hAP ac²

De hAP ac² (artikelnummer RBD52G-5HacD2HnD-TC) staat in ontelbare meterkasten: vijf gigabitpoorten, twee radio's, een prijs waar niets tegenop kon. Als thuisrouter voor een gewone aansluiting, of als access point achter een grotere router, doet hij het nog steeds prima. Er zijn wel twee dingen die je op dit model moet weten voordat je begint, en ze kosten allebei een avond als je ze pas achteraf ontdekt.

De gegevens van dit model zijn nagekeken op echte hardware.

De poorten

Vijf ethernetpoorten, ether1 tot en met ether5, allemaal 1 Gbit. ether1 is standaard de WAN-poort. Geen SFP, geen poort sneller dan een gigabit, en geen PoE-uit: het veld PoE-out per poort verschijnt niet bij dit model. Een access point aan ether5 heeft dus een eigen voeding of een injector nodig.

De VLAN-val van de switch-chip

De switch-chip in dit model (IPQ-4018, uit de Atheros8327/QCA8337-familie) houdt zijn VLAN-tabel in een eigen menu: /interface ethernet switch. De configurator schrijft VLANs op de v7-manier, met bridge VLAN filtering. Dat werkt, maar het haalt het verkeer van de switch-chip af: de CPU gaat de VLAN-pakketten doorsturen en de hardware-offload valt weg. Op een apparaat dat op zijn poorten wire speed haalt, zie je dan opeens veel minder.

De configurator meldt dit zelf zodra je VLANs aanzet op dit model. Voor maximale doorvoer is op deze chip de switch-chipconfiguratie de juiste weg, en die schrijft de tool niet: die doe je met de hand via het switch-menu. Heb je VLANs vooral nodig voor een gast-SSID en wat IoT, dan is het verlies in de praktijk niet erg.

Zie VLANs voor wat de tool wel schrijft, en Bridge en poorten voor de bridge eromheen.

Wifi, en welk pakket

Twee radio's: wlan1 op 2,4 GHz en wlan2 op 5 GHz. De configurator schrijft voor dit model het pakket wireless, dus /interface wireless met een security-profile, precies zoals je het uit RouterOS v6 kent.

Dit is een van de modellen die op v7 twee wifi-pakketten kan draaien: het vertrouwde wireless, of wifi-qcom-ac met de nieuwe /interface wifi-opbouw. Ze bestaan niet naast elkaar. Staat na een upgrade wifi-qcom-ac op het apparaat, dan zijn je wifi-netwerken weg terwijl je bridges, DHCP en leases er nog gewoon zijn, en dan lijkt het alsof de radio's stuk zijn. Dat is de meest gemelde verrassing op dit model. De achtergrond en de route terug staan in Van v6 naar v7.

Wat dat betekent voor centraal beheer: /caps-man bestuurt access points met het pakket wireless. Draait het access point op wifi-qcom-ac, dan hoort het bij /interface wifi capsman en moet het opnieuw worden ingericht. Meng de twee niet binnen één site. Zie CAPsMAN.

Waar hij goed in is, en waar hij ophoudt

Een 32-bits ARM-processor met 128 MB geheugen. Dat geheugen is de echte grens van dit model. Het is genoeg voor een router met een firewall, DHCP, DNS-cache en wifi, maar niet voor alles tegelijk: een lange firewalllijst, veel gelijktijdige verbindingen, een grote DNS-cache en logging naar disk tikken allemaal aan. Houd de configuratie op dit apparaat eenvoudig en zet onderdelen die je niet gebruikt uit in geavanceerd.

De CPU is de tweede grens. Met FastTrack aan gaat het gewone verkeer eromheen en haalt hij een gigabitaansluiting. Zet je QoS met een queue tree aan, dan gaat FastTrack uit en shapet hij in software; de configurator schat dat dan op 200 tot 300 Mbit/s en raadt op dit model "eerlijk delen per host" met CAKE of fq_codel aan, omdat dat één wachtrij is zonder mangle-regels. Zie Bandbreedte (QoS). Een WireGuard-tunnel wordt hier volledig in software versleuteld en blijft dus ver onder je lijnsnelheid.

Het RouterOS-niveau is 4, wat onder meer bepaalt hoeveel tunnels je tegelijk mag draaien.

Welke rollen passen

• Thuisrouter: de rol waarvoor dit apparaat verkocht is, en nog altijd de beste keus.
• Access point of CAP: de logische tweede carrière als er een nieuwere router voor komt.
• Wifi-repeater: kan, met hooguit de helft van de snelheid.
• Kantoorrouter met VLANs: mogelijk, maar lees eerst de paragraaf over de switch-chip hierboven.
• Alleen beveiligen (baseline): handig voor een ac² die al jaren draait en die je niet opnieuw wilt inrichten, alleen dichttimmeren.

De snelste route naar een werkend script

1. Kies Eén apparaat, zoek op ac2 en kies Thuisrouter, of Access point als er al een router staat.
2. Vul je internetverbinding in, of bij een access point alleen het beheeradres.
3. Vul SSID, wachtwoord en land in, plus een beheerderswachtwoord.
4. Controleer met /system package print welk wifi-pakket er op staat voordat je plakt.
5. Reset, plak het script via een kabel en log opnieuw in. Zie Het script gebruiken.

De volledige route voor een thuisrouter staat in Voorbeeld: de providerrouter vervangen.

Waar mensen op stuklopen

• Wifi weg na een upgrade. Bijna altijd het verkeerde pakket. Controleer /system package print; installeer wireless en importeer opnieuw, of kies bewust voor wifi-qcom-ac en richt de wifi opnieuw in.
• Trage VLANs. Geen defect, maar de offload die wegvalt. Zie hierboven.
• Geheugen op. Controleer met /system resource print wat er vrij is voordat je nog een onderdeel aanzet.
• Het script plakken over wifi. De radio's gaan tijdens het importeren om; gebruik een kabel.