hap lite mini as wifi client and AP

[atux_null]

θέλω να δώσω internet σ΄ένα μικρό γραφείο 2 θέσεων εργασίας. στην είσοδο του γραφείου πιάνω καλό σήμα από το wifi του πάνω ορόφου, ιδιοκτήτη του γραφείου, αλλά εκεί που είναι οι θέσεις εργασίας τζίφος. δεν θέλουν να επενδύσουν καθόλου κ θέλω να δω αν το hap lite mini που έχει ήδη μπορεί να συνδεθεί στο wifi του πάνω ορόφου και μετά ως router να φτιάξει το δικό του δίκτυο μέσα κ access point. γίνεται με το συγκεκριμένο? ώστε να βλέπει τον έξω κόσμο μέσω του wifi του πάνω ορόφου, αλλά να είναι 2 δίκτυα χωριστά.

[K1m0n]

Γίνεται*, στήνεις το wireless interface σαν client/cpe στο ssid του ιδιοκτήτη και το χρησιμοποιείς σαν wan (θα πάρει private ip),
και κάνεις nat/routing στο εσωτερικό δίκτυο (σε άλλο private subnet) που λογικά είναι ένα bridge με την eth1 και ένα virtual wlan interface σε Ap mode για το local wifi.
Εννοείται ρυθμίζεις αναλόγως ip/dhcp/firewall/firewall zones/nat/dns/etc.
Δυστυχώς δεν έχω έτοιμο config αλλά πάνω-κάτω αυτή είναι η ιδέα.

*Το ότι γίνεται, δεν σημαίνει ότι είναι απαραίτητα και καλή ιδέα.
Θα παίξει μέν, οι επιδόσεις θα ψιλό-πάσχουν δεδομένου ότι θα μοιράσεις τον χρόνο του μοναδικού ράδιου σε 2 ρόλους:
1) ap client (το wan), και 2) ap mode (το local wifi).
Αν το μόνο που θέλουν είναι πρόσβαση στο net ίσως αρκεί,
πιο σωστό θα ήταν να το κάνεις με μια μονάδα με 2 ράδια ή ένα ξεχωριστό AP.

[atux_null]

γεια αρχή, έχω συνδεθεί από το mikrotik στο router του πάνω ορόφου μέσω wifi. μέσα από το mikrotik μπορώ να κάνω ping στο Internet, αλλά δεν μοιράζει IPs στο δίκτυο, οπότε δεν μπορώ να συνδεθώ από κανέναν υπολογιστή στο Internet.
επισυνάπτω το config

# apr/09/2022 21:40:18 by RouterOS 6.49.5
/interface bridge
add admin-mac=74:4D:28:84:DB:41 auto-mac=no comment=defconf name=bridge
/interface ethernet
set [ find default-name=ether1 ] advertise=\
    10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
set [ find default-name=ether2 ] advertise=\
    10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
set [ find default-name=ether3 ] advertise=\
    10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa-psk,wpa2-psk group-ciphers=tkip,aes-ccm \
    management-protection=allowed mode=dynamic-keys name=profile1 \
    supplicant-identity="" unicast-ciphers=tkip,aes-ccm
/interface wireless
set [ find default-name=wlan1 ] antenna-gain=0 band=2ghz-b/g/n channel-width=\
    20/40mhz-Ce country=no_country_set disabled=no distance=indoors \
    frequency=auto frequency-mode=manual-txpower mode=station-pseudobridge \
    security-profile=profile1 ssid=COSMOTE-123456 station-roaming=enabled \
    wireless-protocol=802.11
/ip pool
add name=dhcp ranges=192.168.175.170-192.168.175.199
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/user group
set full policy="local,telnet,ssh,ftp,reboot,read,write,policy,test,winbox,pas\
    sword,web,sniff,sensitive,api,romon,dude,tikapp"
/interface bridge filter
add action=drop chain=input dst-port=68 in-interface=!wlan1 ip-protocol=udp \
    mac-protocol=ip
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=wlan1
add bridge=bridge interface=ether1
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add interface=wlan1 list=WAN
add interface=ether1 list=LAN
add interface=ether2 list=LAN
add interface=ether3 list=LAN
/ip address
add address=192.168.175.1/24 comment=defconf interface=ether2 network=\
    192.168.175.0
/ip dhcp-client
# DHCP client can not run on slave interface!
add comment=defconf disabled=no interface=ether1
add disabled=no interface=bridge
/ip dhcp-server network
add address=192.168.175.0/24 comment=defconf gateway=192.168.175.1 netmask=24
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.175.1 name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/system clock
set time-zone-name=Europe/Athens
/system identity
set name=MikroTik_mini
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

[dalex]

Ολιγον αχταρμας μου φαινεται.

- Εχεις ενα bridge που εχεις τα παντα πανω του, lan - wan, ethernets - wireless

- Δινεις IP στην eth2 που ειναι ομως slave στο bridge!

- Εχεις DHCP server σε αλλο eth (eth1), και φυσικα σου ειναι κοκκινο!

Μαθημα 1ο: Οταν x interfaces ανηκουν σε ενα bridge, ολες οι δικτυακες ιδιοτητες (IP, routes, filters, NAT, κλπ) αποδιδονται στο ιδιο το bridge και οχι στα μελη του.

Μαθημα 2ο: Μην ξανα-χρησιμοποιησεις τον wizzard (Quick Set), μαθε να τα κανεις μονος σου. Αλλοιως θα εισαι μονιμως σε συγκρουση...

- Αν το wireless ειναι οντως το WAN σου, βγαλτο απ το bridge.
- Οι πορτες στην interface list ειναι αχρηστες, και εκει πρεπει να μπει το bridge. Και βαφτισέ το LAN-bridge ή κατι παρομοιο να γινεται η ζωη μας ευκολη.
- IP, DHCP του LAN βαλτα στο bridge, ΟΧΙ σε πορτες! Οι κανονες μοιαζουν σωστοι..

και εδω ειμαστε.

[glf]

Αυτό είναι ωραίο σενάριο και για travel router να υπάρχει ένα έτοιμο βασικό config.

[atux_null]

Όντως. Απλά ο wizard μου τα έκανε μαντάρα κ χάθηκα
Ιδανικά θα ήθελα wlan1 να συνδέεται στο wifi του πάνω ορόφου, αλλά και την eth1 αν συνδεθεί ποτέ καλώδιο να πάρει μέσω dhcp. Οπότε wlan1 & eth1 να είναι η WAN.

- - - Updated - - -

λοιπόν το έφτιαξα. έχω

 bridge1 με μέλη eth1, wlan1

.

bridge2 με μέλη eth2, eth3

. εφτιαξα dhcp client στο bridge1 και περασα wlan credentials για να συνδεθώ στο wifi του πάνω ορόφου. έφτιαξα dhcp, dns server και παίζουν όλα ΟΚ. το eth1 το έχω βάλει στο bridge1, ώστε σε περίπτωση που κατεβάσουν καλώδιο από τον πάνω όροφο, να το ρίξουν εκεί απευθείας. δεν κάνω κάτι έξυπνο όπως load-balance, θα το αφήσω για το μέλλον.

τώρα μένει το κομμάτι του firewall. ακούω προτάσεις.

[dalex]

Το ελαχιστο που θες ειναι ΝΑΤ masquerade Out inderface = bridge1

[atux_null]

Το ελαχιστο που θες ειναι ΝΑΤ masquerade Out inderface = bridge1

το έχω κάνει αυτό, αλλιώς δεν θα μου έπαιζε το internet. Τώρα είναι το κομμάτι της ασφάλειας. αυτό ψάχνω.

[macro]

Γιατι δε πατας το κουμπακι repeater να στο φτιαξει μονο του?

[atux_null]

Γιατι δε πατας το κουμπακι repeater να στο φτιαξει μονο του?

αυτό είχα κάνει πριν γράψω εδώ και τα είχε κάνει μαντάρα.

[macro]

Αυτο στο κανει αυτοματα ολα μονο του.......

[atux_null]

Αυτο στο κανει αυτοματα ολα μονο του.......

επαναφέρω το θέμα, γιατί το παλιό κάηκε κ δεν υπήρχε backup. Πως τα κάνει όλα αυατόματα μονο του?

τι επιλέγω?