Software-update: RouterOS 6.40

MikroTik heeft enkele dagen geleden RouterOS 6.40 uitgebracht. RouterOS is een besturingssysteem dat zich richt op het uitvoeren van router-taken, denk daarbij onder andere aan natuurlijk het routeren van netwerkverkeer, firewall, bandbreedtemanagement, aansturen van draadloze accesspoints, hotspot gateway en vpn-server. Het kan zowel op de hardware van MikroTik als op x86- of virtuele-machines zijn werk doen. Voor het gebruik is een licentie nodig, deze licentie zit al bij de aankoop van MikroTik-hardware inbegrepen. Voor meer informatie verwijzen we jullie door naar deze pagina. De lijst met veranderingen voor deze uitgave ziet er als volgt uit:

What's new in v6.40:

• bonding
  • fixed 802.3ad mode on RB1100AHx4
• btest
  • fixed crash when packet size has been changed during test
• capsman
  • added "current-registered-clients" and "current-authorized-clients" count for CAP interfaces
  • fixed EAP identity reporting in "registration-table"
  • set minimal "caps-man-names" and "caps-man-certificate-common-names" length to 1 char
• certificate
  • added "crl-use" setting to disable CRL use (CLI only)
  • update and reload old certificate with new one if SKID matches
• chr
  • fixed MAC address assignment when hot plugging NIC on XenServer
  • maximal system disk size now limited to 16GB
• conntrack
  • fixed IPv6 connection tracking enable/disable
• console
  • fixed different command auto complete on
• crs212
  • fixed Optech sfp-10G-tx module compatibility with SFP ports
• defconf
  • added IPv6 default firewall configuration (IPv6 package must be enabled on reset)
  • improved IPv4 default firewall configuration
  • renamed 192.168.88.1 address static DNS entry from "router" to "router.lan"
• dhcp
  • added "debug" logs on MAC address change
• dhcpv4-client
  • added "gateway-address" script parameter
• dhcpv4-server
  • fixed lease renew for DHCP clients that sends renewal with "ciaddr = 0.0.0.0"
  • fixed server state on interface change in Winbox and Webfig
• discovery
  • fixed timeouts for LLDP neighbours
• dns
  • remove all dynamic cache RRs of same type when adding static entry
• dude
  • fixed server crash
• email
  • added support for multiple attachments
• ethernet
  • fixed occasional broken interface order after reset/first boot
  • fixed rare linking problem with forced 10Mbps full-duplex mode
• export
  • added "terse" option
  • added default "init-delay" setting for "/routerboard settings" menu
  • added router model and serial number to configuration export
  • fixed "/interface list" verbose export
  • fixed "/ipv6 route" compact export
  • fixed MPLS "dynamic-label-range" export
  • fixed SNMP "src-address" for compact export
• fastpath
  • improved performance when packets for slowpath are received
  • improved process of removing dynamic interfaces
• fasttrack
  • fixed fasttrack over interfaces with dynamic MAC address
• fetch
  • added "src-address" parameter for HTTP and HTTPS
• filesystem
  • improved error correcting process on tilera and RB1100AHx4 storage
• firewall
  • added "none-dynamic" and "none-static" options for "address-list-timeout" parameter
  • fixed bridge "action=log" rules
  • fixed cosmetic "inactive" flag when item was disabled
  • fixed crash on fasttrack dummy rule manual change attempt
  • removed unique address list name limit
• hAP ac lite
  • removed nonexistent "wlan-led"
• hotspot
  • added "address-list" support in "walled-garden" IP section
  • require "dns-name" to contain "." symbol under Hotspot Server Profile configuration
• ike1
  • added log error message if netmask was not provided by "mode-config" server
  • added support for "framed-pool" RADIUS attribute
  • create tunnel policy when no split net provided
  • fixed minor memory leak on peer configuration change
  • kill phase1 instead of rekey if "mode-config" is used
  • removed SAs on DPD
  • send phase1 delete
  • wait for cfg set reply before ph2 creation with xAuth
• ike2
  • added RADIUS attributes "Framed-Pool", "Framed-Ip-Address", "Framed-Ip-Netmask"
  • added pfkey kernel return checks
  • added support for "Mikrotik_Address_List" RADIUS attribute
  • added support for "mode-config" static address
  • by default use "/24" netmask for peer IP address in split net
  • fixed duplicate policy checking with "0.0.0.0/0" policies
  • prefer traffic selector with "mode-config" address
• ipsec
  • added "firewall=add-notrack" peer option (CLI only)
  • added information in console XML for "mode-config" menu
  • added support for "key-id" peer identification type
  • allow to specify chain in "firewall" peer option
  • do not deduct "dst-address" from "sa-dst-address" for "/0" policies
  • enabled modp2048 DH group by default
  • fixed connections cleanup on policy or proposal modification
  • optimized logging under IPSec topic
  • removed policy priority
• l2tp
  • fixed handling of pre-authenticated L2TP sessions with CHAP authentication
• l2tp-server
  • added "one-session-per-host" option
• log
  • added "poe-out" topic
  • improved "l2tp" logs
  • optimized "wireless,info" topic logs
  • work on false CPU/RAM overclocked alarms
• lte
  • added "accounting" logs for LTE connections
  • added additional driver support for DWR-910
  • added info command support for the Jaton LTE modem
  • added initial support for "NTT DoCoMo" modem
  • added support for Huawei E3531-6
  • added support for ZTE TE W120
  • fixed info command when it is executed at the same time as modem restarts/disconnects
  • improved SMS delivery report
  • improved reliability on SXT LTE
  • ! added initial fastpath support (except SXT LTE and Sierra modems)
  • ! added initial support for passthrough mode for lte modems that supports fastpath
• metarouter
  • fixed display of bogus error message on startup
• mmips
  • added support for NVME disks
• ovpn
  • added support for "push-continuation"
  • added support for topology subnet for IP mode
  • fixed duplicate default gateway presence when receiving extra routes
  • improved performance when receiving too many options
• packages
  • increased automatic download retry interval to 5 minutes if there is no free disk space
• ping
  • fixed ping getting stuck (after several thousands of ping attempts)
• ppp
  • added initial support for ZTE K4203-Z and ME3630-E
  • added output values for "info" command for finding the GSM base station's location ("LAC" and "IMSI")
  • fixed "user-command" output
  • fixed non-standart PAP or CHAP packet handling
  • improved MLPPP packet forwarding performance
  • use interface name instead of IP as default route gateway
• proxy
  • fixed potential crash
  • fixed rare program crash after closing client connection
• quickset
  • added "Band" setting to "CPE" and "PTP CPE" modes
  • added special firewall exception rules for IPSec
  • fixed incorrect VPN address value on arm and tilera
  • simplified LTE status monitoring
  • use active user name and permissions when applying changes
• rb1100ahx4
  • fixed startup problems (requires additional reboot after upgrade)
• rb3011
  • fixed packet passthrough on switch2 while booting
• rb750gr3
  • fixed USB power
• routerboard
  • added "caps-mode" option for "reset-configuration"
  • added "caps-mode-script" for default-configuration print
• routing
  • allow to disable "all" interface entry in BFD
• safe-mode
  • fixed session handling when Safe Mode is used on multiple sessions at the same time
• sfp
  • fixed invalid temperature reporting when ambient temperature is less than 0
• sms
  • decode reports in readable format
• sniffer
  • do not skip L2 packets when "all" interface mode was used
• snmp
  • added "ifindex" on interface traps
  • added CAPsMAN interface statistics
  • added ability to set "src-address"
  • fixed "/system resource cpu print oid" menu
  • fixed crash on interface table get
  • fixed wireless interface walk table id ordering
• socks
  • fixed crash while processing many simultaneous sessions
• ssl
  • added Wildcard support for "left-most" DNS label (will allow to use signed Wildcard certificate on VPN servers)
• supout
  • fixed IPv6 firewall section
• switch
  • fixed "loop-protect" on CRS SFP/SFP+ ports
  • fixed multicast forwarding on CRS326
• tile
  • fixed copying large amount of text over serial console
• tr069-client
  • fixed lost HTTP header on authorization
• trafficgen
  • added "lost-ratio" to statistics
• ups
  • show correct "line-voltage" value for usbhid UPS devices
• userman
  • added "/tool user-manager user clear-profiles" command
  • do not send disconnect request for user when "simultaneous session limit reached"
  • lookup language files also in "/flash" directory
• vlan
  • do not delete existing VLAN interface on "failure: already have such vlan"
• webfig
  • fixed wireless "scan-list" parameter not being saved after applying changes
• winbox
  • added "eap-identity" to CAPsMAN registration table
  • added "no-dad" setting to IPv6 addresses
  • added "reselect-channel" to CAPsMAN interfaces
  • added "session-uptime" to LTE interface
  • added TR069 support
  • do not autoscale graphs outside known maximums
  • fixed wireless interface "amsdu-threshold" max limit
  • hide LCD menu on CRS112-8G-4S
  • make IPSec policies table an order list
  • moved LTE info fields to status tab
  • show "/interface wireless cap print" warnings
  • show "/system health" only on boards that have health monitoring
  • show "D" flag under "/interface mesh port" menu
• wireless
  • NAK any methods except MS-CHAPv2 as inner method in PEAP
  • added option to change "nv2-downlink-ratio" for nv2 protocol
  • added option to set "fixed-downlink" mode for nv2 protocol
  • allow VirutalAP on Level0 (24h demo) license
  • always use "multicast-helper" when DHCP is being used
  • do not skip >2462 channels if interface is WDS slave
  • fixed 802.11u wireless request processing
  • fixed EAP PEAP success processing
  • fixed compatibility with "AR5212" wireless chips
  • fixed rare crash on cap disable
  • fixed registration table "signal-strength" reporting for chains when using nv2
  • ! added Nv2 AP synchronization feature "nv2-modes" and "nv2-sync-secret" option;

Versienummer	6.40
Releasestatus	Final
Website	MikroTik
Download	https://mikrotik.com/download
Licentietype	Betaald

Reacties (26)

[FatalError]

Er zitten nog een paar kleine bugs in deze versie. Ik zou op 6.40.1 wachten als je wil upgraden. Het zal waarschijnlijk niet lang duren voordat deze uitkomt.

[t-force]

Alhoewel Mikrotik over het algemeen goede releases heeft onderschrijf ik je advies voor die locaties die 24x7 moeten draaien.
Sowieso hebben ze behalve een Current (nu 6.40) release ook een speciale Bugfix (nu 6.38.7 ) release. Die loopt een of twee hoofd versies achter maar is over het algemeen wat veiliger om te gebruiken.

[MrFax]

Met veiliger bedoel je stabieler?

[airell]

Viola:
What's new in 6.40.1 (2017-Aug-03 12:37):

*) bonding - improved reliability on bonding interface removal;
*) chr - fixed false warnings on upgrade reboots;
*) dhcpv6-client - do not run DHCPv6 client when IPv6 package is disabled;
*) export - fixed export for different parameters where numerical range or constant string is expected;
*) firewall - properly remove "address-list" entry after timeout ends;
*) interface - improved interface state change handling when multiple interfaces are affected at the same time;
*) lte - fixed LTE not passing any traffic while in running state;
*) ovpn-client - fixed incorrect netmask usage for pushed routes (introduced in 6.40);
*) pppoe-client - fixed incorrectly formed PADT packet;
*) rb2011 - fixed possible LCD blinking along with ethernet LED (introduced in 6.40);
*) rb922 - restored missing wireless interface on some boards;
*) torch - fixed Torch on PPP tunnels (introduced in 6.40);
*) trafficgen - fixed "lost-ratio" showing incorrect statistics after multiple sequences;
*) winbox - added "none-dynamic" and "none-static" options for "address-list-timeout" parameter under NAT, Mangle and RAW rules;

[Great-Force]

---

EDIT: Las over airell zijn reactie heen, mijn reactie overbodig

[Reactie gewijzigd door Great-Force op 23 juli 2024 18:13]

[rohimma]

hoe verschild dit met pfsense?

[Great-Force]

PfSense is ontworpen als firewall, RouterOS als router.
RouterOS is volledig programmeerbaar, vergelijkbaar met Cisco netwerapparatuur.
Waar pfsense plugins heeft voor virusscanning en caching/proxy, heeft RouterOS weer een stabiel OS voor wireless interfaces, AP's en 4G.
RouterOS kan niet alleen als core router draaien, maar ook als access point of hotspot server.
Net als pfSense biedt RouterOS ook bandbreedte management en QoS (incl. CIR/MIR), maar ook deze zijn weer met de hand programmeerbaar met diverse opties en filters.

Als je meer info wilt, stuur maar een pm, ik werk dagelijks met MikroTik en RouterOS.

[rohimma]

ik heb net even de demo van hun bekeken maar snap niet helemaal wat je met `programmeerbaar` bedoelt.. kan je daar wat meer over vertellen / uitleggen?

Weet je toevallig ook wat over de performance verschillen van beide?

[Great-Force]

Performance hangt van de hardware af, een simpel MikroTik routertje met een 600 mhz singlecore ARM processor en 128 MB RAM is geschikt voor maximaal ongeveer 40 simultane gebruikers.
Een cloud core router, met 2 GB RAM en een quad-core cpu kan ingezet worden voor duizenden verbindingen tegelijkertijd. Ik gebruik een "RouterBoard hAP AC" thuis, bij 120 mbit/s download komt de cpu usage amper boven de 11% uit, veel krachtiger dan je standaard Ziggo modem. Performance hangt ook af van de firewall rules, een simpele "drop all" rule is minder belastend dan een complexe firewall met 200 filters.

Met programmeerbaar bedoel ik dat deze net als een Cisco router geconfigureerd moet worden. Out of the box zit er standaard wel een configuratie in (pfSense doet dit tijdens de set-up, waar je een WAN en LAN interface moet aanwijzen), maar als je het maximale eruit wil halen, zal je deze stap voor stap moeten configureren. Wil je een extra gastennetwerk? Daarvoor moet je een ip-address pool aanmaken, een dhcp server, een interface hieraan koppelen, firewall rules die het netwerkverkeer van het ene naar het andere netwerk blokkeren, etc.

Voor deze extra configuratiestappen krijg je wel weer terug, dat dit eindeloos en volledig naar jouw wens te configureren is. Wil jij 128 SSID's in de lucht hebben en voor elk device in huis een los netwerk? Dan kan dat. Wil je een los netwerk voor je kinderen, welke automatisch in- en uitschakelt op bepaalde tijdstippen, dan kan dat met scripting. Wil je dat alle verkeer vanuit dit kindernetwerk door een extern DNS webfilter loopt, dan kan dit weer met firewall en routing rules. Wil je dat het reguliere internetverkeer over 4G gaat en het downloaden van updates over kabel, dan kan dat ook. Je moet alleen wel zelf de filters bouwen.
Bij pfSense zijn een heleboel filters al voorgeprogrammeerd en selecteerbaar, bij RouterOS moet je echt alles zelf doen.

De online demo op zichzelf heb je niet zo heel veel aan, mijn advies zou zijn dit met een ervaren RouterOS gebruiker samen door te lopen.

EDIT: linkje naar mijn router: https://mikrotik.com/product/RB962UiGS-5HacT2HnT
Leuk om te weten, deze heeft standaard ook al een SFP port, voor als je in de toekomst wil overstappen naar glasvezel. En er zit out-of-the-box standaard ook een PoE port op, voor bijvoorbeeld een VoIP toestel.

[Reactie gewijzigd door Great-Force op 23 juli 2024 18:13]

[t-force]

Ah welkom, een van de weinige in NL die met ROS werkt.
Ik werk ook heel veel met ROS. na vele omzwervingen met vele vele merken (o.a. DrayTek, SonicWall NSA, UBNT) kan ik nu met ROS alles wat je met routering en firewalling nodig hebt. Geweldige producten. En betaalbaar.

[Great-Force]

Wij hebben MikroTik routers in beheer welke soms al 8 jaar oud zijn en alleen herstart zijn bij RouterOS updates. Deze draaien vooral aan boord van schepen, waar een all-in one, betaalbare, betrouwbare en vooral stabiele oplossing nodig is. De router functioneert dan als main router, hotspot server en access point controler, welke allemaal via de API te beheren zijn. Hiervoor hebben wij ook user management software geschreven. Die bij crew changes de Windows en hotspot accounts beheerd.

Cisco routers zouden in dit scenario een zeer stabiele oplossing zijn, echter is het updaten van het IOS vaak wat lastiger en tijdrovender. Terwijl MikroTik hier letterlijk een "download & install" knop voor heeft. Ook drag en drop naar het filesystem vanuit WinBox (de GUI beheerinterface), maakt het erg fijn om met MikroTik te werken.

[Reactie gewijzigd door Great-Force op 23 juli 2024 18:13]

[Verwijderd]

Ik zie aan boord van schepen voornamelijk allemaal Moxa spul, geen MikroTik. Of bedoel je enkel "office" achtige personal network aan boord? Waar internet op zit? Met bandwidth control vanwege de V-Sat? Heeft MikroTik bijvoorbeeld ook alle klasse keuren? (Dat is namelijk heel duur, en daarom zijn klasse gekeurd apparatuur ook heel duur!) Routers en switches met klasse keur (Verplicht aan boord!) kosten al gauw voor een simpele switch 800 euro, en laten we het niet hebben over klasse gekeurde routers. Trek je portemonnee maar open.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 18:13]

[Great-Force]

De scheepsapparatuur zoals GPS en specifieke technische hardware (het Moxa spul) laten wij in beheer van de desbetreffende leverancier, hier gaan wij ons niet in mengen en mijn advies is om dit ook niet te doen tenzij je echt 200% weet wat je aan het doen bent.
Ik bedoelde het met het internet verbonden netwerk, deze draait dan wel weer op MikroTik zowel voor de business/office computers als het crew netwerk voor contact met familie. Wij hebben gemerkt dat MikroTik veel beter om kan gaan met satelliet verbindingen dan Cisco, omdat MikroTik automatisch kan schakelen tussen CIR (minimum bandbreedte) en MIR (maximum bandbreedte), en dus de QoS en bandbreedte verdeling beter werken.

Wanneer er gecertificeerde apparatuur nodig is, bijvoorbeeld voor een 4G buitenantenne en 4G router (welke tot 40 km buiten de kust moeten werken) hanteren wij vaak PepLink apparatuur, inderdaad erg prijzige hardware. In principe draait RouterOS op bijna elk hardware platform, dus als er per se gecertificeerde apparatuur nodig is, dan zou je het hierop kunnen installeren.

[Reactie gewijzigd door Great-Force op 23 juli 2024 18:13]

[Jogai]

Waarom pm? Zulke info is juist zo waardevol als die gewoon bij de downloads wordt besproken.

[Great-Force]

Dat was meer bedoelt voor echt specifieke vragen of off-topic dingen.

[t-force]

Leuk dat dit in de updates van Tweakers zit.
Let wel dat deze update zijn bedoeld voor mensen die een Mikrotik router gebruiken.
Of een PC/VM met RouterOS.

[Rataplan_]

Ja dat is nogal logisch toch? Waar zou je hem anders op willen flashen / updaten? (Oprechte vraag, geen bash)

[Great-Force]

In theorie kan je het op een telefoon met ARM of x86 processor installeren, of op een Raspberry Pi.

[t-force]

OP en Raspberry Pi gaat niet lukken, daar zijn geen images voor.
Alleen voor x86 (32bit) PC, VM's (Hyper-V, VMware, KVM etc.) en ook de Routerboard devices.

[Jef61]

Ah mooi dat RouterOS hier ook staat, had de update toevallig al enkele dagen geleden geïnstalleerd.

[Yarisken]

Ooit een vpn opgezet naar een router met vyos :-). Dus nooit mee gespeeld,

[Verwijderd]

Ik gebruik Gargoyle(gebaseerd op Open WRT)
Ik krijg onder verbindingen wel de IP-adressen te zien maar niet welke applicatie er gebruik van maakt.
Weet iemand met welke plugin je zit wel kan zien?

[FreshMaker]

wireshark

[Yarisken]

Vroeger ervaring gehad met pfsense, wrt etc... maar nu wil ik niks anders meer als mikrotik stuff :-).

[Verwijderd]

Heb je zeker VyOS nog nooit geprobeerd

[DutchITMaster]

Ik gebruik ook veel mikrotik / routeros. Certificaten behaald MTCNA en MTCNE later dit jaar ook nog MTCINE .
Scores zijn goed, en mag als consultant op hun website vermeld worden. Ik ben nu druk bezig om mijn webshop voor mikrotik te lanceren.

Daarna zal ik me als consultant op hun website laten zetten.

RouterOS is goed spul, gebruik het in de mix met Cisco. Maar al diverse malen gebeurt dat ik bezig was om iets met een cisco te bouwen in een paar uur. Terwijl je met een mikrotik in een half uur klaar bent.