[Ervaringen/discussie] Ubiquiti-apparatuur

[timothee]

sww89 schreef op donderdag 03 maart 2016 @ 22:34:
[...]

De 15". Ik zie ook nooit de maximaal haalbare snelheid in beeld staan hoor (voor zover je daar waarde aan kunt hechten). Met de Merlin firmware op de R7000 kan ik net als op de AC-LR de TX snelheid zien van verbonden apparaten. Net als via Option toets+Wi-Fi symbool op de Mac wat dan iets andere resultaten geeft. Op de R7000 ben ik nog nooit hoger gekomen dan 867Mbit terwijl 1300Mbit hardwaretechnisch ook zou moeten kunnen. Op de AC-LR zie ik in de korte tijd dat ik getest heb 720Mbit als max voor de MacBook, maar mijn iPhone 6s+ en iPad Air 2 laten wel 867Mbit zien in de controller en dat klopt ook wel daar beide 2x2 doen als ik het goed heb.

In de praktijk let ik er niet echt op. Voor mij is het vooral nu even interessant maar aan de praktijksnelheden merk ik het niet of 1300Mbit haalbaar is of niet. Ik zal morgen even kijken wat het opschroeven van de TX power doet.

Ok, de 15 inch, dan zal ie wel 3x3 ondersteunen denk ik dan...

Die 867Mbps die jij tot nu toe als max. gehaald hebt, heb ik nog nooit gehaald. Hooguit iets van 600Mbps. De app Wifi Signal geeft als max. data rate ook 600Mbps aan. Dat heb ik ook in een andere app gezien (weet even niet meer welke, NetSpot toont het niet).
Mijn MacBook geeft momenteel 162Mbps aan als ik Option-key+Wifi logo doe, terwijl hij volgens de Unifiy Controller met een 450M Tx rate is gekoppeld. Ik snap niet waar dat verschil in al die waarden vandaan komt, maar zoals gezegd heb ik nog nooit een hogere waarde dan iets rond de 600 gezien en dat stelt me toch een beetje teleur....ook omdat ik volgens mij met mijn oude TP-Link router, die verder weg stond, vrijwel constant 450Mbps haalde op 5Ghz.
In de praktijk merk ik overigens weinig verschil tussen ~200 en ~600 omdat ik meestal toch alleen maar wat zit te surfen, maar toch

[ Voor 4% gewijzigd door timothee op 03-03-2016 22:58 ]

[prekz]

Jeroen_ae92 schreef op donderdag 03 maart 2016 @ 14:45:
Iets met script dat pingt naar controller A, niet bereikbaar dan schrijf naar dns server met een nieuw record van controller B.

Dat lijkt me dus redelijk lastig. Je Unifi ap's staan maar in één controller. Hoe krijg je die zichtbaar binnen de andere controller zonder opnieuw sites te configureren?

EDIT: Zover ik weet kan je een AP ook niet in meerdere controllers configureren.

[ Voor 9% gewijzigd door prekz op 04-03-2016 08:54 ]

[eymey]

In theorie zou het kunnen als je de controller configuratie en status aan beide kanten altijd gesynchroniseerd houdt en met de enige standy, de ander actief. En dan een soort 'heartbeat' mechanisme om te kijken of er een 'failover' plaats moet vinden. En dan idd DNS aanpassen, of eventueel het subnet waar de controllers in zitten 'extenden' over je tunnel. Dan kan tijdens failover de ander ook het IP over nemen . Gratuitous ARP over het netwerk heen voor apparaten die het MAC adres van 1 van de apparaten al in hun ARP tabel hebben staan.

Zo heb ik ooit een keer een failover 'clustertje' geconfigureerd voor een webservertje (meest static content) dat high available moest zijn. Werkte nog prima ook

[ Voor 5% gewijzigd door eymey op 04-03-2016 08:59 ]

[Packetloss]

DenBenny schreef op donderdag 03 maart 2016 @ 13:01:
Ik zoek een PoE switch zonder ventilatoren (als dat bestaat?).

Ik heb (meen ik) deze gehad: pricewatch: Netgear Prosafe Gigabit Plus GS108PE-100EUS en ik kan me niet herinneren dat ik ventilatoren hoorde.
Nu heb ik deze: pricewatch: D-Link DGS-1210-28P en die maakt aardig lawaai helaas (maar bevalt verder prima). Ik had een switch nodig met meer dan 8 poorten en wilde perse PoE+ voor het geval dat.

[TAMW]

DenBenny schreef op donderdag 03 maart 2016 @ 13:01:
Iemand een idee of er in de edge switch - 24 - 250W ventilatoren zitten?
Ik zoek een PoE switch zonder ventilatoren (als dat bestaat?).

14 poorten POE+ passief gekoeld.(fanless)

pricewatch: Juniper EX2200-C-12P-2G

[timothee]

Packetloss schreef op vrijdag 04 maart 2016 @ 11:30:
[...]


Ik heb (meen ik) deze gehad: pricewatch: Netgear Prosafe Gigabit Plus GS108PE-100EUS en ik kan me niet herinneren dat ik ventilatoren hoorde.
Nu heb ik deze: pricewatch: D-Link DGS-1210-28P en die maakt aardig lawaai helaas (maar bevalt verder prima). Ik had een switch nodig met meer dan 8 poorten en wilde perse PoE+ voor het geval dat.

Als het een unmanaged PoE switch mag zijn, dan is de Linksys LGS116-P wellicht iets voor je: pricewatch: Linksys LGS116P

Ik heb deze ook (i.c.m. twee PoE compatible UAP-AC-Pro AP's) en hij doet het prima. Zit zover ik weet geen fan in, hij is in elk geval volledig stil (hoor het anders toch niet omdat ie in de meterkast staat).

[Packetloss]

Ook van mijn kant een korte consumenten gebruikerservaring. Sinds deze week de gelukkige eigenaar van een pricewatch: Ubiquiti UniFi AP AC PRO (1-Pack). Vanochtend aangesloten en bevalt prima tot nu toe. Netwerk setup op mijn Linux server:
ppp0 192.0.2.1 internet
p1p2 192.168.22.1 LAN
tun0 192.168.23.1 OpenVPN
p1p2 192.168.24.1 IPsec
p1p1 192.168.25.1 camera's
eth0 192.168.26.1 WiFi

De software installatie (via /etc/apt/sources.list heb ik de unify en mongodb repo's toegevoegd) verliep prima. Daarna was het ff zoeken hoe ik de webinterface kon benaderen. Ik kwam uit op http://192.168.22.1:8080 . Daarna kon ik de AP AC Pro niet vinden. Na een kop koffie bedacht ik me: het LAN en WiFi netwerk zijn gescheiden. Dus, http://192.168.26.1:8080/ werkt wel.

Twee vragen:
1) iemand een idee hoe ik de controller / het AP kan vertellen welke NTP server er gebruikt moet worden? Ik wil graag een NTP server gebruiken die ik zelf opgeef.
2) iemand een idee hoe ik de unify software kan vertellen: doe ff binden aan interface X en niet aan alle interfaces? In mijn geval zou eth0 voldoende zijn.

[Packetloss]

timothee schreef op vrijdag 04 maart 2016 @ 11:36:
[...]


Als het een unmanaged PoE switch mag zijn, dan is de Linksys LGS116-P wellicht iets voor je: pricewatch: Linksys LGS116P

Ik heb deze ook (i.c.m. twee PoE compatible UAP-AC-Pro AP's) en hij doet het prima. Zit zover ik weet geen fan in, hij is in elk geval volledig stil (hoor het anders toch niet omdat ie in de meterkast staat).

Die is interessant ja. Maar inderdaad, ik wilde zowel managed, als meer dan 16 poorten als PoE+. En dan niet EUR 1500 uitgeven .

[DenBenny]

NovapaX schreef op donderdag 03 maart 2016 @ 13:08:
[...]

Daar zitten inderdaad ventilatoren in (heb hem hier staan)

Maakt deze veel lawaai? het is hem inderdaad voor het geluid/lawaai te doen.

Packetloss schreef op vrijdag 04 maart 2016 @ 11:30:
[...]

Ik heb (meen ik) deze gehad: pricewatch: Netgear Prosafe Gigabit Plus GS108PE-100EUS en ik kan me niet herinneren dat ik ventilatoren hoorde.
Nu heb ik deze: pricewatch: D-Link DGS-1210-28P en die maakt aardig lawaai helaas (maar bevalt verder prima). Ik had een switch nodig met meer dan 8 poorten en wilde perse PoE+ voor het geval dat.

ik zoek een 24 poorts switch (managed) en PoE zou leuk zijn omdat ik nog nieuwe AP's (± 3 stuks) en enkele IP camera's (waarschijnlijk ook zo'n 3 stuks) zou willen voorzien.

[NovapaX]

Ik kan niet zeggen dat hij stil is.
Niet dat hij echt veel lawaai maakt, maar het is zeker niet vergelijkbaar met een stille computer.

(het zijn maar van die kleine 40mm ventilatortjes, die draaien nu eenmaal vrij snel)

[Xiphalon]

Hoe nauwkeurig zijn de traffic counters op het dashboard van de EdgeRouters (in mijn geval een 5-PoE)?

Daar staat dat 't ding 281 TB verkeer heeft verstuurd sinds uptime (3 dagen). Dat verkeer is nergens binnengekomen...
Sinds de laatste update naar 1.8.

[ijdod]

timothee schreef op donderdag 03 maart 2016 @ 22:07:
[...]

De Ubiquiti AP's zijn nu, omdat ze "Enterprise grade" zijn, volgens mij meer op het laatste berekend

Mij bekruipt nog steeds het gevoel dat dit voornamelijk de spin is de UBNT er zelf aan geeft... ik herkent dit namelijk niet van andere Enterprise oplossingen. Dwz, het klopt dat het niet het primaire design criterium is, maar niet dat dit een enorm merkbaar effect heeft op de throughput onder gunstige omstandigheden.

[HellStorm666]

Xiphalon schreef op vrijdag 04 maart 2016 @ 20:15:
Hoe nauwkeurig zijn de traffic counters op het dashboard van de EdgeRouters (in mijn geval een 5-PoE)?

Daar staat dat 't ding 281 TB verkeer heeft verstuurd sinds uptime (3 dagen). Dat verkeer is nergens binnengekomen...
Sinds de laatste update naar 1.8.

Bij mij 5-PoE klopt ie heel goed.
Als je KPN of iets hebt waarbij je dus ook Tv hebt, houdt er dan rekening mee dat dit verkeer er ook bij zit.
4Mbit voor normale tv, 7Mbit voor HD en 12Mbit voor hdglas.
Als je de ontvanger niet uit zet, tikt t flink aan.

[Tylen]

Maar dan nog red je 281TB niet.

[stormfly]

Xiphalon schreef op vrijdag 04 maart 2016 @ 20:15:
Hoe nauwkeurig zijn de traffic counters op het dashboard van de EdgeRouters (in mijn geval een 5-PoE)?

Daar staat dat 't ding 281 TB verkeer heeft verstuurd sinds uptime (3 dagen). Dat verkeer is nergens binnengekomen...
Sinds de laatste update naar 1.8.

Owh owh een infected PC, ouwe dDOSser ;-)

Ik zou eens met een hutje (ja zon heel oud ding) op die port van de switch sniffen met wireshark. Of kan de ER ook zelf een span port maken?

[Packetloss]

Packetloss schreef op vrijdag 04 maart 2016 @ 11:39:
1) iemand een idee hoe ik de controller / het AP kan vertellen welke NTP server er gebruikt moet worden? Ik wil graag een NTP server gebruiken die ik zelf opgeef.

om mijn eigen vraag te beantwoorden -voor future reference- :

In de bestanden (en het zijn er wellicht te veel, ik ben newbie met UnifyOS)
/var/etc/persistent/ntpclient
/var/etc/persistent/cfg/ntpclient
/var/etc/config/ntpclient

heb ik de bestaande ntpservers weggehaald en de (door mij) gewenste 91.189.94.4 in gezet. `save` gedaan, herstart, werken (gecontroleerd met tcpdump).

[ Voor 4% gewijzigd door Packetloss op 05-03-2016 11:22 ]

[CyBeR]

Xiphalon schreef op vrijdag 04 maart 2016 @ 20:15:
Hoe nauwkeurig zijn de traffic counters op het dashboard van de EdgeRouters (in mijn geval een 5-PoE)?

Daar staat dat 't ding 281 TB verkeer heeft verstuurd sinds uptime (3 dagen). Dat verkeer is nergens binnengekomen...
Sinds de laatste update naar 1.8.

Normaal gesproken heel goed maar 281TB in 3 dagen is meer dan 10Gb/sec als je dat constant doet, dus dat gaat niet kunnen kloppen.

[_-= Erikje =-_]

Dat klinkt meer als een verkeerd afgevangen 32bit overflow

[toro]

Grom, het lijkt wel sinds ik dnsmasq op mijn edgerouter lite aangezet heb voor de adblocking dat dns port 53 niet werkt meer voor eth2.

Met tcpdump:

code:

sudo tcpdump -i eth2 port 53

Zie ik de DNS requests van de clients binnenkomen. Als ik OpenDNS ips in de DHCPd config mik van eth2 dan werkt het. Maar als ik 192.168.2.1 de router zelf wil gebruiken gebeurd er niets.

Het werkt wel via LAN verbonden op eth0.

dnsmasq.conf:

code:

log-facility=/var/log/dnsmasq.log
interface=eth2
interface=eth0
cache-size=150

Volgorde aanpassen van de interfaces in die conf haalt ook niet veel uit.

DNS requests lijken dus wel aan te komen op de eth2 interface.

Dit is de config van mijn lite:

code:

firewall {
    all-ping enable
    broadcast-ping disable
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians disable /* Die had ik disabled. Mijn ziggo modem staat in bridge. 
                                 Mijn logs werden geflooded met martians meldingen. */
    name ETH2TOLAN {
        default-action accept
        description "Eth2 to lan block"
        enable-default-log
        rule 1 {
            action accept
            description DNS
            destination {
                address 192.168.2.1
                port 53
            }
            log disable
            protocol tcp_udp
            state {
                established enable
                invalid disable
                new enable
                related enable
            }
        }
        rule 2 {
            action accept
            description DHCP
            destination {
                address 192.168.2.1
                port 67
            }
            log enable
            protocol tcp_udp
            source {
                group {
                }
            }
            state {
                established disable
                invalid disable
                new enable
                related disable
            }
        }
        rule 3 {
            action drop
            description "block all to LAN"
            destination {
                address 192.168.1.0/24
            }
            log disable
            protocol all
            state {
                established disable
                invalid disable
                new enable
                related disable
            }
        }
    }
    name WAN_IN {
        default-action drop
        description "WAN to internal"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WLAN2LAN {
        default-action drop
        description "WLAN 2 lan drop"
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address 192.168.1.1/24
        description Local
        duplex auto
        speed auto
    }
    ethernet eth1 {
        address dhcp
        description Internet
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
                name WAN_LOCAL
            }
        }
        mac 44:d9:e7:95:98:e6
        speed auto
    }
    ethernet eth2 {
        address 192.168.2.1/24
        description "Local 2 WLAN"
        duplex auto
        firewall {
            in {
                name ETH2TOLAN
            }
            local {
                name WLAN2LAN
            }
            out {
            }
        }
        speed auto
    }
    loopback lo {
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name LAN1 {
            authoritative disable
            subnet 192.168.1.0/24 {
                default-router 192.168.1.1
                dns-server 192.168.1.1
                lease 86400
                start 192.168.1.21 {
                    stop 192.168.1.240
                }
            }
        }
        shared-network-name LAN2 {
            authoritative disable
            subnet 192.168.2.0/24 {
                default-router 192.168.2.1
                dns-server 192.168.2.1
                lease 86400
                start 192.168.2.21 {
                    stop 192.168.2.240
                }
            }
        }
    }
    dns {
        dynamic {
            interface eth1 {
                service ******* {
                    host-name *********
                    host-name ""
                    login **************
                    password ****************
                    server *******                }
            }
        }
        forwarding {
            cache-size 150
            listen-on eth0
            listen-on eth2
        }
    }
    gui {
        listen-address 192.168.1.1
    }
    nat {
        rule 5010 {
            outbound-interface eth1
            type masquerade
        }
    }
    ssh {
        listen-address 192.168.1.1
        port 222
        protocol-version v2
    }
    ubnt-discover {
        disable
    }
}
system {
    host-name ******
    ipv6 {
        disable
        disable-forwarding
    }
    login {
        user ***** {
            authentication {
                encrypted-password ****************
                plaintext-password ****************
            }
            full-name ********;
            level admin
        }
    }
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    task-scheduler {
        task AD_UPDATE {
            executable {
                path /config/user-data/update-adblock-dnsmasq.sh
            }
            interval 4d
        }
    }
    time-zone Europe/Amsterdam
}

Misschien dat jullie ^ daar nog wat bijzonders aan zien waardoor het mogelijk geblocked wordt.

Hoe zit het trouwens met dat USB stickje die in de Lite zit?

Ik heb de metalen behuizing lite. Mocht die nu doodgaan en ik zet er een andere compatible in, gaat de Lite dan automagisch bij een reset een nieuwe filesysteem met EdgeOS aanmaken?

Of toch maar alvast klonen het stickje just in case?

[Jeroen_ae92]

Helpt het als je middels CLI het fysieke router adres toevoegd aan de DNS listener?

code:

set service dns forwarding options listen-address=192.168.2.1

Dit heb je bv ook nodig als je met de simpele PPTP gebruik wilt maken van de DNS forwarding.

En, qua USB stick, ik denk dat het niet nodig is om een clone te maken. Je kunt deze handleiding wel volgen indien het zover is

[toro]

Hij weigert om de dnsmasq service op 192.168.2.1 te laten luisteren:

code:

log-facility=/var/log/dnsmasq.log
interface=eth2
interface=eth0
cache-size=150
listen-address=192.168.2.1

# netstat -natlup|grep dns
tcp        0      0 0.0.0.0:53              0.0.0.0:*               LISTEN      2573/dnsmasq    
tcp6       0      0 :::53                   :::*                    LISTEN      2573/dnsmasq    
udp        0      0 0.0.0.0:53              0.0.0.0:*                           2573/dnsmasq    
udp6       0      0 :::53                   :::*                                2573/dnsmasq

Vaag

[toro]

Dit begint erg vaag te worden. Bug in dnsmasq misschien?

/etc/init.d/dnsmasq stop

code:

# dnsmasq --listen-address=192.168.2.1

# netstat -natlup|grep dnsmasq
tcp        0      0 0.0.0.0:53              0.0.0.0:*               LISTEN      2780/dnsmasq    
tcp6       0      0 :::53                   :::*                    LISTEN      2780/dnsmasq    
udp        0      0 0.0.0.0:53              0.0.0.0:*                           2780/dnsmasq    
udp6       0      0 :::53                   :::*                                2780/dnsmasq

[Dutch2007]

timothee schreef op donderdag 03 maart 2016 @ 22:07:
[...]


Zit er in controller versie 4.9.x ook de eerder besproken feature om bij de config aan te geven of je voor max. performance met (relatief) weinig clients of voor max. aantal clients met (relatief) lage performance wilt gaan?
De Ubiquiti AP's zijn nu, omdat ze "Enterprise grade" zijn, volgens mij meer op het laatste berekend, maar voor thuis doeleinden heb ik liever wat meer performance. Ben best tevreden met mijn 2 UAP-AC-Pro's, maar mijn oude (non-AC) TP-Link router was sneller op 5Ghz!?

Ja, iets met airtime fairness oid

[Jeroen_ae92]

toro36 schreef op zondag 06 maart 2016 @ 14:14:
Dit begint erg vaag te worden. Bug in dnsmasq misschien?

/etc/init.d/dnsmasq stop

code:

# dnsmasq --listen-address=192.168.2.1

# netstat -natlup|grep dnsmasq
tcp        0      0 0.0.0.0:53              0.0.0.0:*               LISTEN      2780/dnsmasq    
tcp6       0      0 :::53                   :::*                    LISTEN      2780/dnsmasq    
udp        0      0 0.0.0.0:53              0.0.0.0:*                           2780/dnsmasq    
udp6       0      0 :::53                   :::*                                2780/dnsmasq

Maaruh, je default actie van WLAN2LAN is drop.. En die hangt op ETH2 local. Maw, iptables dropt je verkeer naar de router.

Als je overigens de logging aanzet kun je meer zien.

code:

set firewall name WLAN2LAN enable-default-log

Bv. door dan een tail te doen op de logging.

code:

tail -f /var/log/messages | grep 192.168.2.1

Dan kun je iig zien welke rule het verkeer tegen houdt of juist doorlaat

[ Voor 16% gewijzigd door Jeroen_ae92 op 06-03-2016 15:23 ]

[toro]

Dat klopt. Het was die regel die het blokkeerde.

Het werkt zonder die regel, mooi

Maar zonder die regel dan is er access mogelijk vanuit eth2/192.168.2.0/24 naar eth0/192.168.1.0/24, en dat wil ik niet

In het kort had ik het zo gezet:
Allow 53, 67
En dan pas de block rule als laatste.

Ik had juist ook die regels aangemaakt voor toegang tot DHCP/DNS op eth2/192.168.2.1. Die doen het niet eens door die ene block regel

[Jeroen_ae92]

Je mixt je sets. To local is de kernel en in/out is de direction op de nic. Dns, dhcp en https zit op de kernel dus is het een local set.

Wellicht maakt dit je een stukje wijzer

[ Voor 39% gewijzigd door Jeroen_ae92 op 06-03-2016 16:45 ]

[toro]

Jeroen_ae92 schreef op zondag 06 maart 2016 @ 16:32:
Je mixt je sets. To local is de kernel en in/out is de direction op de nic. Dns, dhcp en https zit op de kernel dus is het een local set.

Wellicht maakt dit je een stukje wijzer
[afbeelding]

Ja dat was het, schaam/bloos

Het kwartje viel direct toen je begon over mixing van de sets en de direction op de nic, en dat plaatje maakte het helemaal compleet.

Misschien kan dit plaatje in de start post worden opgenomen. Het verduidelijkt heel veel.

Het werkt nu zoals ik het wou hebben. Met dit als basis kan ik verder prutsen.

code:

name ETH2Services {
        default-action reject
        description "Eth2 services"
        enable-default-log
        rule 1 {
            action accept
            description DNS
            destination {
                address 192.168.2.1
                port 53
            }
            log disable
            protocol tcp_udp
            state {
                established enable
                invalid disable
                new enable
                related enable
            }
        }
        rule 2 {
            action accept
            description DHCP
            destination {
                address 192.168.2.1
                port 67
            }
            log enable
            protocol tcp_udp
            source {
                group {
                }
            }
            state {
                established disable
                invalid disable
                new enable
                related disable
            }
        }
    }
    name ETH2TOLAN {
        default-action accept
        description "Eth2 to lan block"
        enable-default-log
        rule 1 {
            action drop
            destination {
                address 192.168.1.0/24
            }
            log disable
            protocol all
            state {
                established disable
                invalid disable
                new enable
                related disable
            }
        }
    }
    name WAN_IN {
        default-action drop
        description "WAN to internal"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address 192.168.1.1/24
        description Local
        duplex auto
        speed auto
    }
    ethernet eth1 {
        address dhcp
        description Internet
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
                name WAN_LOCAL
            }
        }
        mac 44:d9:e7:95:98:e6
        speed auto
    }
    ethernet eth2 {
        address 192.168.2.1/24
        description "Local 2 WLAN"
        duplex auto
        firewall {
            in {
                name ETH2TOLAN
            }
            local {
                name ETH2Services
            }
        }
        speed auto
    }
    loopback lo {
    }
}

Thanks voor de verduidelijking!

[Jeroen_ae92]

Graag gedaan...

Maarrr je staat nu DNS request toe aan de router en alle andere DNS destinations drop je.
Het is mooier om die af te vangen en te redirecten naar je router. Wel zo nice toch.

Like so:

code:

 rule 1 {
     description "Redirect DNS lookup"
     destination {
         address !192.168.2.1
         port 53
     }
     inbound-interface eth2
     inside-address {
         address 192.168.2.1
     }
     log enable
     protocol tcp_udp
     source {
         group {
             network-group WIFIDEVICES <--- deze dan wel even definiëren in je firewall/nat groups 
         }
     }
     type destination
 }

[toro]

Hoe krijg ik die code via de command line geinserted in de running config?

[Jeroen_ae92]

toro36 schreef op zondag 06 maart 2016 @ 17:39:
Hoe krijg ik die code via de command line geinserted in de running config?

Gebruik de CLI of maak een SSH verbinding met de router.
Eerst moet je weten dat na het inloggen je eerst naar de configure mode moet. Configure is het commando hiervoor. Na het aanbrengen van de wijzigingen dien je deze te committen middels het commit command.
Last, save om de config.boot op te slaan.

Zoiets:

Eerst de groep maken

code:

set firewall group network-group WIFIDEVICES description 'Gasten LAN'
set firewall group network-group WIFIDEVICES network 192.168.2.0/24

Dan de DNAT rule aanmaken

code:

set service nat rule 1 description 'Redirect DNS lookup'
set service nat rule 1 destination address '!192.168.2.1'
set service nat rule 1 destination port 53
set service nat rule 1 inbound-interface eth2
set service nat rule 1 inside-address address 192.168.2.1
set service nat rule 1 log enable
set service nat rule 1 protocol tcp_udp
set service nat rule 1 source group network-group WIFIDEVICES
set service nat rule 1 type destination

[ Voor 14% gewijzigd door Jeroen_ae92 op 06-03-2016 18:28 ]

[toro]

De kers op de taart.

Jeroen, dank je wel voor je hulp

[Jeroen_ae92]

De kers komt pas echt als je op je eth2-out rules maakt die specifiek verkeer toestaat en de rest dropt.

Ik heb er wat rules uitgelaten maar je kunt dus ook ziets doen:

code:

set firewall name ETH2TOWWW default-action drop
set firewall name ETH2TOWWW description 'Van Gast naar buiten'
set firewall name ETH2TOWWW enable-default-log
set firewall name ETH2TOWWW rule 2 action drop
set firewall name ETH2TOWWW rule 2 description 'Drop SMTP'
set firewall name ETH2TOWWW rule 2 destination port 25
set firewall name ETH2TOWWW rule 2 log enable
set firewall name ETH2TOWWW rule 2 protocol tcp_udp
set firewall name ETH2TOWWW rule 2 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 2 state established enable
set firewall name ETH2TOWWW rule 2 state invalid disable
set firewall name ETH2TOWWW rule 2 state new enable
set firewall name ETH2TOWWW rule 2 state related enable
set firewall name ETH2TOWWW rule 3 action drop
set firewall name ETH2TOWWW rule 3 description 'Drop external DNS'
set firewall name ETH2TOWWW rule 3 destination port 53
set firewall name ETH2TOWWW rule 3 log enable
set firewall name ETH2TOWWW rule 3 protocol tcp_udp
set firewall name ETH2TOWWW rule 3 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 3 state established enable
set firewall name ETH2TOWWW rule 3 state invalid disable
set firewall name ETH2TOWWW rule 3 state new enable
set firewall name ETH2TOWWW rule 3 state related enable
set firewall name ETH2TOWWW rule 4 action accept
set firewall name ETH2TOWWW rule 4 description 'Allow google ping'
set firewall name ETH2TOWWW rule 4 destination address 8.8.8.8
set firewall name ETH2TOWWW rule 4 log enable
set firewall name ETH2TOWWW rule 4 protocol icmp
set firewall name ETH2TOWWW rule 4 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 5 action accept
set firewall name ETH2TOWWW rule 5 description 'Allow ping.ubnt.com'
set firewall name ETH2TOWWW rule 5 destination address 54.230.13.173
set firewall name ETH2TOWWW rule 5 log enable
set firewall name ETH2TOWWW rule 5 protocol icmp
set firewall name ETH2TOWWW rule 5 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 7 action accept
set firewall name ETH2TOWWW rule 7 application custom-category WebStreaming
set firewall name ETH2TOWWW rule 7 description 'Allow Streaming Media'
set firewall name ETH2TOWWW rule 7 log enable
set firewall name ETH2TOWWW rule 7 protocol all
set firewall name ETH2TOWWW rule 7 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 8 action accept
set firewall name ETH2TOWWW rule 8 application custom-category Social-media
set firewall name ETH2TOWWW rule 8 description 'Allow Social Media'
set firewall name ETH2TOWWW rule 8 log enable
set firewall name ETH2TOWWW rule 8 protocol all
set firewall name ETH2TOWWW rule 8 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 9 action accept
set firewall name ETH2TOWWW rule 9 description HTTP
set firewall name ETH2TOWWW rule 9 destination port 80
set firewall name ETH2TOWWW rule 9 log enable
set firewall name ETH2TOWWW rule 9 protocol tcp_udp
set firewall name ETH2TOWWW rule 9 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 9 state established enable
set firewall name ETH2TOWWW rule 9 state invalid disable
set firewall name ETH2TOWWW rule 9 state new enable
set firewall name ETH2TOWWW rule 9 state related enable
set firewall name ETH2TOWWW rule 10 action accept
set firewall name ETH2TOWWW rule 10 description NTP
set firewall name ETH2TOWWW rule 10 destination port ntp
set firewall name ETH2TOWWW rule 10 log disable
set firewall name ETH2TOWWW rule 10 protocol udp
set firewall name ETH2TOWWW rule 10 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 10 state established enable
set firewall name ETH2TOWWW rule 10 state invalid disable
set firewall name ETH2TOWWW rule 10 state new enable
set firewall name ETH2TOWWW rule 10 state related enable
set firewall name ETH2TOWWW rule 11 action accept
set firewall name ETH2TOWWW rule 11 description IMAP
set firewall name ETH2TOWWW rule 11 destination port 143
set firewall name ETH2TOWWW rule 11 log disable
set firewall name ETH2TOWWW rule 11 protocol tcp_udp
set firewall name ETH2TOWWW rule 11 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 11 state established enable
set firewall name ETH2TOWWW rule 11 state invalid disable
set firewall name ETH2TOWWW rule 11 state new enable
set firewall name ETH2TOWWW rule 11 state related enable
set firewall name ETH2TOWWW rule 12 action accept
set firewall name ETH2TOWWW rule 12 description HTTPS
set firewall name ETH2TOWWW rule 12 destination port 443
set firewall name ETH2TOWWW rule 12 log enable
set firewall name ETH2TOWWW rule 12 protocol tcp_udp
set firewall name ETH2TOWWW rule 12 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 12 state established enable
set firewall name ETH2TOWWW rule 12 state invalid disable
set firewall name ETH2TOWWW rule 12 state new enable
set firewall name ETH2TOWWW rule 12 state related enable
set firewall name ETH2TOWWW rule 13 action accept
set firewall name ETH2TOWWW rule 13 description SMTP/s
set firewall name ETH2TOWWW rule 13 destination port 465,587
set firewall name ETH2TOWWW rule 13 log enable
set firewall name ETH2TOWWW rule 13 protocol tcp_udp
set firewall name ETH2TOWWW rule 13 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 13 state established enable
set firewall name ETH2TOWWW rule 13 state invalid disable
set firewall name ETH2TOWWW rule 13 state new enable
set firewall name ETH2TOWWW rule 13 state related enable
set firewall name ETH2TOWWW rule 14 action accept
set firewall name ETH2TOWWW rule 14 description IMAP/s
set firewall name ETH2TOWWW rule 14 destination port 993
set firewall name ETH2TOWWW rule 14 log disable
set firewall name ETH2TOWWW rule 14 protocol tcp_udp
set firewall name ETH2TOWWW rule 14 source group network-group WIFIDEVICES
set firewall name ETH2TOWWW rule 14 state established enable
set firewall name ETH2TOWWW rule 14 state invalid disable
set firewall name ETH2TOWWW rule 14 state new enable
set firewall name ETH2TOWWW rule 14 state related enable
set firewall name ETH2TOWWW rule 19 action accept
set firewall name ETH2TOWWW rule 19 description 'Accept initiated'
set firewall name ETH2TOWWW rule 19 log disable
set firewall name ETH2TOWWW rule 19 protocol all
set firewall name ETH2TOWWW rule 19 state established enable
set firewall name ETH2TOWWW rule 19 state invalid disable
set firewall name ETH2TOWWW rule 19 state new disable
set firewall name ETH2TOWWW rule 19 state related enable
set firewall name ETH2TOWWW rule 21 action drop
set firewall name ETH2TOWWW rule 21 description 'Block all'
set firewall name ETH2TOWWW rule 21 log enable
set firewall name ETH2TOWWW rule 21 protocol all

Je blokt dus alles maar staat o.a. HTTP, HTTPS, IMAP etc toe. Daarnaast heb ik wat rules gemaakt enkel voor de DPI. Leuk om te zien hoeveel streaming er bv doorheen hobbelt.

[Hammetje]

FYI:

De distributeur heeft de Ubiquiti AC-Pro ruim op voorraad.

[pitchdown]

Ik heb vandaag mijn controller software geupdate van 3.2.10 naar de laatste versie.
Intern heb ik nog netjes alle AP`s beschikbaar in mijn controller-software.

Echter alle ap`s die verbinden via het internet zijn disconnected.
Zijn er nog extra portforwardings nodig voor de nieuwe controller-software?

[d--amo]

Ik merkte vandaag dat mijn unifi controller geen clients meer toonde, dit op geen enkele site. De controller herstarten hielp niet. Na wat googlen heb ik een commando gevonden om de mongodb te herstellen:

mongod --dbpath /var/lib/unifi/db --repair

Hierna heb ik de controller nog eens herstart en ik kreeg nadien weer netjes de clients te zien in de controller.
Ik weet dat dit veel problemen met de controller te maken hebben met mongodb, of de db die te groot wordt. Ik ken daar echter zelf niks van.

Zijn er dingen die ik kan nakijken om dit te vermijden?
De controller draait bij mij op een Debian VPS die ik huur. Heb hem geïnstalleerd adh van een guide, dus weinig verdere linux kennis jammer genoeg.

Iemand die me kan toelichten wat ik misschien best eens nakijk?

[Ethirty]

Er schijnt een manier te zijn om die database op te schonen. Standaard blijft alles oneindig bewaard meende ik gelezen te hebben.

Ah, hier is de link:
https://help.ubnt.com/hc/...djust-mongo-database-size

[stormfly]

In 4.9.1 beta zag ik een database purge knop, maar draai de stable nu.

[Fairy]

Hammetje schreef op maandag 07 maart 2016 @ 11:10:
FYI:

De distributeur heeft de Ubiquiti AC-Pro ruim op voorraad.

Ik heb mijn bestelling net omgezet naar 2x AC-LR......

Denk dat die goed genoeg is...

[Jeroen_ae92]

pitchdown schreef op maandag 07 maart 2016 @ 17:10:
Ik heb vandaag mijn controller software geupdate van 3.2.10 naar de laatste versie.
Intern heb ik nog netjes alle AP`s beschikbaar in mijn controller-software.

Echter alle ap`s die verbinden via het internet zijn disconnected.
Zijn er nog extra portforwardings nodig voor de nieuwe controller-software?

Volgens mij enkel dezelfde poorten.

code:

unifi.http.port=8080 (port for UAP to inform controller)
unifi.https.port=8443 (port for controller GUI / API, as seen in web browser)
portal.http.port=8880 (port for HTTP portal redirect)
portal.https.port=8843 (port for HTTPS portal redirect)

Ik neem aan dat je deze al open had staan.

[Quad]

Hier al een week een vaag probleem bij een site met enkele AP AC Pro's, de controller wil sinds een tijdje de AP's niet meer managen. Alle AP's staan op adopting maar ze geven wel gewoon netwerk en internet door vreemd genoeg. Het dashboard geeft aan dat de devices down zijn.

Vreemde is, als ik de controller opnieuw installeer, dus upgrade van v 4.8.14 naar v.4.8.14 dan zijn ze daarna even zichtbaar in de controller en zijn configuraties door te voeren maar een dag later niet meer. De enige info die hij wel heeft van de AP's is de uptime.

[ Voor 5% gewijzigd door Quad op 07-03-2016 19:54 ]

[pitchdown]

Jeroen_ae92 schreef op maandag 07 maart 2016 @ 19:47:
[...]


Volgens mij enkel dezelfde poorten.

code:

unifi.http.port=8080 (port for UAP to inform controller)
unifi.https.port=8443 (port for controller GUI / API, as seen in web browser)
portal.http.port=8880 (port for HTTP portal redirect)
portal.https.port=8843 (port for HTTPS portal redirect)

Ik neem aan dat je deze al open had staan.

Yep. Issue zag in de fortigate en niet in de controller-software :-)

[Verwijderd]

Quad schreef op maandag 07 maart 2016 @ 19:52:
Hier al een week een vaag probleem bij een site met enkele AP AC Pro's, de controller wil sinds een tijdje de AP's niet meer managen. Alle AP's staan op adopting maar ze geven wel gewoon netwerk en internet door vreemd genoeg. Het dashboard geeft aan dat de devices down zijn.

Vreemde is, als ik de controller opnieuw installeer, dus upgrade van v 4.8.14 naar v.4.8.14 dan zijn ze daarna even zichtbaar in de controller en zijn configuraties door te voeren maar een dag later niet meer. De enige info die hij wel heeft van de AP's is de uptime.

Ik heb dat gedrag als de APs geen vast ip adres hebben.

[Quad]

Ik heb alle AP's een vast IP gegeven.
Ik heb voor nu de controller opnieuw erover geïnstalleerd, en voila ze worden geprovisioned en zijn weer werkbaar.

Morgen zien we wel weer verder.

[Tylen]

Nevermind

[ Voor 88% gewijzigd door Tylen op 08-03-2016 09:39 ]

[pitchdown]

Ik draai sinds gisteren de unifi-controller 4.8.14.
Ik heb zowel alle interne als externe accespoint kunnen upgraden naar naar de laatste versie op 1 accespoint na.
Dit long range accespoint draait netals de andere accespoint 3.2.10.2886 maar wordt niet geupgrade.
Binnen de controller wordt aangegeven dat de upgrade loopt, echter na de installatie staat de versie weer op 3.2.10.2886.
Iemand een idee wat hier mis gaat? Kan ik ergens meer logging terugzien wat er mis gaat?

[pitchdown]

pitchdown schreef op dinsdag 08 maart 2016 @ 08:21:
Ik draai sinds gisteren de unifi-controller 4.8.14.
Ik heb zowel alle interne als externe accespoint kunnen upgraden naar naar de laatste versie op 1 accespoint na.
Dit long range accespoint draait netals de andere accespoint 3.2.10.2886 maar wordt niet geupgrade.
Binnen de controller wordt aangegeven dat de upgrade loopt, echter na de installatie staat de versie weer op 3.2.10.2886.
Iemand een idee wat hier mis gaat? Kan ik ergens meer logging terugzien wat er mis gaat?

Een ander punt waar ik tegenaan loop:

Binnen de oude controller-software van ubiquiti was het mogelijk om een device te renamen van het mac-adress naar een valide naam.
Dit was mogelijk vanuit het onderdeel "events".

Nu kan ik dat niet doen vanuit 4.8.14.
Ik zie hier dus het mac-adress maar niet de aangepaste naam (welke wel is doorgevoerd binnen "insights".

Iemand een idee hoe ik dit kan oplossen om ook de aangepaste naam te zien bij "events" i.p.v. het mac-adress (zie de bijgevoegde printscreens).

[ Voor 5% gewijzigd door pitchdown op 08-03-2016 08:34 ]

[Bierkameel]

Niet, dat is een bug waar al tijden over word geklaagd maar die ze nog steeds niet oplossen.

[pitchdown]

Bierkameel schreef op dinsdag 08 maart 2016 @ 08:57:
Niet, dat is een bug waar al tijden over word geklaagd maar die ze nog steeds niet oplossen.

Dat is in ieder geval een duidelijk antwoord :-)

Zijn er in die mate dan wel voordelen om deze controller-software te draaien t.o.v. de oude versies?
Kan ik überhaupt nog terug aangezien de accespoints wel al de nieuwste firmware hebben?

[Quad]

En wederom staan de AP's weer in adopting..



Ze zijn te vinden via IP scan, ze zijn te benaderen via SSH en in te loggen, up time klopt ook gewoon en er is ook gewoon internet en netwerk. Maar de controller doet wel vreemd helaas... Herinstall en ze zijn weer 'gewoon' zichtbaar en connected.

Snap er steeds minder van.

[stormfly]

Quad schreef op dinsdag 08 maart 2016 @ 12:08:
En wederom staan de AP's weer in adopting..

[afbeelding]

Ze zijn te vinden via IP scan, ze zijn te benaderen via SSH en in te loggen, up time klopt ook gewoon en er is ook gewoon internet en netwerk. Maar de controller doet wel vreemd helaas... Herinstall en ze zijn weer 'gewoon' zichtbaar en connected.

Snap er steeds minder van.

Welke versie draai je? Vreemd ik heb dit gedrag niet. Je geeft wat weinig informatie, zitten de aps en controller in hetzelfde LAN segment? Wat is de inform url van de APs? Zijn ze ooit bij een andere controller (ip) lid geweest?

[Quad]

De AP's zitten in lan 172.16.5.x/16 en de controller in lan 172.16.0.x/16, zou naar mijn weten niets uit mogen maken.

Maar ik denk dat ik wat wijzer ben geworden mbt inform URL:
Inloggen dmv SSH en info geeft inform url status 'server reject'.

Wellicht een firewall die de boel verstoord, thanks voor de tip mbt inform url.

[stormfly]

Hi

dat zou mijn 2e vraag zijn "als je twee segmenten hebt filter je dan ook" maar daar geef je zelf het antwoord al op ;-)

https://help.ubnt.com/hc/...s-for-Controller-and-UAPs

[timothee]

pitchdown schreef op dinsdag 08 maart 2016 @ 08:32:
[...]


Een ander punt waar ik tegenaan loop:

Binnen de oude controller-software van ubiquiti was het mogelijk om een device te renamen van het mac-adress naar een valide naam.
Dit was mogelijk vanuit het onderdeel "events".

Nu kan ik dat niet doen vanuit 4.8.14.
Ik zie hier dus het mac-adress maar niet de aangepaste naam (welke wel is doorgevoerd binnen "insights".

Iemand een idee hoe ik dit kan oplossen om ook de aangepaste naam te zien bij "events" i.p.v. het mac-adress (zie de bijgevoegde printscreens).

[afbeelding]
[afbeelding]

Misschien begrijp ik niet helemaal wat je bedoeld, maar een AP een begrijpelijke naam meegeven gaat als volgt:

- Selecteer "Devices"
- Selecteer een van de AP's
- Ga bij de Properties naar tabblad "Configuration"
- Onder Alias kun je het AP een eigen naam geven, die ook bij de events terug te zien is

[pitchdown]

timothee schreef op dinsdag 08 maart 2016 @ 23:23:
[...]


Misschien begrijp ik niet helemaal wat je bedoeld, maar een AP een begrijpelijke naam meegeven gaat als volgt:

- Selecteer "Devices"
- Selecteer een van de AP's
- Ga bij de Properties naar tabblad "Configuration"
- Onder Alias kun je het AP een eigen naam geven, die ook bij de events terug te zien is

Het gaat om devices welke connecten en niet op de ap`s.

[HellStorm666]

pitchdown schreef op woensdag 09 maart 2016 @ 08:03:
[...]


Het gaat om devices welke connecten en niet op de ap`s.

Binnen Unifi ga je naar Clients, Daar klik je op t mac-adres waarvoor je een alias in wil stellen. Dan komt er aan de rechter kant een scherm, ga daar naar configuration. Daar kan je de Alias instellen.

[pitchdown]

HellStorm666 schreef op woensdag 09 maart 2016 @ 08:51:
[...]

Binnen Unifi ga je naar Clients, Daar klik je op t mac-adres waarvoor je een alias in wil stellen. Dan komt er aan de rechter kant een scherm, ga daar naar configuration. Daar kan je de Alias instellen.

Klopt.
Echter wanneer cliënts disconnecten van het netwerk wordt onder "recent" het mac-adress nog steeds weergeven i.p.v. de alias.

[HellStorm666]

pitchdown schreef op woensdag 09 maart 2016 @ 08:52:
[...]


Klopt.
Echter wanneer cliënts disconnecten van het netwerk wordt onder "recent" het mac-adress nog steeds weergeven i.p.v. de alias.

Daar lijkt het inderdaad wel op. Maar zodra die gene weer connect, staat de alias er wel weer.
m'n vrouw is nu nog thuis en kan zien dat ze net geroamd is vand de AP op zolder naar de AP beneden. En daar staat de alias van dr telefoon gewoon in de events.

Mijn telefoon is nu niet verbonden en daar staat inderdaad "user **:**:**:** disconnected" nu ipv de alias.

[pitchdown]

HellStorm666 schreef op woensdag 09 maart 2016 @ 08:57:
[...]

Daar lijkt het inderdaad wel op. Maar zodra die gene weer connect, staat de alias er wel weer.
m'n vrouw is nu nog thuis en kan zien dat ze net geroamd is vand de AP op zolder naar de AP beneden. En daar staat de alias van dr telefoon gewoon in de events.

Mijn telefoon is nu niet verbonden en daar staat inderdaad "user **:**:**:** disconnected" nu ipv de alias.

Juist.
Dit probleem speelt in de nieuwe software al jaren.
In de oude 3.2.10 was dit n.v.t.

Hier zou toch inmiddels wel een workarround of een oplossing voor moeten zijn?

[HellStorm666]

pitchdown schreef op woensdag 09 maart 2016 @ 09:04:
[...]


Juist.
Dit probleem speelt in de nieuwe software al jaren.
In de oude 3.2.10 was dit n.v.t.

Hier zou toch inmiddels wel een workarround of een oplossing voor moeten zijn?

Als zo iets simpels al jaren speelt had dat inderdaad allang opgelost kunnen zijn.
Zelf boeit t me niet zo, maar dat is vooral omdat ik het thuis gebruik en dus eigenlijk alle apparaten wel ken.

In bedrijfsomgeving of een publieke omgeving lijkt dit me inderdaad een redelijke must.
Maargoed, kans is dat ze drukker bezig zijn met stabiliteit en snelheid en minder met de puntjes op de i. En dat ze zo'n alias meer een detail vinden die kan zodra de rest helemaal super is?

[Exocet]

Graag even verifiëren voor ik voor aanschaf over ga.
Mijn situatie:
- een meterkast met router (nu nog een oude D-link) , hiervan staat wifi uit omdat het bereik heel slecht is in de meterkast.
- in de hal een tplink router geconfigureerd als access point.
- glasvezel 100/100 (wellicht 500/500 in de toekomst)
- zo'n 3 apparaten verbonden via kabels en zo'n 8 wifi apparaten

Deze setup is nu met het aantal toegenomen wifi apparaten niet snel genoeg en niet helemaal stabiel.

Na wat zoekwerk naar een router zonder wifi en een goed AP kwam ik op de Ubiquiti apparaten uit.
Ik ben geen netwerk held en ik begrijp dat je dan niet de Edgerouter lite moet hebben.

Dus mijn idee is dus het aanschaffen van :
- Edgerouter X
- Ubiquiti UniFi AP AC LR

Heb ik hiermee een goede setup voor mijn situatie?

[OMX2000]

Even checken voor ik weer een paar nachten ga lopen prutsen.

Is hier iemand met een werkende config voor Xs4all Glasvezel met iptv + MeerTV. Ik weet dat even een werkende KPN config is maar ik vermoed dat daar toch nog wel wat aan verandert moey worden.

[Jeroen_ae92]

XS4ALL en KPN hebben een identieke config voor de Edgerouter.

[OMX2000]

Jeroen_ae92 schreef op woensdag 09 maart 2016 @ 14:39:
XS4ALL en KPN hebben een identieke config voor de Edgerouter.

Echt!? Mooi! Hoe stabiel is de igmp proxy van de Edgerouter. Bij huidige pfsense installatie mag ik nu bijna om de dag de igmp proxy service restanten

[Geckoo]

Kerstmis!

een zooi dozen geleverd;

Goodies!!!


Alternatief voor de kerstboom?


Eerste Batch


Ze kunnen trouwens ook volledig draadloos werken. Power via externe accu en dan via een mobiele telefoon teteren

[ Voor 85% gewijzigd door Geckoo op 10-03-2016 09:52 ]

[chickpoint]

Geckoo schreef op woensdag 09 maart 2016 @ 16:42:
Kerstmis!
een zooi dozen geleverd;
[afbeelding]
Goodies!!!
[afbeelding]
Alternatief voor de kerstboom?
[afbeelding]
Eerste Batch
[afbeelding]
Ze kunnen trouwens ook volledig draadloos werken. Power via externe accu en dan via een mobiele telefoon teteren
[afbeelding][afbeelding]

Zou je het erg vinden om hier je bevindingen te delen? Ik ben heel benieuwd hoe volwassen de UVP inmiddels is als product. En natuurlijk ook naar de USG-pro zie net dat het de switch is

[Jeroen_ae92]

OMX2000 schreef op woensdag 09 maart 2016 @ 16:41:
[...]


Echt!? Mooi! Hoe stabiel is de igmp proxy van de Edgerouter. Bij huidige pfsense installatie mag ik nu bijna om de dag de igmp proxy service restanten

Ik ken meerdere die met xs4all of kpn iptv werken zonder issues. En mits je je config goed schrijft en de juiste scripts maakt overleeft het reboots, upgrades en zelfs hardware vervanging.

[Kavaa]

Geckoo schreef op woensdag 09 maart 2016 @ 16:42:
Kerstmis!
een zooi dozen geleverd;
[afbeelding]
Goodies!!!
[afbeelding]
Alternatief voor de kerstboom?
[afbeelding]
Eerste Batch
[afbeelding]
Ze kunnen trouwens ook volledig draadloos werken. Power via externe accu en dan via een mobiele telefoon teteren
[afbeelding][afbeelding]

Geen idee wat je gekregen hebt want je images werken niet

[Kavaa]

Jeroen_ae92 schreef op woensdag 09 maart 2016 @ 18:47:
[...]


Ik ken meerdere die met xs4all of kpn iptv werken zonder issues. En mits je je config goed schrijft en de juiste scripts maakt overleeft het reboots, upgrades en zelfs hardware vervanging.

Klopt helemaal, we hebben een aantal klanten zowel XS4ALL als KPN waar we de Edgerouter meteen na de NTU Plaatsen en dat gaat perfect.
Voor telefonie wordt dan nog de Experiabox gebruikt maar dat is dan ook het enige wat het ding doet.

Ook 500Mbit verbindingen zijn voor een Edgerouter Lite bijvoorbeeld geen enkel probleem!

[Totaalgeflipt]

Geckoo schreef op woensdag 09 maart 2016 @ 16:42:
Kerstmis!
een zooi dozen geleverd;
[afbeelding]
Goodies!!!
[afbeelding]
Alternatief voor de kerstboom?
[afbeelding]
Eerste Batch
[afbeelding]
Ze kunnen trouwens ook volledig draadloos werken. Power via externe accu en dan via een mobiele telefoon teteren
[afbeelding][afbeelding]

Foto's doen het niet?

[r0el]

Sinds deze week mijn EdgeRouter x SFP thuis in gebruik genomen. Via de WAN+2LAN geconfigureerd en bijgevolg eth1 = WAN, eth2, 3, 4 = LAN en switched. Daarbij heb ik op eth3 en eth4 PoE aangezet voor de twee AP-AC-LR units. Als ik nu binnen de edgerouter interface kijk zie ik dat de AP's wel een IP hebben maar binnen de statistieken geen data (Tx/Rx) laten zien op de poorten. Klopt dit? Of mis ik ergens een instelling?

[m3gA]

Een collega van me wil een Edgerouter kopen. Hij twijfelt tussen de X en de Lite. Ik heb zelf een lite en ben daar heel tevreden over maar ik weet niet hoe deze zich verhoudt tot de X. Hij wil een 200mbit ziggo verbinding (thuis) gebruiken en een aantal site to site vpns maken. Hoe is de performance daarbij? Of waar zit het grote verschil in?

[ Voor 5% gewijzigd door m3gA op 10-03-2016 09:59 ]

[Geckoo]

chickpoint schreef op woensdag 09 maart 2016 @ 16:46:
[...]


Zou je het erg vinden om hier je bevindingen te delen? Ik ben heel benieuwd hoe volwassen de UVP inmiddels is als product. En natuurlijk ook naar de USG-pro zie net dat het de switch is

djkavaa schreef op woensdag 09 maart 2016 @ 18:57:
[...]


Geen idee wat je gekregen hebt want je images werken niet

Totaalgeflipt schreef op woensdag 09 maart 2016 @ 21:48:
[...]


Foto's doen het niet?

inmiddels fixed

ervaring is vrij positief, zware kwaliteit, ligt prima in de hand.
mogelijkheid tot video bellen via skype of bv 3cx is mooi, geluidskwaliteit is prima. bluetooth headset aanhangen is super simpel.

ook in de controller is het makkelijk om accounts er aan te hangen.

[Ethirty]

r0el schreef op donderdag 10 maart 2016 @ 09:07:
Sinds deze week mijn EdgeRouter x SFP thuis in gebruik genomen. Via de WAN+2LAN geconfigureerd en bijgevolg eth1 = WAN, eth2, 3, 4 = LAN en switched. Daarbij heb ik op eth3 en eth4 PoE aangezet voor de twee AP-AC-LR units. Als ik nu binnen de edgerouter interface kijk zie ik dat de AP's wel een IP hebben maar binnen de statistieken geen data (Tx/Rx) laten zien op de poorten. Klopt dit? Of mis ik ergens een instelling?

Klopt, alle statistieken van de interne poorten vallen samen onder 'switch0'. Je kan geen individuele statistieken per switchpoort bekijken.

[z1rconium]

m3gA schreef op donderdag 10 maart 2016 @ 09:47:
Een collega van me wil een Edgerouter kopen. Hij twijfelt tussen de X en de Lite. Ik heb zelf een lite en ben daar heel tevreden over maar ik weet niet hoe deze zich verhoudt tot de X. Hij wil een 200mbit ziggo verbinding (thuis) gebruiken en een aantal site to site vpns maken. Hoe is de performance daarbij? Of waar zit het grote verschil in?

Ik heb een ER-X en Ziggo 200/20, trekt het prima. Site-to-site met openvpn of ipsec ? openvpn trekt ie bijzonder slecht.

*edit* ik had er een tunnel erop draaien, kwam niet verder dan 2MB/s cpuload van 80%+
Ter vergelijking, op een zelfbouw NAS (xpenology op intel avaton 8core) zit op 10MB/s met 10% load.

[ Voor 13% gewijzigd door z1rconium op 10-03-2016 10:36 ]

[m3gA]

z1rconium schreef op donderdag 10 maart 2016 @ 10:26:
[...]

Ik heb een ER-X en Ziggo 200/20, trekt het prima. Site-to-site met openvpn of ipsec ? openvpn trekt ie bijzonder slecht.

Ipsec.
Als ik het goed heb zit er ook geen DPI in de ER-X?

[z1rconium]

Nee klopt, heeft verder ook geen offload features, zou kunnen dat het in de toekomst met een firmware update komt, maar DPI heeft ie geen hardware support voor.

Het is een erg leuk ding voor de prijs, maar komt zeker met limitaties. Ik had zelf 5 poorten nodig, maar zou ik het weer overwegen, dan had ik de Lite genomen met een extra switch.

[m3gA]

z1rconium schreef op donderdag 10 maart 2016 @ 10:40:
Nee klopt, heeft verder ook geen offload features, zou kunnen dat het in de toekomst met een firmware update komt, maar DPI heeft ie geen hardware support voor.

Het is een erg leuk ding voor de prijs, maar komt zeker met limitaties. Ik had zelf 5 poorten nodig, maar zou ik het weer overwegen, dan had ik de Lite genomen met een extra switch.

Ik zal hem een lite aanraden. Bedankt voor alle informatie.

[Kavaa]

z1rconium schreef op donderdag 10 maart 2016 @ 10:26:
[...]

Ik heb een ER-X en Ziggo 200/20, trekt het prima. Site-to-site met openvpn of ipsec ? openvpn trekt ie bijzonder slecht.

*edit* ik had er een tunnel erop draaien, kwam niet verder dan 2MB/s cpuload van 80%+
Ter vergelijking, op een zelfbouw NAS (xpenology op intel avaton 8core) zit op 10MB/s met 10% load.

OpenVPN en IPSEC maken gebruik van encryptie, dan heb je dus echt rekenkracht nodig waar een Edgerouter X dus echt te kort komt. De Lite ook trouwens, dat weet je gewoon met OpenVPN etc.
De Edgerouter Lite is dan iets sneller;)

[m3gA]

djkavaa schreef op donderdag 10 maart 2016 @ 10:59:
[...]


OpenVPN en IPSEC maken gebruik van encryptie, dan heb je dus echt rekenkracht nodig waar een Edgerouter X dus echt te kort komt. De Lite ook trouwens, dat weet je gewoon met OpenVPN etc.
De Edgerouter Lite is dan iets sneller;)

Ik heb op het moment 4 ipsec tunnels en 3 vlans en de ERL vreet uit zijn neus. Maar die draait dan ook in een thuis situatie en de ipsec tunnels zijn met collega's en vrienden om af en toe wat data uit te wisselen en wat te stoeien of dingen uit te proberen.

[z1rconium]

ipsec heeft offloading op de ERL (mits je het aanzet). Sowieso sneller dan openvpn.

The "cryptographic acceleration" is used to offload encryption/decryption operations etc. For example, as mentioned IPsec traffic is accelerated by offloading the encryption/decryption/etc. to the hardware cryptographic acceleration function. Not all cryptographic operations are currently accelerated since each application need to be tweaked use the hardware cryptographic acceleration. So for example, as mentioned OpenVPN is not yet using the acceleration function.

[Kavaa]

m3gA schreef op donderdag 10 maart 2016 @ 11:01:
[...]

Ik heb op het moment 4 ipsec tunnels en 3 vlans en de ERL vreet uit zijn neus. Maar die draait dan ook in een thuis situatie en de ipsec tunnels zijn met collega's en vrienden om af en toe wat data uit te wisselen en wat te stoeien of dingen uit te proberen.

IPSEC valt nog mee OpenVPN is dacht ik niet meer dan 20Mbit wat er doorheen gaat.
Even niet 100% Zeker maar dacht dat het zoiets was.

[z1rconium]

Klopt wel met mijn eigen ervaring.

[HellStorm666]

Vraagje nu ik die telefoons zag.
Ubiquiti heeft VOIP telefoons.

Wij hebben hier op de zaak nog een Panasonic telefooncentrale en 4x ISDN2 (1x 10 nr blok op 1 ISDN2) 2x vast nummer op ISDN2, fax, alarm, enz.)
Nu zijn we aan het kijken of VOIP een juiste keuze is.

Als we de VOIP telefoons van Ubiquiti gebruiken, hebben we dan nog een aparte VOIP centrale nodig en/of een hosted VOIP?
Of kunnen we gewoon een VOIP provider nemen en draait de Ubiquiti apparatuur de server kant?

Net als dat de Unifi controller gewoon gratis is bijv.

[tcviper]

Heb inmiddels de Unifi Gateway PRO nu een aantal weken in huis (en kantoor) en moet zeggen dat sinds de update in 4.8.14 het gros nu prima werkt, heb via CLI ook upnp2 enabled en dat werkt ook goed. Ben tot nu toe tevreden over de performance en fijn dat het via de GUI van de Unifi controller werkt. Gebruik em met de 500/40 verbinding van Ziggo, en daarachter 2x Unifi AC Pro die via een Cisco SG300 switch POE krijgen.

[ Voor 9% gewijzigd door tcviper op 10-03-2016 12:06 ]

[Timmert]

Wat kan de Pro meer dan de gewone USG? Of zit 'm dat met name in de bandbreedte?

[tcviper]

Timmert schreef op donderdag 10 maart 2016 @ 12:06:
Wat kan de Pro meer dan de gewone USG? Of zit 'm dat met name in de bandbreedte?

De USG PRO is vrijwel gelijk aan de Edgerouter max pro, rack mountable en 2 SPF poorten plus snellere cpu. En uiteraard dat deze via de Unifi GUI werkt. Ben nu alleen nog aant kijken wat men met dat ingebouwde VOIP controller stuk kan.

[ Voor 17% gewijzigd door tcviper op 10-03-2016 12:11 ]

[OMX2000]

djkavaa schreef op woensdag 09 maart 2016 @ 19:00:
[...]


Klopt helemaal, we hebben een aantal klanten zowel XS4ALL als KPN waar we de Edgerouter meteen na de NTU Plaatsen en dat gaat perfect.
Voor telefonie wordt dan nog de Experiabox gebruikt maar dat is dan ook het enige wat het ding doet.

Ook 500Mbit verbindingen zijn voor een Edgerouter Lite bijvoorbeeld geen enkel probleem!

Klinkt goed. Inmiddels gisteren de boel eenvoudig aan de praat gekregen via link naar pastebin in deze topic. Zat alleen geen firewall config in, maar da's nu ook opgelost.

Wat wel opvalt dat ik bijvoorbeeld geen speedtest kan starten vanaf mijn iPhone. Ook meer applicaties die niet helemaal goed werken. Misschien mis ik toch nog wat in de configuratie. Vanavond ff een pastebin hier plaatsen ter review

[Kavaa]

OMX2000 schreef op donderdag 10 maart 2016 @ 12:23:
[...]


Klinkt goed. Inmiddels gisteren de boel eenvoudig aan de praat gekregen via link naar pastebin in deze topic. Zat alleen geen firewall config in, maar da's nu ook opgelost.

Wat wel opvalt dat ik bijvoorbeeld geen speedtest kan starten vanaf mijn iPhone. Ook meer applicaties die niet helemaal goed werken. Misschien mis ik toch nog wat in de configuratie. Vanavond ff een pastebin hier plaatsen ter review

Denk dat er dan ergens iets niet klopt inderdaad, denk dat Jeroen_ae92 je daar wel mee kan helpen;)

[HellStorm666]

En nog een andere vraag.
Zou graag een VPN server draaien op de Edgerouter PoE5.
Nu heb ik begrepen dat er sinds v1.8.0 ook IKEv2 gebruikt kan worden.

Is er ergens een tutorial te vinden die uitlegt hoe ik via de GUI een ipsec VPN server met IKEv2 aanmaak?
Glasvezel KPN aansluiting, dus m'n IP adres hangt aan de pppoe0, moet ik dan eth0 of pppoe0 als interface selecteren voor VPN?
Ik kan deze niet vinden

[ Voor 18% gewijzigd door HellStorm666 op 10-03-2016 12:43 ]

[Hennie-M]

Exocet schreef op woensdag 09 maart 2016 @ 13:47:
Graag even verifiëren voor ik voor aanschaf over ga.
Mijn situatie:
- een meterkast met router (nu nog een oude D-link) , hiervan staat wifi uit omdat het bereik heel slecht is in de meterkast.
- in de hal een tplink router geconfigureerd als access point.
- glasvezel 100/100 (wellicht 500/500 in de toekomst)
- zo'n 3 apparaten verbonden via kabels en zo'n 8 wifi apparaten

Deze setup is nu met het aantal toegenomen wifi apparaten niet snel genoeg en niet helemaal stabiel.

Na wat zoekwerk naar een router zonder wifi en een goed AP kwam ik op de Ubiquiti apparaten uit.
Ik ben geen netwerk held en ik begrijp dat je dan niet de Edgerouter lite moet hebben.

Dus mijn idee is dus het aanschaffen van :
- Edgerouter X
- Ubiquiti UniFi AP AC LR

Heb ik hiermee een goede setup voor mijn situatie?

Die Unifi AP AC LR zou ik persoonlijk niet kiezen voor een in huis situatie. Dat heeft geen meerwaarde als er alleen telefoons en laptops aan komen. je kan je huidige router in principe ook gewoon houden (al weet ik niet of die voldoende bandbreedte heeft) en daar de wifi van uitzetten en 2 goedkopere AP's door je huis heen hangen.

[SooK]

Hennie-M schreef op donderdag 10 maart 2016 @ 13:21:
Die Unifi AP AC LR zou ik persoonlijk niet kiezen voor een in huis situatie. Dat heeft geen meerwaarde als er alleen telefoons en laptops aan komen. je kan je huidige router in principe ook gewoon houden (al weet ik niet of die voldoende bandbreedte heeft) en daar de wifi van uitzetten en 2 goedkopere AP's door je huis heen hangen.

Zit met hetzelfde probleem en ik denk er ook over om mijn oude router zonder wifi in de meterkast te zetten. Aangezien ik wel graag een AC netwerk wil hebben, lijken er op dit moment niet zo heel veel 'rookmelder' opties te zijn volgens de pricewatch. Kom ik uit op 2-3x Ubiquiti UniFi AP-AC LITE.

[eymey]

Hennie-M schreef op donderdag 10 maart 2016 @ 13:21:
[...]

Die Unifi AP AC LR zou ik persoonlijk niet kiezen voor een in huis situatie. Dat heeft geen meerwaarde als er alleen telefoons en laptops aan komen. je kan je huidige router in principe ook gewoon houden (al weet ik niet of die voldoende bandbreedte heeft) en daar de wifi van uitzetten en 2 goedkopere AP's door je huis heen hangen.

Hmm, maar het nadeel van 2 goedkopere AP's in huis is dat je vrijwel zeker gezeur krijgt met roaming (niet vroeg genoeg, danwel veel te vaak).

Als een strategisch geplaatste AC LR eventueel het hele huis in z'n eentje van goed bereik kan voorzien, dan lijkt het me alsnog meerwaarde hebben toch? .

Maar vraagsteller zou er idd eventueel wel voor kunnen kiezen om wel de AP LR te doen en dan gewoon de eigen router te houden (met WIFI daarvan uit).

[Ethirty]

Hennie-M schreef op donderdag 10 maart 2016 @ 13:21:
[...]

Die Unifi AP AC LR zou ik persoonlijk niet kiezen voor een in huis situatie. Dat heeft geen meerwaarde als er alleen telefoons en laptops aan komen. je kan je huidige router in principe ook gewoon houden (al weet ik niet of die voldoende bandbreedte heeft) en daar de wifi van uitzetten en 2 goedkopere AP's door je huis heen hangen.

Ik zou dat niet zo hard durven stellen hoor. Er zullen vast goedkopere AP's zijn, maar dan mis je toch weer een hoop mogelijkheden die juist meerwaarde bieden aan een Unifi AP.

Met 1 LR heb ik nu beter bereik en meer snelheid in mijn huis dan met mijn oude router/AP.

[extreme8eight]

Ik zou ook voor een LR gaan maar vraag me af of het die meerkost waard is ivgl met de gewone AP AC.

[_Piwi_]

extreme8eight schreef op donderdag 10 maart 2016 @ 14:40:
Ik zou ook voor een LR gaan maar vraag me af of het die meerkost waard is ivgl met de gewone AP AC.

Ik zou ook zeker voor de AC Lite of LR gaan i.p.v. goedkopere Wifi apparaten met router functies uitgeschakeld, juist voor die roaming feature.

AC LR of Lite ligt aan je huis. Ik moet een betonnen dek door en dat doet de LR ook niet, dus eigenlijk geen meerwaarde, echter omdat ik de AP zo heb geplaatst dat de zichtlijn tot aan de tuin komt hoef ik in mijn tuin geen aparte AP te plaatsen.

Toendertijd de LR genomen omdat de LITE nog niet leverbaar was ;-)

[Hennie-M]

Ik was denk ik wat onduidelijk in mijn post, ik zou zeker voor de AC Pro gaan als beste optie.
En als absolute bandbreedte niet uitmaakt maar budget wel, dan zou je ook voor 2 Unifi AP uit de oude serie kunnen gaan.

Waarom ik juist tegen de LR adviseerde is dat (en ik heb de topicstart nog niet doorgelezen :x) is dat ik op de UBNT forums lees dat clients niet genoeg vermogen hebben om terug te kunnen praten tegen een LR en daarom dus geen meerwaarde had. Maar als ik in anderhalf uur tijd door zoveel mensen ongelijk terug krijg, dan zal ik het wel fout hebben

[extreme8eight]

Ik zie eventjes het verschil niet meer tussen al die nummertjes, het enige verschil met de PRO versie is de snelheid? Heb ik dat goed? Of zitten er ook meer antennetjes in?

[chickpoint]

Hennie-M schreef op donderdag 10 maart 2016 @ 15:31:
Ik was denk ik wat onduidelijk in mijn post, ik zou zeker voor de AC Pro gaan als beste optie.
En als absolute bandbreedte niet uitmaakt maar budget wel, dan zou je ook voor 2 Unifi AP uit de oude serie kunnen gaan.

Waarom ik juist tegen de LR adviseerde is dat (en ik heb de topicstart nog niet doorgelezen :x) is dat ik op de UBNT forums lees dat clients niet genoeg vermogen hebben om terug te kunnen praten tegen een LR en daarom dus geen meerwaarde had. Maar als ik in anderhalf uur tijd door zoveel mensen ongelijk terug krijg, dan zal ik het wel fout hebben

Wat je zegt klopt wel, apparaten zoals telefoon zullen niet zo hard terug zenden dan dat je LR doet. Je hebt inderdaad meer 'streepjes' bereik en je download snelheid is waarschijnlijk ook prima. Het enige waar het snel op gaat hangen zal je upload zijn, maar daar maken de meesten zich niet zo druk om

[Hennie-M]

extreme8eight schreef op donderdag 10 maart 2016 @ 15:42:
Ik zie eventjes het verschil niet meer tussen al die nummertjes, het enige verschil met de PRO versie is de snelheid? Heb ik dat goed? Of zitten er ook meer antennetjes in?

De AC PRO heeft 3x3 antenne's ipv 2x2
_{Bedankt voor de correctie Ethirty}

[ Voor 6% gewijzigd door Hennie-M op 10-03-2016 16:21 . Reden: Ethirty ]

[Ethirty]

Hennie-M schreef op donderdag 10 maart 2016 @ 15:31:
Ik was denk ik wat onduidelijk in mijn post, ik zou zeker voor de AC Pro gaan als beste optie.
En als absolute bandbreedte niet uitmaakt maar budget wel, dan zou je ook voor 2 Unifi AP uit de oude serie kunnen gaan.

Waarom ik juist tegen de LR adviseerde is dat (en ik heb de topicstart nog niet doorgelezen :x) is dat ik op de UBNT forums lees dat clients niet genoeg vermogen hebben om terug te kunnen praten tegen een LR en daarom dus geen meerwaarde had. Maar als ik in anderhalf uur tijd door zoveel mensen ongelijk terug krijg, dan zal ik het wel fout hebben

De LR heeft ook een ander model antenne, dus het zou op kortere afstand ook een beter signaal moeten geven. Of je dat in de praktijk kan merken heb ik geen verstand van. Een telefoon wellicht niet, maar een laptop heeft vaak al een grotere antenne.

Hennie-M schreef op donderdag 10 maart 2016 @ 15:48:
[...]

De AC PRO heeft 3x3 antenne's ipv 2x2

Om compleet te zijn is het in de AC-range: Lite 2x2 op allebei, LR 3x3 op 2.4 en 2x2 op 5, de Pro is 3x3 op allebei.

[ Voor 7% gewijzigd door Ethirty op 10-03-2016 15:59 ]