Mikrotik RB5009UG+S+ — review voor homelabbers

De MikroTik RB5009UG+S+ kost rond de €250 en levert een poortbezetting en verwerkingscapaciteit die je normaal pas tegenkomt bij hardware van het dubbele of drievoudige prijskaartje. De vangst: RouterOS is geen plug-and-play. Dit is een router voor wie weet wat een firewall-chain is — en dat ook wil bepalen.

Hardware voor dit budget

Op de achterkant van de RB5009UG+S+ zitten zeven Gigabit Ethernet-poorten, één 2.5GbE-uplink en één SFP+-cage voor 10 Gigabit-fiber of een DAC-kabel. Dat is een rare combinatie totdat je begrijpt waarom MikroTik hem zo heeft gebouwd: de zeven Gigabit-poorten zijn bedoeld voor interne segmentatie — LAN, IoT-VLAN, managementvlak, DMZ — terwijl de 2.5GbE-poort je verbinding met de ISP of je core switch afhandelt en de SFP+-cage een uplink naar NAS of hypervisor verzorgt.

Alle poorten lopen via een Marvell Amethyst-switchchip met een 10 Gbps full-duplex-verbinding naar de CPU. Die CPU is een Marvell Armada 88F7040, een quad-core ARMv8 op 1,4 GHz, bijgestaan door 1 GB DDR4 RAM en 1 GB NAND-opslag voor de OS-installatie. Stroomverbruik onder normale belasting ligt tussen de 12 en 18 watt, wat voor een router met dit profiel uitzonderlijk laag is.

De behuizing is metaal, compact — ongeveer zo groot als een dikke paperback — en passief gekoeld. Er zit geen ventilator in. Je kunt de RB5009 horizontaal op een bureau leggen, aan de muur schroeven, of op een DIN-rail klikken met de bijgeleverde beugel. De PoE-in-functie op de eerste Ethernet-poort (802.3af/at) betekent dat je ook een PoE-switch als voedingsbron kunt gebruiken als je de voedingsadapter liever kwijt bent. Er is ook een twee-pin-terminal voor directe DC-aansluiting — handig in rackkastinstallaties.

RouterOS 7: de leercurve is reëel

RouterOS is niet moeilijk op de manier waarop Cisco IOS moeilijk is — je werkt niet uitsluitend in een CLI met cryptische commandosyntax. MikroTik levert Winbox mee, een gratis Windows- en Wine-compatibel configuratieprogramma met een volledige grafische interface over alle subsystemen. Alles wat je in Winbox instelt, zet RouterOS om naar CLI-commando's die je achteraf kunt exporteren, aanpassen en scriptmatig kan uitrollen.

Maar RouterOS trekt geen aannames voor je. Een Netgear of ASUS-router configureert zichzelf redelijk bij eerste opstart: WAN detecteren, DHCP starten, NAT instellen. De RB5009 doet dat ook met de standaardconfiguratie die MikroTik meelevert — alleen is die standaardconfiguratie bewust minimaal. Zodra je iets wil doen dat buiten het basisscenario valt (VLAN-segmentatie, meerdere WAN-verbindingen, een split-DNS, IPsec site-to-site), moet je begrijpen hoe RouterOS de concepten "bridge", "interface list" en "firewall chain" aan elkaar koppelt.

RouterOS 7 heeft de configuratiestructuur op enkele plekken ingrijpend gewijzigd ten opzichte van versie 6. BGP heeft nu een scheiding tussen connectie, template en sessie. OSPFv2 en OSPFv3 zijn samengevoegd in één menu, zonder standaard instanties — je maakt ze zelf aan. Routing filters gebruiken een script-achtige if/then-syntaxis. Voor wie van v6 naar v7 migreert zonder documentatie is dat een aardverschuiving; voor wie nieuw is bij MikroTik en direct op v7 begint, is het gewoon de normale manier van werken.

"RouterOS geeft je de touwtjes volledig in handen. Dat is precies het probleem als je gewend bent dat de router zelf nadenkt."

De leercurve vlakt af zodra je de fundamentele mentale modellen hebt begrepen. De MikroTik-community is actief, het officiële forum op forum.mikrotik.com heeft voor vrijwel elk scenario een werkende configuratie beschikbaar, en de officiële documentatie op help.mikrotik.com is technisch nauwkeurig — zij het beknopt. Plan voor de eerste serieuze configuratiesessie een halve dag in. Na een weekend experimenteren is de meeste dagelijkse beheer-overhead verdwenen.

Throughput en VPN-performance

Op Layer 3 routeert de RB5009 plain IP-verkeer vlot. MikroTik publiceert geen afgeronde Gbps-scores, maar community-benchmarks zijn consistent: bij grote pakketten (1400 byte) en een normale routingtabel haal je zonder moeite de 2.5 Gbps-limiet van de WAN-poort. Bij kleinere pakketten (64 byte) en twintig firewallregels actief kom je uit op ongeveer 760.000 pakketten per seconde — voor de meeste thuis- en homelabscenario's ruim voldoende, maar voor een full-10G-opzet met hoge pps-vereisten zit je tegen het plafond van de Armada CPU aan.

IPsec presteert consistent. MikroTik's eigen metingen geven voor een enkeltunnelconfiguratie met 1400-byte pakketten een doorvoersnelheid van ongeveer 1,35 Gbps. Dat is genoeg voor een versleuteld site-to-site-koppel tussen twee locaties met een 1 Gbps-verbinding zonder de tunnel als bottleneck te introduceren.

WireGuard is een ander verhaal. RouterOS implementeert WireGuard volledig in software — er is geen hardware-acceleratie voor de ChaCha20-encryptie op de Armada-chip. De CPU heeft ook een agressief frequentieschalingsprofiel: onder lichte belasting schroeft hij de kloksnelheid terug, en bij een WireGuard-burst moet hij eerst bijspringen. Gebruikers in de MikroTik-forums melden dat WireGuard-throughput zonder CPU-frequentie-optimalisatie ergens tussen de 150 en 400 Mbps hangt, afhankelijk van de versie van RouterOS. Met handmatige aanpassingen aan de scheduler-instellingen via het CLI zijn er metingen van 1,8 Gbps gerapporteerd — maar dat is niet standaard geconfigureerd en vergt kennis van de interne RouterOS-werking.

Voor thuisgebruik met een 1 Gbps-glasvezelverbinding is zelfs 400 Mbps op WireGuard geen probleem. Wie een 2,5 Gbits-symmetrische lijn heeft en die volledig versleuteld wil tunnelen, stuit op grenzen. In dat geval kun je beter kijken naar de HEX S (met hardware-cryptoversnelling voor IPsec) of de CCR2004-serie voor puur WireGuard-volume.

CapsMAN en uitbreidbaarheid

De RB5009 heeft zelf geen wifi — dat is een bewuste keuze. MikroTik positioneert hem als de kern van een netwerk, niet als een alles-in-één-apparaat. Wifi voeg je toe met MikroTik-accesspoints die via CapsMAN centraal worden beheerd.

CapsMAN staat voor Controlled Access Point Manager en is volledig ingebakken in RouterOS zonder extra licentiekosten. Je configureert kanalen, SSID's, VLAN-mappings en beveiligingsprofielen eenmalig op de RB5009, en de accesspoints halen hun configuratie via het netwerk op. Dat is hetzelfde principe als Ubiquiti's UniFi Controller of Cisco's WLC, maar dan zonder abonnementskosten of cloudafhankelijkheid.

Vanaf RouterOS 7.13 heet de wifi-sectie officieel "WiFi" in plaats van CAPsMAN, als gevolg van een architecturele herziening die het beheer van moderne 802.11ax-accesspoints uniformer maakt. De functionaliteit is uitgebreider dan voorheen, maar de migratie van pre-7.13 configuraties kan handmatig werk vereisen — een van de minder elegante aspecten van MikroTiks versiebeleid.

Voor wie is dit niet?

De RB5009 is geen goede keuze als je gewoon internet wil zonder er over na te denken. Een ISP-modem of een moderne mesh-router van €150 doet dat met een app en geen configuratievereisten. De RB5009 vergt betrokkenheid: bij elke firewall-aanpassing, bij elk nieuw VLAN, bij elke VPN-toevoeging ben je in RouterOS aan het werk.

Ook als je primair WireGuard wil gebruiken voor een hoge-snelheidsverbinding en geen zin hebt in handmatige CPU-tuning, is dit apparaat suboptimaal. De IPsec-performance is betrouwbaarder en beter gedocumenteerd op de RB5009; voor wie WireGuard als primair tunnelprotocol wil, biedt de CHR (RouterOS Cloud Hosted Router) op een kleine x86-server betere software-encryptie-prestaties.

Ten slotte: de RB5009 heeft geen ingebouwde wifi en geen grafisch dashboard voor eindgebruikers. In een huishouden waar anderen ook de router moeten beheren, is dit de verkeerde tool. RouterOS is niet gebouwd voor delegatie aan niet-technische gebruikers.