Mikrotik rb951g 2hnd (не пускает в гостевой WIFI и режет скорость) — что делать?

Question

[inogda_dobriy]

mikrotik rb951g 2hnd

создано 2 WIFI точки.
1- для работы персонала в сети с паролем
2- для гостей с доступом в интернет но без доступа к сети
1-я работает
2-я подключается но интернета нет (если запихнуть ее в бридж то все работает, но видит сеть)

по LAN портам режет скорость жутко в пределах 2-3Мбит(мерялось спидтестом и ip2ru) хотя с другим роутером работает на уровне 40-50Мбит. Сам микротик при пинге внутренней утилитой на 8.8.8.8 выдает 70-100Мбит.

КОФИГУРАЦИЯ ВОТ:
# jan/02/1970 11:55:17 by RouterOS 6.19
# software id = 25QJ-WQBP
#
/interface bridge
add l2mtu=1598 name=bridge1-local

/interface ethernet
set [ find default-name=ether1 ] comment=WAN name=ether1-gateway
set [ find default-name=ether2 ] comment=LAN name=ether2-master-local
set [ find default-name=ether3 ] master-port=ether2-master-local
set [ find default-name=ether4 ] master-port=ether2-master-local
set [ find default-name=ether5 ] master-port=ether2-master-local

/ip neighbor discovery
set ether1-gateway comment=WAN
set ether2-master-local comment=LAN

/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk eap-methods="" \
wpa2-pre-shared-key=*******

add authentication-types=wpa2-psk eap-methods="" management-protection=\
allowed mode=dynamic-keys name=wifi_pass supplicant-identity="" \
wpa2-pre-shared-key=*******

add authentication-types=wpa2-psk eap-methods="" management-protection=\
allowed mode=dynamic-keys name=free-wifi wpa2-pre-shared-key=*******

/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n default-authentication=no \
disabled=no distance=indoors hw-protection-mode=rts-cts l2mtu=2290 mode=\
ap-bridge periodic-calibration=enabled periodic-calibration-interval=10 \
security-profile=wifi_pass ssid=Eliziya tx-power=18 tx-power-mode=\
all-rates-fixed wds-default-bridge=bridge1-local wds-mode=dynamic \
wireless-protocol=802.11

add disabled=no l2mtu=2290 mac-address=4E:5E:0C:39:D3:63 master-interface=\
wlan1 name=wlan2 ssid=test_use wds-cost-range=0 wds-default-cost=0

/ip pool
add name=dhcp_pool1 ranges=192.168.88.2-192.168.88.254
add name=dhcp_pool2 ranges=192.168.85.2-192.168.85.254

/ip dhcp-server
add address-pool=dhcp_pool1 disabled=no interface=bridge1-local name=dhcp1
add address-pool=dhcp_pool2 disabled=no interface=wlan2 name=dhcp2

/queue simple
add max-limit=2M/2M name=queue1 target=192.168.85.0/24

/interface bridge port
add bridge=bridge1-local interface=ether2-master-local
add bridge=bridge1-local interface=wlan1

/ip address
add address=192.168.88.1/24 interface=bridge1-local network=192.168.88.0
add address=192.168.85.1/24 interface=wlan2 network=192.168.85.0

/ip dhcp-client
add default-route-distance=0 dhcp-options=hostname,clientid disabled=no \
interface=ether1-gateway

/ip dhcp-server network
add address=192.168.85.0/24 dns-server=192.168.88.1,8.8.8.8 gateway=\
192.168.85.1
add address=192.168.88.0/24 dns-server=192.168.88.1,8.8.8.8 gateway=\
192.168.88.1 netmask=24

/ip dns
set allow-remote-requests=yes servers=8.8.8.8
/ip firewall address-list
add address=192.168.88.0/24 list=inet
add address=192.168.85.0/24 list=inet

/ip firewall filter
add chain=input comment=icmp protocol=icmp
add chain=input comment=established connection-state=established
add chain=input comment=related connection-state=related
add chain=input comment=manage in-interface=bridge1-local
add action=drop chain=input comment="all other drop" in-interface=\
ether1-gateway
add action=drop chain=forward comment="Drop invalid connection packets" \
connection-state=invalid
add chain=forward comment="Allow established connections" connection-state=\
established
add chain=forward comment="Allow related connections" connection-state=\
related
add chain=forward comment="Allow acess to internet" in-interface=\
bridge1-local out-interface=ether1-gateway src-address-list=inet
add action=drop chain=forward comment="All other drop"

/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1-gateway

/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes

/ip upnp interfaces
add interface=ether1-gateway type=external
add interface=ether2-master-local type=internal
add interface=ether3 type=internal
add interface=ether4 type=internal
add interface=ether5 type=internal
add interface=wlan1 type=internal
add interface=bridge1-local type=internal
add interface=wlan2 type=internal
/system leds
set 0 interface=wlan1

Умоляю ПОМОГИТЕ....вторые сутки и так и сяк и эдак и никак

Comments

[inogda_dobriy]

разобрался наконецто.

1- не пускало в гостевой ВАЙФАЙ.
решение: ip>firewall на вкладке adresses list нужно было создать второй пулл адресов inet2 для второй сети 85-ой и прописать для него отдельное правило фаервола где Scr.Adresses list указать inet2

2- резало скорость
решение: в интерфейсах на входящем интерфейсе ether1 (в моем случае) в свойствах на вкладке Ethernet нужно было убрать галочку Auto Negotiation и ручками выставить 100Mbps fullDuplex

не понятно почему автонастройка так тупо работает но есть что есть...только ручная настройка. Дальше на всех портах пользователей можно оставить АВТО....тут полет нормальный

Answer 1

[Клёвый Админ]

add chain=forward comment="Allow acess to internet" in-interface=bridge1-local out-interface=ether1-gateway src-address-list=inet
add action=drop chain=forward comment="All other drop"

А где у вас правило?
add chain=forward comment="Allow acess to internet" in-interface=wlan2 out-interface=ether1-gateway src-address-list=inet
Ну и отдельно трафик между сетями в файрволе прикройте. (между бридж и wlan2 и наоборот action drop)

Про обрезку скорости ничего не вижу. Покажите статистику на интерфейсах (дропы, колизии), ну и проверьте настройку физических портов. Посмотрите что говорит профайлер - на cpu какая нагрузка?

Comments

[inogda_dobriy]

инет на WLAN2 сделал, добрался что это фаервол и как раз то о чем вы пишите. сделал еще один адрес лист "inet2" для 85 сети и прописал на него такое же правило как для "inet" работает. Сети вроди бы не видит но если есть возможность закрыть их между собой посоветуйте как.

>Про обрезку скорости ничего не вижу. Покажите статистику на интерфейсах (дропы, колизии), ну и >проверьте настройку физических портов. Посмотрите что говорит профайлер - на cpu какая нагрузка?

как это сделать?

Answer 2

[LESHIY_ODESSA]

по LAN портам режет скорость жутко в пределах 2-3Мбит(мерялось спидтестом и ip2ru)

Сравнил в лоб со своим конфигом.

/interface bridge
add l2mtu=2290 name=bridge1-local

Потом откуда это ??
/interface wireless
wds-default-bridge=bridge1-local wds-mode=dynamic

То есть вы там какой WDS поднимали или что? Отключите :
wds-default-bridge=none wds-mode=disabled

Ниже мне кажется сомнительным. У вас стоит ограничение скорости на WLAN2, который висит на WLAN1, а тот в свою очередь входил вместе с LAN в bridge1.

/queue simple
add max-limit=2M/2M name=queue1 target=192.168.85.0/24

Вы хоть пробовали отключить очередь? Попробуйте, вдруг сразу резать перестанет.

Comments

[Клёвый Админ]

о, фигасе, а я проглядел =)

Answer 3

[inogda_dobriy]

в свойствах бриджа l2mtu стоит 1598 и оно заглушено - тоесть изменить я его не могу, могу только MTU, сейчас этот параметр 1500

WDS настраивается только для WLAN1 он сейчас настроен wds-default-bridge=bridge1-local wds-mode=dynamic - это дефолтный параметр помоему и как он может влиять на скорость на проводных портах?

"wds-default-bridge=none wds-mode=disabled" в этой строке ругается на первое равно - ОШИБКА

да, лимит установлен на WLAN2 но так как сам WLAN2 это слейв то он никак не может резать трафик мастеру. переставил queue на сеть 192.168.85.0/24 - ничего не изменилось. На WLAN2 - все режет корректно на 2/2 - тут вопросов нет.

Что такое очередь и как ее отключать?