Mikrotik heX ohne Bridge konfigurieren oder nicht?

[polyphase]

Moin,

vorweg, ich komme von der pfsense/opnsense Seite und Mikrotik RouterOS ist noch etwas neu für mich.

Also,
ich habe mir vor langer Zeit mal einen Mikrotik heX gekauft, um ein wenig deren System kennen zu lernen,
da für viele Szenarios die pfsense/opnsense "Geräte" (meistens selbst gebaut) doch etwas Overkill sind.

Von dieses Firewalls bin ich eigentlich gewöhnt, keine Bridges über mehrere LAN Ports zu verwenden, da sonst die Bandbreite ziemlich in den Keller geht und sowieso immer ein managed-Switch mit den entsprechenden vlans dahinter hängt.


Jetzt habe ich das Ding mal in Betrieb genommen, da ich aktuell etwas Zeit habe:

Mikrotik verwendet ja in der "Start" Konfiguration automatisch eine Bridge, beim heX von LAN2-5.
Jetzt wollte ich in alter Gewohnheit eine Konfiguration ohne Bridge aufsetzen, habe aber beim Testen festgestellt, das die Bridge nicht zu Performance-Einbußen führt 👍 Ich konnte den Downstream der zum Testen verwendeten Gigabit Leitung problemlos 100% auslasten.

Jetzt werden in allen Anleitungen/Tutorials auch bei denen von Mikrotik selbst immer eine Bridge verwendet.
Meine Frage ist hier jetzt, ist das die Philosophie von Mikrotik oder führt es sogar zu größeren Nachteilen/Problemen, wenn man keine Bridge verwendet?

Wäre nett wenn mich hier mal ein "Experte" aufklären könnte 😊

 

[martinallnet]

Die Bridge auf Layer 3 wird ja auch Hardwarebeschleunigt, Routing meistens nicht.

 

[polyphase]

Also. das ich das richtig verstehe.

Eine Bridge auf dem heX läuft hardwarebeschleunigt, kann also immer aktiv sein.
Ob man sie nun braucht oder nicht.

 

[martinallnet]

Die Bridge braucht man natürlich nur, wenn sich die interfaces im gleichen Netz befinden sollen. Man kann so interfaces zuordnen. Es geht mit entsprechenden routing Regeln natürlich auch ohne. Je nach dem was erreicht werden soll.

 

[polyphase]

Also folgendes wollte ich mal testen:

ETH1 = WAN
ETH2 = VLAN1 + VLAN2

Dann natürlich die üblichen Firewall-Regeln, etablished.... related.... usw.

An ETH2 (als Trunkport) würde ich einen alten managed-Switch hängen, welcher auf jeweils einem Port VLAN1 Untagged und VLAN2 Untagged zur Verfügung stellt.

Dann würde ich eine Regel erstellen welche VLAN1 in VLAN2 lässt und VLAN2 aber nicht in VLAN1.
Und dann ggf. noch etwas rumspielen mit Wireguard usw., das kommt aber später.

Eins vorweg, das Teil hängt nicht direkt am Internet, sondern befindet sich in meiner Homelab Umgebung.
Ist in einem eigenen Testnetz und komplett abgeschottet.

 

[martinallnet]

Pro Netz eine Bridge, DHCP ggf. je Bridge einer. Interfaces dann je nach Bedarf der Richtigen Bridge zuordnen. Dann entsprechende Routing-Regeln setzen zwischen den 2 Bridges.
Für einen Trunk-Port wo beide VLAN-Tags raus fallen sollen kann man auf das entsprechende Interface ein VLAN-Interface je VLAN erstellen und den untagged-Teil der entsprechenden Bridge zuordnen.
Läuft so auf meinem CRS326.

 

[0-8-15 User]

Eine Bridge auf dem heX läuft hardwarebeschleunigt, kann also immer aktiv sein.

Das hängt davon ab, welchen hEX du genau hast, siehe: Switch Chip Features

Die Bridge auf Layer 3 wird ja auch Hardwarebeschleunigt

Hardwarebeschleunigung auf Layer 3 gibt es bei MikroTik afaik nur mit RouterOS 7.

Die Bridge braucht man natürlich nur, wenn sich die interfaces im gleichen Netz befinden sollen.

Pro Netz eine Bridge, DHCP ggf. je Bridge einer.

Das stimmt bei RouterOS definitiv nicht. Hier eine Liste der gängisten Fehlkonfigurationen: Layer2 misconfiguration

 

[polyphase]

Also ich habe das Teil nun erstmal folgendermaßen eingerichtet:

• die Default Config geladen
• die ganzen offenen Ports wie z.B. Telnet geschlossen (Services deaktiviert)
• einen anderen Benutzer angelegt und den Admin gelöscht
• die Default Bridge auf "VLAN filtering" eingeschaltet
• auf der Default Bridge das VLAN2 erstellt (VLAN 1 existiert schon)
• die entsprechende Zuordnung der VLANs auf der Bridge für Tagged und Untaged vorgenommen
• Adresspool und DHCP für VLAN2 erstellt

Den alten Managed Switch habe ich entsprechend mit den VLANs konfiguriert,
also 1 Trunkport + je 1 Accesport pro VLAN.

Für den ersten Test habe ich ein Notebook, an den jeweiligen Accesport gehängt.
IPs werden korrekt vergeben und Internetzugriff läuft!

Geholfen hat auch dieses Video hier (zumindest Teilweise):

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Dort wird auch erklärt, das man nur noch eine Bridge anglegen darf/soll!!!
Das mit den mehreren Bridges war wohl in einer alten RouterOS Version so üblich, heute aber nicht mehr!
(Der Tipp kam wohl von jemanden der die Mikrotik Router beruflich einsetzt und sich entsprechend bei Mikrotik regelmäßig weiterbildet)

Des Weiteren ist wohl auch die Anleitung auf Administartor.de nicht mehr korrekt, da sich einiges geändert hat.

 

[0-8-15 User]

Ich kann nur empfehlen, sich an die offizielle Dokumentation von MikroTik zu halten oder wenigstens im MikroTik Forum zu bleiben. Auf anderen Seiten und in den meisten nicht offiziellen Youtube Videos wird endlos viel Müll verbreitet. Das verunsichert in der Regel mehr, als dass es hilft, aber du scheinst auf dem richtigen Weg zu sein.

 

[polyphase]

@0-8-15 User Genau das habe ich ja auch gemacht!
Ich wollte nur die "Falsch Konfiguration" von @martinallnet aufgreifen, diese wird auch im Video als falsch erklärt 😉

 

[polyphase]

Wobei folgendes, meiner Meinung nach ein Sicherheitsrisiko darstellt!
Ether1 ist das WAN Interface

  add chain=input in-interface=ether1 protocol=icmp action=accept comment="allow ICMP";
  add chain=input in-interface=ether1 protocol=tcp port=8291 action=accept comment="allow Winbox";
  add chain=input in-interface=ether1 protocol=tcp port=22 action=accept comment="allow SSH";

https://help.mikrotik.com/docs/display/ROS/First+Time+Configuration