Zum Inhalt

MikroTik Router und Firewall

Produktiver Stand, geprüft am 24. August 2026.

Aufgabe des Routers

Der MikroTik hAP ax2 übernimmt:

  • Routing zwischen den VLANs;
  • DHCP für Management, Home, IoT und Gäste;
  • Firewall und NAT;
  • DNS-Weiterleitung und mDNS-Wiederholung;
  • NTP-Client und NTP-Server für die internen VLANs;
  • CAPsMAN-Verwaltung;
  • direkten Internetzugang über WOBCOM-Glasfaser.

Hardware und Basis

Eigenschaft Wert
Gerät MikroTik hAP ax2
Architektur ARM64
RAM 1 GiB
Management-IP 10.10.10.1
Device Mode advanced
Bridge bridge, VLAN-Filtering aktiv

VLAN- und Portaufbau

Port Funktion Weitere VLANs
ether1 ungenutzt, kein aktiver WAN- oder LAN-Pfad kein LAN-VLAN
ether2 VLAN 10 untagged, Trunk zu AP2 VLAN 20/30/40 tagged
ether3 VLAN 10 untagged, Proxmox keine weiteren VLANs
ether4 VLAN 20 untagged, waipu.tv Box keine weiteren VLANs
ether5 produktiver Glasfaser-WAN zum ONT Provider-VLAN 7

Die Router-IP-Adressen liegen auf vlan10, vlan20, vlan30 und vlan40.

Am 24. August 2026 wurde die letzte verwaiste Forward-Regel VLAN20 -> ether1 entfernt. Es existiert damit keine aktive Firewall-Freigabe mehr über ether1.

Glasfaser-WAN

Der produktive Internetpfad lautet:

ONT
 `-- ether5
      `-- vlan7-wobcom (VLAN 7)
           `-- pppoe-wobcom

Der PPPoE-Client pppoe-wobcom ist aktiv und erzeugt die dynamische Default-Route mit Distanz 1. Provider-DNS wird nicht übernommen.

Die Interface-Liste WAN enthält aktuell:

  • ether5 als physische Glasfaser-/PPPoE-Transportstrecke;
  • pppoe-wobcom als produktives Layer-3-WAN.

ether1 ist nicht Mitglied der WAN-Liste.

Details: Internetzugang

DHCP

Server Interface Pool Lease-Zeit DNS NTP
dhcp-mgmt vlan10 10.10.10.50-199 1 Stunde 10.10.10.1 10.10.10.1
dhcp-home vlan20 10.10.20.100-199 30 Minuten 10.10.20.1 10.10.20.1
dhcp-iot vlan30 10.10.30.150-199 30 Minuten 10.10.30.1 10.10.30.1
dhcp-guest vlan40 10.10.40.50-199 1 Stunde 10.10.40.1 10.10.40.1

Feste Reservierungen stehen im IP-Adressplan.

DNS, mDNS und Zeit

Funktion Aktueller Stand
Upstream-DNS 1.1.1.1, 8.8.8.8
DNS für Clients jeweilige Router-IP des VLANs
DoH deaktiviert
mDNS-Wiederholung VLAN 10, 20 und 30
NTP-Upstream ptbtime1.ptb.de, ptbtime2.ptb.de, ptbtime3.ptb.de
NTP-Client aktiviert
NTP-Server auf dem MikroTik aktiviert

Statisch konfigurierte Infrastruktur-LXC verwenden ebenfalls 10.10.10.1 als DNS-Server und diebrocks.home als Searchdomain.

Sicherheitsmodell

Das Netz arbeitet mit einer expliziten Default-Deny-Policy in der Forward-Kette. Neue Verbindungen werden nur zugelassen, wenn dafür eine konkrete Allow-Regel existiert. Rückverkehr bereits erlaubter Verbindungen wird über FastTrack beziehungsweise established/related akzeptiert.

Vertrauensstufen:

  • VLAN 10 – Management/Server: höchste Vertrauensstufe;
  • VLAN 20 – Home/Clients: normale Benutzergeräte;
  • VLAN 30 – IoT: eingeschränkt, keine freien Initiierungen in interne Netze;
  • VLAN 40 – Gäste: Internetzugang, keine internen Netze.

Firewall – Input-Kette

Wichtige Regeln:

  1. SSH vom MCP-Server 10.10.10.33 erlauben;
  2. established,related,untracked erlauben;
  3. invalid verwerfen;
  4. Blocklist verwerfen;
  5. ICMP erlauben;
  6. DHCP für alle vier VLANs erlauben;
  7. DNS TCP/UDP aus 10.10.0.0/16 erlauben;
  8. mDNS und NTP intern erlauben;
  9. Router-Management aus VLAN 10 erlauben;
  10. Router-Management aus VLAN 20 ausschließlich für admin-devices erlauben;
  11. CAPsMAN aus VLAN 10 erlauben;
  12. RouterOS-API TCP/8728 ausschließlich von Home Assistant 10.10.10.20 erlauben;
  13. abschließend mit SECURITY - drop all other input alles andere verwerfen.

Die frühere breite Management-Freigabe aus VLAN 20 wurde am 24. August 2026 endgültig gelöscht.

Admin-Geräte

Für administrative Zugriffe aus VLAN 20 wird die dynamische Firewall-Adressliste admin-devices über feste DHCP-Leases gepflegt.

Aktuelle Geräte:

Gerät IP
EB-Laptop Kabel 10.10.20.50
EB-Laptop WLAN 10.10.20.51
EB-iPhone 10.10.20.52

Für gezielte Zugriffe existiert außerdem die statische Liste admin-targets mit Router, APs und zentralen Servern im Management-Netz.

Erlaubte Admin-Verbindungen aus VLAN 20 zu admin-targets:

  • TCP 22,80,443,8006,8123,8291;
  • ICMP.

Die Portliste gilt gemeinsam für alle admin-targets. Ein Port ist damit firewallseitig freigegeben, auch wenn auf dem jeweiligen Ziel kein Dienst darauf lauscht. Für den Router selbst greifen zusätzlich die separaten INPUT-Regeln.

RouterOS-Dienste

Zusätzlich zur Firewall sind die RouterOS-Dienste selbst eingeschränkt:

Dienst Zugriff
SSH TCP/22 10.10.10.33 sowie 10.10.20.50/.51/.52
WebFig HTTP/80 VLAN 10 sowie 10.10.20.50/.51/.52
WebFig HTTPS/443 VLAN 10 sowie 10.10.20.50/.51/.52
WinBox TCP/8291 VLAN 10 sowie 10.10.20.50/.51/.52
API TCP/8728 nur Home Assistant 10.10.10.20
API-SSL TCP/8729 deaktiviert
FTP deaktiviert
Telnet deaktiviert

Firewall – Forward-Kette

Die relevante Reihenfolge ist:

  1. FastTrack für established,related;
  2. Accept für established,related,untracked;
  3. notwendige interne Service-Ausnahmen;
  4. IoT- und Guest-Segment-Sperren;
  5. Blocklisten;
  6. explizite VLAN→WAN-Freigaben;
  7. erlaubtes WAN-DSTNAT;
  8. neue WAN-Verbindungen ohne DSTNAT verwerfen;
  9. Audit-Regeln;
  10. abschließend SECURITY - drop all other forward.

Der finale Forward-Drop ist aktiv.

Seit dem 24. August 2026 befinden sich keine deaktivierten Altregeln mehr in der IPv4-Filterliste. Entfernt wurden unter anderem:

  • Management - VLAN20;
  • UPnP - SSDP VLAN20;
  • UPnP - control VLAN20;
  • Accept established related early;
  • die letzte verwaiste VLAN20 -> ether1-Freigabe.

Erlaubte interne Verbindungen

Home Assistant

Home Assistant hat die feste Adresse 10.10.10.20.

Erlaubt sind:

HA 10.10.10.20 -> VLAN30 10.10.30.0/24
HA 10.10.10.20 -> VLAN20 10.10.20.0/24
VLAN20 10.10.20.0/24 -> HA 10.10.10.20 TCP/8123

Die Freigabe HA→VLAN20 wird unter anderem für Google Cast/Nest, waipu.tv und den Brother-Drucker benötigt.

Die HA→IoT-Freigabe umfasst auch HTTP-Zugriffe auf die eBUS-Adapter. Am 24. August 2026 wurde direkt vom HA-System geprüft:

10.10.10.20 -> 10.10.30.14 TCP/80   HTTP 200
10.10.10.20 -> 10.10.30.15 TCP/80   HTTP 200

Damit können HA-seitige Add-ons wie das Firefox-Add-on diese Weboberflächen grundsätzlich erreichen.

IoT → Home Assistant

Gezielte Rückrichtung aus VLAN 30:

10.10.30.0/24 -> 10.10.10.20 TCP/1883   MQTT
10.10.30.16    -> 10.10.10.20 TCP/3333   Wasser-SMR / wmbusmeters

Danach wird sonstiger Verkehr aus VLAN 30 in 10.0.0.0/8 geblockt.

eBUS

Die beiden ebusd-LXC dürfen zu ihren jeweiligen eBUS-Adaptern:

10.10.10.31 -> 10.10.30.14 TCP/9999   ebusd Heizung
10.10.10.32 -> 10.10.30.15 TCP/9999   ebusd Lüftung

Normale Clients aus VLAN20 erhalten dagegen keine pauschale Freigabe auf die eBUS-Weboberflächen. Für Wartung kann direkt das IoT-WLAN verwendet werden.

Internetzugang der VLANs

Jedes VLAN besitzt eine explizite WAN-Freigabe über die Interface-Liste WAN:

VLAN10 -> WAN
VLAN20 -> WAN
VLAN30 -> WAN
VLAN40 -> WAN

Die früheren Regeln mit festem out-interface=ether1 wurden vollständig entfernt.

Gäste und IoT

  • VLAN 30 darf ohne explizite Ausnahme keine neuen Verbindungen in interne 10.0.0.0/8-Netze initiieren.
  • VLAN 40 darf keine neuen Verbindungen in interne 10.0.0.0/8-Netze initiieren.
  • Beide VLANs besitzen weiterhin regulären Internetzugang über die expliziten WAN-Regeln.

WAN und NAT

Das produktive Source-NAT lautet:

chain=srcnat
action=masquerade
out-interface-list=WAN

Es existieren aktuell keine statischen DSTNAT-Portfreigaben.

Für zukünftiges gültiges DSTNAT existiert eine explizite Forward-Allow-Regel WAN - accept dstnat. Neue Verbindungen aus der WAN-Liste ohne DSTNAT werden verworfen.

Audit-Regeln

Während der Stabilisierungsphase bleiben folgende Passthrough-Regeln aktiv:

  • AUDIT Home -> internal unmatched;
  • AUDIT Mgmt -> Home unmatched;
  • AUDIT implicit forward allow.

Sie blockieren nichts, sondern zeigen neue Verbindungen, die nicht durch eine explizite Regel abgedeckt sind. Der eigentliche Block erfolgt anschließend durch SECURITY - drop all other forward.

Auf AUDIT Home -> internal unmatched ist seit dem 24. August 2026 zusätzlich Logging mit dem Präfix AUDIT-HOME aktiviert. Dadurch werden Quelle, Ziel, Protokoll und Port zukünftiger Treffer sichtbar.

Das Logging hat bereits erwartete, bewusst blockierte Zugriffe des Admin-iPhones 10.10.20.52 aus VLAN20 auf IoT-Weboberflächen gezeigt, darunter:

10.10.20.52 -> 10.10.30.14 TCP/80   eBUS-Adapter Heizung
10.10.20.52 -> 10.10.30.15 TCP/80   eBUS-Adapter Lüftung

Diese Treffer sind kein Fehler im Default-Deny-Modell; für direkte Wartung der IoT-Geräte wird bei Bedarf ins IoT-WLAN gewechselt.

Alte RouterOS-Defaultadresse 192.168.88.0/24

Auf der Bridge existiert weiterhin bewusst unangetastet die RouterOS-Defaultadresse:

192.168.88.1/24

Dazu gehören noch:

  • deaktivierter DHCP-Server defconf;
  • Pool default-dhcp mit 192.168.88.10-192.168.88.254;
  • DHCP-Network 192.168.88.0/24;
  • zwei Firewall-Dropregeln für IoT beziehungsweise Gäste zu 192.168.88.0/24.

Diese Altlast wird erst entfernt, wenn sicher ausgeschlossen ist, dass noch eine Management- oder Recovery-Abhängigkeit daran hängt. Siehe Offene Netzwerk-Härtungsmaßnahmen.

Management-Härtung auf Layer 2

Für Layer-2-Management existiert die Interface-Liste:

MGMT -> vlan10

MAC-Server, MAC-WinBox und Neighbor Discovery sind ausschließlich auf MGMT begrenzt.

Weitere Dienste:

  • RoMON: deaktiviert;
  • Bandwidth-Test-Server: deaktiviert;
  • Web-Proxy: deaktiviert;
  • SOCKS-Proxy: deaktiviert.

Damit können Home-, IoT- und Gast-VLAN die IP-Firewall nicht über MAC-WinBox umgehen.

UPnP

UPnP ist deaktiviert.

Die früheren INPUT-Regeln für SSDP/UPnP aus VLAN20 wurden am 24. August 2026 endgültig gelöscht. Es existieren keine dynamischen UPnP-NAT-Regeln.

Normales Multicast-/Discovery-Verhalten innerhalb eines VLANs beziehungsweise die konfigurierte mDNS-Wiederholung wird dadurch nicht ersetzt oder blockiert.

Sicherung vor größeren Änderungen

Vor größeren Firewall- oder Routingänderungen siehe Router-Backup.

Vor der Default-Deny-Umstellung wurde router-backup-vor-firewall.backup erstellt. Ein lesbarer RouterOS-Export kann zusätzlich direkt per SSH auf den MCP-Server gestreamt werden.

Wiederaufbau in sinnvoller Reihenfolge

1. Basis und Bridge

  1. RouterOS installieren.
  2. Gerätenamen und Zeitzone setzen.
  3. Bridge bridge anlegen.
  4. VLAN-Filtering erst aktivieren, nachdem Port- und VLAN-Tabelle vorbereitet sind.

2. VLANs und IP-Adressen

  1. vlan10, vlan20, vlan30 und vlan40 auf der Bridge anlegen.
  2. Gateways .1/24 gemäß IP-Adressplan vergeben.
  3. Port-PVIDs und Tagged/Untagged-Zuordnung setzen.
  4. VLAN-Filtering aktivieren.

3. DHCP, DNS und NTP

  1. vier Pools anlegen;
  2. vier DHCP-Server den VLAN-Interfaces zuordnen;
  3. DHCP-Netze mit Gateway, Router-DNS und NTP anlegen;
  4. feste Leases ergänzen;
  5. DNS-Weiterleitung und mDNS-Wiederholung aktivieren;
  6. NTP-Client und lokalen NTP-Server aktivieren.

4. Glasfaser-WAN und NAT

  1. ether5 als ONT-Port verwenden;
  2. vlan7-wobcom mit VLAN-ID 7 auf ether5 anlegen;
  3. pppoe-wobcom auf vlan7-wobcom anlegen;
  4. WOBCOM-Zugangsdaten hinterlegen;
  5. Default-Route über PPPoE aktivieren;
  6. ether5 und pppoe-wobcom zur Interface-Liste WAN hinzufügen;
  7. Masquerade über out-interface-list=WAN verwenden.

5. Firewall und Management

  1. Input established/related/untracked erlauben;
  2. invalid verwerfen;
  3. benötigte Router-Dienste gezielt erlauben;
  4. Input am Ende vollständig verwerfen;
  5. FastTrack vor Segment-Drops setzen;
  6. normalen established/related/untracked-Accept direkt dahinter;
  7. interne Service-Ausnahmen für HA, MQTT, Wasser-SMR und eBUS anlegen;
  8. IoT und Gäste gegenüber internen Netzen sperren;
  9. VLAN10/20/30/40 explizit zum WAN erlauben;
  10. gültiges DSTNAT erlauben und sonstige neue WAN-Verbindungen verwerfen;
  11. Audit-Regeln während der Einführungsphase nutzen;
  12. finalen Default-Deny SECURITY - drop all other forward aktivieren;
  13. Layer-2-Management auf MGMT begrenzen;
  14. RouterOS-Dienste zusätzlich über available-from einschränken.

6. WLAN

CAPsMAN, SSIDs und Access Points anschließend nach WLAN und CAPsMAN aufbauen.

Prüfung

/system/resource/print
/interface/print
/interface/vlan/print detail
/interface/pppoe-client/print detail
/interface/list/member/print detail where list="WAN"
/ip/route/print detail where dst-address="0.0.0.0/0"
/ip/firewall/filter/print stats detail
/ip/firewall/nat/print stats detail
/ip/service/print detail
/ip/dns/print
/system/ntp/client/print
/system/ntp/server/print
/tool/mac-server/print
/tool/mac-server/mac-winbox/print
/ip/neighbor/discovery-settings/print

Zusätzlich sind reale Clienttests aus Home, IoT und Gäste sowie die Erreichbarkeit von Home Assistant, Cloudflare, eBUS und MCP zu prüfen.