Consulta red LAN+WIFI

Buenas, actualmente tengo una red poco optimizada y desastrosa por lo que me gustaría recibir consejo para mejorarla, adjunto un diagrama de lo que tengo actualmente.
Documentar sistemas - Diagrama de seguridad de red.jpeg


Actualmente con mis dispositivos no puedo crear VLAN y me gustaría hacerlo para aislar los dispositvos de domotica con los del resto de la casa, de forma que solo sean accesibles desde mi portatil, teléfono movil y unidad NAS(todo el sistema domótico funciona con contenedores docker).
Por otro lado, actualmente tengo instalado Wireguard en mi unidad NAS pero me gustaría instalarla en un router ya que en algunas ocasiones falla la app de wireguard en el NAS y me deja totalmente incomunicado.

Por lo que he podido leer en los foros durante algunos días, a pesar de que sean complicados de configurar, veo muy completos los dispositivos de Mikrotik y en concreto me ha llamado la atención el RB750GR3 pero no acabo de tener claro si sería una buena solución a mis problemas o quizas sustituir tambien mi Huawei AX3 por un Mikrotik que disponga de wifi (vivo en un piso de 100 m2 aprox.).

Había pensado como otra solución, sustituir mi HUB2 que actualmente esta ubicado aproximadamente en el centro de la casa por mi Huawei AX3 y utilizarlo para la red wifi doméstica, de forma que necesitaría otro dispositivo para crear otra red wifi y lan para domótica, como comentaba me gustan los dispositivos de Mikrotik pero no acabo encontrar cual se adaptaría mejor en este caso.


Agradecería una ayuda de vuestra parte.
 
Lo primero que tienes que ver es si puedes aprovechar lo que tienes. Simplemente conectándo la domótica por wifi al HGU ya tienes la parte de "aislamiento" conseguida (esos dispositivos tendrían salida a internet pero no verían nada de la red del AX3.

Por otro lado, si te planteas meter un mikrotik, revisaría si el AX3 tiene un modo AP decente, tal que te permita crear varios SSID's y mapearlos a sus correspondientes VLANs. Si eso es así, te conviene el rb750 que comentas. Sino, tendrías que coger un router mikrotik que lleve wifi, como sospechas, un hAP-ac3 podría ser un buen sustituto (o incluso algo más pequeño como un hAP-ac2, si complementas su parte wifi con tu AX3)

Saludos!
 
Lo primero que tienes que ver es si puedes aprovechar lo que tienes. Simplemente conectándo la domótica por wifi al HGU ya tienes la parte de "aislamiento" conseguida (esos dispositivos tendrían salida a internet pero no verían nada de la red del AX3.

Por otro lado, si te planteas meter un mikrotik, revisaría si el AX3 tiene un modo AP decente, tal que te permita crear varios SSID's y mapearlos a sus correspondientes VLANs. Si eso es así, te conviene el rb750 que comentas. Sino, tendrías que coger un router mikrotik que lleve wifi, como sospechas, un hAP-ac3 podría ser un buen sustituto (o incluso algo más pequeño como un hAP-ac2, si complementas su parte wifi con tu AX3)

Saludos!
Por lo que he podido comprobar no voy a poder crear varias SSID's en el AX3 por lo que con toda probabilidad decida sustituirlo por un hAP-ac3, voy a intentar aprender todo lo que pueda de este dispositivo antes de dar el paso final.

Muchas gracias por tu ayuda!.

Un saludo.
 
Buenas noches, por fin he decidido dar el paso y he escogido como router (Mikrotik RB750Gr3), switch gestionable y con capacidad para gestionar Vlan's (Netgear GS108E-300PES) y para la gestión de las redes wifi (Mikrotik CAP AC), todavía no he comprado los 3 dispositivos ya que me gustaría consultar con vosotros mi planteamiento:

Diagrama.png


En principio he planteado 4 VLAN's:
- HOME (192.168.50.1/24) => Tendrá acceso a IOT.
- IOT (192.168.60.1/24)
- INVITADOS (192.168.70.1/24) => Con acceso a la red pero aislada totalmente del resto de VLAN's.
- VPN (192.168.80.1/24) => Tendrá acceso a todas las VLAN's.

Respecto a las redes WLAN, me gustaría que fuesen 6 redes aunque en principio solo utilizaría 4, en esta parte tengo dudas de la posibilidad de crear 6 redes con el CAP AC, ya que por lo que entiendo en su documentación técnica solo podría crear 4, no obstante la idea sería:
- HOME: 2.4Ghz y 5Ghz
- IOT: 2.4Ghz y 5Ghz
- INVITADOS: 2.4Ghz y 5Ghz (Serían prescindibles).

Con este planteamiento, tengo dudas en la conexión del NAS (QNAP TS-453D) a la VLAN de IOT ya que a pesar de que es el encargado de manejar toda la parte de domótica a través de los diferentes contenedores en docker, también lo utilizo para crear backups de mis equipos en Time Machine y para almacenar archivos en él por lo que también debería estar en la VLAN de HOME.

Os agradecería si me podeis echar una mano antes de lanzarme a la aventura, ya que a pesar de leer y tener algún conocimiento a nivel general, seguro que mi planteamiento es muy mejorable.

Un saludo.
 
En principio he planteado 4 VLAN's:
- HOME (192.168.50.1/24) => Tendrá acceso a IOT.
- IOT (192.168.60.1/24)
- INVITADOS (192.168.70.1/24) => Con acceso a la red pero aislada totalmente del resto de VLAN's.
- VPN (192.168.80.1/24) => Tendrá acceso a todas las VLAN's.
La VPN no es una vlan. Las otras tres, bien, aunque quizá puedas unir invitados e IOT en una única VLAN sin broadcast (a menos que alguno de los chismes IOT lo necesiten) y con únicamente salida a internet.

Respecto a las redes WLAN, me gustaría que fuesen 6 redes aunque en principio solo utilizaría 4, en esta parte tengo dudas de la posibilidad de crear 6 redes con el CAP AC, ya que por lo que entiendo en su documentación técnica solo podría crear 4, no obstante la idea sería:
- HOME: 2.4Ghz y 5Ghz
- IOT: 2.4Ghz y 5Ghz
- INVITADOS: 2.4Ghz y 5Ghz (Serían prescindibles).
Eso son tres redes en dos bandas, no seis. Y no sé donde has leído lo de las 4, porque ese AP soporta 32 interfaces virtuales por cada interfaz física. Siguiendo tus cuentas, 64 wifis.

Con este planteamiento, tengo dudas en la conexión del NAS (QNAP TS-453D) a la VLAN de IOT ya que a pesar de que es el encargado de manejar toda la parte de domótica a través de los diferentes contenedores en docker, también lo utilizo para crear backups de mis equipos en Time Machine y para almacenar archivos en él por lo que también debería estar en la VLAN de HOME.
Lo suyo sería comprobar si el NAS soporta VLANs, y mandarle ambas a él: una en modo acceso (LAN) y la otra en modo "tagged" (para los contenedores y el IOT). Así te ahorras comunicas ambas vlans (valen para separar, si las acabas comunicando... mal asunto).

Nota: con ese setup quiá te interese otro equipo que lleve PoE-out (bien un puerto del router, como el hEX-S, o bien montar un switch con soporte PoE y conectar el AP a él). Lo digo porque vas a comprar un AP de techo que soporta que lo alimentes por PoE (te ahorras un enchufe).

Saludos!
 
La VPN no es una vlan. Las otras tres, bien, aunque quizá puedas unir invitados e IOT en una única VLAN sin broadcast (a menos que alguno de los chismes IOT lo necesiten) y con únicamente salida a internet.
Mi idea era separar la vlan de IOT de la de invitados ya que me gustaría que la de invitados quede totalmente aislada del resto y poderla administrar independientemente, no obstante con tu respuesta me has generado una duda... ¿Por temas de seguridad no sería mas conveniente que ambas vlan queden separadas?.

Lo suyo sería comprobar si el NAS soporta VLANs, y mandarle ambas a él: una en modo acceso (LAN) y la otra en modo "tagged" (para los contenedores y el IOT). Así te ahorras comunicas ambas vlans (valen para separar, si las acabas comunicando... mal asunto).

Nota: con ese setup quiá te interese otro equipo que lleve PoE-out (bien un puerto del router, como el hEX-S, o bien montar un switch con soporte PoE y conectar el AP a él). Lo digo porque vas a comprar un AP de techo que soporta que lo alimentes por PoE (te ahorras un enchufe).

Saludos!
He comprobado que mi NAS soporta VLANs pero solo admite una en cada interface de red, esto no sería un problema ya que el NAS tiene 2 interfaces por lo que podría realizarlo sin problemas.

Respecto al tema del POE, también valoré adquirir el hEX-S pero es complicado encontrar un sitio donde tengan en stock o plazos de entrega breves, me encantaría por sencillez poder conectar el AP por POE pero tengo una línea de SAI que pasa justo por donde me gustaría colocar el AP, por lo que no sería un problema poder instalar un enchufe para conectarlo.


Saludos y gracias!
 
Buenas tardes,

Por fin me he puesto manos a la obra con el proyecto que tenía planteado aunque con alguna diferencia, finalmente me he decidido a utilizar un Hex S (RB760) como router y puesto que todavía no he adquirido la el AP CAP AC, estoy aprovechando un Huawei AX3 configurado como AP y al que he deshabilitado el firewall.
Como soy bastante novato y hasta que tenga el CAP AC no voy a configurar las VLANs, parece que todo funciona bastante estable pero me surgen un par de dudas:
Por un lado he configurado Wireguard y me conecta sin problemas poniendo en los clientes la Ip pública de mi router, pero cuando trato de hacerlo a través de duckdns no me funciona correctamente, he utilizado el siguiente script:

# Modificad las siguientes tres asignaciones de variables, relativas a la interfaz wan, el dominio y el token, con vuestros datos. Se cambia lo que va entrecomillado.
# Poned aquí la interfaz por la que te conectas a internet, ejemplo:
:global wanInterface "ether1"
# Poned aquí el dominio duckdns que queramos mantener actualizado, ejemplo:
:global domain "pericoeldelospalotes.duckdns.org"
# Poned aquí el token que nos da duckdns para nuestra cuenta, ejemplo:
:global token "fc8e6521-35b8-1234-b915-db6345a31c75"

# Inicio del Script
:global actualIP value=[/ip address get [find where interface=$wanInterface] value-name=address];
:global actualIP value=[:pick $actualIP -1 [:find $actualIP "/" -1] ];
:if ([:len [/file find where name=ipstore.txt]] < 1 ) do={
/file print file=ipstore.txt where name=ipstore.txt;
/delay delay-time=2;
/file set ipstore.txt contents="0.0.0.0";
};
:global previousIP value=[/file get [find where name=ipstore.txt ] value-name=contents];
:if ($previousIP != $actualIP) do={
:log info message=("Try to Update DuckDNS with actual IP ".$actualIP." - Previous IP are ".$previousIP);
/tool fetch mode=https keep-result=yes dst-path=duckdns-result.txt address=[:resolve www.duckdns.org] port=443 host=www.duckdns.org src-path=("/update?domains=$domain&token=$token&ip=".$actualIP);
/delay delay-time=5;
:global lastChange value=[/file get [find where name=duckdns-result.txt ] value-name=contents];
:global previousIP value=$actualIP;
/file set ipstore.txt contents=$actualIP;
:if ($lastChange = "OK") do={:log warning message=("DuckDNS update successfull with IP ".$actualIP);};
:if ($lastChange = "KO") do={:log error message=("Fail to update DuckDNS with new IP ".$actualIP);};
};

También he configurado un scheduler para que ejecute el script y todo funciona correctamente, pero la ip que aparece en duckdns es la ip local de mi puerto wan (ether1), no consigo entender porque me ocurre esto...
Tengo configurado el HGU de O2 como "Multipuesto (Con NAT)", habría que cambiarlo a monopuesto? Perdería el teléfono fijo en caso de hacerlo?.

Por último, he configurado el firewall a través del Quick Set y posteriormente he añadido la regla para que funcione Wireguard, sería suficiente con esto o habría que añadir alguna regla más para securizar la red?.
Adjunto el export:

/ip firewall filter
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
"defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=accept chain=input comment="VPN Wireguard" dst-port=12378 \
protocol=udp
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN

/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
ipsec-policy=out,none out-interface-list=WAN

Un saludo.
 
Última edición:
Si el HGU está en multipuesto, la IP pública no llega al Mikrotik, así que el script de duckdns es normal que reporte una IP incorrecta.

Pon el HGU en monopuesto y adapta la WAN (ether1) para ser un cliente pppoe, en lugar de dhcp.

El teléfono sigue funcionando conectado al HGU, aunque este esté en monopuesto.

Saludos!
 
Si el HGU está en multipuesto, la IP pública no llega al Mikrotik, así que el script de duckdns es normal que reporte una IP incorrecta.

Pon el HGU en monopuesto y adapta la WAN (ether1) para ser un cliente pppoe, en lugar de dhcp.

El teléfono sigue funcionando conectado al HGU, aunque este esté en monopuesto.

Saludos!
Perfecto Pokoyo, mañana me pongo con ello, para hacer el cambio existe algún script para no tener que volver a hacer un reset en la configuración y quickset?.

Respecto al firewall consideras que sería suficiente?.

Un saludo y muchas gracias por tu ayuda!.
 
Perfecto Pokoyo, mañana me pongo con ello, para hacer el cambio existe algún script para no tener que volver a hacer un reset en la configuración y quickset?.

Respecto al firewall consideras que sería suficiente?.

Un saludo y muchas gracias por tu ayuda!.
No es necesario que hagas ningún reset. El firewall está bien. Todo lo que tienes que hacer es quitar el cliente dhcp y crear en su lugar un cliente pppoe sobre ether1. Y, en la lista WAN, en lugar de ether1, lo sustituyes por el cliente pppoe.

Saludos!
 
He seguido tus instrucciones y ahora funciona todo a la perfección a excepción de que ya no puedo acceder al HGU. Antes de realizar el cambio a cliente pppoe, la interfaz wan la tenía con ip 192.168.2.9/24 y mi HGU con 192.168.2.1. He probado a asignar ip 192.168.2.9 nuevamente a ether1 pero cuando trato de acceder al HGU me muestra el acceso a la configuración de Mikrotik en lugar del HGU.
Que puedo estar haciendo mal?
Un saludo.
 
He seguido tus instrucciones y ahora funciona todo a la perfección a excepción de que ya no puedo acceder al HGU. Antes de realizar el cambio a cliente pppoe, la interfaz wan la tenía con ip 192.168.2.9/24 y mi HGU con 192.168.2.1. He probado a asignar ip 192.168.2.9 nuevamente a ether1 pero cuando trato de acceder al HGU me muestra el acceso a la configuración de Mikrotik en lugar del HGU.
Que puedo estar haciendo mal?
Un saludo.
Simplemente haz src-nat (o masquerade) a lo que salga por ether1. Contando con que ya le has puesto la IP 192.168.2.9/24 a ether1 y que el HGU no ha cambiado su segmento LAN, siendo 192.168.2.1 su IP, ejecuta lo siguiente:
Código:
/ip firewall nat
add action=marquerade chain=srcnat out-interface=ether1

Si el HGU ha vuelto a sus orígenes, simplemente coloca en ether1 una IP del rango original: por ejemplo, 192.168.1.2/24

Saludos!
 
Ahora si que funciona, muchas gracias!!
Quería hacerte una última consulta.. he seguido tu manual para securizar DNS usando DoH y esta funcionando correctamente:
Captura de pantalla 2023-01-30 a las 18.57.28.png

Después he intentado hacerlo funcionar con pi-hole siguiendo los pasos del mismo manual pero no consigo que elimine la publicidad de las web que visito y en el Dashboard no ha bloqueado nada (0%), adjunto las capturas de mis configuraciones por si me he dejado algún paso, mi router Mikrotik tiene asignada la ip (192.168.1.1):
Captura de pantalla 2023-01-30 a las 18.48.00.png

Captura de pantalla 2023-01-30 a las 18.48.59.png


Un saludo y gracias por tu ayuda!
 
Borraste cache y reiniciaste pi-hole?

Saludos!
 
Buenas tardes, hace unos días me llego a casa la cAP ac, llevo unos días haciendo pruebas y ya la tengo funcionando con CAPsMAN, para ello he seguido el manual de "manejo de APs usando CAPsMAN" utilizando el siguiente script:
/caps-man rates
add basic=18Mbps name=gn-only supported=\
18Mbps,24Mbps,36Mbps,48Mbps,54Mbps

/caps-man security
add authentication-types=wpa2-psk disable-pmkid=yes \
encryption=aes-ccm group-encryption=aes-ccm group-key-update=1h \
name=home-sp passphrase=MySuperW1f1P4ssW0rd!
add authentication-types=wpa2-psk disable-pmkid=yes \
encryption=aes-ccm group-encryption=aes-ccm group-key-update=1h \
name=guest-sp passphrase=Invit@d0s

/caps-man channel
add band=2ghz-g/n control-channel-width=20mhz \
extension-channel=disabled frequency=2412,2437,2462 \
name=2ghz-chs tx-power=17
add band=5ghz-a/n/ac control-channel-width=20mhz \
extension-channel=XXXX frequency=5500,5580,5660 \
name=5ghz-chs

/caps-man datapath
add bridge=bridge client-to-client-forwarding=yes \
local-forwarding=no name=home-dp
add bridge=bridge client-to-client-forwarding=no \
local-forwarding=no name=guest-dp

/caps-man configuration
add channel=2ghz-chs country=spain datapath=guest-dp mode=ap \
name=guest-wifi-2ghz-cfg rates=gn-only security=guest-sp ssid=guests
add channel=2ghz-chs country=spain datapath=home-dp mode=ap \
name=home-wifi-2ghz-cfg rates=gn-only security=home-sp ssid=albter
add channel=5ghz-chs country=spain datapath=home-dp mode=ap \
name=home-wifi-5ghz-cfg rates=gn-only security=home-sp ssid=albter

/caps-man provisioning
add action=create-dynamic-enabled hw-supported-modes=gn \
master-configuration=home-wifi-2ghz-cfg name-format=prefix-identity \
name-prefix=2ghz slave-configurations=guest-wifi-2ghz-cfg
add action=create-dynamic-enabled hw-supported-modes=ac \
master-configuration=home-wifi-5ghz-cfg name-format=prefix-identity \
name-prefix=5ghz

/caps-man manager
set enabled=yes
El problema que tengo es que no consigo pasar de 115 Mb en subida o bajada (tengo 300 Mb) con la red 5Ghz, con la red de 2.4Ghz no paso de 80 Mb.
A que puede ser debido? utilizo cableado de cat6.

Un saludo
 
Parece que ya he encontrado el problema, pero no consigo que funcione como debería..
Cuando en la red 5Ghz configuro extension channel=disabled, CAPsMAN la habilita en mi cAP y puedo conectarme con cualquier dispositivo, sin embargo cuando extension channel es XXXX o Ceee entonces CAPsMAN no habilita la red en el cAP y por tanto no puedo acceder con ningún dispositivo (solo ha habido una vez que ha funcionado y entonces las velocidades de subida y descarga eran correctas).
 
Parece que ya he encontrado el problema, pero no consigo que funcione como debería..
Cuando en la red 5Ghz configuro extension channel=disabled, CAPsMAN la habilita en mi cAP y puedo conectarme con cualquier dispositivo, sin embargo cuando extension channel es XXXX o Ceee entonces CAPsMAN no habilita la red en el cAP y por tanto no puedo acceder con ningún dispositivo (solo ha habido una vez que ha funcionado y entonces las velocidades de subida y descarga eran correctas).
dale un export a la config de capsman, probablemente estés seleccionando una frecuencia inválida para ese tipo de extensión.

Saludos!
 
Es extraño porque después de un buen rato ha vuelto a aparecer la red 5ghz, he realizado un reboot del cAP para ver que ocurría después y ya no ha vuelto a aparecer.
/caps-man channel
add band=2ghz-g/n control-channel-width=20mhz extension-channel=disabled \
frequency=2412,2437,2462 name=2ghz-chs tx-power=17
add band=5ghz-a/n/ac control-channel-width=20mhz extension-channel=Ceee \
frequency=5500,5580,5660 name=5ghz-chs
/caps-man datapath
add bridge=bridge client-to-client-forwarding=yes local-forwarding=no name=\
home-dp
add bridge=bridge client-to-client-forwarding=no local-forwarding=no name=\
guest-dp
/caps-man rates
add basic=18Mbps name=gn-only supported=18Mbps,24Mbps,36Mbps,48Mbps,54Mbps
/caps-man security
add authentication-types=wpa2-psk disable-pmkid=yes encryption=aes-ccm \
group-encryption=aes-ccm group-key-update=1h name=home-sp
add authentication-types=wpa2-psk disable-pmkid=yes encryption=aes-ccm \
group-encryption=aes-ccm group-key-update=1h name=guest-sp
/caps-man configuration
add channel=2ghz-chs country=spain datapath=guest-dp mode=ap name=\
guest-wifi-2ghz-cfg rates=gn-only security=guest-sp ssid=guests
add channel=2ghz-chs country=spain datapath=home-dp mode=ap name=\
home-wifi-2ghz-cfg rates=gn-only security=home-sp ssid=wifi2g
add channel=5ghz-chs country=spain datapath=home-dp mode=ap name=\
home-wifi-5ghz-cfg rates=gn-only security=home-sp ssid=wifi5g
/caps-man manager
set enabled=yes
/caps-man provisioning
add action=create-dynamic-enabled hw-supported-modes=gn master-configuration=\
home-wifi-2ghz-cfg name-format=prefix-identity name-prefix=2ghz \
radio-mac=00:00:00:00:00:00 slave-configurations=guest-wifi-2ghz-cfg
add action=create-dynamic-enabled hw-supported-modes=ac master-configuration=\
home-wifi-5ghz-cfg name-format=prefix-identity name-prefix=5ghz \
radio-mac=00:00:00:00:00:00

Un saludo!
 
Si sólo tienes un CAP, no especifiques frecuencia en el canal de 5GHz, y lo elegirá él. Y pon la extensión como XXXX, tal que se el AP quien decida si lo extiende hacia arriba o hacia abajo. Ahora mismo, el 5500 y el 5580 se pueden extender hacia arriba, pero el 5660 no. Además de eso, tanto el 5580 extendido hacia arriba como el 5660 caen en las frecuencias DFS de los radares meteorológicos y, si detectan un pulso en esa frecuencia (bien sea porque vivas cerca de uno de estos radares, o bien porque simplemente recibas un reflejo de tu propia señal), la wifi se va a ir a dormir 10 minutos y, si no consigue saltar de canal, se va a quedar grogi. Yo modificaría esa lista de canales, o directamente le diría que coja el que sea en automático, si es que sólo tienes un AP.

También ten cuidado con subir le tanto el datarate (yo no lo usaría a menos que tengas clientes que den problemas), porque es más que probable que un chisme de IoT no llegue a 18Mbps y se desconecte.

Saludos!
 
Arriba