Dotaz: Mikrotik, LAN a WiFi bridge nebo routovat ?

[SE]

Dobrý den,

budu si dávat nový router Mikrotik a řeším jestli LAN a WiFi dát jako bridge nebo jako dva IP rozsahy.

Technicky mi je jasné jaký je v tom rozdíl a z hlediska bezpečnosti to budou rovnocenné sitě, žadní cizí lidé se na WiFi připojovat nebudou.

Je nějaký významný argument pro jedno nebo druhé řešení (jako například omezení broadcast, multicast atp.) ?

Děkuji

Odpovědi

[Pavel 'TIGER' Růžička]

Záleží na tom, kolik zařízení bude připojených. Pokud se bude jednat o nějaký větší počet, tak dva IP rozsahy se lépe spravují a to celkově, od úplného odstřihnutí wifi od internetu, až po specifické nastavení jednotlivých zařízení. Ale pokud se jedná třeba o rodinný byt, tak tam bych to moc neřešil.

[j]

"žadní cizí lidé se na WiFi připojovat nebudou"

To by me zajimalo, jak chces zrovna tohle zaridit.

[Pavel 'TIGER' Růžička]

Tak zařídit to jde. Dovolit přístup jen určitým MAC adresám a pokud by měl strach z podvržení MAC, tak na to položit ještě nějakou autentizaci přístupu.

[Josef Kufner]

To není odpověď

[j]

... mluvis predpokladam o tech MAC adresach, ktery si kazdej kolemjdouci odchyti? A mluvis o ty "autentizaci" 3 (no dobre 5) znakovym "heslem", ktery si chyti uplne stejne?

[Pavel 'TIGER' Růžička]

Ano, psal jsem o MAC, které jak správně píšeš jdou poměrně snadno odchytit, avšak autentizace, pokud bude vlastního řešení může být klidně dvoufázová pomocí SMS a tam už to tak jednoduché nebude. Ale silně pochybuji, že v tomto případě půjde o nějakou extra zabezpečenou síť.

[Josef Kufner]

Pokud je to domácí či podobně malá síť, tak chceš bridge, neboť to tak všichni očekávají. Očekávají, že automaticky uvidí tiskárny na sousedním stole a že bude fungovat multiplayer ve hrách. Tedy, že broadcast bude fungovat, protože z uživatelského hlediska to je prostě jedna síť.

[j]

jj, neni nad to si posilat tisky na tiskarny v okoli ... je to prdel k popukani, celkem by me zajimalo videt ty lidi kdyz k ty verejny tiskarne prijdou. A samozrejme jeste vetsi rit je tu tiskarnu primet k tomu aby broadcastama zahlcovala prave tu wifi, protoze prave ta je tou pomalejsi casti site.

Pak je taky fajn se podivat, co ma dotycnej za telku, a na co zrovna cumi, pripadne mu tu telku jen tak pro zabavu prepinat. Alternativne mu tam misto tech 7mi trpasliku pustit nejaky Pcko (se stejnym nazvem samo).

Potom si clovek browsne na nejakej ten samba share, samozrejme zcela spravne a podle navodu nastaven na 777 RW all users. Postahuje si tam nejaky to domaci Pcko na dlouhy zimni vecery, zkontroluje sbirku filmu a dalsiho warezu, aby vedel jestli se neurodilo neco zajimavyho a pro poteseni pomaze nejaky ty faktury, ucty, a mozna si i posle nejaky ten peniz, protoze spravny user ma hesla peclive a bezpecne ulozena v souboru hesla.doc(x).

Jestli to dobře chápu, tak nejlepší je, nepoužívat wifi v žádném případě a drátovou síť jenom občas, nejlépe pouze na odesílání peněz na finančák...

[Psycho]

Trošku psycho ne? Nechcete začít učit jak se bránit proti JABICH ? ( Kdo měl povinnou zákl.voj.sl. zná ) Určitě bych dotyčného hned nestrašil extrémem. S paranoiou,že každý soused je sběhlý v hackingu sítě je úsměvné , ale na druhou stranu je potřeba počítat i s tím.

[Peter Golis]

A ako sa teda hackuje nezabezpečená sieť, do ktorej sa dokáže pripojiť aj návšteva ktorá nie je technický zdatná, aby si tam rovno pozrela fotky z vašej dovolenky a nahrala niekam fotky z vašej návštevy u nich?

[SE]

Děkuji za všechny odpovědi a přikláním se k názoru, že "dva IP rozsahy se lépe spravují".

[q]

routing se muze od bridging lisit v rychlost prenosu ktere lze ocekavat, pri vyuzivani "vice" routovacich pravidel/filtru

mrkni na stranky mikrotiku, u kazdeho (vetsiny?) produktu maji tabulku s Test Results

v zakladu, pokud budes mit jen jednu sit a nebudes se snazit ji nijak extra propojovat s ostatnima, nebo provadet pokusy, pak je to asi jedno, kazdopadne je dobre to brat v potaz at nejsi pozdeji prekvapeny ze rychlosti jsou uplne nekde jinde nez ocekavany 1Gbps

viz napr. https://mikrotik.com/product/RB750Gr3#fndtn-testresults

co jsem se ted dival tak vypada ze je to jiz vetsinou podobne, pokud si to pamatuju spravne tak bridge byval citelne rychlejsi pri podobnem mnozstvi pravidel

[SE]

Ješte bych se rád zeptal na jednu věc.

Někde jsem četl názor, že pokud je Mikrotik použit jako firewall, tak je lepší, aby LAN rozhraní byl fyzický interface jako ether nebo wlan a ne jako bridge.

Co si o tom myslíte ?

Ale to už jsi vyřešil, ne? Chtěl jsi nakonec routovat.

Pokud se nepletu, tak Mikrotik je linux, takže jaká firewallová pravidla si napíšeš, taková tam budou.

Jinak si myslím, že bys patrně měl chtít bridge, neboť tipuji, že to chceš pro malou síť. Měl bys použít nějakou defaultní konfiguraci, která tam nepochybně pro ten účel je a rozchodit to. Až to rozchodíš, tak můžeš studovat nastavení, jak to hoši z Mikrotiku dělají a jestli by to nešlo udělat nějak jinak.

[Psycho]

Další střelec:

" Pokud se nepletu, tak Mikrotik je linux, takže jaká firewallová pravidla si napíšeš, taková tam budou. "

soudruhu experte, dotyčného znáte ? Jeho profesní vyspělost v užívání linuxu pro specifické účely - konknr. v psaní scriptů pro spec.účel a vyšperkování domácí sítě?

- Proč prohoha svatého - někteří bažanti dělají rok na linuxu a hned dělají chytré s radami typu "však si napiš script"....

Všechno potřebné si nastaví na ticku i opilec. Myslím že je tato diskuze vyřešená. Není co řešit. (Až na pár kidů )

Tak hlavně že ty, soudruhu experte, víš o druhých všechno...

[Psycho]

"aby LAN rozhraní byl fyzický interface jako ether" - jednoznačně jestli jde o rychlost a není v síti xxx zařízení, neznáme jak máte rozsáhlou síť,jaké priority,jak potřebujete pokrýt oblast,co se bude připojovat,jaké je okolí (rušení atp.) - ale pro obecnou otázku obecná odpověď není to sice přesné ale rozhodně vyzkoušejte.

Tady na fóru je dost síťařů co se touto prací živí a poradí v pár větách.Jestli nemáte veřejnou IP až tak moc bych nestresoval s firewallem.

[SE]

O rychlost ani nejde.

Šlo mi o to, jestli pravidla firewallu u Mikrotiku se budou chovat stejně bez ohledu na to jestli LAN bude fyzický interface nebo bridge. Předokládám, že ano.

Děkuji za odpovědi, vyřešeno.

[Pavel 'TIGER' Růžička]

Já osobně bych začal s tužkou a papírem, načrtl si topologii oné sítě a ptal se až na věci nejasné. Díky internetu lze dopředu načíst i schopnosti a nedostatky zařízení, které hodláš provozovat. On totiž není Mikrotik jako Mikrotik, třebaže konfigurace je velmi podobná.

[Max]

1) rozhodně použít bridge, v malé síti nedává smysl routovat (= mít více segmentů, pokud tedy nechci nějaký segment vymemzit pro návštěvy, co mají mít přístup jen na internet a nikam jinam)
2) pokud chci mít i třeba oddělenou wifi pro návštěvy, tak používat virtuální ap a vlany a ty strkat do jednotlivých bridgů
3) hw offloading umí bridge, takže tam není performance impact jako dřív, proto i zmizela definice master/slave portu
4) aby ti fungovaly iptables pravidla na bridge, musíš si v nastavení bridge toto povolit. Pokud si toto nezaškrtneš, musí pro filtrování použít pravidla pro bridge.
5) pokud plánuješ více AP, tak se vyplatí od začátku konfigurovat wifiny přes CapsMANa

Zdar Max

[SE]

Rozumím, děkuji.