[Ervaringen/discussie] Ubiquiti-apparatuur

[Dutch2007]

Snuitebolletje schreef op vrijdag 13 februari 2015 @ 13:06:
[...]


Hehe daarom. Zakelijk gezien heb ik met 4 bedrijven contact gehad waarvan er 3 afgevallen zijn door enkel en alleen al de manier van contact. Werk bij een service gericht bedrijf, wij willen niet de goedkoopste zijn, wij willen een oplossing bieden. Dit verwachten wij ook van leveranciers.
Het moeten goede prijzen zijn, de goedkoopste hoeft niet.

Maar nu eerst voor mijzelf speelgoed regelen. Het AP laat ik nog heel even zitten, daar ga ik mijn oude router voor gebruiken, eerst maar eens een edge router regelen. Bedankt voor het meedenken alvast.

Je gaat op die oude router geen 50 clients gooien hoop ik?

[d--amo]

Dit weekend met succes een ERL, managed switch en 2 UAP's geconfigureerd voor iemand. Install werkt perfect en hij is zeer tevreden.

Hij heeft ook een aantal camera's die hij zowel vanop internet, als vanop zijn eigen netwerk met hetzelfde IP adres wilde benaderen.

Ik heb hiervoor Hairpin NAT gebruikt en dat werkt ook correct. Dit volgens onderstaande tutorial.

https://community.ubnt.co...ck-Reflection/ta-p/435963

Ik ken wel iets van netwerken, maar ik begrijp niet waarom de masquerade rule op de LAN interface noodzakelijk is. Ik kan bevestigen dat het niet werkt zonder die rule, maar ik kom er niet uit waarom. Iemand die dat even kan toelichten?

[Norckon]

d--amo schreef op maandag 16 februari 2015 @ 16:54:
Ik heb hiervoor Hairpin NAT gebruikt en dat werkt ook correct. ...
Ik ken wel iets van netwerken, maar ik begrijp niet waarom de masquerade rule op de LAN interface noodzakelijk is. Ik kan bevestigen dat het niet werkt zonder die rule, maar ik kom er niet uit waarom. Iemand die dat even kan toelichten?

Deze pagina geeft volgens mij een heldere uitleg:
http://wiki.mikrotik.com/wiki/Hairpin_NAT

[d--amo]

Norckon schreef op maandag 16 februari 2015 @ 17:07:
[...]


Deze pagina geeft volgens mij een heldere uitleg:
http://wiki.mikrotik.com/wiki/Hairpin_NAT

Bedankt! Heldere uitleg inderdaad. Dat was ook mijn gedacht in eerste instantie.

Ik was echter in de war doordat ik het op 2 verschillende vlans aan het testen was. De destination zat dus op een ander vlan en subnet dan de source. Hier werkte het zonder de masquerade.

Even over het hoofd gezien dat die traffiek zoizo terug naar de router gaat in dat geval! Stom dat ik dat gemist heb!

Thnx

[Jeroen_ae92]

In principe hoef je dat niet te doen als je simpele port forwards gebruikt op het eerste tabblad. Hairpin NAT kun je dan gelijk aanvinken. Vanaf versie 1.6 is dat trouwens.

[d--amo]

Jeroen_ae92 schreef op maandag 16 februari 2015 @ 18:49:
In principe hoef je dat niet te doen als je simpele port forwards gebruikt op het eerste tabblad. Hairpin NAT kun je dan gelijk aanvinken. Vanaf versie 1.6 is dat trouwens.

Dat las ik achteraf ook inderdaad. Echter draait zijn ERL nog niet op 1.6, vergeten te upgraden tijdens de install. En remote upgraden tijdens de dag vond ik te veel risico

Alles werkt op de huidige versie, maar binnenkort toch maar eens een moment vrijmaken om te upgraden inderdaad.

Dan de port-forwards maar eens aanpassen via de cli. De webgui schakel ik steeds uit, vind het aangenamer werken via cli.

[andy88]

Snuitebolletje schreef op vrijdag 13 februari 2015 @ 09:14:
[...]

Klopt, daar zat ik ook te kijken.
Waar het mij vooral ook om gaat is een stuk support. Ben nu voor mezelf even aan het kijken naar een edgerouter lite (kunnen daar pak hem beet 50 devices en 3 vlans continue op draaien?) en 1 AP om mee te beginnen.

Hier draait een Edgerouter Lite met 10-20 clients en hij staat letterlijk altijd als ik in de management interface zit te idlen op 1%.

Met 50 clients moet je wel denken aan een UAP Pro. Het gebrek aan een gigabit ethernet interface bij de gewone UAP gaat je parten spelen als die 50 clients tegenlijk effectief de lijn gaan benutten.

[chickpoint]

Ik denk dat je 50 clients op 1 AP nooit wilt hebben. Dan is het toch echt tijd om meerdere APs te kopen en je clients een beetje te spreiden. Niet aleen qua bandbreedte op je interface maar ook aan signalen in de lucht.

[ijdod]

Kan iemand bevestigen of de Edgerouter, bij het configureren van DHCP-relay, dit zowel de client-facing interface als de server-facing interface aan moet zetten?

In Vyatta en VyOS, waar EdgeOS ook familiebanden mee heeft, lijkt dit wel te moeten:

code:

interfaces {
    ethernet eth0 {
        address 10.10.10.3/24
    }
    ethernet eth1 {
        address 10.10.20.1/24
    }
}
service {
    dhcp-relay {
        interface eth0
        interface eth1
        server 10.10.10.1
    }
}

Als je dit niet (in het voorbeeld hierboven) configureert op eth0 herkent de router de antwoorden van de DHCP server niet. Configureer je het wel, dan is ook de DHCP relay actief op eth0, waar zich ook de DHCP server bevind. Dit is eigenlijk een foute situatie, hoewel deze wel werkt.

[m3gA]

Ik gebruik een edgerouter lite met een aantal site to site vpn's met vrienden om bestanden uit te wisselen. Is het mogelijk om ze maar toegang te geven tot 1 ip (mijn fileserver)?

[Jeroen_ae92]

ijdod schreef op maandag 16 februari 2015 @ 21:36:
Kan iemand bevestigen of de Edgerouter, bij het configureren van DHCP-relay, dit zowel de client-facing interface als de server-facing interface aan moet zetten?

Volgens de wiki van ubnt doe je het goed. Klik

code:

configure
edit service dhcp-relay
set server 10.1.0.1
set interface eth0
set interface eth1  
commit

m3gA schreef op dinsdag 17 februari 2015 @ 08:46:
Ik gebruik een edgerouter lite met een aantal site to site vpn's met vrienden om bestanden uit te wisselen. Is het mogelijk om ze maar toegang te geven tot 1 ip (mijn fileserver)?

In principe moet je een firewall rule maken op de LAN_OUT interface. Zoiets als dit zou wel moeten werken:

code:

        rule 1 {
            action accept
            description "Allow VPN to Server X"
            destination {
                address 192.168.0.3
            }
            source {
                address 10.0.1.0/24
            }
            log enable
            protocol all
        }

Uiteraard aanpassen waar nodig

[ Voor 25% gewijzigd door Jeroen_ae92 op 17-02-2015 19:56 ]

[Jeroen_ae92]

kan m'n eigen post niet verwijderen... Tekst die hier stond is samengevoegd met de post hierboven.

[ Voor 92% gewijzigd door Jeroen_ae92 op 17-02-2015 19:57 ]

[ijdod]

Jeroen_ae92 schreef op dinsdag 17 februari 2015 @ 19:25:
[...]


Volgens de wiki van ubnt doe je het goed.

Merci. Had ik eigenlijk al verwacht gezien de ervaringen met Vyatta en VyOS. Zal kijken of ik dat middels een bug-report naar binnen kan schieten.

[RedDeathstar]

Ik hoop dat dit het juiste topic is voor deze vraag.

In een diepvries bedrijf willen wij een WI-FI netwerk installeren.
Zelf heb ik in het verleden met ubiqity gewerkt en altijd zeer tevreden van geweest.

Nu hier moet je zien dat het enorm vochtig is en er ook veel condensatie optreed aan het plafond.
Zelf zou ik de ap PRO willen gebruiken voor binnen. Maar deze heeft blijkbaar een condensatie limiet van 80%. Iemand ervaring met ubiqity in vochtige omgeving?

De ap outdoor 2.4 ghz heeft maar een 100mbit poort wat eigenlijk meer dan genoeg zou zijn maar door dat deze een straigt forward signaal heeft dus niet omnidirectional ben ik bang dat het bereik in gedrang komt. Plus de prijs.

Nu gebruiken wij HP MSM 466 en dit werkt echt voor GEEN meter.

Graag jullie raad.


Met vriendelijk groet.

[Kavaa]

Ik zou de outdoor+ of als je hogere snelheid wil de outdoor AC nemen.
Je kunt er nog voor kiezen als je denkt dat de dekking niet goed is... Wat ik niet verwacht. Een Aparte antenne te nemen.
Bijvoorbeeld: http://www.ubnt.com/airmax/airmax-omni-antenna/
Deze zouden als het goed is ook gewoon moeten werken op de Outdoor (Nog niet getest wel van plan om deze een keer mee te bestellen) Zojuist navraag gedaan en moet dus gewoon werken op de Outdoor modellen.

Mocht je vragen hebben dan ben je altijd welkom...
En HP Bleh! Ubiquiti:D:D

[ Voor 7% gewijzigd door Kavaa op 19-02-2015 15:56 ]

[Jeroen_ae92]

RedDeathstar schreef op donderdag 19 februari 2015 @ 15:02:De ap outdoor 2.4 ghz heeft maar een 100mbit poort wat eigenlijk meer dan genoeg zou zijn maar door dat deze een straigt forward signaal heeft dus niet omnidirectional ben ik bang dat het bereik in gedrang komt. Plus de prijs.

Wat is de situatie ter plaatste? Maw, hoogte, breedte, lengte, constructie etc. Dit bepaald plaatsing en te kiezen apparatuur. Ik kan me zo voorstellen dat er ook gewerkt zou kunnen worden met Nanostations en die qua TX flink terugschroeven. Een Outdoor+ (2,4Ghz) of een Outdoor5 (5Ghz) zullen absoluut passen in deze omgeving. Deze zijn 2x2MIMO en met de standaard antennes omni-directioneel. Deze hebben een condensatie limiet van 95% en kunnen tot max -30graden.

Goh Jeroen, ben je verkoper... Neuh, dit kwam uit het pdf'je

Zelf maak ik gebruik van 2 Outdoor+ accesspoints. Die werken meer dan prima en het bereik is enorm. Zelfs zo erg dat ik over 100mtr nog steeds ontvangst heb op m'n iphone. Niet dat het werkt want de iphone kan niet meer terugzenden. Het is erg fijn om deze vanuit dezelfde controller te kunnen beheren als de Unifi's UAP's. Dat maakt het wat makkelijker en overzichtelijker.

[ Voor 21% gewijzigd door Jeroen_ae92 op 19-02-2015 20:53 ]

[Kavaa]

Precies wat Jeroen zegt.
Denk dat je voldoende moet hebben met de Outdoors deze zijn krachtig genoeg. En je hebt hier dus geen extra antenne voor nodig heb dit nog even nagekeken met Jeroen en klopt dus dat ze gewoon omni-directioneel zijn.
Mocht je toch de extra antenne wensen kan dat natuurlijk altijd.

[Aherin]

Weet iemand trouwens, of er ook kleine unifi switches uit gaan komen?
Ik vind 16/24 een beetje zonde als je er maar bijv. Acht nodig hebt
En de toughswitches krijg je weer niet mooi in de controller...

[Jeroen_ae92]

De unifi switches zijn momenteel enkel in 24 of 48 ports leverbaar. Dat zijn voor mij ook teveel poorten en daarbij, er zitten fans in
Er zijn zover ik weet nog geen geruchten over een kleine unifi switch. Dus nee, ben bang dat het nog in de pen zit.

[RedDeathstar]

Jeroen_ae92 schreef op donderdag 19 februari 2015 @ 20:49:
[...]


Wat is de situatie ter plaatste? Maw, hoogte, breedte, lengte, constructie etc. Dit bepaald plaatsing en te kiezen apparatuur. Ik kan me zo voorstellen dat er ook gewerkt zou kunnen worden met Nanostations en die qua TX flink terugschroeven. Een Outdoor+ (2,4Ghz) of een Outdoor5 (5Ghz) zullen absoluut passen in deze omgeving. Deze zijn 2x2MIMO en met de standaard antennes omni-directioneel. Deze hebben een condensatie limiet van 95% en kunnen tot max -30graden.

Een grote fabriek dus geïsoleerde muren van 10 m hoog en verdeeld in compartimenten. (Productie, opslag, verpakking, mengeling,....)


Bij ons mag je zeker een vochtigheid van 100% nemen want het drupt van de daken. (Dit door het vele kuisen met water in een gesloten omgeving.)


Ik zal mijn baas een 1 AP pro laten bestellen voor onze bureau die is zeker overpowerd en zal de muren wel penitreren. En 1 UAP outdoor + voor in fabriek te testen.

Zelf voor een WiFi bedrijf gewerkt die met Ubiquiti werkte en zeker altijd gelukkig mee geweest. Gemakkelijk beheer en een zeer goed up-time ivg met de concurentie.

[DJSmiley]

chickpoint schreef op maandag 16 februari 2015 @ 20:51:
Ik denk dat je 50 clients op 1 AP nooit wilt hebben. Dan is het toch echt tijd om meerdere APs te kopen en je clients een beetje te spreiden. Niet aleen qua bandbreedte op je interface maar ook aan signalen in de lucht.

Ligt aan het type AP. De Unifi zou het aan moeten kunnen:

http://wiki.ubnt.com/UniF...clients_can_an_AP_support

Connectie is 1, maar trougput is 2. Dat ligt natuurlijk zwaar aan het gebruik. Op de 2.4Ghz wordt het wel erg druk, maar het kan wel. Mooiste is band-steering, dan gaat alles naar de 5Ghz indien het ondersteunt wordt. Dat scheelt al aardig in throughput. Maar een simpele UAP of UAP-LR zou ik 25 ofzo als max aanhouden. De uplink is ook maar 100Mbit..

Ik heb APs draaien waar soms 80-90 man op zit, waarvan het gros op de 2.4Ghz. Dat gaat op zich prima, de bandbreed-eisende devices zitten op een los SSID op de 5Ghz band. En in dat geval krijg ik het aantal op 2.4Ghz ook niet lager, met slechts 3 kanalen beschikbaar effectief kun je gewoon niet meer AP's plaatsen. Er hangen dus 3 AP's op 2.4Ghz, en 3 op 5Ghz-only. Maar die AP's hebben wel 1Gbit. (Aerohive, maar gezien de bovenstaande link zal een goede UAP pro ook een eind komen)
Mist alleen wel dingen als bandsteering geloof ik, dus is niet 1:1 vergelijkbaar

Goed nadenken over het design, verwachtte gebruik en waar nodig clients limiteren is de enige optie om het werkend te houden. In high-density omgevingen zendvermogen beperken en de load verdelen over de AP's. DFS enablen zodat je ook genoeg kanalen hebt op de 5Ghz en zoveel mogelijk de 5Ghz band benutten.

Op de hierboven genoemde site draaien gemiddeld 2000-2500 gelijktijdige wifi gebruikers. Ik gok een stuk of 1000 ipads, en stuk of 1500 mobiele telefoons enz

Aerohive heeft een interessante whitepaper over high-density wifi op zn site staan:
http://www.aerohive.com/p...-Density%20Principles.pdf

[ Voor 4% gewijzigd door DJSmiley op 20-02-2015 19:00 ]

[Snuitebolletje]

Door omstandigheden (een vriendin die ziek is en bar weinig anders doet dan suffe series op tv kijken en wat surfen), kan ik niet te hard aan de internet verbinding klussen en deze uren plat leggen...

Ik zoek een beetje een standaard config voor de Edgerouter lite en een alles in 1 KPN glasvezel pakket.

De opstelling:
In de meterkast de FttH modem, edgerouter, 2 utp kabels, 1 naar de woonkamer, 1 naar de slaapkamer.
Slaapkamer = IPTV
Woonkamer => managed switch voor internet en IPTV.

iemand iets?

[Jeroen_ae92]

Lijkt me eenvoudig om te maken. Ik kan het niet voor je testen aangezien ik zelf geen KPN heb
Op eth0 (je wan) maak je 2 vlannen aan, vlan4 voor iptv en vlan6 voor internet. Op eth1 (of eth2) maak je ook een vlan4 aan voor iptv. Vervolgens maak je een bridge br0 waarin je eth0.4 en eth1.4 (of eth2) stopt.

Let wel, door deze methode, dus gebruik maken van bridging, verlies je je hardware offload. Dit betekend dat de performance minder is.

[Jeroen_ae92]

RedDeathstar schreef op vrijdag 20 februari 2015 @ 08:48:
Bij ons mag je zeker een vochtigheid van 100% nemen want het drupt van de daken. (Dit door het vele kuisen met water in een gesloten omgeving.)

Bij 100% lig je zelf in het water, toch?. Ik denk dat 95% al enorm is.

[prekz]

Mogelijk zijn hier mensen die hetzelfde probleem hebben gehad als ik. Ik zit namelijk met het volgende:

Ik draai plex om een ubuntu 14.04 machine, ik kan streamen naar alle devices en dit gaat prima. Ik heb enige tijd geleden een chromecast gekocht en hier krijg ik de stream niet volledig werkend op.

Als ik de tv aanzet (gaat mijn chromecast ook aan) en ik doe er op dat moment niets mee zie in in de Unifi controller de signal strenght op 99% (AP is redelijk dichtbij). Echter wanneer ik via mijn telefoon een stream open richting mijn chromecast dropt mijn signal strengt tot soms 14/20% en dan begint hij te stotteren.

Ik maak gebruik van de reguliere UAP en controller versie 3.2.10

[m3gA]

Gebruik je ZHO? Mijn chromecast vond dit niet leuk en bleef maar hikken.

[prekz]

m3gA schreef op zaterdag 21 februari 2015 @ 19:07:
Gebruik je ZHO? Mijn chromecast vond dit niet leuk en bleef maar hikken.

Toevallig wel ik ga het meteen uitschakelen en testen!

Edit: Even kort getest met ZHO uit en probleem is nog steeds

[ Voor 11% gewijzigd door prekz op 21-02-2015 19:16 ]

[Jeroen_ae92]

Connect ie soms op een AP die verder weg is? Dit verklaart de drop in signal en het stotteren. Kun je iets dichttimmeren/forceren met minrssi of een 2e ssid op het dichtsbijzinde AP die enkel voor de chromecast is?

edit: Vanaf versie 3.2.10 is UAPSD standaard uit. Bij lagere versie kun je dit uitzetten via de config.properties file. Wellicht dat dit nog helpt.

[ Voor 26% gewijzigd door Jeroen_ae92 op 21-02-2015 19:35 ]

[prekz]

2de ssid heb ik al eens getest, hij blijft altijd bij de dichtsbijzijnde AP die ongeveer 4m eraf staat zonder obstakels.

Die min rssi heb ik vaker van gehoort via de ubiquiti faq maar weet niet precies hoe ik dit instel ik zoek dit straks eventjes uit via de beschikbare documentatie

[andy88]

Vandaag ook bij een kennis een Edgerouter Lite geinstalleerd i.c.m. twee Unifi ap's.
De Ziggo modemrouter liep geregeld vol/vast waardoor een wekelijkse reset noodzakelijk is.

Ik heb het geheel werkend gekregen ik loop echter wel vast op een portforward die nodig is.
De externe poort 62290 dient geforward te worden naar 192.168.1.99 op poort 3389.
Dit heb ik netjes opgegeven bij de NAT service echter werk de forward niet.

Ik vermoed dat ik mijn firewall rules ook nog dien aan te passen (?) echter loop ik hier op vast.
Wellicht dat iemand met meer ervaring mij hiermee kan helpen.

Hieronder de huidige configuratie van de ethernetpoorten:


En zo heb ik de forward ingesteld:


edit: opgelost
IP adres van uit Ziggo is veranderd na het inschakelen van de bridge mode
Een update forceren op de dynamische IP client van NO-IP doet wonderen

[ Voor 25% gewijzigd door andy88 op 22-02-2015 15:17 ]

[Jeroen_ae92]

Veilig is het niet. Gebruik dan vpn en daarover heen rdp.

[Snuitebolletje]

Jeroen_ae92 schreef op zaterdag 21 februari 2015 @ 17:44:
Lijkt me eenvoudig om te maken. Ik kan het niet voor je testen aangezien ik zelf geen KPN heb
Op eth0 (je wan) maak je 2 vlannen aan, vlan4 voor iptv en vlan6 voor internet. Op eth1 (of eth2) maak je ook een vlan4 aan voor iptv. Vervolgens maak je een bridge br0 waarin je eth0.4 en eth1.4 (of eth2) stopt.

Let wel, door deze methode, dus gebruik maken van bridging, verlies je je hardware offload. Dit betekend dat de performance minder is.

Volgens mij heb ik dat gedaan door middel van het volgende:
set interfaces bridge br0
set interfaces ethernet eth0 vif 4 bridge-group bridge br0
set interfaces ethernet eth2 vif 4 bridge-group bridge br0
commit

toch wil hij hem nog niet pakken.. ergens doe ik dus iets verkeerds.. of moet er op vlan 4 ook een pppoe sessie opgezet worden?

[Jeroen_ae92]

Kun je je complete config even via pm doen? Kijk ik even.

[xbeam]

Hoi hoi,

ik heb een beetje hulp nodig.

Netwerk opstelling kpn Gen => edgerouter lite => Netgear domme switch => Toughswitch 5 poort => kpn tv
----------------------------------------------------------Netgear domme switch poort 2 =>HP domme switch => unify AP Pro.

Wat is het probleem bij het aan zetten van de tv lijkt het alsof de TV (Vlan 4) het netwerk over gaat en collosion veroorzaak op de unifiAP alle mobile apparaten worden heel langzaam en het zelf is onmogelijk om in te loggen op de AP. ook veranderen alle swithes in discos. als ik de tv op de tv box uit zet dan word alles weer normaal en kan ook iedereen weer inloggen op de AP en interneten.

ik denk dat de toughswitch de vlan weer terug bridge het gewone netwerk op. maar ik zou niet weten hoe ik deze anders moet instellen.

het vreemde is wel dat de vaste PC's/ apparatuur geen last lijken te hebben van de collosion , deze hebben gewoon 100mbit internet en kunnen ook normaal contact maken met de andere apparaten op de toughswitch zoals de media speler en de tv die op de zelfde switch zitten als de kpn tv box.

ERL config :
show configuration
firewall {
all-ping enable
broadcast-ping disable
ipv6-receive-redirects disable
ipv6-src-route disable
ip-src-route disable
log-martians enable
name WAN_IN {
default-action drop
description "WAN to internal"
rule 10 {
action accept
description "Allow established/related"
state {
established enable
related enable
}
}
rule 20 {
action drop
description "Drop invalid state"
state {
invalid enable
}
}
}
name WAN_LOCAL {
default-action drop
description "WAN to router"
rule 10 {
action accept
description "Allow established/related"
state {
established enable
related enable
}
}
rule 20 {
action drop
description "Drop invalid state"
state {
invalid enable
}
}
}
options {
mss-clamp {
interface-type pppoe
interface-type pptp
interface-type tun
interface-type vti
mss 1412
}
}
receive-redirects disable
send-redirects enable
source-validation disable
syn-cookies enable
}
interfaces {
bridge br0 {
address 10.0.0.1/16
aging 300
description "KPN IPTV Bridge"
hello-time 2
max-age 20
priority 0
promiscuous disable
stp false
}
ethernet eth0 {
address 192.168.1.1/24
description Local
duplex auto
speed auto
vif 4 {
bridge-group {
bridge br0
}
description "KPN IPTV intern"
}
}
ethernet eth1 {
description Internet
duplex auto
firewall {
in {
}
local {
}
}
speed auto
vif 4 {
bridge-group {
bridge br0
}
description "KPN IPTV Extern"
}
vif 6 {
description "KPN Ineternet Vlan"
mtu 1500
pppoe 0 {
default-route auto
firewall {
in {
name WAN_IN
}
local {
name WAN_LOCAL
}
}
mtu 1492
name-server auto
password ****************
user-id xx-xx-xx-xx-xx@internet
}
}
}
ethernet eth2 {
address 192.168.2.1/24
description "Local 2"
disable
duplex auto
speed auto
}
loopback lo {
}
}
service {
dhcp-server {
disabled false
hostfile-update disable
shared-network-name LAN1 {
authoritative disable
subnet 192.168.1.0/24 {
default-router 192.168.1.1
dns-server 192.168.1.1
dns-server 8.8.8.8
lease 86400
start 192.168.1.21 {
stop 192.168.1.240
}
}
}
}
dns {
forwarding {
cache-size 150
listen-on eth0
listen-on eth2
}
}
gui {
https-port 443
}
nat {
rule 5010 {
log disable
outbound-interface pppoe0
protocol all
type masquerade
}
}
ssh {
port 22
protocol-version v2
}
}
system {
domain-name XXXXX
gateway-address 192.168.1.1
host-name XXXXXXX
login {
user XXXX{
authentication {
encrypted-password ****************
plaintext-password ****************
}
full-name "XXXXXXXXX"
level admin
}
}
ntp {
server 0.ubnt.pool.ntp.org {
}
server 1.ubnt.pool.ntp.org {
}
server 2.ubnt.pool.ntp.org {
}
server 3.ubnt.pool.ntp.org {
}
}
syslog {
global {
facility all {
level notice
}
facility protocols {
level debug
}
}
}
time-zone Europe/Amsterdam
}

switch Config:

[xbeam]

ik heb een mogelijk oorzaak gevonden ;-) het multicast protocol.

maar dan blijft bij de vraag hoe kan het dat ik bij precies de zelfde opstelling alleen dan met de kpn router hier geen last van heb ?

Hoe hebben jullie dat opgelost in de ERL ?

intressante link:
http://nerdboys.com/2012/...ng-telus-optik-tv-iptv/2/

[ Voor 31% gewijzigd door xbeam op 23-02-2015 22:18 ]

[Jeroen_ae92]

Ik denk dat je een IGMP proxy moet bouwen. Maar heb je dit issue ook als je de UAP loskoppelt? En heb je dit issue ook als er geen domme switches tussen zitten?

Maak zoiets:

code:

ubnt@ubnt# show protocols 
 igmp-proxy {
     interface eth0 {
         role downstream
         threshold 1
     }
     interface eth0.4 {
         role downstream
         threshold 1
     }
     interface eth1.4 {
         alt-subnet 0.0.0.0/0
         role upstream
         threshold 1
     }
 }

[xbeam]

ja zonder dome switch heb ik het denk ik ook.
Als ik naar de traffic op de switch kijk tijdens het tv kijken komt deze rond de 40mbit en gooit dit over alle poorten naar buiten.

Het probleem komt vaker voor
allen de oplossing die ze daar geven door mulitcast in de APte blokken vind ik niet zoon hele hang er nog veel op bij mensen.

https://community.ubnt.co...niFi-AP-speed/td-p/931656

Even een check of het goed doe ;-)
de rules komen zo op de juisten poorten ?

set protocols igmp-proxy interface eth1.4 role upstream
set protocols igmp-proxy interface eth1.4 threshold 1
set protocols igmp-proxy interface eth1.4 alt-subnet 0.0.0.0/0
set protocols igmp-proxy interface eth0.4 role downstream
set protocols igmp-proxy interface eth0.4 hreshold 1
set protocols igmp-proxy interface eth0.4 alt-subnet 10.0.0.0/16
set protocols igmp-proxy interface eth0 role downstream
set protocols igmp-proxy interface eth0 hreshold 1
set protocols igmp-proxy interface eth0 alt-subnet 192.168.1.0/24


protocols {
igmp-proxy {
interface eth0 {
alt-subnet 192.168.1.0/24
role downstream
threshold 1
}
interface eth0.4 {
alt-subnet 10.0.0.0/16
role downstream
threshold 1
}
interface eth1.4 {
alt-subnet 0.0.0.0/0
role upstream
threshold 1
}

[ Voor 63% gewijzigd door xbeam op 24-02-2015 01:51 ]

[xbeam]

IGMP proxy geeft wel extra cpu load op de ERL van 1 tot 6% naar 20% idle
is dat normaal

[Jeroen_ae92]

Bij de downstream hoef je geen subnet te specificeren. Maar werkt het nu wel goed?

[d--amo]

Jeroen_ae92 schreef op maandag 23 februari 2015 @ 23:09:
Ik denk dat je een IGMP proxy moet bouwen. Maar heb je dit issue ook als je de UAP loskoppelt? En heb je dit issue ook als er geen domme switches tussen zitten?

Maak zoiets:

code:

ubnt@ubnt# show protocols 
 igmp-proxy {
     interface eth0 {
         role downstream
         threshold 1
     }
     interface eth0.4 {
         role downstream
         threshold 1
     }
     interface eth1.4 {
         alt-subnet 0.0.0.0/0
         role upstream
         threshold 1
     }
 }

Zolang die Netgear er tussen zit, heeft dit toch geen zin? Die kent geen vlans.

Ik weet natuurlijk niet wat er nog meer op al die switches hangt. Je zou de Netgear en de Toughswitch kunnen omwisselen. Zodoende kan je daar alvast je vlans scheiden en kan je vermijden dat je multicast traffic op je UAP komt.

Afhankelijk wat er nog meer op je switches hangt, is het mogelijks beter om de netgear te vervangen door een switch die vlans kent.

[xbeam]

Nee het werk nog steeds niet.
Igmp ziet geen interfaces en mfc's

Als ik de touchswiths op de plek van de netgear neer zet dan kan ik alleen mijn setupbox gebruiken de multimedia box en tv zijn niet bereikbaar. Of als ik de vlan zo instel dat de deze zichtbaar op netwerk is de setupbox (iptv) niet meer bruikbaar.

Ik krijg het niet voor elkaar om net zo als bij de KPN v9 router een domme switch te gebruiken onder de tv waar alles op werkt.

[ Voor 35% gewijzigd door xbeam op 24-02-2015 10:34 ]

[d--amo]

xbeam schreef op dinsdag 24 februari 2015 @ 10:11:
Nee het werk nog steeds niet.
Igmp ziet geen interfaces en mfc's

Als ik de touchswiths op de plek van de netgear neer zet dan kan ik alleen mijn setupbox gebruiken de multimedia box en tv zijn niet bereikbaar. Of als ik de vlan zo instel dat de deze zichtbaar op netwerk is de setupbox (iptv) niet meer bruikbaar.

Ik krijg het niet voor elkaar om net zo als bij de KPN v9 router een dome switch te gebruiken onder de tv waar alles op werkt.

Het hangt er dus vanaf wat je nog meer op die switchen hebt aangesloten natuurlijk. Als je een combinatie hebt van managed en domme switchen hebt, dan zou je moeten zorgen dat op de domme switchen enkel apparaten zit van 1 bepaald vlan.

Je kan dan op de toughswitch de poort naar de ERL alle vlans op tagged zetten.
En vervolgens de andere poorten op Untagged in een bepaald vlan. De switch die je vervolgens op 1 van die Untagged poorten aansluit, kan dan uiteraard maar op 1 vlan zitten. Ofwel je internet ofwel je TV.

Heb je de mogelijkheid om bvb je Netgear switch enkel te gebruiken voor TV. En je HP switch enkel te gebruiken voor internet en UAP?

[xbeam]

Het probleem is dat er maar 1 kabel door de muur richting de tv gaat;-(

Met de KPN experiabox heeft het altijd gewerkt
Met die 2 domme switchen.

Nu heb ik het hier voor wel werkend gekregen met de ERL door vlan4 en eth0 in de zelfde bridge (br0) te plaatsen alleen dat vind KPN niet zo leuk van wegen de dhcp die dan via vlan4 terug het KPN netwerk opgaat.
Na 1 dag plezier stopte de tv werking door een blokkade van KPN ;-(

[ Voor 11% gewijzigd door xbeam op 24-02-2015 11:30 ]

[aZuL2001]

Wat is een dome switch?

[xbeam]

Domme ( unmanaged )
Sorry zie dat er overal dome staat

[ Voor 48% gewijzigd door xbeam op 24-02-2015 10:37 ]

[aZuL2001]

Ah, dome fout
Thx.

[Weiman]

Net een unify AP Pro besteld, samen met een gevirtualiseerde PFsense en een HP Prosuve 1810-24G gaat dit mijn thuiswerkje in m'n nieuwe appartement vormen! Ik heb me al ingelezen in hoe je met KPN glas met VLANs de boel uit elkaar kan trekken, iemand nog tips wat betreft zo'n opstelling?

[Flatlinernl]

Waarom wil je de vlan's uit elkaar trekken? Die kunnen tegenwoordig gewoon samen over 1 draadje bij KPN glas

[incomer]

Flatlinernl schreef op dinsdag 24 februari 2015 @ 11:14:
Waarom wil je de vlan's uit elkaar trekken? Die kunnen tegenwoordig gewoon samen over 1 draadje bij KPN glas

Hoe werkt dit nu dan? Proberen de boxjes zelf op VLAN4 te komen? Vanmiddag wordt bij mij glasvezel van KPN aangesloten en ik dacht dat de settup momenteel zo was:

1 kabel van de genexis in je ERL (ETH2 bij mij), daar 2 vlan's op binnen laten komen VLAN 4 (TV) en VLAN 6 (internet) vervolgens op VLAN 6 een PPPoE verbinding opzetten met je macadres@direct-adsl en wachtwoord kpn. Dit wordt dan ook je WAN voor firewall/masquarade etc.

Vervolgens gebruik ik ETH0 voor mijn lan en ETH1 voor mijn IPTV, ETH1 gooi ik in een bridge met VLAN4 van ETH2.

Zo dacht ik dat de setup van KPN eruit zag of zie ik dit verkeerd? (had de ERL stiekem zo al klaar gezet)

[Flatlinernl]

Is al een tijdje niet meer van toepassing voor zover ik weet. Iedere aansluiting is zowel iptv als internet.

Maar als het vanmiddag wordt aangesloten dan gaat de beste meneer je dat ook gewoon vertellen. Blijkt zo'n monteur dus ineens een meerwaarde te zijn, of je moet het leuk vinden om moeilijk te gaan zitten doen.

Edit: zie nu dat je de ERL wil gebruiken, weet niet of dat nog invloed heeft. Dan stond niet in de vorige post..

[ Voor 15% gewijzigd door Flatlinernl op 24-02-2015 12:33 ]

[incomer]

Flatlinernl schreef op dinsdag 24 februari 2015 @ 12:28:
Is al een tijdje niet meer van toepassing voor zover ik weet. Iedere aansluiting is zowel iptv als internet.

Maar als het vanmiddag wordt aangesloten dan gaat de beste meneer je dat ook gewoon vertellen. Blijkt zo'n monteur dus ineens een meerwaarde te zijn, of je moet het leuk vinden om moeilijk te gaan zitten doen.

Edit: zie nu dat je de ERL wil gebruiken, weet niet of dat nog invloed heeft. Dan stond niet in de vorige post..

Xbeam maakt ook gebruik van een ERL

(overigens ook het ubiquiti topic hea)

[ Voor 3% gewijzigd door incomer op 24-02-2015 12:56 ]

[Flatlinernl]

Snap ik.. Heb zelf alleen niet de router maar alleen unifi AP's

[xbeam]

Het enige probleem dat ik heb met ERL is dat wanneer ik vlan4 bridge naar alle porten op de eth (intern )
de dhcp ook naar buiten het iptv netwerk van kpn op gaat.

Het is dan mogelijk om tv te kijken op alle poorten en te switchen met unmanged switches
dit werkt top alleen KPN is er niet blij en sluit na een dag je TV af.

Daarom probeer ik het nu via een vlan bridge eth0.4 br0 eth1.4 met een managed switch deze gooit dan alleen de multicast die terug komt uit de kpn setupbox terug op interne netwerk waardoor mij wifi vol loopt en onbruikbaar is tijden het tv kijken.

Er zijn dus 2 opties bij de eerste moet je zoeken naar oplossing dat je DHCP niet naar buiten gaat.
dit is denk ik ets in de firewall wat mij nog niet gelukt is en bij de 2de oplossing schijnt het via IGMP op gelost kunnen worden ook dat is mij nog niet gelukt dus momenteel is het tv en geen internet of internet en geen tv kijken.

De pppoE inlog is trouwens
xx-xx-xx-xx-xx@internet
wachtwoord: ppp en geen kpn meer bij nieuwe aansluiting

Is iemand op het forum die iptv via ERL werkend heeft gekregen?

[incomer]

xbeam schreef op dinsdag 24 februari 2015 @ 13:15:
Het enige probleem dat ik heb met ERL is dat wanneer ik vlan4 bridge naar alle porten op de eth (intern )
de dhcp ook naar buiten het iptv netwerk van kpn op gaat.

Het is dan mogelijk om tv te kijken op alle poorten en te switchen met unmanged switches
dit werkt top alleen KPN is er niet blij en sluit na een dag je TV af.

Daarom probeer ik het nu via een vlan bridge eth0.4 br0 eth1.4 met een managed switch deze gooit dan alleen de multicast die terug komt uit de kpn setupbox terug op interne netwerk waardoor mij wifi vol loopt en onbruikbaar is tijden het tv kijken.

Er zijn dus 2 opties bij de eerste moet je zoeken naar oplossing dat je DHCP niet naar buiten gaat.
dit is denk ik ets in de firewall wat mij nog niet gelukt is en bij de 2de oplossing schijnt het via IGMP op gelost kunnen worden ook dat is mij nog niet gelukt dus momenteel is het tv en geen internet of internet en geen tv kijken.

De PPOE inlog is trouwen
xx-xx-xx-xx-xx@internet
wachtwoord: ppp en geen kpn meer bij nieuwe aansluiting

Is iemand op het forum die iptv via ERL werkend heeft gekregen?

Volgens mij kan je gewoon via de toughswitch de VLAN van je IPTV niet doorsturen naar je wifi accespoint's als ik je netwerk goed begrijp. Dan heb je dat hele probleem niet.

Dus ERL gaan 2 vlan's uit, 1 voor internet en vlan 4 voor IPTV, deze komen beide uit op je thoughswitch en daar VLAN 4 toekennen aan de poorten met een settopbox en vlan1 aan de rest

[xbeam]

helaas ook al geprobeerd het is is iets in de ERL

http://community.ubnt.com...r=labels&q=iptv+multicast

[incomer]

xbeam schreef op dinsdag 24 februari 2015 @ 13:26:
helaas ook al geprobeerd het is is iets in de ERL

http://community.ubnt.com...r=labels&q=iptv+multicast

Kan vanmiddag voor je testen of mijn configuratie werkt .

Mocht dat het geval zijn zal ik hem wel delen

[d--amo]

xbeam schreef op dinsdag 24 februari 2015 @ 13:26:
helaas ook al geprobeerd het is is iets in de ERL

http://community.ubnt.com...r=labels&q=iptv+multicast

Post eens een schema waar al je equipment opstaat, en op welke device en poort dat die zijn aangesloten. En post ook nog eens je config in een code-tag, dan is die wat makkelijker leesbaar.

[prekz]

Jeroen_ae92 schreef op zaterdag 21 februari 2015 @ 19:21:
Connect ie soms op een AP die verder weg is? Dit verklaart de drop in signal en het stotteren. Kun je iets dichttimmeren/forceren met minrssi of een 2e ssid op het dichtsbijzinde AP die enkel voor de chromecast is?

edit: Vanaf versie 3.2.10 is UAPSD standaard uit. Bij lagere versie kun je dit uitzetten via de config.properties file. Wellicht dat dit nog helpt.

Probleem heb ik inderdaad verholpen door ZHO uit te schakelen en wat settings geforceert met minrssi.

Bedankt voor de tip!

[Jeroen_ae92]

xbeam schreef op dinsdag 24 februari 2015 @ 13:15:
Er zijn dus 2 opties bij de eerste moet je zoeken naar oplossing dat je DHCP niet naar buiten gaat.
dit is denk ik ets in de firewall wat mij nog niet gelukt is en bij de 2de oplossing schijnt het via IGMP op gelost kunnen worden ook dat is mij nog niet gelukt dus momenteel is het tv en geen internet of internet en geen tv kijken.

Heb je de mogelijkheid om de unmanaged switch te vervangen voor een managed exemplaar?
Volgens mij ben je er namelijk bijna en is juist de multicast die een broadcast veroorzaakt waardoor alles in de soep hobbelt.

Eventueel heb ik nog wel een kleine HP procurve liggen.. Een 1800-8G volgens mij. Webmanaged met vlan ondersteuning.

[j1nx]

Als je de Wifi access point linksom of rechtsom in dezelfde segment hebt zitten als dat je de IPTV routeerd dan ben je altijd de sjaak.

Je hebt 3 poorten. Dus zo ver ik mij nog kan herrineren van de pfsense tijdperk.

ETH0 = VLAN4 en VLAN6 binnen laten komen. PPPOE over VLAN6 voor je internet
ETH1 = DHCP / WLAN segment
ETH2 = DHCP / LAN segment

Dan met IGMP-proxy zet je een Multicast proxy op waarbij je VLAN4 proxied naar je LAN segment (ETH2)

Dit zorgt er echter alleen voor dat je de streams op je LAN routeerd. Je DHCP request van de STB krijgt echter dan nog steeds antwoord van je eigen DHCP server en niet van de IPTV DHCP server van KPN op VLAN4

Je zult even moeten uit vogelen hoe je dat specifieke DHCP request naar de juiste DHCP server stuurt. Zo ver ik mij kan herrinere nvan mijn Amino STB tijdperk, werd er een OPTION-60 meegestuurd. In pfsense had de DHCP server dan een forward, zodat wanneer hij een specifieke OPTION-60 meekreeg, hij het request forwarden naar de juiste IPTV server.

KPN zal misschien net iets anders zijn, maar geeft je misschien wel de juiste tips en/of richting om te zoeken.

http://www.juniper.net/te...ay-option-60-strings.html
^ Zoiets zul je de ERL in moeten krijgen

EDIT: Iets wat me toen op weg hielp;
http://exarv.nl/mythtv/iptv-router/

EDIT2: Oh ja, vergeet te melden dat als je WEL op de wifi via VLC of wat dan ook bij de streams wil komen (al denk ik niet dat er bij KPN iets ongecodeerd verstuurd word als het gaat om de TV streams) dan kan je op ETH1 udpxy draaien om Multicast om te zetten naar unicast.
http://community.ubnt.com...udpxy-for-ERL/td-p/508075

[ Voor 20% gewijzigd door j1nx op 24-02-2015 16:27 ]

[incomer]

Volgens mij kijk ik ergens overheen, maar al meerder keren proberen te confiugreren. Nu heb ik een aantal sites werkend, maar een aantal ook niet (dit verstuur ik gewoon vanaf de glasvezel verbinding), maar een 'nieuwe' pagina kan ik niet bereiken.

Gaat nu puur dat internet werkend komt. Heb ook al de google dns geprobeerd of daar het probleem lag maar ook niet.
Config file:

firewall {
all-ping enable
broadcast-ping disable
ipv6-receive-redirects disable
ipv6-src-route disable
ip-src-route disable
log-martians enable
modify pppoe-out {
description "TCP clamping"
rule 1 {
action modify
modify {
tcp-mss 1452
}
protocol tcp
tcp {
flags SYN
}
}
}
name eth0-in {
default-action accept
description "Wired network to other networks."
}
name eth0-local {
default-action accept
description "Wired network to router."
}
name eth1-in {
default-action accept
description "Wireless network to other networks"
}
name eth1-local {
default-action accept
description "Wireless network to router."
}
name pppoe-in {
default-action drop
description "Internet to internal networks"
rule 1 {
action accept
description "Allow established/related"
log disable
state {
established enable
related enable
}
}
rule 2 {
action drop
description "Drop invalid state"
log enable
state {
invalid enable
}
}
}
name pppoe-local {
default-action drop
description "Internet to router"
rule 1 {
action accept
description "Allow established/related"
log disable
state {
established enable
related enable
}
}
rule 2 {
action drop
description "Drop invalid state"
log enable
state {
invalid enable
}
}
rule 5 {
action accept
description "ICMP 50/m"
limit {
burst 1
rate 50/minute
}
log enable
protocol icmp
}
}
receive-redirects disable
send-redirects enable
source-validation disable
syn-cookies enable
}
interfaces {
ethernet eth0 {
address 192.168.1.1/24
firewall {
in {
name eth0-in
}
local {
name eth0-local
}
}
}
ethernet eth1 {
address 192.168.2.1/24
firewall {
in {
name eth1-in
}
local {
name eth1-local
}
}
}
ethernet eth2 {
vif 6 {
description "internet VLAN"
mtu 1500
pppoe 0 {
firewall {
in {
name pppoe-in
}
local {
name pppoe-local
}
}
mtu 1480
password ppp
user-id xx-xx-xx@internet
}
}
}
loopback lo {
}
}
service {
dhcp-server {
disabled false
shared-network-name wired-eth0 {
authoritative disable
description "Wired Network - Eth1"
subnet 192.168.1.0/24 {
default-router 192.168.1.1
dns-server 192.168.1.1
lease 86400
ntp-server 192.168.1.1
start 192.168.1.10 {
stop 192.168.1.100
}
time-server 192.168.1.1
}
}
shared-network-name wireless-eth1 {
authoritative disable
description "Wireless Network - Eth2"
subnet 192.168.2.0/24 {
default-router 192.168.2.1
dns-server 192.168.2.1
lease 86400
ntp-server 192.168.2.1
start 192.168.2.10 {
stop 192.168.2.100
}
time-server 192.168.2.1
}
}
}
dns {
forwarding {
cache-size 150
listen-on eth0
listen-on eth1
system
}
}
gui {
https-port 443
listen-address 192.168.1.1
listen-address 192.168.2.1
}
nat {
rule 5010 {
log disable
outbound-interface pppoe0
protocol all
type masquerade
}
}
ssh {
listen-address 192.168.1.1
listen-address 192.168.2.1
port 22
protocol-version v2
}
upnp {
listen-on eth0 {
outbound-interface pppoe0
}
listen-on eth1 {
outbound-interface pppoe0
}
}
}
system {
conntrack {
expect-table-size 4096
hash-size 4096
table-size 32768
tcp {
loose enable
}
}
host-name ubnt
ipv6 {
disable
}
login {
user ubnt {
authentication {
encrypted-password $1$zKNoUbAo$gomzUbYvgyUMcD436Wo66.
}
level admin
}
}
name-server 208.67.222.222
name-server 208.67.220.220
ntp {
server 0.ubnt.pool.ntp.org {
}
server 1.ubnt.pool.ntp.org {
}
server 2.ubnt.pool.ntp.org {
}
server 3.ubnt.pool.ntp.org {
}
}
offload {
ipsec enable
ipv4 {
forwarding enable
}
ipv6 {
forwarding disable
}
}
syslog {
global {
facility all {
level notice
}
facility protocols {
level debug
}
}
}
time-zone UTC

[aZuL2001]

Code tag?

[xbeam]

@incomer
Ik zal zo even een werkende config maken voor je

Als het goed is werkt met de onderstaande config internet en TV op kpn Glas.
Alleen zit je dan wel met het zelfde multicast probleem als ik.

[ Voor 45% gewijzigd door xbeam op 24-02-2015 19:02 ]

[xbeam]

@ incomer

code: EdgeOS

firewall 
{
all-ping enable
    broadcast-ping disable
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name WAN_IN {
        default-action drop
        description ""
        enable-default-log
        rule 1 {
            action accept
            description "allow established sessions"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 2 {
            action drop
            description "drop  invalid state"
            log disable
            protocol all
        }
    }
    name WAN_LOCAL {
        default-action drop
        description ""
        enable-default-log
        rule 1 {
            action accept
            description "allow established sessions"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 2 {
            action drop
            description "drop invalid state"
            log disable
            protocol all
        }
    }
    options {
        mss-clamp {
            interface-type pppoe
            mss 1412
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    bridge br0 {
        address 10.0.0.1/16
        aging 300
        hello-time 2
        max-age 20
        priority 0
        promiscuous disable
        stp false
    }
    ethernet eth0 {
        address 192.168.1.1/24
        duplex auto
        speed auto
        vif 4 {
            bridge-group {
                bridge br0
            }
            description "KPN IPTV Intern"
            mtu 1500
        }
    }
    ethernet eth1 {
        duplex auto
        speed auto
        vif 4 {
            bridge-group {
                bridge br0
            }
            description "KPN IPTV extern"
            mtu 1500
        }
        vif 6 {
            pppoe 0 {
                default-route auto
                firewall {
                    in {
                        name WAN_IN
                    }
                    local {
                        name WAN_LOCAL
                    }
                }
                mtu 1492
                name-server auto
                password ppp
                user-id XX-XX-XX-XX-XX-XX@internet
            }
        }
    }
    ethernet eth2 {
        disable
        duplex auto
        speed auto
    }
    loopback lo {
    }
}
protocols {
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name SOHODHCP{
            authoritative disable
            subnet 192.168.1.0/24 {
                default-router 192.168.1.1
                dns-server 192.168.1.1
                dns-server 8.8.8.8
                lease 86400
                start 192.168.1.1 {
                    stop 192.168.1.255
                }
            }
        }
    }
    dns {
        forwarding {
            cache-size 150
            listen-on eth0
        }
    }
    gui {
        https-port 443
    }
    nat {
        rule 5000 {
            description "KPN internet"
            log disable
            outbound-interface pppoe0
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
}
system {
    host-name ubnt
    login {
        user {
            authentication {
                encrypted-password 
                plaintext-password ""
            }
            level admin
        }
    }
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone UTC
}

[xbeam]

j1nx schreef op dinsdag 24 februari 2015 @ 16:06:

Dan met IGMP-proxy zet je een Multicast proxy op waarbij je VLAN4 proxied naar je LAN segment (ETH2)

Dit zorgt er echter alleen voor dat je de streams op je LAN routeerd. Je DHCP request van de STB krijgt echter dan nog steeds antwoord van je eigen DHCP server en niet van de IPTV DHCP server van KPN op VLAN4

Je zult even moeten uit vogelen hoe je dat specifieke DHCP request naar de juiste DHCP server stuurt. Zo ver ik mij kan herrinere nvan mijn Amino STB tijdperk, werd er een OPTION-60 meegestuurd. In pfsense had de DHCP server dan een forward, zodat wanneer hij een specifieke OPTION-60 meekreeg, hij het request forwarden naar de juiste IPTV server.

zoals ik het nu begrijp is IGMP een multicast proxies en niet noodzakelijk of wel?
Momenteel ik heb tv werkenden via een bridge. en gaat IGMP mijn multicast probleem niet verhelpen of wel?
en waarom is het beter om IGMP te gebruiken in plaats een Bridge.

En waarom heb ik met de KPN router het multicast probleem niet wat doen zijn anders?

code: EdgeOS

firewall interfaces {
bridge br0 {
address 10.0.0.1/16
aging 300
hello-time 2
max-age 20
priority 0
promiscuous disable
stp false
}
ethernet eth0 {
address 192.168.1.1/24
duplex auto
speed auto
vif 4 {
bridge-group {
bridge br0
}
description "KPN IPTV Intern"
mtu 1500
}
}
ethernet eth1 {
duplex auto
speed auto
vif 4 {
bridge-group {
bridge br0
}
description "KPN IPTV extern"
mtu 1500

[incomer]

heb kleine aanpassingen gedaan aan je config maar hij werkt! Bedankt hiervoor!!!

Heb IPTV nog niet kunnen testen zal ik zo even doen voor je

[j1nx]

xbeam schreef op dinsdag 24 februari 2015 @ 19:11:
[...]

zoals ik het nu begrijp is IGMP een multicast proxies en niet noodzakelijk of wel?

IGMP is eigenlijk een stukje protocol wat gebruikt word bij multicast. Feitelijk om een stream te starten word eerst een IGMP-join request gestuurt. Die zegt, "doe mij die maar" en zorgt ervoor dat tussen liggende routers de multicast pakketjes van die stream naar jouw door laten komen. Ben je klaar, dan stuur je een IGMP-leave request.

Dit zorgt ervoor dat bepaalde streams niet over alle routers gaan en feitelijk alleen richting de mensen die kijken. In jouw straat vliegen dus alleen de streams die bekeken worden in jouw straat. In jouw plaats alleen de streams die in jouw hele stad bekeken worden etc.

Multicast is multicast en vliegt dus "dom" over elke poort. IGMP proxy maakt jouw pooorten weer slim genoeg om alleen streams door te laten die op die poort bekeken worden. Aangezien niemand op jouw wifi streams zal kijken, zal dat voorkomen dat de multicast streams je wifi opgaan. Multicast op je wifi betekend feitelijk - bye bye wifi connectie.

Kort: Je hebt de IGMP proxy nodig om multicast van je wifi te weren.

xbeam schreef op dinsdag 24 februari 2015 @ 19:11:
Momenteel ik heb tv werkenden via een bridge. en gaat IGMP mijn multicast probleem niet verhelpen of wel?

Ja en nee. Een bridge is maar een "dom patch kabeltje". Je zou dat eigenlijk kunnen visualiseren als een UTP patch kabeltje wat twee fysieke switches aan elkaar verbind zodat je wat meer poortjes tot je beschikking hebt.

xbeam schreef op dinsdag 24 februari 2015 @ 19:11:
en waarom is het beter om IGMP te gebruiken in plaats een Bridge.

Als jij je Wifi ook aan die zelfde LAN bridge hebt hangen, of je patched een UAP op dat segment, wel dan gaat de multicast dus weer dom je wifi op met alle gevolgen van dien.

xbeam schreef op dinsdag 24 februari 2015 @ 19:11:
En waarom heb ik met de KPN router het multicast probleem niet wat doen zijn anders?


interfaces {
bridge br0 {
address 10.0.0.1/16
aging 300
hello-time 2
max-age 20
priority 0
promiscuous disable
stp false
}
ethernet eth0 {
address 192.168.1.1/24
duplex auto
speed auto
vif 4 {
bridge-group {
bridge br0
}
description "KPN IPTV Intern"
mtu 1500
}
}
ethernet eth1 {
duplex auto
speed auto
vif 4 {
bridge-group {
bridge br0
}
description "KPN IPTV extern"
mtu 1500

Ik heb geen idee hoe KPN het geconfigureerd heeft in die routers van hun (kan je niet een soort van config file daaruit trekken?)

Wat me snel opvalt is dat je een Class-A netwerk bridged met een Class-B netwerk. (10.x.x.x naar 192.168.x.x). Ik kan me inderdaad van mijn Amino netwerk ook herinneren dat de STB's in een Class-A hingen.

Wat ik me afvraag; Heb je dan ook wel routing regels toegepast voor dat Class-A verkeer? Als je niet specifiek zegt dat 10.x.x.x naar de IPTV extern moet, dan zal hij in je default rule terecht komen wat meestal dus het internet net is.

[xbeam]

Mijn oude situatie:



Nieuwe Situatie:


ToughSwitch VLan setting


ERL opzet:

[ Voor 52% gewijzigd door xbeam op 24-02-2015 20:07 ]

[j1nx]

Misschien moeten we deze discussie door een mod laten weg trekken in een nieuw topic. Weet dat het wel over een ERL gaat, maar is wel heel KPNERL specifiek.

kan de plaatjes overigens niet zien

[ Voor 11% gewijzigd door j1nx op 24-02-2015 19:59 ]

[Jeroen_ae92]

Er hoeft geen ip te hangen aan de bridge. Daardoor vervalt het klasse A en B stuk. Immers, de setopbox krijgt een ip vanuit een ander device dan de erl en de erl hoeft niets met het verkeer te doen anders dan het door te laten.

[markvl]

Misschien vind je hier nog nuttige info?
http://www.linuxfoundatio...etworking/bridge#Snooping

De daar beschreven settings moet je op Linux niveau doen, dus na inloggen op je router eerst "sudo su -"

[xbeam]

Jeroen_ae92 schreef op dinsdag 24 februari 2015 @ 20:06:
Er hoeft geen ip te hangen aan de bridge. Daardoor vervalt het klasse A en B stuk. Immers, de setopbox krijgt een ip vanuit een ander device dan de erl en de erl hoeft niets met het verkeer te doen anders dan het door te laten.

Zonder ip heb ik geen TV ;-)
Ik heb het geprobeerd zonder maar doet hij helemaal niets.

[ Voor 4% gewijzigd door xbeam op 24-02-2015 20:11 ]

[j1nx]

Probeer het eens zonder IP, maar maak wel de 10.x.x.x routing regels aan om die richting de IPTV VLAN te duwen.

Waarschijnlijk omdat je de bridge een IP geeft, dat hij ook automatisch die regels voor je aanmaakt.

Als dat werkt, kun je met de firewall alleen Class-A IP verkeer toelaten door de IPTV VLAN en heb je direct opgelost dat Class-B broadcast verkeer daar ook overheen gaat. (DHCP)

Edit: Doh, je hebt helemaal geen controle over het verkeer op de bridge.

[ Voor 37% gewijzigd door j1nx op 24-02-2015 20:20 ]

[xbeam]

Jeroen_ae92 schreef op dinsdag 24 februari 2015 @ 20:06:
Er hoeft geen ip te hangen aan de bridge. Daardoor vervalt het klasse A en B stuk. Immers, de setopbox krijgt een ip vanuit een ander device dan de erl en de erl hoeft niets met het verkeer te doen anders dan het door te laten.

je hebt gelijk hij doet het ook zonder IP
dan had ik schijnbaar iets anders fout staan dat het toen niet werkte.

[xbeam]

ik ben er eigenlijk wel een beetje klaar mee.
is er iemand die kan bevestigen of ontkrachten dat ik als ik alle switches vervang voor een managed versies het probleem is opgelost met de multicast niet meer bij mijn accespoint kan komen?

[Jeroen_ae92]

Ik denk dat als je enkel de netgear switch vervangt dat het verkeer binnen het eigen vlan blijft en dus niet meer bij de UAP komt.

Zoals ook al in PM gezegd, ik heb hier nog een Toughswitch liggen, die mag je gerust testen. Dan weet je het zeker, toch?

[aZuL2001]

Mannen, kunnen jullie ter bevordering van de leesbaarheid de configs tussen code tags zetten? Dank

[Jeroen_ae92]

aZuL2001 schreef op dinsdag 24 februari 2015 @ 21:26:
Mannen, kunnen jullie ter bevordering van de leesbaarheid de configs tussen code tags zetten? Dank

code:

Ik stem voor

[aZuL2001]

code:

.
rofl

[j1nx]

xbeam schreef op dinsdag 24 februari 2015 @ 20:36:
ik ben er eigenlijk wel een beetje klaar mee.
is er iemand die kan bevestigen of ontkrachten dat ik als ik alle switches vervang voor een managed versies het probleem is opgelost met de multicast niet meer bij mijn accespoint kan komen?

Ik snap niet waarom je ETH2 niet gewoon voor een apart WLAN segment gebruikt? Dan komt die multicast ook niet op je UAP.

[xbeam]

Omdat ik dan niet naar de tv, hifi en andere apparaten kan streamen en bedienen.

Ik heb maar 1kabel naar de huiskamer in meur zitten daar moet dus iptv en het lokale netwerk over.

[aZuL2001]

Je zou, kan volgens de specificaties, nog kunnen overwegen om je ene utp kabel te splitsen.
Maar dan kun je Gigabit vergeten.

[carnager]

Tip icm die van aZuL2001, als je je kabel zo gaat opsplitsen:
- Dit werkt prima, zo kan je 2 losse 100mbit verbindingen over een (minimaal) Cat5e kabel loodsen.
- Regel een paar extra stukjes utp van een centimeter of 10 lang.
- Gebruik van de losse stukjes utp steeds 4 adertjes om te helpen de aders in de goede volgorde te sorteren en in de plug te schuiven, voordat je gaat krimpen.
- Zit alles op de goede volgorde in de plug, dan kun je al naar gelang hoe handig je bent voorzichtig de hulpdraadjes terugtrekken voor de meest 'schone' look, of je laat ze tijdens het krimpen nog zitten en knipt ze later kort achter de plug af.
- De mantel van de losse stukjes UTP kun je ook hergebruiken zodat je om beide eindjes aan weerszijden van de kabel een mantel hebt, voer die mee naar binnen de plug in voor het krimpen zodat je trekontlasting 'werkt'.
- Op het splitsingspunt aan beide uiteinden van de kabel liggen de adertjes bloot. Omwikkel dit met isolatietape of, voor een nog beter resultaat, met zelf-vulcaniserende tape, telkens met een stukje overlap over de mantels, zodat dit punt minder kwetsbaar wordt (zeker in de huiskamer een goed plan en als moeder-de-vrouw nogal eens in de meterkast wil rommelen bij de router in de buurt zou ik het daar ook zeker doen)

[ Voor 19% gewijzigd door carnager op 25-02-2015 04:50 . Reden: Laatste 'deel' tip toegevoegd. ]

[d--amo]

xbeam schreef op dinsdag 24 februari 2015 @ 19:56:
Nieuwe Situatie:
[afbeelding]

ERL opzet:
[afbeelding]

Met 1 extra managed switch ga je deze opzet kunnen doen.
De netgear dient nog vlans te kennen. Deze kan dan alle vlans tagged ontvangen van de ERL.
De poort naar de HP switch dient dan untagged vlan 6 te worden.
De poort naar de toughswitch is opnieuw tagged voor alle vlans.
De poort naar de KPN box is dan Untagged vlan 4. (Ik ga er even van uit dat die KPN box untagged traffic wil?)
De andere poorten zijn dan Untagged vlan 6

Door nu reeds de toughswitch en de netgear van plaats te veranderen, kan je wel je tv en internet al werkende krijgen.
Alleen moet je dan de poort van de toughswitch naar de netgear op untagged vlan 4 zetten.
Het enige wat dan niet werkt zijn je mediabox en hifi-set, aangezien deze dan mee in vlan 4 komen te zitten. En mogelijks geen IP zullen krijgen van KPN?

[m3gA]

Ik heb een aantal remote access vpn's aangemaakt op mijn edgerouter (lt2p). Deze werken ongeveer 15 minuten en worden daarna afgebroken. Het maakt verder niet uit ze actief of inactief zijn. Is dit een instelling? De site to site ipsec vpn's hebben hier geen last van.

[Mr Orange]

Inmiddels heb ik een Edgerouter Lite en ben daar lekker mee aan het prutsen.
Als leek is de basis nog wel te doen. Gewoon een SOHO basis configuratie gebruikt en met de GUI is een VLAN met eigen dhcp server ook nog wel te maken.
Voor het eerst ook bezig geweest met smart switches en tagged en untagged poortjes. Ook dat is gelukt.
Ook een portforward naar mijn OpenVPN server is werkend gekregen. Ik ben blij tot nu toe. ;-)

Maar waar ik nog niet uit kom is om extra firewall rules te maken. Op dit moment kunnen mijn twee subnets nog met elkaar praten en dat is nou net niet de bedoeling.
Hoe krijg ik het nou voor elkaar dat dat mijn vlan enkel toegang heeft tot het internet en niets anders?

[d--amo]

Mr Orange schreef op vrijdag 27 februari 2015 @ 15:28:
Inmiddels heb ik een Edgerouter Lite en ben daar lekker mee aan het prutsen.
Als leek is de basis nog wel te doen. Gewoon een SOHO basis configuratie gebruikt en met de GUI is een VLAN met eigen dhcp server ook nog wel te maken.
Voor het eerst ook bezig geweest met smart switches en tagged en untagged poortjes. Ook dat is gelukt.
Ook een portforward naar mijn OpenVPN server is werkend gekregen. Ik ben blij tot nu toe. ;-)

Maar waar ik nog niet uit kom is om extra firewall rules te maken. Op dit moment kunnen mijn twee subnets nog met elkaar praten en dat is nou net niet de bedoeling.
Hoe krijg ik het nou voor elkaar dat dat mijn vlan enkel toegang heeft tot het internet en niets anders?

Ik heb zelf ook een 'guest' vlan, waarmee je alleen naar het internet kan. Dat doe ik op de volgende manier:
Ik heb dus een netwerk groep aangemaakt, van de private ranges. Traffiek naar een adres uit die private ranges, zal dus gedropt worden. Op die manier zijn meteen al mijn andere vlans ook beschermd van het guest vlan.

Je kan ook met zone-based firewall aan de slag gaan, maar dit is denk ik de makkelijkste manier.

code:

firewall {
    all-ping enable
    broadcast-ping disable
    group {
        network-group PRIVATE_NETWORK {
            network 10.0.0.0/8
            network 192.168.0.0/16
        }
    }

name GUEST_BLOCK {
        default-action accept
        rule 20 {
            action drop
            destination {
                group {
                    network-group PRIVATE_NETWORK
                }
            }
            log enable
        }
    }

[incomer]

Ik heb nu toch iets vreemds.

Heb de config een beetje aangepast aan mijn wensen (ik wilde een andere subnet + ik wil eth1 gebruiker voor IPTV) Dus ik heb eth1 in de bridge gegooid, maar eth1 komt niet up als er een settopbox aanstaat (lampje gaat oranje branden en in de webinterface staat gewoon disconnected.)

Nevermind was vergeten te zeggen dat hij wel geenabled moest zijn -.-.


Overigens werkt bij mij nu alles met de edgerouter lite.

Mijn configuratie ziet er momenteel zo uit:

ETH2 = WAN (VLAN 4 + VLAN6)
ETH1 = IPTV bridge met VLAN4 van WAN
ETH0 = Local netwerk + VLAN voor gasten netwerk, 2 DHCP servers en is direct verbonden met mijn Draytek AP900 die mijn WLAN verzorgt en meteen mijn switch is.

[ Voor 41% gewijzigd door incomer op 28-02-2015 12:04 ]

[andy88]

Ik wil op de Edgerouter van mijn ouders een VPN opzetten.
Nu wilde ik dit doen aan de hand van deze tutorial:
http://www.rackspace.com/...ice-on-a-vyatta-appliance

Echter word hier het WAN ip adres van eth0 hard geprogrammeerd.
Hoe doe je dit in geval van een dynamisch (Ziggo) IP adres?
Is het ook mogelijk om hier een hostname in te zetten in plaats van een IP?

[yzf1kr]

Ja, gewoon DDNS service gebruiken.

https://community.ubnt.co...-DNS-commands/ta-p/473905

[Mr Orange]

d--amo schreef op zaterdag 28 februari 2015 @ 07:31:
[...]


Ik heb zelf ook een 'guest' vlan, waarmee je alleen naar het internet kan. Dat doe ik op de volgende manier:
Ik heb dus een netwerk groep aangemaakt, van de private ranges. Traffiek naar een adres uit die private ranges, zal dus gedropt worden. Op die manier zijn meteen al mijn andere vlans ook beschermd van het guest vlan.

Je kan ook met zone-based firewall aan de slag gaan, maar dit is denk ik de makkelijkste manier.

code:

firewall {
    all-ping enable
    broadcast-ping disable
    group {
        network-group PRIVATE_NETWORK {
            network 10.0.0.0/8
            network 192.168.0.0/16
        }
    }

name GUEST_BLOCK {
        default-action accept
        rule 20 {
            action drop
            destination {
                group {
                    network-group PRIVATE_NETWORK
                }
            }
            log enable
        }
    }

d--amo, dank, dit is een mooi idee.

Alleen gaat er bij mij iets mis. Ik heb je aanwijzing opgevolgd, maar ik krijg een ander resultaat.
Ik kan als "gast" niet meer bij internet en wel bij mijn prive-netwerk..

Oeps..8)7

Ik heb de regel via de gui aangemaakt en heb nu de volgende firewallregels:

code:

firewall {                                                                              
    all-ping enable                                                                     
    broadcast-ping disable                                                              
    group {                                                                             
        network-group PRIVE_NETWERK {                                                   
            description "eigen netwerk"                                                 
            network 192.168.1.0/24                                                      
        }                                                                               
    }                                                                                   
    ipv6-receive-redirects disable                                                      
    ipv6-src-route disable                                                              
    ip-src-route disable                                                                
    log-martians enable                                                                 
    name GUEST_BLOCK {                                                                  
        default-action accept                                                           
        description "Blokkeren van gasten op prive netwerk"                             
        rule 1 {                                                                        
            action drop                                                                 
            description GUEST_BLOCK                                                     
            destination {                                                               
                group {                                                                 
                    network-group PRIVE_NETWERK                                         
                }                                                                       
            }
            log disable                                                                 
            protocol all                                                                
            source {                                                                    
                group {                                                                 
                }                                                                       
            }                                                                           
        }                                                                               
    }                                                                                   
    name WAN_IN {                                                                       
        default-action drop                                                             
        description "WAN to internal"                                                   
        rule 10 {                                                                       
            action accept                                                               
            description "Allow established/related"                                     
            state {                                                                     
                established enable                                                      
                related enable                                                          
            }                                                                           
        }                                                                               
        rule 20 {                                                                       
            action drop                                                                 
            description "Drop invalid state"                                            
            state {
                invalid enable                                                          
            }                                                                           
        }                                                                               
    }                                                                                   
    name WAN_LOCAL {                                                                    
        default-action drop                                                             
        description "WAN to router"                                                     
        rule 10 {                                                                       
            action accept                                                               
            description "Allow established/related"                                     
            state {                                                                     
                established enable                                                      
                related enable                                                          
            }                                                                           
        }                                                                               
        rule 20 {                                                                       
            action drop                                                                 
            description "Drop invalid state"                                            
            state {                                                                     
                invalid enable                                                          
            }                                                                           
        }                                                                               
    }
    receive-redirects disable                                                           
    send-redirects enable                                                               
    source-validation disable                                                           
    syn-cookies enable                                                                  
}

Nu zie ik dat mijn nieuwe regels als eerste staat vermeld.
Ik heb begrepen dat de volgorde van regels belangrijk is. Wellicht is dit het issue?
Ik weet alleen niet hoe ik dit via de gui (en ook niet via cli) aan moet passen. Als dat het al is.

Wie het weet mag het zeggen.

[ Voor 0% gewijzigd door Mr Orange op 28-02-2015 17:47 . Reden: Ik had voor mijn gast VLAN geen DNS forward ingesteld, dus ik had hiervoor ook geen internet. |:( ]

[Jeroen_ae92]

Je moet de regels wel aan je ethX/in hangen. Anders gebeurt er niets.

[d--amo]

Mr Orange schreef op zaterdag 28 februari 2015 @ 16:34:
[...]


d--amo, dank, dit is een mooi idee.

Alleen gaat er bij mij iets mis. Ik heb je aanwijzing opgevolgd, maar ik krijg een ander resultaat.
Ik kan als "gast" niet meer bij internet en wel bij mijn prive-netwerk..

Oeps..8)7

Ik heb de regel via de gui aangemaakt en heb nu de volgende firewallregels:

Nu zie ik dat mijn nieuwe regels als eerste staat vermeld.
Ik heb begrepen dat de volgorde van regels belangrijk is. Wellicht is dit het issue?
Ik weet alleen niet hoe ik dit via de gui (en ook niet via cli) aan moet passen. Als dat het al is.

Wie het weet mag het zeggen.

Dat ze als eerste staan in die config, maakt niets uit. Ze zitten namelijk in een andere ruleset. Alleen de volgorde binnen eenzelfde ruleset maakt iets uit.

In het stuk config dat je post is niets mis te zien.
Zoals jeroen zei moet je de firewall wel toepassen op je interface, maar als je dat niet gedaan hebt verklaart dat je probleem nog niet. Dan zou gewoon alles nog moeten werken.

Kan je de rest van je config, en specifiek de interfaces ook eens posten?

EDIT:
Oh je internet werkt wel, verkeerd gelezen. Dan zal het inderdaad een kwestie zijn van de firewall toe te passen op je interface.

[ Voor 5% gewijzigd door d--amo op 01-03-2015 07:14 ]

[Mr Orange]

@ Jeroen_ae92 en d--amo

Dat was het inderdaad, nu werkt het! Dank! Op zich wel logisch.

Alleen kan ik nog steeds vanuit mijn gastennetwerk de router benaderen. Is dit normaal?
Dat lijkt me nog steeds een risico, toch? Is daar wat aan te doen?

Verder vraag ik me af hoe ik me wat meer thuis kan gaan maken in deze mooie materie.
Boek? Website? Forum?
De uitleg op de site van UBNT vindt ik al een vrij hoge eerste stap voor een aantal dingen. Wellicht de Vyos site, of...

[d--amo]

Mr Orange schreef op maandag 02 maart 2015 @ 14:36:
@ Jeroen_ae92 en d--amo

Dat was het inderdaad, nu werkt het! Dank! Op zich wel logisch.

Alleen kan ik nog steeds vanuit mijn gastennetwerk de router benaderen. Is dit normaal?
Dat lijkt me nog steeds een risico, toch? Is daar wat aan te doen?

Verder vraag ik me af hoe ik me wat meer thuis kan gaan maken in deze mooie materie.
Boek? Website? Forum?
De uitleg op de site van UBNT vindt ik al een vrij hoge eerste stap voor een aantal dingen. Wellicht de Vyos site, of...

Daarvoor moet je diezelfde ruleset nog toepassen op de 'local' van je interface, gezien je dan op de router zelf connecteert.

code:

firewall {
            in {
                name GUEST_BLOCK
            }
            local {
                name GUEST_BLOCK
            }
        }

Je kan natuurlijk ook zorgen dat de router op je guest-vlan niet luistert op je https en ssh poorten, dan kunnen ze ook niet connecteren.
Ik pas beide toe op mijn router. In de local firewall accept ik wel nog icmp, dat is soms handig om te troubleshooten als er iets niet werkt


De website van ubnt is wat mij betreft een mooie bron voor de meeste vragen, uiteraard specifiek voor ubnt producten en hun commands.

[ Voor 12% gewijzigd door d--amo op 02-03-2015 14:54 ]

[Jeroen_ae92]

Uit mijn hoofd is dit de meest veilige:

code:

set service gui listen-address 10.0.0.1

Vervang het ip naar het router adres binnen je lan. Hierdoor sluit je je guest netwerk af van de gui.

Als je de optie van de poster boven mij gebruikt sluit je ook loopback en local dns uit. Dat kan nog wel eens handig zijn met bv een portal voor het guest wifi en eventuele dns listeners.

Of je moet daar weer accept rules voor maken natuurlijk

[ Voor 39% gewijzigd door Jeroen_ae92 op 02-03-2015 18:39 ]

[GerjanT]

Tja, ik zie toch dat je veel dingen moet uitsluiten. Ik heb zelf gekozen om de router in te richten met een zone-based-policy. Het is even wat werk en je moet er even over nadenken maar het went snel. In de laatste software-versie is zelfs IPSec als een aparte zone te maken, dat moet ik zelf ook nog even uitproberen.

Ik heb https://community.ubnt.co...y-CLI-Example/ta-p/422341 als uitgangspunt genomen voor mijn configuratie.

[Jeroen_ae92]

De gehele firewall is zone-based.

De tutorial is een zeer informatieve bron. Iedereen zou die moeten lezen

[GerjanT]

Jeroen_ae92 schreef op woensdag 04 maart 2015 @ 18:37:
De gehele firewall is zone-based.

De tutorial is een zeer informatieve bron. Iedereen zou die moeten lezen

Eens, je ziet veel mensen het ACL toepassen en geen zones. Je loopt de kans dat er dan toch gaten inzitten. Steek dat uurtje extra erin en pas zones toe.

[Mr Orange]

Dank! Dat ga ik dit weekend maar eens proberen.

Dat zone based ziet er wel weer heel lastig uit. Om dat te snappen, zal ik er toch wel heel wat meer tijd in moeten steken.

Ook heb ik nog een andere vraag. Ik zou willen weten of het mogelijk is om het gasten VLAN alle bandbreedte te geven als nodig, behalve als mijn apparaten in mijn eigen VLAN iets wilt.
Ik kan bijvoorbeeld wel met mijn Unifi AP's voor de gasten een user-group aanmaken en daar het eea beperken, maar dat is niet helemaal wat ik zoek.

Enig idee hoe ik zoiets kan regelen? Het liefst een optie die eenvoudig is te implementeren. ;-)