Het apparaat is alleen nog via MAC-WinBox bereikbaar

Je opent WinBox, het apparaat staat in het tabblad Neighbors met zijn MAC-adres, en je komt binnen door daarop te dubbelklikken. Op het IP-adres komt niets: geen ping, geen WinBox, geen SSH. Vaak is het een switch of een access point, en vaak is het net na een wijziging aan de VLANs.

Wat het niet is: dit is niet hetzelfde als een apparaat dat helemaal weg is. Dat MAC-WinBox werkt, betekent dat het apparaat leeft, dat de kabel het doet, en dat de poort waar je in zit met het apparaat in dezelfde broadcastdomein zit. MAC-WinBox praat op laag 2, zonder IP-adres, zonder routering en zonder DNS. Wat niet werkt, is alles wat een kloppend IP-adres nodig heeft.

Dat maakt dit een prettig probleem: je hebt beheer en je hoeft nergens heen met een kabel. Doe meteen de controles hieronder, want zodra je iets verkeerds aanpast, ben je ook MAC-WinBox kwijt.

Werk met Safe Mode aan, Ctrl+X in de terminal, ook over MAC-WinBox. Valt de sessie weg, dan draait het apparaat je wijziging zelf terug. Zie Safe Mode.

De snelle controles, op volgorde

Heeft het apparaat een adres? /ip address print. Goed antwoord: een adres op de bridge of op de beheer-VLAN-interface, in het netwerk waar jij vandaan komt. Een lege lijst is meteen je antwoord.
Was er een DHCP-client die niets kreeg? /ip dhcp-client print. Goed antwoord: status: bound met een adres erbij. searching betekent dat de aanvraag nergens aankomt.
Waar staat het adres op? /interface print en vergelijk met de vorige stap. Goed antwoord: het adres staat op de interface waar het beheerverkeer ook echt langskomt, dus op de beheer-VLAN-interface als je beheer getagd is.
Draagt jouw poort het goede VLAN? /interface bridge vlan print. Goed antwoord: jouw poort zit untagged in het VLAN waar je adres in valt, of getagd als je laptop tagt.
Staan de diensten aan, en vanaf welk adres? /ip service print detail. Goed antwoord: winbox en ssh staan aan, en het veld address bevat het netwerk waar jouw laptop in zit. Staat daar het beheer-VLAN en zit je in het gastnetwerk, dan is dit precies wat je zelf hebt gevraagd.
Is het druk op laag 2? /interface print stats. Goed antwoord: normale aantallen. Tellers die absurd hard oplopen met een volle CPU wijzen op een lus.

De gewone oorzaken, meest voorkomend eerst

Er is nooit een beheeradres gekomen

Een switch of access point achter een andere router heeft geen WAN en dus ook geen vanzelfsprekend adres. Is er voor DHCP gekozen en komt die aanvraag niet bij een DHCP-server aan, dan blijft het apparaat zonder adres staan. Het werkt verder prima als switch, maar je kunt er alleen via MAC bij.

Het beheer-VLAN komt niet aan

Dit is de klassieker. Het adres staat op de VLAN-interface van het beheer-VLAN, maar de kabel ernaartoe draagt dat VLAN niet, of de switch ertussen heeft het niet in zijn trunk. Het apparaat praat dan in een VLAN waar niemand luistert. Vanaf een direct aangesloten poort werkt MAC-WinBox nog wel, want dat gaat niet over IP.

De DHCP-client staat op de bridge, terwijl beheer getagd is

Een apparaat dat zijn adres via DHCP moet krijgen, zet die aanvraag op de bridge en dus op het untagged verkeer. Loopt jouw beheernetwerk als getagd VLAN binnen, dan komt er nooit een antwoord. Geef zo'n apparaat een vast adres op de beheer-VLAN-interface.

Beheer is beperkt tot een netwerk waar jij niet in zit

Het veld met toegestane beheeradressen komt als address= op elke dienst te staan. Klopt dat netwerk niet met waar jouw laptop zit, dan antwoordt er niets op IP terwijl het apparaat gezond is.

Er zit een lus in het netwerk

Twee kabels tussen dezelfde apparaten, of een patchkabel die twee wandcontactdozen verbindt, laat broadcasts rondcirkelen. De bridge loopt vol, ARP werkt niet meer en daarmee stopt alles wat IP nodig heeft. Zie Lus of broadcaststorm.

Wat de configurator hiervan doet

In Beheertoegang staat MAC-WinBox standaard op "alleen LAN-interfaces". De hulptekst zegt erbij waarom: MAC-WinBox op LAN is de reddingsboei als je een IP-fout maakt, en je zet hem alleen uit als je fysieke toegang hebt. Dat is precies de reden dat je nu nog binnenkomt.
Bij Beheer toegestaan vanaf zet de tool een waarschuwing onder het veld zelf. Staat er geen beheernetwerk, dan waarschuwt hij dat de diensten vanaf elk adres bereikbaar zijn.
In Bridge & poorten zit de offbridge-poort: één poort die bewust buiten de bridge en buiten de VLAN-tabel blijft, met een eigen adres en een eigen DHCP-server. Het script zegt letterlijk waar je moet inpluggen. Zet die aan voordat je een apparaat op afstand inricht.
In een site met meerdere apparaten controleert de tool of elk apparaat het beheer-VLAN draagt. Doet een switch of access point dat niet, dan is dat een fout: het apparaat is niet te beheren. Ook wordt gemeld als een VLAN bij een kabel ophoudt.
De bridge krijgt standaard RSTP. Maakt een extra kabel een lus, dan zegt de tool dat RSTP een van de paden blokkeert: het werkt, maar sneller wordt het niet.
Wees eerlijk over wat er niet gebeurt: de tool zet nooit loop-protect op een poort. Spanning tree beschermt tegen een lus tussen apparaten die allebei meedoen, maar niet tegen een kabel die in een domme switch of in twee wandcontactdozen wordt gestoken. Zet na het plakken zelf loop-protect=on op de poorten waar gebruikers in zitten.
En wat hij niet kan weten: in welk netwerk jouw laptop zit als je plakt. Daarom komen de meeste buitensluitingen erdoor.

Als het niet aan je router ligt

De switch ertussen. Een beheerbare switch die het beheer-VLAN niet doorlaat, geeft precies dit beeld. Sluit een kabel rechtstreeks aan om dat uit te sluiten.
Een SwOS-switch. Die heeft een eigen beheeradres en een eigen beheer-VLAN, los van RouterOS. Zie SwOS.

Verder lezen: Je kunt niet meer bij de router, Beheertoegang en Een beheernetwerk over meerdere apparaten.