[Ubiquiti-apparatuur] Ervaringen & Discussie - Deel 2

[pven]

Ik ben kwijt welke AP ik nou precies heb.

Volgens de factuur is het een Ubiquiti UniFi AP (gekocht in oktober 2014). Volgens de UniFi controller is het model een 'UniFi AP'. Meer info kan ik niet vinden. Als ik via het dashboard wil upgraden dan is de nieuwste versie '3.8.14.6780', terwijl de nieuwste volgens mij die 3.9 zou moeten zijn. Kan ik handmatig upgraden via deze pagina of begint mijn AP wat out-of-support te raken?

[flexje]

Heb em geupdate via de app op mn telefoon. Rest van mn ap's ging prima

[kromme]

doc schreef op maandag 16 oktober 2017 @ 15:10:
[...]


Tegenwoordig kunnen de AC-LR ook op de 60w switch. Je moet dan zorgen dat je een recente levering hebt, waar linksboven een blauwe driehoekige sticker met daarom een bliksemflits zit, GigE PoE en "Now supports 24V & 802.3af" staat er op.

Weet je dit trouwens zekers? Een tweaker had zich namelijk vergist in model. Hij had een pro en geen LR.

[xtravital]

pven schreef op dinsdag 17 oktober 2017 @ 15:22:
Ik ben kwijt welke AP ik nou precies heb.

Volgens de factuur is het een Ubiquiti UniFi AP (gekocht in oktober 2014). Volgens de UniFi controller is het model een 'UniFi AP'. Meer info kan ik niet vinden. Als ik via het dashboard wil upgraden dan is de nieuwste versie '3.8.14.6780', terwijl de nieuwste volgens mij die 3.9 zou moeten zijn. Kan ik handmatig upgraden via deze pagina of begint mijn AP wat out-of-support te raken?

Ja deze kun je gewoon via die site upgraden, de firmware zal later in je controller zichtbaar zijn. Na de upgrade zal er waarschijnlijk staan dat je weer kan upgraden, maar dat is in werkelijkheid dan een downgrade.

[pven]

xtravital schreef op dinsdag 17 oktober 2017 @ 15:52:
[...]


Ja deze kun je gewoon via die site upgraden, de firmware zal later in je controller zichtbaar zijn. Na de upgrade zal er waarschijnlijk staan dat je weer kan upgraden, maar dat is in werkelijkheid dan een downgrade.

Dank. Maar welke moet ik dan precies hebben?

[Zandpad]

pven schreef op dinsdag 17 oktober 2017 @ 15:56:
[...]

Dank. Maar welke moet ik dan precies hebben?

Welke kleur ring heb je?

[pven]

Zandpad schreef op dinsdag 17 oktober 2017 @ 16:04:
[...]


Welke kleur ring heb je?

Het lampje bedoel je? Die is groen.

[Zandpad]

pven schreef op dinsdag 17 oktober 2017 @ 16:08:
[...]

Het lampje bedoel je? Die is groen.

Dat is de UAP Gen1: https://dl.ubnt.com/unifi....9.3.7537.171013.1042.bin

[RobertMe]

kromme schreef op dinsdag 17 oktober 2017 @ 15:43:
[...]


Weet je dit trouwens zekers? Een tweaker had zich namelijk vergist in model. Hij had een pro en geen LR.

Sinds september vorig jaar worden de Lites en LRs met zowel passive 24V als 802.3af ondersteuning geproduceerd (en sinds eind januari/februari ook geleverd in NL). Dus ja, dit kan gewoon.
De AC Pro daarentegen heeft dan weer altijd alleen 802.3af ondersteuning gehad en heeft nooit passive 24V ondersteund (wat dus weer geen probleem is omdat Ubiquiti passive 24V wil uitfaseren).

[kromme]

RobertMe schreef op dinsdag 17 oktober 2017 @ 16:15:
[...]

Sinds september vorig jaar worden de Lites en LRs met zowel passive 24V als 802.3af ondersteuning geproduceerd (en sinds eind januari/februari ook geleverd in NL). Dus ja, dit kan gewoon.
De AC Pro daarentegen heeft dan weer altijd alleen 802.3af ondersteuning gehad en heeft nooit passive 24V ondersteund (wat dus weer geen probleem is omdat Ubiquiti passive 24V wil uitfaseren).

Zit er nog versschil in de kleur van de ring. Als ik op een individueel AP zoek zie ik plaatjes met blauwe ringen. Zoek ik op bv 3 packs zie ik groene ringen.

[RobertMe]

kromme schreef op dinsdag 17 oktober 2017 @ 16:58:
[...]


Zit er nog versschil in de kleur van de ring. Als ik op een individueel AP zoek zie ik plaatjes met blauwe ringen. Zoek ik op bv 3 packs zie ik groene ringen.

3 packs bestaan niet meer en zullen dus oude APs zijn. De AC modellen krijg je alleen in 1 en 5 packs. Houd er sowieso ook rekening mee dat de 5 pack nooit geleverd wordt met PoE injectors. Voor de 1 pack van de gewone APs is dat namelijk wel het geval ('gewone' omdat de IW modellen daarop een uitzondering zijn, volgensmij zijn deze ook altijd zonder injectors)

[kromme]

RobertMe schreef op dinsdag 17 oktober 2017 @ 17:02:
[...]

3 packs bestaan niet meer en zullen dus oude APs zijn. De AC modellen krijg je alleen in 1 en 5 packs. Houd er sowieso ook rekening mee dat de 5 pack nooit geleverd wordt met PoE injectors. Voor de 1 pack van de gewone APs is dat namelijk wel het geval ('gewone' omdat de IW modellen daarop een uitzondering zijn, volgensmij zijn deze ook altijd zonder injectors)

Beste is dus om 3 losse te bestellen, met de kans om de meest nieuwe te krijgen.
Er viel me net nog in dat ik een router nodig heb ipv switch, hebben deze ook gewoon POE om de LR te voeden?

RobertMe schreef op dinsdag 17 oktober 2017 @ 16:15:
[...]

Sinds september vorig jaar worden de Lites en LRs met zowel passive 24V als 802.3af ondersteuning geproduceerd (en sinds eind januari/februari ook geleverd in NL). Dus ja, dit kan gewoon.
De AC Pro daarentegen heeft dan weer altijd alleen 802.3af ondersteuning gehad en heeft nooit passive 24V ondersteund (wat dus weer geen probleem is omdat Ubiquiti passive 24V wil uitfaseren).

zijn deze ok om de ap's van voeding te voorzien?
Ubiquiti EdgeRouter PoE - 5-Port
Ubiquiti EdgeRouter X SFP

en waar zit het grote verschil in?alleen de glasvesel poort?

[ Voor 33% gewijzigd door kromme op 17-10-2017 20:55 ]

[EricDH]

kromme schreef op dinsdag 17 oktober 2017 @ 16:58:
[...]


Zit er nog versschil in de kleur van de ring. Als ik op een individueel AP zoek zie ik plaatjes met blauwe ringen. Zoek ik op bv 3 packs zie ik groene ringen.

Die met groene ringen zijn de oude niet AC versies.

[Svennos1]

Waarom hanteert Ubiquiti twee stable controller releases ? 5.5.x en 5.6.x. Mis ik iets? Ik draai nu op de 5.5 serie.

[ Voor 4% gewijzigd door Svennos1 op 17-10-2017 21:02 ]

[RobertMe]

Svennos1 schreef op dinsdag 17 oktober 2017 @ 20:56:
Waarom hanteert Ubiquiti 2 stable controller releases ? 5.5.x en 5.6.x? Mis ik iets? Ik draai nu op de 5.5 serie.

5.6 is nog niet stable? Maar een stable candidate, oftewel een RC/release candidate. Binnenkort zal deze naar alle waarschijnlijkheid dus wel stable worden.

Daarnaast hebben ze volgensmij sowieso altijd 2 stable branches, waarvan eentje long term support heeft. Wat dus weer handig is voor bedrijven die niet elke zoveel weken willen updaten voor 'nieuwe features' maar gewoon een stabiele versie willen waar ze niet teveel naar om hoeven te kijken. Deze LTS versie krijgt dat dus ook alleen bugfixes en deze zullen neem ik aan iets langer worden opgespaard.

[Svennos1]

RobertMe schreef op dinsdag 17 oktober 2017 @ 21:05:
[...]

5.6 is nog niet stable? Maar een stable candidate, oftewel een RC/release candidate. Binnenkort zal deze naar alle waarschijnlijkheid dus wel stable worden.

Ik zie dat ik dus niet goed lees, 5.6 is inderdaad een stable candidate Dankje!

[RobertMe]

kromme schreef op dinsdag 17 oktober 2017 @ 17:10:
[...]


Beste is dus om 3 losse te bestellen, met de kans om de meest nieuwe te krijgen.
Er viel me net nog in dat ik een router nodig heb ipv switch, hebben deze ook gewoon POE om de LR te voeden?


[...]


zijn deze ok om de ap's van voeding te voorzien?
Ubiquiti EdgeRouter PoE - 5-Port
Ubiquiti EdgeRouter X SFP

en waar zit het grote verschil in?alleen de glasvesel poort?

Wat wil je allemaal precies gaan doen? Want de UAPs kun je bv ook gewoon op een andere router aansluiten en deze hoeft niet perse van Ubiquiti te zijn.

Qua UAPs zou ik er, in het geval dat je voor meerdere gaat (elke verdieping 1?), voor de AC Lite gaan. Dit omdat deze het goedkoopst zijn en het extra bereik van de AC LR niks oplevert omdat je toch al zoveel APs plaatst. Eventueel zou je wel naar de AC Pro kunnen kijken, die als grootste voordeel heeft dat deze hogere snelheden aan kan (door 3x3 MIMO, waar de Lite maar 2x2 is). Maar op het moment zijn er nog bijna geen clients (laptops/tablets/telefoons) die ook die hogere snelheid aankunnen (enige welke ik weet zijn specifieke modellen van de MacBook, maar ook daar is het niet perse zo dat een MacBook van dit jaar ook 3x3 heeft).

Verder zou ik persoonlijk alles binnen de UniFi lijn houden, waarbij je uit komt op de UniFi Security Gateway als router, en bv de UniFi Switch 8 60W als switch. De reden dat je in dit geval een router en switch nodig hebt is omdat consumenten routers een 3 in 1 apparaat zijn. Ze zijn de router/gateway naar het internet, een switch, en een access point. En Ubiquiti maakt vrijwel geen van deze "3 in 1" apparaten. Binnen de EdgeRouter lijn zijn er volgensmij een aantal routers die wel een hardware switch hebben (in combinatie met meerdere poorten dan), maar dit is zeker niet bij alle zo, en een softwarematige switch is natuurlijk trager. De USG 3P & 4P Pro hebben in elk geval beiden geen hardware switch dus in dat geval moet je eigenlijk altijd een aparte switch gebruiken. De USW 8-60W is daarbij dan ook de goedkoopste variant (waarop je de 3 APs kunt aansluiten).
Daarnaast is het ook nog eens zo dat de twee EdgeRouters die jij noemt beiden wel PoE ondersteunen, maar alleen passive en geen 802.3af. Dat betekend dus dat je geen AC Pro erop kunt aansluiten (die alleen maar 802.3af doet). En in het geval van de AC Lite en AC LR maak je dan gebruik van de oude vorm van PoE. Waarbij passive PoE ook nog eens het grote nadeel heeft dat deze altijd "aan" staat. Dus op het moment dat je de kabel, om wat voor reden dan ook, op een ander apparaat aansluit, is de kans vrij groot dat de "ontvanger" stuk gaat omdat deze niet overweg kan met, noch beschermt is tegen, stroom.

[kromme]

RobertMe schreef op dinsdag 17 oktober 2017 @ 21:36:
[...]

Wat wil je allemaal precies gaan doen? Want de UAPs kun je bv ook gewoon op een andere router aansluiten en deze hoeft niet perse van Ubiquiti te zijn.

Qua UAPs zou ik er, in het geval dat je voor meerdere gaat (elke verdieping 1?), voor de AC Lite gaan. Dit omdat deze het goedkoopst zijn en het extra bereik van de AC LR niks oplevert omdat je toch al zoveel APs plaatst. Eventueel zou je wel naar de AC Pro kunnen kijken, die als grootste voordeel heeft dat deze hogere snelheden aan kan (door 3x3 MIMO, waar de Lite maar 2x2 is). Maar op het moment zijn er nog bijna geen clients (laptops/tablets/telefoons) die ook die hogere snelheid aankunnen (enige welke ik weet zijn specifieke modellen van de MacBook, maar ook daar is het niet perse zo dat een MacBook van dit jaar ook 3x3 heeft).

Verder zou ik persoonlijk alles binnen de UniFi lijn houden, waarbij je uit komt op de UniFi Security Gateway als router, en bv de UniFi Switch 8 60W als switch. De reden dat je in dit geval een router en switch nodig hebt is omdat consumenten routers een 3 in 1 apparaat zijn. Ze zijn de router/gateway naar het internet, een switch, en een access point. En Ubiquiti maakt vrijwel geen van deze "3 in 1" apparaten. Binnen de EdgeRouter lijn zijn er volgensmij een aantal routers die wel een hardware switch hebben (in combinatie met meerdere poorten dan), maar dit is zeker niet bij alle zo, en een softwarematige switch is natuurlijk trager. De USG 3P & 4P Pro hebben in elk geval beiden geen hardware switch dus in dat geval moet je eigenlijk altijd een aparte switch gebruiken. De USW 8-60W is daarbij dan ook de goedkoopste variant (waarop je de 3 APs kunt aansluiten).
Daarnaast is het ook nog eens zo dat de twee EdgeRouters die jij noemt beiden wel PoE ondersteunen, maar alleen passive en geen 802.3af. Dat betekend dus dat je geen AC Pro erop kunt aansluiten (die alleen maar 802.3af doet). En in het geval van de AC Lite en AC LR maak je dan gebruik van de oude vorm van PoE. Waarbij passive PoE ook nog eens het grote nadeel heeft dat deze altijd "aan" staat. Dus op het moment dat je de kabel, om wat voor reden dan ook, op een ander apparaat aansluit, is de kans vrij groot dat de "ontvanger" stuk gaat omdat deze niet overweg kan met, noch beschermt is tegen, stroom.

Wat hij wil is goede wifi. Omdat het pand een beetje vreemd in elkaar zit zat ik te denken aan die LR APs.(en die zijn maar 20per stuk duurder dan lite).

Ze hebben een 3tal mac books, 5 iPads, 1vaste PC en een voip telefoon. En een server wat denk ik niet meer gebruikt word.dit is ook een beetje het probleem...het"denk ik".
Er staat een modem van Ziggo, met een firewall/switch erachter.vanalkes op in geprikt en doorgelust naar 24 poorts HP switch....hier branden maar 3 poorten op. Waarvan 2 weer naar die andere switch. Oh en een voip kastje.

Wat ik nu eerst wil bereiken is goede wifi, door middel van de switch(of routers). Op die eerste switch te prikken. Daarna ga ik de rest ontmantelen. En dat moet dan op nieuwe apparatuur passen. Zoals ik heb kunnen zien zal 8 poorts switch voldoende zijn. Als UniFi Switch 8 60W voldoende is voor de 3 aps te voeden en de andere apparatuur op te zetten neem ik die

[pven]

Zandpad schreef op dinsdag 17 oktober 2017 @ 16:09:
[...]


Dat is de UAP Gen1: https://dl.ubnt.com/unifi....9.3.7537.171013.1042.bin

Het is gelukt. Dank!

[ThinClientQ]

Tweakers, ik heb hier 2 maal de 'oude' UniFi LR liggen.

Deze wordt -direct- strak oranje, geen geknipper, geen gewacht.
Ik heb al het e.e.a. gelezen op de forums, daar geven ze aan defect.
Reset, andere voeding en et cetera al 10-tal keer geprobeerd.

Ik weet dat er paar leveranciers actief zijn op dit forum, kan iemand dit symptoon - defect bevestigen?

[Jeroen_ae92]

ThinClientQ schreef op woensdag 18 oktober 2017 @ 19:54:
Tweakers, ik heb hier 2 maal de 'oude' UniFi LR liggen.

Deze wordt -direct- strak oranje, geen geknipper, geen gewacht.
Ik heb al het e.e.a. gelezen op de forums, daar geven ze aan defect.
Reset, andere voeding en et cetera al 10-tal keer geprobeerd.

Ik weet dat er paar leveranciers actief zijn op dit forum, kan iemand dit symptoon - defect bevestigen?

Niet adopted in een controller en in factory default state.
Zie ook de "ring" FAQ voor de uitleg per versie.

[ThinClientQ]

Jeroen_ae92 schreef op woensdag 18 oktober 2017 @ 20:03:
[...]


Niet adopted in een controller en in factory default state.
Zie ook de "ring" FAQ voor de uitleg per versie.

Nee, hij gaat -direct- op oranje. Niet adopted gaat die knippen et cetera.

[ppl]

Tweede plaatje uit die FAQ geeft aan "steady amber" en de volgende beschrijving:

Factory Defaults
AP is Awaiting Adoption

Precies dat wat @Jeroen_ae92 zegt.

Heb je al eens een controller aangeslingerd en daar verder gekeken?

pven schreef op dinsdag 17 oktober 2017 @ 15:22:
Ik ben kwijt welke AP ik nou precies heb.

Achterop het AP kijken naar de sticker, daar staat het modelnr op. Kun je daarna in het KRACK artikel van Ubiquiti in de tabel kijken of je een model hebt die überhaupt de nieuwe firmware nodig heeft.

[ Voor 45% gewijzigd door ppl op 19-10-2017 20:42 ]

[nils_vdg]

Ik heb een Unifi Switch US-8 60W PoE aangeschaft als vervanging van mijn WiFi router.
De switch is rechtstreeks aangelosten om mijn Caiway glasvezel modem, en van daaruit 1 rechtstreekse bekabelde verbinding naar mijn PC.

Na 10 keer alles opnieuw aangesloten te hebben vond ik eindelijk de switch in de Unifi controler (die draait via mijn window 10 PC).
Ik heb wel gewoon internet op mijn PC, dus de switch geeft ook het signaal van de modem door.

Echter lukt het niet om te updaten, of om de switch op te nemen in de Unifi controller (via adoption).
Ik heb geprobeerd automatisch te updaten via de Unifi controler (vanaf een Windows PC), en door zelf de gedownloade update te selecteren via de unifi contoler.

Na 10 minuten "updaten" laat hij weer de oude firmware zien.
De adaption lukt ook keer op keer niet.

Volgens mij komt dit omdat de switch geen IP adres krijgt (van mijn glasvezel modem??)
Het opgegeven IP adres volgens de Unifi controler is 192.168.1.20 (wat dus het standaard IP adres is). Ik kan de 192.168.1.20 ook niet pingen.

Reeds veelvoudig zowel het glasvezel modem als de switch herstart, van stroom gehaald, en gereset naar fabrieksinstellingen. Zonder resultaat. Waar moet ik het zoeken?

[ Voor 7% gewijzigd door nils_vdg op 19-10-2017 23:49 ]

[TPA]

heb mail ontvangen van kpn abuse, maar ik snaphem niet helemaal. zie niks raars op mijn ERL3...

iemand een idee? behalve virus scannen etc....

instelling toch fout?

dit is de tekst:

code:

Vanaf uw internetaansluiting kunnen kwaadaardige verzoeken naar andere internetgebruikers worden gestuurd. Een vloedgolf van deze verzoeken kan de internetaansluiting van een slachtoffer vrijwel geheel buiten werking stellen. Dit probleem wordt veroorzaakt door een verkeerde instelling in uw modem. Mogelijk heeft u de optie DMZ (default server) of UPnP ingeschakeld.

Wanneer u een KPN modem gebruikt kunt u de problemen oplossen door uw modem te resetten naar fabrieksinstellingen. Meer informatie hierover kunt u vinden op:

 https://forum.kpn.com/internet-9/reset-de-kpn-experia-box-modem-97446#M8199

 Wanneer u gebruik maakt van een eigen modem verzoeken wij u het KPN modem aan te sluiten. Wanneer u over onvoldoende technische kennis beschikt om het probleem op te lossen adviseren wij u hiervoor hulp van derden in te schakelen, bijvoorbeeld uw computerleverancier of IT-partner.

Wij vragen u de bovenstaande stappen binnen een dag uit te voeren en te reageren op dit bericht. Ook aanvullende vragen kunt u stellen in een antwoord op deze mail.

Veilige omgeving

Indien blijkt dat de stappen binnen deze termijn niet (of onvoldoende) zijn uitgevoerd bestaat de mogelijkheid dat wij uw internetaansluiting in onze veilige omgeving (quarantaine) plaatsen. U kunt dan tijdelijk beperkt gebruik maken van uw internetaansluiting. Een dergelijke maatregel nemen wij ook om uw vertrouwelijke gegevens en bestanden te beschermen.

[Quas]

nils_vdg schreef op donderdag 19 oktober 2017 @ 23:46:
....
De switch is rechtstreeks aangelosten om mijn Caiway glasvezel modem, en van daaruit 1 rechtstreekse bekabelde verbinding naar mijn PC.

Als ik het me goed kan herinneren is het modem van Caiway alleen een modem en heb je dus nog een router nodig.
Als je helemaal in de unify wereld zit heb je een USG nodig.

[nero355]

TPA schreef op donderdag 19 oktober 2017 @ 23:53:
heb mail ontvangen van kpn abuse, maar ik snaphem niet helemaal. zie niks raars op mijn ERL3...

iemand een idee? behalve virus scannen etc....

instelling toch fout?

dit is de tekst:

code:

Vanaf uw internetaansluiting kunnen kwaadaardige verzoeken naar andere internetgebruikers worden gestuurd. Een vloedgolf van deze verzoeken kan de internetaansluiting van een slachtoffer vrijwel geheel buiten werking stellen. Dit probleem wordt veroorzaakt door een verkeerde instelling in uw modem. Mogelijk heeft u de optie DMZ (default server) of UPnP ingeschakeld.

Wanneer u een KPN modem gebruikt kunt u de problemen oplossen door uw modem te resetten naar fabrieksinstellingen. Meer informatie hierover kunt u vinden op:

 https://forum.kpn.com/internet-9/reset-de-kpn-experia-box-modem-97446#M8199

 Wanneer u gebruik maakt van een eigen modem verzoeken wij u het KPN modem aan te sluiten. Wanneer u over onvoldoende technische kennis beschikt om het probleem op te lossen adviseren wij u hiervoor hulp van derden in te schakelen, bijvoorbeeld uw computerleverancier of IT-partner.

Wij vragen u de bovenstaande stappen binnen een dag uit te voeren en te reageren op dit bericht. Ook aanvullende vragen kunt u stellen in een antwoord op deze mail.

Veilige omgeving

Indien blijkt dat de stappen binnen deze termijn niet (of onvoldoende) zijn uitgevoerd bestaat de mogelijkheid dat wij uw internetaansluiting in onze veilige omgeving (quarantaine) plaatsen. U kunt dan tijdelijk beperkt gebruik maken van uw internetaansluiting. Een dergelijke maatregel nemen wij ook om uw vertrouwelijke gegevens en bestanden te beschermen.

Duidelijk toch : "Mogelijk heeft u de optie DMZ (default server) of UPnP ingeschakeld."
Gebruik je die

En weet je ZEKER dat het een legitieme mail is van KPN zelf en geen SPAM/SCAM/enz. ?!

[chickpoint]

TPA schreef op donderdag 19 oktober 2017 @ 23:53:
heb mail ontvangen van kpn abuse, maar ik snaphem niet helemaal. zie niks raars op mijn ERL3...

iemand een idee? behalve virus scannen etc....

instelling toch fout?

dit is de tekst:

code:

Vanaf uw internetaansluiting kunnen kwaadaardige verzoeken naar andere internetgebruikers worden gestuurd. Een vloedgolf van deze verzoeken kan de internetaansluiting van een slachtoffer vrijwel geheel buiten werking stellen. Dit probleem wordt veroorzaakt door een verkeerde instelling in uw modem. Mogelijk heeft u de optie DMZ (default server) of UPnP ingeschakeld.

Wanneer u een KPN modem gebruikt kunt u de problemen oplossen door uw modem te resetten naar fabrieksinstellingen. Meer informatie hierover kunt u vinden op:

 https://forum.kpn.com/internet-9/reset-de-kpn-experia-box-modem-97446#M8199

 Wanneer u gebruik maakt van een eigen modem verzoeken wij u het KPN modem aan te sluiten. Wanneer u over onvoldoende technische kennis beschikt om het probleem op te lossen adviseren wij u hiervoor hulp van derden in te schakelen, bijvoorbeeld uw computerleverancier of IT-partner.

Wij vragen u de bovenstaande stappen binnen een dag uit te voeren en te reageren op dit bericht. Ook aanvullende vragen kunt u stellen in een antwoord op deze mail.

Veilige omgeving

Indien blijkt dat de stappen binnen deze termijn niet (of onvoldoende) zijn uitgevoerd bestaat de mogelijkheid dat wij uw internetaansluiting in onze veilige omgeving (quarantaine) plaatsen. U kunt dan tijdelijk beperkt gebruik maken van uw internetaansluiting. Een dergelijke maatregel nemen wij ook om uw vertrouwelijke gegevens en bestanden te beschermen.

Het beste is om KPN even terug te mailen met de vraag wat de exact opmerken. De abuse afdeling is best schappeling in het meehelpen van het probleem oplossen en ze reageren vrij vlotjes (meestal dezelfde dag nog wel antwoord).

Ik heb het toen een keer gehad met WannaCry, uit intresse het killswitch domein bezocht en *plop* Quarantaine.

[xbeam]

TPA schreef op donderdag 19 oktober 2017 @ 23:53:
heb mail ontvangen van kpn abuse, maar ik snaphem niet helemaal. zie niks raars op mijn ERL3...

iemand een idee? behalve virus scannen etc....

instelling toch fout?

dit is de tekst:

code:

Vanaf uw internetaansluiting kunnen kwaadaardige verzoeken naar andere internetgebruikers worden gestuurd. Een vloedgolf van deze verzoeken kan de internetaansluiting van een slachtoffer vrijwel geheel buiten werking stellen. Dit probleem wordt veroorzaakt door een verkeerde instelling in uw modem. Mogelijk heeft u de optie DMZ (default server) of UPnP ingeschakeld.

Wanneer u een KPN modem gebruikt kunt u de problemen oplossen door uw modem te resetten naar fabrieksinstellingen. Meer informatie hierover kunt u vinden op:

 https://forum.kpn.com/internet-9/reset-de-kpn-experia-box-modem-97446#M8199

 Wanneer u gebruik maakt van een eigen modem verzoeken wij u het KPN modem aan te sluiten. Wanneer u over onvoldoende technische kennis beschikt om het probleem op te lossen adviseren wij u hiervoor hulp van derden in te schakelen, bijvoorbeeld uw computerleverancier of IT-partner.

Wij vragen u de bovenstaande stappen binnen een dag uit te voeren en te reageren op dit bericht. Ook aanvullende vragen kunt u stellen in een antwoord op deze mail.

Veilige omgeving

Indien blijkt dat de stappen binnen deze termijn niet (of onvoldoende) zijn uitgevoerd bestaat de mogelijkheid dat wij uw internetaansluiting in onze veilige omgeving (quarantaine) plaatsen. U kunt dan tijdelijk beperkt gebruik maken van uw internetaansluiting. Een dergelijke maatregel nemen wij ook om uw vertrouwelijke gegevens en bestanden te beschermen.

Ik kreeg vorrige weekend ongeveer de zelfde melding van kpn alleen dan zonder waarschuwing in qarantaine. Dit gebeurde Ongeveer een dag Na het update van van mij ELR (hotfix4)

Na het terug plaatsen EB en het scannen van het alle apparaten is er niets gevonden.

Volgens kpn had ik den pc met trickbot (Windows maleware ) draaien maar ik heb niet eens Windows computers. Dus dat is onmogelijk nu las ik wel dat Command en control vnc van trickbot zich op routers nestelt.
CC is een tussen hub voor het aansturen van de trickbot clients via de CC kan de aanvaller computers overnemen en via vnc bedienen.

Nu wil ik niet direct wijzen maar bij ons reist het vermoeden dat hotfix4 besmet is met een trickbot CC. Je bent niet de eerste ERL gebruiken die in eens het abuse team op zijn dak krijgt.

[ Voor 6% gewijzigd door xbeam op 20-10-2017 09:17 ]

[xbeam]

chickpoint schreef op vrijdag 20 oktober 2017 @ 08:57:
[...]


Het beste is om KPN even terug te mailen met de vraag wat de exact opmerken. De abuse afdeling is best schappeling in het meehelpen van het probleem oplossen en ze reageren vrij vlotjes (meestal dezelfde dag nog wel antwoord).

Ik heb het toen een keer gehad met WannaCry, uit intresse het killswitch domein bezocht en *plop* Quarantaine.

Zeker. alleen als ze in de eerste mail gewoon alle info geven die ze hebben dan werkt het oplossen vaak iets makkelijker.

Nu komen ze met suggestie wat je moet zonder het echte probleem melden. Waardoor het lastig zoeken is. Het kosten mij echt 20 mail om dat eindelijke boven water te krijgen wat.

In eerste instantie melden ze een suggestie wat je moet doen zoals scan u computer en stuur de log files als dat dan doet op een Mac schiet het op als je dan alleen terug krijgt nee je moet Windows computer doen (maar meneer abuse die heb ik niet ) duurde zeker 15 mail voor dat ze dat begrepen ;-) o

En toen was het Ow das raar want het virus is een Windows virus ;-) en bij na vragen of zede logs van het verkeer hebben blijft het stil en hoeveel vertraging er zit tussen het verwerken van door hun ontgaven een melding en afsluiten blijft het stil de enige optie is dat mischien vorrige maand iemand met een besmette Windows pc op bezoek is geweest. Maar als er erzoveel vertraging in zit, is het ook niet nodig om af te sluiten. Dus dat lijkt mij niet. Daarom mijn vermoeden/ angste dat er mischien iets de nieuwe ERL firmware zit.

Maar officieel is er nooit een oorzaak aangewezen/ gevonden door het abuse team
Een alleen een vermoede uitgesproken op basis van een melding van een partner. Ze hebben zelf niets gezien of gevonden.

[ Voor 30% gewijzigd door xbeam op 20-10-2017 09:56 ]

[TPA]

xbeam schreef op vrijdag 20 oktober 2017 @ 09:27:
[...]


Zeker. alleen als ze in de eerste mail gewoon alle info geven die ze hebben dan werkt het oplossen vaak iets makkelijker.

Nu komen ze met suggestie wat je moet zonder het echte probleem melden. Waardoor het lastig zoeken is. Het kosten mij echt 20 mail om dat eindelijke boven water te krijgen wat.

In eerste instantie melden ze een suggestie wat je moet doen zoals scan u computer en stuur de log files als dat dan doet op een Mac schiet het op als je dan alleen terug krijgt nee je moet Windows computer doen (maar meneer abuse die heb ik niet ) duurde zeker 15 mail voor dat ze dat begrepen ;-) o

En toen was het Ow das raar want het virus is een Windows virus ;-) en bij na vragen of zede logs van het verkeer hebben blijft het stil en hoeveel vertraging er zit tussen het verwerken van door hun ontgaven een melding en afsluiten blijft het stil de enige optie is dat mischien vorrige maand iemand met een besmette Windows pc op bezoek is geweest. Maar als er erzoveel vertraging in zit, is het ook niet nodig om af te sluiten. Dus dat lijkt mij niet. Daarom mijn vermoeden/ angste dat er mischien iets de nieuwe ERL firmware zit.

Maar officieel is er nooit een oorzaak aangewezen/ gevonden door het abuse team
Een alleen een vermoede uitgesproken op basis van een melding van een partner. Ze hebben zelf niets gezien of gevonden.

Ik zal ze wel ff mailen. ik zit op 1.9.7 hotfix 1 (sinds augustus) en niet op hotfix 4
Er is niks gewijzigd bij mijn weten en virus/malewar runs lopen continue...
ben benieuwd wat ze gaan zeggen.

[ Voor 2% gewijzigd door TPA op 20-10-2017 11:28 . Reden: versie erl geupdate ]

[Svennos1]

nils_vdg schreef op donderdag 19 oktober 2017 @ 23:46:
Ik heb een Unifi Switch US-8 60W PoE aangeschaft als vervanging van mijn WiFi router.
De switch is rechtstreeks aangelosten om mijn Caiway glasvezel modem, en van daaruit 1 rechtstreekse bekabelde verbinding naar mijn PC.

--- KNIP---


Volgens mij komt dit omdat de switch geen IP adres krijgt (van mijn glasvezel modem??)
Het opgegeven IP adres volgens de Unifi controler is 192.168.1.20 (wat dus het standaard IP adres is). Ik kan de 192.168.1.20 ook niet pingen.

Reeds veelvoudig zowel het glasvezel modem als de switch herstart, van stroom gehaald, en gereset naar fabrieksinstellingen. Zonder resultaat. Waar moet ik het zoeken?

De Unifi Switch is geen router, je Caiway glasmodem ook niet. Er draait dus geen DHCP zodaar je geen IP adres krijgt. Ik zou een USG kopen, gebruik ik exact zo in deze scenario.

[chickpoint]

xbeam schreef op vrijdag 20 oktober 2017 @ 09:27:
[...]


Zeker. alleen als ze in de eerste mail gewoon alle info geven die ze hebben dan werkt het oplossen vaak iets makkelijker.

Ben ik het helemaal mee eens, maar helaas zitten er niet alleen Tweakers bij KPN. Ik denk dat voor de gemiddelde gebruiker (met een experiabox) dit voldoende info is.

In ons scenario is het inderdaad even anders dus is het belangrijk dat je duidelijk bent in de communicatie. Plus het voordeel van je eigen router is dat je een hoop onderzoek zelf kan doen.

TPA schreef op vrijdag 20 oktober 2017 @ 11:10:
[...]


Ik zal ze wel ff mailen. ik zit op 1.9.7 hotfix 1 (sinds augustus) en niet op hotfix 4
Er is niks gewijzigd bij mijn weten en virus/malewar runs lopen continue...
ben benieuwd wat ze gaan zeggen.

Houd ons op de hoogte, ben persoonlijk wel benieuwd wat het uiteindelijk was.

[ Voor 24% gewijzigd door chickpoint op 20-10-2017 11:59 ]

[TPA]

chickpoint schreef op vrijdag 20 oktober 2017 @ 11:58:
[...]


Ben ik het helemaal mee eens, maar helaas zitten er niet alleen Tweakers bij KPN. Ik denk dat voor de gemiddelde gebruiker (met een experiabox) dit voldoende info is.

In ons scenario is het inderdaad even anders dus is het belangrijk dat je duidelijk bent in de communicatie. Plus het voordeel van je eigen router is dat je een hoop onderzoek zelf kan doen.


[...]


Houd ons op de hoogte, ben persoonlijk wel benieuwd wat het uiteindelijk was.

Ik heb het Abuse team gevraagd wat het probleem nu werkelijk is... Ik heb wat poorten dicht gedaan op mijn router, welke naar naar mijn Synology openstonden, maar dat waren er 3 of 4 geloof ik.
Verder heb ik NIKS aangepast.

En de reactie van het Abuse team... bij een hertest blijkt dat de problemen opgelost zijn... Kortom ik weet nog niks, want ik zag überhaupt geen rare en hoge trafic op mijn router naar buiten.... maar goed issue opgelost.... blijkbaar....

[xbeam]

Edge Router Kpn Config.

ik heb vanmiddag mijn edge router weer opnieuw geconfigureerd. Met versie 1.10 en UMobile. Maar ik heb een beetje zit kijken welke instellingen er uit kunnen. Tot mijn grote verbazing werkt KPN TV ook zonder de static route naar de next-hop

Alleen de NAT instellingen werkt prima. Is er iemand die duidelijk heeft waarom de static route 213.75.112.0/21 next-hop er eigenlijk in moet? Of hebben we dit gewoon blind over genomen van netwerkje.com ??


EDIT: sorry het blijkt dat de pauze en opneem functies niet werken. Denk dat tv nog iets deed omdat de dhcp in de stb aanwezig was.

Dus mijn fout

[ Voor 194% gewijzigd door xbeam op 21-10-2017 07:51 . Reden: Tv werkte toch niet ]

[nero355]

Gisteren op mijn Raspberry Pi die Pi-Hole draait de laatste 5.5.x controller erop gezet en erachter gekomen dat je tegenwoordig vanuit de controller een adopt/set-inform kan sturen naar de AP's : NICE!
_{TIP van Flip : Disable OpenJDK en zet gewoon de Oracle 8 JDK erop, werkt veel beter, zelfs op een Pi3B !!}


De aanleiding van dit alles : De nieuwste firmware op mijn oude UAP's zetten, vanwege de onlangs uitgebrachte firmware security updates voor de WPA hacks/cracks die zijn verschenen een tijdje geleden.


Maar... ik ben zo'n gekkie die best wel aan zijn Zero Handoff configuratie gehecht is geraakt en ik vroeg me dus af of ik die überhaupt nog kan configureren/behouden als ik straks de firmware update

Deze is namelijk op een gegeven moment eruit gehaald, maar ik dacht weer dat het alleen voor de nieuwere modellen was gedaan die AC support hebben ??

TL;DR : Heeft de laatste 5.5.x controller samen met de laatste firmware update voor de originele 2.4GHz UAP's nog steeds een optie om Zero Handoff te configureren ?!

/EDIT : Dit kan dus nog steeds!

ik had wel één UAP die raar deed en niet de weg naar het internet wist, maar na handmatig een paar keer de default route te hebben verwijderd en weer te hebben toegevoegd werkte alles opeens weer... raar maar waar!

Kortom :
- Firmware updaten.
- Hierna weer voor de zekerheid ZHO opgezet en alles werkt weer zoals vroeger!

[ Voor 14% gewijzigd door nero355 op 23-10-2017 00:38 ]

[Gkoow]

Hey guys,

Ik ben nog nieuw met Ubiquiti en vroeg me af wat ik zou moeten halen om een stabiel netwerk te krijgen. ( vrouwtje klaagt altijd over mij you tube loopt steeds vast). Na talloze "kansloze" consumenten routers etc te hebben aangeschaft wil ik dus overstappen naar Ubiquiti.

Ik heb het volgende in mijn hoofd.

1 Ubiquiti Router
1 Ubiquiti switch 8-150w
1 Ubiquiti AC Pro ( later uitbreiden naar 2)

Mijn vraag is echter ik heb een nieuwbouw huis volledig van beton. En ik wil de PRO aansluiten aan het plafond op de 1e verdieping. Zal ik dan nog goed bereik hebben op de 1e verdieping en wellicht de zolder? Is het verlies drastisch? Of moet ik direct de 2e aanschaffen en die op het plafond plaatsen van de overloop?

Ben vooral geintereseerd in de zero handoff. ik wil ook graag gewoon een ssid hebben zowel op 2.4 als 5gz of is het nog steeds raadzaam om 2 ssids hiervoor te hebben?

Ik hoop graag meer van jullie te horen. Of moet ik een andere set halen?

[ Voor 9% gewijzigd door Gkoow op 21-10-2017 00:08 ]

[BluRay]

Wat zijn de symptomen van een defect USB drive in je EdgeRouter? Ik heb een EdgeRouter Lite 3 (vierkante model). Deze is de laatste tijd stront traag. Met traagheid bedoel ik: config opvragen en committen van nieuwe config duurt erg lang.

Gkoow schreef op zaterdag 21 oktober 2017 @ 00:06:
Hey guys,

Ik ben nog nieuw met Ubiquiti en vroeg me af wat ik zou moeten halen om een stabiel netwerk te krijgen. ( vrouwtje klaagt altijd over mij you tube loopt steeds vast). Na talloze "kansloze" consumenten routers etc te hebben aangeschaft wil ik dus overstappen naar Ubiquiti.

Ik heb het volgende in mijn hoofd.

1 Ubiquiti Router
1 Ubiquiti switch 8-150w
1 Ubiquiti AC Pro ( later uitbreiden naar 2)

Mijn vraag is echter ik heb een nieuwbouw huis volledig van beton. En ik wil de PRO aansluiten aan het plafond op de 1e verdieping. Zal ik dan nog goed bereik hebben op de 1e verdieping en wellicht de zolder? Is het verlies drastisch? Of moet ik direct de 2e aanschaffen en die op het plafond plaatsen van de overloop?

Ben vooral geintereseerd in de zero handoff. ik wil ook graag gewoon een ssid hebben zowel op 2.4 als 5gz of is het nog steeds raadzaam om 2 ssids hiervoor te hebben?

Ik hoop graag meer van jullie te horen. Of moet ik een andere set halen?

1. Je geeft aan vaak problemen te hebben met YouTube. Grote kans dat als je overstapt op Ubiquiti het probleem niet ineens magisch is verdwenen. Ja, Ubiquiti scoort beter dan een huistuin routertje, maar wellicht is het verstandig om eerst uit te zoeken waar het probleem zit.
2. Over bereik kan ik niet veel zeggen
3. Zero handoff werkt niet op de UAP-G2 (Generatie 2). Zero Handoff is sowieso een functie waarbij je je moet afvragen waarom je het nodig hebt. De meeste clients zijn prima is staat om zelf te bepalen welke access point het beste is om te gebruiken.

[ Voor 6% gewijzigd door BluRay op 21-10-2017 00:41 ]

[xbeam]

Zijn er meer mensen die problemen hebben met IPv6 op de edgerouter.

Sommige sites werken niet goed. Zoals de Apple app store ik kan de store wel bezoeken maar geen apps downloaden en update.

Terwijl alles goed lijkt ingesteld.
Ik heb begrepen dat icmp niet groen moet zijn vanwege de firewall en host name moet ook niet mee gezonden worden. Waardoor je niet op de maximale score uit moet komen.
Of ik heb ik dat verkeerd begrepen ?

[ Voor 50% gewijzigd door xbeam op 21-10-2017 11:57 ]

[downtime]

ICMP moet groen zijn. ICMP is voor IPv6 belangrijker dan voor IPv4. Dat mag je daarom ook niet helemaal dichtzetten. Bij IPv4 leverde dat minder problemen op.

Deze specifieke test, ipv6-test.com, kende ik trouwens nog niet. Test-ipv6.com gebruik ik meestal en daar heb ik sinds jaar en dag een 10/10 score.

[Caayn]

Zojuist twee AC Lites aangesloten met een cloud key ter vervangen van een frankenstein wifi set-up. Bestelt bij ubiquiti center en beide zijn netjes de nieuwe 802.3af varianten.

Ben tot nu toe zeer te spreken over de UI via de cloud key. Wifi werkt goed echter laat het bereik nog wat te wensen over. Ga waarschijnlijk nog even kijken of ik er eentje kan omruilen voor een LR variant.

[DenBeke]

downtime schreef op zaterdag 21 oktober 2017 @ 10:18:
ICMP moet groen zijn. ICMP is voor IPv6 belangrijker dan voor IPv4. Dat mag je daarom ook niet helemaal dichtzetten. Bij IPv4 leverde dat minder problemen op.

Waarom juist?
ICMP staat hier ook dicht en eigenlijk heb ik nog nooit problemen gehad met IPv6...
(Bij de Telenet router stond ICMP ook dicht)

[downtime]

DenBeke schreef op zaterdag 21 oktober 2017 @ 14:17:
[...]


Waarom juist?
ICMP staat hier ook dicht en eigenlijk heb ik nog nooit problemen gehad met IPv6...
(Bij de Telenet router stond ICMP ook dicht)

Aangezien ik zelf geen netwerkspecialist ben refereer ik je maar naar mensen die het wel zijn:
https://blogs.cisco.com/security/icmp-and-security-in-ipv6

[nero355]

Caayn schreef op zaterdag 21 oktober 2017 @ 13:15:
Ben tot nu toe zeer te spreken over de UI via de cloud key. Wifi werkt goed echter laat het bereik nog wat te wensen over. Ga waarschijnlijk nog even kijken of ik er eentje kan omruilen voor een LR variant.

Je kan beter die LR gewoon bestellen en dan kijken of er echt verschil is en als het niet zo is de LR gewoon als uitbreiding gebruiken.

Ik denk namelijk dat de kans groot is dat alleen een extra AP de juiste oplossing is

[gday]

Ik gebruik nu sinds een jaar of twee een EdgeRouter Lite op XS4All in alle tevredenheid. Omdat ik nu 3x een UniFi AP AC PRO heb geïnstalleerd ter vervanging van m’n oude AP’s, lijkt het me fijn om over te stappen op een USG-Pro 4 en ook een UniFi PoE-switch zodat ik alles in één interface heb.

Heeft iemand ervaring met een USG icm XS4All? Ik durf namelijk nog niet te zeggen of alles goed aan de praat te krijgen is, zoals IPTV bijvoorbeeld. Heb je in de CLI van USG-Pro 4 dezelfde mogelijkheden als op de EdgeRouter?

[RobertMe]

gday schreef op zaterdag 21 oktober 2017 @ 21:14:
Heb je in de CLI van USG-Pro 4 dezelfde mogelijkheden als op de EdgeRouter?

Ja en nee. De mogelijkheden zijn AFAIK grotendeels gelijk (meestal loopt EdgeOS op de USG iets achter ten opzichte van de EdgeRouter serie). Alleen zijn CLI aanpassingen niet persistent. Dus na een reprovision vanuit de UniFi Controller zijn alle handmatige aanpassingen weer weg. Hiervoor moet je dan ook een config.gateway.json bestand aanmaken. Die als ik het mij goed herinner ook door de USG (configure commando) gegenereerd kan worden nadat je eerst handmatig de changes hebt gedaan. Enige nadeel is dat dit bestand vervolgens alle instellingen bevat en deze IIRC niet meer vanuit de Controller geconfigureerd kunnen worden (worden weer overschreven door het bestand). Wat dus betekend dat je zelf het bestand moet ontleden en de juiste dingen eruit moet halen.

Echter durf ik sowieso niet te zeggen in hoeverre echte customization nodig is, of dat alles vanuit de Controller zelf kan. Zelf zit ik namelijk met Ziggo.

[UltraSub]

RobertMe schreef op zaterdag 21 oktober 2017 @ 21:37:
[...]

Ja en nee. De mogelijkheden zijn AFAIK grotendeels gelijk (meestal loopt EdgeOS op de USG iets achter ten opzichte van de EdgeRouter serie). Alleen zijn CLI aanpassingen niet persistent. Dus na een reprovision vanuit de UniFi Controller zijn alle handmatige aanpassingen weer weg. Hiervoor moet je dan ook een config.gateway.json bestand aanmaken. Die als ik het mij goed herinner ook door de USG (configure commando) gegenereerd kan worden nadat je eerst handmatig de changes hebt gedaan. Enige nadeel is dat dit bestand vervolgens alle instellingen bevat en deze IIRC niet meer vanuit de Controller geconfigureerd kunnen worden (worden weer overschreven door het bestand). Wat dus betekend dat je zelf het bestand moet ontleden en de juiste dingen eruit moet halen.

Echter durf ik sowieso niet te zeggen in hoeverre echte customization nodig is, of dat alles vanuit de Controller zelf kan. Zelf zit ik namelijk met Ziggo.

Deze methodiek hanteer ik dus ook. Ja, het kost even wat werk om de diff te maken, maar dat mechanisme is awesome, nu staat die diff natuurlijk in GitLab. Enige waar ik nog steeds van baal is dat er nog geen api endpoint is voor een provision, anders was het mooi te pipelinen

[Packetloss]

Ik ben benieuwd of het volgende kan / gaat werken. Een unifi ap AC pro voorzien van openvpn in cliënt mode, die verbinden met een openvpn server met redirect gateway, zodat alle verkeer van de cliënts door de tunnel heen gejast wordt?

[RobertMe]

Packetloss schreef op zaterdag 21 oktober 2017 @ 22:04:
Ik ben benieuwd of het volgende kan / gaat werken. Een unifi ap AC pro voorzien van openvpn in cliënt mode, die verbinden met een openvpn server met redirect gateway, zodat alle verkeer van de cliënts door de tunnel heen gejast wordt?

Lijkt mij dat niet kan. Ten eerste al omdat OpenVPN er niet op staat en het v.z.i.w. niet mogelijk (of in ieder geval makkelijk) is om custom software erop te zetten. Daarnaast zul je ook nog tegen voldoende andere problemen aanlopen. Dus ik zou er niet vanuit gaan dat het kan.

Wat je wel kunt doen is een setup waarbij je de wifi clients in een apart netwerk (VLAN) plaatst en dat netwerk over VPN laat gaan. Zo heb ik het hier draaien. OpenVPN op thuisserver en die als default gateway voor een apart VLAN.

[xbeam]

downtime schreef op zaterdag 21 oktober 2017 @ 10:18:
ICMP moet groen zijn. ICMP is voor IPv6 belangrijker dan voor IPv4. Dat mag je daarom ook niet helemaal dichtzetten. Bij IPv4 leverde dat minder problemen op.

Deze specifieke test, ipv6-test.com, kende ik trouwens nog niet. Test-ipv6.com gebruik ik meestal en daar heb ik sinds jaar en dag een 10/10 score.

Bij jouw test site score ik ook 10/10
Daar krijg ik dan weer geen melding over icmp en de host naam. zie gelijk het probleem verschillende sites geven verschillende test resultaten.

[gday]

RobertMe schreef op zaterdag 21 oktober 2017 @ 21:37:
[...]

Ja en nee. De mogelijkheden zijn AFAIK grotendeels gelijk (meestal loopt EdgeOS op de USG iets achter ten opzichte van de EdgeRouter serie). Alleen zijn CLI aanpassingen niet persistent. Dus na een reprovision vanuit de UniFi Controller zijn alle handmatige aanpassingen weer weg. Hiervoor moet je dan ook een config.gateway.json bestand aanmaken. Die als ik het mij goed herinner ook door de USG (configure commando) gegenereerd kan worden nadat je eerst handmatig de changes hebt gedaan. Enige nadeel is dat dit bestand vervolgens alle instellingen bevat en deze IIRC niet meer vanuit de Controller geconfigureerd kunnen worden (worden weer overschreven door het bestand). Wat dus betekend dat je zelf het bestand moet ontleden en de juiste dingen eruit moet halen.

Echter durf ik sowieso niet te zeggen in hoeverre echte customization nodig is, of dat alles vanuit de Controller zelf kan. Zelf zit ik namelijk met Ziggo.

Aangezien ik op de EdgeRouter ook een hoop met de CLI heb moeten customizen ga ik er vanuit dat dat met de USG ook moet.

Je kunt dus op de controller een config.gateway.json zetten die gebruikt wordt om de USG te provisionen? Maar vervolgens kun je dus de USG niet meer handig configureren vanuit de controller, tenzij je in die file alléén je customizations bewaart? Of begrijp ik je dan verkeerd?

Edit: ik zie hier meer info: https://help.ubnt.com/hc/...-with-config-gateway-json

Dus, je moet niet alleen je customizations daar bewaren, maar de gehele sectie waar je een customization in hebt gedaan?

En anders moet ik gewoon alles via de CLI doen, maar dan kan ik eigenlijk net zo goed m'n EdgeRouter houden lijkt me ...

[ Voor 13% gewijzigd door gday op 22-10-2017 04:11 ]

[Packetloss]

RobertMe schreef op zondag 22 oktober 2017 @ 00:17:
[...]

Lijkt mij dat niet kan. Ten eerste al omdat OpenVPN er niet op staat en het v.z.i.w. niet mogelijk (of in ieder geval makkelijk) is om custom software erop te zetten. Daarnaast zul je ook nog tegen voldoende andere problemen aanlopen. Dus ik zou er niet vanuit gaan dat het kan.

Wat je wel kunt doen is een setup waarbij je de wifi clients in een apart netwerk (VLAN) plaatst en dat netwerk over VPN laat gaan. Zo heb ik het hier draaien. OpenVPN op thuisserver en die als default gateway voor een apart VLAN.

Dank je. Ik vermoedde dat idd ook; ook qua performance zou het tegen kunnen vallen.
Bij gebrek aan vlan’s of wanneer ik niet (fysiek of remote) bij de router kan, zat ik ook nog aan een pfsense doosje te denken, die dan openvpn cliënt speelt, zoals deze:

https://store.netgate.com/SG-1000.aspx

en heeft iemand ervaring met deze setup: een pricewatch: Ubiquiti UniFi USG Enterprise Gateway Router en daar op de LAN en op de VOIP poort (die inmiddels als LAN gebruikt kan worden lees ik) een pricewatch: Ubiquiti UniFi AP AC PRO (1-Pack) in hangen, zodat alle clients die draadloos verbinden naar buiten gaan via het VPN?

[ Voor 22% gewijzigd door Packetloss op 22-10-2017 16:00 . Reden: tweede setup optie ]

[vonkkie]

ik mis een poe switch of ga je de injectors gebruiken
de lan en lan 2 poort kunnen alleen bij de in een apart vlan gebruikt worden als dat niet uitmaakt zou het moeten kunnen

[RobertMe]

Packetloss schreef op zondag 22 oktober 2017 @ 08:45:
en heeft iemand ervaring met deze setup: een pricewatch: Ubiquiti UniFi USG Enterprise Gateway Router en daar op de LAN en op de VOIP poort (die inmiddels als LAN gebruikt kan worden lees ik) een pricewatch: Ubiquiti UniFi AP AC PRO (1-Pack) in hangen, zodat alle clients die draadloos verbinden naar buiten gaan via het VPN?

Zoals @vonkkie al aangeeft. Je zult hoogstwaarschijnlijk ook een switch nodig hebben. De twee LAN poorten kun je namelijk niet gebruiken binnen 1 netwerk. De USG (ook de Pro niet) bevat namelijk geen hardwarematige switch (zoals standaard consumentenrouters wel hebben). Dit betekend dat als er al verkeer tussen beide poorten kan zijn, dit software gebaseerd is. En dat wil je dus juist niet i.v.m. performance.

Overigens is het wel mogelijk om OpenVPN op de USG te draaien. Echter moet dit dan wel geconfigueerd worden via de CLI en kan dit (nog) niet via de Controller. Op het community forum zijn hier een aantal threads over te vinden. Ik neem aan dat deze net zoals OpenVPN "gewoon" op een PC dan afhankelijk van je VPN provider meteen je default route aanpast en dus alle verkeer over de VPN gaat. Echter kun je wel vanuit de Controller zelf de routering inregelen. Als je je WLAN dan op een apart VLAN plaatst kun je deze via de static routes dus ook over de VPN laten gaan

Overigens zou je in dit geval ook je gewone LAN met de PCs bv op poort 1/LAN kunnen zetten, en het netwerk/VLAN waarop je de APs aansluit op de VOIP poort. Dan heb je wellicht geen VLANs nodig. Dat er geen hardware switch aanwezig is maakt dan toch niet uit. Immers moet het verkeer tussen beide VLANs (je normale LAN en wifi VLAN) toch al gerouteerd worden, wat alleen de USG kan doen.

Ik heb me hier zelf niet in verdiept en dit is op basis van wat ik nu snel bij elkaar Google. De benodigdheden lijken in ieder geval aanwezig te zijn, maar de exacte uitwerking met wat je waar en hoe met instellen kan ik dus niet geven

[Caayn]

nero355 schreef op zaterdag 21 oktober 2017 @ 19:40:
[...]

Je kan beter die LR gewoon bestellen en dan kijken of er echt verschil is en als het niet zo is de LR gewoon als uitbreiding gebruiken.

Ik denk namelijk dat de kans groot is dat alleen een extra AP de juiste oplossing is

Het gaat om de tuin Het is voor mij niet echt een optie om in de tuin een AP te hangen dankzij het ontbreken van een loze leiding naar de tuin en vriendinlief . Vandaar dat ik twijfel om de Lite die nu deels (beneden) binnenhuis en de tuin dekt te vervangen met een LR.

[ Voor 3% gewijzigd door Caayn op 22-10-2017 17:39 ]

[Shaggie_NB]

Caayn schreef op zondag 22 oktober 2017 @ 17:37:
[...]
Het gaat om de tuin Het is voor mij niet echt een optie om in de tuin een AP te hangen dankzij het ontbreken van een loze leiding naar de tuin en vriendinlief . Vandaar dat ik twijfel om de Lite die nu deels (beneden) binnenhuis en de tuin dekt te vervangen met een LR.

Als je nu geen goede dekking in de tuin hebt, ga je dat met een LR echt niet redden.

[RobertMe]

Caayn schreef op zondag 22 oktober 2017 @ 17:37:
[...]
Het gaat om de tuin Het is voor mij niet echt een optie om in de tuin een AP te hangen dankzij het ontbreken van een loze leiding naar de tuin en vriendinlief . Vandaar dat ik twijfel om de Lite die nu deels (beneden) binnenhuis en de tuin dekt te vervangen met een LR.

Waarschijnlijk heb je dan ook een dikke (geïsoleerde) buitenmuur, met een LR ga je het dan waarschijnlijk niet redden. Wat je zou kunnen proberen is met een UAP Mesh buiten. Deze is sowieso geschikt voor buitengebruik, maar, net als eigenlijk alle andere UAPs, kun je deze draadloos via de "wireless uplink" feature "aansluiten". Als je direct tegen de muur (aan de buitenmuur) nog bereik hebt kun je de Mesh dus inzetten als "repeater". Voor stroom moet je uiteraard wel UTP aansluiten (met dan waarschijnlijk de injector, aangezien je dus geen kabel naar binnen hebt)

[ThinkPad]

Whizzer schreef op vrijdag 6 oktober 2017 @ 13:55:
[...]


Als jouw kant wel statisch is kun je proberen de VPN om te zetten naar aggressive mode. Agressive mode is handig als één of beide kanten een dynamisch (publiek) IP adres hebben.

Maar zonder daar op Ubiquiti ervaring mee te hebben, begrijp ik dat dat bij de Edgerouter niet zomaar even gaat werken..
Kijk anders hier even..

Om hier nog even op terug te komen. M'n ouders zijn overgestapt naar een andere provider waardoor de ERX bij hun achter NAT hangt (hij krijgt een 192.168.x.x adres ipv een publiek IP). Hierdoor werkt de IPsec site-to-site tunnel helemaal niet meer.

Ben al een poosje aan het zoeken via Google, maar kom er maar niet uit welke tutorial ik moet gebruiken om een site-to-site op te zetten tussen twee locaties die beiden achter NAT hangen en dus geen publiek IP hebben.

[tozzke]

Is het geen optie om het modem/router in bridge te (laten) zetten?
Anders de poorten voor IPsec forwarden naar de ERX of in het ergste geval de ERX in DMZ?

[ThinkPad]

Aan beide kanten staat een Experiabox V10 en heb aan beide kanten de boel al in DMZ staan.
Maar dan heb je nog steeds geen publiek IP op de WAN-interface en dat is lastig om een VPN tunnel op te bouwen.

[Caayn]

RobertMe schreef op zondag 22 oktober 2017 @ 19:23:
[...]

Waarschijnlijk heb je dan ook een dikke (geïsoleerde) buitenmuur, met een LR ga je het dan waarschijnlijk niet redden. Wat je zou kunnen proberen is met een UAP Mesh buiten. Deze is sowieso geschikt voor buitengebruik, maar, net als eigenlijk alle andere UAPs, kun je deze draadloos via de "wireless uplink" feature "aansluiten". Als je direct tegen de muur (aan de buitenmuur) nog bereik hebt kun je de Mesh dus inzetten als "repeater". Voor stroom moet je uiteraard wel UTP aansluiten (met dan waarschijnlijk de injector, aangezien je dus geen kabel naar binnen hebt)

Mmhhhh, dat is een goede tip. Qua stroom moet het wel lukken met hulp van een POE injector. Ik ga eens kijken of ik wat kan uit proberen met een Asus rt-ac68 die ik nog heb liggen, volgens mij heeft die een soort repeater modus waarmee ik het zou kunnen testen.

Bedankt voor de tip

Het is huis is een nieuwbouw huis dus het hele isolatie pret pakket zit erop. Super fijn maar met WiFi is het wat minder fijn.

[nils_vdg]

Ik heb momenteel de volgende situatie thuis



Router: Ubiquiti Unifi Secure Gateway
Switch: Ubiquiti Unifi 8p PoE 60W
AP1: Ubiquiti Unifi AP AC LR
AP1: Ubiquiti Unifi AP AC PRO
Switch 2: TP-Link 5-poorts unmanageable

Kan ik er toch voor zorgen dat mijn IP TV signaal rechtstreeks geforward wordt naar het adres van de TV Box via de tweede switch?

Zo dus


Of lukt dit alleen als ik zorg dat mijn tweede switch ook manageable is?
Ook op de router zelf heb ik nog 1 poort over die ook als LAN/WAN kan fungeren.

[nero355]

ThinkPadd schreef op zondag 22 oktober 2017 @ 21:54:
Om hier nog even op terug te komen. M'n ouders zijn overgestapt naar een andere provider waardoor de ERX bij hun achter NAT hangt (hij krijgt een 192.168.x.x adres ipv een publiek IP). Hierdoor werkt de IPsec site-to-site tunnel helemaal niet meer.

Ben al een poosje aan het zoeken via Google, maar kom er maar niet uit welke tutorial ik moet gebruiken om een site-to-site op te zetten tussen twee locaties die beiden achter NAT hangen en dus geen publiek IP hebben.

Is dat zo'n rare glasvezel ISP die alleen een soort Carrier NAT toepast voor zijn klanten

Vaak is er dan namelijk wel een DMZ IP adres dat je kan gebruiken

[TPA]

nils_vdg schreef op zondag 22 oktober 2017 @ 23:50:
Ik heb momenteel de volgende situatie thuis

[afbeelding]

Router: Ubiquiti Unifi Secure Gateway
Switch: Ubiquiti Unifi 8p PoE 60W
AP1: Ubiquiti Unifi AP AC LR
AP1: Ubiquiti Unifi AP AC PRO
Switch 2: TP-Link 5-poorts unmanageable

Kan ik er toch voor zorgen dat mijn IP TV signaal rechtstreeks geforward wordt naar het adres van de TV Box via de tweede switch?

Zo dus
[afbeelding]

Of lukt dit alleen als ik zorg dat mijn tweede switch ook manageable is?
Ook op de router zelf heb ik nog 1 poort over die ook als LAN/WAN kan fungeren.

Ik zou zeggen: tweede switch ook manageable

[stormfly]

ThinkPadd schreef op zondag 22 oktober 2017 @ 21:54:
[...]

Om hier nog even op terug te komen. M'n ouders zijn overgestapt naar een andere provider waardoor de ERX bij hun achter NAT hangt (hij krijgt een 192.168.x.x adres ipv een publiek IP). Hierdoor werkt de IPsec site-to-site tunnel helemaal niet meer.

Ben al een poosje aan het zoeken via Google, maar kom er maar niet uit welke tutorial ik moet gebruiken om een site-to-site op te zetten tussen twee locaties die beiden achter NAT hangen en dus geen publiek IP hebben.

Hebben ze wel een publiek IPv4 adres, kortom een eigen adres aan beide kanten? Geen DS-Lite etc.

Ik heb het wel werkend met 1 kant publiek en 1x kant NAT, ik vraag het mij af of het bij 2x NAT werkt. Je kan waarschijnlijk wel een VPN opzetten als je de bekende VPN porten/DMZ modus activeert voor de achterliggende router.

Als je 1xNAT en 1xPubliek hebt: Je moet voorkomen dat de nodes checken op het "peer-ID" want dat is anders dan de outside interface, en wat het in feite is (192.168). Tevens zou je een VPN monitor (JunOS) of IP SLA (Cisco) ping moeten laten lopen voor het genereren van continu interesting VPN verkeer. Je kan immers geen VPN opzetten door aan de buitenkant "te kietelen" van de NAT locatie. Het verkeer moet van binnenuit ontstaan vanuit de NAT locatie en de buitenkant "kietelen" van de Publieke locatie.

Met 2x NAT kan het eigenlijk niet zonder DMZ/Port forward modus werken schat ik in...

[Whizzer]

ThinkPadd schreef op zondag 22 oktober 2017 @ 21:54:
[...]

Om hier nog even op terug te komen. M'n ouders zijn overgestapt naar een andere provider waardoor de ERX bij hun achter NAT hangt (hij krijgt een 192.168.x.x adres ipv een publiek IP). Hierdoor werkt de IPsec site-to-site tunnel helemaal niet meer.

Ben al een poosje aan het zoeken via Google, maar kom er maar niet uit welke tutorial ik moet gebruiken om een site-to-site op te zetten tussen twee locaties die beiden achter NAT hangen en dus geen publiek IP hebben.

NAT-Traversal is dan normaal gesproken de truc om het toch voor elkaar te krijgen. Dan gebruik je naast IKE (udp/500) ook nog port udp/4500. Deze laatste vervangt dan ESP (IP protocol 50). Je gebruikt dan gewoon de public IP's van de Experiaboxen als VPN peers.

Dus zorg in de experiabox dat udp/500 en udp/4500 middels portfward bij je ERX uitkomen.

In IKEv1 zat NAT-T niet standaard in de suite (en vendoren hier wel eens een ander sausje aan). In IKEv2 is dit wel opgenomen, naast nog een aantal andere features. Als beide endpoints het aankunnen, heeft dat zeker de voorkeur.

Nu ken ik Ubiquiti (nog) niet goed genoeg en al helemaal de ERX lijn niet (heb zelf alleen USG en een paar AP's), maar ik lees volgens mij her en der dat er OpenSwan onder hangt. Klopt dat? Dan krijg je het waarschijnlijk uiteindelijk allemaal wel vliegend.

stormfly schreef op maandag 23 oktober 2017 @ 07:45:
Tevens zou je een VPN monitor (JunOS) of IP SLA (Cisco) ping moeten laten lopen voor het genereren van continu interesting VPN verkeer. Je kan immers geen VPN opzetten door aan de buitenkant "te kietelen" van de NAT locatie. Het verkeer moet van binnenuit ontstaan vanuit de NAT locatie en de buitenkant "kietelen" van de Publieke locatie.

Met 2x NAT kan het eigenlijk niet zonder DMZ/Port forward modus werken schat ik in...

Portforwarding dus.. Maar je hoeft waarschijnlijk niet een "VPN Monitor" of "IP SLA" op te zetten. Onderdeel van de IKE suite is Dead Peer Detection, een mechanisme wat om de zoveel tijd kijkt of de tunnel nog staat. Dat moet ervoor zorgen dat je Experia boxen niet een session time-out gaan geven.

[ Voor 22% gewijzigd door Whizzer op 23-10-2017 07:50 ]

[stormfly]

Whizzer schreef op maandag 23 oktober 2017 @ 07:46:
[...]

Portforwarding dus.. Maar je hoeft waarschijnlijk niet een "VPN Monitor" of "IP SLA" op te zetten. Onderdeel van de IKE suite is Dead Peer Detection, een mechanisme wat om de zoveel tijd kijkt of de tunnel nog staat. Dat moet ervoor zorgen dat je Experia boxen niet een session time-out gaan geven.

Bij een klant met een zakelijke EB8 komt port 4500 niet door, ondanks de DMZ modus. Dan heb je wel ip-sla nodig om de boel op gang te helpen.

Anyway geen enkel VPN is hetzelfde,omdat bv een provider modem al anders kan reageren. Het is een kwestie van experimenteren en kijken of het verkeer 8 uur lang blijf lopen. De meest makkelijke oplossing is een publiek IP op beide boxen, maar is niet altijd mogelijk.

[Whizzer]

stormfly schreef op maandag 23 oktober 2017 @ 08:03:
Anyway geen enkel VPN is hetzelfde,omdat bv een provider modem al anders kan reageren.

Nou, een VPN is bijna altijd wel hetzelfde, je hebt alleen véél instelmogelijkheden.

Maar ik ben wel van mening dat het pad er tussenin nogal kan variëren, omdat providers nogal hun eigen instellingen hebben.

De meest makkelijke oplossing is een publiek IP op beide boxen, maar is niet altijd mogelijk.

Eens.. Hoewel ik in de gekste opstellingen al VPN's heb kunnen maken..

[ThinkPad]

stormfly schreef op maandag 23 oktober 2017 @ 07:45:
[...]
Hebben ze wel een publiek IPv4 adres, kortom een eigen adres aan beide kanten? Geen DS-Lite etc.
[...]

Ja.

stormfly schreef op maandag 23 oktober 2017 @ 08:03:
[...]


Bij een klant met een zakelijke EB8 komt port 4500 niet door, ondanks de DMZ modus. Dan heb je wel ip-sla nodig om de boel op gang te helpen.
[...]

Hmmm, dat zou wel bijzonder zijn. Binnenkort nog maar even naar kijken.

[Sneezydevil]

ThinkPadd schreef op zondag 22 oktober 2017 @ 21:54:
[...]

Om hier nog even op terug te komen. M'n ouders zijn overgestapt naar een andere provider waardoor de ERX bij hun achter NAT hangt (hij krijgt een 192.168.x.x adres ipv een publiek IP). Hierdoor werkt de IPsec site-to-site tunnel helemaal niet meer.

Ben al een poosje aan het zoeken via Google, maar kom er maar niet uit welke tutorial ik moet gebruiken om een site-to-site op te zetten tussen twee locaties die beiden achter NAT hangen en dus geen publiek IP hebben.

Heb je de rightid en leftid wel goed staan?

code:

set vpn ipsec site-to-site peer x.x.x.x authentication id y.y.y.y
set vpn ipsec site-to-site peer x.x.x.x authentication remote-id 192.168.2.254

y.y.y.y is dan het lokale id bij mij het WAN Ip adres.
remote-id is het lan adres van de router aan de andere kant.

En dat doe je aan beide zijden. Het heeft even geduurd voor ik wist dat die commando's bestonden.

[stormfly]

ThinkPadd schreef op maandag 23 oktober 2017 @ 09:28:
Hmmm, dat zou wel bijzonder zijn. Binnenkort nog maar even naar kijken.

https://www.google.nl/sea...vwUIIygA&biw=1920&bih=949

De EB8 is managed bij een andere club dus helaas zelf de instellingen niet mogen configureren, maar men zegt dat alles in DMZ staat en toch komt 4500 niet lekker door.

Whizzer schreef op maandag 23 oktober 2017 @ 08:13:
Eens.. Hoewel ik in de gekste opstellingen al VPN's heb kunnen maken..

Klopt alleen ik doelde op het gemak/snelheid wanneer hij stabiel is, ook na/tijdens de rekey momenten.

[ThinkPad]

Sneezydevil schreef op maandag 23 oktober 2017 @ 09:48:
[...]


Heb je de rightid en leftid wel goed staan?

code:

set vpn ipsec site-to-site peer x.x.x.x authentication id y.y.y.y
set vpn ipsec site-to-site peer x.x.x.x authentication remote-id 192.168.2.254

y.y.y.y is dan het lokale id bij mij het WAN Ip adres.
remote-id is het lan adres van de router aan de andere kant.

En dat doe je aan beide zijden. Het heeft even geduurd voor ik wist dat die commando's bestonden.

Daar heb ik tot nu toe nog niks mee gedaan. Klinkt wel als een goede tip.

stormfly schreef op maandag 23 oktober 2017 @ 10:06:
[...]


https://www.google.nl/sea...vwUIIygA&biw=1920&bih=949

De EB8 is managed bij een andere club dus helaas zelf de instellingen niet mogen configureren, maar men zegt dat alles in DMZ staat en toch komt 4500 niet lekker door.
[...]

Aan beide kanten staat een Experiabox V10 (ZTE H369A). Is best een fatsoenlijk modem i.t.t. de oudere Experiaboxen. Maar de kans is natuurlijk aanwezig dat poort 4500 nog steeds niet door wordt gezet

Bedankt voor de tips, hier kom ik al een stuk verder mee

[RobertMe]

nils_vdg schreef op zondag 22 oktober 2017 @ 23:50:
Ik heb momenteel de volgende situatie thuis

[afbeelding]

Router: Ubiquiti Unifi Secure Gateway
Switch: Ubiquiti Unifi 8p PoE 60W
AP1: Ubiquiti Unifi AP AC LR
AP1: Ubiquiti Unifi AP AC PRO
Switch 2: TP-Link 5-poorts unmanageable

Kan ik er toch voor zorgen dat mijn IP TV signaal rechtstreeks geforward wordt naar het adres van de TV Box via de tweede switch?

Zo dus
[afbeelding]

Of lukt dit alleen als ik zorg dat mijn tweede switch ook manageable is?
Ook op de router zelf heb ik nog 1 poort over die ook als LAN/WAN kan fungeren.

Zoals @TPA al zegt zul je in dit geval inderdaad een (tweede) managed switch nodig hebben. Je zult dan waarschijnlijk in de USG het netwerk als VLAN aan moeten maken (geen corporate etc dus). Op de eerste switch, moet je dan op de poort waar je het caiw modem op aansluit deze instellen als untagged op dat VLAN. Naar de tweede switch heb je vervolgens een trunk port ("stuur alle VLANs over de lijn") en op die tweede switch kun je de poort met de TV Box dan ook weer op untagged instellen. Alle andere poorten kun je dan instellen voor untagged LAN.

Bij een unmanaged switch kun je namelijk wel het VLAN verkeer er overheen sturen (VLAN is een veldje binnen ethernet wat altijd aanwezig is, en genegeerd wordt door een unmanaged switch), echter zal, neem ik aan, de TV Box het netwerk/VLAN als untagged verwachten (neem ik aan), daarom dat je een managed switch nodig hebt die het untagged maakt.

Note: Dit is wel allemaal erop gebaseerd dat de TV Box maar 1 (untagged) netwerk ontvangt. Het kan ook zijn dat de situatie complexer is (bv dat de TV Box 2 VLANs moet ontvangen, 1 voor internet en 1 voor IPTV. Dat zou de situatie complexer maken, maar ook dan is het hoogstwaarschijnlijk mogelijk (zolang maar de juiste VLANs aankomen bij de TV Box. Daarnaast heb je denk ik ook ICMP snooping nodig omdat IPTV multicast zal zijn. Al met al zou ik, in het geval dat je de kabel al hebt liggen, deze waarschijnlijk ook laten liggen. Dit omdat het in totaal de veiligste optie is en je dan 100% zeker weet dat het werkt.

[WickedStealthy]

Kort vraagje.

Wat halen jullie aan throughputs voor 2.4Ghz voor verschillende devices in de directe omgeving van een AC-PRO ?
Ik heb momenteel een Zyxel NAP203 in test hangen en wilde toch eens kijken wat een AC-PRO doet irl omstandigheden aangezien ik dit ook nog overweeg.

[RobertMe]

WickedStealthy schreef op maandag 23 oktober 2017 @ 11:23:
Kort vraagje.

Wat halen jullie aan throughputs voor 2.4Ghz voor verschillende devices in de directe omgeving van een AC-PRO ?
Ik heb momenteel een Zyxel NAP203 in test hangen en wilde toch eens kijken wat een AC-PRO doet irl omstandigheden aangezien ik dit ook nog overweeg.

Op 2,4GHz? Ik denk dat niemand je daarop een antwoord kan geven. Dit omdat er zoveel interference is/kan zijn (van bv buren) dat zo'n resultaten compleet onbetrouwbaar zijn. Iemand die in the middle of nowhere woont en waar dus geen andere Wifi netwerken (noch andere storingszenders) aanwezig zijn zal de throughput wel redelijk in de buurt van de theoretische max liggen. Terwijl iemand die in een bomvolle flat woont misschien blij kan zijn met 25Mb/s.

Note: zelf heb ik geen Pro dus kan überhaupt deze info niet geven

[BluRay]

ThinkPadd schreef op maandag 23 oktober 2017 @ 10:10:
[...]

Daar heb ik tot nu toe nog niks mee gedaan. Klinkt wel als een goede tip.


[...]

Aan beide kanten staat een Experiabox V10 (ZTE H369A). Is best een fatsoenlijk modem i.t.t. de oudere Experiaboxen. Maar de kans is natuurlijk aanwezig dat poort 4500 nog steeds niet door wordt gezet

Bedankt voor de tips, hier kom ik al een stuk verder mee

Ik heb twee weken terug eenzelfde setup neergezet bij een kennis.
Experiabox V10 heeft als LAN adres 192.168.9.1
EdgeRouter heeft als WAN Adres 192.168.9.254
EdgeRouter adres staat in DMZ van Experiabox V10

Config van EdgeRouter ziet er als volgt uit:

code:

    ethernet eth4 {
        address 192.168.9.254/24
        description "(UPLINK2) KPN Modem - ExperiaBox V10"
        duplex auto
        firewall {
            in {
                name WAN_IN_V10
            }
            local {
                name WAN_LOCAL
            }
        }
        speed auto
    }
    
vpn {
    ipsec {
        auto-firewall-nat-exclude enable
        esp-group <NAME> {
            compression disable
            lifetime 3600
            mode tunnel
            pfs enable
            proposal 1 {
                encryption aes128
                hash sha1
            }
        }
        ike-group <NAME> {
            ikev2-reauth no
            key-exchange ikev1
            lifetime 28800
            proposal 1 {
                dh-group 2
                encryption aes128
                hash sha1
            }
        }
        ipsec-interfaces {
            interface eth4 <------ Dit is de interface met 192.168.9.254 erop
        }
        nat-networks {
            allowed-network 0.0.0.0/0 {
            }
        }
        nat-traversal enable
        site-to-site {
            peer <WAN_IP PEER> {
                authentication {
                    id <WAN IP VAN EXPERIABOX!!!!>*
                    mode pre-shared-secret
                    pre-shared-secret ****************
                    remote-id <WAN_IP PEER>
                }
                connection-type initiate
                default-esp-group <ESP_PROFILE>
                description "IPsec-Tunnel xxxxxxxxxxxx"
                ike-group <IKE_PROFILE>
                ikev2-reauth inherit
                local-address 192.168.9.254
                vti {
                    bind vti0
                    esp-group <ESP_PROFILE>
                }
            }
        }
    }

* Ik heb het externe IP-adres gebruikt bij de ID, maar kan ook iets anders zijn mits je de andere kant ook aanpast.

[ Voor 6% gewijzigd door BluRay op 23-10-2017 13:02 ]

[WickedStealthy]

RobertMe schreef op maandag 23 oktober 2017 @ 11:51:
[...]

Op 2,4GHz? Ik denk dat niemand je daarop een antwoord kan geven. Dit omdat er zoveel interference is/kan zijn (van bv buren) dat zo'n resultaten compleet onbetrouwbaar zijn. Iemand die in the middle of nowhere woont en waar dus geen andere Wifi netwerken (noch andere storingszenders) aanwezig zijn zal de throughput wel redelijk in de buurt van de theoretische max liggen. Terwijl iemand die in een bomvolle flat woont misschien blij kan zijn met 25Mb/s.

Note: zelf heb ik geen Pro dus kan überhaupt deze info niet geven

Uiteraard ben ik mij daarvan bewust en heb je daar gelijk in. et is meer om een idee te krijgen wat de grootte ordes zijn die mogelijk zijn in realiteit en onder welke condities. Dat dit niet direct van toepassing is in mijn situatie ben ik mij terdege van bewust.

[ Voor 4% gewijzigd door WickedStealthy op 23-10-2017 13:46 ]

[ThinkPad]

BluRay schreef op maandag 23 oktober 2017 @ 13:01:
[...]


Ik heb twee weken terug eenzelfde setup neergezet bij een kennis.
Experiabox V10 heeft als LAN adres 192.168.9.1
EdgeRouter heeft als WAN Adres 192.168.9.254
EdgeRouter adres staat in DMZ van Experiabox V10

Config van EdgeRouter ziet er als volgt uit:
[...knip...]

* Ik heb het externe IP-adres gebruikt bij de ID, maar kan ook iets anders zijn mits je de andere kant ook aanpast.

Bedankt voor de code, altijd handig.

De Experiabox staat bij je kennis begrijp ik? Wat staat er aan jouw kant dan? Want aan mijn kant heb ik ook een EB V10 (met pfSense daarachter, in de DMZ).

Heb je trouwens het IP-adres van die EB aangepast? Standaard zit zelf hij op 192.168.2.254 en kreeg de ERX juist 192.168.2.1 als adres

[HielkeJ]

Ik ben op dit moment weer bezig met de EdgeRouter. Het meeste lijkt goed te werken, dus het gaat de goede kant op. Ik probeer nu al het verkeer wat binnen komt op een IP adres (192.168.20.2) op eth0 door te sturen naar een server. Deze server zit op VLAN 5 op het IP adres 10.0.5.10.

Op dit te doen heb ik een DNAT regel aangemaakt zoals ik hier heb gevonden:

code:

Inbound Interface: eth0
Translation: 192.168.20.2
Destination: 10.0.5.10
All protocols staat aan

Daarnaast is er al een SNAT regel aanwezig die alles van 10.0.5.1/24 naar buiten gooit via het IP 192.168.20.2. Deze regel werkt goed.

Daarnaast is bij WAN_IN in de firewall een regel aangemaakt wat al het verkeer wat binnenkomt op 192.168.20.2 door moet laten naar 10.0.5.10.

Iemand enig idee wat ik niet goed doe?

Hierbij een groot deel van mijn config:

code:

firewall {
    all-ping enable
    broadcast-ping disable
    group {
        network-group PRIVATE_NETS {
            network 192.168.0.0/16
            network 172.16.0.0/12
            network 10.0.0.0/8
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians disable
    modify WAN1FIRST_IN {
        rule 10 {
            action modify
            modify {
                lb-group WAN1FIRST
            }
        }
    }
    modify WAN2FIRST_IN {
        rule 10 {
            action modify
            modify {
                lb-group WAN2FIRST
            }
        }
    }
    modify balance {
        rule 10 {
            action modify
            description "do NOT load balance lan to lan"
            destination {
                group {
                    network-group PRIVATE_NETS
                }
            }
            modify {
                table main
            }
        }
        rule 20 {
            action modify
            description "do NOT load balance destination public address"
            destination {
                group {
                    address-group ADDRv4_eth0
                }
            }
            modify {
                table main
            }
        }
        rule 30 {
            action modify
            description "do NOT load balance destination public address"
            destination {
                group {
                    address-group ADDRv4_eth1
                }
            }
            modify {
                table main
            }
        }
        rule 110 {
            action modify
            modify {
                lb-group WAN1FIRST
            }
        }
    }
    name WAN_IN {
        default-action accept
        description "WAN to internal"
        rule 10 {
            action accept
            application {
                category Web
            }
            description "extern -> intern"
            destination {
                address 10.0.5.10
            }
            log disable
            protocol all
            source {
                address 192.168.20.2
            }
            state {
                established enable
                invalid enable
                new enable
                related enable
            }
        }
        rule 20 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 30 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address 192.168.20.1/16
        address 192.168.20.2/16
        address 192.168.20.3/16
        description WAN
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
                name WAN_LOCAL
            }
        }
        speed auto
    }
    ethernet eth1 {
        address dhcp
        description "WAN 2"
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
                name WAN_LOCAL
            }
        }
        speed auto
    }
    ethernet eth2 {
        address 10.0.1.1/24
        description Local
        duplex auto
        firewall {
            in {
                modify balance
            }
        }
        speed auto
        vif 5 {
            address 10.0.5.1/24
            description VLAN5
            mtu 1500
        }
        vif 10 {
            address 10.0.10.1/24
            description VLAN10
            firewall {
                in {
                    modify WAN2FIRST_IN
                }
            }
            mtu 1500
        }
    }
    loopback lo {
    }
}
load-balance {
    group WAN1FIRST {
        interface eth0 {
        }
        interface eth1 {
            failover-only
        }
        lb-local enable
        lb-local-metric-change disable
    }
    group WAN2FIRST {
        interface eth0 {
            failover-only
        }
        interface eth1 {
        }
        lb-local enable
        lb-local-metric-change disable
    }
}
port-forward {
    auto-firewall enable
    hairpin-nat disable
    wan-interface eth0
}
protocols {
    static {
        route 0.0.0.0/0 {
            next-hop 192.168.2.1 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name LAN {
            authoritative enable
            subnet 10.0.1.0/24 {
                default-router 10.0.1.1
                dns-server 10.0.1.1
                lease 86400
                start 10.0.1.38 {
                    stop 10.0.1.243
                }
            }
        }
        shared-network-name VLAN10 {
            authoritative disable
            subnet 10.0.10.0/24 {
                default-router 10.0.10.1
                dns-server 10.0.10.1
                lease 86400
                start 10.0.10.10 {
                    stop 10.0.10.50
                }
            }
        }
        shared-network-name VLAN5-LAN {
            authoritative disable
            subnet 10.0.5.0/24 {
                default-router 10.0.5.1
                dns-server 10.0.5.1
                lease 86400
                start 10.0.5.11 {
                    stop 10.0.5.50
                }
            }
        }
        use-dnsmasq disable
    }
    dns {
        forwarding {
            cache-size 150
            listen-on eth2
            listen-on eth2.5
            listen-on eth2.10
        }
    }
    gui {
        http-port 80
        https-port 443
        listen-address 10.0.5.1
        older-ciphers enable
    }
    nat {
        rule 1 {
            description webserver
            destination {
                address 10.0.5.10
            }
            inbound-interface eth0
            inside-address {
                address 192.168.20.2
            }
            log disable
            type destination
        }
        rule 5001 {
            description VLAN5-ext-ip
            log disable
            outbound-interface eth0
            outside-address {
                address 192.168.20.2
            }
            source {
                address 10.0.5.1/24
            }
            type source
        }
        rule 5002 {
            description VLAN10-ext-ip
            log disable
            outbound-interface eth0
            outside-address {
                address 192.168.20.3
            }
            source {
                address 10.0.10.1/24
            }
            type source
        }
        rule 5003 {
            description "masquerade for WAN"
            log disable
            outbound-interface eth0
            type masquerade
        }
        rule 5004 {
            description "masquerade for WAN 2"
            log disable
            outbound-interface eth1
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    unms {
        disable
    }
}
system {
    conntrack {
        expect-table-size 4096
        hash-size 4096
        table-size 32768
        tcp {
            half-open-connections 512
            loose enable
            max-retrans 3
        }
    }
    host-name Router
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
}

[devslashnull]

Hi,

Ben me aan het verdiepen in de Ubiquiti spullen. Daarbij ben ik een beetje verward geraakt door het specificatieblad van de Ubiquiti access points. De AP-AC-LITE heeft, zoals vermeld in het datasheet, een 10/100/1000 ethernet port en kan worden voorzien van stroom via POE. Nu is dat kennelijk van het type 24V 'ubiquiti proprietary' of 802.3af/A'. Als ik de POE 802.3af/A vergelijk met 802.3at (zoals mogelijk op de Pro) dan lijkt het me dat de 'af' variant verbiedt om data en voeding op dezelfde aderparen te gebruiken. En als ik me niet vergis is gigabit ethernet alleen mogelijk via 4 aderparen.

Klopt dit dan: als je 802.3af/A gebruikt als POE methode bij zo'n AP-AC-LITE dan is de netwerk link beperkt tot 100mbps. Als je de netwerk link op 1000mbps wilt gebruiken moet je de 24V ubiquity proprietary POE injector gebruiken (die er bij wordt geleverd in het single pack)?

En als dit klopt, zijn er dan ubiquiti switches/routers die naast de af/at POE methoden ook die GigE 24V POE van Ubiquiti zelf ondersteunen; ik zou graag die losse POE adapters vermijden, maar ook liever niet de netwerk link al beperken tot 100mbps.

[ Voor 0% gewijzigd door devslashnull op 23-10-2017 14:20 . Reden: typo ]

[tcviper]

devslashnull schreef op maandag 23 oktober 2017 @ 14:08:
Hi,

Ben me aan het verdiepen in de Ubiquiti spullen. Daarbij ben ik een beetje verward geraakt door het specificatieblad van de Ubiquiti access points. De AP-AC-LITE heeft, zoals vermeld in het datasheet, een 10/100/1000 ethernet port en kan worden voorzien van stroom via POE. Nu is dat kennelijk van het type 24V 'ubiquiti proprietary' of 802.3af/A'. Als ik de POE 802.3af/A vergelijk met 802.3at (zoals mogelijk op de Pro) dan lijkt het me dat de 'af' variant verbiedt om data en voeding op dezelfde aderparen te gebruiken. En als ik me niet vergis is gigabit ethernet alleen mogelijk via 4 aderparen.

Klopt dit dan: als je 802.3af/A gebruikt als POE methode bij zo'n AP-AC-LITE dan is de netwerk link beperkt tot 100mbps. Als je de netwerk link op 1000mbps wilt gebruiken moet je de 24V ubiquity proprietary POE injector gebruiken (die er bij wordt geleverd in het single pack)?

En als dit klopt, zijn er dan ubiquiti switches/routers die naast de af/at POE methoden ook die GigE 24V POE van Ubiquiti zelf ondersteunen; ik zou graag die losse POE adapters vermijden, maar ook liever niet de netwerk link al beperken tot 100mbps.

Wat klopt is dat Gigabit ethernet wel degelijk werkt en kan met POE+ (802.3AT).
Al de info ook mbt af/at staat op: Wikipedia: Power over Ethernet

De POE switches die POE+/48V ondersteunen supporten alle 3 de standaarden, bijv Unifi USW-16 en USW-8-150 ondersteunen alle vormen (dus incl 802.3AT en 48V). Terwijl de USW8-60 alleen 802.3AF (Oftewel POE) ondersteunt.

[ Voor 6% gewijzigd door tcviper op 23-10-2017 14:29 ]

[Edd]

devslashnull schreef op maandag 23 oktober 2017 @ 14:08:

Ik heb vorige week een aantal AP-AC-Lite's in huis opgehangen en aangesloten op de UniFi Switch 8 POE-60W. Daarbij wordt aangegeven dat ze met 1Gb/s verbonden zijn.
Ook een test van een bestand kopiëren vanaf mijn NAS naar laptop ging met +/- 25MB/s, dus lijkt dit inderdaad wel te kloppen.

[devslashnull]

@tcviper en @Edd: dank voor jullie reacties. Omdat Edd snelheden van 200mbps+ haalt moet het dus wel kunnen, en omdat daarbij gebruik is gemaakt van een UniFi Switch 8-POE-60W (die volgens het datasheet IEEE802.3af ondersteunt), klopt het dus dat 1000BASE-T gigabit compatible is met POE (IEEE802.3af).

Ik ben maar weer eens door Wikipedia gaan lezen, en daar kun je ook uit opmaken dat dit zo is. Gisterenavond dacht ik op een Ubiquiti forum gelezen te hebben dat die 'af' POE methode geen data en voeding op dezelfde kabelpaartjes wilde hebben, maar dat is dus wél het geval.

Dat scheelt weer in mijn voorlopige configuratie, want dan kunnen de AP-AC-PRO's daarin vervangen worden door AP-AC-LITE's. Wij hebben nl. geen clients in huis die 3x3 streams doen, en eigenlijk hebben we ook die extra LAN poort erop niet nodig.

Bedankt voor de info!

[tcviper]

Voor degene die het nog niet wisten, Unifi 5.6.19 is nu Stable en released:
https://community.ubnt.co...een-released/ba-p/2109621

[TPA]

tcviper schreef op maandag 23 oktober 2017 @ 18:17:
Voor degene die het nog niet wisten, Unifi 5.6.19 is nu Stable en released:
https://community.ubnt.co...een-released/ba-p/2109621

Zodra hij via sudo apt-get install unifi -y te installeren is zal ik er naar kijken voorals nog is de versie 5.5.24 degene die hij wil installeren en die heb ik al

[aaahaaap]

Ik ben me aan het orienteren op een nieuwe router/AP setup omdat m'n vorige router het begeven heeft. Deze draaide tomato waar ik behoorlijk tevreden over was. De paar dingen die ik wilde (aantal static DNS entries, OpenVPN, traffic monitoring) waren simpel te doen en het werkte altijd zonder problemen.
De performance was best OK, maar zou wat mij betreft ietsje beter kunnen, zeker de wireless kant.

Nou merk ik dat een hoop mensen hier erg enthousiast zijn over de Ubiquiti producten, dus leek het me wel een optie om daarvoor te gaan. Maar ik loop tegen wat dingen aan die op mij niet positief overkomen:

• Losse devices voor verschillende functionaliteit. Ik had 1 ding wat alles deed, nu heb ik 2 (router + AP) devices nodig. (of nog meer?)
  Op zich niet super erg, maar dan komen we bij:
• De router en het AP hebben niet dezelfde interface :x
  Geen idee waarom Ubiquiti dit logisch vindt, maar ik zit er iig niet echt op te wachten om meerdere dingen te gaan moeten leren/onthouden.
  Hier is volgens mij niks aan te doen? De Unifi producten hebben alleen de controller en (officieel) geen CLI. En die controller is blijkbaar een executable die ik zelf op m'n computer moet draaien? Geen Web UI op 1 van de devices zelf?
  De routers hebben als ik het goed begrijp vooral een CLI, maar ook een UI (EdgeOS). Deze UI draait volgens mij wel direct op de router, is dat correct?
  
  Er zijn geen APs met EdgeOS en de enige "router" met support voor Unifi is de USG, maar die kan weer een stuk minder dan een EdgeRouter. Is dat correct?

Daarnaast wil ik graag de configuratie van mijn router/AP kunnen versioneren (in andere woorden, opslaan in plain text) en automatisch kunnen uitrollen. Is dit uberhaupt mogelijk met Ubiquiti apparatuur?

Onderstaande quote klinkt alsof het kan voor Unifi devices maar wel een hoop gepiel is, is dat correct?

UltraSub schreef op zaterdag 21 oktober 2017 @ 21:40:
[...]

Deze methodiek hanteer ik dus ook. Ja, het kost even wat werk om de diff te maken, maar dat mechanisme is awesome, nu staat die diff natuurlijk in GitLab. Enige waar ik nog steeds van baal is dat er nog geen api endpoint is voor een provision, anders was het mooi te pipelinen

Excuses voor de vele vragen, maar dat is waar ik na een avondje inlezen voornamelijk mee zit: vragen

[BluRay]

ThinkPadd schreef op maandag 23 oktober 2017 @ 13:29:
[...]

Bedankt voor de code, altijd handig.

De Experiabox staat bij je kennis begrijp ik? Wat staat er aan jouw kant dan? Want aan mijn kant heb ik ook een EB V10 (met pfSense daarachter, in de DMZ).

Heb je trouwens het IP-adres van die EB aangepast? Standaard zit zelf hij op 192.168.2.254 en kreeg de ERX juist 192.168.2.1 als adres

Het IP-adres van de EB is inderdaad aangepast. Dit heb ik gedaan omdat ik dubbel NAT toepas en ik de 192.168.1.0/24 reeks op de EdgeRouter wilde hebben. De EdgeRouter doet vervolgens load-balancing over de V10 (0,5 tot 1Mbps up en down) en een 4G router van KPN. Helaas kan je op de V10 en op de Huawei 4G router geen static routes toevoegen. Anders was dubbel NAT niet nodig.

De router aan de overkant is een VyOS router met daarop direct een Publiek IP-adres. Config ziet er alsvolgt uit:

code:

    ipsec {
        esp-group <ERX> {
            compression disable
            lifetime 3600
            mode tunnel
            pfs enable
            proposal 1 {
                encryption aes128
                hash sha1
            }
        }
        ike-group <ERX>{
            ikev2-reauth no
            key-exchange ikev1
            lifetime 28800
            proposal 1 {
                dh-group 2
                encryption aes128
                hash sha1
            }
        }
        ipsec-interfaces {
            interface eth1
        }
        nat-networks {
            allowed-network 0.0.0.0/0 {
            }
        }
        nat-traversal enable
        site-to-site {
            peer <IP_ERX> {
                authentication {
                    id <IP_VYOS>
                    mode pre-shared-secret
                    pre-shared-secret ****************
                    remote-id <IP_ERX>
                }
                connection-type initiate
                default-esp-group <ESP_PROFILE>
                description "IPSec-Tunnel XXXXXX"
                ike-group <IKE_PROFILE>
                ikev2-reauth inherit
                local-address <WAN_IP>
                vti {
                    bind vti1
                    esp-group <ESP_PROFILE>
                }
            }

Denk niet dat je er veel aan hebt omdat jij PfSense gebruikt.

aaahaaap schreef op maandag 23 oktober 2017 @ 20:07:

Het ligt eraan welke router je neemt.
De EdgeMax/EdgeRouter maakt gebruik van EdgeOS en kan niet in de UniFi controller. Instellen gaat via de GUI en sommige functies kunnen alleen via de CLI.
Voor de EdgeMax series is tegenwoordig ook een soort van controller beschikbaar, namelijk: UNMS (Ubiquiti Network Management System). Hier kan echter (nog) geen UniFi spul in. Als je alles vanuit een portal wil bedienen zul je voor een USG moeten gaan en dan uiteraard i.c.m. een AP uit de UniFi lijn.

De huidige USG maakt gebruik van dezelfde hardware als de EdgeRouter Lite 3 en ze kunnen even veel. Er is een maar.. als je iets wilt aanpassen wat (nog) niet vanuit de controller kan, dan moet je deze configuratie zelf importeren middels een .json file. (zie: https://help.ubnt.com/hc/...-with-config-gateway-json)
Ik beschik zelf niet over een USG, dus kan je niet vertellen of zaken als OpenVPN en Static DNS inmiddels via de controller kan. Traffic monitoring kan sowieso en ook uitgebreid. (lees: DPI)

Wat betreft die controller. Als je een Raspberry Pi koopt kom je al een heel eind en hoef je de controller niet op je PC te draaien.

[ Voor 20% gewijzigd door BluRay op 23-10-2017 20:23 ]

[Jeroen_ae92]

ThinkPadd schreef op maandag 23 oktober 2017 @ 13:29:
[...]

Bedankt voor de code, altijd handig.

De Experiabox staat bij je kennis begrijp ik? Wat staat er aan jouw kant dan? Want aan mijn kant heb ik ook een EB V10 (met pfSense daarachter, in de DMZ).

Heb je trouwens het IP-adres van die EB aangepast? Standaard zit zelf hij op 192.168.2.254 en kreeg de ERX juist 192.168.2.1 als adres

Je kan aan de experia kant even kijken naar het volgende: Zet de edgerouter niet in de dmz maar forward poorten 20 t/m 9000 voor zowel tcp als udp (voorbeeldje he). Ik heb dit eerder gezien namelijk.
Daarnaast kan het ook helpen om op je site xxx.xxx.xxx.xxx niet het werkelijke ip te vermelden maar gewoon 0.0.0.0
Dus:

code:

        site-to-site {
            peer xx.xx.xx.xx {
                authentication {
                    id @locallocation
                    mode pre-shared-secret
                    pre-shared-secret ****************
                    remote-id @remotelocation
                }
                connection-type initiate
                default-esp-group XXXname
                description "VPN to XXX"
                ike-group XXXname
                ikev2-reauth inherit
                local-address 0.0.0.0
             tunnel 1 {
                 allow-nat-networks disable
                 allow-public-networks disable
                 esp-group XXXname
                 local {
                     prefix 10.0.1.0/24
                 }
                 remote {
                     prefix 10.10.230.0/24
                 }
             }
            }
        }

HielkeJ schreef op maandag 23 oktober 2017 @ 13:38:
Ik ben op dit moment weer bezig met de EdgeRouter. Het meeste lijkt goed te werken, dus het gaat de goede kant op. Ik probeer nu al het verkeer wat binnen komt op een IP adres (192.168.20.2) op eth0 door te sturen naar een server. Deze server zit op VLAN 5 op het IP adres 10.0.5.10.

Op dit te doen heb ik een DNAT regel aangemaakt zoals ik hier heb gevonden:

code:

Inbound Interface: eth0
Translation: 192.168.20.2
Destination: 10.0.5.10
All protocols staat aan

Daarnaast is er al een SNAT regel aanwezig die alles van 10.0.5.1/24 naar buiten gooit via het IP 192.168.20.2. Deze regel werkt goed.

Daarnaast is bij WAN_IN in de firewall een regel aangemaakt wat al het verkeer wat binnenkomt op 192.168.20.2 door moet laten naar 10.0.5.10.

Iemand enig idee wat ik niet goed doe?

Hierbij een groot deel van mijn config:

[...]

Je modify rules ogen want "raar" maar kan een keuze zijn. Ze zijn iig niet consequent aan de interfaces gehangen. Zou een puntje van aandacht kunnen zijn en ik zou ze verwerken in één modify policy en daar dmv source groepen het verkeer de goede kant op leiden. Maargoed, dat lost je issue nu niet op

Je issue zit em in het volgende:

code:

        rule 10 {
            action accept
            application {
                category Web
            }
            description "extern -> intern"
            destination {
                address 10.0.5.10
            }
            log disable
            protocol all
            source {
                address 192.168.20.2
            }
            state {
                established enable
                invalid enable
                new enable
                related enable
            }
        }

In deze regel kun je de source weglaten. Dat boeit namelijk niet omdat de NAT regels voor de firewall regels komen en de source is niet het router adres zelf. Het adres van de vrager wordt doorgezet. Er zit dus helemaal geen match op. Daarnaast heb je ook geen match nodig op application category. Verkeerd gebruik van de category functie.
Onderstaand zou voldoende moeten zijn:

code:

        rule 10 {
            action accept
            description "extern -> intern"
            destination {
                address 10.0.5.10
            }
            log disable
            protocol tcp_udp
        }

Let wel, zet er altijd een match bij qua protocol. ICMP hoef je niet door te zetten bv. TCP/UDP zou voldoende moeten zijn. Dit komt overigens ook terug bij je NAT rule hieronder.

En dan de NAT rule, je hebt nu:

code:

        rule 1 {
            description webserver
            destination {
                address 10.0.5.10
            }
            inbound-interface eth0
            inside-address {
                address 192.168.20.2
            }
            log disable
            type destination
        }

Das niet goed. De destination is je WAN address en de inside address is je LAN adres.
Die moet je dus echt even omdraaien.

code:

        rule 1 {
            description webserver
            destination {
                address 192.168.20.2
            }
            inbound-interface eth0
            inside-address {
                address 10.0.5.10
            }
            log disable
            protocol tcp_udp
            type destination
        }

[ Voor 51% gewijzigd door Jeroen_ae92 op 23-10-2017 20:38 . Reden: aanvulling ]

[BluRay]

HielkeJ schreef op maandag 23 oktober 2017 @ 13:38:
Ik ben op dit moment weer bezig met de EdgeRouter. Het meeste lijkt goed te werken, dus het gaat de goede kant op. Ik probeer nu al het verkeer wat binnen komt op een IP adres (192.168.20.2) op eth0 door te sturen naar een server. Deze server zit op VLAN 5 op het IP adres 10.0.5.10.

Op dit te doen heb ik een DNAT regel aangemaakt zoals ik hier heb gevonden:

code:

Inbound Interface: eth0
Translation: 192.168.20.2
Destination: 10.0.5.10
All protocols staat aan

Daarnaast is er al een SNAT regel aanwezig die alles van 10.0.5.1/24 naar buiten gooit via het IP 192.168.20.2. Deze regel werkt goed.

Daarnaast is bij WAN_IN in de firewall een regel aangemaakt wat al het verkeer wat binnenkomt op 192.168.20.2 door moet laten naar 10.0.5.10.

Iemand enig idee wat ik niet goed doe?

Hierbij een groot deel van mijn config:

[...]

1. Je DNAT rule klopt niet. Het moet zijn:

code:

        rule 1 {
            description webserver
            destination {
                address 192.168.20.2
            }
            inbound-interface eth0
            inside-address {
               address 10.0.5.10
            }
            log disable
            type destination
        }

2. Je maakt gebruik van loadbalancing. Dat is waarschijnlijk de reden dat je niet de port-forward optie gebruikt maar in plaats daarvan DNAT. (wat feitelijk op hetzelfde neerkomt) Ik zou de port-forward helemaal uit je config weghalen met: delete port-forward
3. Je WAN_IN rule 1 klopt zo denk ik wel. Maar waarom zou je state invalid op enabled zetten?

[DenBenny]

Ik heb een VLAN opgezet om wat in te "spelen" met "smart" materiaal.
Ik wil hiervoor alle connecties naar internet en de andere VLANs blocken maar ik wil wel van buiten aan de clients kunnen.

Hiervoor heb ik een ruleset gemaakt SPEELVLAN_IN:
- Default block
- rule 1 allow established/related

Dit doet perfect wat ik wil, enkel wil ik nu 1 (of later enkele) IP adres toevoegen dat wel op het internet mag maar niet op de andere VLANs.

Hiervoor heb ik een 2e rule (ALLOW_internet) gemaakt:
- accept
- source [IP adres van client die aan internet mag]
- destination [???]

Wat vul ik in als destination? Als ik dit leeg laat kan de client echt overal aan, wat niet de bedoeling is.
Mag ik hier eth0 in plaatsen? Of loop ik dan langs de NAT? Of creëer ik hier een of ander "lek"?

[Jeroen_ae92]

DenBenny schreef op maandag 23 oktober 2017 @ 20:55:
Ik heb een VLAN opgezet om wat in te "spelen" met "smart" materiaal.
Ik wil hiervoor alle connecties naar internet en de andere VLANs blocken maar ik wil wel van buiten aan de clients kunnen.

Hiervoor heb ik een ruleset gemaakt SPEELVLAN_IN:
- Default block
- rule 1 allow established/related

Dit doet perfect wat ik wil, enkel wil ik nu 1 (of later enkele) IP adres toevoegen dat wel op het internet mag maar niet op de andere VLANs.

Hiervoor heb ik een 2e rule (ALLOW_internet) gemaakt:
- accept
- source [IP adres van client die aan internet mag]
- destination [???]

Wat vul ik in als destination? Als ik dit leeg laat kan de client echt overal aan, wat niet de bedoeling is.
Mag ik hier eth0 in plaatsen? Of loop ik dan langs de NAT? Of creëer ik hier een of ander "lek"?

Je zou dan een rule moeten maken die een block doet naar andere vlan's. Werk hier bv met makkelijke source en destination groepen. Dan een allow rule die specifieke source adressen, gebruik ook hier een source groep die naar internet mag. Dit zou je verder kunnen beperken in bv enkel poort 80/443 of whatever.
De default action van de ruleset blijft drop. De rules worden op volgorde afgehandeld vandaar de volgorde van de rules belangrijk is. First match wins zal ik maar zeggen. Eerst een allow established/related rule, dan een block naar andere (v)lan's en dan een allow van specifieke source adressen.
Als je die volgorde niet aanhoudt, dan mag een specifiek source adres ineens wel naar het LAN. En dat wil je dan weer niet. Kan wel, maar dan moet je daar ook weer een allow rule voor maken. En ja, die er weer in de juiste volgorde tussen zetten.

Zoiets zou je als voorbeeld kunnen gebruiken voor de groepen:

code:

 group {
     address-group Internet_Allowed {
         address 192.168.101.98
         address 10.0.1.99
         description "Allowed to internet"
     }
     network-group IoT_LAN {
         description "IoT LAN"
         network 192.168.101.0/24
     }
     network-group Local_LAN {
         description "Lokaal LAN"
         network 192.168.1.0/24
     }

En deze voor de ruleset.

code:

 name SPEELVLAN_IN {
     default-action drop
     description "IoT traffic inbound"
     rule 10 {
         action accept
         description "Accept related/initiated"
         log disable
         protocol all
         state {
             established enable
             invalid disable
             new disable
             related enable
         }
     }
     rule 20 {
         action drop
         description "Drop to LAN"
         destination {
             group {
                 network-group Local_LAN
             }
         }
         log disable
         protocol all
         source {
             group {
                 network-group IoT_LAN
             }
         }
     }
     rule 30 {
         action accept
         description "Allow IoT devices"
         log enable
         protocol all
         source {
             group {
                 address-group Internet_Allowed
             }
         }
         state {
             established enable
             invalid disable
             new enable
             related enable
         }
     }
 }

Als je je IoT vlan verder wilt beperken kan ik je iig een SPEELVLAN_LOCAL aanbevelen.

code:

name SPEELVLAN_LOCAL {
     default-action drop
     description "IoT traffic to router"
     rule 10 {
         action accept
         description "Allow DNS"
         destination {
             port 53
         }
         log enable
         protocol udp
     }
     rule 50 {
         action accept
         description "Allow pings"
         limit {
             burst 1
             rate 62/minute
         }
         log enable
         protocol icmp
     }
 }

[HielkeJ]

Jeroen_ae92 schreef op maandag 23 oktober 2017 @ 20:20:
[...]


Je modify rules ogen want "raar" maar kan een keuze zijn. Ze zijn iig niet consequent aan de interfaces gehangen. Zou een puntje van aandacht kunnen zijn en ik zou ze verwerken in één modify policy en daar dmv source groepen het verkeer de goede kant op leiden. Maargoed, dat lost je issue nu niet op

Bedankt, ik zal er naar kijken. Ik ben voor het voorbeeld ook wat aan het opruimen geweest, dus het kan best zijn dat ik sommige dingen wel en sommige dingen niet goed heb weggehaald.

Jeroen_ae92 schreef op maandag 23 oktober 2017 @ 20:20:
Je issue zit em in het volgende:

code:

 ...

Bedankt, nu werkt het inderdaad zoals verwacht

Blijkbaar klopt het voorbeeld op de support site niet helemaal.

BluRay schreef op maandag 23 oktober 2017 @ 20:33:
[...]

1. Je DNAT rule klopt niet. Het moet zijn:

code:

...

2. Je maakt gebruik van loadbalancing. Dat is waarschijnlijk de reden dat je niet de port-forward optie gebruikt maar in plaats daarvan DNAT. (wat feitelijk op hetzelfde neerkomt) Ik zou de port-forward helemaal uit je config weghalen met: delete port-forward
3. Je WAN_IN rule 1 klopt zo denk ik wel. Maar waarom zou je state invalid op enabled zetten?

1. Bedankt

2. Er zijn meerdere externe IP adressen, die allemaal naar verschillende bedrijven gaan. Volgens mij kan je met de port-forward optie geen source adres opgeven en tellen de regels meteen voor alle IP adressen.

3. Om eerlijk te zijn ben ik op het laatst overal vinkjes gaan zetten, om maar een reactie ergens te zien

[Jeroen_ae92]

Als je met meerdere public ip's werkt, dan moet je ook meerdere NAT rules en firewall rules maken.
De port-forward is voor SOHO gebruik en luistert inderdaad naar alle WAN adressen en is onhandig in deze situatie. Het advies om deze helemaal uit de config te slopen is een goede. Is enkel ballast en kan ook tegenwerken als je later nog iets met VPN gaat doen.

[ Voor 25% gewijzigd door Jeroen_ae92 op 23-10-2017 21:55 ]

[DenBenny]

Jeroen_ae92 schreef op maandag 23 oktober 2017 @ 21:13:
[...]


Je zou dan een rule moeten maken die een block doet naar andere vlan's. Werk hier bv met makkelijke source en destination groepen. Dan een allow rule die specifieke source adressen, gebruik ook hier een source groep die naar internet mag. Dit zou je verder kunnen beperken in bv enkel poort 80/443 of whatever.
De default action van de ruleset blijft drop. De rules worden op volgorde afgehandeld vandaar de volgorde van de rules belangrijk is. First match wins zal ik maar zeggen. Eerst een allow established/related rule, dan een block naar andere (v)lan's en dan een allow van specifieke source adressen.
Als je die volgorde niet aanhoudt, dan mag een specifiek source adres ineens wel naar het LAN. En dat wil je dan weer niet. Kan wel, maar dan moet je daar ook weer een allow rule voor maken. En ja, die er weer in de juiste volgorde tussen zetten.

Zoiets zou je als voorbeeld kunnen gebruiken voor de groepen:

code:

 group {
     address-group Internet_Allowed {
         address 192.168.101.98
         address 10.0.1.99
         description "Allowed to internet"
     }
     network-group IoT_LAN {
         description "IoT LAN"
         network 192.168.101.0/24
     }
     network-group Local_LAN {
         description "Lokaal LAN"
         network 192.168.1.0/24
     }

En deze voor de ruleset.

code:

 name SPEELVLAN_IN {
     default-action drop
     description "IoT traffic inbound"
     rule 10 {
         action accept
         description "Accept related/initiated"
         log disable
         protocol all
         state {
             established enable
             invalid disable
             new disable
             related enable
         }
     }
     rule 20 {
         action drop
         description "Drop to LAN"
         destination {
             group {
                 network-group Local_LAN
             }
         }
         log disable
         protocol all
         source {
             group {
                 network-group IoT_LAN
             }
         }
     }
     rule 30 {
         action accept
         description "Allow IoT devices"
         log enable
         protocol all
         source {
             group {
                 address-group Internet_Allowed
             }
         }
         state {
             established enable
             invalid disable
             new enable
             related enable
         }
     }
 }

Als je je IoT vlan verder wilt beperken kan ik je iig een SPEELVLAN_LOCAL aanbevelen.

code:

name SPEELVLAN_LOCAL {
     default-action drop
     description "IoT traffic to router"
     rule 10 {
         action accept
         description "Allow DNS"
         destination {
             port 53
         }
         log enable
         protocol udp
     }
     rule 50 {
         action accept
         description "Allow pings"
         limit {
             burst 1
             rate 62/minute
         }
         log enable
         protocol icmp
     }
 }

Bedankt voor de uitleg .
Ik had inderdaad eerst rules gemaakt voor de andere VLANs, maar die had ik er terug uit gesmeten omdat de default action op "drop" ingesteld stond. Ik vond het niet logisch dat je eerst een default drop instelt om daarna extra rules met drop actions aan te maken .

Het blokkeren naar andere VLANs die ik niet met IP adressen maar op basis van de interfaces (zoals eth1.10) is dit ok? of beter werken met de IP adressen?

Ik heb soms de indruk dat je bepaalde rules op 101 verschillende manieren kunt uitwerken/verwezelijken, zijn hier basisregels voor?
Ik zie dat je ook veel met groepen werkt (zelfs voor 1 IP range), is dit voor snel te kunnen aanpassen? Ik maak telkens een apparte rule aan (zo is het voor mij leesbaar, ook na lange tijd )

[nils_vdg]

RobertMe schreef op maandag 23 oktober 2017 @ 11:15:

...

Note: Dit is wel allemaal erop gebaseerd dat de TV Box maar 1 (untagged) netwerk ontvangt. Het kan ook zijn dat de situatie complexer is (bv dat de TV Box 2 VLANs moet ontvangen, 1 voor internet en 1 voor IPTV. Dat zou de situatie complexer maken, maar ook dan is het hoogstwaarschijnlijk mogelijk (zolang maar de juiste VLANs aankomen bij de TV Box. Daarnaast heb je denk ik ook ICMP snooping nodig omdat IPTV multicast zal zijn. Al met al zou ik, in het geval dat je de kabel al hebt liggen, deze waarschijnlijk ook laten liggen. Dit omdat het in totaal de veiligste optie is en je dan 100% zeker weet dat het werkt.

Thnx! Ik heb die tweede kabel inderdaad liggen, maar ik wil die tweede kabel eigenlijk als PoE kabel gaan hanteren voor mijn AP. Als ik dan toch een nieuwe switch moet kopen kan ik net zo goed direct een PoE switch kopen, en dan hou ik die tweede kabel gewoon voor mn TV. Had gehoopt dat het zo zou werken.

[Sneezydevil]

Nog iemand hier last van Edge Router Lite's die spontaan herstarten?

Ik beheer verschillende Edge Routers waaronder verschillende Edge Router Lite's en nu viel mij op dat geen enkele Edge Router Lite een uptime van meer dan een maand heeft. De meesten komen niet verder dan een paar dagen.

Ik heb de firmware al een downgrade gegeven, maar dat mag niet helpen.

Firmware versies die ik geprobeerd heb: 1.9.1.1, 1.9.7 HF1 t/m HF3

Ik heb nog niet de mogelijkheid gehad een console kabel erop aan te sluiten.

Aangezien het gebeurd bij 100% van de 10+ Edge Routers Lite's die ik beheer en ik er niks op het forum van terug vind vraag ik mij af of het een specifieke setting is die ik gebruik.

[nero355]

Sneezydevil schreef op dinsdag 24 oktober 2017 @ 15:17:
Nog iemand hier last van Edge Router Lite's die spontaan herstarten?

Nee, maar wel van UAP's met ZHO Enabled en de laatste firmware erop

Lijkt tot nu toe beter te gaan met Uplink Connection monitoring uitgeschakeld dus ik hou het nog effe in de gaten...

Met de oude firmware werkte alles perfect en was de laatste uptime 67 dagen! De enige reden dat ze effe offline waren is omdat ik tijdens de vakantie alles had uitgeschakeld


Op het UBNT forum is trouwens gepost dat er nog nieuwere firmware binnenkort released zal worden met volledige 802.11r/k/v support : Eindelijk fatsoenlijk roamen volgens officiële standaarden binnenkort

UAP-AC-Lite's here I come!

[m3gA]

Sneezydevil schreef op dinsdag 24 oktober 2017 @ 15:17:
Nog iemand hier last van Edge Router Lite's die spontaan herstarten?

Ik beheer verschillende Edge Routers waaronder verschillende Edge Router Lite's en nu viel mij op dat geen enkele Edge Router Lite een uptime van meer dan een maand heeft. De meesten komen niet verder dan een paar dagen.

Ik heb de firmware al een downgrade gegeven, maar dat mag niet helpen.

Firmware versies die ik geprobeerd heb: 1.9.1.1, 1.9.7 HF1 t/m HF3

Ik heb nog niet de mogelijkheid gehad een console kabel erop aan te sluiten.

Aangezien het gebeurd bij 100% van de 10+ Edge Routers Lite's die ik beheer en ik er niks op het forum van terug vind vraag ik mij af of het een specifieke setting is die ik gebruik.

Kun je eens kijken met ssh onder /var/log/messages of je hier iets in kunt vinden? Moet je wel een tijdstip hebben waarop het ongeveer gebeurd.

[nils_vdg]

Mijn Ubiquiti UniFi Controler (Windows 10) start ineens niet meer op.

Soms krijg ik de melding dat poort 8080 al in gebruik is, soms krijg ik een melding dat er geen verbinding is met de server "server taking to long to start".

- Reeds alle Ubiquiti Hardware van het stroom af gehad.
- Reeds de Controller opnieuw geïnstalleerd, zowel met behoud als zonder behoud van instellingen
- Reeds java verwijderd en opnieuw geïnstalleerd

Via netstat command proberen te achterhalen wie poort 8080 gebruikt.

PID 484 = java.exe
PID 604 = javaw.exe

Active Connections

Proto Local Address Foreign Address State PID
TCP 127.0.0.1:8080 192:54782 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54787 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54791 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54796 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54801 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54805 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54810 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54815 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54819 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54824 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54829 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54833 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54838 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54843 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54847 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54852 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54856 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54860 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54865 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54869 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54874 CLOSE_WAIT 484
TCP 127.0.0.1:8080 192:54879 CLOSE_WAIT 484
TCP 127.0.0.1:54782 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54787 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54791 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54796 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54801 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54805 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54810 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54815 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54819 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54824 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54829 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54833 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54838 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54843 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54847 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54852 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54856 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54860 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54865 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54869 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54874 192:8080 FIN_WAIT_2 604
TCP 127.0.0.1:54879 192:8080 FIN_WAIT_2 604
TCP 192.168.1.10:8080 Router:57127 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57128 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57129 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57130 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57131 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57132 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57133 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57134 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57135 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57136 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57137 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57138 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Router:57139 ESTABLISHED 484
TCP 192.168.1.10:8080 Switch:56648 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56650 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56652 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56654 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56656 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56658 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56660 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56662 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56664 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56666 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56668 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Switch:56670 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Woonkamer:46914 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Woonkamer:46917 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Woonkamer:46920 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Woonkamer:46923 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Woonkamer:46926 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Slaapkamer:48623 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Slaapkamer:48626 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Slaapkamer:48629 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Slaapkamer:48632 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Slaapkamer:48635 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Slaapkamer:48638 CLOSE_WAIT 484
TCP 192.168.1.10:8080 Slaapkamer:48641 CLOSE_WAIT 484

Mijn system.properties bestand

## system.properties
#
# each unifi instance requires a set of ports:
#
## device inform
# unifi.http.port=8080
## controller UI / API
# unifi.https.port=8443
## portal redirect port for HTTP
# portal.http.port=8880
## portal redirect port for HTTPs
# portal.https.port=8843
## local-bound port for DB server
# unifi.db.port=27117
## UDP port used for STUN
# unifi.stun.port=3478
#
## the IP devices should be talking to for inform
# system_ip=a.b.c.d
## disable mongodb journaling
# unifi.db.nojournal=false
## extra mongod args
# unifi.db.extraargs
#
## HTTPS options
# unifi.https.ciphers=TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA
# unifi.https.sslEnabledProtocols=TLSv1,SSLv2Hello
# unifi.https.hsts=false
# unifi.https.hsts.max_age=31536000
# unifi.https.hsts.preload=false
# unifi.https.hsts.subdomain=false
#
# Ports reserved for device redirector. There is no need to open
# firewall for these ports on controller, however do NOT set
# controller to use these ports.
#
# portal.redirector.port=8881
# portal.redirector.port.wired=8882
#
# Port used for throughput measurement.
# unifi.throughput.port=6789
#
#Tue Oct 24 17:36:06 UTC 2017
uuid= {Hier staat mijn uuid}

Hier nog mijn server.log bestand

[2017-10-24 19:35:42,637] <launcher> INFO launcher - Replacing C:\Users\nilsv\Ubiquiti UniFi\bin\UniFi.exe with C:\Users\nilsv\Ubiquiti UniFi\bin\UniFi64.exe
[2017-10-24 19:35:47,388] <launcher-ui> INFO launcher - Initializing UniFi Controller ...
[2017-10-24 19:35:55,679] <launcher-monitor> INFO launcher - Starting UniFi Controller ...
[2017-10-24 19:36:01,018] <launcher> INFO system - *** Running for the first time, creating identity ***
[2017-10-24 19:36:01,087] <launcher> INFO system - UUID: {Hier staat mijn uuid}
[2017-10-24 19:36:01,102] <launcher> INFO system - ======================================================================
[2017-10-24 19:36:01,102] <launcher> INFO system - UniFi 5.5.24 (build atag_5.5.24_9806 - release) is started
[2017-10-24 19:36:01,102] <launcher> INFO system - ======================================================================
[2017-10-24 19:36:01,102] <launcher> INFO system - BASE dir:C:\Users\nilsv\Ubiquiti UniFi
[2017-10-24 19:36:01,218] <launcher> INFO system - Current System IP: {Hier staat het IP adres van mijn PC}
[2017-10-24 19:36:01,218] <launcher> INFO system - Hostname: PCbeneden
[2017-10-24 19:36:01,234] <launcher> INFO system - Valid keystore is missing. Generating one ...
[2017-10-24 19:36:01,234] <launcher> INFO system - Generating Certificate[UniFi]... please wait...
[2017-10-24 19:36:06,663] <launcher> INFO system - Certificate[UniFi] generated!
[2017-10-24 19:36:07,879] <launcher> INFO db - waiting for db connection...
[2017-10-24 19:36:08,379] <launcher> INFO db - Connecting to mongodb://127.0.0.1:27117
[2017-10-24 19:36:09,949] <db-server> ERROR system - [exec] error, rc=100
[2017-10-24 19:36:09,949] <db-server> INFO db - DbServer stopped
[2017-10-24 19:36:14,079] <db-server> ERROR system - [exec] error, rc=100
[2017-10-24 19:36:14,079] <db-server> INFO db - DbServer stopped
[2017-10-24 19:36:18,190] <db-server> ERROR system - [exec] error, rc=100
[2017-10-24 19:36:18,190] <db-server> INFO db - DbServer stopped
[2017-10-24 19:36:22,295] <db-server> ERROR system - [exec] error, rc=100
Enz enz enz, zo gaat het nog wel even door...

Waar moet ik het zoeken?

[Jeroen_ae92]

nils_vdg schreef op dinsdag 24 oktober 2017 @ 19:57:
Mijn Ubiquiti UniFi Controler (Windows 10) start ineens niet meer op.

Soms krijg ik de melding dat poort 8080 al in gebruik is, soms krijg ik een melding dat er geen verbinding is met de server "server taking to long to start".

- Reeds alle Ubiquiti Hardware van het stroom af gehad.
- Reeds de Controller opnieuw geïnstalleerd, zowel met behoud als zonder behoud van instellingen
- Reeds java verwijderd en opnieuw geïnstalleerd

Via netstat command proberen te achterhalen wie poort 8080 gebruikt.

PID 484 = java.exe
PID 604 = javaw.exe


[...]


Mijn system.properties bestand

[...]


Hier nog mijn server.log bestand

[...]


Waar moet ik het zoeken?

Toevallig een Java update gedaan? Vermoedelijk moet je de java variabele aanpassen/toevoegen aan je systeem.