Alcune cose che noto
HAP AX3 (che fa da router)
Codice:
/ip dhcp-server lease
add address=192.168.2.2 client-id=1:f4:1e:57:d2:92:92 mac-address=\
F4:1E:57:D2:92:92 server=dhcp1
metti una lease statica con ip 192.168.2.2 poi però al HAP AX2 assegni in modo statico l'IP 192.168.2.2 - deciditi, o togli la lease statica dal HAP AX3 o la lasci e metti in DHCP client il bridge su HAP AX2 assegnandogli l'IP da lease dhcp statica
Su entrambi nel wifi attiva il fast transition, così se hai dispositivi che supportano 802.11r/k/v funziona il FT
Codice:
/interface wifi configuration
set [ find default-name=wifi1 ] security.ft=yes .ft-over-ds=yes
set [ find default-name=wifi2 ] security.ft=yes .ft-over-ds=yes
Poi se vuoi usare wifi 6 e hai dispositivi compatibili, devi lasciare le bande 2.4 e 5 GHz con lo stesso SSID
Su entrambi non hai impostato i DNS, a questo punto imposti HAP AX3 come dns server
Codice:
/ip dns
set allow-remote-requests=yes servers=1.1.1.1,8.8.8.8,9.9.9.9
e il HAP AX2 lo fai puntare al HAP AX3
Codice:
/ip dns
set servers=192.168.2.1
Su HAP AX3 metti anche nel dhcp server - network le opzioni dns-server=192.168.2.1 e ntp-server=192.168.2.1
Codice:
/ip dhcp-server network
set [find address=192.168.2.0/24 ] dns-server=192.168.2.1 ntp-server=192.168.2.1
Da HAP AX2 devi togliere la roba da dhcp server, già lo fa l'altro
ovvero queste configurazioni
Codice:
/ip pool
add name=dhcp_pool0 ranges=192.168.2.2-192.168.2.254
/ip dhcp-server network
add address=192.168.2.0/24 gateway=192.168.2.1
Nel HAP AX2 non hai messo la ether1 nel bridge, perché?
L'NTP server lo configuri su HAP AX3
Codice:
/system ntp server
set enabled=yes manycast=yes
e su HAP AX3 metti come unico ntp server l'ip del hap ax3
Codice:
/system ntp client servers
add address=192.168.2.1
infine di solito io disattivo servizi mikrotik non utilizzati, telnet, ftp, api, ecc, lascio attivo l'accesso al mikrotik via web, ma si può anche togliere tanto si fa tutto da winbox64
Codice:
/ip service
set telnet disabled=yes
set ftp disabled=yes
set api disabled=yes
set api-ssl disabled=yes
Ed infine la parte firewall, che va su HAP AX3
Questa è la mia configurazione base di default, tendo a fare regole esplicite e chiare, di solito io imposto anche una wifi ospiti con la interface list OSPITI, te l'ho messa, se non la vuoi basta che ignori le relative configurazioni
Ricorda che le regole di firewall vengono analizzate in sequenza, quindi l'ordine è importante, io metto sempre prima le regole di input (ovvero accesso al mikrotik) poi le regole di forward (ovvero dal mikrotik a altre reti). Le uniche regole che devono stare all'inizio sono quelle per il FASTTRACK
Ti ho diviso a sezioni
Intanto io creo una address list per gli IP della subnet LAN, inoltre se utilizzi la rete OSPITI oltre a creare l'interface list io creo una address list con gli indirizzi che assegno in dhcp alla wifi ospiti, in questo esempio 172.20.90.0/24
Codice:
/ip firewall address-list
add address=192.168.2.0/24 list=NetLan
add address=172.20.90.0/24 list=NetWifiOspiti
REGOLE FASTRACK - all'inizio
dal fasttrack escludo la rete OSPITI perché di solito poi ci imposto una queue per limitare la banda massima utilizzata
Codice:
/ip firewall filter
add action=fasttrack-connection chain=forward comment="FWD - FASTTRACK established, related" connection-state=established,related \
hw-offload=yes in-interface-list=!OSPITI out-interface-list=!OSPITI
add action=accept chain=forward comment="FWD - ACCEPT established, related" connection-state=established,related
dal fasttrack escludo la rete OSPITI perché di solito poi ci imposto una queue per limitare la banda massima utilizzata, se non ti interessa le imposti così
Codice:
/ip firewall filter
add action=fasttrack-connection chain=forward comment="FWD - FASTTRACK established, related" connection-state=established,related
add action=accept chain=forward comment="FWD - ACCEPT established, related" connection-state=established,related
REGOLE INPUT - accesso al mikrotik e ai servizi di rete (dns, ntp, ecc) da LAN
Codice:
/ip firewall filter
add action=accept chain=input comment="IN - ACCEPT established, related" connection-state=established,related
add action=accept chain=input comment="IN - ACCEPT - ICMP ping ecc" protocol=icmp
add action=accept chain=input comment="IN - ACCEPT da LAN - DNS" dst-port=53 in-interface-list=LAN protocol=udp
add action=accept chain=input comment="IN - ACCEPT da LAN - NTP" dst-port=123 in-interface-list=LAN protocol=udp
add action=accept chain=input comment="IN - ACCEPT da LAN - WEB" dst-port=80 in-interface-list=LAN protocol=tcp
add action=accept chain=input comment="IN - ACCEPT LAN - WINBOX" dst-port=8291 in-interface-list=LAN protocol=tcp
REGOLE INPUT - e qui le regole di input per accedere a DNS e NTP dalla rete ospiti
Codice:
/ip firewall filter
add action=accept chain=input comment="IN - ACCEPT - WIFI OSPITI CAPSMAN AX - DNS" dst-port=53 in-interface-list=OSPITI protocol=udp src-address-list=NetWifiOspiti
add action=accept chain=input comment="IN - ACCEPT - WIFI OSPITI CAPSMAN AX - NTP" dst-port=123 in-interface-list=OSPITI protocol=udp src-address-list=NetWifiOspiti
REGOLE INPUT - infine si dropppa tutto li resto
Codice:
/ip firewall filter
add action=drop chain=input comment="IN - DROP TUTTO IL RESTO" log-prefix="[IN-DROP]" log=yes
REGOLE FORWARD - Ora si passa alle regole forward, ovvero pacchetti in transito dal mikrotik verso altre reti
Codice:
/ip firewall filter
add action=accept chain=forward comment="FWD - ACCEPT - LAN --> INTERNET " in-interface-list=LAN out-interface-list=WAN src-address-list=NetLan
add action=accept chain=forward comment="FWD - ACCEPT - RETE OSPITI --> INTERNET (ESCLUSA LAN)" \
dst-address-list=!NetLan in-interface-list=OSPITI out-interface-list=WAN src-address-list=NetWifiOspiti
REGOLE FORWARD - prevedo di accettare i pacchetti che hanno dst-nat, ovvero i port forwarding (da configurare in firewall->mangle)
Codice:
/ip firewall filter
add action=accept chain=forward comment="FWD - ACCEPT - PACCHETTI DST-NAT" connection-nat-state=dstnat log=yes log-prefix="[DST-NAT]"
REGOLE FORWARD - infine scarto tutti i pacchetti non previsti
Codice:
/ip firewall filter
add action=drop chain=forward comment="FWD - DROP tutto il resto" log=yes log-prefix="[FWD-DROP]"
La regola di Firewall -> mangle di maquerade l'hai già fatta, ci aggiungerei solo out-interface-list=WAN
Prima di configurare gli apparati con questi consigli e questo codice, cerca magari di capire cosa fa e in caso adattalo alle tue esigenze
Buon divertimento
(Tapo P100...non esistono prese smart Mikrotik 
)