[ Voor 50% gewijzigd door EdwinB op 05-04-2017 19:14 ]
Ik heb gisteren de nieuwe MESH PRO in huis gekregen en deze gewoon op mijn though switch aangesloten op 48 volt, en dat werkt gewoon, je hoeft dus geen apparte switch te kopen hoor :-):
Helaas geen sticker en heb ze (net) langer dan 30 dagen in huis
Voor de werking van het AP maakt het natuurlijk niets uit, maar een eventuele aanschaf van PoE switch had wel wat goedkoper geweest.
)
[ Voor 4% gewijzigd door MrBarBarian op 06-04-2017 22:35 ]
Iets zoals dit lijkt me een goed startpunt:
1
2
3
4
5
6
| configure Edit zone-policy Copy zone X to zone Y Top Set zone-policy zone Y interface ethX[ Set zone-policy zone Y from X firewall name X-Y |
U+
ph34r my [WCG] Cows :P
:strip_exif()/u/49248/DPCkoeienUD.gif?f=community)
Volgens mij is dat je probleem:
Over de cisco-switch: die is behoorlijk default geconfigureerd. Ik hen geen vlan's aangemaakt, of andere specifieke settings gedaan (zover ik weet
en daarnaast zal je waarschijnlijk handmatig de AP moeten vertellen naar welk IP adres die op zoek moet voor de Controller!
|| Stem op mooiere Topic Search linkjes! :) " || Pi-Hole : Geen advertenties meer voor je hele netwerk! >:) ||
Probeer eens een SSH sessie naar je AP op te zetten en dan de volgende commando's in te geven::
Over de cisco-switch: die is behoorlijk default geconfigureerd. Ik hen geen vlan's aangemaakt, of andere specifieke settings gedaan (zover ik weet
(daarin zit de "bekende" bug dat hij niet te provisionen is via DHCP, dus moest zelfs een Unifi Controller installeren op mijn laptop alleen om de firmware te kunnen updaten).http://www.deyterra.com
Dat kunnen mijn klanten alleen maar beamen
een 2 tal hotels (in Griekenland) onder andere... Ook het beheer (vanuit Belgie) is kinderlijk eenvoudig als ze weer eens AP's toevoegen of nieuwe vouchers willen hebbben voor hun klanten 
[ Voor 23% gewijzigd door ThinkPad op 07-04-2017 09:13 ]
Denk rules waren al aangemaakt door Sypher maar lieten geen verkeer toe als ik het bericht goed heb begrepen. De rules die ik als suggestie gaf staan wel alle verkeer toe van lang naar IOT maar andersom niet. Zou dus in principe behoren te werken dan.:
[...]
Iets zoals dit lijkt me een goed startpunt:
code:
En zo ga je alle mogelijke manieren af zodat je altijd lan-iot, wan-iot, guest-iot en anders om hebt. Zorg wel dat je eerst de rulesets hebt gemaakt anders kun je ze niet koppelen aan je zones.
Hierna kun je de rules gaan maken binnen de rulesets.
Tip!!!! Doe een commit-confirm en kies voor Y(es). Indien je niet binnen 10min een confirm commando geeft, reboot de router automatisch waardoor de wijzigingen verloren zijn. Immers je hebt niet kunnen saven. Scheelt weer als je jezelf per ongeluk buitengesloten hebt.
Ik heb namen als lan-iot, iot-lan etc. Maar in essentie hetzelfde.
). Dat gaat niet lukken, want de AP krijgt geen IP toegewezen Wat ook weer apart is, want dat heeft ie als enige. De kabel werkt wel, want een ander device op dezelfde port werkt wel gewoon.
1
2
3
4
| |Internet|-----USG/DHCPD---Unify switch---Cisco switch---- AP-AC-PR
| |--- X aantal andere aparaten die prima werken
|-----------|
Cloudkey X andere apararaten die werken |
Dat zat ik ook aan te denken. Maar een beetje zonde om een prima 26 port switch te vervangen om deze reden. En ik heb een hekel aan een vendor lock-in
Plaats ander even output van de volgende 2 commando's. Dat helpt makkelijker:
[...]
Ik heb namen als lan-iot, iot-lan etc. Maar in essentie hetzelfde.
De eerste stap was om überhaupt naar WAN te mogen vanaf iot, maar dat gaat al niet.
De router pingen ook niet (maar deelt wel netjes DHCP uit
Terwijl dit alles vanaf guests wel mag/kan en ik alle policies daarvan heb gekopieerd en gekoppeld heb aan de zone voor IOT. Ik zie waarschijnlijk iets kleins over het hoofd. De VLAN doet het, want ik krijg wel een IP uit de DHCP-IOT scope.
U+
Dat is iets waar ik ook nog eens naar wil kijken. Maar eerst moet ik er voor zorgen dat ik alles aan de praat krijg
Ik ben voorstander van command line, via de web interface mis ik het totaal overzicht.
Denk dat je het icpm (staat ping toe) bent vergeten toe te staan als je een default drop hebt ingesteld. Voor de dhcp moet je toestemming hebben ingesteld naar IOT naar local en vergeet daarbij natuurlijk de dns niet als je router als dns hebt ingesteld.:
[...]
Ik heb namen als lan-iot, iot-lan etc. Maar in essentie hetzelfde.
De eerste stap was om überhaupt naar WAN te mogen vanaf iot, maar dat gaat al niet.
De router pingen ook niet (maar deelt wel netjes DHCP uit
Terwijl dit alles vanaf guests wel mag/kan en ik alle policies daarvan heb gekopieerd en gekoppeld heb aan de zone voor IOT. Ik zie waarschijnlijk iets kleins over het hoofd. De VLAN doet het, want ik krijg wel een IP uit de DHCP-IOT scope.
)1
2
3
4
| Host: 192.168.1.1 Port: 22 Username: ubnt Password: ubnt |
1
| commit |
1
2
3
| commit-confirm // Na akkoord en binnen 10 minuten confirm |
1
2
| commit save |
1
| configure |
1
2
| set system login user USERNAME authentication plaintext-password PASSWORD set system login user USERNAME level admin |
1
| set system login user USERNAME full-name USER |
1
2
| commit save |
1
| delete system login user ubnt |
1
| set system host-name ROUTER |
1
2
3
4
| set system domain-name EXAMPLE.COM set system ip override-hostname-ip 192.168.1.1 set service dhcp-server hostfile-update enable set service dns forwarding options localise-queries |
1
| set system time-zone Europe/Amsterdam |
1
| set service ssh port XX |
1
2
3
| set system offload ipv4 forwarding enable set system offload ipv4 pppoe disable set system offload ipv4 vlan enable |
1
2
| set interfaces ethernet eth0 address 192.168.1.1/24 set interfaces ethernet eth0 description "LAN" |
1
| delete interfaces ethernet eth0 address 192.168.1.1/24 |
1
2
| set interfaces ethernet eth2 address dhcp set interfaces ethernet eth2 description "WAN" |
1
2
| set interfaces ethernet eth0 vif 20 address 192.168.2.1/24 set interfaces ethernet eth0 vif 20 description "WLANGUEST" |
1
2
3
4
5
6
7
8
| set service dhcp-server shared-network-name LAN subnet 192.168.1.0/24 start 192.168.1.100 stop 192.168.1.150 set service dhcp-server shared-network-name LAN subnet 192.168.1.0/24 default-router 192.168.1.1 set service dhcp-server shared-network-name LAN subnet 192.168.1.0/24 dns-server 192.168.1.1 set service dhcp-server shared-network-name LAN subnet 192.168.1.0/24 lease 86400 set service dhcp-server shared-network-name WLANGUEST subnet 192.168.2.0/24 start 192.168.2.100 stop 192.168.2.150 set service dhcp-server shared-network-name WLANGUEST subnet 192.168.2.0/24 default-router 192.168.2.1 set service dhcp-server shared-network-name WLANGUEST subnet 192.168.2.0/24 dns-server 192.168.2.1 set service dhcp-server shared-network-name WLANGUEST subnet 192.168.2.0/24 lease 86400 |
1
2
| set service dhcp-server shared-network-name LAN subnet 192.168.1.0/24 domain EXAMPLE.COM set service dhcp-server shared-network-name WLANGUEST subnet 192.168.2.0/24 domain EXAMPLE.COM |
1
2
| set service dhcp-server shared-network-name LAN authoritative enable set service dhcp-server shared-network-name WLANGUEST authoritative enable |
1
2
3
4
5
6
7
8
9
10
11
12
| set service nat rule 5010 outbound-interface eth2 set service nat rule 5010 type masquerade set service nat rule 5010 description "Masquerade to eth2" set service nat rule 5010 protocol all set service nat rule 5010 log disable set service dns forwarding cache-size 150 set service dns forwarding listen-on eth0 set service dns forwarding listen-on eth0.20 set port-forward hairpin-nat enable set port-forward lan-interface eth0 set port-forward lan-interface eth0.20 set port-forward wan-interface eth2 |
1
2
| set service dhcp-server shared-network-name LAN subnet 192.168.1.0/24 static-mapping HOSTNAME ip-address 192.168.1.x set service dhcp-server shared-network-name LAN subnet 192.168.1.0/24 static-mapping HOSTNAME mac-address 00:01:02:03:04:05 |
1
2
| set system static-host-mapping host-name HOSTNAME inet 192.168.1.x set system static-host-mapping host-name HOSTNAME alias HOSTNAME.EXAMPLE.COM |
1
2
| commit save |
[ Voor 69% gewijzigd door MdBruin op 11-04-2017 13:01 ]
Ah ik denk dat ik het al zie! In zone-policy ontbreken er een aantal koppelingen van iot, waaronder met WAN. Misschien toch maar wat vaker met de CLI doen ipv de interface, ook al zit dat hele zone verhaal natuurlijk al wel verder weggestopt in die config tree.:
[...]
Plaats ander even output van de volgende 2 commando's. Dat helpt makkelijker
Show firewall
Show zone-policy
[ Voor 18% gewijzigd door Sypher op 07-04-2017 19:35 ]
Ja vandaar ook mijn opmerking dat het in de TS mag worden opgenomen. Een apart topic er voor openen lijkt me niet handig.:
Dit is handig materiaal
maar ben je niet bang dat die onoverzichtelijk gaat worden in dit topic?
1
2
3
4
5
6
| set zone-policy zone LAN default-action drop set zone-policy zone LAN interface eth0 set zone-policy zone WAN default-action drop set zone-policy zone WAN interface eth2 set zone-policy zone WLANGUEST default-action drop set zone-policy zone WLANGUEST interface eth0.20 |
)1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
| set zone-policy zone LOCAL default-action drop set zone-policy zone LOCAL local-zone set zone-policy zone LOCAL from LAN firewall LAN_LOCAL commit set zone-policy zone LAN from LOCAL firewall LOCAL_LAN set zone-policy zone LAN from WAN firewall WAN_LAN set zone-policy zone LAN from WLANGUEST firewall WLANGUEST_LAN set zone-policy zone LOCAL from WAN firewall WAN_LOCAL set zone-policy zone LOCAL from WLANGUEST firewall WLANGUEST_LOCAL set zone-policy zone WAN from LAN firewall LAN_WAN set zone-policy zone WAN from LOCAL firewall LOCAL_WAN set zone-policy zone WAN from WLANGUEST firewall WLANGUEST_WAN set zone-policy zone WLANGUEST from LAN firewall LAN_WLANGUEST set zone-policy zone WLANGUEST from LOCAL firewall LOCAL_WLANGUEST set zone-policy zone WLANGUEST from WAN firewall WAN_WLANGUEST |
1
2
| commit save |
1
2
3
4
5
6
7
8
9
10
11
| configure set service nat rule 1 set service nat rule 1 description "Redirect LAN DNS request if not to EdgeRouter" set service nat rule 1 destination address !192.168.1.1 set service nat rule 1 destination port 53 set service nat rule 1 inbound-interface eth0 set service nat rule 1 inside-address address 192.168.1.1 set service nat rule 1 inside-address port 53 set service nat rule 1 protocol udp set service nat rule 1 log disable set service nat rule 1 type destination |
1
2
3
4
5
6
7
8
9
10
| set service nat rule 2 set service nat rule 2 description "Redirect WLANGUEST DNS request if not to EdgeRouter" set service nat rule 2 destination address !192.168.2.1 set service nat rule 2 destination port 53 set service nat rule 2 inbound-interface eth0.20 set service nat rule 2 inside-address address 192.168.2.1 set service nat rule 2 inside-address port 53 set service nat rule 2 protocol udp set service nat rule 2 log disable set service nat rule 2 type destination |
1
2
| commit save |
1
2
3
4
5
6
| set firewall name LAN_WAN rule 1300 set firewall name LAN_WAN rule 1300 action accept set firewall name LAN_WAN rule 1300 description "Allow all traffic" set firewall name LAN_WAN rule 1300 protocol all set firewall name LAN_WAN rule 1300 log disable set firewall name LAN_WAN rule 1300 source group network-group LAN-Subnet |
1
| set firewall name zoneX_zoneY |
1
| set firewall name zoneX_zoneY rule XX |
1
| set firewall name zoneX_zoneY rule XX action accept |
1
| set firewall name zoneX_zoneY rule XX description "Omschrijving van de rule" |
1
2
| set firewall name zoneX_zoneY rule XX destination address 192.168.1.10 set firewall name zoneX_zoneY rule XX destination port 25 |
1
2
| set firewall name zoneX_zoneY rule XX group address-group NAAMADRESGROEP set firewall name zoneX_zoneY rule XX group network-group NAAMNETWORKGROEP |
1
| set firewall name zoneX_zoneY rule XX protocol tcp_udp |
1
| set firewall name zoneX_zoneY rule XX log enable |
1
2
3
4
| set firewall name zoneX_zoneY rule XX source address 192.168.1.10 set firewall name zoneX_zoneY rule XX source port 25 set firewall name zoneX_zoneY rule XX source group address-group NAAMADRESGROEP set firewall name zoneX_zoneY rule XX source group network-group NAAMNETWERKGROEP |
1
| set firewall group address-group NAAM |
1
| set firewall group address-group NAAM description "Omschrijving van de adres groep" |
1
2
3
| set firewall group network-group NAAM set firewall group network-group NAAM description "Omschrijving van de netwerk groep" set firewall group network-group NAAM network XXX.XXX.XXX.XXX/XX |
[ Voor 187% gewijzigd door MdBruin op 18-04-2017 20:26 ]
.1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
| zone iot {
default-action drop
description IOT
from lan {
firewall {
name lan-iot
}
}
from local {
firewall {
name local-iot
}
}
from wan {
firewall {
name wan-iot
}
}
interface eth1.110
}
zone lan {
default-action drop
from iot {
firewall {
name iot-lan
}
}
from local {
firewall {
name local-lan
}
}
from wan {
firewall {
name wan-lan
}
}
interface eth1
}
zone local {
default-action drop
from iot {
firewall {
name iot-local
}
}
from lan {
firewall {
name lan-local
}
}
from wan {
firewall {
name wan-local
}
}
local-zone
}
zone wan {
default-action drop
from iot {
firewall {
name iot-wan
}
}
from lan {
firewall {
name lan-wan
}
}
from local {
firewall {
name local-wan
}
}
interface eth0.34
} |
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
| name iot-lan {
default-action drop
description "Traffic coming from IOT network to LAN"
enable-default-log
rule 20 {
action accept
description "Allow related, established"
log enable
protocol all
state {
established enable
invalid disable
new disable
related enable
}
}
rule 30 {
action drop
description "Drop Invalid traffic"
log enable
protocol all
state {
established disable
invalid enable
new disable
related disable
}
}
}
name iot-local {
default-action drop
description "Traffic coming from IOT network to ROUTER"
enable-default-log
rule 10 {
action accept
description "Accept Established, Related"
log enable
protocol all
state {
established enable
invalid disable
new disable
related enable
}
}
rule 20 {
action accept
description "Allow DNS to Router"
destination {
port 53
}
log enable
protocol tcp_udp
source {
group {
}
}
}
rule 30 {
action accept
description "Allow DHCP to Router"
destination {
port 67,68
}
log enable
protocol udp
source {
group {
}
}
}
rule 40 {
action drop
description "Drop invalid traffic"
log enable
protocol all
state {
established disable
invalid enable
new disable
related disable
}
}
}
name iot-wan {
default-action drop
description "IOT VLAN to internet"
enable-default-log
rule 10 {
action accept
description "Accept Established, Related"
log disable
state {
established enable
related enable
}
}
rule 20 {
action drop
description "Drop Invalid traffic"
log enable
state {
invalid enable
}
}
rule 30 {
action drop
description "Block call home"
destination {
group {
address-group CALL-HOME
}
}
log enable
protocol all
}
rule 40 {
action accept
description "Allow all traffic"
log enable
protocol all
}
}
name lan-iot {
default-action drop
description "Traffic from LAN to IOT vlan"
enable-default-log
rule 10 {
action accept
description "Allow LAN to IOT"
log disable
protocol all
source {
group {
network-group LAN-Subnet
}
}
}
rule 20 {
action accept
description "Allow related & established"
log disable
state {
established enable
related enable
}
}
rule 30 {
action accept
description "Allow ICMP"
log enable
protocol icmp
}
rule 40 {
action drop
description "Drop invalid traffic"
log enable
state {
invalid enable
}
}
}
name local-iot {
default-action drop
description "Traffic from ROUTER to IOT vlan"
enable-default-log
rule 20 {
action accept
description "Allow related & established"
log disable
state {
established enable
related enable
}
}
rule 40 {
action drop
description "Drop invalid traffic"
log enable
state {
invalid enable
}
}
}
name wan-iot {
default-action drop
description "Traffic from WAN to IOT"
enable-default-log
rule 1 {
action accept
description "Accept established & related"
log disable
state {
established enable
related enable
}
}
rule 2 {
action drop
description "Drop BOGONS"
log enable
protocol all
source {
group {
network-group BOGONS
}
}
}
rule 3 {
action drop
description "Drop invalid traffic"
log enable
state {
invalid enable
}
}
}
receive-redirects disable
send-redirects enable
source-validation disable
syn-cookies enable |
Kun je ook nog een show interfaces doen?:
IOT naar WAN gaat nu in ieder geval wel goed. Het kan helpen als wan-iot (net als lan-iot en local-iot) ook gekoppeld zijn natuurlijk
Echter krijg ik LAN naar IOT nog niet aan de praat. Zou toch moeten werken want LAN => IOT staat verkeer expliciet toe, en IOT zou het ook moeten accepteren want het is toch related/established verkeer terug?
Hierbij het relevante deel van mijn config. Heb hier niet relevante zaken (o.a. guest en dmz) achterwege gelaten want dat is niet relevant:
Zones
code:
zone iot { default-action drop description IOT from lan { firewall { name lan-iot } } from local { firewall { name local-iot } } from wan { firewall { name wan-iot } } interface eth1.110 } zone lan { default-action drop from iot { firewall { name iot-lan } } from local { firewall { name local-lan } } from wan { firewall { name wan-lan } } interface eth1 } zone local { default-action drop from iot { firewall { name iot-local } } from lan { firewall { name lan-local } } from wan { firewall { name wan-local } } local-zone } zone wan { default-action drop from iot { firewall { name iot-wan } } from lan { firewall { name lan-wan } } from local { firewall { name local-wan } } interface eth0.34 }
Firewall policies
code:
name iot-lan { default-action drop description "Traffic coming from IOT network to LAN" enable-default-log rule 20 { action accept description "Allow related, established" log enable protocol all state { established enable invalid disable new disable related enable } } rule 30 { action drop description "Drop Invalid traffic" log enable protocol all state { established disable invalid enable new disable related disable } } } name iot-local { default-action drop description "Traffic coming from IOT network to ROUTER" enable-default-log rule 10 { action accept description "Accept Established, Related" log enable protocol all state { established enable invalid disable new disable related enable } } rule 20 { action accept description "Allow DNS to Router" destination { port 53 } log enable protocol tcp_udp source { group { } } } rule 30 { action accept description "Allow DHCP to Router" destination { port 67,68 } log enable protocol udp source { group { } } } rule 40 { action drop description "Drop invalid traffic" log enable protocol all state { established disable invalid enable new disable related disable } } } name iot-wan { default-action drop description "IOT VLAN to internet" enable-default-log rule 10 { action accept description "Accept Established, Related" log disable state { established enable related enable } } rule 20 { action drop description "Drop Invalid traffic" log enable state { invalid enable } } rule 30 { action drop description "Block call home" destination { group { address-group CALL-HOME } } log enable protocol all } rule 40 { action accept description "Allow all traffic" log enable protocol all } } name lan-iot { default-action drop description "Traffic from LAN to IOT vlan" enable-default-log rule 10 { action accept description "Allow LAN to IOT" log disable protocol all source { group { network-group LAN-Subnet } } } rule 20 { action accept description "Allow related & established" log disable state { established enable related enable } } rule 30 { action accept description "Allow ICMP" log enable protocol icmp } rule 40 { action drop description "Drop invalid traffic" log enable state { invalid enable } } } name local-iot { default-action drop description "Traffic from ROUTER to IOT vlan" enable-default-log rule 20 { action accept description "Allow related & established" log disable state { established enable related enable } } rule 40 { action drop description "Drop invalid traffic" log enable state { invalid enable } } } name wan-iot { default-action drop description "Traffic from WAN to IOT" enable-default-log rule 1 { action accept description "Accept established & related" log disable state { established enable related enable } } rule 2 { action drop description "Drop BOGONS" log enable protocol all source { group { network-group BOGONS } } } rule 3 { action drop description "Drop invalid traffic" log enable state { invalid enable } } } receive-redirects disable send-redirects enable source-validation disable syn-cookies enable
Ik vraag me sowieso af of "drop invalid traffic" zin heeft aangezien de default rule toch al drop is?
Maar goed, in bovenstaande gaat het verkeer tussen IOT en LAN niet goed, maar ik zie iets over het hoofd denk ik.
U+
1
2
3
4
5
| set service nat rule 5000 description "masq to OpenVPN tunnel" set service nat rule 5000 log disable set service nat rule 5000 outbound-interface vtun0 set service nat rule 5000 protocol all set service nat rule 5000 type masquerade |
1
| show service nat |
1
2
3
4
5
6
7
8
9
10
11
12
| set vpn ipsec auto-firewall-nat-exclude enable set vpn ipsec disable-uniqreqids set vpn l2tp remote-access authentication local-users username USERNAME password PASSWORD set vpn l2tp remote-access authentication mode local set vpn l2tp remote-access client-ip-pool start 192.168.1.250 set vpn l2tp remote-access client-ip-pool stop 192.168.1.253 set vpn l2tp remote-access dns-servers server-1 192.168.1.1 set vpn l2tp remote-access ipsec-settings authentication mode pre-shared-secret set vpn l2tp remote-access ipsec-settings authentication pre-shared-secret "Jrrj4z9XtHEF8fZMQsC3nzfUQXYnPeq52177ab023" set vpn l2tp remote-access ipsec-settings ike-lifetime 3600 set vpn l2tp remote-access mtu 1492 set vpn l2tp remote-access outside-address 0.0.0.0 |
1
2
3
4
5
6
7
8
9
10
| set firewall name WAN_LOCAL rule 3 action accept set firewall name WAN_LOCAL rule 3 description 'Allow L2TP' set firewall name WAN_LOCAL rule 3 destination port 500,1701,4500 set firewall name WAN_LOCAL rule 3 log enable set firewall name WAN_LOCAL rule 3 protocol udp set firewall name WAN_LOCAL rule 2 action accept set firewall name WAN_LOCAL rule 2 description 'Allow ESP' set firewall name WAN_LOCAL rule 2 destination set firewall name WAN_LOCAL rule 2 log enable set firewall name WAN_LOCAL rule 2 protocol esp |
U+
Zelfde probleem hier, nog geen oplossing gevonden. Hiervoor hingen er Meraki's, toen nergens last van
Mooi waardeloos. Gekke is wel dat ik nog een paar andere sites heb (stuk of 30:
[...]
Zelfde probleem hier, nog geen oplossing gevonden. Hiervoor hingen er Meraki's, toen nergens last van
) waar dit probleem totaal niet speelt.. Heel raar.Heb je op die andere sites ook een USG?:
[...]
Mooi waardeloos. Gekke is wel dat ik nog een paar andere sites heb (stuk of 30
Volgende stap kan zijn om te proberen bandsteering uit te zetten en de SSID's voor 2,4 en 5G verschillende namen te geven, maar dat zou toch niet nodig moeten zijn. Zeker niet omdat het elders wel gewoon werkt.
U+
Zocht het originele bericht al om te kijken hoe of wat, kon deze alleen niet zo snel vinden.:
Uhh... jullie praten langs elkaar heen
Trouwens, ben ik de enige die een SSL error krijgt op de website van Windscribe?
@MdBruin Voor L2TP ipsec VPN heb je enkel de volgende commando's nodig naast de gebruikelijke firewall shizzle:
Hi Jeroen, bedankt voor je reactie! Bovenstaande source NAT rule had ik al, en ook als rule in volgorde boven mijn "normale" verkeer staan. Ik zie de count hiervan ik de GUI wel oplopen, maar ik heb dan helaas geen werkende internet verbinding....:
Uhh... jullie praten langs elkaar heen
@1975Mark30 Jij bent bezig met de VPN vanuit de edgerouter naar Windscribe middels OpenVPN als client op de Edgerouter. Na de configuratie die ik je aangaf moet je met de NAT rules aan de gang.
Je maakt een nieuwe source nat rule en vul deze in als volgt:
code:
Kijk wel eerst of die rule vrij is dmv:
code:
Is ie niet vrij, dan moet je wat herschikken via CLI of misschien makkelijker, via de GUI. De NAT rule voor de OpenVPN moet boven je normale verkeer staan namelijk.
Anyway, als rule 5000 reeds bestaat, noem in bovenstaande commando's het rule nummer 5050 ofzow.
Hierna dus herschikken
Ik vermoed trouwens dat je issue komt door de provider die je een nieuwe default gateway meegeeft.
Test even of het beter gaat als je de optie "route-nopull" toevoegd aan je OPVN file.
Die UAP-AC-HD lijkt toch echt wel de TX/RX topper uit de lijsten, mag ook wel voor die prijs. De LR komt als tweede.
Mmm... pretty weird... Weet je wat ik doen, gezien het toch gratis is, ik maak gewoon even een account aan. Kan ik eens bezien wat de issues en oplossingen zijn. Heb nog wel een Edgerouter waar ik dat op kan proberen. Kan ik gelijk even zien wat de performance hit is op bv een Edgerouter Lite en een Edgerouter Pro.:
[...]
Hi Jeroen, bedankt voor je reactie! Bovenstaande source NAT rule had ik al, en ook als rule in volgorde boven mijn "normale" verkeer staan. Ik zie de count hiervan ik de GUI wel oplopen, maar ik heb dan helaas geen werkende internet verbinding....
Als ik de optie "route-nopull" toevoeg aan mijn ovpn file dan heb ik wel een werkende internet verbinding, maar dan loopt deze volgens mij niet over de VPN tunnel. Mijn publieke IP adres is dan namelijk niet veranderd, en de source NAT rule count van mijn "normale" verkeer loopt op ipv de vpn rule...
Enig idee?
U+
Ja, die had ik er weer uitgehaald. Bedankt iig.:
[...]
Dat klopt allemaal. Had je de nopull optie er weer uitgehaald? Die is toch wel echt nodig
Ik ga nog wat verder troubleshooten en laat het weten als het werkt!
CardMapr.nl ✈ Vind American Express creditcard locaties, en spaar voor (gratis) vluchten!
Komt ie dan he... Ik maak em even van voor tot achter...:
[...]
Ja, die had ik er weer uitgehaald. Bedankt iig.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
| client dev tun ;------ tls-client invoegen tls-client ;------ proto udp remote nl.windscribe.com 1194 nobind auth-user-pass /config/auth/auth.txt ;------ route-nopull invoegen route-nopull ;------ resolv-retry infinite auth SHA512 cipher AES-256-CBC keysize 256 comp-lzo verb 2 mute-replay-warnings ns-cert-type server persist-key persist-tun key-direction 1 <ca> -----BEGIN CERTIFICATE----- .... -----END CERTIFICATE----- </ca> <tls-auth> -----BEGIN OpenVPN Static key V1----- .... -----END OpenVPN Static key V1----- |
1
2
3
| scp ca.crt ubnt@192.168.1.1:/config/auth/ scp ta.key ubnt@192.168.1.1:/config/auth/ scp Windscribe-Netherlands.ovpn ubnt@192.168.1.1:/config/auth/ |
1
2
3
| set firewall group network-group PRIVATE_NETS description 'Private networks' set firewall group network-group PRIVATE_NETS network 192.168.1.0/24 set firewall group network-group PRIVATE_NETS network 192.168.2.0/24 |
1
2
| set firewall group address-group OPENVPN_COMPUTERS address 192.168.1.99 set firewall group address-group OPENVPN_COMPUTERS description 'Route to Windscribe' |
1
2
3
4
5
6
7
8
9
10
11
12
| set firewall modify OPENVPN_ROUTE description 'Modify static route for Windscribe' set firewall modify OPENVPN_ROUTE rule 10 action modify set firewall modify OPENVPN_ROUTE rule 10 description 'do NOT adjust lan to lan' set firewall modify OPENVPN_ROUTE rule 10 destination group network-group PRIVATE_NETS set firewall modify OPENVPN_ROUTE rule 10 modify table main set firewall modify OPENVPN_ROUTE rule 20 action modify set firewall modify OPENVPN_ROUTE rule 20 description 'do NOT adjust destination public address' set firewall modify OPENVPN_ROUTE rule 20 destination group address-group ADDRv4_eth0 set firewall modify OPENVPN_ROUTE rule 20 modify table main set firewall modify OPENVPN_ROUTE rule 30 action modify set firewall modify OPENVPN_ROUTE rule 30 modify table 1 set firewall modify OPENVPN_ROUTE rule 30 source group address-group OPENVPN_COMPUTERS |
1
2
3
4
| set interfaces openvpn vtun0 config-file /config/auth/Windscribe-Netherlands.ovpn set interfaces openvpn vtun0 description 'Windscribe VPN' set interfaces openvpn vtun0 firewall in name WAN_IN set interfaces openvpn vtun0 firewall local name WAN_LOCAL |
1
| set protocols static table 1 interface-route 0.0.0.0/0 next-hop-interface vtun0 |
1
2
3
4
5
6
| set service nat rule 5000 description 'Masq for Windscribe' set service nat rule 5000 log disable set service nat rule 5000 outbound-interface vtun0 set service nat rule 5000 protocol all set service nat rule 5000 source group address-group OPENVPN_COMPUTERS set service nat rule 5000 type masquerade |
1
2
| set interfaces ethernet eth1 firewall in modify OPENVPN_ROUTE -- Optioneel -- set interfaces ethernet eth1 vif 10 firewall in modify OPENVPN_ROUTE |
U+
Oogt plat genoeg
U+
Dat was mijn idee ook, maar::
[...]
Oogt plat genoeg
Is de DHCP scope niet gewoon vol op dat moment? Kijk eens in de USG naar "show dhcp statistics pool LAN_192.168.1.0-24".
Ik ken het issue namelijk niet anders dan bepaalde snooping op Cisco switches, halve of incorrecte IP helpers of verkeer ingerichte DHCP servers. Maar op zo'n plat netwerk met een USG dan weer niet.
Dit topic is gesloten.
:fill(white):strip_exif()/i/1392985435.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/1396861626.jpeg?f=thumbmini)
:strip_exif()/i/2001306247.png?f=thumbmini)
:strip_exif()/i/2001304711.png?f=thumbmini)
:fill(white):strip_exif()/i/2001337171.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000639529.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000556412.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2002561018.jpeg?f=thumbmini)
:strip_exif()/i/2001363373.png?f=thumbmini)
:fill(white):strip_exif()/i/2001352419.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2001840303.jpeg?f=thumbmini)
:strip_exif()/i/2001382445.png?f=thumbmini)
:strip_exif()/i/2001557207.png?f=thumbmini)
:strip_exif()/i/2001614981.png?f=thumbmini)
:fill(white):strip_exif()/i/1396858301.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/1396858452.jpeg?f=thumbmini)
:strip_exif()/i/2001476135.png?f=thumbmini)
:fill(white):strip_exif()/i/2001089077.jpeg?f=thumbmini)
:strip_exif()/i/1396858687.png?f=thumbmini)
:fill(white):strip_exif()/i/2001130391.jpeg?f=thumbmini)
:fill(white):strip_exif()/i/2000774075.jpeg?f=thumbmini)
:strip_exif()/i/2000556161.png?f=thumbmini)
:strip_exif()/i/2001614987.png?f=thumbmini)
:strip_exif()/i/2001544519.png?f=thumbmini)
:strip_exif()/i/2001557197.png?f=thumbmini)
:strip_icc():strip_exif()/u/88833/crop63e905e3e1fd3.jpg?f=community)
:strip_icc():strip_exif()/u/49919/Icon-CBR600F2.jpg?f=community){kind=icon}
:strip_exif()/u/611/crop60a80b176a992_cropped.webp?f=community)
/u/456650/crop5669de30e11d2_cropped.png?f=community)
:strip_icc():strip_exif()/u/5964/crop56503163e97a5.jpeg?f=community)
:strip_icc():strip_exif()/u/471707/crop5db6fa7c5734e_cropped.jpeg?f=community)
/u/63360/cyberjack_avatar.png?f=community){kind=avatar}
:strip_icc():strip_exif()/u/69025/nvicon.jpg?f=community)
:strip_icc():strip_exif()/u/146731/crop562615a0aa64c.jpeg?f=community)
:strip_icc():strip_exif()/u/41123/giotto_wash.jpg?f=community)
:strip_exif()/u/84481/crop55f2cc178a988_cropped.gif?f=community)
:strip_exif()/u/16953/bean.gif?f=community)
