MikroTik jako samostatný WireGuard server pro dvě LAN

Zdravím všechny milovníky řešení komplikovaných problémů. Dlouhou dobu jsem používal bezchybné zapojení:
4G ODU -> Mikrotik Hap Lite (router/switch)-> DVR kamery, PC + Access point (klima wifi a další dvě wifi kamery) - Na hap lite běžel wireguard, měl jsem propojené dvě LAN a všechno bylo fajn (původní rychlost 20/2)

Teď se mi podařilo dojednat zvýšení rychlosti na 50Mbit a nastal problém, "Kernel Error" a "out of memory" celkem pravidelně v logu Hap lite, nejhorší je i když se zařízení samo restartuje tak připojení zpět k síti proběhne tak v půlce případů a to znamená že všechny zařízení jsou bez internetu tj. bez vzdáleného přístupu aplikací a notifikací.
Winbox z pc nebo mobilu kterým bych udělal druhý restart je také nemožný. - Takto nespolehlivé připojení nemohu provozovat

Řešení jsem si navrhnul takové že venkovní ODU -> Router TP-link -> Mikrotik pouze jako VPN server na propojení dvou LAN - problém je že ať nastavím Mikrotik jakkoliv tak vzdáleně se připojím skrze Winbox ale nikdy se nedostanu do sítě LAN - (testováno i ODU-> Switch->Mikrotik ale také bez úspěchu)

Zná někdo nějaký odkaz podle kterého bych mohl postupovat krok po kroku? Zkoušel jsem heslovitě vyhledávat ale výsledky mi nepomohli.

PS: Určitě každého napadne "kup si Hap AX2" to jsem také udělal a byla to katastrofa, Wi-Fi kamery i klima se odmítli připojit, po různých návodech jsem rozchodil Wi-FI připojení klimatizace které se posléze odmítla vzdáleně připojit skrze aplikaci (testováno na datech v mobilu). Wi-Fi kamery se nepřipojili nikdy a důvod jsem nezjistil, samozřejmě všechny připojení kabelem bylo v naprostém pořádku. - Podle netu tento problém není ojedinělý a některým zařízením se wifi od mikrotiku těžce nelíbí

Hap AX2 jsem vrátil a raději bych šel cestou samostatného VPN serveru. Pokud vypadne VPN neovlivní to vzdálená připojení aplikací ale pouze LAN-LAN.
« Poslední změna: 11. 07. 2023, 20:10:04 od Petr Krčmář »


robac

  • ***
  • 206
    • Zobrazit profil
    • E-mail
Re:MikroTik jako samostatný WireGuard server pro dvě LAN
« Odpověď #1 kdy: 11. 07. 2023, 23:47:19 »
No, pokud jsem to pochopil správně (tj. Mikrotik má LAN interface ve stejné VLAN jako jsou zařízení), tak bych si tipnul, že do jedné "LAN" se z druhé "LAN" přes Mikrotik dostanete, ale problém je v návratovém provozu, který ze zařízení v LAN jde na default gateway, což je router TP-Link.

Řešení vidím několik (v závislosti na možnostech zařízení):
  • nastavit na zařízeních v lokalitě (nebo hromadně přes DHCP) route na rozsah "druhé LAN" na Mikrotik - to asi všechna zmíněná zařízení podporovat nebudou,
  • "otočit" daný provoz na TP-Linku na Mikrotik - Hairpin NAT,
  • provoz z VPN na lokalitě NATovat za IP Mikrotiku - pokud není potřeba, aby spolu zařízení z těch dvou LAN komunikovala pod skutečnými adresami (v tomto případě myšlena src IP), tak nejjednodušší řešení,
  • Mikrotik dát do jiné VLAN/segmentu, tak aby provoz z VPN do LAN byl routovaný přes TP-Link.

Re:MikroTik jako samostatný WireGuard server pro dvě LAN
« Odpověď #2 kdy: 12. 07. 2023, 23:32:36 »
Díky za radu je to přesně jak si uvedl, zkoušel jsem to celý den ale nepodařilo se mi to dát do kupy. ODU se nastavit skoro nedá a Tp-link to mají umět (hairpin NAT) ale prostě to nefungovalo. Bohužel podle netu je to problém s firmware kdy u starších verzích to šlo ale posléze ne, to je zase loterie kdy se to pokazí i kdybych dal downgrade. Už to řešit nebudu a prostě koupím starší HEX a bude pokoj. 

ja.

  • ****
  • 366
    • Zobrazit profil
    • E-mail
Re:MikroTik jako samostatný WireGuard server pro dvě LAN
« Odpověď #3 kdy: 12. 07. 2023, 23:58:25 »
Povodna konfiguracia wifi z ax2 by sa nenasla?

Zaujimalo by ma to, kedze som majitelom hap ax2 a takyto problem som nikdy nemal; aj esp86 hracky sa bez problemov pripajaju. Podla mna to len bol nejaky zadrhel v konfiguracii, mikrotik ma na to foot guny.

Don.J

Re:MikroTik jako samostatný WireGuard server pro dvě LAN
« Odpověď #4 kdy: 13. 07. 2023, 08:24:47 »
No, koukám, že úplně nechápeš co děláš. Píšeš Hap Lite ale nebude to náhodou hex lite? je vhodný na takové to malé domácí žvýkání (jako úplně základní router) a nic víc, žádný výkon, resp. žádná RAM. Je to jako bys za trabanta připojil obytňák a očekával, že to pojede jak tryskáč.

WireGuard není na mikrotiku nijak akcelerovaný a vše táhne CPU routeru, na to bacha.

U Hap AX2 jsi ho nepoužil bez Wifi a radši jsi ho vrátil proč? Má například v OS7 HW IPSec akceleraci oproti tomu Hex Lite a vyšší výkon = i rychlejší WireGuard.

Podle mě jsi měl u hAP ax2 špatně konfiguraci wifi, resp. neměl jsi wifi v bridgi s LAN a na Wifi ti DHCP neposkytovalo IP adresy. Proto se zařízení tvářili, že se nepřipojili.
« Poslední změna: 13. 07. 2023, 08:26:44 od Don.J »


Re:MikroTik jako samostatný WireGuard server pro dvě LAN
« Odpověď #5 kdy: 14. 07. 2023, 12:57:03 »
Hned první větu dotazu si přečti znovu. Hap Lite (RB941-2nD jedno jádro 650Mhz, 32MB ram) na připojení 20/2 fungoval jakou router, VPN, i switch. Na občasné vzdálené připojení do LAN když nemáte veřejnou IP super dříč za pakatel bez výpalného pro operátora. Wifi řešeno samostatným AP.  Takhle provozováno 8 měsíců bez jediného zádrhelu.

Rozepíšu to spíše už jen pro zajímavost

Po zrychlení na 50/5 již nestačil (hap lite) a má "Out of Memory" (pochopitelně už to nezvládá), tak jsem pořídil Hap AX2 v domnění že zruším AP a všechno bude už jen na něm (ODU->Hap AX2-> všechny zařízení). Je to podstata toho zařízení jako domácí univerzální combo.

Zde nastal problém kdy skrze Wifi se zařízení odmítla připojit do WLAN Hap AX2 (klima a kamery), mobil to vzal v pohodě a fungoval. Vycházel jsem z Quicksetu takže žádný config ani script nahraný nebyl podle kterého bych dával chybu nastavení. Byla to metoda zapni zařízení, zadej heslo wifi a ověř funkčnost než začnu nastavovat. Z fór mikrotiku i jiných jsem zjistil že tento problém trápil více lidí tak jsem našel konečně nastavení kdy se klima připojila a byla vidět v leases.

Zapnul jsem data na mobilu a spustil cloudovou apku klimatizace, nešlo se vzdáleně připojit přes cloud. Smazal jsem celý firewall a nechal pouze fasttrack. Stále nic, cloudem se nepřipojím. Wifi kamery nikdy nenalezly wifi síť, všechno bylo na WPA2. Celou dobu fungoval LAN ihned po zapnutí. Kamery co jsou přes ethernet skrze svou cloudovou apku fungovali okamžitě, PC také. Pak jsem dal reset (default config) a zkusil znovu, to samé LAN v poho, wifi ne až na mobil který frčel tak jak při prvním pokusu. HAP ax 2 jsem vrátil.

Chtěl jsem tedy zachovat Hap lite jako Wireguard server pro projení dvou LAN a použít současný tp-link jako router do podoby: ODU -> AX 20 (router + AP) -> Wireguard LAN<->LAN (PC a DVR by bylo zapojeno do TP-linku)
Navrhnuté řešení - Hairpin NAT se mi zdálo jako dobré řešení, bohužel podle stránek tp-link poslední verze firmware obsahuje chybu kdy to nejde nebo alespoň to není spolehlivé. Potvrzeno od více uživatelů.

Proto jsem se rozhodl celý tento návrh zrušit jelikož je vysoké riziko nespolehlivosti i kdybych to nakonec dal do kupy na starším firmware.

Hap AX2 a jeho vysoká cena bez funkce Wi-Fi která by byla kompletně vypnutá postrádá smysl na lince 50/5.

to Don.j: Chápu přesně, nechci vyhazovat peníze za zařízení které spadá do kategorie Hap ale nefunguje jak má i když je výborně vybavené. Když to nešlo chtěl jsem změnit účel zařízení hap lite bez nutnosti utrácet. Také se nezadařilo.

Žádný trabant, Naopak! Hap lite se ukázal jako extrémně schopné zařízení které se svým 1 jádrem a 32 ram zvládlo upgrade až na verzi 7.10, utáhlo wireguard, dhcp pro 11 zařízení a switch pro 3 na lince 20/2. Za mě sloužil dlouho a blaze.

Komu funguje Hap AX2 na první dobrou tak mu to přeju, mě to nešlo, tupé AP od tp-linku funguje hned a dodnes bez jediného výpadku. Možná to dělala Wifiwave 2 ale už jsem to dál neřešil.

To ja.: Žádny vlastní config nebyl, šel jsem z výchozího nastavení v quicksetu tak abych si ověřil že je všechno OK a pak bych jen nakopíroval scripty z původního exportu, k tomu ale nikdy nedošlo.

Zatím to nechám být a spíše koupím novou venkovní 5G NR jednotku abych sem dostal ještě vyšší rychlost.


Re:MikroTik jako samostatný WireGuard server pro dvě LAN
« Odpověď #6 kdy: 15. 07. 2023, 10:48:09 »
A není problém, že ten nový Mikrotik má standardně zapnoutou jen wifi6 (ax) a pro různá (nejen) starší zařízení je nutné 2.4Ghz wifi přenout na b/g/n nebo něco takového? Já si s tímto routerem jednou hrál asi 20 minut, právě kvůli tomuto "problému".

Re:MikroTik jako samostatný WireGuard server pro dvě LAN
« Odpověď #7 kdy: 23. 07. 2023, 00:50:12 »
A není problém, že ten nový Mikrotik má standardně zapnoutou jen wifi6 (ax) a pro různá (nejen) starší zařízení je nutné 2.4Ghz wifi přenout na b/g/n nebo něco takového? Já si s tímto routerem jednou hrál asi 20 minut, právě kvůli tomuto "problému".

Problém musel být zřejmě v software Wifiwave2 hap ax2 protože to má překvapivý konec.

Po zjištění, že lepší ODU nepotřebuju, jsem impulsivně koupil hap ax3 (kvůli designu, tady se Lotyšané vytáhli), v quicksetu nastavil wifi na stejné SSID a heslo jako původní AP a hotovo. Všechno okamžitě fungovalo tj. klima, kamery, mobil a cokoliv co mělo připojení.
Nemohl jsem uvěřit a celý den to testoval ale jelo to okamžitě, zapnuté WPA3 nebo AX nemělo na nic vliv a žádnému zařízení to nevadilo.

Jediné co musím vytknout je menší dosah wifi (ekvivalent střední síly na tp-linku), Guest wifi z quicksetu má přístup do LAN což je nežádoucí a scripty z předchozího hap lite vyhodli chybu, tak jsem to musel nastavit manuálně od začátku.

Hlavně že uz zase všechno fachá jak má

Don.J

Re:MikroTik jako samostatný WireGuard server pro dvě LAN
« Odpověď #8 kdy: 24. 07. 2023, 15:49:37 »
Tak ono v upgrade logu mktiku je: Hap AX2 / AX3
What's new in 7.10.2 (2023-Jul-12 12:45):
*) wifiwave2 - fixed interface hangs on IPQ6010-based boards (introduced in v7.9);

Čili měli bug... možná si se hold zrovna trefil než to opravili.

Nicméně "default" skripty nemají u MKTiku úplně ok, vždycky raději proběhnu všechno vč. povolených standardů.

Re:MikroTik jako samostatný WireGuard server pro dvě LAN
« Odpověď #9 kdy: 25. 07. 2023, 13:10:14 »
Teď to zní pravděpodobně, že ten AX2 byl ok ale wifiwave2 ne, verzi si už nepamatuju.
AX3 měl výchozí verzi 7.8 a už vše fungovalo než jsem dal 7.10. Těžko říct v čem to bylo.