Mikrotik WLAN - Best practice?

Guten Morgen,

die aufgezählten Geräte sind auf 5 komplett verschiedene Standorte verteilt. Z. T. sogar auf sehr simple (1&1 Router + wAP ac als einziges WLAN weit und breit).
Es wird auch nicht bei jedem Mikrotik-Gerät das WLAN genutzt. Das sind lediglich Komponenten, mit denen ich in der Vergangenheit bereits mehr oder weniger erfolgreich getestet habe.

Keine Ahnung, ob es Probleme mit den TOS Angaben bei iOS gibt. Was ich aber weiß ist, dass sich die Erhöhung des Standard "Group Key Update"-Wertes im Security Profile (WPA2 PSK; AES CCM) von 5 Minuten auf 1 Stunde positiv auswirkt. Belässt man den Standardwert von besagten 5 Minuten, so sind alle iOS Geräte quasi durchgehend (im Abstand von Sekunden) damit beschäftigt sich zu verbinden.


Ja, ich weiß, dass sich auch Firewall-Regeln, QoS, schlechte Firmwares usw. negativ auf alles Mögliche auswirken können.
Da ich die Probleme aber unabhängig von Stadt, Aufstellungsort, Infrastruktur und genutzten Endgeräten habe, würde ich diese Netzwerkthemen nach wie vor gerne ausklammern.


Verstehe ich es richtig, dass bereits die Default-Einstellungen nach dem Anlegen eines WLAN-Interfaces (theoretisch, in einer Laborumgebung) den gewünschten Erfolg bringen sollten?


Interessante Quellen:
https://gryzli.info/2015/06/20/mikrotik-optimizing-wi-fi-performance/

https://www.manitonetworks.com/mikrotik/2016/3/3/soho-wireless-optimizat ...

http://dp.nonoo.hu/setting-up-802-11n-wifi-on-a-mikrotik-routerboard/

https://shop.duxtel.com.au/article_info.php?articles_id=57

https://www.youtube.com/watch?v=nCB4hL0f1VQ


Ich versuche mal die für eine SOHO Umgebung relevanten Informationen aus den Quellen am Beispiel eines RB951G-2HnD zusammen zu fassen:


WLAN Security Profile (General):

Funktion	Wert	Erklärung
Name	Bezeichnung des Profils
Mode	dynamic keys
Authentication Types	WPA PSK & WPA2 PSK
Unicast Ciphers	aes ccm	Nicht "tkip", da damit automatisch die Geschwindigkeit auf 54 MBit/s begrenz wird! Sollte es noch Geräte geben, die ausschließlich tkip unterstützen, bietet es sich ein weiterer Virtueller AP an um die "schnellen" Endgeräte nicht künstlich auszubremsen.
Group Ciphers	aes ccm
Group Key Update	00:05:00	Sollte so gering wie möglich sein. Allerdings habe ich die Erfahrung gemacht, dass 01:00:00 bei iOS Geräten besser funktioniert.
Management Protection	disabled

WLAN Interface (Wireless): (Im Advanced Mode)

Funktion	Wert	Erklärung
Mode	ap bridge	Bildet die normale Funktionsweise eines "Accesspoints" ab
Band	2GHz-B/G/N	Sollten keine Geräte im Netz zwingend den "B"-Standard benötigen, empfiehlt sich 2Ghz-G/N. Je weniger Übertragungsstandards bereitgestellt werden, desto besser die Performance.
Channel Width	20/40MHz Ce oder 20/40MHz eC	Je nachdem, ob man einen Kanal am unteren (1) oder oberen (13) Ende wählt, muss die Erweiterung entweder oberhalb (Ce) oder unterhalb (eC) des gewählten Kanals liegen. Sollten viele WLANs in der unmittelbaren Umgebung sein, sollte die Bandbreite auf 20 MHz im 2,4 GHz Bereich (40 MHz bei 5 GHz) reduziert werden. Nutzen benachbarte WLANs Kanäle die nicht 1, 6 oder 11 sind, muss für eine bessere Performance zwingend auf 20 MHz gewechselt werden.
Frequency	Je nach Umgebung	Ein Kanalabstand von 4 Kanälen zu umgebenden Accesspoints sollte eingehalten werden. Je nach Umgebenden WLANs bieten sich daher die Kanäle 1, 6, 11 oder 1, 5, 9, 13 an. Umgebende WLANs können entweder mit Apps auf dem Smartphone (z. B. Android: Wifi Analyzer oder WiFiAnalyzer), mit dem Mikrotik Tool The Dude oder der Funktion Freq. Usage im Wireless Interface des Mikrotik Routers identifiziert werden.
SSID	Nach Belieben	Sonderzeichen und Umlaute sollten vermieden werden. Leerzeichen sind i. d. R. kein Problem.
Radio Name	Default belassen	Die MAC Adresse als Identifier ist vollkommend ausreichend
Scan List	default
Wireless Protocol	802.11	In der Regel passt dieses Protokoll. ggf. kann auch nstreme bzw. nv2 nstreme 802.11 verwendet werden. NV2 ist ein Mikrotik-eigenes Protokoll.
Security Profile	Das vorher erstellte
WPS Mode	disabled	WPS kann eine Sicherheitsschwachstelle darstellen. Außerdem werden die automatisch ausgesendeten Beacons ohne die WPS Informationen kleiner. Ergo wird das Netz performanter.
Frequency Mode	manual-txpower	Wichtig, wenn keine freien WLAN Kanäle zur Verfügung stehen: Um Überschneidungen mit anderen WLANs zu vermeiden, sollte die Sendeleistung manuell angepasst werden.
Country	Germany
Antenna Gain	0
WMM Support	disabled
Bridge Mode	enabled	Es werden auch Clients im "station-bridge" Modus akzeptiert.
VLAN Mode	no tag
VLAN ID	1
Default Authenticate	ja	Es werden Clients akzeptiert, die nicht im Vorwege in die "Access List" aufgenommen wurden.
Default Forward	Ja	Ermöglich Kommunikation zwischen den verbundenen Clients. Ist das korrekt?!
Hide SSID	Nein	SSID wird ausgesendet und wird auf den Endgeräten angezeigt.
Multicast Helper	default
Multicast Buffering	ja
Keepalive Frames	ja

WLAN Interface (Tx Power):

Funktion	Wert	Erklärung
Tx Power Mode	Default	Sofern es keine Probleme mit anderen WLANs gibt, kann default beibehalten werden. Ansonsten:
Tx Power Mode	all rates fixed	Sendeleistung kann manuell angepasst werden.
Tx Power	17	Sollte so gering wie möglich eingestellt werden. Werte um die 17 dBm sind ein guter Ausgangspunkt. Achtung: Je geringer die Sendeleistung des Accesspoints, desto höher die Sendeleistung und damit der Stromverbrauch der Clients. Die Sendeleistung des Accesspoints muss sich in einem legalen Bereich bewegen!

WLAN Interface (Advanced):

Funktion	Wert	Erklärung
Distance	indoors	Verringert die Wartezeit auf Frames. Je größer der Abstand zwischen Accesspoint und Client, desto länger die Signallaufzeit. Da der Abstand in einer SOHO Umgebung i.d.R. nur wenige Meter beträgt, reicht hier "indoors".
Hw. Retries	4
Preamble Mode	short

WLAN Interface (Data Rates):

Funktion	Wert	Erklärung
Rate	configured	Hintergrund: Jede WLAN Verbindung beginnt mit der allerersten Übertragung auf 6 Mbit/s. Erst im Anschluss greift die im Accesspoint eingestellte Geschwindigkeit. Muss man keine alten 802.11 b unterstützen, bietet es sich an alles unter 12 Mbit/s, besser 24 MBit/s zu deaktivieren. Aktuelle Geräte sollten damit keine Probleme haben. Daher: Bei "Supported Rates" alles >= 12 MBits und bei "Basic-Rates" 12Mbps aktivieren. Testweise kann die Grenze untere auch auf 24Mbit/s angehoben werden. Achtung: Der "Default" versperrt die HT MCS Einstellungen.

WLAN Interface (HT):

Funktion	Wert	Erklärung
Tx/RX Chains	Alle "ja"	Definiert welche der Antennen zum Senden/Empfangen genutzt werden sollen.
AMSDU Limit	8192	Korrekt?!
AMSDU Threshold	8192	Korrekt?!
Guard Interval	any	any = 400ns, long = 800ns Korrekt?!
AMPDU Priorities	0: Ja	Prioritäten werden lediglich bei aktiviertem WMM berücksichtigt. Bedeutungen der Prioritäten: Best Effort (0), Background (1), Spare (2), Excellent (3), Control Lead (4), Video <100ms Latency (5), Voice <100ms Latency (6), Network Control (7)

WLAN Interface (HT MCS):

Funktion	Wert	Erklärung
HT Supported MCS	Alle
HT Basic MCS	MCS 0	Tabelle aller MCS Werte

WLAN Interface (Status):

Funktion	Wert	Erklärung
Overall Tx CCQ	Möglichst hoch	Die Client Connection Quality ermöglicht einen schnellen Überblick über die Performance des Netzwerks. Ein Mittel über mehrere Stunden bei ausgelastetem Netzwerk ist aussagekräftig und sollte über 60% liegen.

Moin,

bei mir haben sich iOS Geräte ähnlich hartnäckig gesträubt.
Die iOS Geräte wurden vom Accesspoint aufgrund eines Timeouts immer "rausgeschmissen". Warum genau weiß ich aber nicht. Das konnte man aber sehr gut über das Logging (System -> Logging -> Add -> Topics: wireless) nachvollziehen.

Gelöst habe ich es wie folgt (siehe auch meinen Post oben):

• In die Einstellungen des Security Profils wechseln
• "Group Key Update" auf eine höhere Zeit stellen.

Bzgl. der VLAN Konfiguration musst du folgendes Beachten:

• Tagged-Paket NUR zwischen Infrastruktur-Geräten (Switch/Firewall/Router)
• Endgeräte IMMER mit Untagged-Paketen versorgen

Ich habe dir ein paar Screenshots von einer Konfiguration gemacht.
Der Mikrotik Router dient dabei als Switch und WLAN Accesspoint.
Über einen Uplink-Port ist der Mikrotik mit einem Cisco Switch verbunden. -> Tagged VLAN

Im VLAN 122 tummeln sich alle mit einer bestimmten WLAN-SSID verbundenen Geräte.
Das VLAN Interface ist daher über eine Bridge mit dem virtuellen WLAN Interface verbunden.
Wichtig: In der Bridge muss (in meinem Aufbau) STP ausgeschaltet sein. Da Clients mit schlechter WLAN Anbindung ansonsten eine Fallback-Kaskade anstoßen, die bis zum Cisco Switch durchschlägt und vollkommener Blödsinn ist, da es eh nur eine LAN Verbindung zwischen den beiden Geräten gibt.

Das virtuelle WLAN Interface kommuniziert mit den WLAN Clients natürlich untagged:



Zum Thema DHCP:
Es darf immer nur einen geben! Wenn deine pfSense einen DHCP Server hat, solltest du den im Mikrotik deaktivieren!
Vermutlich ist die pfSense das Herzstück deiner Netzwerkinfrastruktur und übernimmt Routing und Firewall? Dann sollte sie auch DHCP übernehmen. In der pfSense kann man den DHCP Server super für die einzelnen VLANs konfigurieren.

Oder hast du eine Routerkaskade gebaut und der Mikrotik spannt ein komplett eigenes Netzwerk auf? Dann solltest darauf achten, dass du die Firewall im Mikrotik so einstellst, dass die Broadcasts für die DHCP Suche nicht bis zur pfSense durchkommen.


PS: Alle Hinweise sind auf eine "simple" Netzwerkstruktur bezogen. In einem komplexeren Aufbau müssen ggf. einige Einstellungen angepasst werden!

Du hast dir einen "Klassiker" aufgebaut. Deine grundsätzliche Idee solltest du so beibehalten.

pfSense:
DHCP Server für jedes VLAN Interface aktivieren. Darauf achten, dass auch jedes VLAN einen eigenen IP Adressbereich bekommt.
z.b.
192.168.1.0/24
192.168.2.0/24
192.168.3.0/24 ...
Du solltest versuchen etwas möglichst exotisches zu wählen, damit du später beim Zugriff über VPN keine Probleme bekommst.


MikroTik:
DHCP Server komplett deaktivieren. Alle Register unter "IP -> DHCP Server" müssen leer sein oder alle Einträge sollten deaktiviert sein.

Ich habe mir angewöhnt, für jede VLAN-Bridge einen DHCP-Client zu erstellen. Dann läuft die Konfiguration über WinBox einfacher, da die Verbindung nicht über die MAC Adresse des Geräts hergestellt werden muss.
Außerdem ist es hilfreich einen DHCP Client direkt auf Uplink-Port zu setzen. Falls es mal Probleme mit den VLANs gibt, sperrst du dich so nicht aus.

Ob man sich auch über die anderen VLAN Interfaces verbinden kann, hängt von der Konfiguration deiner pfSense Firewall ab. Wenn du die VLANs komplett gegeneinander abschottest, wird das natürlich nicht funktionieren.
Versuchst du dich über die MAC Adresse mit dem MikroTik zu verbinden, könnten die Grenzen des VLANs problematisch werden. Ich hatte es oft, dass die Verbindung nach ein paar Sekunden wieder zusammengebrochen ist.
Für einen stabilen Betrieb wird das übrigens nicht benötigt! Das ist nur hilfreich, wenn man sich in der Konfigurationsphase aus versehen aussperrt.


Du hast recht, ich habe Screenshots von zwei unterschiedlichen Geräten gepostet. Mein Fehler.


Bzgl. DHCP: Kann es sein, dass dein "ether1-uplink" Teil einer Bridge ist? Falls ja, muss natürlich die Bridge den DHCP-Client bekommen.


Ganz doll vereinfacht: Beim VPN ist es grundsätzlich wichtig, dass es keine Überschneidungen bei den IP Adressen der Endgeräte gibt.
Bsp:
Dein Drucker zuhause hat die IP Adresse 192.168.178.21
Der Drucker auf der Arbeit hat ebenfalls die IP Adresse 192.168.178.21

Verbindest du dich nun von Zuhause über VPN mit dem Büro, wirst du nicht auf den Drucker im Office zugreifen können.
Bist du im Büro und möchtest über VPN auf den Drucker bei dir zuhause zugreifen, geht's natürlich auch nicht.

Es gibt ein paar klassische, privat nutzbare IP Adressbereiche, die häufig verwendet werden. Auf die man also auch außerhalb des eigenen Zuhauses treffen könnte:
192.168.0.0/24
192.168.1.0/24
192.168.178.0/24

Ein Exot wäre z. B. 192.168.87.0/24.

Heißt: Dein DHCP Server in der pfSense und allgemein die LAN-Seite deiner pfSense sollte mit einem nicht ganz so gängigen IP Bereich(en) arbeiten.
Das Netz zwischen deiner Fritzbox und der pfSense ist egal, wenn deine pfSense auch der VPN Server ist. Wird der VPN Dienst von der Fritzbox bereitgestellt, sollte die WAN-Seite der pfSense natürlich auch eine vernünftige IP Adresse bekommen.