Advies - XS4all, Fritzbox 7490, Mikrotik router en subnet

[nescafe]

De FRITZ! stel je in op client-modus, dan kun je hem als VoIP-client gebruiken.
Onder View: Advanced => Internet => Account Information => Internet service provider.

Kies hier "Other Internet service provider", "External modem or router" en "Share existing Internet connection in the network (IP client mode)":



De MikroTik stel je in op PPPoE/VLAN6:

code:

/interface vlan
add interface=ether1-gateway name=ether1-vlan6 vlan-id=6
/interface pppoe-client
add add-default-route=yes allow=pap default-route-distance=1 disabled=no \
    interface=ether1-vlan6 keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=\
    pppoe-xs4all password=kpn use-peer-dns=yes user=[e-mail]

SIP ALG schakel je uit:

code:

/ip firewall service-port
set sip disabled=yes

Het subnet (bijv. 2.2.2.0/29) voeg je toe als extra ip-adres:

code:

/ip address
add interface=pppoe-xs4all address=2.2.2.0/29

NAT kan op 4 manieren:

1. Inkomende traffic naar WAN (ip 2.2.2.1) naar een server op LAN (192.168.88.11) inzake http en https

code:

/ip firewall nat
add chain=dstnat action=dst-nat in-interface=pppoe-xs4all dst-address=2.2.2.1 \
    protocol=tcp dst-port=80,443 to-addresses=192.168.88.11
add chain=srcnat action=src-nat out-interface=pppoe-xs4all src-address=192.168.88.11 \
    protocol=tcp src-port=80,443 to-addresses=2.2.2.1

2. Uitgaande traffic van een pc op het LAN (192.168.88.60) via WAN (ip 2.2.2.2)

code:

/ip firewall nat
add chain=srcnat action=src-nat out-interface=pppoe-xs4all src-address=192.168.88.60 to-addresses=2.2.2.2

3. 1-op-1 NAT van WAN-subnet (2.2.2.0-7) naar LAN-subnet (192.168.88.16-23):

code:

/ip firewall nat
add chain=dstnat action=netmap in-interface=pppoe-xs4all dst-address=2.2.2.0/29 to-addresses=192.168.88.16/29
add chain=srcnat action=netmap out-interface=pppoe-xs4all src-address=192.168.88.16/29 to-addresses=2.2.2.0/29

4. Overige uitgaande traffic via WAN (dynamisch ip, pref. source in routing table)

code:

/ip firewall nat
add chain=srcnat action=masquerade out-interface=pppoe-xs4all

Vergeet uiteraard niet te firewallen

input chain:

code:

/ip firewall filter
add chain=input action=accept connection-state=established,related
add chain=input action=drop connection-state=invalid
add chain=input action=accept in-interface=bridge-local
add chain=input action=drop

forward chain:

code:

/ip firewall filter
add chain=forward action=fasttrack-connection connection-state=established,related
add chain=forward action=accept connection-state=established,related
add chain=forward action=drop connection-state=invalid
add chain=forward action=accept in-interface=bridge-local
add chain=forward action=accept connection-nat-state=dstnat # pas op in combinatie met 1-op-1 NAT!
add chain=forward action=drop

(let erop dat je deze dstnat accept-rule vrij gevaarlijk is: als je upnp wilt gebruiken is hij handig (noodzakelijk) maar als je hem in combinatie met netmap / dstnat zonder -to-ports gebruikt stel je hele devices open naar de buitenwereld)

icerunner schreef op woensdag 04 mei 2016 @ 13:10:

[...]

Het probleem is dat de laatste keer dat ik dat deed ik een stuk meer tijd had, er volledig in zat en het 100% begreep (student). Inmiddels ben ik fulltime huisarts, is het nog steeds een grote hobby, maar begint het toch allemaal net wat meer tricky te worden

[...]

Puntje van aandacht is dat er beperkte probeer-mogelijkheden zijn - het is een bedrijfskritieke setup die dagelijks gebruikt wordt...

[...]

Ik kan me voorstellen dat, zelfs met deze aanwijzingen, je nog wel even bezig bent om de setup voor elkaar te krijgen. Ik ben al met al meerdere dagen bezig geweest om het naar m'n zin te krijgen. Wat dat betreft kun je het subnet beter tot het laatst bewaren

Nog een puntje ten aanzien van de FRITZ!, ikzelf heb altijd asterisk gebruikt met een vaste RTP-range.. voor de FRITZ! schijnt dit UDP 7078-7098 te zijn maar je kunt natuurlijk ook een 1-to-1 NAT-mapping maken.