@Trema, je hebt gelijk; er moet een forward rule zijn voor het UDP multicastverkeer van WAN VLAN4 naar de Amino. Ik dacht dat de IGMP proxy de stream zou proxyen, maar op een of andere manier doe 'ie dat niet. Er gaat wel verkeer in, maar niet uit, ook al zet ik alles open. Misschien doet de IGMP proxy echt alleen maar het IGMP verkeer en niet de stream zelf.
Ofwel is dit zoals het ontworpen is, ofwel ik doe iets fout. Als ik het weet dan meld ik dat hier.
pool-prefix-length=48 hoort hier niet. Hiermee geef je aan dat de allocatielengte uit de gecreëerde pool /48 is (dus de hele pool). Als gevolg hiervan moet je expliciet /64 aangeven als je op een interface een IPv6-adres configureert. Als je deze optie weglaat, wordt de allocatielengte /64. En dat is precies wat je wilt.
Je configureert hiermee het ::1 adres op een netwerk met een prefix die uit de genoemde pool wordt gealloceerd. Het localhost adres is ::1/128.
Hallo allemaal.
Ik heb al een paar jaar een Mikrotik al modem draaien en dat wil eigenlijk best lekker, behalve dat IPv6 niet helemaal lekker werkt.
Voor de meeste verbindingen werkt het prima, maar bijvoorbeeld het controlpanel van TransIP, de raadsinformatiesites van NotuBiz (bijvoorbeeld ijsselstein.raadsinformatie.nl ) en sinds kort ook de streams van Disney+, gaat het mis.
Voor eenvoudige sites kan ik dat omzeilen door het v6-adres te rejecten in de firewall, maar voor Disney+ is dat lastig met zo’n uitgebreid CDN met meerdere ranges.
Om maar even het belangrijkste deel van mijn config te posten:
/interface bridge
add name=Router
/interface ethernet
set [ find default-name=ether1 ] l2mtu=1598 name=NTu-link speed=100Mbps
set [ find default-name=ether2 ] name=LocalNet speed=100Mbps
set [ find default-name=ether3 ] disabled=yes speed=100Mbps
set [ find default-name=ether4 ] disabled=yes speed=100Mbps
set [ find default-name=ether5 ] disabled=yes speed=100Mbps
/interface vlan
add arp=disabled interface=NTu-link mtu=1508 name=Freedom-vlan vlan-id=6
/interface pppoe-client
add add-default-route=yes allow=pap,mschap2 disabled=no interface=\
Freedom-vlan keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=Freedom \
password=1234 service-name=Freedom use-peer-dns=yes user=fake@freedom.nl
/interface list
add name=WAN
add name=LAN
/ip pool
add name=dhcp_pool0 ranges=10.0.13.1-10.0.13.253
/ip dhcp-server
add address-pool=dhcp_pool0 interface=Router name=dhcp1
/user group
set full policy="local,telnet,ssh,ftp,reboot,read,write,policy,test,winbox,pas\
sword,web,sniff,sensitive,api,romon,dude,tikapp"
/interface bridge port
add bridge=Router interface=LocalNet
/interface detect-internet
set detect-interface-list=all internet-interface-list=all lan-interface-list=\
LAN wan-interface-list=WAN
/interface list member
add list=WAN
add list=LAN
/ip address
add address=10.0.13.254/24 interface=LocalNet network=10.0.13.0
/ipv6 address
add address=::1 from-pool=Freedom-prefix interface=Router
/ipv6 dhcp-client
add interface=Freedom pool-name=Freedom-prefix request=prefix use-peer-dns=no
/ipv6 firewall filter
add action=reject chain=forward disabled=yes dst-address=\
2a03:e101::1101:21/128 reject-with=icmp-no-route
add action=reject chain=forward comment="TransIP CP" dst-address=\
2a01:7c8:3:1337::1/128 reject-with=icmp-no-route
add action=reject chain=forward comment="TransIP CP" reject-with=\
icmp-no-route src-address=2a01:7c8:3:1337::1/128
add action=accept chain=forward in-interface=Router log=yes log-prefix=\
Morgoth out-interface=Freedom src-address=\
xxxx:xxxx:xxx:0:7ce5:ff44:e373:a8f7/128
add action=drop chain=input comment="Drop (invalid)" connection-state=invalid
add action=accept chain=input comment="Accept (established, related)" \
connection-state=established,related
add action=accept chain=input comment="Accept DHCP (10/sec)" in-interface=\
Freedom limit=10,20:packet protocol=udp src-port=547
add action=drop chain=input comment="Drop DHCP (>10/sec)" in-interface=\
Freedom protocol=udp src-port=547
add action=accept chain=input comment="Accept external ICMP (10/sec)" \
in-interface=Freedom limit=10,20:packet protocol=icmpv6
add action=drop chain=input comment="Drop external ICMP (>10/sec)" \
in-interface=Freedom protocol=icmpv6
add action=accept chain=input comment="Accept internal ICMP" in-interface=\
!Freedom protocol=icmpv6
add action=drop chain=input comment="Drop external" disabled=yes \
in-interface=Freedom
add action=reject chain=input comment="Reject everything else" disabled=yes \
reject-with=icmp-no-route
add action=accept chain=output comment="Accept all"
add action=drop chain=forward comment="Drop (invalid)" connection-state=\
invalid
add action=accept chain=forward comment="Accept (established, related)" \
connection-state=established,related
add action=accept chain=forward comment="Accept external ICMP (20/sec)" \
in-interface=Freedom limit=20,50:packet protocol=icmpv6
add action=drop chain=forward comment="Drop external ICMP (>20/sec)" \
in-interface=Freedom protocol=icmpv6
add action=accept chain=forward comment="Accept internal" in-interface=\
!Freedom
add action=accept chain=forward comment="Accept outgoing" out-interface=\
Freedom
add action=passthrough chain=forward comment=MinasTirith dst-address=\
xxxx:xxxx:xxx:0:211:32ff:fe1d:f62e/128 in-interface=Freedom
add action=passthrough chain=forward comment=Morgoth dst-address=\
xxxx:xxxx:xxx:0:2c6c:fd5:988:1765/128 in-interface=Freedom
add action=passthrough chain=forward comment=Gallifrey dst-address=\
xxxx:xxxx:xxx:0:aaa1:59ff:fee0:9e4b/128 in-interface=Freedom
add action=drop chain=forward comment="Drop external" disabled=yes \
in-interface=Freedom
add action=reject chain=forward comment="Reject everything else" disabled=yes \
reject-with=icmp-no-route
/ipv6 nd
set [ find default=yes ] disabled=yes
add advertise-dns=no hop-limit=64 interface=Router ra-interval=20s-1m
/system clock
set time-zone-autodetect=no time-zone-name=Europe/Amsterdam
/system leds
add interface=Freedom leds=user-led type=interface-status
/system ntp client
set enabled=yes primary-ntp=87.233.197.123 secondary-ntp=129.250.35.251
/system resource irq rps
set NTu-link disabled=no
set LocalNet disabled=no
set ether3 disabled=no
set ether4 disabled=no
set ether5 disabled=no
De routes worden dynamisch gezet:
# DST-ADDRESS GATEWAY DISTANCE
0 ADS ::/0 Freedom 1
1 ADSU xxxx:xxxx:xxx::/48 1
2 ADC xxxx:xxxx:xxx::/64 Router 0
En dat ziet er volgens mij niet verkeerd uit, al snap ik nummer 1 niet helemaal. Maar die lijkt ook weinig invloed te hebben: als ik m verwijder werkt alles hetzelfde.
Naar aanleiding van de originele post hierboven heb ik nog wat zitten puzzelen, maar behalve een klein beetje performancewinst, blijven genoemde sites onbereikbaar.
Ik zit me er een beetje blind op te staren. Heeft iemand hier nog een idee?
Het gaat om een RB750Gr3 met RouterOS 6.49.7
Lastig om te zien wat er mis gaat. Er valt mij wel een aantal dingen op:
Mocht het een firewall issue zijn dan kun je simpelweg even de “drop if connection-state=invalid” regel disablen; dan zou het wel moeten werken (voor TarnsIP bijvoorbeeld). Ik denk niet dat dat het is maar het is snel uitgeprobeerd…
De routes bij jou komen ook grotendeels overeen met die van mij:
# DST-ADDRESS GATEWAY DISTANCE
DAv ::/0 PPPoE 1
DAd 2a10:3781:abcd::/48 1
DAc 2a10:3781:abcd:1::/64 bridge-LAN 0
DAc 2a10:3781:abcd:10::/64 bridge-IPTV 0
DAc fe80::/64 vlan1.4 0
DAc fe80::/64 bridge-LAN 0
DAc fe80::/64 bridge-WAN 0
DAc fe80::/64 PPPoE 0
DAc fe80::/64 bridge-IPTV 0
DAc ::1/128 lo 0
IPv6 voor IPTV is overigens overbodig; ik heb het alleen (nog) niet weggehaald.
Om te vergelijken; mijn IPv6 settings zijn:
disable-ipv6: no
forward: yes
multipath-hash-policy: l3
accept-redirects: yes-if-forwarding-disabled
accept-router-advertisements: yes-if-forwarding-disabled
disable-link-local-address: no
stale-neighbor-detect-interval: 30
stale-neighbor-timeout: 60
min-neighbor-entries: 2048
soft-max-neighbor-entries: 4096
max-neighbor-entries: 8192
allow-fast-path: yes
ipv6-fast-path-active: yes
ipv6-fast-path-packets: 0
ipv6-fast-path-bytes: 0
ipv6-fasttrack-active: yes
Om verder te testen zou ik voor een van de IPv6 probleemgevallen tijdelijk alles wat de firewall doet loggen. Mocht er verkeer (wat je wel verwacht) ontbreken in de logs dan ligt het probleem ergens anders. Als je er rejected of dropped packets van tegen komt dan moet je de firewall regels herzien.
Kun je wel de NLNOG ring node van TransIP bereiken (transip01.ring.nlnog.net, 2a01:7c8:aab1:3f8::1)?
Als dat óók niet lukt dan hebben we iets dat goed is te onderzoeken.
Maak hier sowieso maar een ticket voor aan want het is goed om dit te onderzoeken. Verwijs maar naar dit topic. Doe er indien mogelijk dan ook traceroutes bij.
Bij mij gaat het goed. Misschien handig om te vergelijken; vanaf mijn aansluiting:
$ ping -6 -M do -s 1452 transip01.ring.nlnog.net
PING transip01.ring.nlnog.net (2a01:7c8:aab1:3f8::1) 1452 data bytes
1460 bytes from 2a01:7c8:aab1:3f8::1: icmp_seq=1 ttl=54 time=7.96 ms
1460 bytes from 2a01:7c8:aab1:3f8::1: icmp_seq=2 ttl=54 time=5.85 ms
$ tracepath -6 transip01.ring.nlnog.net
1?: [LOCALHOST] 0.062ms pmtu 1500
1: ap5.wlan.internal 3.460ms
1: ap5.wlan.internal 2.401ms
2: wan-gateway.dmz.internal 1.970ms
3: 2a10:3780::233 3.796ms
4: 2a10:3780:1::25 4.288ms
5: be30.ams-nkhf-ipr02.tnoc.nl 5.199ms
6: 2001:7f8:1::a504:8185:1 5.609ms
7: 2a02:2b8:0:54::2 19.822ms asymm 8
8: 2a01:7c8:f:1000::5 5.966ms asymm 9
9: gw.ams05.transip.net 5.760ms asymm 11
10: 2a01:7c8:aab1:3f8::1 6.949ms reached
Resume: pmtu 1500 hops 10 back 11
No 2 jaar weggeweest te zijn word ik per september weer op Freedom aangesloten, ditmaal met een LEON SFP en een nieuwe Mikrotik Hex S (model 2025) op ODF. Ervaringen volgen.
Inmiddels heb ik (nu met een Fritz 5530) via de ODF vezel een werkende aansluiting. Ondertussen ligt er ook al een sfp (LXT-010S-H) met de gekloonde modemID en een RB5009UG+S+IN (RouterOS 7.19) klaar. Binnenkort wil ik deze gaan aansluiten.
Heeft iemand deze combinatie aan een ODF verbinding (correct) V4 en V6 werkend
In principe heb ik alleen internet nodig, (het TV vln hoef ik niet te termineren, want kijk via nlziet (unicast)) en wil ik op een aantal interfaces aparte subnetten hebben waar ik dan een DMZ en mijn home automation op aansluit (en mijn fritz, zodat ik die mijn deck telefonie en radiatorthermostaten kan laten besturen (met de juiste port-forwards))
Heeft iemand een soortgelijke setup waar alles naar behoren werkt, die hij wil en kan delen, dan heb ik en anderen een goed startpunt.
Alvast bedankt !
Rudi
Wil je screenshot van GUI of CLI?
cli is ok, screenshot(s) ook.
Denk cli makkelijker is. (export, of export compact of export hide-sensitive)
Alvast bedankt.
R.
# 2025-06-30 15:24:19 by RouterOS 7.19.2
# software id = ISL0-7S1C
#
# model = L009UiGS
# serial number = HFE09AEZXKC
/interface bridge
add name=Lan3 port-cost-mode=short
add name=bridge-WAN protocol-mode=none
/interface ethernet
set [ find default-name=sfp1 ] auto-negotiation=no comment=WAN l2mtu=1598 loop-protect=off mtu=1508 rx-flow-control=on speed=1G-baseX \
tx-flow-control=on
/interface vlan
add comment=GPON interface=bridge-WAN mtu=1508 name="Vlan 6" vlan-id=6
add comment=Guest interface=Lan3 name="Vlan 100" vlan-id=100
add comment=Native interface=Lan3 name=Vlan5 vlan-id=5
add comment=Management interface=Lan3 name=Vlan10 vlan-id=10
add comment=Server interface=Lan3 name=Vlan15 vlan-id=15
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip ipsec proposal
set [ find default=yes ] auth-algorithms=sha256 enc-algorithms=aes-256-cbc pfs-group=modp2048
/ip pool
add name=default-dhcp ranges=192.168.88.10-192.168.88.254
add comment=Native name=Native ranges=192.168.5.2-192.168.5.254
add comment=Server name=Server ranges=192.168.15.2-192.168.15.254
add comment=Management name=Management ranges=192.168.10.2-192.168.10.254
add name=Guest ranges=192.168.100.2-192.168.100.254
add name=dhcp_pool5 ranges=192.168.1.2-192.168.1.254
/ip dhcp-server
add address-pool=Management comment=Management interface=Vlan10 name=Management
add address-pool=Native comment=Native interface=Vlan5 name=Native
add add-arp=yes address-pool=Server comment=Server interface=Vlan15 name=Server
add address-pool=Guest comment=Guest interface="Vlan 100" name=Guest
/ip smb users
set [ find default=yes ] disabled=yes
/port
set 0 name=serial0
/ppp profile
set *0 change-tcp-mss=no dhcpv6-pd-pool=global_pool only-one=yes use-compression=yes use-upnp=no
add change-tcp-mss=no name="PPPOE Freedom" only-one=yes use-compression=yes use-ipv6=default use-upnp=no
/interface pppoe-client
add add-default-route=yes disabled=no interface="Vlan 6" keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=PPPoE profile=\
"PPPOE Freedom" service-name="Freedom Internet" use-peer-dns=yes user=fake@freedom.nl
/interface bridge port
add bridge=*A comment=defconf interface=ether2 internal-path-cost=10 path-cost=10
add bridge=*A comment=defconf interface=ether4 internal-path-cost=10 path-cost=10
add bridge=*A comment=defconf interface=ether5 internal-path-cost=10 path-cost=10
add bridge=Lan3 comment=defconf interface=ether6 internal-path-cost=10 path-cost=10
add bridge=*A comment=defconf interface=ether7 internal-path-cost=10 path-cost=10
add bridge=*A comment=defconf interface=ether8 internal-path-cost=10 path-cost=10
add bridge=Lan3 comment=LAN interface=ether3 internal-path-cost=10 path-cost=10 pvid=2
add bridge=*A interface=ether1 internal-path-cost=10 path-cost=10
add bridge=bridge-WAN interface=sfp1
/ip firewall connection tracking
set udp-timeout=10s
/ip neighbor discovery-settings
set discover-interface-list=LAN lldp-mac-phy-config=yes lldp-vlan-info=yes
/ip settings
set max-neighbor-entries=14336
/ipv6 settings
set accept-router-advertisements=yes max-neighbor-entries=7168
/interface bridge vlan
add bridge=*18 untagged=ether6 vlan-ids=5
/interface detect-internet
set detect-interface-list=WAN internet-interface-list=WAN wan-interface-list=WAN
/interface list member
add comment=defconf interface=Lan3 list=LAN
add interface=PPPoE list=WAN
add interface=Vlan5 list=LAN
add interface=Vlan15 list=LAN
add interface=Vlan10 list=LAN
add interface="Vlan 100" list=LAN
/interface ovpn-server server
add mac-address=FE:35:CB:2D:00:B7 name=ovpn-server1
/ip address
add address=192.168.88.1/24 comment=defconf interface=*A network=192.168.88.0
add address=192.168.5.1/24 comment=Native interface=Vlan5 network=192.168.5.0
add address=192.168.15.1/24 comment=Server interface=Vlan15 network=192.168.15.0
add address=192.168.10.1/24 comment=Management interface=Vlan10 network=192.168.10.0
add address=192.168.100.1/24 comment=Guest interface="Vlan 100" network=192.168.100.0
/ip dhcp-client
# DHCP client can not run on slave or passthrough interface!
add comment=defconf interface=sfp1
/ip dhcp-server
add address-pool=default-dhcp interface=*A lease-time=10m name=defconf
/ip dhcp-server network
add address=192.168.1.0/24 gateway=192.168.1.1
add address=192.168.5.0/24 dns-server=192.168.15.11,192.168.15.3 gateway=192.168.5.1 netmask=24
add address=192.168.10.0/24 dns-server=192.168.15.11,192.168.15.3 gateway=192.168.10.1 netmask=24
add address=192.168.15.0/24 dns-server=192.168.15.11,192.168.15.3 gateway=192.168.15.1 netmask=24
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 gateway=192.168.88.1
add address=192.168.100.0/24 dns-server=9.9.9.9,1.1.1.1 gateway=192.168.100.1 netmask=24
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan type=A
/ip firewall filter
add action=drop chain=input dst-address=0.0.0.0/0 log=yes src-address=218.92.0.173
add action=drop chain=input comment="Drop Traffic" dst-port=22,23 log=yes protocol=tcp src-address-list=ssh_blacklist
add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=\
22,23 log=yes protocol=tcp src-address-list=ssh_stage3
add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=22,23 \
log=yes protocol=tcp src-address-list=ssh_stage2
add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m chain=input connection-state=new dst-port=22,23 \
log=yes protocol=tcp src-address-list=ssh_stage1
add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m chain=input connection-state=new dst-port=22,23 \
log=yes protocol=tcp
add action=drop chain=input dst-port=21 log=yes protocol=tcp src-address-list=ftp_blacklist
add action=drop chain=forward in-interface="Vlan 100" out-interface=all-vlan
add action=accept chain=output content="530 Login incorrect" dst-limit=1/1m,9,dst-address/1m log=yes protocol=tcp
add action=add-dst-to-address-list address-list=ftp_blacklist address-list-timeout=3h chain=output content="530 Login incorrect" log=\
yes protocol=tcp
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=\
established,related,new,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid log=yes
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new \
in-interface-list=WAN log=yes
/ip firewall mangle
add action=change-mss chain=forward comment="Change MSS for PPPoE out - for testing" disabled=yes new-mss=1428 out-interface=PPPoE \
protocol=tcp tcp-flags=syn tcp-mss=1429-65535
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN
/ip ipsec profile
set [ find default=yes ] dpd-interval=2m dpd-maximum-failures=5
/ip service
set api-ssl disabled=yes
/ip smb shares
set [ find default=yes ] directory=/pub
/ip traffic-flow
set interfaces=Vlan5
/ip upnp
set show-dummy-rule=no
/ipv6 dhcp-client
add add-default-route=yes interface=PPPoE pool-name=dhcpv6 pool-prefix-length=48 request=prefix use-peer-dns=no
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid log=yes
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=33434-33534 protocol=udp
add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=\
fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN log=yes
add action=fasttrack-connection chain=forward connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid log=yes
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6 log=yes
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 log=yes protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment="Drop guest" in-interface="Vlan 100" log=yes out-interface=all-vlan
add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN log=yes
/ipv6 nd
set [ find default=yes ] dns=2a10:3781:4570:9:3e0a:bfc7:af47:3370
/system clock
set time-zone-name=Europe/Amsterdam
/system identity
set name=thuisnetwerk
/system routerboard settings
set enter-setup-on=delete-key
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
/tool romon
set enabled=yes
DANKJEWEL, goed begin !
Heb je je probleem inmiddels weten op te lossen? Op mijn RB5009 (RouterOS 7.19.2) hebt ik het als volgt opgelost:
/ipv6 firewall mangle
add action=change-mss chain=forward new-mss=clamp-to-pmtu passthrough=yes protocol=tcp tcp-flags=syn
Dit blijkt een algemeen probleem te zijn met MikroTik en IPv6. De oplossing is er in diverse varianten. Gek genoeg maakt ze geen deel uit van de standaard IPv6 configuratie.
Hé, apart. Ik kreeg pas bij de reply van @Roger een mailtje, terwijl ik eerder gequote ben.
Nou ja, meteen naar deze laatste oplossing gesprongen en die lijkt het te doen. Ook als ik mijn v6 blokkades op TransIP en NotuBiz uitzet, blijft het met de nieuwe mangle-regel werken.
Ik durf dus nu geen antwoord te geven op @arien . Misschien dat ik daar vandeweek nog even naar ga kijken als ik daar de tijd voor heb, zonder de connectiviteit van mijn pubers potentieel in gevaar te brengen 
Het installeren is nog even puzzelen, heb een LEOX LXT-010S-H maar wat kloon ik nu waar? Ik begrijp dat de Huawei EchoLife EG8242H achterop een 16-cijferig PON nummer heeft maar moet ik dat voor de LEOX omzetten naar 12-cijferig (dus HWTCxxxxxxxx zoals hier uitgelegd)?
Volgens deze tutorial moet ik ook het VENDOR_ID en het OMCC versie aanpassen. Weet iemand welke versie voor ODF werkt?
Voor de luisteraars:
Dan werkt alles meteen. Qua snelheid geen verschil met de ONT, latency met LEOX SFP is 1 ms lager. En een opgeruimte kast
De LEOX zit bij mij in een Mikrotik Hex S refresh (2025). Die trekt met gemak zo’n 900 Mbit, de CPU zit dan op 40%.
Bedankt voor de info @pointless_I. Ik was benieuwd of iemand kan bevestigen dat hij / zij dit trucje (clone van GPONID) ook van Fritz 5530 naar LEOX sfp heeft gedaan en werkend heeft. volgens Installatiepakket glasvezel - 160 van WoSp gaat het bij de fritz om het modemID wat in de vorm AVMG1A2B3C4D is.
Vraag is nu:
Kleine opmerking, in de foto bij How to configure a Leox GPON ONT module on a Mikrotik router zoals eerder aangehaald, staat een LEOX sfp in een Mikrotik, met de verkeerde connector. De LEOX heeft een blauwe indicatiestreep, (SC/UPC) en en zit een groene (SC/APC) connector in.
Rudi
Inmiddels werkt alles hier stabiel met IPv4 en IPv6 op een Hex S (nieuwe 2025 model) met een LEOX LXT-010S-H SFP op Open Dutch Fiber (Fiber Operator). Laatste versie van RouterOS, geen aanpassingen aan de firewall, alleen internet. Geen MSS-clamping, ping tests laten zien dat er geen fragmentatie plaatsvindt. Config hieronder, feedback altijd welkom.
# 2025-09-11 11:18:17 by RouterOS 7.19.4
# model = E60iUGS
/interface bridge
add admin-mac=04:F4:1C:28:E4:02 auto-mac=no comment=defconf igmp-snooping=yes \
name=bridge
/interface ethernet
set [ find default-name=ether1 ] l2mtu=1596
set [ find default-name=sfp1 ] mtu=1508
/interface vlan
add interface=sfp1 mtu=1508 name=VLAN6 vlan-id=6
/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=VLAN6 \
keepalive-timeout=disabled name=pppoe-out1 use-peer-dns=yes user=\
fake@freedom.nl
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/ip pool
add name=home-dhcp ranges=192.168.45.51-192.168.45.254
/ip dhcp-server
add address-pool=home-dhcp interface=bridge name=defconf
/disk settings
set auto-media-interface=bridge auto-media-sharing=yes auto-smb-sharing=yes
/interface bridge port
add bridge=bridge interface=ether1
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=pppoe-out1 list=WAN
/ip address
add address=192.168.45.1/24 interface=bridge network=192.168.45.0
/ip dhcp-server network
add address=192.168.45.0/24 comment=defconf gateway=192.168.45.1
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan type=A
/ip firewall filter
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
"defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related hw-offload=yes
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
ipsec-policy=out,none out-interface-list=WAN
/ipv6 address
add from-pool=freedom-ipv6pool interface=bridge
/ipv6 dhcp-client
add add-default-route=yes interface=pppoe-out1 pool-name=freedom-ipv6pool \
request=prefix
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
/ipv6 firewall filter
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=\
icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" \
dst-port=33434-33534 protocol=udp
add action=accept chain=input comment=\
"defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=\
udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 \
protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=\
ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=\
ipsec-esp
add action=accept chain=input comment=\
"defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment=\
"defconf: drop everything else not coming from LAN" in-interface-list=\
!LAN
add action=fasttrack-connection chain=forward comment="defconf: fasttrack6" \
connection-state=established,related
add action=accept chain=forward comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment=\
"defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" \
hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=\
icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=\
500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=\
ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=\
ipsec-esp
add action=accept chain=forward comment=\
"defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment=\
"defconf: drop everything else not coming from LAN" in-interface-list=\
!LAN
/system clock
set time-zone-name=Europe/Amsterdam
/system ntp client
set enabled=yes
/system ntp server
set enabled=yes
/system ntp client servers
add address=ntp.time.nl
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
Ik wil mijn FirtzBox 5530 fiber vervangen door een Mikrotik 5009. Van de week een goedkope, ca 40 euro, SFP ontvangen via Ali (een ODI, model DFP-34X-2C2). Op Tweakers heeft iemand deze module aan de praat gekregen: [Freedom] Ervaringen & Discussie
In bridge mode kan ik de webinerface via de MikroTik benaderen en configureren. Maar voordat ik hem aan de glasvezel wil hangen wil ik zeker weten of de configuratie klopt. Het GPON serienummer van de FritzBox heb ik gecloned. So far so good.
@RudiVD stelt de, terechte, vragen of de Vendor-ID en OMCC aangepast moeten worden. Heeft iemand hier een antwood op? Zijn er nog verdere settings die ik over het hoofd zie? De belichter bij mij is Fiber Operator. Ik neem alleen internet af. Geen TV.