[Ubiquiti-apparatuur] Ervaringen & Discussie - Deel 2

[stormfly]

Ja de clients die komen en gaan worden altijd naar de controller gestuurd, anders weet hij niet op welke AP je zit etc. Maar als je niet om deze statistieken geeft kan hij gewoon uit lijkt mij. Dat doet een niet Tweaker maat van mij ook die AP's draaien al jaren nadat ze 1x zijn geconfigureerd, met een regulier SSID.

Dit plaatje, gemaakt voor leken, zegt eigenlijk al genoeg. Lees de oranje tekst maar.

Als je dat vinkje niet aanvinkt bij het portal, kan je nog steeds die ACL's wel op je AP zetten door op het SSID wel het "Apply guest policies" aan te vinken. Dan heb je geen portal maar wel een secure omgeving

[ Voor 41% gewijzigd door stormfly op 12-07-2017 13:57 ]

[MRE-Inc]

Jeroen_ae92 schreef op woensdag 12 juli 2017 @ 11:44:
[...]


Het is belangrijk om stap voor stap te troubleshooten. Doet je DNS het wel voor gasten? Zo ja, wat doet dan een DNS lookup naar gasten-netwerk? Kom je dan uit op 192.168.1.3?

Anyway, ik mis voor je vlan50 firewall ruleset de "established/releated" rule:

code:

        rule 170 {
            action accept
            description "Accept initiated"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }

Hoe heb je nu je DNS service ingericht? Zo ongeveer?

code:

    dns {
        forwarding {
            cache-size 300
            listen-on eth1
            listen-on eth1.50
            name-server 208.67.222.222
            name-server 208.67.220.220
            options listen-address=10.0.1.1
            options localise-queries
        }
    }

Even voor het idee, de options listen-address voeg je toe als je bv middels VPN toch de locale DNS van de Edgerouter wilt gebruiken. Je komt dan immers niet binnen op een interface maar op een tunnel welke je niet als interface kan toevoegen. En op deze manier werkt dat wel.

De DHCP client dien je te voorzien van je locale dns adres. Dus 192.168.50.1 en nooit je externe dns servers.

code:

        shared-network-name GUEST_LAN {
            authoritative enable
            subnet 192.168.50.0/24 {
                default-router 192.168.50.1
                dns-server 192.168.50.1
                lease 86400
                start 192.168.50.20 {
                    stop 192.168.50.199
                }
            }
        }

Nou, als je zover ongeveer kloppend hebt, dan even de statis-host-mapping checken.

code:

    static-host-mapping {
        host-name gasten-netwerk {
            inet 192.168.1.3
        }
    }

En als je dit allemaal kloppend hebt en het werkt nog niet, dan ben ik benieuwt naar je volledige firewall rulesets, interfaces, en dns.

Ga het vanavond proberen. Op ipadres werkt alles wel, maar wellicht dat er nog iets van DNS geblokt wordt. Anders zet ik vanavond alles terug en begin ik over nieuw.

Zal iig al jouw opmerkingen na lopen in de config.

EDIT: Heb de config even via vpn gedownload en bekeken.

De established/related regels staan er idd nog niet in. Die zal ik vanvavond toevoegen.

DNS is alsvolgt ingericht: Volgens mij niks bijzonders in vergelijking met jouw DNS config.

code:

dns {
        forwarding {
            cache-size 150
            listen-on eth1
            listen-on eth2
            listen-on eth1.50
            listen-on l2tp0
            name-server 82.197.196.182
            name-server 82.197.196.183
            name-server 208.67.222.222
            name-server 208.67.220.220
            options listen-address=192.168.1.1
            options localise-queries
            options listen-address=192.168.50.1
        }
    }

DHCP is alsvolgt ingericht: Enige verschil is de authorative die bij mij op disable staat.

code:

shared-network-name VLAN_50_Gasten_netwerk {
            authoritative disable
            subnet 192.168.50.0/24 {
                default-router 192.168.50.1
                dns-server 192.168.50.1
                dns-server 82.197.196.182
                lease 21600
                start 192.168.50.1 {
                    stop 192.168.50.100
                }
            }
        }
        use-dnsmasq disable
    }

[ Voor 21% gewijzigd door MRE-Inc op 12-07-2017 14:15 ]

[jorgen83]

Nu een kleine twee weken drie APs draaien bij me thuis. Ik merkte met iOS devices dat er soms vreemde disconnects waren, waarbij het soms enkele minuten duurt voor je weer online was. Ik heb (op basis van het UBNT forum) in de controller de optie "Uplink Connectivity Monitor" uitgezet, en dat lijkt te werken. Meer mensen hier last van?

[xbeam]

stormfly schreef op woensdag 12 juli 2017 @ 13:53:
Ja de clients die komen en gaan worden altijd naar de controller gestuurd, anders weet hij niet op welke AP je zit etc. Maar als je niet om deze statistieken geeft kan hij gewoon uit lijkt mij. Dat doet een niet Tweaker maat van mij ook die AP's draaien al jaren nadat ze 1x zijn geconfigureerd, met een regulier SSID.

Dit plaatje, gemaakt voor leken, zegt eigenlijk al genoeg. Lees de oranje tekst maar.

Als je dat vinkje niet aanvinkt bij het portal, kan je nog steeds die ACL's wel op je AP zetten door op het SSID wel het "Apply guest policies" aan te vinken. Dan heb je geen portal maar wel een secure omgeving

[afbeelding]

Ja dat snap ik ;-) alleen ik twijfel omdat ik autorisatie verkeer voorbij zie komen.
Daarom durfde ik het niet 100procent te zeggen zonder te testen. ubnt is het verleden ook niet altijd even precies in de documentatie geweest. dus dat er nu oranje letterjes bij staan, er staat soms ook in eens na een update beta bij bestaande functies er al tijden in zitten ( zoals bijv time line in de nvr) of dat het toch net even anders werkte dan aangeven.

Maar als jij het getest heb dan vertrouw ik er op en werkt het dan hoef ik het niet meer te doen

[xbeam]

jorgen83 schreef op woensdag 12 juli 2017 @ 14:13:
Nu een kleine twee weken drie APs draaien bij me thuis. Ik merkte met iOS devices dat er soms vreemde disconnects waren, waarbij het soms enkele minuten duurt voor je weer online was. Ik heb (op basis van het UBNT forum) in de controller de optie "Uplink Connectivity Monitor" uitgezet, en dat lijkt te werken. Meer mensen hier last van?

Uplink Connectivity Monitor is oude bekende.
bij de een werkt het prima en bij ander geeft het inderdaad verbindingsproblemen

[Jeroen_ae92]

MRE-Inc schreef op woensdag 12 juli 2017 @ 14:05:
[...]


Ga het vanavond proberen. Op ipadres werkt alles wel, maar wellicht dat er nog iets van DNS geblokt wordt. Anders zet ik vanavond alles terug en begin ik over nieuw.

Zal iig al jouw opmerkingen na lopen in de config.

EDIT: Heb de config even via vpn gedownload en bekeken.

De established/related regels staan er idd nog niet in. Die zal ik vanvavond toevoegen.

DNS is alsvolgt ingericht: Volgens mij niks bijzonders in vergelijking met jouw DNS config.

code:

dns {
        forwarding {
            cache-size 150
            listen-on eth1
            listen-on eth2
            listen-on eth1.50
            listen-on l2tp0
            name-server 82.197.196.182
            name-server 82.197.196.183
            name-server 208.67.222.222
            name-server 208.67.220.220
            options listen-address=192.168.1.1
            options localise-queries
            options listen-address=192.168.50.1
        }
    }

DHCP is alsvolgt ingericht: Enige verschil is de authorative die bij mij op disable staat.

code:

shared-network-name VLAN_50_Gasten_netwerk {
            authoritative disable
            subnet 192.168.50.0/24 {
                default-router 192.168.50.1
                dns-server 192.168.50.1
                dns-server 82.197.196.182
                lease 21600
                start 192.168.50.1 {
                    stop 192.168.50.100
                }
            }
        }
        use-dnsmasq disable
    }

Serieus? Hoe denk je dat een interne naam wordt afgevangen/geserveerd door de Edgerouter als je een externe DNS server meegeeft aan je client? Extern kennen ze je interne namen niet. Die moet er dus uit en clients, helemaal guest clients, biedt je enkel je interne DNS aan zodat je ook invloed hebt op dat verkeer (indien nodig )

code:

shared-network-name VLAN_50_Gasten_netwerk {
            authoritative enable <---- zet deze op enable want dan wordt je DHCP adres sneller geserveerd
            subnet 192.168.50.0/24 {
                default-router 192.168.50.1
                dns-server 192.168.50.1
                dns-server 82.197.196.182 <--- uhhh? D'ruit met die hap
                lease 21600
                start 192.168.50.1 {
                    stop 192.168.50.100
                }
            }
        }
        use-dnsmasq disable
    }

En verder, dit kan netter. Haal die l2tpX eruit, en waarom 4 dns servers? Beetje overkill :-)

code:

dns {
        forwarding {
            cache-size 150
            listen-on eth1
            listen-on eth1.50
            listen-on eth2
            listen-on l2tp0 <---- die kan eruit aangezien je een options listen-address hebt
            name-server 82.197.196.182
            name-server 82.197.196.183
            name-server 208.67.222.222
            name-server 208.67.220.220
            options listen-address=192.168.1.1
            options listen-address=192.168.50.1
            options localise-queries
        }
    }

[ Voor 3% gewijzigd door Jeroen_ae92 op 12-07-2017 14:25 ]

[stormfly]

xbeam schreef op woensdag 12 juli 2017 @ 14:16:
[...]
Maar als jij het getest heb dan vertrouw ik er op en werkt het dan hoef ik het niet meer te doen

Jeps ik heb maanden zo gedraaid voordat ik de USG had, je kan alleen elkaar MAC adress zien met een scantool voor de rest geen IP communicatie mogelijkheden.

[HellStorm666]

Equator schreef op woensdag 12 juli 2017 @ 13:45:
[modbreak]Zullen we grote lappen code ergens anders plaatsen en er naar linken? Of plaats ze a.u.b. tussen quote tags, dat scheelt al :)[/modbreak]

Sorry
Had ze ff op pastbin moeten zetten, of idd zoals je nu mooi gedaan heb (waarvoor dank) in quotes

[xbeam]

stormfly schreef op woensdag 12 juli 2017 @ 14:34:
[...]


Jeps ik heb maanden zo gedraaid voordat ik de USG had, je kan alleen elkaar MAC adress zien met een scantool voor de rest geen IP communicatie mogelijkheden.

Met de nieuw 3.8.5 firmware zie ik ook de mac adressen niet meer en kreeg ik met een scantool bij de 3.8.5 alleen maar 00:00:00:00:00 's terug

tools: inet & Net Analyzer

[ Voor 6% gewijzigd door xbeam op 12-07-2017 15:22 ]

[nielsn]

xbeam schreef op woensdag 12 juli 2017 @ 12:42:
De cloud key zit pas op 0.6.9
https://community.ubnt.co...een-released/ba-p/1974091

En hier het support forum
https://community.ubnt.co...eased/m-p/1974095#M234885


En hier hoe je de CK kan update naar nieuwste controller maar dat is standaard.
https://community.ubnt.co...eased/m-p/1981183#M236161

Hartelijk bedankt voor deze linkjes. Ik heb deze versie nu draaien en heb al een VPN verbinding kunnen opzetten met mijn telefoon, werkt perfect!

[MRE-Inc]

Jeroen_ae92 schreef op woensdag 12 juli 2017 @ 14:23:
[...]


Serieus? Hoe denk je dat een interne naam wordt afgevangen/geserveerd door de Edgerouter als je een externe DNS server meegeeft aan je client? Extern kennen ze je interne namen niet. Die moet er dus uit en clients, helemaal guest clients, biedt je enkel je interne DNS aan zodat je ook invloed hebt op dat verkeer (indien nodig )

code:

shared-network-name VLAN_50_Gasten_netwerk {
            authoritative enable <---- zet deze op enable want dan wordt je DHCP adres sneller geserveerd
            subnet 192.168.50.0/24 {
                default-router 192.168.50.1
                dns-server 192.168.50.1
                dns-server 82.197.196.182 <--- uhhh? D'ruit met die hap
                lease 21600
                start 192.168.50.1 {
                    stop 192.168.50.100
                }
            }
        }
        use-dnsmasq disable
    }

En verder, dit kan netter. Haal die l2tpX eruit, en waarom 4 dns servers? Beetje overkill :-)

code:

dns {
        forwarding {
            cache-size 150
            listen-on eth1
            listen-on eth1.50
            listen-on eth2
            listen-on l2tp0 <---- die kan eruit aangezien je een options listen-address hebt
            name-server 82.197.196.182
            name-server 82.197.196.183
            name-server 208.67.222.222
            name-server 208.67.220.220
            options listen-address=192.168.1.1
            options listen-address=192.168.50.1
            options localise-queries
        }
    }

Die externe dns server maak toch niks uit ? De primaire dns is de lokale dns server met 192.168.50.1. Die doet alle interne dns requests en zal als eerste gequeried worden. Die 192.168.50.1 is eigenlijk gewoon de 192.168.1.1 die al mijn lokale dns queries afhandelt en altijd als primaire dns stond ingesteld (tot de komst van de RPi met Pi Hole). Maar ik haal die externe dns er wel uit

[jorgen83]

Vraag het hier ook maar: heeft iemand Unifi Controller op zijn NAS draaien? Werkt dat goed, en zijn er nog haken en ogen om rekening mee te houden?

[xbeam]

jorgen83 schreef op woensdag 12 juli 2017 @ 18:01:
Vraag het hier ook maar: heeft iemand Unifi Controller op zijn NAS draaien? Werkt dat goed, en zijn er nog haken en ogen om rekening mee te houden?

Ja synology werkt prima.

[MRE-Inc]

Jeroen_ae92 schreef op woensdag 12 juli 2017 @ 14:23:
[...]


Serieus? Hoe denk je dat een interne naam wordt afgevangen/geserveerd door de Edgerouter als je een externe DNS server meegeeft aan je client? Extern kennen ze je interne namen niet. Die moet er dus uit en clients, helemaal guest clients, biedt je enkel je interne DNS aan zodat je ook invloed hebt op dat verkeer (indien nodig )

code:

shared-network-name VLAN_50_Gasten_netwerk {
            authoritative enable <---- zet deze op enable want dan wordt je DHCP adres sneller geserveerd
            subnet 192.168.50.0/24 {
                default-router 192.168.50.1
                dns-server 192.168.50.1
                dns-server 82.197.196.182 <--- uhhh? D'ruit met die hap
                lease 21600
                start 192.168.50.1 {
                    stop 192.168.50.100
                }
            }
        }
        use-dnsmasq disable
    }

En verder, dit kan netter. Haal die l2tpX eruit, en waarom 4 dns servers? Beetje overkill :-)

code:

dns {
        forwarding {
            cache-size 150
            listen-on eth1
            listen-on eth1.50
            listen-on eth2
            listen-on l2tp0 <---- die kan eruit aangezien je een options listen-address hebt
            name-server 82.197.196.182
            name-server 82.197.196.183
            name-server 208.67.222.222
            name-server 208.67.220.220
            options listen-address=192.168.1.1
            options listen-address=192.168.50.1
            options localise-queries
        }
    }

Zo alle door jouw voorgestelde wijzigingen doorgevoerd. VLAN50 clients krijgen nu maar 1 DNS namelijk de 192.168.50.1. Wanneer ik met een client connectie maak, wordt de url (http://gasten-netwerk:8880/guest/s/default.... ) wel geopend maar kan niet geresolved worden. Ik krijg een witte pagina met: Pagina kan niet gevonden worden.

Een nslookup geeft een:

code:

C:\Users\MRE>nslookup gasten-netwerk 192.168.1.1
Server:  Unknown
Address:  192.168.50.1

*** Unknown can't find gasten-netwerk: Non-existent domain

De overige hostnamen worden overigens wel geresolved.

Echter, wanneer ik op mijn eigen laptop die niet in vlan50 hangt een nslookup doe met 192.168.1.1 (het ip adres van de ERL) dan krijg ik ook een:

code:

C:\Users\MREt>nslookup gasten-netwerk 192.168.1.1
Server:  MRE-ERL
Address:  192.168.1.1

*** MRE-ERL can't find gasten-netwerk: Non-existent domain

C:\Users\MRE>

De ERL met 192.168.1.1 heeft wel een static entry voor het onderstaande:

Host: Cloudkey
Alias: gasten-netwerk
IP: 192.168.1.3

Dat wordt dus niet geresolved door de ERL. Het lijkt er dus op dat een alias niet geresolved wordt. In feite is gasten-netwerk niet meer dan een CNAME record voor Cloudkey.

Echter op mijn Raspberry Pi die ook DNS server is, staat ook een static host mapping voor Cloudkey naar gasten-netwerk met ip 192.168.1.3 en dat werkt wel met nslookup

code:

C:\Users\MRE>nslookup
Default Server:  mre-pi.intern.lan
Address:  192.168.1.2

> gasten-netwerk
Server:  mre-pi.intern.lan
Address:  192.168.1.2

Name:    gasten-netwerk.intern.lan
Address:  192.168.1.3

C:\Users\MRE>

EDIT: Als ik op de controller de guest portal naar de daadwerkelijke hostnaam, http://cloudkey laat verwijzen en connectie maak met een client dan wordt netjes de guest portal geopend en kan het wachtwoord ingevuld worden.

Het probleem is dus dat de ERL geen aliassen vertaalt.

EDIT2: Via WinSCP de host file uit de /etc directory eens gedownload en bekeken. Daarin staan tig regels van clients die ooit eens contact gehad hebben met het netwerk. De meeste komen wel bekend voor, echter staat daar ook een oud ip adres 192.168.1.105 in welke naar gasten-netwerk verwijst.

In een post op UBNT forum zag ik nog staan dat je hostfile-update enable uit moet zetten. In ieder geval staan er in de hosts file veel obsolete host namen van clients die allang niet meer op mijn netwerk zitten zoals virtuele machines die nu een andere naam hebben.

https://community.ubnt.co...rking/m-p/1667656#M126690

[ Voor 15% gewijzigd door MRE-Inc op 12-07-2017 19:54 ]

[finalmen]

Ben erg benieuwd naar jullie ervaringen, meningen en reacties omtrent het volgende.

Wij hebben een kantoor pand van circa 250m2, met zo'n 20-25 developers. Reken voor iedereen 2-3-4 devices i.v.m. mobile development, tablets en mac's. We gaan op korte termijn uitbreiden naar een ruimte van circa 450m2. Wellicht niet geheel onbelangrijk maar het betreft een grote vierkante ruimte met een aantal vergaderruimtes.

Ons ''Wifi Netwerk'' bestaat op dit moment uit 1x Apple Airport Extreme en 1x Apple Airport Express, wat eigenlijk maar voorziet in 2 netwerken ( Guest & Office ). Guest zal maximaal 5-10 devices kennen, office dus alle werknemers. Dit hoeft in de nieuwe setup niet te veranderen, we willen 2 netwerken blijven gebruiken. Op dit moment splitst onze router deze 2 netwerken op port basis naar eigen vlans ( en voorziet ze ook van IP's ) . Dit lijkt mij met meer acces points niet langer wenselijk.

De Apple airports willen we vervangen door beperkt bereik en doorvoersnelheid onder load. Nu in eerste instantie door https://www.bol.com/nl/p/...ple-pack/9200000058738198 deze set. Echter is deze inmiddels naar 3 weken levertijd gesprongen.

Als alternatief kwam ik uit op https://www.routercenter....ifi-ap-ac-pro-5-pack.html

het POE netwerk ligt er al, denken jullie dat dit voor een zakelijke omgeving gaat werken of zouden jullie adviseren toch naar Netgear of Cisco uit te wijken voor een Business Solution? En hoe zouden we het beste deze 2 netwerken over de 5 APs kunnen inrichten?

Dank alvast!

[ Voor 3% gewijzigd door finalmen op 12-07-2017 20:08 ]

[rally]

Ons bedrijf telt 63 medewerkers en wij gebruiken Unifi AP's
AP AC HD's voor het kantoor (3 stuks, 1 per etage) voor maximale performance.

Voor de fabriek gebruiken we AP AC LR's. Weinig clients met lage behoefte voor banbreedte.

Ik heb Aerohive, Cisco en Ruckus gehad, maar Ubiquiti heeft voor mijn de beste prijs/performance ratio.

[Jeroen_ae92]

MRE-Inc schreef op woensdag 12 juli 2017 @ 18:30:
[...]


Zo alle door jouw voorgestelde wijzigingen doorgevoerd. VLAN50 clients krijgen nu maar 1 DNS namelijk de 192.168.50.1. Wanneer ik met een client connectie maak, wordt de url (http://gasten-netwerk:8880/guest/s/default.... ) wel geopend maar kan niet geresolved worden. Ik krijg een witte pagina met: Pagina kan niet gevonden worden.

Een nslookup geeft een:

code:

C:\Users\MRE>nslookup gasten-netwerk 192.168.1.1
Server:  Unknown
Address:  192.168.50.1

*** Unknown can't find gasten-netwerk: Non-existent domain

De overige hostnamen worden overigens wel geresolved.

Echter, wanneer ik op mijn eigen laptop die niet in vlan50 hangt een nslookup doe met 192.168.1.1 (het ip adres van de ERL) dan krijg ik ook een:

code:

C:\Users\MREt>nslookup gasten-netwerk 192.168.1.1
Server:  MRE-ERL
Address:  192.168.1.1

*** MRE-ERL can't find gasten-netwerk: Non-existent domain

C:\Users\MRE>

De ERL met 192.168.1.1 heeft wel een static entry voor het onderstaande:

Host: Cloudkey
Alias: gasten-netwerk
IP: 192.168.1.3

Dat wordt dus niet geresolved door de ERL. Het lijkt er dus op dat een alias niet geresolved wordt. In feite is gasten-netwerk niet meer dan een CNAME record voor Cloudkey.

Echter op mijn Raspberry Pi die ook DNS server is, staat ook een static host mapping voor Cloudkey naar gasten-netwerk met ip 192.168.1.3 en dat werkt wel met nslookup

code:

C:\Users\MRE>nslookup
Default Server:  mre-pi.intern.lan
Address:  192.168.1.2

> gasten-netwerk
Server:  mre-pi.intern.lan
Address:  192.168.1.2

Name:    gasten-netwerk.intern.lan
Address:  192.168.1.3

C:\Users\MRE>

EDIT: Als ik op de controller de guest portal naar de daadwerkelijke hostnaam, http://cloudkey laat verwijzen en connectie maak met een client dan wordt netjes de guest portal geopend en kan het wachtwoord ingevuld worden.

Het probleem is dus dat de ERL geen aliassen vertaalt.

EDIT2: Via WinSCP de host file uit de /etc directory eens gedownload en bekeken. Daarin staan tig regels van clients die ooit eens contact gehad hebben met het netwerk. De meeste komen wel bekend voor, echter staat daar ook een oud ip adres 192.168.1.105 in welke naar gasten-netwerk verwijst.

In een post op UBNT forum zag ik nog staan dat je hostfile-update enable uit moet zetten. In ieder geval staan er in de hosts file veel obsolete host namen van clients die allang niet meer op mijn netwerk zitten zoals virtuele machines die nu een andere naam hebben.

https://community.ubnt.co...rking/m-p/1667656#M126690

Probeer hem zo eens te maken:

code:

set system static-host-mapping host-name gasten-netwerk.intern.lan inet 192.168.1.3
set system static-host-mapping host-name gasten-netwerk.intern.lan alias gasten-netwerk

Ik denk dat de huidige situatie niet werkt omdat het gehele gasten netwerk geen domainname kent.
Dit zou je kunnen oplossen door een domainname van b.v. gasten.lan mee te geven in je DHCP scope.
Dan resolved gasten-netwerk automatisch naar gasten-netwerk.gasten.lan. Maak voor die laatste dan ook een static mapping aan.

Voor wat betreft de hostfile update... Dat maakt voor nu niet uit. De hostfile file zou correct geupdate moeten worden zodra een machine zich op de correcte manier meld. Daarbij wordt de hostfile enkel geupdate door machines die een correcte lease ontvangen.

[ Voor 5% gewijzigd door Jeroen_ae92 op 12-07-2017 21:07 ]

[Sebazzz]

Heeft iemand ervaring met hairpin configureren achter een dubbele NAT?

Situatie is als volgt:

[(interwebz)  <=> [router A] <=> ubiquity <=> [netwerk]

In het geval dat de ubiquiti direct aan het internet hangt werkt hairpinning direct. Nu echter niet omdat het extern IP adres naar router A wijst. Echter ben ik totaal niet geintereseerd in het netwerk tussen router A en de ubiquiti. Heeft iemand een idee hoe ik hairpinning kan configureren zodat uitgaande requests naar het externe IP als een binnenkomende request gezien worden?

[stormfly]

Heb je router A zo geconfigureerd dat de UBNT router in de DMZ zone staat van router A? Of wel elk binnenkomend pakketje dropt router A direct op de UBNT router? Dat lijk mij een minimale stap.

[lier]

@Sebazzz Optie om in plaats hiervan dit met DNS op te lossen?

[Sebazzz]

Nee, dat is niet mogelijk. Maar zoals ik zeg: Ik ben niet geintereseerd in het netwerk tussen A en Ubiquiti, wat mij betreft zit ik in het DMZ zelfs al is dat niet zo.

@lier: Dat kan maar ik wil hairpinning omdat dit gemakkelijker is en transparant is.

[MRE-Inc]

Jeroen_ae92 schreef op woensdag 12 juli 2017 @ 21:00:
[...]


Probeer hem zo eens te maken:

code:

set system static-host-mapping host-name gasten-netwerk.intern.lan inet 192.168.1.3
set system static-host-mapping host-name gasten-netwerk.intern.lan alias gasten-netwerk

Ik denk dat de huidige situatie niet werkt omdat het gehele gasten netwerk geen domainname kent.
Dit zou je kunnen oplossen door een domainname van b.v. gasten.lan mee te geven in je DHCP scope.
Dan resolved gasten-netwerk automatisch naar gasten-netwerk.gasten.lan. Maak voor die laatste dan ook een static mapping aan.

Voor wat betreft de hostfile update... Dat maakt voor nu niet uit. De hostfile file zou correct geupdate moeten worden zodra een machine zich op de correcte manier meld. Daarbij wordt de hostfile enkel geupdate door machines die een correcte lease ontvangen.

Hoe freaking simple kan het zijn. Via SSH de commando's uitgevoerd en een nslookup gasten-netwerk 192.168.1.1 komt nu netjes met een ip adres welke gemapped is aan een host naam.

Verder nog even getest op een iPhone, Windows Phone en andere Windows 10 Laptop. Op allemaal verschijnt nu de guest portal. Ik kon het wachtwoord invullen en op Verbind drukken.....toen stopte het.... de clients konden het internet niet op. Dus nog even een firewall rule toegevoegd in VLAN_50_IN om http en https op 80 en 443 toe te staan. Daarna konden de clients wel het internet op.

Dank voor het meedenken en je oplossing

Enige wat ik me nog afvraag of de firewall rules voor VLAN_50_IN en VLAN_50_LOCAL zo een beetje goed zijn of kan er nog wat opgeschoond worden of in een andere volgorde gezet worden. De eisen zijn dat clients in het vlan alleen kunnen internetten via http 80 of https 443 en de guest portal voor hun neus krijgen als ze connectie maken.

code:

name VLAN_50_IN {
        default-action drop
        description "VLAN_50 to internal"
        rule 10 {
            action accept
            description "Allow VLAN_50 DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 20 {
            action accept
            description "Allow HTTP HTTPS"
            destination {
                port 80,443
            }
            log disable
            protocol tcp_udp
        }
        rule 30 {
            action accept
            description "Allow access Guest Portal"
            destination {
                address 192.168.1.3
                port 8880
            }
            log disable
            protocol tcp_udp
        }
        rule 40 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 50 {
            action drop
            description "DROP access to LAN"
            destination {
                address 192.168.1.0/24
            }
            log disable
            protocol all
        }
    }
    name VLAN_50_LOCAL {
        default-action drop
        description "VLAN_50 to router"
        rule 10 {
            action accept
            description "Allow VLAN_50 DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 20 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 30 {
            action drop
            description "DROP access to Edge Router Interface"
            destination {
                address 192.168.50.1
            }
            log disable
            protocol all
        }
    }

[finalmen]

rally schreef op woensdag 12 juli 2017 @ 20:17:
Ons bedrijf telt 63 medewerkers en wij gebruiken Unifi AP's
AP AC HD's voor het kantoor (3 stuks, 1 per etage) voor maximale performance.

Voor de fabriek gebruiken we AP AC LR's. Weinig clients met lage behoefte voor banbreedte.

Ik heb Aerohive, Cisco en Ruckus gehad, maar Ubiquiti heeft voor mijn de beste prijs/performance ratio.

Dank voor je antwoord, dat klinkt goed! AP AC HD's zijn deze? : https://www.routercenter....quiti-amplifi-afi-hd.html Zou je adviseren om voor zo'n setje te gaan ipv 5 individuele?

[xbeam]

finalmen schreef op woensdag 12 juli 2017 @ 22:13:
[...]


Dank voor je antwoord, dat klinkt goed! AP AC HD's zijn deze? : https://www.routercenter....quiti-amplifi-afi-hd.html Zou je adviseren om voor zo'n setje te gaan ipv 5 individuele?

nee dit is de HD
https://unifi-hd.ubnt.com/

waar jij linkt is de consumenten router van ubnt de tegen hanger van de tp-link deco

[ Voor 10% gewijzigd door xbeam op 12-07-2017 22:28 ]

[Jeroen_ae92]

MRE-Inc schreef op woensdag 12 juli 2017 @ 21:59:
[...]

Hoe freaking simple kan het zijn. Via SSH de commando's uitgevoerd en een nslookup gasten-netwerk 192.168.1.1 komt nu netjes met een ip adres welke gemapped is aan een host naam.

Verder nog even getest op een iPhone, Windows Phone en andere Windows 10 Laptop. Op allemaal verschijnt nu de guest portal. Ik kon het wachtwoord invullen en op Verbind drukken.....toen stopte het.... de clients konden het internet niet op. Dus nog even een firewall rule toegevoegd in VLAN_50_IN om http en https op 80 en 443 toe te staan. Daarna konden de clients wel het internet op.

Dank voor het meedenken en je oplossing

Enige wat ik me nog afvraag of de firewall rules voor VLAN_50_IN en VLAN_50_LOCAL zo een beetje goed zijn of kan er nog wat opgeschoond worden of in een andere volgorde gezet worden. De eisen zijn dat clients in het vlan alleen kunnen internetten via http 80 of https 443 en de guest portal voor hun neus krijgen als ze connectie maken.

code:

name VLAN_50_IN {
        default-action drop
        description "VLAN_50 to internal"
        rule 10 {
            action accept
            description "Allow VLAN_50 DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 20 {
            action accept
            description "Allow HTTP HTTPS"
            destination {
                port 80,443
            }
            log disable
            protocol tcp_udp
        }
        rule 30 {
            action accept
            description "Allow access Guest Portal"
            destination {
                address 192.168.1.3
                port 8880
            }
            log disable
            protocol tcp_udp
        }
        rule 40 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 50 {
            action drop
            description "DROP access to LAN"
            destination {
                address 192.168.1.0/24
            }
            log disable
            protocol all
        }
    }
    name VLAN_50_LOCAL {
        default-action drop
        description "VLAN_50 to router"
        rule 10 {
            action accept
            description "Allow VLAN_50 DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 20 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 30 {
            action drop
            description "DROP access to Edge Router Interface"
            destination {
                address 192.168.50.1
            }
            log disable
            protocol all
        }
    }

Rule 20 moet na rule 50 op je IN set. Nu kan een guest op poort 80 en 443 overal heen. Zo ook je afgeschermde subnet. Eerst alle blocks en hierna pas de accepts tenzij de volgorde expliciet is.
Maar een guest wil ook graag pingen naar 8.8.8.8 als het een Android is en mag mail ook? Dan poorten hiervoor toestaan zoals 143, 587, 993 etc. En ik zou een block rule maken voor File sharing en P2P. Dit zijn categorien en werken perfect voor guest verkeer.

[MRE-Inc]

Jeroen_ae92 schreef op woensdag 12 juli 2017 @ 23:04:
[...]


Rule 20 moet na rule 50 op je IN set. Nu kan een guest op poort 80 en 443 overal heen. Zo ook je afgeschermde subnet. Eerst alle blocks en hierna pas de accepts tenzij de volgorde expliciet is.
Maar een guest wil ook graag pingen naar 8.8.8.8 als het een Android is en mag mail ook? Dan poorten hiervoor toestaan zoals 143, 587, 993 etc. En ik zou een block rule maken voor File sharing en P2P. Dit zijn categorien en werken perfect voor guest verkeer.

Ah, dank. Ik heb eea aangepast en getest. Ik had eerst de blok als rule 10 en daaronder de allows, maar dan werkte de guest portal niet meer. Dus de rule voor de guest portal heb ik nu op 10 gezet, daarna de block en daarna de accept dns http https etc. Voor mail heb ik niks ingesteld, dat werkte gewoon.

VLAN_50_LOCAL heb ik overigens niks aan veranderd.

code:

name VLAN_50_IN {
        default-action drop
        description "VLAN_50 to internal"
        rule 10 {
            action accept
            description "Allow access Guest Portal"
            destination {
                address 192.168.1.3
                port 8880
            }
            log disable
            protocol tcp_udp
        }
        rule 20 {
            action drop
            description "DROP access to LAN"
            destination {
                address 192.168.1.0/24
            }
            log disable
            protocol all
        }
        rule 30 {
            action accept
            description "Allow VLAN_50 DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 40 {
            action accept
            description "Allow HTTP HTTPS"
            destination {
                port 80,443
            }
            log disable
            protocol tcp_udp
        }
        rule 50 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
    }
    name VLAN_50_LOCAL {
        default-action drop
        description "VLAN_50 to router"
        rule 10 {
            action accept
            description "Allow VLAN_50 DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 20 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 30 {
            action drop
            description "DROP access to Edge Router Interface"
            destination {
                address 192.168.50.1
            }
            log disable
            protocol all
        }
    }

EDIT: De DNS rule in VLAN_50_IN is niet nodig. De DNS rule in VLAN_50_LOCAL wel. Net even getest. Dus die regel heb ik eruit gehaald. Waarom mail wel werkt, weet ik nog niet. De standaard Windows 10 mail app kon gewoon mail versturen en ontvangen op het gasten netwerk. Pingen vanaf de command prompt lukt dan weer niet. Een https://192.168.1.1 lukt ook niet. Wellicht dat de mail app gewoon https gebruikt.

[ Voor 5% gewijzigd door MRE-Inc op 13-07-2017 00:41 ]

[Jeroen_ae92]

MRE-Inc schreef op donderdag 13 juli 2017 @ 00:27:
[...]


Ah, dank. Ik heb eea aangepast en getest. Ik had eerst de blok als rule 10 en daaronder de allows, maar dan werkte de guest portal niet meer. Dus de rule voor de guest portal heb ik nu op 10 gezet, daarna de block en daarna de accept dns http https etc. Voor mail heb ik niks ingesteld, dat werkte gewoon.

VLAN_50_LOCAL heb ik overigens niks aan veranderd.

code:

name VLAN_50_IN {
        default-action drop
        description "VLAN_50 to internal"
        rule 10 {
            action accept
            description "Allow access Guest Portal"
            destination {
                address 192.168.1.3
                port 8880
            }
            log disable
            protocol tcp_udp
        }
        rule 20 {
            action drop
            description "DROP access to LAN"
            destination {
                address 192.168.1.0/24
            }
            log disable
            protocol all
        }
        rule 30 {
            action accept
            description "Allow VLAN_50 DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 40 {
            action accept
            description "Allow HTTP HTTPS"
            destination {
                port 80,443
            }
            log disable
            protocol tcp_udp
        }
        rule 50 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
    }
    name VLAN_50_LOCAL {
        default-action drop
        description "VLAN_50 to router"
        rule 10 {
            action accept
            description "Allow VLAN_50 DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 20 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 30 {
            action drop
            description "DROP access to Edge Router Interface"
            destination {
                address 192.168.50.1
            }
            log disable
            protocol all
        }
    }

EDIT: De DNS rule in VLAN_50_IN is niet nodig. De DNS rule in VLAN_50_LOCAL wel. Net even getest. Dus die regel heb ik eruit gehaald. Waarom mail wel werkt, weet ik nog niet. De standaard Windows 10 mail app kon gewoon mail versturen en ontvangen op het gasten netwerk. Pingen vanaf de command prompt lukt dan weer niet. Een https://192.168.1.1 lukt ook niet. Wellicht dat de mail app gewoon https gebruikt.

Overigens kun je gasten DNS afvangen door een redirect te doen middels een NAT rule. Alles wat poort 53 is en niet gericht is aan je Edgerouter, krijgt een redirect naar je Edgerouter.

code:

set service nat rule 1
set service nat rule 1 description "Redirect LAN DNS request if not to EdgeRouter"
set service nat rule 1 destination address !192.168.50.1
set service nat rule 1 destination port 53
set service nat rule 1 inbound-interface eth1.50
set service nat rule 1 inside-address address 192.168.50.1
set service nat rule 1 inside-address port 53
set service nat rule 1 protocol udp
set service nat rule 1 log disable
set service nat rule 1 type destination

[rally]

finalmen schreef op woensdag 12 juli 2017 @ 22:13:
[...]


Dank voor je antwoord, dat klinkt goed! AP AC HD's zijn deze? : https://www.routercenter....quiti-amplifi-afi-hd.html Zou je adviseren om voor zo'n setje te gaan ipv 5 individuele?

Dit is de HD. Niet goedkoop, maar wel een dijk van een performance
https://www.wifimedia.eu/en/ubiquiti-unifi-ap-ac-hd.html

Ik denk dat voor 450 m² je er wellicht slechts 3 nodig hebt (afhankelijk hoe de ruimte is ingedeeld.
Vergeet niet dat je ook nog een controller nodig hebt. Maar daar kun je een cloudkey voor gebruiken of een windows server.

[xbeam]

rally schreef op donderdag 13 juli 2017 @ 08:35:
[...]


Dit is de HD. Niet goedkoop, maar wel een dijk van een performance
https://www.wifimedia.eu/en/ubiquiti-unifi-ap-ac-hd.html

Ik denk dat voor 450 m² je er wellicht slechts 3 nodig hebt (afhankelijk hoe de ruimte is ingedeeld.
Vergeet niet dat je ook nog een controller nodig hebt. Maar daar kun je een cloudkey voor gebruiken of een windows server.

Niet goedkoop? een vergelijkbaar apparaat van rukus of Meraki kost toch meer dan 1000 euro.

Het is maar hoe je het bekijkt ;-)

[grote_oever]

rally schreef op donderdag 13 juli 2017 @ 08:35:
[...]


Dit is de HD. Niet goedkoop, maar wel een dijk van een performance
https://www.wifimedia.eu/en/ubiquiti-unifi-ap-ac-hd.html

't is ook niet echt bedoelt voor de huis-, tuin-, en keuken consument. En wij als tweaker komen wel over het bedrag heen

[xbeam]

grote_oever schreef op donderdag 13 juli 2017 @ 09:09:
[...]


't is ook niet echt bedoelt voor de huis-, tuin-, en keuken consument. En wij als tweaker komen wel over het bedrag heen

Het bedrag is denk ik niet echt een probleem, er staan bij de media markt duurdere consumenten routers.
maar dat zijn totaal oplossingen met veel gain om met 1 apparaat het hele huis te willen doen.

De HD is gemaakt voor heel veel gebruikers in relatief kleine ruimte.
je hebt er vaak 2 nodig in huis (beneden en op zolder) plus dat wanneer maar met +- 10 man bent (personeel) je met een pro de zelfde snelheden haalt. vaak is de lite zelfs al voldoende. alleen je moet gewoon meerdere gebruiken met een laag zend vermogen.

[Bierkameel]

rally schreef op donderdag 13 juli 2017 @ 08:35:
[...]


Dit is de HD. Niet goedkoop, maar wel een dijk van een performance
https://www.wifimedia.eu/en/ubiquiti-unifi-ap-ac-hd.html

Ik denk dat voor 450 m² je er wellicht slechts 3 nodig hebt (afhankelijk hoe de ruimte is ingedeeld.
Vergeet niet dat je ook nog een controller nodig hebt. Maar daar kun je een cloudkey voor gebruiken of een windows server.

Hij heeft het over Amplifi en jij over Unifi, dat zijn 2 totaal verschillende producten, voor Amplifi heb je geen controller nodig, alleen een app.

Ik ben van Unifi AC-LR's naar Amplifi HD met 2 meshpunten gegaan en die laatste bevalt me net zo goed, een stuk minder beheer en gepruts maar het werkt wel supersnel.

[rally]

xbeam schreef op donderdag 13 juli 2017 @ 09:01:
[...]


Niet goedkoop? een vergelijkbaar apparaat van rukus of Meraki kost toch meer dan 1000 euro.

Het is maar hoe je het bekijkt ;-)

Mee eens. Maar de meeste gebruikers op dit forum hikken al tegen het prijsverschil tussen Lite, LR en Pro. Dan is bijna 3x zoveel wel een hele grote stap.

Ik heb thuis 2x de HD. Overkill voor een thuissituatie, maar een dijk van een performance en ik heb er geen seconde spijt van.

Maar in vergelijking met Aerohive, Meraki of Ruckus is het inderdaad uitermate betaalbaar. Daarom ben ik voor ons bedrijf ook naar Ubiquiti overgestapt.
En voor privé installatie adviseer ik ook alleen nog maar Ubiquiti. En van alle installaties die ik heb gedaan, is er niet eentje geweest die heeft geklaagd. Iedere gebruiker is tevreden en ze hebben "nog nooit zo'n goede en snelle wireless gehad" is de opmerking die ik altijd krijg.


De HD's zijn overigens wel groot, dus dat is voor sommige wel een probleem. Daarom installeer ik vooral de LR's. Optimale prijs/prestatie/formaat

[grote_oever]

rally schreef op donderdag 13 juli 2017 @ 12:14:
[...]


De HD's zijn overigens wel groot, dus dat is voor sommige wel een probleem. Daarom installeer ik vooral de LR's. Optimale prijs/prestatie/formaat

De Pro vind ik al aan de grote kant.

[rally]

Scheelt nogal hoor

De AP AC Pro is 196.7mm x 35mm
De AP AC HD is 220mm x 48.1mm

Dus 2.3cm in doorsnede groter en ruim 1.3cm hoger. Als je ze alle vier naast elkaar legt zie je pas goed hoe groot die HD wel eigenlijk niet is (en de Pro is ook geen kleine jongen)

[finalmen]

Dank iedereen, we gaan gewoon starten naar met 1x een AP AC HD. Ik denk dat dat voor de ruimte nu al een heel eind komen, dan kunnen we altijd upgraden met een controller + nog een AP toch? ( Lees: met 1 AP heb je geen controller nodig? )

Wat voor controller zouden jullie adviseren?

[RobertMe]

finalmen schreef op donderdag 13 juli 2017 @ 14:40:
Dank iedereen, we gaan gewoon starten naar met 1x een AP AC HD. Ik denk dat dat voor de ruimte nu al een heel eind komen, dan kunnen we altijd upgraden met een controller + nog een AP toch? ( Lees: met 1 AP heb je geen controller nodig? )

Wat voor controller zouden jullie adviseren?

Ook voor 1 AP heb je de controller nodig. Deze kun je echter ook via UniFi Android (en wellicht iOS app?) gebruiken (deze bevat een "mini controller"). Echter zou ik dit niet aanbevelen voor een echte omgeving (leuk voor thuis, maar ik zou het niet op een bedrijf toepassen). In dit geval zou ik daarom ook een CloudKey als controller gebruiken, of als je al een (lokale) server hebt voor het kantoor zou je de controller software daarop kunnen installeren. Ik zou in ieder geval niet zelf gaan klussen met bv een Raspberry Pi.

Later APs toevoegen is inderdaad geen probleem, die hoef je maar in te pluggen, op de controller inloggen, en daar zal het AP dan verschijnen bij de devices en volgensmij moet je dan nog even bevestigen dat je deze inderdaad wilt opnemen in je omgeving. De rest van de configuratie gaat vervolgens automatisch.

[MRE-Inc]

djkavaa schreef op dinsdag 11 juli 2017 @ 15:28:
[...]


Klopt een Unmanaged Switch laat alles door.
Let er dan dus wel op dat het VLAN in de edgerouter Tagged over je lijntje heen gaat anders heb je geen netwerk meer

Nou vandaag op het werk geprobeerd een vpn op te zetten naar huis. Lukte niet terwijl dat normaal wel altijd lukt. Toen ik thuis kwam had ik dus geen netwerk meer. Geen wifi, helemaal niks. Moest met een utp kabel aan de slag om alles weer up and running te krijgen. Op de ERL alles mbt vlan50 op disabled gezet, dus nat rules, dhcp, firewall rules, dns listen address en toen kwam gelukkig alles weer up.

Blijkbaar heb ik toch iets nog verkeerd staan want ik meen in dit topic gelezen te hebben dat jullie het bij klanten ook zo hebben draaien zonder managed switch die vlans ondersteunt .

Ik ben nu maar weer terug naar de oude situatie waarop de clients op het gasten netwerk in dezelfde ip range komen als de normale clients maar in de toekomst zal ik denk ik toch een managed switch met vlans moeten komen wil ik dit scheiden.

[Kavaa]

MRE-Inc schreef op donderdag 13 juli 2017 @ 18:40:
[...]


Nou vandaag op het werk geprobeerd een vpn op te zetten naar huis. Lukte niet terwijl dat normaal wel altijd lukt. Toen ik thuis kwam had ik dus geen netwerk meer. Geen wifi, helemaal niks. Moest met een utp kabel aan de slag om alles weer up and running te krijgen. Op de ERL alles mbt vlan50 op disabled gezet, dus nat rules, dhcp, firewall rules, dns listen address en toen kwam gelukkig alles weer up.

Blijkbaar heb ik toch iets nog verkeerd staan want ik meen in dit topic gelezen te hebben dat jullie het bij klanten ook zo hebben draaien zonder managed switch die vlans ondersteunt .

Ik ben nu maar weer terug naar de oude situatie waarop de clients op het gasten netwerk in dezelfde ip range komen als de normale clients maar in de toekomst zal ik denk ik toch een managed switch met vlans moeten komen wil ik dit scheiden.

Wij hebben het inderdaad bij meerdere klanten draaien zonder Managed Switch bij een simpele TP Link van 5 Poorten (20 euro) zeg maar.
En dat werkt perfect.

Maar je Config moet gewoon 100% kloppen doet die dat ergens niet dan kun je heel veel gezeik hebben.

[MRE-Inc]

djkavaa schreef op donderdag 13 juli 2017 @ 19:05:
[...]


Wij hebben het inderdaad bij meerdere klanten draaien zonder Managed Switch bij een simpele TP Link van 5 Poorten (20 euro) zeg maar.
En dat werkt perfect.

Maar je Config moet gewoon 100% kloppen doet die dat ergens niet dan kun je heel veel gezeik hebben.

Ik twijfel ook niet aan jullie kunde Klaarblijkelijk zit er bij mij iets goed fout, maar wat ik heb geen idee. Ik heb al jullie posts hierover nog eens doorgelezen en voor zover ik kan zien, heb ik alles ingesteld zoals aangegeven. Maar misschien komt het wel omdat ik ergens nog een andere wijziging heb gedaan aan de config die misschien los van deze problemen staat maar wel direct van invloed zijn. Ik ga iig nog eens verder kijken. Verder is het geen must om het direct goed werkend te krijgen want de enige gasten op mijn thuis netwerk zijn mijn schoonfamilie en eigen familie en vrienden en die lopen nou ook niet echt de deur plat hier. Het is meer een gevalletje leuk om te doen en uit te zoeken en uiteraard omdat het kan

[Kavaa]

MRE-Inc schreef op donderdag 13 juli 2017 @ 19:12:
[...]


Ik twijfel ook niet aan jullie kunde Klaarblijkelijk zit er bij mij iets goed fout, maar wat ik heb geen idee. Ik heb al jullie posts hierover nog eens doorgelezen en voor zover ik kan zien, heb ik alles ingesteld zoals aangegeven. Maar misschien komt het wel omdat ik ergens nog een andere wijziging heb gedaan aan de config die misschien los van deze problemen staat maar wel direct van invloed zijn. Ik ga iig nog eens verder kijken. Verder is het geen must om het direct goed werkend te krijgen want de enige gasten op mijn thuis netwerk zijn mijn schoonfamilie en eigen familie en vrienden en die lopen nou ook niet echt de deur plat hier. Het is meer een gevalletje leuk om te doen en uit te zoeken en uiteraard omdat het kan

Stap je voor stapje opnieuw proberen en wellicht als je het in de router hebt gezet alles even een reboot geven.
Wellicht dat dat nog helpt.
En zorg dat je een back-up hebt voordat je wijzigingen doet en niet te veel wijzigen in een keer Dan weet je niet meer wat je gedaan hebt.

[finalmen]

RobertMe schreef op donderdag 13 juli 2017 @ 15:22:
[...]

Ook voor 1 AP heb je de controller nodig. Deze kun je echter ook via UniFi Android (en wellicht iOS app?) gebruiken (deze bevat een "mini controller"). Echter zou ik dit niet aanbevelen voor een echte omgeving (leuk voor thuis, maar ik zou het niet op een bedrijf toepassen). In dit geval zou ik daarom ook een CloudKey als controller gebruiken, of als je al een (lokale) server hebt voor het kantoor zou je de controller software daarop kunnen installeren. Ik zou in ieder geval niet zelf gaan klussen met bv een Raspberry Pi.

Later APs toevoegen is inderdaad geen probleem, die hoef je maar in te pluggen, op de controller inloggen, en daar zal het AP dan verschijnen bij de devices en volgensmij moet je dan nog even bevestigen dat je deze inderdaad wilt opnemen in je omgeving. De rest van de configuratie gaat vervolgens automatisch.

Dank Robert, er draaien een aantal servers / VM omgevingen. Zou er gemakkelijk een VM naast kunnen zetten op basis van Ubuntu en daar UniFi 5.5.19 Controller for Debian/Ubuntu Linux op draaien, dat bedoel je toch? Scheelt weer extra hardware ;-)

[Vorkie]

@finalmen Makkelijk, ding heeft hier maar 1GB aan geheugen toegewezen

[Aherin]

Volgens mij kan t zelfs met 512MB

[Kavaa]

Orii schreef op donderdag 13 juli 2017 @ 19:45:
Volgens mij kan t zelfs met 512MB

Zou toch min. 1GB aanhouden dan blijft het ook een beetje werkbaar;)

[Kitser]

Ik heb 2 vraagjes;

Voor mijn appartement van 85 m2 zoek ik een nieuw wifi ap. Nu heb ik een TPLINK TL-WDR3600 v met DDWRT. Maar dit is erg onstabiel. De connectie op mijn Android tablet is regelmatig weg. En Spotify naar mijn 4 Chromecast Audio's werkt ook erg gebrekkig.
Ik hoop dit met een Ubiquiti UniFi AP-AC op te lossen.
Alleen twijfel ik nog tussen een Lite en een LR. Verder kan ik nog vertellen dat er één Oneplus 3, een Samsung Galaxy Tab S2 8.0, 4 Chromecast Audio's, 3 Chromecasts, een laptop, 3 ip camera's verbinding moeten maken, er zijn 4 kamers en een balkon en in het midden van het appartement staat een 30 cm dikke betonnen muur die scheid de keuken woonkamer en 3 (slaap) kamers.
Op zich heb ik overal wel verbinding met de TP-Link TL-WDR3600. Zowel op 2,4 ghz als 5 ghz. Maar het is gewoon niet stabiel. Zeker 5 ghz niet.
Kan iemand mij helpen met de keuze tussen de LR en de Lite?


De 2e vraag gaat over een vriend wie ook zijn wifi thuis verbeteren.
Hij heeft 3 verdiepingen en een tuin. Daarvoor ga ik denk 2 Lites bestellen.
Ik wil ze bij hem gaan configureren. Maar omdat we best een stukje uit elkaar wonen zou ik graag het wifi netwerk vanaf mij thuis vandaan kunnen managen voor als daar problemen zijn. Kan dit als ik de controller op mijn laptop installeer? Zodat ik op mijn laptop mijn wifi netwerk en zijn wifi netwerk kan managen?

[ Voor 5% gewijzigd door Kitser op 13-07-2017 20:51 ]

[Thijs B]

is er ergens een ubuntu/debian image beschikbaar die ready2go is om als vm op een hyper-v host aan te slingeren en de controler op te zetten.

ik werk momenteel niet zo gek veel met linux dus zal mij een hoop tijd kunnen besparen de controler op een windows computer vind ik toch niet echt geweldig.

[RobertMe]

Kitser schreef op donderdag 13 juli 2017 @ 20:41:
Voor mijn appartement van 85 m2 zoek ik een nieuw wifi ap. Nu heb ik een TPLINK TL-WDR3600 v met DDWRT. Maar dit is erg onstabiel. De connectie op mijn Android tablet is regelmatig weg. En Spotify naar mijn 4 Chromecast Audio's werkt ook erg gebrekkig.
Ik hoop dit met een Ubiquiti UniFi AP-AC op te lossen.
Alleen twijfel ik nog tussen een Lite en een LR. Verder kan ik nog vertellen dat er één Oneplus 3, een Samsung Galaxy Tab S2 8.0, 4 Chromecast Audio's, 3 Chromecasts, een laptop, 3 ip camera's verbinding moeten maken, er zijn 4 kamers en een balkon en in het midden van het appartement staat een 30 cm dikke betonnen muur die scheid de keuken woonkamer en 3 (slaap) kamers.
Op zich heb ik overal wel verbinding met de TP-Link TL-WDR3600. Zowel op 2,4 ghz als 5 ghz. Maar het is gewoon niet stabiel. Zeker 5 ghz niet.
Kan iemand mij helpen met de keuze tussen de LR en de Lite?

In case of doubt, koop de LR, tenzij je echt op een klein budget zit, maar dan zou je sowieso al voor de Lite gaan.

De 2e vraag gaat over een vriend wie ook zijn wifi thuis verbeteren.
Hij heeft 3 verdiepingen en een tuin. Daarvoor ga ik denk 2 Lites bestellen.
Ik wil ze bij hem gaan configureren. Maar omdat we best een stukje uit elkaar wonen zou ik graag het wifi netwerk vanaf mij thuis vandaan kunnen managen voor als daar problemen zijn. Kan dit als ik de controller op mijn laptop installeer? Zodat ik op mijn laptop mijn wifi netwerk en zijn wifi netwerk kan managen?

Ik gok dat het in theorie wel kan, maar het lijkt mij niet aan te bevelen, noch eenvoudig in te regelen. Je zult dan namelijk ook moeten zorgen dat jouw controller bereikbaar is vanaf het internet, dus met port forwards aan de slag moeten, rekening houden met dynamische IPs etc. In zo'n geval zou ik dus eerder of daar een eigen controller gebruiken (bv een CloudKey, of evt. een Raspberry Pi, maar "risicovoller" in onderhoud), of een gezamenlijke controller ergens in de cloud draaien. Ook omdat je dus niet in de buurt woont en op het moment dat de APs de toegang tot de controller verliezen het opnieuw configureren een probleem is (je hebt immers ook geen SSH toegang tot de APs).

[grote_oever]

RobertMe schreef op donderdag 13 juli 2017 @ 21:29:
[...]

In case of doubt, koop de LR, tenzij je echt op een klein budget zit, maar dan zou je sowieso al voor de Lite gaan.

Long range is echt overkill in een appartement. Lite is stukken beter. Met Long ranged kan het hele complex genieten van je wifi spot.

[nero355]

MRE-Inc schreef op woensdag 12 juli 2017 @ 17:41:
Die externe dns server maak toch niks uit ? De primaire dns is de lokale dns server met 192.168.50.1. Die doet alle interne dns requests en zal als eerste gequeried worden. Die 192.168.50.1 is eigenlijk gewoon de 192.168.1.1 die al mijn lokale dns queries afhandelt en altijd als primaire dns stond ingesteld (tot de komst van de RPi met Pi Hole). Maar ik haal die externe dns er wel uit

Dat werkt dus zo niet en schijnt redelijk random te zijn helaas. Is een leuk topic over @ Pi-Hole forum zelfs :
https://discourse.pi-hole...y-vs-secondary-dns/1536/2

Intern nooit direkt externe DNS servers opgeven! En als de router dat toevallig zelf doet bij de secundaire bijvoorbeeld dan vul je lekker twee keer de interne in

[familyman]

OK - ik heb mijn dyndns service aanstaan. Als ik mijn domein vanuit mijn eigen LAN benader, gaat het (soort van) goed.

Als ik het volgende commando gebruik: sudo tcpdump -ni eth0 src host [ip-van-mijn-telefoon-via-4G] en dan op mijn telefoon surf naar mijn domein, dan timed de verbinding uit en zie ik geen uitput bij tcpdump.

Heb ik dan succesvol (...) vastgesteld dat er iets bij mijn hosting provider, of bij KPN, is dat de pakketjes niet netjes aflevert, of kan er dan nog iets zijn met NAT/DNS/Firewall?

TOEGEVOEGD: Ik heb de wan interface van de port forwarding aangepast naar ETH0.6 (waarop de pppoe verbinding naar KPN ligt, was ETH0) -> Maar dat maakte geen verschil

[ Voor 14% gewijzigd door familyman op 14-07-2017 09:55 ]

[stormfly]

Iemand wel eens getest met UAP-AC-PRO's en een UAP-AC-M @Jeroen_ae92 @djkavaa ?

Ik zit er over te denken, mijn 3e UAP-AC-PRO ligt in de dak rand/goot (aan de binnenzijde) die straalt als een paraplu over de tuin. Hiermee heb ik geen dekking als we met stoelen in de zon dichtbij het huis zitten.

Nu dacht ik, als ik de UAP-AC-M nu in de schuur plaats 6meter verder voor het glas, dan ziet hij de UAP-AC-PRO in de dakgoot prima op 5G.

Gaat dat mijn situatie helpen? Ik vernam dat je 50% bandbreedte opgeeft op 5G als je een UAP als uplink inzet. Is hij dan nog wel in staat om clients (iPhone etc) op 5G of 2G te voorzien van WiFi of vervalt die functie omdat de radio als up/downlink dient.

[Lapoor]

Hallo,

Ik heb sinds gisteren een Edgerouter lite icm Tweak 1 GB/s internet. Het is me gelukt om met behulp van een voorbeeld config voor tweak internet werkend te krijgen thuis alleen krijg ik port forwarding niet voor elkaar. Ik heb 1 webserver thuis 192.168.0.122 die op poort 80 naar de buitenwereld open moet staan echter met de volgende config lukt me dit niet kunnen jullie zien wat ik fout doe?
met de laptop vanuit me lokale lan kan ik wel op het externe ip bij me webserver komen dus de hairpin optie werkt echter met me telefoon over 4g kom ik er dus niet bij.

code:

firewall {
    all-ping enable
    broadcast-ping disable
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
   
    name WAN_IN {
        default-action drop
        description "packets from Internet to the LAN"
        rule 1 {
            action accept
            description "allow established session to the LAN"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        } 
        rule 3 {
            action drop
            description "drop invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "packets from Internet to the router"
        rule 1 {
            action accept
            description "allow established session to the router"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 2 {
            action drop
            description "drop invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 3 {
            action accept
            description "allow ping"
            log disable
            protocol icmp
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address 192.168.0.1/24
        description LAN
        duplex auto
        firewall {
            in {
            }
            local {
            }
            out {
            }
        }
        speed auto
    }
    ethernet eth1 {
        description WAN
        duplex auto
        firewall {
            in {
            }
            local {
            }
        }
        speed auto
        vif 34 {
            address dhcp
            description WAN-INTERNET
            firewall {
                in {
                    name WAN_IN
                }
                local {
                    name WAN_LOCAL
                }
            }
            mac /*zyxel mac here*/
        }
    }
    ethernet eth2 {
        disable
        duplex auto
        firewall {
            in {
            }
            local {
            }
            out {
            }
        }
        speed auto
    }
    loopback lo {
    }
}
port-forward {
    auto-firewall enable
    hairpin-nat enable
    lan-interface eth0
    rule 1 {
        description web
        forward-to {
            address 192.168.0.122
            port 80
        }
        original-port 80
        protocol tcp_udp
    }
    wan-interface eth1.34
}
protocols {
    static {
        interface-route 0.0.0.0/0 {
            next-hop-interface eth1.34 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name LAN {
            authoritative disable
            subnet 192.168.0.1/24 {
                default-router 192.168.0.1
                dns-server 82.197.196.182
                dns-server 8.8.8.8
                lease 86400
                start 192.168.0.100 {
                    stop 192.168.0.255
                }
                static-mapping webserver {
                    ip-address 192.168.0.122
                    mac-address /* mac here */
                }
            }
        }
        use-dnsmasq disable
    }
    gui {
        http-port 80
        https-port 443
        older-ciphers enable
    }
    nat {
        rule 5000 {
            description masquerade
            log disable
            outbound-interface eth1.34
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    ubnt-discover {
        disable
    }
    upnp2 {
        listen-on eth0
        nat-pmp disable
        secure-mode disable
        wan eth1.34
    }
}
system {
    host-name villa-router
    login {
        user ubnt {
            authentication {
                encrypted-password /* pass here */
                plaintext-password ""
            }
            full-name admin
            level admin
        }
    }
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    offload {
        hwnat disable
        ipsec enable
        ipv4 {
            forwarding enable
            vlan enable
        }
        ipv6 {
            forwarding disable
        }
    }
    package {
        repository wheezy {
            components "main contrib non-free"
            distribution wheezy
            password ""
            url http://http.us.debian.org/debian
            username ""
        }
        repository wheezy-security {
            components main
            distribution wheezy/updates
            password ""
            url http://security.debian.org
            username ""
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
    traffic-analysis {
        dpi disable
        export disable
    }
}


/* Warning: Do not remove the following line. */
/* === vyatta-config-version: "config-management@1:conntrack@1:cron@1:dhcp-relay@1:dhcp-server@4:firewall@5:ipsec@5:nat@3:qos@1:quagga@2:system@4:ubnt-pptp@1:ubnt-util@1:vrrp@1:webgui@1:webproxy@1:zone-policy@1" === */
/* Release version: v1.9.1.1.4977347.170426.0359 */

[RobertMe]

stormfly schreef op vrijdag 14 juli 2017 @ 09:00:
Iemand wel eens getest met UAP-AC-PRO's en een UAP-AC-M @Jeroen_ae92 @djkavaa ?

Ik zit er over te denken, mijn 3e UAP-AC-PRO ligt in de dak rand/goot (aan de binnenzijde) die straalt als een paraplu over de tuin. Hiermee heb ik geen dekking als we met stoelen in de zon dichtbij het huis zitten.

Nu dacht ik, als ik de UAP-AC-M nu in de schuur plaats 6meter verder voor het glas, dan ziet hij de UAP-AC-PRO in de dakgoot prima op 5G.

Gaat dat mijn situatie helpen? Ik vernam dat je 50% bandbreedte opgeeft op 5G als je een UAP als uplink inzet. Is hij dan nog wel in staat om clients (iPhone etc) op 5G of 2G te voorzien van WiFi of vervalt die functie omdat de radio als up/downlink dient.

Als ik moet gokken lijkt het mij dat alle radios gewoon blijven werken en zowel 5GHz als 2,4GHz operationeel zullen zijn. Echter zul je dus wel performance verliezen op de radios die ook de uplink verzorgen. Dit omdat die elke byte die ontvangen wordt van een client ook weer moet doorsturen over de uplink. Dus waar normaal met 1 client alle radios continue beschikbaar zijn voor die ene client, moet het AP dan gaan wisselen waarbij de radio dus 50% van de tijd beschikbaar is voor de client, en de overige 50% van de tijd communiceert met zijn uplink.

[familyman]

Lapoor schreef op vrijdag 14 juli 2017 @ 09:04:
Hallo,

Ik heb sinds gisteren een Edgerouter lite icm Tweak 1 GB/s internet. Het is me gelukt om met behulp van een voorbeeld config voor tweak internet werkend te krijgen thuis alleen krijg ik port forwarding niet voor elkaar. Ik heb 1 webserver thuis 192.168.0.122 die op poort 80 naar de buitenwereld open moet staan echter met de volgende config lukt me dit niet kunnen jullie zien wat ik fout doe?
met de laptop vanuit me lokale lan kan ik wel op het externe ip bij me webserver komen dus de hairpin optie werkt echter met me telefoon over 4g kom ik er dus niet bij.

code:

firewall {
    all-ping enable
    broadcast-ping disable
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
   
    name WAN_IN {
        default-action drop
        description "packets from Internet to the LAN"
        rule 1 {
            action accept
            description "allow established session to the LAN"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        } 
        rule 3 {
            action drop
            description "drop invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "packets from Internet to the router"
        rule 1 {
            action accept
            description "allow established session to the router"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 2 {
            action drop
            description "drop invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 3 {
            action accept
            description "allow ping"
            log disable
            protocol icmp
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address 192.168.0.1/24
        description LAN
        duplex auto
        firewall {
            in {
            }
            local {
            }
            out {
            }
        }
        speed auto
    }
    ethernet eth1 {
        description WAN
        duplex auto
        firewall {
            in {
            }
            local {
            }
        }
        speed auto
        vif 34 {
            address dhcp
            description WAN-INTERNET
            firewall {
                in {
                    name WAN_IN
                }
                local {
                    name WAN_LOCAL
                }
            }
            mac /*zyxel mac here*/
        }
    }
    ethernet eth2 {
        disable
        duplex auto
        firewall {
            in {
            }
            local {
            }
            out {
            }
        }
        speed auto
    }
    loopback lo {
    }
}
port-forward {
    auto-firewall enable
    hairpin-nat enable
    lan-interface eth0
    rule 1 {
        description web
        forward-to {
            address 192.168.0.122
            port 80
        }
        original-port 80
        protocol tcp_udp
    }
    wan-interface eth1.34
}
protocols {
    static {
        interface-route 0.0.0.0/0 {
            next-hop-interface eth1.34 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name LAN {
            authoritative disable
            subnet 192.168.0.1/24 {
                default-router 192.168.0.1
                dns-server 82.197.196.182
                dns-server 8.8.8.8
                lease 86400
                start 192.168.0.100 {
                    stop 192.168.0.255
                }
                static-mapping webserver {
                    ip-address 192.168.0.122
                    mac-address /* mac here */
                }
            }
        }
        use-dnsmasq disable
    }
    gui {
        http-port 80
        https-port 443
        older-ciphers enable
    }
    nat {
        rule 5000 {
            description masquerade
            log disable
            outbound-interface eth1.34
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    ubnt-discover {
        disable
    }
    upnp2 {
        listen-on eth0
        nat-pmp disable
        secure-mode disable
        wan eth1.34
    }
}
system {
    host-name villa-router
    login {
        user ubnt {
            authentication {
                encrypted-password /* pass here */
                plaintext-password ""
            }
            full-name admin
            level admin
        }
    }
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    offload {
        hwnat disable
        ipsec enable
        ipv4 {
            forwarding enable
            vlan enable
        }
        ipv6 {
            forwarding disable
        }
    }
    package {
        repository wheezy {
            components "main contrib non-free"
            distribution wheezy
            password ""
            url http://http.us.debian.org/debian
            username ""
        }
        repository wheezy-security {
            components main
            distribution wheezy/updates
            password ""
            url http://security.debian.org
            username ""
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
    traffic-analysis {
        dpi disable
        export disable
    }
}


/* Warning: Do not remove the following line. */
/* === vyatta-config-version: "config-management@1:conntrack@1:cron@1:dhcp-relay@1:dhcp-server@4:firewall@5:ipsec@5:nat@3:qos@1:quagga@2:system@4:ubnt-pptp@1:ubnt-util@1:vrrp@1:webgui@1:webproxy@1:zone-policy@1" === */
/* Release version: v1.9.1.1.4977347.170426.0359 */

Lijkt op hetzelfde probleem als ik. Lijkt wel alsof het de wan niet bereikt. Dat wat ik probeerde lijkt op wat er staat op troubleshooting port fowarding op de unifi site. Misschien helpt dat je verder?

Ik heb trouwens vastgesteld dat mijn domein wel reageert op een externe ping. Dus ik snap nog niet waarom hij geen verbinding maakt.

[MRE-Inc]

Ik heb ook Tweak 1Gbit icm een ERL. Portforwarding werkt bij mij wel goed. Ik zie in mijn config wel wat dingen anders zoals bij jouw regel 146

code:

}
protocols {
    static {
    }
}

Bij DHCP heb ik mijn interne DNS servers opgegeven ipv bij jou de externe van Tweak en Google

code:

shared-network-name LAN {
            authoritative enable
            subnet 192.168.1.0/24 {
                default-router 192.168.1.1
                dns-server 192.168.1.2
                dns-server 192.168.1.1
                domain-name intern.lan
                lease 86400
                start 192.168.1.100 {
                    stop 192.168.1.150
                }

Port forward staat bij mij zo:

code:

}
    rule 7 {
        description "NAS Web Server"
        forward-to {
            address 192.168.1.116
            port 80
        }
        original-port 80
        protocol tcp
    }

Verder zie ik bij jou bij System (regel 204) niet het kopje DNS. Bij mij staat dit er nog bij:

code:

dns {
        forwarding {
            cache-size 150
            listen-on eth1
            listen-on eth2
            listen-on eth1.50
            name-server 82.197.196.182
            name-server 82.197.196.183
            name-server 208.67.222.222
            name-server 208.67.220.220
            options listen-address=192.168.1.1
            options localise-queries
        }
    }

Mijn ERL is dus DNS voor de lokale clients en alles wat hij niet kent, wordt naar upstream dns servers gestuurd die je ziet staan in de code hierboven bij dns....name-server 82.197.196.182 etc

[ Voor 6% gewijzigd door MRE-Inc op 14-07-2017 09:36 ]

[stormfly]

RobertMe schreef op vrijdag 14 juli 2017 @ 09:10:
[...]

Als ik moet gokken lijkt het mij dat alle radios gewoon blijven werken en zowel 5GHz als 2,4GHz operationeel zullen zijn. Echter zul je dus wel performance verliezen op de radios die ook de uplink verzorgen. Dit omdat die elke byte die ontvangen wordt van een client ook weer moet doorsturen over de uplink. Dus waar normaal met 1 client alle radios continue beschikbaar zijn voor die ene client, moet het AP dan gaan wisselen waarbij de radio dus 50% van de tijd beschikbaar is voor de client, en de overige 50% van de tijd communiceert met zijn uplink.

Ja zoiets denk ik ook, maar ik wil het echt even weten. Maar heb support ook gevraagd ;-) Vroeger bij het huis tuin en keuken WiFi netwerk kon je sommige apparaten van hetzelfde merk op elkaar laten joinen als repeater maar dat werkte niet zo goed.

[Lapoor]

Dubbeldrank schreef op dinsdag 9 mei 2017 @ 14:42:
So far so good, de Edgerouter X draait met de Unifi AP maar ik heb nog wel wat puntjes waar ik ook na Googlen nog niet helemaal uit kan komen.

- Hoe schakel ik remote administration uit? Dit werkt niet, dan kan ik de GUI helemaal niet meer benaderen.
- Ik moet bij static routes een distance opgeven, geen idee wat het inhoud
- Niet alle port forwards lijken te werken, ssh naar binnen gaat prima maar een teamspeak server is onbereikbaar met de juiste port forwards.
- Aangezien mijn internet over vlan 34 binnenkomt, moet ik dan eth0.34 opgeven bij de portforwards of alleen eth0 als inkomende interface?
- Bij de portforwards heb ik eth1 opgegeven als LAN interface, op eth1 zit een switch aangesloten met mijn bedrade apparatuur. Doe ik dit goed of moet ik switch0 gebruiken?

-edit-
Bovenstaande is allemaal opgelost!

ik loop tegen dezelfde dingen aan hoe heb jij dit opgelost?

[hermanh]

grote_oever schreef op donderdag 13 juli 2017 @ 23:00:
[...]

Long range is echt overkill in een appartement. Lite is stukken beter. Met Long ranged kan het hele complex genieten van je wifi spot.

Dat valt best mee... De zendsterkte kun je in de software gewoon netjes naar beneden zetten.
Maar wat je voor die twee tientjes wel extra krijgt is een radio die gevoeliger is dan de Lite.
Kortom door een paar muren heen kan de LR een mobiel of tablet veel beter aanhoren dat een Lite.

Dus tenzij budget echt een horde is, zou ook ik de voorkeur uitspreken voor een LR tov een LITE.

[Dubbeldrank]

Lapoor schreef op vrijdag 14 juli 2017 @ 09:47:
[...]

ik loop tegen dezelfde dingen aan hoe heb jij dit opgelost?

Dat hangt er vanaf welke wizard je doorlopen hebt, in mijn geval moest ik als LAN interface 'switch0' opgeven. Dat loste in één keer het hele rijtje problemen op. Zodra je poort 80 en 443 forward naar een intern adres is remote administration van buitenaf niet meer mogelijk, datzelfde geldt voor SSH als je de poort forward.

[ Voor 19% gewijzigd door Dubbeldrank op 14-07-2017 10:19 ]

[Kavaa]

stormfly schreef op vrijdag 14 juli 2017 @ 09:00:
Iemand wel eens getest met UAP-AC-PRO's en een UAP-AC-M @Jeroen_ae92 @djkavaa ?

Ik zit er over te denken, mijn 3e UAP-AC-PRO ligt in de dak rand/goot (aan de binnenzijde) die straalt als een paraplu over de tuin. Hiermee heb ik geen dekking als we met stoelen in de zon dichtbij het huis zitten.

Nu dacht ik, als ik de UAP-AC-M nu in de schuur plaats 6meter verder voor het glas, dan ziet hij de UAP-AC-PRO in de dakgoot prima op 5G.

Gaat dat mijn situatie helpen? Ik vernam dat je 50% bandbreedte opgeeft op 5G als je een UAP als uplink inzet. Is hij dan nog wel in staat om clients (iPhone etc) op 5G of 2G te voorzien van WiFi of vervalt die functie omdat de radio als up/downlink dient.

Dat kan prima werken, maar is alsnog afhankelijk van de situatie en geeft dus geen 100% garantie dat het gaat werken.

Wel hebben we meerdere malen (voor onszelf) bewezen dat de UAP AC M het toch wat te wensen over laat in de zin van antenne. Een oudere Outdoor+ doet het in dat opzicht beter.
De UAP AC M-Pro is een heel ander verhaal.
Dat ding is gewoon een monster! Zowel qua performance als bereik.

Events mee gedraaid en bereik, Wouw

Maar terug naar je situatie zou een M in theorie moeten voldoen.

[Kavaa]

hermanh schreef op vrijdag 14 juli 2017 @ 09:56:
[...]


Dat valt best mee... De zendsterkte kun je in de software gewoon netjes naar beneden zetten.
Maar wat je voor die twee tientjes wel extra krijgt is een radio die gevoeliger is dan de Lite.
Kortom door een paar muren heen kan de LR een mobiel of tablet veel beter aanhoren dat een Lite.

Dus tenzij budget echt een horde is, zou ook ik de voorkeur uitspreken voor een LR tov een LITE.

Zeker als je 1 AP neemt in plaats van meerdere dan zou ik zeker gaan voor de LR

[Sebazzz]

Ik wil "in bulk" een aantal interfaces veranderen en opnieuw toewijzen. Namelijk:
- Een interface eth1 uit een bridge halen
- De bridge aan een nieuw subnet toewijzen
- De WAN poort verplaatsen van eth1 naar eth0
- DHCP van bridge naar eth1 zetten
- Nieuwe DHCP server op br0 zetten

Kan ik dit gewoon doen door config.boot te wijzigen en deze dan opnieuw in te laden met het "load" commando, vervolgens een reboot doen?

[ Voor 9% gewijzigd door Sebazzz op 14-07-2017 10:28 ]

[stormfly]

djkavaa schreef op vrijdag 14 juli 2017 @ 10:18:
[...]


Dat kan prima werken, maar is alsnog afhankelijk van de situatie en geeft dus geen 100% garantie dat het gaat werken.

Wel hebben we meerdere malen (voor onszelf) bewezen dat de UAP AC M het toch wat te wensen over laat in de zin van antenne. Een oudere Outdoor+ doet het in dat opzicht beter.
De UAP AC M-Pro is een heel ander verhaal.
Dat ding is gewoon een monster! Zowel qua performance als bereik.

Events mee gedraaid en bereik, Wouw

Maar terug naar je situatie zou een M in theorie moeten voldoen.

Ja de M-Pro is heel vet

Maar voor een achtertuin van 6x13 (inclusief garage) Waar de AC-M zichtbaar is vanaf je stoel, hij staat achter een enkel glas raam in de garage.

Dat zal de antenne toch wel trekken? Het liefste zou ik een 5G only dekking willen buiten. 2G is relatief druk.

Anders even testen met het 14 dagen retourrecht via internet🙃

[Kavaa]

stormfly schreef op vrijdag 14 juli 2017 @ 10:38:
[...]


Ja de M-Pro is heel vet

Maar voor een achtertuin van 6x13 (inclusief garage) Waar de AC-M zichtbaar is vanaf je stoel, hij staat achter een enkel glas raam in de garage.

Dat zal de antenne toch wel trekken? Het liefste zou ik een 5G only dekking willen buiten. 2G is relatief druk.

Anders even testen met het 14 dagen retourrecht via internet🙃

Dat is de vraag, Jeroen bovenstaande 3 getest. En zei dat de UAP AC M echt tegen viel ten opzichte van de Outdoor + en de AC M Pro.

Dus.... Dat zeggende kan het heel goed werken en is en blijft het een kwestie van testen.

Als we iets bij klanten installeren dan heb ik altijd alles in de auto liggen om zo teleurstelling te voorkomen en meteen in te springen met een andere unit die wellicht beter is voor de situatie.

[Kavaa]

Sebazzz schreef op vrijdag 14 juli 2017 @ 10:27:
Ik wil "in bulk" een aantal interfaces veranderen en opnieuw toewijzen. Namelijk:
- Een interface eth1 uit een bridge halen
- De bridge aan een nieuw subnet toewijzen
- De WAN poort verplaatsen van eth1 naar eth0
- DHCP van bridge naar eth1 zetten
- Nieuwe DHCP server op br0 zetten

Kan ik dit gewoon doen door config.boot te wijzigen en deze dan opnieuw in te laden met het "load" commando, vervolgens een reboot doen?

Config.boot kan.
Je kunt het ook via de CLI doen als je de commando's klaar zet en beetje bij beetje invoert.

Doe dan een commit-confirm <- dit zorgt ervoor dat als jij de commit niet bevestigd dat de Edgerouter automatisch een Reboot doet en alle wijzigingen laat vallen.
Zo kun je na de reboot weer bij de Router als er toch iets niet werkt en opnieuw beginnen.

Zet dus daarom je commands op logische volgorde in een Text bestand en voer ze daarna met MAX 10 regels per keer in. Om te kunnen zien als er ergens een Syntax error zit.

Daarna de Commit-Confirm en hope for the best

[familyman]

MRE-Inc schreef op vrijdag 14 juli 2017 @ 09:33:
Ik heb ook Tweak 1Gbit icm een ERL. Portforwarding werkt bij mij wel goed. Ik zie in mijn config wel wat dingen anders zoals bij jouw regel 146

code:

}
protocols {
    static {
    }
}

Bij DHCP heb ik mijn interne DNS servers opgegeven ipv bij jou de externe van Tweak en Google

code:

shared-network-name LAN {
            authoritative enable
            subnet 192.168.1.0/24 {
                default-router 192.168.1.1
                dns-server 192.168.1.2
                dns-server 192.168.1.1
                domain-name intern.lan
                lease 86400
                start 192.168.1.100 {
                    stop 192.168.1.150
                }

Port forward staat bij mij zo:

code:

}
    rule 7 {
        description "NAS Web Server"
        forward-to {
            address 192.168.1.116
            port 80
        }
        original-port 80
        protocol tcp
    }

Verder zie ik bij jou bij System (regel 204) niet het kopje DNS. Bij mij staat dit er nog bij:

code:

dns {
        forwarding {
            cache-size 150
            listen-on eth1
            listen-on eth2
            listen-on eth1.50
            name-server 82.197.196.182
            name-server 82.197.196.183
            name-server 208.67.222.222
            name-server 208.67.220.220
            options listen-address=192.168.1.1
            options localise-queries
        }
    }

Mijn ERL is dus DNS voor de lokale clients en alles wat hij niet kent, wordt naar upstream dns servers gestuurd die je ziet staan in de code hierboven bij dns....name-server 82.197.196.182 etc

Dat DNS gebeuren slaat toch alleen op de LAN verwerking? Dat zou toch met port forwarding niet mogen uithalen?

[Sebazzz]

Het nadeel daarvan is dat ondertussen netwerkverbinding kan wegvallen en je mogelijk grotere downtime hebt. De laatste keer dat ik dat heb gedaan was ook ineens mijn DHCP server verdwenen omdat deze gekoppeld stond aan een interface die onderdeel werd van een bridge.

[xbeam]

stormfly schreef op vrijdag 14 juli 2017 @ 09:00:
Iemand wel eens getest met UAP-AC-PRO's en een UAP-AC-M @Jeroen_ae92 @djkavaa ?

Ik zit er over te denken, mijn 3e UAP-AC-PRO ligt in de dak rand/goot (aan de binnenzijde) die straalt als een paraplu over de tuin. Hiermee heb ik geen dekking als we met stoelen in de zon dichtbij het huis zitten.

Nu dacht ik, als ik de UAP-AC-M nu in de schuur plaats 6meter verder voor het glas, dan ziet hij de UAP-AC-PRO in de dakgoot prima op 5G.

Gaat dat mijn situatie helpen? Ik vernam dat je 50% bandbreedte opgeeft op 5G als je een UAP als uplink inzet. Is hij dan nog wel in staat om clients (iPhone etc) op 5G of 2G te voorzien van WiFi of vervalt die functie omdat de radio als up/downlink dient.

Ik heb in een hotel een mesh pro draadloos gelinkt aan een AC-pro voor internet op het terras en dit werkt echt prima met 50 gebruikers. Draadloze link snelheid is maar 300mbit vanwegen een zwembad die er tussen ligt maar nooit klachten.

[Kavaa]

Sebazzz schreef op vrijdag 14 juli 2017 @ 11:29:
Het nadeel daarvan is dat ondertussen netwerkverbinding kan wegvallen en je mogelijk grotere downtime hebt. De laatste keer dat ik dat heb gedaan was ook ineens mijn DHCP server verdwenen omdat deze gekoppeld stond aan een interface die onderdeel werd van een bridge.

Daarom dus de commit-confirm dan gaat hij terug naar je huidige active config.
In de 10Min heb je dus tijd om alles te controleren.

Maak altijd een back-up voor je begint, maar commit-confirm is echt de beste manier om het te doen. Met de config.boot moet je meer handelingen doen om weer terug te gaan naar de oude situatie.

[Kavaa]

xbeam schreef op vrijdag 14 juli 2017 @ 11:35:
[...]


Ik heb in een hotel een mesh pro draadloos gelikt aan een AC pro voor internet op het terras en dit werkt echt prima met 50 gebruikers. Draadloze link snelheid is maar 300mbit vanwegen een zwembad die er tussen ligt maar nooit klachten.

Met een Mesh Pro werkt dat ook fantastisch omdat die niet veel verliest.
Maar het Antenne design van de M en de snelheid kan dus limiterend zijn.

Neemt niet weg dat het voor @stormfly heel goed "kan" werken.

[MRE-Inc]

familyman schreef op vrijdag 14 juli 2017 @ 11:29:
[...]


Dat DNS gebeuren slaat toch alleen op de LAN verwerking? Dat zou toch met port forwarding niet mogen uithalen?

Je zou idd zeggen van niet, maar zeker weten doe ik het niet. Het viel me gewoon op dat jij een aantal dingen in je config anders hebt staan. Als ik kijk naar de port forwards, dan staan ze bij net zoals bij jou en bij mij werkt het wel. Dan ga ik dus naar andere dingen kijken die afwijken van mijn config.

Is de config die je gepost hebt, je volledige config of maar een klein stukje ?

[stormfly]

djkavaa schreef op vrijdag 14 juli 2017 @ 11:39:
[...]


Met een Mesh Pro werkt dat ook fantastisch omdat die niet veel verliest.
Maar het Antenne design van de M en de snelheid kan dus limiterend zijn.

Neemt niet weg dat het voor @stormfly heel goed "kan" werken.

Ik ga na de vakantie eens testen, nu zeiknat in de achtertuin geen weer voor een field-test.

[ennekke]

stormfly schreef op vrijdag 14 juli 2017 @ 11:46:
[...]


Ik ga na de vakantie eens testen, nu zeiknat in de achtertuin geen weer voor een field-test.

Juist wel

[Kavaa]

ennekke schreef op vrijdag 14 juli 2017 @ 11:47:
[...]


Juist wel

Ik weet niet hoor maar bij mij schijnt de zon:D

[Lapoor]

MRE-Inc schreef op vrijdag 14 juli 2017 @ 11:45:
[...]


Je zou idd zeggen van niet, maar zeker weten doe ik het niet. Het viel me gewoon op dat jij een aantal dingen in je config anders hebt staan. Als ik kijk naar de port forwards, dan staan ze bij net zoals bij jou en bij mij werkt het wel. Dan ga ik dus naar andere dingen kijken die afwijken van mijn config.

Is de config die je gepost hebt, je volledige config of maar een klein stukje ?

Ik krijg het niet werkend met die settings van jou kun jij je hele config eens posten? De forwards moeten op de interface x.34 toch?

Als ik iptables bekijk zie ik netjes de volgende regels:

code:

Chain UBNT_PFOR_FW_RULES (1 references)
 pkts bytes target     prot opt in     out     source               destination
 0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            192.168.0.122        tcp dpt:80

en bij nat translations detail

code:

 tcp: dnat: mijn_external_ip:80 ==> 192.168.0.122:80  timeout: 36 use: 1

maar in de browser krijg ik vervolgens weer een error 504.

[wilbert11]

Ik wil ook een accesspoint van Ubiquiti aanschaffen voor m'n appartement 80m2 (en volgend jaar verhuizen naar een nieuwbouw huis met 2 verdiepingen en een tuin).
Ik heb nu een fritzbox 7390 als router (van de provider) en een Xiaomi Mi WiFi Mini (met padavan firmware). Dit draait redelijk stabiel alleen is de download beperkt tot iets van 35 mbit/s. Met deze upgrade (vervangen Xiaomi) wil ik dus stabiel internet van 150mbit/s (gelijk aan huidig abonnement provider). Wifi connected devices zijn 2 x smartphone, 2 x tablets, 1 x shield TV, 1 x laptop + devices van gasten.

Wat raden jullie me aan om te kopen?

Ik dacht zelf om de Ubiquiti Unifi AC-LR aan te schaffen (en deze dan volgend jaar als accesspoint te gebruiken voor de woonkamer/keuken EN tuin) of is er een reden om een voorkeur te geven aan de Ubiquiti Unifi AC-LITE ? (behalve het prijsverschil van 20 euro).

[Kavaa]

wilbert11 schreef op vrijdag 14 juli 2017 @ 12:30:
Ik wil ook een accesspoint van Ubiquiti aanschaffen voor m'n appartement 80m2 (en volgend jaar verhuizen naar een nieuwbouw huis met 2 verdiepingen en een tuin).
Ik heb nu een fritzbox 7390 als router (van de provider) en een Xiaomi Mi WiFi Mini (met padavan firmware). Dit draait redelijk stabiel alleen is de download beperkt tot iets van 35 mbit/s. Met deze upgrade (vervangen Xiaomi) wil ik dus stabiel internet van 150mbit/s (gelijk aan huidig abonnement provider). Wifi connected devices zijn 2 x smartphone, 2 x tablets, 1 x shield TV, 1 x laptop + devices van gasten.

Wat raden jullie me aan om te kopen?

Ik dacht zelf om de Ubiquiti Unifi AC-LR aan te schaffen (en deze dan volgend jaar als accesspoint te gebruiken voor de woonkamer/keuken EN tuin) of is er een reden om een voorkeur te geven aan de Ubiquiti Unifi AC-LITE ? (behalve het prijsverschil van 20 euro).

Gewoon de Ubiquiti UAP AC LR nemen dan heb je net even wat meer bereik. En kan als je geluk hebt dus net je appartement wat beter dekkend krijgen dan de Lite.

Dus kies voor Safe en ga voor de LR

[stormfly]

@wilbert11 elk huis verdiend minimaal 2 AP's voor een goede dekking. Ik zou de UAP-AC-LR nemen, zoals iemand schreef een mooie prijs kwaliteit verhouding.

[MikeVM]

stormfly schreef op vrijdag 14 juli 2017 @ 13:07:
@wilbert11 elk huis verdiend minimaal 2 AP's voor een goede dekking. Ik zou de UAP-AC-LR nemen, zoals iemand schreef een mooie prijs kwaliteit verhouding.

LR vind ik zelf een beetje nutteloos. de zendkracht van een ap maakt helpt niet bij stabiliteit vind ik, ik zet er liever eentje meer. en 2 ap's strategisch geplaatst is meestal voldoende voor een standaard huisje

[stormfly]

MikeVM schreef op vrijdag 14 juli 2017 @ 13:08:
[...]

LR vind ik zelf een beetje nutteloos. de zendkracht van een ap maakt helpt niet bij stabiliteit vind ik, ik zet er liever eentje meer. en 2 ap's strategisch geplaatst is meestal voldoende voor een standaard huisje

Daarom heeft de LR ook een betere RX antenne met meer dB gain.

[Kavaa]

stormfly schreef op vrijdag 14 juli 2017 @ 13:07:
@wilbert11 elk huis verdiend minimaal 2 AP's voor een goede dekking. Ik zou de UAP-AC-LR nemen, zoals iemand schreef een mooie prijs kwaliteit verhouding.

Zal het onthouden als een klant vraagt om een AP.

Weet je dat je huis er minimaal 2 verdiend? Neem er toch 2, een is ook maar zo alleen

[stormfly]

djkavaa schreef op vrijdag 14 juli 2017 @ 13:31:
[...]


Zal het onthouden als een klant vraagt om een AP.

Weet je dat je huis er minimaal 2 verdiend? Neem er toch 2, een is ook maar zo alleen

Ja mentaal is dat heel intensief voor een AP, en maar roepen en zenden en niemand van zijn familie die hem hoort of antwoord geeft.

Met de huidige streaming diensten beveel ik altijd meerdere AP's aan met kleine cellen, niets zo vervelend als net op de grens van een stabiel bereik in je bed Netflix s-s-s-streamen.

[Samplex]

Met 5.5.19 controller krijg ik het meer niet snel met navigeren, elke keer een cirkel als ik op een onderdeel klik. Iemand een voorbeeld hoe ik goed een Unifi controller binnen een Synology Docker image kan configureren/draaien.

[Krishly]

Samplex schreef op vrijdag 14 juli 2017 @ 14:34:
Met 5.5.19 controller krijg ik het meer niet snel met navigeren, elke keer een cirkel als ik op een onderdeel klik. Iemand een voorbeeld hoe ik goed een Unifi controller binnen een Synology Docker image kan configureren/draaien.

https://hub.docker.com/r/goofball222/unifi/

[Samplex]

@Krishly Ook al geprobeerd, deze is ook traag met navigeren... 5.4.19 werkt snel...

[Krishly]

Samplex schreef op vrijdag 14 juli 2017 @ 15:13:
@Krishly Ook al geprobeerd, deze is ook traag met navigeren... 5.4.19 werkt snel...

Vreemd draait bij mij als een tierelier met 5.5.19. Wellicht een backup maken van de instellingen van de unifi en de docker bestanden deleten (Unifi data bestanden). Opnieuw installeren en dan de backup terugzetten.

[Jeroen_ae92]

familyman schreef op vrijdag 14 juli 2017 @ 08:58:
OK - ik heb mijn dyndns service aanstaan. Als ik mijn domein vanuit mijn eigen LAN benader, gaat het (soort van) goed.

Als ik het volgende commando gebruik: sudo tcpdump -ni eth0 src host [ip-van-mijn-telefoon-via-4G] en dan op mijn telefoon surf naar mijn domein, dan timed de verbinding uit en zie ik geen uitput bij tcpdump.

Heb ik dan succesvol (...) vastgesteld dat er iets bij mijn hosting provider, of bij KPN, is dat de pakketjes niet netjes aflevert, of kan er dan nog iets zijn met NAT/DNS/Firewall?

TOEGEVOEGD: Ik heb de wan interface van de port forwarding aangepast naar ETH0.6 (waarop de pppoe verbinding naar KPN ligt, was ETH0) -> Maar dat maakte geen verschil

Dan meet je nog steeds niet goed. Je wan interface is niet eth0.6 maar pppoe0.
Maar je test extern eerst of je domainname resolved naar het correcte ip, indien nee, dan komt het verkeer ook nooit aan op jouw edgerouter. Indien deze correct resolved, ga je zoeken of je rules correct zijn.
Ik vermoed zo dat je een portforward moet hebben naar een intern adres op een poort. Je wan interface is pppoe0 en niet eth0 of eth0.6

Lukt het zo bete?

[ Voor 17% gewijzigd door Jeroen_ae92 op 14-07-2017 15:43 ]

[familyman]

Jeroen_ae92 schreef op vrijdag 14 juli 2017 @ 15:36:
[...]

Dan meet je nog steeds niet goed. Je wan interface is niet eth0.6 maar pppoe0.
Maar je test extern eerst of je domainname resolved naar het correcte ip, indien nee, dan komt het verkeer ook nooit aan op jouw edgerouter. Indien deze correct resolved, ga je zoeken of je rules correct zijn.
Ik vermoed zo dat je een portforward moet hebben naar een intern adres op een poort. Je wan interface is pppoe0 en niet eth0 of eth0.6

Lukt het zo bete?

JA! Nu zie in SYN pakketten binnenkomen, maar geen antwoord van de server uitgaan. Dat duidt op een firewall probleem, toch?

[stormfly]

familyman schreef op vrijdag 14 juli 2017 @ 16:32:
[...]


JA! Nu zie in SYN pakketten binnenkomen, maar geen antwoord van de server uitgaan. Dat duidt op een firewall probleem, toch?

Jeps ze komen dan misschien niet eens aan bij de server, ff kijken of je daar de SYN ziet aankomen? Zo ja/nee is het of inkomend naar de server of uitgaand vanaf de server een rule.

[familyman]

stormfly schreef op vrijdag 14 juli 2017 @ 17:24:
[...]


Jeps ze komen dan misschien niet eens aan bij de server, ff kijken of je daar de SYN ziet aankomen? Zo ja/nee is het of inkomend naar de server of uitgaand vanaf de server een rule.

Het betreft een portforward van port 1234 naar host 192.168.1.3

Als ik wil luisteren op de uitgang van mijn router op 192.168.1.1, dan gebruik ik: sudo tcpdump -ni eth1 dst host 192.168.1.3

De SYN pakketten die ik dan met het andere commando vind, vind ik nu niet. (Let wel: ik heb een USG, dus mijn LAN zit op eth1)

[Jeroen_ae92]

Wat krijg je aan log met "show log tail | grep ipexterndevice"? En hoe is je rule gemaakt? Kun je de output doen van "show firewall name WAN_IN" en een "show port-forward" als je in de "configure" mode zit? Dan kunnen we even zien hoe de port forward is gemaakt. Is beter te troubleshooten als je weet waar je dit moet doen.

[ Voor 28% gewijzigd door Jeroen_ae92 op 14-07-2017 21:40 ]

[xbeam]

djkavaa schreef op vrijdag 14 juli 2017 @ 11:23:
[...]


Dat is de vraag, Jeroen bovenstaande 3 getest. En zei dat de UAP AC M echt tegen viel ten opzichte van de Outdoor + en de AC M Pro.

Dus.... Dat zeggende kan het heel goed werken en is en blijft het een kwestie van testen.

Als we iets bij klanten installeren dan heb ik altijd alles in de auto liggen om zo teleurstelling te voorkomen en meteen in te springen met een andere unit die wellicht beter is voor de situatie.

Hmm city wireles (van de gemeente WiFi in Nederland ) is juist wel te spreken over prestaties van Uap AC M.
https://community.ubnt.co...reless-mesh/cns-p/1944050

[Jeroen_ae92]

xbeam schreef op vrijdag 14 juli 2017 @ 20:15:
[...]


Hmm city wireles (van de gemeente WiFi in Nederland ) is juist wel te spreken over prestaties van Uap AC M.
https://community.ubnt.co...reless-mesh/cns-p/1944050

Ik zag het inderdaad ook maar ik nie snap nie... no way dat die kleine M beter is dan de Pro. En dan inderdaad het laatste stukje over de L en V shape van de antennes. Ik denk dat in zijn case de M beter was door ondermeer size.

[Kavaa]

Jeroen_ae92 schreef op vrijdag 14 juli 2017 @ 20:34:
[...]

Ik zag het inderdaad ook maar ik nie snap nie... no way dat die kleine M beter is dan de Pro. En dan inderdaad het laatste stukje over de L en V shape van de antennes. Ik denk dat in zijn case de M beter was door ondermeer size.

Helemaal mee eens dus.
M is een fijn apparaat en werkt perfect. Maar als ik moet kiezen dan toch de M Pro. Maar he, keuzes he.

[tyfoon_2]

Inmiddels ca een jaar 3 stuks UAP AC Pro's hangen. Huis uit 1900 drie verdiepingen ca 250m2. Rondom wat tuin met 6 Wifi cams. 1 AC pro hangt aan plafond tweede verdieping en de andere twee op de eerste verdieping. Eentje aan voorkant (verticaal) en eentje aan de achterkant (net horizontaal gehangen).

Nu is mijn vraag welke instellingen het beste kan gebruiken; Ik heb nu alle AP's op channel 'auto' staan en 2.4 op HT20 en transmission high. 5ghz op VHT40 en transmission high. Land instelling op US en dan is high volgens mij 22db.

Echter, zijn dit wel de beste instellingen? Soms verbaas is me nl over welk acces punt bepaalde devices kiezen (zo kiest bv een camera een AP dat aanzienlijk verder weg zit en met meer blockages ertussen)

[GioStyle]

Kwestie van omgeving scannen en de minst drukke kanalen kiezen.

[tyfoon_2]

GioStyle schreef op vrijdag 14 juli 2017 @ 21:53:
Kwestie van omgeving scannen en de minst drukke kanalen kiezen.

Maar is nu niet het idee achter auto dat ie dit zelf optimaal doet? Hij zet ze netjes op 1, 6 en 11 voor de 2.4 en als ik scan lijk dat de goede keuze. Is 'high' in deze de goede keuze of kan ik ze beter op medium zetten?

Allemaal vrijstaande huizen maar wel dicht op elkaar. Een van de buurtjes heeft Ruckus spul en die lijken mn behoorlijk sterk

[GioStyle]

Ja, alleen de AP's doen dit alleen bij opstart. Als er later iets verandert in de omgeving, dan blijven de AP's gewoon op dezelfde kanalen zenden. Met andere woorden: zo automatisch vind ik het dan niet.

Wat betreft high en medium. Daar zal je even mee moeten spelen. Ik heb hier alles op high en alle draadloze apparaten verwisselen vlekkeloos van AP's.

Is het trouwens druk op de 5Ghz band bij jou? Anders kan je de VHT op 80 zetten, dan heb je meer bandbreedte en daardoor hogere snelheden. Nadeel is wel als het druk is op de band, dan kan het juist trager worden door verstoringen. Zelfde verhaal geldt ook voor de 2.4Ghz, maar daar zal ongetwijfeld drukker zijn.

[xbeam]

Even een andere vraag.

Ik zit met een klein probleempje.
Ik heb op 1 locatie een usg draaien met en L2tp server.

Op locatie 2 een groot verzamel gebouw zitten wat kleine bedrijfjes anti kraak 1tje daar van moet een vpn verbinding hebben naar de usg. Nu is het probleem dat er 2 routers tussen zitten. De beheerder heeft iedere bedrijfje een eigen router geven achter de kpn router. Er kan dus maar 1 vpn naar buiten. Anders had ik alle computers een eigen tunnel gegeven en een site to site kan volgens mij ook niet door de dubbel nat die er in het gebouw zit. Of kan dat wel?

Nu dacht ik een ERL te gebruiken om als L2tp/IPSec client verbinding te laten maken met usg. Maar nu kan ik alleen de server instellingen vinden.