Dynamische IP-Adresse auf MikroTik mit RouterOS erneuern
Den DHCP-Lease des WAN sauber freigeben, auf die Wiederanbindung warten, die empfangene Adresse prüfen und die Operation automatisieren, ohne Erneuerung und Anonymität zu verwechseln.
Eine als „ dynamisch “ bezeichnete IPv4-Adresse kann wochenlang identisch bleiben. Das ist nicht zwingend eine Störung : Der DHCP-Server des Anbieters erkennt oft denselben Client und weist ihm den vorherigen Lease erneut zu, solange dieser verfügbar ist. RouterOS ermöglicht es jedoch, den WAN-Lease freizugeben und den DHCP-Client neu zu starten, ohne den gesamten Router neu zu booten.
Der Vorgang ist schnell, führt jedoch zu einer kurzen Unterbrechung der Internetverbindung und garantiert niemals eine andere Adresse. Die endgültige Wahl obliegt dem Server des Anbieters. Dieser Leitfaden zeigt daher, wie das Verfahren sauber ausgeführt, das Ergebnis kontrolliert, es mit Vorsicht automatisiert und vermieden wird, ihm Sicherheitsvorteile zuzuschreiben, die es nicht bietet.
Was release und renew tatsächlich bewirken
Im IPv4-DHCP-Client von RouterOS haben die beiden Befehle nicht dasselbe Ziel :
| Befehl | Aktion | Erwartetes Ergebnis |
|---|---|---|
renew | Fordert die Erneuerung der aktuellen Leases an. Bei einem Fehler versucht der Client eine Zurücksetzung. | Normalerweise wird derselbe Lease beibehalten. |
release | Gibt den aktuellen Lease frei und startet dann den DHCP-Client neu. | Der Router fordert erneut einen Lease an, identisch oder unterschiedlich je nach Anbieter. |
Um eine neue Zuweisung anzufordern, reicht also release aus : RouterOS startet den Client von selbst neu. Das Ausführen von zuerst renew und dann release fügt eine unnötige Anfrage hinzu und macht einen Adresswechsel nicht wahrscheinlicher.
Überprüfen, ob das WAN tatsächlich DHCP verwendet
Das Verfahren gilt nur für einen IPv4-DHCP-Client. Es ist nicht geeignet für eine PPPoE-Verbindung, eine in /ip address konfigurierte statische Adresse, ein LTE-Modem, das die Sitzung selbst verwaltet, oder einen Router, der hinter einer anderen Box platziert ist.
/ip dhcp-client print detailSuchen Sie den Eintrag, dessen Schnittstelle dem WAN entspricht. In den folgenden Beispielen heißt er ether1. Passen Sie diesen Namen immer an Ihre Konfiguration an : Es kann sich um wan, vlan-internet oder eine andere Ethernet-Schnittstelle handeln.
Bevor Sie fortfahren, muss der Eintrag aktiv sein und status=bound anzeigen. Notieren Sie sich auch die Werte address, gateway und expires-after.
/ip dhcp-client print detail where interface=ether1Einen manuellen Test durchführen
Aktivieren Sie den Safe Mode mit Ctrl+X im Terminal und starten Sie dann die Freigabe auf dem identifizierten Client. Der Filter auf die Schnittstelle vermeidet es, von der in der Liste angezeigten Ordnungsnummer abhängig zu sein.
/ip dhcp-client release [find where interface=ether1 and disabled=no]Der Status durchläuft kurz searching oder requesting und muss dann zu bound zurückkehren. Je nach Modem und Anbieter kann die Unterbrechung einige Sekunden oder länger dauern.
/ip dhcp-client print detail where interface=ether1
/ip route print where dst-address="0.0.0.0/0"Vergleichen Sie den neuen Wert address mit dem vor der Operation notierten. Wenn er identisch ist, hat der Befehl wahrscheinlich funktioniert : Der DHCP-Server hat einfach beschlossen, denselben Lease zurückzugeben.
release startet den DHCP-Client neu. Eine neue Adresse bleibt eine Möglichkeit, niemals eine Garantie.Ein kontrolliertes RouterOS-Skript erstellen
Eine zuverlässige Automatisierung muss mehr tun, als einen Befehl zu senden. Sie überprüft die Existenz des Clients, weigert sich zu arbeiten, wenn der Lease nicht aktiv ist, speichert die alte Adresse, wartet mit einer maximalen Verzögerung auf die Rückkehr in den Status bound und protokolliert das Ergebnis.
Erstellen Sie in System → Scripts ein Skript namens refresh-wan-dhcp mit den Richtlinien read, write und test und fügen Sie dann den folgenden Inhalt ein :
:local wanInterface "ether1"
:local wanClient [/ip dhcp-client find where interface=$wanInterface and disabled=no]
:if ([:len $wanClient] = 0) do={
:error ("Kein aktiver DHCP-Client auf " . $wanInterface)
}
:local oldStatus [/ip dhcp-client get $wanClient status]
:if ($oldStatus != "bound") do={
:error ("Client DHCP non lie, statut: " . $oldStatus)
}
:local oldAddress [/ip dhcp-client get $wanClient address]
:log info ("DHCP WAN: Freigabe von " . $oldAddress)
/ip dhcp-client release $wanClient
:local secondsLeft 60
:while (([/ip dhcp-client get $wanClient status] != "bound") && ($secondsLeft > 0)) do={
:delay 1s
:set secondsLeft ($secondsLeft - 1)
}
:if ($secondsLeft = 0) do={
:log warning "DHCP WAN: keine Lease nach 60 Sekunden"
:error "Expiration de l'attente DHCP"
}
:local newAddress [/ip dhcp-client get $wanClient address]
:if ($newAddress = $oldAddress) do={
:log info ("DHCP WAN: Lease erneuert, Adresse unveraendert " . $newAddress)
} else={
:log info ("DHCP WAN: neue Adresse " . $newAddress)
}Der Text der Protokolle ist absichtlich ohne Akzente geschrieben, um Überraschungen beim Kopieren und Einfügen zwischen Terminals zu vermeiden. Ersetzen Sie ether1 nur einmal am Anfang des Skripts.
Vor der Planung testen
Starten Sie zuerst das Skript manuell und beobachten Sie das Protokoll. Erstellen Sie keine Planung, solange die erneute Verbindung nicht aus dem LAN heraus validiert wurde.
/system script run refresh-wan-dhcp
/log print where message~"DHCP WAN"
/ip dhcp-client print detail where interface=ether1Kontrollieren Sie dann die DNS-Auflösung, den Internetzugang, die VPN-Tunnel und die veröffentlichten Dienste. Eine neue IP macht bestehende TCP-Verbindungen unbrauchbar ; sie müssen neu aufgebaut werden.
Die Ausführung mit dem Scheduler planen
Wenn eine periodische Erneuerung einem echten Bedarf entspricht, wählen Sie ein Wartungsfenster. Das folgende Beispiel führt das Skript jeden Tag um 04:30 Uhr aus. Es wird bereitgestellt, um die Syntax zu zeigen, nicht als universelle Frequenz.
/system scheduler add \
name=refresh-wan-dhcp-daily \
start-time=04:30:00 interval=1d \
on-event="/system script run refresh-wan-dhcp" \
policy=read,write,test \
comment="Wartung DHCP-WAN-Lease"Der Scheduler besitzt dieselben Richtlinien wie das Skript und ruft es explizit auf. Überprüfen Sie nach der ersten Fälligkeit seine Felder last-started und run-count sowie die Protokollmeldungen.
/system scheduler print detail where name=refresh-wan-dhcp-daily
/system script print detail where name=refresh-wan-dhcpEine tägliche Ausführung ist oft übertrieben. Sie multipliziert die Unterbrechungen, kann Betrugsschutzmaßnahmen auslösen, Zulassungslisten ungültig machen und die Analyse der Protokolle erschweren. Eine manuelle Aktion oder eine wöchentliche Wartung reicht im Allgemeinen aus.
Das dynamische DNS aktualisieren
Wenn Dienste von außen zugänglich bleiben, muss ihr DNS-Name der öffentlichen Adresse folgen. Der IP/Cloud-Dienst von RouterOS überprüft periodisch die Änderung und aktualisiert seinen DDNS-Eintrag. Um ihn manuell zu aktivieren :
/ip cloud set ddns-enabled=yes
/ip cloud force-update
/ip cloud printDas Feld dns-name gibt den zugewiesenen Namen an und status=updated bestätigt die Aktualisierung. Die TTL des Dienstes ist kurz, aber bereits geöffnete Verbindungen migrieren nicht zur neuen Adresse.
Aktivieren Sie IP/Cloud nicht, wenn Sie diesen Dienst nicht nutzen möchten. Ein externer DDNS-Anbieter kann über seinen eigenen Client aktualisiert werden. Platzieren Sie niemals ein API-Geheimnis direkt in einem Artikel, einem öffentlichen Export oder einem Protokoll.
Warum eine andere IP kein Schutzschild für die Privatsphäre ist
Ein Adresswechsel kann eine temporäre, rein auf der IP basierende Sperre unterbrechen oder die Kontinuität einer sehr einfachen Überwachung reduzieren. Das macht die Navigation nicht anonym und sichert allein kein Netzwerk.
- angemeldete Konten, Cookies und Anwendungsbezeichner bleiben dieselben ;
- Browser und Gerät behalten zahlreiche Fingerprinting-Elemente ;
- die IPv6-Adresse kann stabil bleiben, während sich die IPv4 ändert ;
- der Anbieter behält seine eigene Sichtbarkeit der Verbindung ;
- ein exponierter Dienst bleibt verwundbar, wenn ihm Patches oder eine ordnungsgemäße Firewall fehlen.
Um die Sicherheit tatsächlich zu stärken, aktualisieren Sie RouterOS, beschränken Sie die Verwaltung auf das LAN oder ein VPN, deaktivieren Sie unnötige Dienste und kontrollieren Sie die Regeln input. Für die Privatsphäre wählen Sie Werkzeuge, die zum Bedrohungsmodell passen, anstatt sich auf die Rotation eines DHCP-Leases zu verlassen.
Warum sich die Adresse nicht ändert
- Der Server behält den alten Lease : Das ist das häufigste Verhalten und am Router gibt es nichts zu korrigieren.
- Der Router befindet sich hinter einem Modem : Der öffentliche Lease gehört zum Modem, während der MikroTik nur eine private Adresse erhält.
- Der Zugang nutzt PPPoE : In
/ip dhcp-clientexistiert kein relevanter Eintrag. - Der Client ist dauerhaft identifiziert : Der Anbieter kann denselben Lease gemäß seinen Richtlinien und dem Status seines Pools neu zuweisen.
- Die Leitung nutzt ein CGNAT : Die öffentliche Adresse wird geteilt und stromaufwärts verwaltet.
- Die Standardroute kehrt nicht zurück : Kontrollieren Sie
add-default-route, den Status der Verbindung, das VLAN des Anbieters und die DHCP-Protokolle.
Das Ändern der MAC-Adresse oder der Client-ID mit dem einzigen Ziel, einen anderen Lease zu erhalten, ist keine neutrale Lösung : Dies kann die Zugangsbedingungen verletzen, eine Drosselung auslösen oder die Authentifizierung verhindern. Fordern Sie stattdessen eine dynamische, statische oder öffentliche IP-Option an, die zum Anbieter passt.
Die Automatisierung deaktivieren
Um die Aufgabe anzuhalten, ohne sie zu löschen, deaktivieren Sie nur den Scheduler-Eintrag. Der DHCP-Client wird seinen Lease gemäß den Zeitüberschreitungen des Protokolls weiterhin normal erneuern.
/system scheduler disable [find where name=refresh-wan-dhcp-daily]Löschen Sie nach einer Beobachtungszeit die Aufgabe und dann das Skript, wenn Sie sie nicht mehr verwenden.
/system scheduler remove [find where name=refresh-wan-dhcp-daily]
/system script remove [find where name=refresh-wan-dhcp]Fazit
Bei einem tatsächlich als DHCP konfigurierten WAN besteht die korrekte Methode darin, den Client zu identifizieren, die Adresse zu speichern, release auszuführen, auf die Rückkehr zu bound zu warten und den erhaltenen Lease zu vergleichen. Das vorgestellte Skript fügt die notwendigen Kontrollen und die maximale Verzögerung hinzu, damit dieser Vorgang beobachtbar und vorhersehbar ist.
Der wesentliche Punkt bleibt außerhalb des MikroTik : Der DHCP-Server entscheidet über die Adresse. Eine Automatisierung kann einen neuen Lease anfordern, aber keine neue öffentliche Identität aufzwingen. Sie muss daher einem genauen Betriebsbedarf dienen, während eines akzeptablen Fensters geplant werden und von einem zuverlässigen DDNS begleitet werden, wenn Dienste von der Adresse abhängen.
Technische Referenzen
Als Nächstes lesen
Über den Autor
Jeremy Kraft betreut die Infrastruktur und die selbst gehosteten Dienste des IBCSC. Diese Anleitungen beschreiben Konfigurationen, die tatsächlich im Einsatz waren und vor der Veröffentlichung erneut geprüft wurden.
Diskussion
Kommentare
Noch kein Kommentar. Eröffnen Sie die Diskussion gern mit einer Frage oder Ihrem eigenen Erfahrungsbericht.