254
add name=dhcp-domotica ranges=192.168.78.10-192.168.78.254
add name=dhcp-invitados ranges=192.168.79.10-192.168.79.254
/ip dhcp-server
add address-pool=default-dhcp interface=bridge name=defconf
add address-pool=dhcp-home interface=vlan-home name=dhcp-home
add address-pool=dhcp-domotica interface=vlan-domotica name=dhcp-domotica
add address-pool=dhcp-invitados interface=vlan-invitados name=dhcp-invitados
/caps-man manager
set enabled=yes upgrade-policy=suggest-same-version
/caps-man manager interface
set [ find default=yes ] forbid=yes
add disabled=no interface=vlan-home
/caps-man provisioning
add action=create-dynamic-enabled comment=ac3-cfg-2ghz master-configuration=\
    2ghz-home-ap0 name-format=prefix-identity name-prefix=2ghz radio-mac=\
    2C:C8:1B:A0:51:75 slave-configurations=domotica,invitados
add action=create-dynamic-enabled comment=ac3-cfg-5ghz master-configuration=\
    5ghz-home-ap0 name-format=prefix-identity name-prefix=5ghz radio-mac=\
    2C:C8:1B:A0:51:76 slave-configurations=domotica,invitados
add action=create-dynamic-enabled comment=ac2-cfg-2ghz master-configuration=\
    2ghz-home-ap1 name-format=prefix-identity name-prefix=2ghz radio-mac=\
    DC:2C:6E:F6:08:B0 slave-configurations=domotica,invitados
add action=create-dynamic-enabled comment=ac2-cfg-5ghz master-configuration=\
    5ghz-home-ap1 name-format=prefix-identity name-prefix=5ghz radio-mac=\
    DC:2C:6E:F6:08:B1 slave-configurations=domotica,invitados
add action=create-dynamic-enabled comment=wAP-cfg-2ghz disabled=yes \
    master-configuration=2ghz-home-ap2 name-format=prefix-identity \
    name-prefix=2ghz radio-mac=AA:BB:CC:11:22:33 slave-configurations=\
    domotica,invitados
add action=create-dynamic-enabled comment=wAP-cfg-5ghz disabled=yes \
    master-configuration=5ghz-home-ap2 name-format=prefix-identity \
    name-prefix=5ghz radio-mac=AA:BB:CC:11:22:34 slave-configurations=\
    domotica,invitados
/interface bridge port
add bridge=bridge comment=defconf frame-types=\
    admit-only-untagged-and-priority-tagged interface=ether2 pvid=77
add bridge=bridge comment=defconf frame-types=\
    admit-only-untagged-and-priority-tagged interface=ether3 pvid=77
add bridge=bridge comment=defconf frame-types=\
    admit-only-untagged-and-priority-tagged interface=ether4 pvid=77
add bridge=bridge comment=defconf frame-types=\
    admit-only-untagged-and-priority-tagged interface=ether5 pvid=77
add bridge=bridge comment=defconf interface=wlan1
add bridge=bridge comment=defconf interface=wlan2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface bridge vlan
add bridge=bridge comment=home tagged=bridge vlan-ids=77
add bridge=bridge comment=domotica tagged=bridge vlan-ids=78
add bridge=bridge comment=invitados tagged=bridge vlan-ids=79
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=internet list=WAN
add interface=vlan-home list=LAN
add interface=vlan-domotica list=ISOLATED
add interface=vlan-invitados list=ISOLATED
/interface wireless cap
#
set enabled=yes interfaces=wlan1,wlan2
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=\
    192.168.88.0
add address=192.168.77.1/24 interface=vlan-home network=192.168.77.0
add address=192.168.78.1/24 interface=vlan-domotica network=192.168.78.0
add address=192.168.79.1/24 interface=vlan-invitados network=192.168.79.0
/ip dhcp-server lease
add address=192.168.77.248 client-id=1:bc:ae:c5:4:1a:c6 mac-address=\
    BC:AE:C5:04:1A:C6 server=dhcp-home
add address=192.168.78.252 comment="Detector de GLP. SHelly" mac-address=\
    48:3F:DA:1A:32:23 server=dhcp-domotica
/ip dhcp-server network
add address=192.168.77.0/24 comment=home dns-server=192.168.77.1 gateway=\
    192.168.77.1
add address=192.168.78.0/24 comment=domotica dns-server=8.8.8.8,8.8.4.4 \
    gateway=192.168.78.1
add address=192.168.79.0/24 comment=invitados dns-server=8.8.8.8,8.8.4.4 \
    gateway=192.168.79.1
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=\
    192.168.88.1
/ip dns
set allow-remote-requests=yes servers=1.1.1.2,1.0.0.2
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
add action=reject chain=forward comment="vlans: can only access internet" \
    in-interface-list=ISOLATED out-interface-list=!WAN reject-with=\
    icmp-network-unreachable
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
/system clock
set time-zone-name=Europe/Madrid
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Info: en la ventana "CAP", ahí me aparece "Capsman Addresses "en blanco y Bridge en none(por si te sirve de algo).

Desde que he marcado "CAP" y seleccionado los Interfaces (han desaparcido las dos wireless de Mikrotik-XXXX). Pero en la configuracion antigua y chapucera que tenía antes, en CAP Interface aparecía algo así como "Managed By CAPSMAN" en rojo, cosa que ahora no aparece.

Las VLAN's están montadas, y desde la .77 SI puedo ver los equipos en la otras. entre las otras no se ven, y las tres , salen fuera.

Y como curiosidad, el servidor Proxmox, tiene IP (192.168.77.240) devuelve ping, pero no aparece en las Leases. ¿?

Saludos.

pokoyo · 7 Julio 2022

Venga, vamos a hacer que el hAP-ac3 tenga también wifi manejada por CAPsMAN. Introduce lo siguiente por terminal:

Código:

/interface wireless cap
set bridge=bridge caps-man-addresses=127.0.0.1 enabled=yes interfaces=wlan1,wlan2

Ha sido esta última instrucción, como sospechaba, la que te ha fallado. El resto de la config de capsman está fina y funcionando, como verás en el hAP-ac2.

Saludos!

Torpe_motivado · 7 Julio 2022

¡Perfecto!
Sigo asombrándome.

pokoyo · 7 Julio 2022

Si ya lo tienes, dime ahora a qué IP o IPs de la .77 tienen que acceder las subredes .78 y .79

Saludos!

Torpe_motivado · 7 Julio 2022

El Pihole en la 252, (supongo que habrá que poner en DNS propagando en las .77.1 y .79.1).
Y el homeass. en la 253.

Las futuribles, si las hubiere, copiar la regla que digas, supongo.

Saludos.

Torpe_motivado · 7 Julio 2022

Perdona que sea tan pesado, pero la curiosidad me puede.

¿Como puede ser que el Mikrotik, me dé una IP, y no la presente en Leases?. ¿Un bug?.

Saludos.

pokoyo · 7 Julio 2022

Es decir:
pi-hole: 192.168.77.252
home assistant: 192.168.77.253

¿no prefieres llevarte esas IP's a la parte alta del pool, donde dejamos el hueco? (si te fijas, los pools empiezan en la .10 y de ahí en adelante; las IPs de la .2 a la .9 están ahí para este tipo de reservas)

Te planteo poner la IP del pi-hole en la 192.168.77.2 y la del home assistant en la 192.168.77.3.

Y ahora, ¿qué subredes han de tener acceso a dichas IP's?

pi-hole: accesible desde: ¿192.168.78.x y 192.168.79.x? (desde la .77 obviamente ya lo es)
home-assistant: ¿sólo .78?

Saludos!

Nuevo en esto. Mikrotik y domótica.

Usuari@ ADSLzone

Adjuntos

Moderador ADSLZone - Mikrotik ★★★★★

Moderador ADSLZone - Mikrotik ★★★★★

Usuari@ ADSLzone

Adjuntos

Usuari@ ADSLzone

Moderador ADSLZone - Mikrotik ★★★★★

Usuari@ ADSLzone

Moderador ADSLZone - Mikrotik ★★★★★

Usuari@ ADSLzone

Adjuntos

Usuari@ ADSLzone

Moderador ADSLZone - Mikrotik ★★★★★

Usuari@ ADSLzone

Moderador ADSLZone - Mikrotik ★★★★★

Usuari@ ADSLzone

Adjuntos

Moderador ADSLZone - Mikrotik ★★★★★

Usuari@ ADSLzone

Moderador ADSLZone - Mikrotik ★★★★★

Usuari@ ADSLzone

Usuari@ ADSLzone

Moderador ADSLZone - Mikrotik ★★★★★

Similar threads