RouterOS/mikrotik-setup.md

MikroTik RB750Gr3 (hEX) – Netzwerk-Konfiguration

Hardware-Basis

• 5x Gigabit-Ethernet-Ports (alle frei konfigurierbar, kein festes WAN/LAN-Layout)
• Dual-Core CPU 880 MHz (MT7621A), 256 MB RAM, 16 MB Flash
• 1x USB-A, microSD-Slot
• Passive PoE-Eingang
• RouterOS Lizenzlevel 4 vorinstalliert

Es gibt keine feste Obergrenze für die Anzahl der DHCP-Server – begrenzend wirkt praktisch nur der RAM und die Anzahl der Interfaces/VLANs. Pro Interface (physischer Port, Bridge oder VLAN) kann ein eigener DHCP-Server mit eigenem Pool und Network laufen.

---

Szenario A: Port 1 = WAN, Ports 2–5 = ein gemeinsames LAN mit einem DHCP-Server

Alle vier LAN-Ports werden zu einer Bridge zusammengefasst, ein DHCP-Server versorgt sie gemeinsam.

/interface bridge add name=bridge-lan
/interface bridge port add bridge=bridge-lan interface=ether2
/interface bridge port add bridge=bridge-lan interface=ether3
/interface bridge port add bridge=bridge-lan interface=ether4
/interface bridge port add bridge=bridge-lan interface=ether5

/ip address add address=192.168.88.1/24 interface=bridge-lan
/ip pool add name=lan-pool ranges=192.168.88.10-192.168.88.254
/ip dhcp-server add name=lan-dhcp interface=bridge-lan address-pool=lan-pool
/ip dhcp-server network add address=192.168.88.0/24 gateway=192.168.88.1 dns-server=192.168.88.1

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

Port 1 bleibt WAN (DHCP-Client oder statische IP vom Provider, kein eigener DHCP-Server nötig).

---

Szenario B: Jeder Port bekommt ein eigenes, getrenntes Netz

Kein Bridging – jeder Port ist ein eigenständiges Layer-3-Interface mit eigenem Subnetz, eigenem Pool und eigenem DHCP-Server.

# Port 1 = WAN, unverändert (DHCP-Client oder statisch)

# Port 2
/ip address add address=192.168.2.1/24 interface=ether2
/ip pool add name=pool2 ranges=192.168.2.10-192.168.2.254
/ip dhcp-server add name=dhcp2 interface=ether2 address-pool=pool2
/ip dhcp-server network add address=192.168.2.0/24 gateway=192.168.2.1 dns-server=192.168.2.1

# Port 3
/ip address add address=192.168.3.1/24 interface=ether3
/ip pool add name=pool3 ranges=192.168.3.10-192.168.3.254
/ip dhcp-server add name=dhcp3 interface=ether3 address-pool=pool3
/ip dhcp-server network add address=192.168.3.0/24 gateway=192.168.3.1 dns-server=192.168.3.1

# Port 4 und Port 5 analog mit 192.168.4.0/24 bzw. 192.168.5.0/24

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

Netze voneinander isolieren (forward-chain)

Ohne zusätzliche Firewall-Regel routet RouterOS standardmäßig zwischen allen Interfaces – die Netze könnten sich also gegenseitig erreichen. Isolation über eine Interface-Liste:

/interface list add name=LAN
/interface list member add list=LAN interface=ether2
/interface list member add list=LAN interface=ether3
/interface list member add list=LAN interface=ether4
/interface list member add list=LAN interface=ether5

/ip firewall filter add chain=forward in-interface-list=LAN out-interface-list=LAN action=drop comment="Netze voneinander isolieren"

• Traffic zwischen zwei LAN-Ports (z. B. Port 2 → Port 3) wird geblockt.
• Traffic von einem LAN-Port zu ether1 (Internet) ist nicht betroffen, da ether1 nicht in der Liste steht.
• Regel-Reihenfolge beachten: Diese Drop-Regel sollte weit oben stehen, aber nach einer eventuellen established,related,untracked-Accept-Regel.
• Position prüfen/verschieben:

/ip firewall filter print
/ip firewall filter move [find comment="Netze voneinander isolieren"] destination=1

• Für gezielte Ausnahmen (z. B. ein Gerät soll netzübergreifend erreichbar sein) eine passende Accept-Regel vor der Drop-Regel einfügen.

---

Szenario C: Einzelnen Port aus einer bestehenden Bridge herauslösen

Ausgangslage: Alle Ports laufen aktuell gebridged. Ein Port (Beispiel: ether5) soll ein eigenes, unabhängiges Netz bekommen.

1. Port aus der Bridge entfernen

   /interface bridge port remove [find interface=ether5]
   

2. Eigene IP-Adresse für den Port vergeben (Subnetz darf sich nicht mit Bridge- oder anderen Netzen überschneiden)

   /ip address add address=192.168.5.1/24 interface=ether5
   

3. DHCP-Pool anlegen

   /ip pool add name=pool5 ranges=192.168.5.10-192.168.5.254
   

4. DHCP-Server einrichten

   /ip dhcp-server add name=dhcp5 interface=ether5 address-pool=pool5
   

5. DHCP-Network definieren (Gateway, DNS)

   /ip dhcp-server network add address=192.168.5.0/24 gateway=192.168.5.1 dns-server=192.168.5.1
   

6. Firewall/Isolation anpassen – Port zur LAN-Liste hinzufügen, damit die bestehende Drop-Regel greift

   /interface list member add list=LAN interface=ether5
   

7. Konfiguration prüfen

   /interface bridge port print
   /ip dhcp-server print
   

Stolperfallen

• IP-Konflikt vermeiden: Neues Subnetz darf sich nicht mit Bridge-Netz oder anderen Netzen überschneiden.
• Bridge-DHCP bleibt unberührt: Der bestehende DHCP-Server auf der Bridge läuft für die verbleibenden Ports unverändert weiter.
• Geräte am herausgelösten Port bekommen beim nächsten Lease eine neue IP aus dem neuen Netz – ggf. kurz neu verbinden lassen.
• Physisch ändert sich nichts am Port, er ist nur logisch nicht mehr Teil der Bridge.