RouterOS Assistant — Bedienungsanleitung

Diese Anleitung beschreibt ausschließlich Funktionen, die live gegen echte MikroTik-Hardware getestet und bestätigt sind (Meilensteine mit ✅ in README.md). Funktionen, die noch nicht vollständig verifiziert sind (z.B. Teile der WLAN-Einrichtung, der neue wifiwave2-Treiber), sind hier als solche markiert oder stehen in HANDOFF.md.

Hinweis zu den Abbildungen: Diese Anleitung wird von einem KI-Assistenten gepflegt, der keinen Zugriff auf Bildschirm-/UI-Automatisierung für native macOS-Apps hat — echte Screenshots der App können deshalb nicht erzeugt werden. Zur Visualisierung dienen stattdessen Mermaid-Diagramme (als vorgerenderte Bilder in Manual-assets/ eingebettet, aus derselben Quelldatei auch direkt als Mermaid-Code lesbar). Wer echte Screenshots ergänzen möchte: Bilder unter Manual-assets/ ablegen und per ![Beschreibung](Manual-assets/dateiname.png) einbinden.

Alle Feldnamen, Hilfetexte und Warnhinweise in Kapitel 5 (Experte) sind wörtlich aus dem App-Quellcode übernommen (RouterOSSchemaCatalog.swift, automatisiert extrahiert) — nicht paraphrasiert, damit sie exakt dem entsprechen, was in der App tatsächlich angezeigt wird.

Inhaltsverzeichnis

0. Überblick & Architektur
1. Verbinden
2. Einrichten (Wizard)
3. Übersicht
4. LAN-Scanner
5. Experte
6. Sicherungen
7. Einstellungen

0. Überblick & Architektur

RouterOS Assistant ist eine native macOS-App (SwiftUI), die MikroTik-RouterOS-Router per geführtem Wizard einrichtet und über sechs Tabs verwaltet: Verbinden, Einrichten, Übersicht, LAN-Scanner, Experte, Sicherungen.

Die App spricht mit dem Router über zwei Transportwege:

• REST-API (/rest/..., HTTPS) — bevorzugt, seit RouterOS 7.1.
• SSH — Fallback, sowie zwingend für Funktionen, die es nur über die Kommandozeile gibt (automatisches Backup vor Änderungen, Firmware-Update, Software-Update-Check).

Welcher Weg genutzt wird, entscheidet die App automatisch — ohne Konfiguration.

Ein DE/EN-Umschalt-Button (Landesflagge) in der Toolbar wechselt die Sprache der App (persistiert über Neustarts). Alle sechs Tabs sind vollständig übersetzt (statische UI-Texte, Buttons, Tooltips). Werte, die direkt vom Router kommen (Fehlermeldungen, CLI-Befehlszeilen, Live-Log), bleiben unübersetzt.

1. Verbinden

Verbindungsaufbau

Ein Augen-Symbol neben dem Passwortfeld deckt die Eingabe zur Kontrolle auf.

Vertrauensprüfung (Trust-on-First-Use)

Beim ersten Verbinden zu einem Router zeigt die App einen Dialog „Der Router hat sich mit einem unbekannten Zertifikat gemeldet“ (REST) bzw. „...mit einem unbekannten SSH-Schlüssel gemeldet“ (SSH) — einmalig zu bestätigen über „Vertrauen und verbinden“ (oder „Abbrechen“). Das schützt vor einem ausgetauschten/gefälschten Gerät unter derselben IP-Adresse.

Bei einer REST-Verbindung können beide Dialoge nacheinander erscheinen: den SSH-Host-Schlüssel prüft die App auch dann einmalig im Hintergrund, weil Backup, Update-Check und Firmware-Update immer SSH brauchen — unabhängig vom für die eigentliche Konfiguration genutzten Verbindungsweg.

Nach dem Verbinden

• Detailseite mit vollständigen Routerboard-Infos (Modell, Revision, Seriennummer, Firmware-Typ/-Version).
• Software-Update-Check: „Prüft bei MikroTik, ob eine neuere RouterOS-Version verfügbar ist. Braucht Internetzugang auf dem Router.“ Buttons „Jetzt prüfen“ / „Update installieren“.
• Firmware-Update: aktualisiert die Routerboard-Bootloader-Firmware separat. „Nötig, damit die neu geschriebene Firmware aktiv wird — passiert nicht automatisch“ → Button „Jetzt neu starten“.
• Quick-Backup-Button direkt im Tab: „Sichert die aktuelle Router-Konfiguration — sinnvoll direkt nach dem Verbinden, bevor du im Einrichten-Tab etwas änderst.“
• „Trennen“: „Beendet die Verbindung zum Router. Zugangsdaten bleiben erhalten (falls gemerkt).“

Bekannte Router

Nach jeder erfolgreichen Verbindung merkt sich die App Host, Benutzername und (falls vom Router gemeldet) Seriennummer. Zwei unterschiedliche Router mit identischem Host+Benutzername (z.B. beide auf MikroTiks Werks-Adresse 192.168.88.1/admin) bleiben dadurch getrennte Einträge, erkennbar an der „SN: …“-Zeile; das gemerkte Passwort wird pro Gerät getrennt im macOS-Schlüsselbund gespeichert. Der Anzeigename wird beim ersten Mal automatisch auf die Hardware-Bezeichnung gesetzt (z.B. „hEX“), lässt sich aber jederzeit über „Bearbeiten“ ändern — dort auch ein freies Standort-Feld (z.B. „Keller, Serverschrank“) zur besseren Unterscheidung mehrerer Router. Klick auf einen Eintrag füllt Host/Benutzername/Passwort ins Formular, ohne sofort zu verbinden. Ab ca. 4 Einträgen scrollt die Liste in sich selbst.

Live-Traffic-Anzeige

Der Punkt vor jedem Interface in der Geräte-Übersicht ist grau (kein Link), grün (Link, aber kein Datenverkehr) oder pulsierend grün (überträgt gerade tatsächlich Daten).

Automatisches Wiederverbinden

Fällt die Verbindung während einer aktiven Sitzung weg (Router-Neustart, Kabel/WLAN kurz unterbrochen), versucht die App selbständig, sie wiederherzustellen — alle 10 Sekunden ein Herzschlag-Test, bei Ausfall alle 5 Sekunden ein neuer Verbindungsversuch (REST zuerst, dann SSH), unbegrenzt bis zum Erfolg oder bis „Trennen“ geklickt wird. Ein oranger Hinweis mit Spinner erscheint währenddessen im Verbinden-Tab, inkl. Versuchszähler und Countdown bis zum nächsten Versuch. Andere Tabs bleiben während eines kurzen Aussetzers nutzbar, statt sofort auf „Nicht verbunden“ umzuspringen.

2. Einrichten (Wizard)

Geführter Schritt-für-Schritt-Assistent für die Grundkonfiguration. Ein Modus-Schalter zu Beginn wählt zwischen:

• Einfach: „Grundeinrichtung: Internetverbindung (WAN), ein Heimnetzwerk (LAN) mit DHCP, WLAN und ein fest aktivierter Firewall-Grundschutz. Kein VLAN, keine mehreren getrennten Netzwerke, keine Netzwerk-Isolation — für später jederzeit über den Expertenmodus nachrüstbar.“
• Experte: „Voller Zugriff: mehrere LAN-Interfaces mit je eigenem DHCP-Server, VLANs, Netzwerk-Isolation zwischen Netzwerken, und alle Firewall-Optionen.“

WAN (Internetanschluss)

LAN (ein oder mehrere Netzwerke)

Im Experte-Modus lassen sich mehrere physische Ports/Interfaces als getrennte Netzwerke einrichten (Button „Weiteres LAN-Netzwerk hinzufügen“), jeweils mit eigenem Adressbereich und optionaler Netzwerk-Isolation. Adressfelder starten leer — das Feld selbst zeigt ein Beispielformat, das beim Tippen verschwindet.

Port-Konflikt-Prüfung: wählt der Nutzer einen Port, der bereits anders konfiguriert ist, erscheint eine Warnung mit dem Grund und der Option „Port jetzt freimachen…“ — „Wähle oben einen anderen, freien Port — oder mache diesen jetzt frei. Die bestehende Konfiguration wird dabei entfernt.“ Tatsächlich ausgeführt wird das erst mit „Jetzt anwenden“ am Ende des Assistenten — bis dahin lässt es sich rückgängig machen, indem oben ein anderer Port gewählt wird.

VLAN (optional)

„Ein VLAN ist ein zusätzliches Netzwerk mit eigenem Adressbereich — z.B. für Gäste oder smarte Geräte. Ob es vom Hauptnetzwerk abgeschottet ist, legst du unten pro Netzwerk über ‚Von anderen Netzwerken isolieren‘ fest. Wenn du unsicher bist, ob du das brauchst, überspring diesen Schritt einfach.“

WLAN (nur falls erkannt)

„An diesem Gerät wurde kein WLAN erkannt. Dieser Schritt wird übersprungen.“ — sonst: „Schaltet WLAN auf diesem Funkmodul ein und vergibt Netzwerkname und Passwort.“

Firewall-Grundschutz

„Schützt deinen Router und deine Geräte vor unaufgeforderten Zugriffen aus dem Internet und ermöglicht deinen Geräten den Internetzugriff (NAT).“ Im einfachen Modus immer aktiv; im Experte-Modus wählbar: „Richtet einen Standard-Schutz ein: Internetfreigabe (NAT) für dein Heimnetz, und blockiert unaufgeforderte Zugriffe aus dem Internet auf deinen Router und deine Geräte. Bestehende, selbst eingerichtete Regeln bleiben erhalten — die neuen Regeln werden vorangestellt.“

Hat der Router bereits eigene Firewall-Regeln, warnt die App zusätzlich: „Dein Router hat bereits eigene Firewall-Regeln. Die neuen Regeln werden vorangestellt, bestehende bleiben erhalten — prüfe nach dem Anwenden trotzdem die Reihenfolge, z.B. über Winbox oder ‚/ip firewall filter print‘.“

Review / Apply

„Vor dem Anwenden wird automatisch eine Sicherung der aktuellen Konfiguration erstellt (Tab ‚Sicherungen‘). Ein garantiertes automatisches Zurückrollen bei Verbindungsabbruch gibt es nicht — bei Problemen die Sicherung im Tab ‚Sicherungen‘ verwenden oder den Router lokal (Ethernet/Konsole) wiederherstellen.“ Jeder einzelne Befehl wird vor der Ausführung angezeigt.

Der Wizard lässt sich auf einem bereits eingerichteten Router erneut ausführen (z.B. um ein weiteres Netzwerk hinzuzufügen) — bereits bestehende Einstellungen werden dabei nicht doppelt angelegt oder beschädigt. „Abbrechen“ ist jederzeit über den Button oben rechts verfügbar (Einfach- wie Experte-Modus): „Alle in diesem Assistenten eingegebenen Werte gehen verloren“ — Bestätigungsdialog, setzt den Assistenten auf den ersten Schritt zurück.

3. Übersicht

Grafisches Diagramm des kompletten aktuellen Router-Zustands (IST-Zustand) — fünf Spalten, mit echten Verbindungslinien (keine Vermutungen, abgeleitet aus den tatsächlichen RouterOS-Referenzfeldern):

Nicht im Diagramm (aber über den Experte-Tab erreichbar): VPN: PPP-Benutzer/-Profile, WLAN-Sicherheitsprofile, Queues/Bandbreiten-Steuerung, System (Name/Uhrzeit/Scheduler/Skripte/Benutzerkonten), Werkzeuge (Netwatch/E-Mail), Firewall: Mangle- und Raw-Regeln.

Verbindungsarten (Linienfarben)

Interaktion

• Hover über einen Knoten hebt seine Verbindungen hervor; Klick macht die Hervorhebung dauerhaft und öffnet gleichzeitig den Fokus-Modus.
• Klick auf eine Verbindungslinie zeigt rechts eine verständliche Erklärung, was diese Verbindung bedeutet, plus Sprung zu den beiden verbundenen Elementen.
• Zoom-Buttons (−/100%/+) für die Diagrammgröße; Kästchen lassen sich frei verschieben (Verbindungslinien folgen live mit), „Zurücksetzen“ in der Toolbar stellt die ursprüngliche Spalten-Anordnung wieder her.
• Verbindungslinien laufen animiert in Flussrichtung („von → nach“).
• Aktualisiert sich automatisch, sobald in den Tab gewechselt wird.

Fokus-Modus

Klick auf einen Knoten öffnet ein schwebendes Popup mit der kompletten verbundenen Kette (alle direkt und indirekt verbundenen Elemente, transitive Hülle) im selben Spalten-Layout wie oben, sauber neu angeordnet; alles andere im Hauptdiagramm wird abgedunkelt. Schließen über den X-Button oben im Popup, Klick auf die leere Fläche daneben, oder erneuten Klick auf denselben Knoten. Da es sich um ein nicht-modales Overlay handelt (kein System-Sheet), bleibt die rechte Seitenleiste währenddessen bedienbar — ein Knoten aus der Kette lässt sich also direkt aus dem Popup heraus über „Bearbeiten“ ändern. Die Popup-Größe passt sich automatisch dem Inhalt an, ohne Scrollbalken.

Direktes Bearbeiten

IP-Adressen, Pools, DHCP-Server/-Netzwerke/-Clients, Routen, Firewall-Filter-/NAT-Regeln, WireGuard-Peers und Interfaces (Ethernet, Bridge, WLAN, VLAN, WireGuard) lassen sich anklicken und über „Bearbeiten“ direkt ändern — schreibt sofort an den Router zurück. Adress-Listen-Knoten sind hier noch nicht direkt editierbar, nur über den Experte-Tab, da ein Knoten dort mehrere Einträge zusammenfasst. Dynamische/ automatisch angelegte Routen (z.B. die Verbindungsroute eines Netzwerks) zeigen bewusst keinen Bearbeiten-Button, da RouterOS solche Einträge selbst verwaltet.

4. LAN-Scanner

Zeigt alle Geräte im Netzwerk (aus DHCP-Leases und ARP-Tabelle), gruppiert nach physischem Port. „Neu scannen“ fragt Leases/ARP/ Bridge-Host-Tabelle erneut ab. Jede Port-Überschrift zeigt zusätzlich den aktuellen Live-Durchsatz in MB/s (↓/↑, grünes Symbol bei aktivem Datenverkehr, graues im Leerlauf, Abfrage alle 0,1s) mit kleinem Liniendiagramm der letzten 30 Sekunden. Spalten: Name, IP-Adresse, MAC-Adresse, Status.

Alle Aktionen zu einem Gerät liegen im „Aktionen“-Button (•••) hinter der jeweiligen Zeile:

• Bei dynamischer Adresse → „Feste IP zuweisen“ (macht die aktuelle Adresse dauerhaft, RouterOS' „Make Static“). Rückweg: „Aktionen“ → „Feste Zuweisung entfernen“ — danach muss das Gerät kurz die Verbindung trennen/neu aufbauen, um automatisch wieder eine dynamische Adresse zu bekommen. Ohne DHCP-Lease ist die Option ausgegraut: „Kein DHCP-Lease — feste Zuweisung hier nicht möglich“.
• Bei fester Adresse → „Feste Zuweisung entfernen“.
• Netzwerk-Tools (im selben Menü):
  • Ping / Traceroute — „Ausgeführt vom Router aus (eigene SSH-Verbindung) — testet die Erreichbarkeit vom Router zu diesem Gerät, nicht von diesem Mac.“
  • DNS-Auflösung (nslookup) — nur verfügbar, wenn ein Hostname bekannt ist.
  • Port-Scan — „TCP-Verbindungsversuch auf gängige Ports, ausgeführt von diesem Mac aus (nicht vom Router) — rot = offen, grün = geschlossen (Gerät antwortet, aber nichts lauscht dort), grau = keine Antwort (Firewall, Gerät aus, oder Port gefiltert).“
  • Rohdaten anzeigen — „Alle Felder, die RouterOS für diesen Eintrag zurückgegeben hat — hilfreich, falls Status/Port hier falsch aussieht.“

Alle drei Ergebnis-Popups (Rohdaten, Netzwerk-Test, Port-Scan) teilen dasselbe Layout: fester Kopfbereich mit Titel + X-Button zum Schließen, darunter der scrollbare Inhalt — derselbe Aufbau wie beim Fokus-Popup der Übersicht und beim Experte-Bearbeiten-Formular (siehe Kapitel 3 und 5).

5. Experte

Direkter, kuratierter Zugriff auf die meisten RouterOS-Bereiche. Für jedes Feld gibt es einen Hilfetext mit Format-Beispiel. Kategorien sind einklappbar (Standard: zugeklappt) — Klick auf die größere, farblich hinterlegte Überschrift klappt sie auf/zu.

Eigener Menüpfad: jeder RouterOS-Menüpfad ist erreichbar, auch ohne kuratiertes Formular — Felder erscheinen dann generisch als Schlüssel/Wert-Paare. Auch bei kuratierten Menüs landet jedes von RouterOS zusätzlich gelieferte, nicht kuratierte Feld automatisch im Bereich „Weitere Parameter (frei)“ — nichts, was RouterOS unterstützt, ist dadurch unerreichbar, auch wenn es (noch) kein eigenes Formularfeld hat.

Vor jeder Änderung: Bestätigungsdialog mit dem exakten Befehl, der ausgeführt wird. Automatisches Backup einmal pro Verbindungssitzung vor der ersten Änderung.

Das Bearbeiten-Formular selbst hat denselben festen Kopfbereich (Titel + X-Button, bleibt beim Scrollen sichtbar) wie das Fokus-Popup der Übersicht und die Ergebnis-Popups des LAN-Scanners — ein einheitliches Schließen-Verhalten in der ganzen App.

Die folgende Referenz ist automatisiert aus RouterOSSchemaCatalog.swift extrahiert — Feldname, RouterOS-Parametername, Feldtyp, Pflicht-Status, Vorbelegung und Hilfetext entsprechen exakt dem, was in der App angezeigt wird. „Verweis auf bestehenden Eintrag“ bedeutet: die App lädt beim Öffnen live die existierenden Namen aus dem referenzierten Menü und zeigt sie als Auswahlliste. „Auswahl aus Live-Interface-Liste“ lädt beim Öffnen die aktuell am Router vorhandenen Interfaces.

System

Router-Name (Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)

RouterOS-Menü: /system identity · REST-Pfad: system/identity

Der Name, unter dem sich der Router meldet (z.B. in Winbox/Terminal-Prompt).

Uhrzeit/Zeitzone (Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)

RouterOS-Menü: /system clock · REST-Pfad: system/clock

Mode-Taste (Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)

RouterOS-Menü: /system routerboard mode-button · REST-Pfad: system/routerboard/mode-button

Steuert, welches Skript beim Drücken der physischen Mode-Taste am Router ausgeführt wird.

Manche RouterBOARD-Geräte (z.B. hEX, cAP, hAP ac², LtAP mini, einige CCR/CRS) haben eine physische Mode-Taste an der Seite. Hier lässt sich festlegen, ob und wie lange sie gedrückt werden muss, damit ein zuvor unter "Skripte" angelegtes Skript ausgeführt wird.

⚠️ Achtung: Ab RouterOS 7.1rc4 muss jede Aktivierung oder Änderung dieser Einstellung zusätzlich durch einen physischen Tastendruck (Reset- oder Mode-Taste) innerhalb von 60 Sekunden am Gerät selbst bestätigt werden — eine Änderung über diese App allein reicht nicht.

Zeitserver (NTP) (Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)

RouterOS-Menü: /system ntp client · REST-Pfad: system/ntp/client

Hält die Router-Uhr über einen Zeitserver synchron.

Die Server-Liste selbst liegt in einem eigenen Menü ("NTP-Zeitserver-Liste") — hier nur Ein/Aus und Modus.

⚠️ Achtung: Falsche Systemzeit kann Zertifikatsprüfungen (HTTPS/REST) und Log-Zeitstempel durcheinanderbringen.

NTP-Zeitserver-Liste

RouterOS-Menü: /system ntp client servers · REST-Pfad: system/ntp/client/servers

Die Zeitserver, die der Client abfragt.

"servers" ist bei RouterOS 7.x kein Feld am NTP-Client selbst, sondern eine eigene Liste — jeder Server ist ein eigener Eintrag hier (statt kommagetrennt in einem Textfeld).

Zeitplaner

RouterOS-Menü: /system scheduler · REST-Pfad: system/scheduler

Führt ein hinterlegtes Skript zu festen Zeiten/Intervallen aus.

⚠️ Achtung: Ein fehlerhaftes geplantes Skript kann unbeaufsichtigt wiederholt Änderungen vornehmen — vor dem Einplanen einmal manuell testen.

Skripte

RouterOS-Menü: /system script · REST-Pfad: system/script

Gespeicherte RouterOS-Befehlsfolgen, die manuell oder per Scheduler ausgeführt werden.

⚠️ Achtung: Skripte laufen mit den Rechten des Routers selbst — kein Unterschied zu manuell eingegebenen Befehlen.

Benutzerkonten

RouterOS-Menü: /user · REST-Pfad: user

Zugangskonten für den Router (Winbox/SSH/REST/Terminal).

⚠️ Achtung: Das zum Verbinden genutzte eigene Konto hier nicht versehentlich löschen oder herabstufen.

Protokollierung

RouterOS-Menü: /system logging · REST-Pfad: system/logging

Was der Router mitschreibt und wohin (Speicher, Datei, Remote-Syslog, E-Mail).

Besteht aus "rules" (was protokolliert wird) und "actions" (wohin) — hier generischer Zugriff, verwandte Teile über "Eigener Menüpfad" (z.B. "/system logging action").

Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).

Interfaces (Bridge, VLAN, VPN-Tunnel...)

Alle Interfaces (generisch)

RouterOS-Menü: /interface · REST-Pfad: interface

Gemeinsame Felder, die für jedes Interface gelten, unabhängig vom Typ (Ethernet, Bridge, WLAN, WireGuard, VLAN, ...).

RouterOS listet hier alle Interfaces zusammen. Typ-spezifische Felder (z.B. die VLAN-ID eines VLAN-Interfaces) liegen in den jeweils eigenen Menüs (z.B. "VLAN-Interfaces") — hier nur das, was für jeden Interface-Typ gleich funktioniert.

⚠️ Achtung: RouterOS liefert hier zusätzlich einen "default-name" (Werksname des Ports) mit — der erscheint unten bei "Weitere Parameter", ist aber nicht änderbar ("bad parameter default-name", live bestätigt). Zum Umbenennen nur das Feld "Name" oben verwenden.

Bridge

RouterOS-Menü: /interface bridge · REST-Pfad: interface/bridge

Fasst mehrere physische Ports zu einem gemeinsamen Layer-2-Netzwerk zusammen.

Geräte an gebrückten Ports verhalten sich, als hingen sie am selben Netzwerk-Kabel. Eine IP-Adresse wird meist auf die Bridge selbst gelegt, nicht auf die einzelnen Ports.

Bridge-Ports

RouterOS-Menü: /interface bridge port · REST-Pfad: interface/bridge/port

Ordnet einen physischen Port einer Bridge zu.

Erst danach ist der Port Teil des Bridge-Netzwerks.

VLAN-Interfaces

RouterOS-Menü: /interface vlan · REST-Pfad: interface/vlan

Virtuelle, getaggte Sub-Interfaces auf einem physischen Port oder einer Bridge.

Ein eigenes logisches Netzwerk auf demselben Kabel, unterschieden durch eine VLAN-Kennung im Ethernet-Rahmen.

WireGuard-Interfaces

RouterOS-Menü: /interface wireguard · REST-Pfad: interface/wireguard

Moderner, schlanker VPN-Tunnel-Typ.

Ein WireGuard-Interface allein stellt noch keine Verbindung her — dazu gehören Gegenstellen (siehe "WireGuard-Peers") mit öffentlichem Schlüssel und erlaubten Adressen.

⚠️ Achtung: Erst hier das Interface anlegen (mit Listen-Port), danach unter WireGuard-Peers die Gegenstellen eintragen. Der private Schlüssel wird beim Anlegen automatisch erzeugt, falls nicht angegeben.

WireGuard-Peers

RouterOS-Menü: /interface wireguard peers · REST-Pfad: interface/wireguard/peers

Gegenstellen (Clients/andere Router) eines WireGuard-Tunnels.

Jede Gegenstelle braucht ihren eigenen öffentlichen Schlüssel und eine Angabe, welche Adressen über sie geroutet werden.

PPPoE-Client

RouterOS-Menü: /interface pppoe-client · REST-Pfad: interface/pppoe-client

DSL-Einwahl-Client, meist auf dem WAN-Port.

Ersetzt eine feste/DHCP-WAN-Adresse durch eine PPPoE-Einwahl beim Provider.

Bonding

RouterOS-Menü: /interface bonding · REST-Pfad: interface/bonding

Bündelt mehrere physische Ports zu einer logischen, ausfalltoleranten/schnelleren Verbindung.

IP-Adressierung & Dienste

IP-Adressen

RouterOS-Menü: /ip address · REST-Pfad: ip/address

Weist Interfaces IP-Adressen zu.

Jede IP-Adresse hängt an genau einem Interface (physischer Port, Bridge oder VLAN).

Adress-Pools

RouterOS-Menü: /ip pool · REST-Pfad: ip/pool

Adressbereiche, aus denen DHCP-Server oder PPP-Profile Adressen vergeben.

DHCP-Server

RouterOS-Menü: /ip dhcp-server · REST-Pfad: ip/dhcp-server

Vergibt automatisch IP-Adressen an Geräte in einem Netzwerk.

Für die üblichen Fälle deckt das bereits der Einrichten-Assistent (LAN-/VLAN-Schritt) ab — hier direkter Zugriff für Sonderfälle.

DHCP-Netzwerke

RouterOS-Menü: /ip dhcp-server network · REST-Pfad: ip/dhcp-server/network

Gateway/DNS/Optionen, die ein DHCP-Server an seine Klienten verteilt.

Getrennt vom DHCP-Server selbst, weil dieselben Netzwerk-Optionen für mehrere DHCP-Server gelten können.

DHCP-Client (WAN)

RouterOS-Menü: /ip dhcp-client · REST-Pfad: ip/dhcp-client

Bezieht automatisch eine IP-Adresse vom Internetanbieter.

DNS-Einstellungen (Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)

RouterOS-Menü: /ip dns · REST-Pfad: ip/dns

Namensauflösung des Routers selbst (und optional als DNS-Server fürs LAN).

Verwaltungsdienste

RouterOS-Menü: /ip service · REST-Pfad: ip/service

Schaltet Zugriffswege auf den Router (Winbox, API, SSH, WWW/REST, Telnet, FTP) an/aus und ändert deren Port.

Jeder aktive Dienst ist ein potenzieller Angriffspunkt aus dem jeweils erreichbaren Netz — nicht benötigte Dienste deaktivieren.

⚠️ Achtung: Den gerade genutzten Zugriffsweg hier abzuschalten oder umzuportieren kann die eigene Verbindung sofort kappen — Vorsicht bei www-ssl (REST-API dieser App) und ssh.

Hotspot

RouterOS-Menü: /ip hotspot · REST-Pfad: ip/hotspot

Login-Portal für Gäste-WLAN/-LAN mit Umleitung auf eine Anmeldeseite.

Besteht aus mehreren zusammenhängenden Teilen (Server, Server-Profil, Benutzer-Profil, Benutzer) — hier generischer Zugriff auf "/ip hotspot" selbst, verwandte Teile über "Eigener Menüpfad" (z.B. "/ip hotspot user").

Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).

Routing

Statische Routen

RouterOS-Menü: /ip route · REST-Pfad: ip/route

Feste, manuell eingetragene Wegewahl zu Netzen, die nicht direkt angeschlossen sind.

Für alles außer "Standard-Internet über eine WAN-Schnittstelle" (das übernimmt bereits die DHCP-Client-/PPPoE-Route automatisch).

OSPF-Instanzen

RouterOS-Menü: /routing ospf instance · REST-Pfad: routing/ospf/instance

Dynamisches Innennetz-Routing-Protokoll — tauscht Routen automatisch mit anderen OSPF-Routern aus.

Nur relevant, wenn mehrere Router im selben Netz eigenständig Routen lernen sollen.

⚠️ Achtung: Fehlkonfiguriertes OSPF kann Routen zu bestehenden Netzen überschreiben. Nur mit Netzwerkplan einsetzen.

Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).

BGP-Verbindungen

RouterOS-Menü: /routing bgp connection · REST-Pfad: routing/bgp/connection

Routing-Protokoll für Verbindungen zwischen unabhängigen Netzen/Providern.

Für Privat-/Kleinnetz i.d.R. nicht nötig — relevant bei eigenem Provider-unabhängigem Adressraum (Multihoming).

Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).

VPN-Server/Clients

PPP-Benutzer

RouterOS-Menü: /ppp secret · REST-Pfad: ppp/secret

Zugangsdaten für PPPoE-/L2TP-/PPTP-/OpenVPN-Einwahl in den Router.

Jeder Benutzer kann optional einem Profil zugeordnet werden, das IP-Pool/DNS/Verschlüsselung vorgibt.

PPP-Profile

RouterOS-Menü: /ppp profile · REST-Pfad: ppp/profile

Vorlagen (IP-Pool, DNS, Verschlüsselung) für PPP-Benutzer.

L2TP-VPN-Server

RouterOS-Menü: /interface l2tp-server server · REST-Pfad: interface/l2tp-server/server

Nimmt eingehende L2TP-VPN-Einwahlen entgegen.

Ein einzelnes Server-weites An/Aus mit gemeinsamen Verschlüsselungs-Einstellungen — Benutzer selbst kommen von "PPP-Benutzer".

Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).

OpenVPN-Server

RouterOS-Menü: /interface ovpn-server server · REST-Pfad: interface/ovpn-server/server

Nimmt eingehende OpenVPN-Einwahlen entgegen.

Braucht zusätzlich ein Zertifikat ("/certificate") — Benutzer selbst kommen von "PPP-Benutzer".

Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).

WLAN / CAPsMAN

WLAN (Legacy-Treiber)

RouterOS-Menü: /interface wireless · REST-Pfad: interface/wireless

WLAN-Interfaces auf älteren/Standard-Wireless-Chips.

Diese Interfaces existieren bereits ab Werk (ein WLAN-Chip = ein Interface) — hier werden sie nur konfiguriert, nicht neu angelegt. Ein Sicherheitsprofil (siehe "WLAN-Sicherheitsprofile") muss vorher angelegt sein.

WLAN-Sicherheitsprofile

RouterOS-Menü: /interface wireless security-profiles · REST-Pfad: interface/wireless/security-profiles

Verschlüsselung/Passwort-Vorlagen für WLAN-Interfaces (Legacy-Treiber).

Ein Profil wird angelegt und dann bei einem WLAN-Interface als "security-profile" eingetragen.

WLAN (neuer wifiwave2/802.11ax-Treiber)

RouterOS-Menü: /interface wifi · REST-Pfad: interface/wifi

WLAN-Interfaces auf neueren Wireless-Chips.

Anderes, verschachteltes Konfigurationsschema als der Legacy-Treiber (Punkt-Notation wie "security.passphrase") — nicht mit "/interface wireless" mischen. Nur auf Geräten mit entsprechend neuem WLAN-Chip vorhanden.

⚠️ Achtung: Diese App hat den .set-Pfad für den neuen Treiber noch nie gegen echte Hardware getestet (siehe HANDOFF.md) — nach dem Anwenden unbedingt prüfen.

CAPsMAN-Zentrale

RouterOS-Menü: /caps-man manager · REST-Pfad: caps-man/manager

Zentrale Verwaltung mehrerer WLAN-Access-Points von einem Router aus.

Nur relevant mit mehreren WLAN-Access-Points, die zentral verwaltet werden sollen — eigenes, umfangreiches Konfigurationsschema (Konfigurationen/Kanäle/Datapaths).

Noch kein kuratiertes Formular — alle Felder erscheinen als freie Schlüssel/Wert-Paare (siehe „Eigener Menüpfad“).

Firewall: Filter-Regeln

Filter-Regeln

RouterOS-Menü: /ip firewall filter · REST-Pfad: ip/firewall/filter

Entscheidet, ob Pakete durchgelassen (accept), verworfen (drop/reject) oder weiter geprüft werden.

input = Zugriffe auf den Router selbst, forward = Verkehr, der durch den Router hindurchgeht (z.B. LAN↔Internet oder zwischen zwei Netzen), output = vom Router ausgehender Verkehr. Regeln werden von oben nach unten geprüft; die erste passende Regel entscheidet.

⚠️ Achtung: Reihenfolge zählt. Neue Regeln landen am Ende der Liste — eine bereits vorhandene, weiter oben stehende Regel kann eine neue Regel unerreichbar machen. Position danach mit "/ip firewall filter print" kontrollieren, notfalls mit "move" verschieben.

Firewall: NAT (Portweiterleitung etc.)

NAT-Regeln

RouterOS-Menü: /ip firewall nat · REST-Pfad: ip/firewall/nat

Übersetzt Adressen — Internetfreigabe (srcnat/masquerade) und Portweiterleitung (dstnat).

srcnat ändert die Absenderadresse ausgehender Pakete (z.B. private LAN-IP → öffentliche WAN-IP). dstnat ändert die Zieladresse eingehender Pakete (z.B. Anfrage an die WAN-IP auf Port 80 → internen Server auf 192.168.88.10:80 umleiten).

⚠️ Achtung: Eine dstnat-Regel (Portweiterleitung) macht ein internes Gerät direkt aus dem Internet erreichbar — nur für Dienste einrichten, die das wirklich sein sollen, und danach den entsprechenden Port in der Filter-Tabelle nicht blockieren.

Firewall: Mangle (Markierung/QoS-Vorbereitung)

Mangle-Regeln

RouterOS-Menü: /ip firewall mangle · REST-Pfad: ip/firewall/mangle

Markiert Verbindungen/Pakete zur späteren Weiterverarbeitung (z.B. durch Queues).

Mangle selbst verändert nicht, wie ein Paket behandelt wird — es klebt nur eine Markierung darauf. Erst eine andere Regel (typischerweise eine Queue oder eine Routing-Regel), die genau diese Markierung als Bedingung abfragt, wird dadurch wirksam.

⚠️ Achtung: Eine Markierung ohne etwas, das sie auswertet (z.B. keine passende Queue), hat keinerlei sichtbaren Effekt — das ist der häufigste Verwirrungspunkt bei Mangle.

Firewall: Raw (vor Connection-Tracking)

Raw-Regeln

RouterOS-Menü: /ip firewall raw · REST-Pfad: ip/firewall/raw

Läuft vor jeder Connection-Tracking-Verarbeitung — meist zur Entlastung oder für DDoS-Grobfilter.

Regeln hier greifen, bevor RouterOS eine Verbindung überhaupt "kennt" (Connection-Tracking). Damit lässt sich z.B. bekannt uninteressanter Verkehr sehr günstig verwerfen, oder gezielt vom Tracking ausnehmen (notrack).

⚠️ Achtung: notrack nimmt den betroffenen Verkehr aus dem Connection-Tracking heraus — danach greifen dafür keine Filter-/NAT-Regeln mehr, die sich auf connection-state oder NAT verlassen. Nur gezielt einsetzen.

Firewall: Adress-Listen

Adress-Listen

RouterOS-Menü: /ip firewall address-list · REST-Pfad: ip/firewall/address-list

Benannte Gruppen von IP-Adressen/Netzen, die Filter/NAT/Mangle-Regeln als Bedingung referenzieren können.

Statt in jeder Regel einzelne IPs aufzuzählen, legst du hier eine benannte Liste an (z.B. "gesperrt" oder "vertraut") und verweist in Filter-/NAT-/Mangle-Regeln per "src-address-list"/"dst-address-list" darauf. Einträge können dauerhaft oder mit Ablaufzeit (timeout) sein.

Queues / Bandbreiten-Steuerung

Einfache Bandbreiten-Begrenzung

RouterOS-Menü: /queue simple · REST-Pfad: queue/simple

Begrenzt Up-/Download einer IP-Adresse oder eines Netzes.

Reicht für die meisten Heim-/Kleinnetz-Fälle ohne Mangle-Markierungen aus.

Queue-Baum

RouterOS-Menü: /queue tree · REST-Pfad: queue/tree

Erweiterte, hierarchische Bandbreiten-Steuerung basierend auf Mangle-Markierungen.

Statt einer festen Adresse wirkt ein Queue-Baum-Eintrag auf Verkehr mit einer bestimmten Mangle-Markierung.

⚠️ Achtung: Setzt eine passende Mangle-Regel voraus, die genau diese Markierung setzt (siehe Firewall: Mangle) — ohne die greift ein Queue-Baum-Eintrag ins Leere.

Werkzeuge & Überwachung

Netwatch

RouterOS-Menü: /tool netwatch · REST-Pfad: tool/netwatch

Überwacht laufend, ob eine Adresse erreichbar ist, und kann bei Statuswechsel ein Skript auslösen.

E-Mail-Versand (Einstellungsmenü — genau ein Eintrag, kein Anlegen/Löschen)

RouterOS-Menü: /tool e-mail · REST-Pfad: tool/e-mail

Postausgangs-Server, den Scheduler/Netwatch/Skripte für Benachrichtigungen nutzen.

Ein einzelner, geräteweiter Satz Einstellungen — kein Menü mit mehreren Einträgen.

6. Sicherungen

• Jetzt sichern: „Erstelle eine Sicherung, bevor du Änderungen am Router vornimmst.“ Exportiert die aktuelle Konfiguration.
• Speicherort: „Wähle einen eigenen Ordner für neue Sicherungen, z.B. auf einer externen Festplatte oder in iCloud Drive“ / „Standard verwenden“ — „Setzt den Speicherort zurück auf den App-eigenen Standardordner.“
• Wiederherstellen: „Diese Sicherung auf den verbundenen Router zurückspielen — nur für exakt dasselbe Routermodell.“ Lädt das Backup über SFTP hoch und spielt es zurück ein; prüft vorher, ob das Backup zum angeschlossenen Routermodell passt (Schutz vor einem „Brick“ durch falsches Modell), und erhält den aktuellen Login automatisch (Backups enthalten grundsätzlich keine Passwörter).
• Gefahrenzone — Werkseinstellungen wiederherstellen: „Setzt den Router komplett auf die vom Hersteller mitgelieferte Standardkonfiguration zurück — alle bisherigen Änderungen (Internet, Heimnetz, VLANs, WLAN, Firewall) gehen verloren. Der Router startet danach neu.“ Vor dem endgültigen Zurücksetzen: „Dies löscht ALLE bisherigen Einstellungen … Vorher wird zusätzlich automatisch eine Sicherung erstellt.“ Nur für den Notfall gedacht, falls etwas schiefgelaufen ist.

7. Einstellungen

Erreichbar über das App-Menü RouterOS Assistant → Einstellungen… (oder ⌘,) — kein eigener Tab, sondern ein natives macOS-Settings-Fenster mit drei Reitern. Jede Änderung wirkt sofort, ohne Neustart der App.

Allgemein

• Sprache: DE/EN-Umschalter — „Entspricht dem 🇩🇪/🇬🇧-Knopf in der Toolbar — beide steuern dieselbe Einstellung.“
• Beim Verbinden automatisch nach Updates suchen (Standard: aus): „Prüft nach jedem erfolgreichen Verbinden automatisch, ob eine neuere RouterOS-Version verfügbar ist — entspricht dem Button „Nach Updates suchen“ im Tab „Verbinden“.“

Darstellung

• Farbschema: Standard oder Kontrastreich. „Gilt für die Diagrammfarben in der Übersicht und die Status-Farben im LAN-Scanner (Traffic aktiv, Fest/Dynamisch, offener/geschlossener Port).“ Färbt außerdem die Kategorien in der Experte-Tab-Seitenleiste (Firewall, Interfaces, IP-Adressierung, Routing, VPN/WLAN/Queues/System/ Werkzeuge) mit derselben Palette.
• Textgröße: Klein / Standard / Groß / Sehr groß. Gilt für Text überall in der App — mit zwei bewussten Ausnahmen: die Knotenkarten im Übersicht-Diagramm und die Tabellenspalten im LAN-Scanner bleiben fest in ihrer Schriftgröße, da sie feste Kartenbreiten haben und sonst Text abschneiden würden.
• Bedienelemente: Kompakt / Standard / Komfortabel — „Größe von Buttons, Feldern und Abständen in der ganzen App.“

Netzwerk

• Aktualisierungsrate (0,1 s / 0,5 s / 1 s / 3 s): wie oft der LAN-Scanner den Live-Traffic pro Port abfragt. „Höhere Aktualisierungsraten zeigen den Traffic-Verlauf feiner, kosten aber mehr CPU bei vielen gleichzeitig aktiven Ports.“
• Sparkline-Zeitfenster (10 s / 30 s / 60 s) und Sparkline-Breite (100–300pt): Länge bzw. Breite der kleinen Traffic-Verlaufsgrafik neben jeder Port-Überschrift im LAN-Scanner.