149 replies to this topic

[p.nightmare]

attualmente le robe del firewall sono così, non ho cambiato dalla default:

/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
    "defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
    500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=\
    !LAN

[harbinger]

Serio:

1) devi fornire un robo che funge e non la migliore connettività del mondo (in b4 hey!) ergo, io segherei ipv6 così ti risparmi un protocollo del quale fare manutenzione. Segalo nel firewall e segalo, soprattutto, lato gestione SLAAC (RA e pool), disabilita tutto imho;

2) la questione è nella regola 8, dove i pacchetti (chain forward, stati established e related) "salgono" sul fasttrack. Le regole per le queue (mark dei pacchetti con mangle nel pre-routing se solo per alcuni client/tipologie traffico/destinazioni ecc., filtro se per tutti comunque) vanno prima. Alla fine la lettura delle regole è sequenziale, se una regola viene prima dell'altra al match con la regola il pacchetto segue quella regola e non prosegue alla successiva.

 

Forse il post più significativo che abbia mai letto sulla questione:

https://forum.mikrot...=134048#p659676

[p.nightmare]

chiaro molto chiaro

[p.nightmare]

intanto ho disabilitato il fasttrack per provare e poi vedo

queue sul singolo ip nessun problema

queue su tutta la wlan "guest" (come target della queue) giustamente non va perché è tutto in bridge quindi non passa dalle queue

la procedura corretta sarebbe fare per range di indirizzi quindi fare per ogni wlan un bridge con una sua subnet blabla?

o fare delle vlan?

uffa

[harbinger]

intanto ho disabilitato il fasttrack per provare e poi vedo
queue sul singolo ip nessun problema
queue su tutta la wlan "guest" (come target della queue) giustamente non va perché è tutto in bridge quindi non passa dalle queue
la procedura corretta sarebbe fare per range di indirizzi quindi fare per ogni wlan un bridge con una sua subnet blabla?
o fare delle vlan?
uffa

Stop tutto. Se hai più wlan per non fare casino è più facile che ognuna abbia la sua subnet e ogni subnet il suo gateway, il tutto con un dhcp server per ogni subnet. E no, avere le wlan in bridge non ti serve se farai client isolation perché ognuno stia a casa propria. Il bridge ce l’hai tra le porte ethernet di default, tranne quella che fa da wan. E tutte le wlan hanno la stessa wan (la porta sarcazzo che hai scelto per attaccare Starlink), che configurerai con un dhcp client perché si prenda il suo indirizzo interno distribuito dal sistema Starlink, oltre ai dati per il routing.

Lascia stare le vlan che se non metti le wlan in bridge, non ti servono. E le vlan, configurate correttamente con le loro a L, sono la parte dove avrai tanta voglia di lanciare il router dalla finestra del trentesimo piano.

Un suggerimento: in winbox attiva la funzione (in alto a sinistra) che azzera le modifiche fatte dall’ultimo salvataggio se perde il collegamento tra pc che stai usando e router. Esempio tipico: seghi tutte le modalità di accesso al router; oppure imposti il vlan filtering sul bridge prima di aver gestito le vlan sulla porta con la quale comunichi col router e/o prima di aver assegnato il bridge alla corretta vlan. Tutte cose che ti costerebbe l’hard reset manuale.

Edited by harbinger, 15 January 2024 - 21:28.

[p.nightmare]

Sì avevo fatto così poi, ogni wlan la sua subnet, il suo dhcp, il suo pool di ip ecc
Bridge l'ho fatto tra le due wlan 2.4 e 5ghz della stessa categoria (guest, clienti)

Ottimo il safe mode, avevo paura di fare casini e chiudermi fuori infatti

[p.nightmare]

ok, tre wlan, queue per ora max-limit per provarle (1M/1M guest, 5M/2M clienti)

come wlan admin sono i capi spedizione, clienti tutti i clienti/partecipanti, guest rete free per tutti quelli che vogliono attaccarsi

configurazione completa sotto (sì ci sono ancora ipvc6 ecc, non ho toccato)

poi sistemerò le cose secondarie (accesso winbox e router solo da rete admin, magari abilitare il fasttrack ma non farci passare clienti e guest ma se abilito le queue anche per admin non serve direi, ecc)

ora settare le queue. max-limit brutalissimo e sicuro funziona messo basso ma non credo abbia senso

 

se non ho capito male limit-at è il minimo garantito, abbinato a max-limit. ha senso fare tipo:

limit-at admin 30M/3M

limit-at clienti 60M/5M

limit-at guest 10M/2M

 

100/10 dovrebbe essere più o meno sempre disponibile e metterei quello come max-limit

pro: funziona tutto

contro: come faccio a fare gli speedtest a 300 mega in mezzo al deserto

poi ci sarebbero da mettere le priorità a whatsapp/skype/messenger e simili ma una cosa per volta

/interface bridge
add admin-mac=48:A9:8A:84:E9:0C auto-mac=no comment=defconf name=bridge
add name=bridge-clienti
add name=bridge-guest
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa-psk,wpa2-psk mode=dynamic-keys name=admin \
    supplicant-identity=""
add authentication-types=wpa2-psk mode=dynamic-keys name=clienti \
    supplicant-identity=""
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \
    country=no_country_set disabled=no distance=indoors frequency=auto mode=\
    ap-bridge name=admin-2.4 security-profile=admin ssid=NoTracks-admin \
    wireless-protocol=802.11 wps-mode=disabled
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=20/40/80mhz-XXXX \
    country=no_country_set disabled=no distance=indoors frequency=auto mode=\
    ap-bridge name=admin-5 security-profile=admin ssid=NoTracks-admin \
    wireless-protocol=802.11 wps-mode=disabled
add disabled=no keepalive-frames=disabled mac-address=4A:A9:8A:84:E9:10 \
    master-interface=admin-2.4 multicast-buffering=disabled name=clienti-2.4 \
    security-profile=clienti ssid=NoTracks wds-cost-range=0 wds-default-cost=0 \
    wps-mode=disabled
add disabled=no keepalive-frames=disabled mac-address=4A:A9:8A:84:E9:10 \
    master-interface=admin-5 multicast-buffering=disabled name=clienti-5 \
    security-profile=clienti ssid=NoTracks wds-cost-range=0 wds-default-cost=0 \
    wps-mode=disabled
add disabled=no keepalive-frames=disabled mac-address=4A:A9:8A:84:E9:11 \
    master-interface=admin-2.4 multicast-buffering=disabled name=guest-2.4 \
    ssid=NoTracks-guest wds-cost-range=0 wds-default-cost=0 wps-mode=disabled
add disabled=no keepalive-frames=disabled mac-address=4A:A9:8A:84:E9:12 \
    master-interface=admin-5 multicast-buffering=disabled name=guest-5 ssid=\
    NoTracks-guest wds-cost-range=0 wds-default-cost=0 wps-mode=disabled
/ip kid-control
add fri=0s-1d mon=0s-1d name=system-dummy sat=0s-1d sun=0s-1d thu=0s-1d tue=\
    0s-1d tur-fri=0s-1d tur-mon=0s-1d tur-sat=0s-1d tur-sun=0s-1d tur-thu=0s-1d \
    tur-tue=0s-1d tur-wed=0s-1d wed=0s-1d
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
add name=guest-dhcp ranges=192.168.89.10-192.168.89.254
add name=clienti-dhcp ranges=192.168.90.10-192.168.90.254
/ip dhcp-server
add address-pool=default-dhcp interface=bridge lease-time=10m name=defconf
add address-pool=guest-dhcp interface=bridge-guest lease-time=10m name=\
    dhcp-guest
add address-pool=clienti-dhcp interface=bridge-clienti lease-time=10m name=\
    dhcp-clienti
/queue simple
add max-limit=1M/1M name=guest queue=wireless-default/wireless-default target=\
    bridge-guest
add max-limit=2M/5M name=clienti queue=wireless-default/wireless-default \
    target=bridge-clienti
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=admin-2.4
add bridge=bridge comment=defconf interface=admin-5
add bridge=bridge-clienti interface=clienti-2.4
add bridge=bridge-clienti interface=clienti-5
add bridge=bridge-guest interface=guest-2.4
add bridge=bridge-guest interface=guest-5
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface detect-internet
set detect-interface-list=all
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
add interface=bridge-guest list=LAN
add interface=bridge-clienti list=LAN
/ip address
add address=192.168.88.1/24 comment=defconf interface=bridge network=\
    192.168.88.0
add address=192.168.89.1/24 interface=bridge-guest network=192.168.89.0
add address=192.168.90.1/24 interface=bridge-clienti network=192.168.90.0
/ip dhcp-client
add comment=defconf interface=ether1
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=\
    192.168.88.1
add address=192.168.89.0/24 dns-server=192.168.89.1 gateway=192.168.89.1
add address=192.168.90.0/24 dns-server=192.168.90.1 gateway=192.168.90.1
/ip dns
set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related disabled=yes hw-offload=yes
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=\
    invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" \
    connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=\
    out,none out-interface-list=WAN
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=\
    33434-33534 protocol=udp
add action=accept chain=input comment=\
    "defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
    udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=input comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=\
    invalid
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" \
    src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" \
    dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
    hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
    icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 \
    protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
    ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
    ipsec-esp
add action=accept chain=forward comment=\
    "defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
    "defconf: drop everything else not coming from LAN" in-interface-list=!LAN
/system clock
set time-zone-name=Europe/Rome
/system note
set show-at-login=no
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

[harbinger]

Se potessi togliere quei dns sul router e lasciare, nelle configurazioni dhcp, o il pass di quelli Starlink (dovrebbero essere Google) o girargli 8.8.8.8 e 1.1.1.1,vivresti più felice. Ergo:

/ip dns

set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4

diventa:

/ip dns

set allow-remote-requests=no servers=8.8.8.8,8.8.4.4

 

e:

/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan

svanisce

 

EDIT: sono rincoglionito, lascia stare.

 

mentre ti lascio impostare felice o il giro dei dns da dhcp client (lato wan) o l'indicazione di quelli che preferisci tra quelli pubblici. Sorry ma sono in ufficio. 

 

Poi, avere nella medesima list LAN sia ethernet che wlan(s) va bene ma occhio per cosa la usi.

 

Poi, il fasttrack è ancora attivo in quella configurazione.

 

Imho, considerato l'uso selvaggio che ne fanno le persone e il fatto che avrai, se va bene, 10 Mbps di upload (che viene ridotto dall'overhead del download), considera per il download:

admin 30M/2M

clienti 30M/3M

guest 10M/1M

 

e per l'upload:

admin 5M/1M

clienti 5M/1M

guest 2M/1M

Edited by harbinger, 16 January 2024 - 14:40.

[p.nightmare]

 

 

Se potessi togliere quei dns sul router e lasciare, nelle configurazioni dhcp, o il pass di quelli Starlink (dovrebbero essere Google) o girargli 8.8.8.8 e 1.1.1.1,vivresti più felice. Ergo:

/ip dns

set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4

diventa:

/ip dns

set allow-remote-requests=no servers=8.8.8.8,8.8.4.4

 

e:

/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan

svanisce

 

EDIT: sono rincoglionito, lascia stare.

 

mentre ti lascio impostare felice o il giro dei dns da dhcp client (lato wan) o l'indicazione di quelli che preferisci tra quelli pubblici. Sorry ma sono in ufficio. 

 

 

non credo di aver capito, come ho impostato non fa semplicemente da coso dns il router girando su quelli google?

 

 

Poi, avere nella medesima list LAN sia ethernet che wlan(s) va bene ma occhio per cosa la usi.

 

sì è una delle robe da vedere, lasciando magari nella stessa list admin e ethernet e le altre separate

 

 

 

Poi, il fasttrack è ancora attivo in quella configurazione.

 

non confondermi dai

 

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \

    connection-state=established,related disabled=yes hw-offload=yes

 

 

Imho, considerato l'uso selvaggio che ne fanno le persone e il fatto che avrai, se va bene, 10 Mbps di upload (che viene ridotto dall'overhead del download), considera per il download:

admin 30M/2M

clienti 30M/3M

guest 10M/1M

 

e per l'upload:

admin 5M/1M

clienti 5M/1M

guest 2M/1M

 

no mi sono perso, che è download 30M/2M

io dicevo max-limit per tutti 100M download 10M upload. o 80, boh

[harbinger]

 

 

 

non credo di aver capito, come ho impostato non fa semplicemente da coso dns il router girando su quelli google?

 

 

sì è una delle robe da vedere, lasciando magari nella stessa list admin e ethernet e le altre separate

 

 

non confondermi dai

 

add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \

    connection-state=established,related disabled=yes hw-offload=yes

 

 

no mi sono perso, che è download 30M/2M

io dicevo max-limit per tutti 100M download 10M upload. o 80, boh

 

 

Per i dns, io lascerei sempre fare tutto ai client, così son cazzi loro, che tanto non devi né loggare né filtrare né altro.

 

Per il fasttrack hai ragione. Confermo che sto rincoglionendo e che le configurazioni è meglio se le leggo al mattino presto.

 

Per il max download intendevo proprio cappare tutti al massimo a 30 Mbps (10 Guests) e cappare l'upload di tutti (max) a 5 Mbps (2 guests). Oppure lasciavi le briglie sciolte così invogli la gente a caricare le instagrammate alle 3 di notte?

[p.nightmare]

Per i dns, io lascerei sempre fare tutto ai client, così son cazzi loro, che tanto non devi né loggare né filtrare né altro.

ci sta

 

Per il fasttrack hai ragione. Confermo che sto rincoglionendo e che le configurazioni è meglio se le leggo al mattino presto.

è l'età dai

 

 

Per il max download intendevo proprio cappare tutti al massimo a 30 Mbps (10 Guests) e cappare l'upload di tutti (max) a 5 Mbps (2 guests). Oppure lasciavi le briglie sciolte così invogli la gente a caricare le instagrammate alle 3 di notte?

 

confermo le instagrammate

boh avere na roba che fa 200 e cappare a 30 mi prude tanto.

certo poi si vede solo da speedtest alla fine

però perché max-limit diverso per i guest?

se gli admin non la usano e i clienti magari poco, che usino i 50, 80, 100M o quello che decido

viceversa se per caso un admin deve scaricare una mappa in poco tempo ho tutti miei 100M se nessuno la sta usando o comunque minimo 30. e se proprio proprio gli stacco la clienti senza fare altre modifiche

[p.nightmare]

per fare le prove ora prima di tagliuzzare cavi starlink ecc, posso tranquillamente tenere attivo il suo router senza attivare il bypass giusto? così per non fare casino in caso servisse al volo il suo router

[p.nightmare]

inoltre: bridge serve o sticazzi e le queue le faccio sugli ip e non sull'interfaccia?

[harbinger]

per fare le prove ora prima di tagliuzzare cavi starlink ecc, posso tranquillamente tenere attivo il suo router senza attivare il bypass giusto? così per non fare casino in caso servisse al volo il suo router

 

Corretto. Sarai in doppio NAT ma per fare prove va benissimo.

 

 

 

inoltre: bridge serve o sticazzi e le queue le faccio sugli ip e non sull'interfaccia?

 

Capisco la tentazione delle interfacce ma le queue le metterei sul bridge a prescindere, che le queue sulle interfacce le userei solo per gestire limiti sul traffico locale.

[p.nightmare]

Tolto tutti i servizi tranne winbox, che tanto anche l'app usa la stessa porta, aperta solo per la subnet degli admin
Non sono riuscito invece a bloccare il 192.168.100.1 per non fare andare clienti e guest sulla pagina starlink (o scaricare l'app e tipo parcheggiare l'antenna )
Ma non ci ho provato molto

[p.nightmare]

Ho anche scoperto che c'è un tasto programmabile
Magari per spegnere i wifi. O per modificare dei limiti. Vediamo

[p.nightmare]

also piazzato a caso in giardino

 

[p.nightmare]

Non sono riuscito invece a bloccare il 192.168.100.1 per non fare andare clienti e guest sulla pagina starlink (o scaricare l'app e tipo parcheggiare l'antenna )
Ma non ci ho provato molto

scherzavo, era troppo in giù nelle regole del firewall

appost

[p.nightmare]

sto provando così

/queue simple
add max-limit=100M/8M name=global target=ether1
add limit-at=3M/30M max-limit=8M/100M name=admin queue=\
    wireless-default/wireless-default target=bridge-admin
add limit-at=4M/60M max-limit=8M/100M name=clienti queue=\
    wireless-default/wireless-default target=bridge-clienti
add limit-at=1M/10M max-limit=8M/100M name=guest queue=\
    wireless-default/wireless-default target=bridge-guest

pro/contro?

mi sembra abbastanza ok (numeri da verificare in situazioni reali)

[p.nightmare]

ah numero sensato di client da limitare? farei a livello di dhcp, è meglio in altri modi?

 

sai cosa fare in pausa pranzo harbi