[PFsense] Routed IPTV

[GiantLeap]

Ik heb nu inmiddels m'n internet verbinding werkend via PPPoE, met m'n Draytek Vigor 130, dus het wordt tijd om ook routed IPTV aan de gang te krijgen

Basisgegevens:

em0: NIC verbonden met Draytek vigor 130
vlan6: ISP VLAN voor internet
vlan4: ISP VLAN voor IPTV
PFSense draait versie 2.2.6

Screenshots met huidig, niet werkend, config:







Volgens http://netwerkje.com/routed-iptv zou ik een IP moeten krijgen via DHCP zolang ik dhcp-option 60 mee geef. Alleen blijft de DHCP server van XS4ALL (KPN) stil. Voor test doeleinden heb ik ook een any/any firewall regel voor de IPTV interface toegevoegd. Ook heb ik de vinkjes voor het blokkeren van private of bogon networks niet aanstaan. Iemand enig idee waar dit fout gaat? DHCP logs tonen geen foutmeldingen, ook een packet capture laat enkel de DHCP discover zien van PFsense.

[ Voor 3% gewijzigd door GiantLeap op 18-01-2016 15:57 ]

[GiantLeap]

Niemand die weet hoe dit aan de praat te krijgen is? Of misschien iemand die een zelfde setup draaiend heeft?

[Thralas]

Deze gezien? Ik ken pfSense niet, maar daar gebruikt men een heel ander veldje voor option 60.

Venxblog: KPN glasvezel via PFSense

Rare naam voor de optie trouwens. Optie 60 is vendor-class-identifier, wat jij specificeert bestaat niet volgens de ISC dhcp manual (wat pfSense gebruikt weet ik niet, maar de 'option ..' syntax lijkt ISC lingo)

[ Voor 18% gewijzigd door Thralas op 16-01-2016 18:27 ]

[GiantLeap]

Thralas schreef op zaterdag 16 januari 2016 @ 18:24:
Deze gezien? Ik ken pfSense niet, maar daar gebruikt men een heel ander veldje voor option 60.

Venxblog: KPN glasvezel via PFSense

Rare naam voor de optie trouwens. Optie 60 is vendor-class-identifier, wat jij specificeert bestaat niet volgens de ISC dhcp manual (wat pfSense gebruikt weet ik niet, maar de 'option ..' syntax lijkt ISC lingo)

Die heb ik inderdaad laatst gevonden, maar toch dank voor de link. In FreeBSD heet deze optie inderdaad dhcp-class-identifier. Zie ook hier.

Het wordt echter vreemder. Want ik heb met tcpdump even meegekeken, maar option-60 wordt nergens verzonden, dit terwijl het wel ingesteld staat:

code:

18:33:58.244426 IP (tos 0x10, ttl 128, id 0, offset 0, flags [none], proto UDP (17), length 328)
    0.0.0.0.bootpc > 255.255.255.255.bootps: BOOTP/DHCP, Request from 00:0c:29:d4:64:2b (oui Unknown), length 300, xid 0xf21823d6, secs 41, Flags [none]
          Client-Ethernet-Address 00:0c:29:d4:64:2b (oui Unknown)
          Vendor-rfc1048 Extensions
            Magic Cookie 0x63825363
            DHCP-Message Option 53, length 1: Discover
            Client-ID Option 61, length 7: hardware-type 73, 50:54:56:5f:52:47
            Hostname Option 12, length 4: "fw01"
            Parameter-Request Option 55, length 9:
              Subnet-Mask, BR, Time-Zone, Classless-Static-Route
              Default-Gateway, Domain-Name, Domain-Name-Server, Hostname
              Option 119

[Thralas]

GiantLeap schreef op zaterdag 16 januari 2016 @ 20:25:
Die heb ik inderdaad laatst gevonden, maar toch dank voor de link. In FreeBSD heet deze optie inderdaad dhcp-class-identifier. Zie ook hier.

Nee.

Kijk nog eens naar je output, hij stuurt option 61 mee. Dat klopt, want dhcp-class-identifier is de client identifier, niet de vendor identifier.

Daarvoor zie ik geen string in de manpage die je linkt, maar blijkbaar is de syntax 'option-60 "IPTV_RG"' ook valide. Probeer dat eens?

[GiantLeap]

Thralas schreef op zondag 17 januari 2016 @ 01:00:
[...]


Nee.

Kijk nog eens naar je output, hij stuurt option 61 mee. Dat klopt, want dhcp-class-identifier is de client identifier, niet de vendor identifier.

Daarvoor zie ik geen string in de manpage die je linkt, maar blijkbaar is de syntax 'option-60 "IPTV_RG"' ook valide. Probeer dat eens?

Die optie geeft "dhclient[85776]: /var/etc/dhclient_opt3.conf line 7: no option named option-60" terug in de logging. Overigens wordt ook zonder "dhcp-class-identifier", option 61 meegestuurd.

[johnkeates]

Uh, is het niet zo dat je via DHCP juist Option 60 als server mee moet geven met requests van de STB?

[Venxir]

Loopt al het verkeer via de draytek en dan een Pfsense doos?

Of is die draytek puur een modem en doet hij geen routing?

Edit: ik lees dat hij transparant in te stellen is, gaat dat wel goed? Krijgt Pfsense een extern ip of een LAN ip op de wan interface?

Edit 2, je config in je eerste screenshot lijkt apart. Vlan 4 komt niet dmv pppoe.

[ Voor 50% gewijzigd door Venxir op 17-01-2016 04:32 ]

[nescafe]

Hier de DISCOVER van een MikroTik (werkende config)

code:

Bootstrap Protocol (Discover)
    Message type: Boot Request (1)
    Hardware type: Ethernet (0x01)
    Hardware address length: 6
    Hops: 0
    Transaction ID: 0x92456ec0
    Seconds elapsed: 0
    Bootp flags: 0x8000, Broadcast flag (Broadcast)
    Client IP address: 0.0.0.0
    Your (client) IP address: 0.0.0.0
    Next server IP address: 0.0.0.0
    Relay agent IP address: 0.0.0.0
    Client MAC address: Routerbo_XX:XX:XX (4c:5e:0c:XX:XX:XX)
    Client hardware address padding: 00000000000000000000
    Server host name not given
    Boot file name not given
    Magic cookie: DHCP
    Option: (53) DHCP Message Type (Discover)
        Length: 1
        DHCP: Discover (1)
    Option: (55) Parameter Request List
        Length: 7
        Parameter Request List Item: (1) Subnet Mask
        Parameter Request List Item: (121) Classless Static Route
        Parameter Request List Item: (3) Router
        Parameter Request List Item: (33) Static Route
        Parameter Request List Item: (6) Domain Name Server
        Parameter Request List Item: (42) Network Time Protocol Servers
        Parameter Request List Item: (138) CAPWAP Access Controllers
    Option: (60) Vendor class identifier
        Length: 7
        Vendor class identifier: IPTV_RG
    Option: (12) Host Name
        Length: 8
        Host Name: MikroTik
    Option: (61) Client identifier
        Length: 7
        Hardware type: Ethernet (0x01)
        Client MAC address: Routerbo_XX:XX:XX (4c:5e:0c:XX:XX:XX)
    Option: (255) End
        Option End: 255
    Padding: 00000000000000000000000000000000000000

Zonder optie 60 geen reply (wat jij nu ook ervaart). Daarnaast is het van belang dat je je DHCP client direct aan vlan4 koppelt buiten je PPPoE-sessie (wat Venxir zegt).

[GiantLeap]

Venxir schreef op zondag 17 januari 2016 @ 04:28:
Loopt al het verkeer via de draytek en dan een Pfsense doos?

Of is die draytek puur een modem en doet hij geen routing?

Edit: ik lees dat hij transparant in te stellen is, gaat dat wel goed? Krijgt Pfsense een extern ip of een LAN ip op de wan interface?

Edit 2, je config in je eerste screenshot lijkt apart. Vlan 4 komt niet dmv pppoe.

Draytek is puur modem inderdaad, zonder VLAN insertion, WAN in Pfsense staat als PPPoE, en de PPPoE sessie wordt opgezet over VLAN 6. Dit werkt, pfsense krijgt een extern IP, en ik kan het internet op. VLAN 4 heb ik inmiddels uit PPPoE geschrapt. Echter krijg ik nu nog geen IP. Zie via tcpdump wel dat option 60 juist wordt meegestuurd. Dank nescafe voor je discover.

TCPdump:

code:

    0.0.0.0.bootpc > 255.255.255.255.bootps: [udp sum ok] BOOTP/DHCP, Request from 50:7e:5d:c3:0a:9b (oui Unknown), length 300, xid 0x5e0efc76, secs 15, Flags [none] (0x0000)
          Client-Ethernet-Address 50:7e:5d:c3:0a:9b (oui Unknown)
          Vendor-rfc1048 Extensions
            Magic Cookie 0x63825363
            DHCP-Message Option 53, length 1: Discover
            Vendor-Class Option 60, length 7: "IPTV_RG"
            Client-ID Option 61, length 7: ether 50:7e:5d:c3:0a:9b
            Hostname Option 12, length 7: "pfsense"
            Parameter-Request Option 55, length 9:
              Subnet-Mask, BR, Time-Zone, Classless-Static-Route
              Default-Gateway, Domain-Name, Domain-Name-Server, Hostname
              Option 119

Overigens is het wel zo dat de Draytek verbonden zit via een tweetal managed switches. Pfsense draait op VMWare ESX. Schematisch zit dat zo:

Draytek (VLAN 4T, 6T) ==> Switch ==TRUNK=-> Switch2 (VLAN 4T, 6T) ==> ESX (VLAN 4T, 6T(twee aparte interfaces)) ==> Pfsense

[ Voor 40% gewijzigd door GiantLeap op 18-01-2016 01:05 ]

[Venxir]

Toevallig VLAN optie op je één van je ESXi interfaces vergeten te enablen?

[GiantLeap]

Venxir schreef op maandag 18 januari 2016 @ 11:45:
Toevallig VLAN optie op je één van je ESXi interfaces vergeten te enablen?

Was dat maar zo De interfaces staan elk op een vlan getagged, de een op 4 en de ander op 6.

Voor de volledigheid:





Binnen Pfsense doe ik dus ook niks met vlans, omdat ESX dat doet, als het goed is.

[ Voor 42% gewijzigd door GiantLeap op 18-01-2016 15:59 ]

[Venxir]

Ik kan wel een keer teamvieweren ofzo met je? DM anders maar.

[GiantLeap]

Venxir schreef op maandag 18 januari 2016 @ 18:43:
Ik kan wel een keer teamvieweren ofzo met je? DM anders maar.

DM is verstuurd

[GiantLeap]

Goed, net even de mogelijkheid dat mijn switches de boosdoener zijn uitgesloten. Ik heb twee trunk verbindingen tussen die switches, een van die twee heb ik losgetrokken. Daarbij heb ik een uiteinde van de kabel in de Draytek gestopt, en het andere eind in mijn ESX bak. VLAN 4095 toegewezen aan de vSwitch van deze NIC en binnen Pfsense VLAN 4 en 6 weer aangemaakt.

Resultaat is hetzelfde: VLAN6 (internet) werkt meteen, VLAN 4, nog steeds geen IP via DHCP. De enige optie is dus dat er iets binnen ESX fout gaat. Ik ga nu nog kijken of het met twee interfaces wel gaat werken. Dus een VM Network getagged op VLAN 4 en een VM Network getagged op 6. Dit in plaats van een VM Network getagged op VLAN 4095 en de tagging binnen pfsense doen.

Edit:
Bovenstaande levert weer hetzelfde resultaat op.

[ Voor 3% gewijzigd door GiantLeap op 19-01-2016 18:26 ]

[perryodk]

GiantLeap schreef op dinsdag 19 januari 2016 @ 17:59:
Goed, net even de mogelijkheid dat mijn switches de boosdoener zijn uitgesloten. Ik heb twee trunk verbindingen tussen die switches, een van die twee heb ik losgetrokken. Daarbij heb ik een uiteinde van de kabel in de Draytek gestopt, en het andere eind in mijn ESX bak. VLAN 4095 toegewezen aan de vSwitch van deze NIC en binnen Pfsense VLAN 4 en 6 weer aangemaakt.

Resultaat is hetzelfde: VLAN6 (internet) werkt meteen, VLAN 4, nog steeds geen IP via DHCP. De enige optie is dus dat er iets binnen ESX fout gaat. Ik ga nu nog kijken of het met twee interfaces wel gaat werken. Dus een VM Network getagged op VLAN 4 en een VM Network getagged op 6. Dit in plaats van een VM Network getagged op VLAN 4095 en de tagging binnen pfsense doen.

Edit:
Bovenstaande levert weer hetzelfde resultaat op.

In de Vigor 130 handleiding (http://www.i-lan.net.au/d...ents/UG-Vigor130-V1.0.pdf) op pagina 24 en 25 staat dat er voor de WAN verbinding VLAN tagging in- / uitgeschakeld kan worden.

VLAN Tag insertion

Enable – Enable the function of VLAN with tag.
The modem will add specific VLAN number to all packets
on the WAN while sending them out.
Please type the tag value and specify the priority for the
packets sending by WAN1.

Disable – Disable the function of VLAN with tag.

Tag value – Type the value as the VLAN ID number. The
range is form 0 to 4095.

Priority – Type the packet priority number for such VLAN.
The range is from 0 to 7.

Kan dit misschien het probleem veroorzaken waardoor alle uitgaande verkeer een VLAN 6 tag krijgt?
Of staat onder het menu "Internet Access >>> PPPoe / PPPoA client Mode" PPPoE-Pass-Through misschien ingeschakeld met een gedefinieerd VLAN (zie pagina 26 van dezelfde handleiding)?

[GiantLeap]

perryodk schreef op dinsdag 19 januari 2016 @ 21:04:
[...]


In de Vigor 130 handleiding (http://www.i-lan.net.au/d...ents/UG-Vigor130-V1.0.pdf) op pagina 24 en 25 staat dat er voor de WAN verbinding VLAN tagging in- / uitgeschakeld kan worden.

[...]


Kan dit misschien het probleem veroorzaken waardoor alle uitgaande verkeer een VLAN 6 tag krijgt?
Of staat onder het menu "Internet Access >>> PPPoe / PPPoA client Mode" PPPoE-Pass-Through misschien ingeschakeld met een gedefinieerd VLAN (zie pagina 26 van dezelfde handleiding)?

Naar mijn weten is dat enkel voor internettoegang, in mijn geval VLAN6, en dat is nu net het gene wat bij mij goed werkt, correct me if I'm wrong natuurlijk. Toch bedankt voor je reactie.

Ik ga vanavond de Fritzbox aansluiten en een tcpdump maken van de IPTV-interface, om precies te weten wat er bij het tot stand komen van de verbinding komt kijken. Eens zien of dat nieuwe informatie oplevert.

[Paul]

Ik heb bij pfSense gemerkt dat je voor sommige dingen* promiscuous mode op de vSwitch of en/of portgroup toe moet staan (onder Security), probeer dat eens?

*: In ieder geval als je een HA pair maakt met CARP, maar het kan geen kwaad het te proberen

[GiantLeap]

Paul schreef op dinsdag 19 januari 2016 @ 21:59:
Ik heb bij pfSense gemerkt dat je voor sommige dingen* promiscuous mode op de vSwitch of en/of portgroup toe moet staan (onder Security), probeer dat eens?

*: In ieder geval als je een HA pair maakt met CARP, maar het kan geen kwaad het te proberen

Thanks voor je reactie. Uiteraard even aangezet, maar helaas zonder resultaat. Blijft vreemd dat het niet werkt. Ben zo ongeveer door alle opties heen. Misschien dus toch maar weer de Fritzbox ertussen zetten. Overigens, even voor de dubbel check, het enige wat op die Vigor 130 ingesteld hoeft te worden is dat hij in Bridge modus staat toch? Of beter PPPoE Passthrough?

[akatar]

ik kan je wel een werkende config file sturen, deze werkt hier icm edgerouter incl iptv
als je me je email per dm stuurt

[GiantLeap]

akatar schreef op woensdag 20 januari 2016 @ 19:27:
ik kan je wel een werkende config file sturen, deze werkt hier icm edgerouter incl iptv
als je me je email per dm stuurt

Zie DM

[akatar]

en zie mail

[akatar]

heeft het nog iets opgeleverd?

[GiantLeap]

Zojuist een stap verder gekomen. Ik ontvang op vlan 4 nu bridged een ip. De bridge loopt over pfsense. Dus: vlan4 op em0 (WAN) => Bridge op pfsense => VLAN4 op managed switch. Alleen heb ik geen beeld op de zenders. Dus ik doe vast nog iets niet goed op het gebied van igmp proxying ofzo. Iemand enig idee wat ik mis waardoor ik geen beeld heb?

[ Voor 17% gewijzigd door GiantLeap op 28-01-2016 19:51 ]

[MisteRMeesteR]

GiantLeap schreef op donderdag 28 januari 2016 @ 19:48:
Zojuist een stap verder gekomen. Ik ontvang op vlan 4 nu bridged een ip. De bridge loopt over pfsense. Dus: vlan4 op em0 (WAN) => Bridge op pfsense => VLAN4 op managed switch. Alleen heb ik geen beeld op de zenders. Dus ik doe vast nog iets niet goed op het gebied van igmp proxying ofzo. Iemand enig idee wat ik mis waardoor ik geen beeld heb?

Probeer de MTU eens op 1510 te zetten.

Edit: dit was bij mij de oplossing met een Cisco 887VA puur als modem/bridge. De MTU aan de 'binnenkant' van de Cisco 887VA omhoog gezet en sindsdien perfect beeld, had ermee te maken dat het bridgen zelf niet goed ging maar dit kan ook een Cisco dingetje zijn. Rest van het LAN draait wel normaal een MTU van 1500, ook op de interface in VLAN4 waar de STB direct op aangesloten zit.

[ Voor 27% gewijzigd door MisteRMeesteR op 28-01-2016 19:59 ]

[GiantLeap]

MisteRMeesteR schreef op donderdag 28 januari 2016 @ 19:53:
[...]

Probeer de MTU eens op 1510 te zetten.

Edit: dit was bij mij de oplossing met een Cisco 887VA puur als modem/bridge. De MTU aan de 'binnenkant' van de Cisco 887VA omhoog gezet en sindsdien perfect beeld, had ermee te maken dat het bridgen zelf niet goed ging maar dit kan ook een Cisco dingetje zijn. Rest van het LAN draait wel normaal een MTU van 1500, ook op de interface in VLAN4 waar de STB direct op aangesloten zit.

Het werkt inmiddels. Ik moest multicast verkeer nog even toestaan. Morgen (vandaag inmiddels) nogmaals kijken naar routed iptv ipv bridged zoals het nu is.

Edit: Geen idee hoe het kan, maar routed IPTV werkt nu ook in een keer. Kortom: Problem solved!

[ Voor 6% gewijzigd door GiantLeap op 29-01-2016 19:22 ]

[mauritsl20]

alles werkend gekregen op de route na heb nu

213.75.0.0/21 OPT1_DHCP - 10.59.16.1 IPTV_WAN
Echter heb ik deze ip range van een kpn handleiding

Echter komt het verkeerd hier niet over. Weet iemand of deze range klopt voor XS4all

Verder de handleiding van Venxblog: KPN glasvezel via PFSense

Vraag nu wat is de range waarmee de decoder wil connecten 213.75.0.0/21? Echter werkt dit niet.

[nescafe]

Hier een XS4ALLer.. de handleiding van netwerkje.com geeft de juiste ranges.

quote: http://netwerkje.com/routed-iptv

De IGMP proxy moet gestart worden op het verkregen IP adres van de DHCP op VLAN4. De upstream is de VLAN4, de downstream de bridge of master/slave waar de decoders op zitten. De proxy moet de volgende subnetten accepteren:
10.142.64.0/18 en 213.75.0.0/16

Verder moet er NAT worden gedaan op deze twee IP reeksen tussen VLAN4 en het interne netwerk.

10.142.64.0/18
213.75.112.0/21

Let op: het is ofwel 213.75.0.0/16 ofwel 213.75.112.0/21, maar 213.75.0.0/21 zit daarbuiten.

De route wordt hier via DHCP doorgegeven:

Option: (121) Classless Static Route
Length: 8
213.75.112.0/21-10.58.240.1

[GiantLeap]

Kwam er gister achter dat de STB geen firmware kan downloaden. Voor de rest werkt TV perfect. Iemand enig idee hoe ik ervoor zorg dat de STB systeemsoftware kan downloaden?

[Bman59]

Heb je dit probleem nog opgelost gekregen, zit nu met een zelfde issue (telfort pfsense en routed IPTV)

[DeBazaar]

Ik ben ook wel benieuwd naar de config file van akatar, ik heb hier ook een EdgeRouter die maar geen IP-adres via vlan 4 wil ontvangen terwijl de client options wel goed lijken te zijn