[Ubiquiti-apparatuur] Ervaringen & Discussie - Deel 2

[Jan-man]

To_Tall schreef op vrijdag 13 juli 2018 @ 16:14:
[...]

Afhankelijk wat je allemaal hebt ingesteld natuurlijk. De X is de basis edgerouter voor een leuke prijs. Ik heb hem zelf ook een tijdje draaiend gehad. nooit problemen mee gehad (KPN FTTH)

Echter hij heeft zo limitaties. Minder CPU, Minder geheugen enz. dus ja mocht je iets ingesteld hebben wat geheugen en of CPU kost. dan kan de troughput afzwakken.

Nou niet zoveel op dit moment eigenlijk.

Heb ftth kpn (eth0) erop draaien met 1 lan netwerk (eth1) met 2 vlan over de glas gbic (eth5).

Verder 1 port forwarding

Dus zoveel is het eigenlijk niet dus zou makkelijk moeten. De CPU en ram worden nauwelijks aangesproken.

En heb een glas

[Dafjedavid]

CK firmware 11.5 en controller versie 5.8.25 is uit in t unifi beta forum.
Voor degene die issues hebben met 11.4 en 5.8.24 lost t mss wat op.
Wordt aangegeven dat er veel bugfixes zijn.

[glenn456]

Jan-man schreef op vrijdag 13 juli 2018 @ 19:23:
[...]


Nou niet zoveel op dit moment eigenlijk.

Heb ftth kpn (eth0) erop draaien met 1 lan netwerk (eth1) met 2 vlan over de glas gbic (eth5).

Verder 1 port forwarding

Dus zoveel is het eigenlijk niet dus zou makkelijk moeten. De CPU en ram worden nauwelijks aangesproken.

En heb een glas

Offloading wel geactiveerd voor de edgerouter X ? En welke firmware draai je ?

[nero355]

kookboy schreef op maandag 9 juli 2018 @ 18:49:
Fast roaming uitgezet op het verborgen netwerk en wpa2 authenticate aangezet en werkt als de beste. Thanx BushWhacker !!!

Geen Hidden SSID gebruiken!

Is al meerdere keren uitgelegd in Deel 1 en 2 waarom dat een slecht idee is : Je verstoort namelijk ALLE SSID's in je buurt!

QempZoR schreef op woensdag 11 juli 2018 @ 10:22:
Regel 13
Het schijnt dat Telfort het niet accepteert dat er 2 DHCP requests van hetzelfde mac komen.
Misschien kan je dus ook een willekeurig adres ingevuld.
Ik heb er voor gekozen om de laatste letter van het macadres met 1 letter in het alfabet te verhogen.
In mijn geval xx:xx:xx:xx:xx:xd

Regel 29
Het macadres wat op de status pagina van de EB staat. (en misschien ook wel op de sticker achterop)

Dan benadeel je dus misschien iemand anders die straks ook een Ubiquiti router i.c.m. Telfort gebruikt

Kan je beter wat leuks doen met het MAC adres van de EB

[QempZoR]

nero355 schreef op vrijdag 13 juli 2018 @ 21:14:
[...]

Dan benadeel je dus misschien iemand anders die straks ook een Ubiquiti router i.c.m. Telfort gebruikt

Kan je beter wat leuks doen met het MAC adres van de EB

Die snap ik niet helemaal.
Voor eth0.34 gebruik ik het macadres wat achterop mijn EB staat. (Die ligt nu hier in de kast)
Voor eth0.4 gebruik ik datzelfde macadres, maar dan de laatste letter 1 verhoogt.

Je bedoeld dat er een kans is dat iemand hier een Experiabox heeft, met op de sticker het macadres die ik heb gemaakt op .4? Die kans lijkt me echt te nihil.. haha

Edit: het staat er inderdaad wat krom. Voor de duidelijkheid, het gaat om het macadres van mij EB die met 1 is verhoogd. Niet van mijn USG.

[ Voor 9% gewijzigd door QempZoR op 13-07-2018 21:29 ]

[nero355]

QempZoR schreef op vrijdag 13 juli 2018 @ 21:27:
Die snap ik niet helemaal.
Voor eth0.34 gebruik ik het macadres wat achterop mijn EB staat. (Die ligt nu hier in de kast)
Voor eth0.4 gebruik ik datzelfde macadres, maar dan de laatste letter 1 verhoogt.

Je bedoeld dat er een kans is dat iemand hier een Experiabox heeft, met op de sticker het macadres die ik heb gemaakt op .4? Die kans lijkt me echt te nihil.. haha

Edit: het staat er inderdaad wat krom. Voor de duidelijkheid, het gaat om het macadres van mij EB die met 1 is verhoogd. Niet van mijn USG.

Dan nog : Niet doen!

Gewoon een normaal bestaand MAC adres gebruiken! Die dingen zijn niet zomaar bedacht

[Yoshimi]

Dafjedavid schreef op vrijdag 13 juli 2018 @ 20:27:
CK firmware 11.5 en controller versie 5.8.25 is uit in t unifi beta forum.
Voor degene die issues hebben met 11.4 en 5.8.24 lost t mss wat op.
Wordt aangegeven dat er veel bugfixes zijn.

Wat me opviel onder het item controller settings in 5.8.25 is ‘limit of adopted devices’, met een maximum van 26. Nu kom je daar in een gemiddelde thuissituatie niet snel aan, maar ik kan vooralsnog nergens terugvinden wat het doel ervan gaat zijn? Zou dat wellicht betekenen dat je straks moet betalen om meer devices te adopteren? Of is het een technische limiet?

[QempZoR]

nero355 schreef op vrijdag 13 juli 2018 @ 21:30:
[...]

Dan nog : Niet doen!

Gewoon een normaal bestaand MAC adres gebruiken! Die dingen zijn niet zomaar bedacht

ZIt wat in, zo snel niet aan gedacht dat ik natuurlijk wel het macadres van de USG zelf ook kan gebruiken.
Heb nu op eth0.4 het macadres van mijn exeriabox gezet en op eth0.34 het macadres van mijn USG.
Dit werkt ook perfect.

Thanks voor de tip!

[rally]

Ik zag het volgende in het changelog:

Controller bugfixes/changes since 5.8.24:
Add setup size status for UniFi Cloud Key.
Allow forced adoption in case the adopted device limit is reached.
Hide broken RSSI Histogram on nanoHD.
Fix autocomplete for creating new RADIUS user.
Various bug fixes and improvements.

En mijn oog viel op : Allow forced adoption in case the adopted device limit is reached.

Iemand die weet wat dat inhoud en/of wat de limieten dan zijn?

[Dafjedavid]

Hier noemen ze een soort van limieten, maar het artikel lijk suggestief:
https://help.ubnt.com/hc/...can-the-Cloud-Key-handle-

[RobertMe]

rally schreef op zaterdag 14 juli 2018 @ 08:27:
Ik zag het volgende in het changelog:

Controller bugfixes/changes since 5.8.24:
Add setup size status for UniFi Cloud Key.
Allow forced adoption in case the adopted device limit is reached.
Hide broken RSSI Histogram on nanoHD.
Fix autocomplete for creating new RADIUS user.
Various bug fixes and improvements.

En mijn oog viel op : Allow forced adoption in case the adopted device limit is reached.

Iemand die weet wat dat inhoud en/of wat de limieten dan zijn?

mchl8 schreef op vrijdag 13 juli 2018 @ 21:47:
[...]


Wat me opviel onder het item controller settings in 5.8.25 is ‘limit of adopted devices’, met een maximum van 26. Nu kom je daar in een gemiddelde thuissituatie niet snel aan, maar ik kan vooralsnog nergens terugvinden wat het doel ervan gaat zijn? Zou dat wellicht betekenen dat je straks moet betalen om meer devices te adopteren? Of is het een technische limiet?

Ik denk dat jullie elkaars vraag beantwoorden

[HKLM_]

zeroday schreef op zaterdag 30 juni 2018 @ 08:39:
[...]


Niets van wat je al niet draait. Je hoeft echt geen extra services in te richten.

1. Ervoor zorgen dat je de DNS namen van je machines goed hebt staan
2. je USG is je 'DNS' provider dus die verzorgt d.m.v. of DHCP of fixed IP dat de machines in je domein werken
3. bij settings - networks - lan geef je je domeinnaam op. In mijn geval is dat gewoon een normale domeinnaam die ik heb en die gebruik ik voor 99% alleen maar intern. Dangooit ie je domeinnaam achter de hostname via DHCP
3a. in de controller bij de namen van je machines kan je bijv. bij fixed ips de gehele dns naam meegeven

zo heb ik in mijn normale externe dns 90% van al mijn prive subdomeinen niet gedefinieerd. als jij vanaf buiten naar bijv. subdomein 'media.myawesomestuff.com' dan kom je er nooit, maar ik intern wel.

Als je het wel configureert in je externe DNS dan kan dit in sommige gevallen problemen geven (bijv. als je via je DHCP onder windows af en toe wat dns problemen hebt (gebeurt vooral na een firmware upgrade) dan krijg je of geen goede lookup of je moet bijv. eerst een ipconfig /flushdns doen om de juiste IP weer te krijgen.
4. Je kan dit alles ook met een pihole doen, maar is niet nodig. De USG doet hierin wat ie moet doen.

En als dat niet werkt dan gewoon onder bijv. windows je host file aanpassen
waar je gewoon verwijst naar de interne IP adressen van je machines

Oh en het mooie van dit alles: het domeinnaam wat je bedenkt hoeft niet perse van jezelf te zijn
zo zou je pinup.playboy.com gewoon intern kunnen draaien

Zou je mij nog eens willen helpen. Ik heb een real domain name HKLM_.nl en mijn unifi controller wil ik intern kunnen bereiken op unifi.hklm_.nl als ik mijn hostfile in windows aanpast gaat dit prima maar via de USG DNS lukt het niet ondanks je stappen.

- Ik heb de naam van de cloud key aangepast naar unifi en in de settings/network/lan als domain opgegeven hkml_.nl echter als ik dan op een systeem zit zonder de aangepaste host file kom ik er nog niet op helaas. Ik zie vast iets niet...

Schiet mij maar lek haha ik heb bij de settings/network/lan mijn domain opgegeven HKLM_.nl die zie ik ook terug in mijn dns op mijn iphone als search domains. Maar het werkt niet... Ik heb nu de dnsmask via cli aangepast en het werk

code:

 /etc/dnsmasq.d/dnsmasq.static.conf

code:

 address=/unifi.hklm_.nl/192.168.1.10

code:

 sudo /etc/init.d/dnsmasq force-reload

Zie vast iets over het hoofd in de GUI maar ben blij dat het nu werkt

[ Voor 10% gewijzigd door HKLM_ op 14-07-2018 14:25 ]

[rally]

RobertMe schreef op zaterdag 14 juli 2018 @ 09:02:
[...]


[...]


Ik denk dat jullie elkaars vraag beantwoorden

LOL....

Maar... max 26 devices is wel een probleem. Daar zit ik op mijn werk al overheen... benieuwd hoe dat gaat lopen.
En is het per site of totaal? Want ik heb 18 sites draaien met een veelvoud van 26 devices.

[SmokingCrop]

rally schreef op zaterdag 14 juli 2018 @ 14:40:
[...]


LOL....

Maar... max 26 devices is wel een probleem. Daar zit ik op mijn werk al overheen... benieuwd hoe dat gaat lopen.
En is het per site of totaal? Want ik heb 18 sites draaien met een veelvoud van 26 devices.

Ik zou sowieso al geen cloud key gebruiken voor dergelijke groottes. Gewoon op een (remote) server hosten. Sowieso veel handiger met 1 dedicated plaats voor al je sites (zonder die cloud functie te gebruiken om te connecteren met je cloudkeys). Moet je ook maar 1 controller updaten, back-up'n etc. Krijg je ook meer performance voor terug dan zo'n raspberry pi achtige controller qua kracht.
Een device naar een remote controller adopten is maar kwestie van 1 commando 2x uit te voeren via ssh op je device:
set-inform http://ip.of.domein:8080/inform

Het lijkt me overigens een technische limitatie, ze geven bv volgend voorbeeld aan van wat de cloudkey aankan:

1 USG
1 US24
24 UAPs
1000 concurrent clients
https://help.ubnt.com/hc/...can-the-Cloud-Key-handle-


"For example, a Cloud Key would be a great option for a remote office with 2 APs and up to a dozen of simultaneously connected clients"

"As your network becomes more complex—with more sites, UniFi devices and most critically, connected client devices, it becomes a better option to use a dedicated controller with more resources than the Cloud Key."

[ Voor 27% gewijzigd door SmokingCrop op 14-07-2018 16:03 ]

[rally]

Ahhhh. Ik had niet in de gaten dat de limiet voor een cL gold.

Mijn sites draaien op een hosted omgeving.

Dat scheelt al een hoop!

Wellicht dat de Gen2 van de CK meer devices aan kan (want meer geheugen opslag)

[xbeam]

XS4ALL heeft al een tijd de instellen voor iptv online staan. Ik ga er vanuit dat ze voor kpn het zelfde zullen zijn. Dus daarom dat ik het hier deel.

https://www.xs4all.nl/ser...an-fritzbox-instellen.htm

De router maakt (naast de normale internet verbinding via een PPP verbinding) ook een (bridged, RFC1483) verbinding voor de TV.
• Voor ADSL gaat dat via vpi/vci 8/71
• Voor VDSL en FTTH via (802.1q) VLAN 4

Via DHCP wordt een ip adres (alleen v4) opgehaald. In het DHCP request moeten de volgende opties staan:
• 55 (parameter-rquest-list), bevat minstens 1, 3, 28 en 121
• 60 (Vendor Class Identifier), bevat de string IPTV_RG

Het DHCP antwoord bevat (in optie 121, zie RFC3442) een of meer statische routes, daarmee wordt dynamisch aangegeven welk verkeer niet via de PPP verbinding maar via de iTV verbinding gerouteerd moet worden. In optie 121 worden niet meer dan enkele routes doorgegeven, maximaal 16.
Let op, in dat DHCP antwoord zit ook nog een nameserver, die moet genegeerd worden.

De STB wordt (via DHCP op het LAN) voorzien van een normaal ip op het LAN, daar zit verder niets speciaals in.

Omdat de klantrouter als eind-device functioneert vanuit het TV platform gezien moet daar een IGMP proxy actief zijn (IGMPv2). Alle live tv streams, alsmede gids informatie en STB updates zijn multicast gebaseerd. Een eventueel switch deel moet IGMP snooping implementeren. IGMP fast leave is noodzakelijk om onnodige streams (zappen van zender naar zender) af te kappen.

Video-on-demand functionaliteit gaat via unicast, hiervoor is geen speciale functionaliteit nodig, anders dan de statische route als via DHCP aangegeven. ‘MeerTV’ functionaliteit geschiedt via de normale internet verbinding

Sluit

[Yoshimi]

SmokingCrop schreef op zaterdag 14 juli 2018 @ 15:58:
[...]

Ik zou sowieso al geen cloud key gebruiken voor dergelijke groottes. Gewoon op een (remote) server hosten. Sowieso veel handiger met 1 dedicated plaats voor al je sites (zonder die cloud functie te gebruiken om te connecteren met je cloudkeys). Moet je ook maar 1 controller updaten, back-up'n etc. Krijg je ook meer performance voor terug dan zo'n raspberry pi achtige controller qua kracht.
Een device naar een remote controller adopten is maar kwestie van 1 commando 2x uit te voeren via ssh op je device:
set-inform http://ip.of.domein:8080/inform

Het lijkt me overigens een technische limitatie, ze geven bv volgend voorbeeld aan van wat de cloudkey aankan:

1 USG
1 US24
24 UAPs
1000 concurrent clients
https://help.ubnt.com/hc/...can-the-Cloud-Key-handle-


"For example, a Cloud Key would be a great option for a remote office with 2 APs and up to a dozen of simultaneously connected clients"

"As your network becomes more complex—with more sites, UniFi devices and most critically, connected client devices, it becomes a better option to use a dedicated controller with more resources than the Cloud Key."

Thanks, da’s duidelijk

[nero355]

HKLM_ schreef op zaterdag 14 juli 2018 @ 14:06:
Zou je mij nog eens willen helpen. Ik heb een real domain name HKLM_.nl en mijn unifi controller wil ik intern kunnen bereiken op unifi.hklm_.nl als ik mijn hostfile in windows aanpast gaat dit prima maar via de USG DNS lukt het niet ondanks je stappen.

- Ik heb de naam van de cloud key aangepast naar unifi en in de settings/network/lan als domain opgegeven hkml_.nl echter als ik dan op een systeem zit zonder de aangepaste host file kom ik er nog niet op helaas. Ik zie vast iets niet...

Schiet mij maar lek haha ik heb bij de settings/network/lan mijn domain opgegeven HKLM_.nl die zie ik ook terug in mijn dns op mijn iphone als search domains. Maar het werkt niet... Ik heb nu de dnsmask via cli aangepast en het werk

code:

 /etc/dnsmasq.d/dnsmasq.static.conf

code:

 address=/unifi.hklm_.nl/192.168.1.10

code:

 sudo /etc/init.d/dnsmasq force-reload

Zie vast iets over het hoofd in de GUI maar ben blij dat het nu werkt

Ik misbruik daarvoor een Raspberry Pi met Pi-Hole erop en de Unifi Controller draait er uiteraard ook op

[HKLM_]

nero355 schreef op zaterdag 14 juli 2018 @ 18:06:
[...]

Ik misbruik daarvoor een Raspberry Pi met Pi-Hole erop en de Unifi Controller draait er uiteraard ook op

Die pi-hole heb ik ook wel eens draaiend gehad maar heb alleen non gigabit pi’s liggen. Daarnaast klaagde de vrouw over de google adds..

[nero355]

HKLM_ schreef op zaterdag 14 juli 2018 @ 18:16:
Die pi-hole heb ik ook wel eens draaiend gehad maar heb alleen non gigabit pi’s liggen.

Zelfs Wireless is snel genoeg dus dat mag de pret niet drukken

Daarnaast klaagde de vrouw over de google adds..

Zeker het niet erop kunnen clicken ?

Heb ik ze hier afgeleerd

[HKLM_]

nero355 schreef op zaterdag 14 juli 2018 @ 18:20:
[...]

Zelfs Wireless is snel genoeg dus dat mag de pret niet drukken


[...]

Zeker het niet erop kunnen clicken ?

Heb ik ze hier afgeleerd

Zal van de week weer eens kijken heb ook nog een pi zero liggen dus gaan we eens testen. En tja ze wilt er inderdaad op klikken

Weer een beetje on topic/ Zijn die eerste gen AP’s (groene led) nog een beetje te verkopen? Ga bij mijn ouders de groene led’s vervangen voor ac-lite en een ac-lr maar zou je die nog kunnen dumpen bij iemand

[ Voor 3% gewijzigd door HKLM_ op 14-07-2018 18:28 ]

[TripleQ]

Ik heb nu in de meterkast een ac-lite hangen. Maar de bovenverdieping heeft nog steeds geen goed bereik. Af en toe is er wel wifi te vinden, maar voordat je het weet zit je telefoon weer op 4G.

Via een loze leiding kan ik boven nog een access point ophangen.

Zou ik dan weer gaan voor een ac-lite? Of een LR variant? De pro heeft zo te zien alleen maar als voordeel dat deze een extra ethernet poort heeft? (Niet nodig)

Ik ben bang dat de LR dan zo sterk zou zijn, dat deze de lite in de meterkast overstemt. Het gaat om een kleine (2 jaar oude nieuwbouw) tussenwoning met twee betonnen verdiepingsvloeren.

[Justin2000]

De pro heeft 450 mbit op 2.4g de lite 300mbit. Ook op de 5ghz band is de pro sneller.

[RobertMe]

Justin2000 schreef op zaterdag 14 juli 2018 @ 19:07:
De pro heeft 450 mbit op 2.4g de lite 300mbit. Ook op de 5ghz band is de pro sneller.

"is sneller" => "kan sneller zijn". Die hogere snelheid komt (uiteraard) uit 3x3 MIMO van de Pro vs 2x2 MIMO van de Lite. Echter merk je dit voordeel dus ook alleen als je clients ook 3x3 MIMO zijn. En voor zover ik weet zijn er niet extreem veel apparaten met 3x3 MIMO. Telefoons (& tablets?) zijn normaliter 1x1, en laptops 2x2. Enige wat ik zo snel weet met 3x3 MIMO zijn de MacBooks met touch bar (inderdaad, dezelfde MacBook zonder touch bar is maar 2x2) en waarschijnlijk nog wat andere zakelijke laptops. Als je geen 3x3 clients hebt geeft de Pro (zolang) dus ook geen snelheidsvoordeel. Voordeel van de Pro in dat geval is echter wel dat deze de derde, "ongebruikte", antenne bij ontvangen kan inzetten om ruis te onderdrukken. De Pro zou in die gevallen dus een iets beter ontvangst kunnen geven (echter is het uiteraard wel beter, en bijna goedkoper, om 2x een Lite te plaatsen dan 1x een Pro).

[TripleQ]

Ok, thanks.il
Ik heb geen apparatuur die dit aankan, dus een tweede lite lijkt mij prima genoeg.

De LR is er dan ook nog als alternatief, maar ik vermoed dat deze weinig toevoeging heeft in mijn relatief kleine woning.

[RobertMe]

TripleQ schreef op zaterdag 14 juli 2018 @ 19:35:
De LR is er dan ook nog als alternatief, maar ik vermoed dat deze weinig toevoeging heeft in mijn relatief kleine woning.

Correct. Een LR is vooral leuk voor in een grote open ruimte (bedrijfshal bv). In een huis met verschillende storingsfactoren ga je het verschil tussen een Lite en LR waarschijnlijk niet eens merken.

[TripleQ]

De tweede lite is inmiddels besteld.
Bedankt voor de adviezen

[ardvark99]

RobertMe schreef op zaterdag 14 juli 2018 @ 19:24:
[...]
[...knip…]

Voordeel van de Pro in dat geval is echter wel dat deze de derde, "ongebruikte", antenne bij ontvangen kan inzetten om ruis te onderdrukken. De Pro zou in die gevallen dus een iets beter ontvangst kunnen geven (echter is het uiteraard wel beter, en bijna goedkoper, om 2x een Lite te plaatsen dan 1x een Pro).

Interessant. Waar stel je dat in? En waar is informatie hier over te vinden? Niet dat ik het nodig vind, maar ben gewoon benieuwd.

En nog een andere vraag: ik heb mijn AP's (Pro en LR) nu beide op auto channel staan, maar ik heb laatst ergens gelezen dat je de kanalen beter vast kan zetten op een redelijk leeg kanaal. Zo van: laat de buren maar een vrij kanaal zoeken op auto.

En ik zag laatst in de controller dat ie een tijdje (paar weken) de 2G kanalen van beide AP's op het zelfde kanaal had gezet op de auto stand. Is het beter om de kanalen het zelfde te houden? Het lijkt mij dan dat ze dan elkaar in de weg zitten. Dit na een RF scan gedaan te hebben.

[RobertMe]

ardvark99 schreef op zaterdag 14 juli 2018 @ 21:03:
[...]


Interessant. Waar stel je dat in? En waar is informatie hier over te vinden? Niet dat ik het nodig vind, maar ben gewoon benieuwd.

Bron heb ik hier (helaas) niet voor maar dit is een algemeen ding voor zover ik weet (en dus niet Ubiquiti specifiek). Maar wat ik ervan begrepen hebt komt de techniek min of meer overeen met bv een telefoon met een extra microfoon voor noise cancellation. Een extra antenne/microfoon kijkt alleen naar de "ruis" waardoor het daadwerkelijke signaal/geluid (beter) te filteren valt uit het "normale" signaal (van de client)/geluid (van de primaire microfoon).

En nog een andere vraag: ik heb mijn AP's (Pro en LR) nu beide op auto channel staan, maar ik heb laatst ergens gelezen dat je de kanalen beter vast kan zetten op een redelijk leeg kanaal. Zo van: laat de buren maar een vrij kanaal zoeken op auto.

En ik zag laatst in de controller dat ie een tijdje (paar weken) de 2G kanalen van beide AP's op het zelfde kanaal had gezet op de auto stand. Is het beter om de kanalen het zelfde te houden? Het lijkt mij dan dat ze dan elkaar in de weg zitten. Dit na een RF scan gedaan te hebben.

Simpel gezegd geldt het volgende:
Op 2,4GHz moet je alleen kanaal 1, 6 of 11 gebruiken. Dit omdat de kanalen op 2,4GHz overlappen, 2 naar boven en 2 naar beneden. Dus kanaal 6 gebruikt de frequenties van kanaal 4 t/m 8, 1 dan "-1" t/m 3, en 11 9 t/m 13 (jip, 13 bestaat, in sommige landen/regios). Doordat apparaten rekening moeten houden met dat ze niet door elkaar heen kunnen zenden/dat storing oplevert wil je dus niet op een van die tussenliggende kanalen zitten. Want als je bv kanaal 3 gebruikt heb je zowel storing van alle apparaten op kanaal 1 (& 2) en alle apparaten op kanaal 6 (door overlap op kanaal 4 & 5). Daarbij geldt dus ook dat je in principe niet een kanaal wilt gebruiken wat al door anderen gebruikt wordt of door een andere reden "vervuilt" is. Echter heb je er niet echt een keuze in (tenzij je ergens midden op het platteland woont en er geen wifi apparaten in de buurt zijn). Doordat je dus geen lege kanalen kunt gebruiken kan in jouw situatie het best zo zijn dat het beter is om beide APs op hetzelfde kanaal te zetten (als alle andere kanalen nog "vervuilder" zijn).

Het grote voordeel van 5GHz is vervolgens dat deze kanalen niet overlappend zijn*. Je kunt dus elk kanaal gebruiken zonder rekening te houden met overlap, in tegenstelling tot de "alleen 1, 6 en 11" van 2,4GHz. Echter geldt uiteraard wel dat je een kanaal wilt gebruiken wat zo leeg mogelijk is. Maar ook daarbij heeft 5GHz weer een voordeeltje. Standaard heb je "maar" 4 kanalen tot je beschikking. Maar met DFS krijg je daar nog een berg kanalen bij. DFS kanalen zijn namelijk speciale kanalen die je eigenlijk niet mag gebruiken, bv omdat deze gebruikt worden door radar van weerstations of vliegvelden, maar DFS is daarbij een techniek waarbij het AP scant of er zo'n radars "zichtbaar" zijn en op het moment dat dat het geval is zal het AP automatisch terugschakelen naar een niet-DFS kanaal. Op het moment dat je dus niet naast een weerstation of vliegveld woont krijg je dus nog eens 12 kanalen erbij op de 5GHz band.

* Dit op het moment dat je een kanaalbreedte van 20MHz (HT20) gebruikt, stel je de kanaalbreedte in op 40MHz (HT40) of zelfs 80MHz (VHT80) krijg je uiteraard wel overlap. Op 5GHz kun je een hogere kanaalbreedte daarom "veiliger" gebruiken, op 2,4GHz een kanaalbreedte van 40MHz gebruiken leidt alleen maar tot nog meer problemen.

Welke kanalen je AP mee overlapt zie je overigens ook terug bij de RF environment. Dit is het gearceerde deel. Dit houd ook meteen rekening met je kanaalbreedte en zal dus meteen de extra overlappende kanalen arceren.

TL;DR: Op 2,4GHz moet je altijd 1, 6 of 11 gebruiken. Gebruik daarbij de kanalen die het leegst zijn, en als daaruit blijkt dat je eigenlijk maar 1 kanaal echt goed kunt gebruiken dan kan het een noodzakelijk kwaad zijn om je APs op dat kanaal te zetten. Op 5GHz kun je elk kanaal gebruiken en ook daarbij geldt dat je het best een zo leeg mogelijk kanaal pakt. Daarbij kun je ook gebruik maken van DFS voor "extra" kanalen waarbij het waarschijnlijker is dat die leeg zijn.

[ardvark99]

RobertMe schreef op zaterdag 14 juli 2018 @ 22:16:
[...]

[...knip…]

[...]

Bedankt voor de uitgebreide uitleg. Ik zal de komende tijd eens kijken wat de AP's doen. Voorlopig laat ik ze op auto staan (ik heb verder geen problemen met mijn AP's, draait prima hier). Het is mij in ieder geval iets duidelijker geworden.

[xbeam]

SilencerNL schreef op zondag 8 juli 2018 @ 11:22:
[...]


@kwad , @xbeam
Inmiddels heb ik (voor mijn situatie) de oplossing gevonden. Het blijkt dat in de nieuwste controller versie de firewall settings gewijzigd worden, waardoor het één en ander geblokkeerd wordt.

Nadat ik het volgende stukje 'firewall' heb toegevoegd aan mijn custom.gateway.json, werkt IPTV weer zoals vanouds, met controller versie 5.8.24 en USG versie 4.4.22

(Het gaat om het stukje "source-validation": "disable")

JSON: filename=custom.gateway.json

{
   "firewall":{
      "source-validation":"disable"
   },
   "interfaces":{
      "....KNIP....."
   }
}

Is het ook gelukt om hem in de controller weer online te krijgen?

[Yoshimi]

Ik heb een vraagje over het gebruik van het standaard VLAN en de toegevoegde waarde van een management VLAN in een thuisomgeving.

Momenteel heb ik een VLAN gemaakt voor IoT spullen, waaronder een TV en domotica controller. Op mijn UniFi switch heb ik een nieuw port profile gemaakt die als trunk dient voor de uplink poort naar de ERL, met LAN als native en het IoT netwerk getagged. Access points, switch, ERL en andere apparaten zitten op het standaard VLAN (1), genaamd ‘LAN’.

Zijn er anderen hier die ook de overige netwerkapparatuur zoals switch(es), AP’s e.d. in een apart VLAN gezet hebben, al dan niet een apart management VLAN opgetuigd hebben hiervoor?

[RobertMe]

mchl8 schreef op zondag 15 juli 2018 @ 19:57:
Zijn er anderen hier die ook de overige netwerkapparatuur zoals switch(es), AP’s e.d. in een apart VLAN gezet hebben, al dan niet een apart management VLAN opgetuigd hebben hiervoor?

Ik heb zelf het omgedraaide gedaan. Ik heb een 'prive' VLAN waarop de computers etc zitten. Het standaard LAN netwerk zitten vervolgens alleen de USG, switches, AP en mijn NAS in.

Momenteel heb ik een VLAN gemaakt voor IoT spullen, waaronder een TV en domotica controller. Op mijn UniFi switch heb ik een nieuw port profile gemaakt die als trunk dient voor de uplink poort naar de ERL, met LAN als native en het IoT netwerk getagged.

Dit is toch gewoon gelijk aan het altijd aanwezige all profile? Deze kun je zelf niet beheren, maar heeft ook LAN als untagged en al je extra aangemaakte netwerken als tagged.

[L201]

ohoh... ik was vanavond bezig om een ssl certificaat op mijn edgerouter (EdgeRouter-PoE 5-port) te installeren, om af te zijn van de unsafe melding binnen Chrome als ik inlog. Ik heb hiervoor deze instructies gebruikt: https://community.ubnt.co...5-and/m-p/1634700#M121338

Nu, gaf hij na het doorlopen van stap 2 een melding dat de verbinding verbroken was en ik zag ook nog een melding bij Alert staan, maar nu kom ik er via zijn ip of via dns niet meer op (webinterface). Ik heb nog wel een ssh connectie open staan. Voordat ik een reboot kan geven, kan ik via ssh misschien een en ander herstellen?

[edit] Reeds opgelost. Heb een 'delete service gui' gedaan en daarna een '/usr/sbin/lighttpd -f /etc/lighttpd/lighttpd.conf' om de webservice weer te herstarten

[ Voor 11% gewijzigd door L201 op 15-07-2018 22:05 ]

[Yoshimi]

RobertMe schreef op zondag 15 juli 2018 @ 20:50:
[...]

Ik heb zelf het omgedraaide gedaan. Ik heb een 'prive' VLAN waarop de computers etc zitten. Het standaard LAN netwerk zitten vervolgens alleen de USG, switches, AP en mijn NAS in.

[...]

Dit is toch gewoon gelijk aan het altijd aanwezige all profile? Deze kun je zelf niet beheren, maar heeft ook LAN als untagged en al je extra aangemaakte netwerken als tagged.

Dank je wel voor je hulp!
Hoe heb je dat dan met wireless apparatuur gedaan (laptop bijvoorbeeld)? Bekabeld kun je natuurlijk prima via de betreffende switch poort van een ander VLAN voorzien, maar hoe bereik je dat met draadloze clients?

Daar zeg je wat. Ik heb dus een profiel gemaakt dat gewoon al bestaat . Gelijk even rechtgezet, had ik zelf eigenlijk ook moeten weten. Bedankt me daar even op te wijzen!

[RobertMe]

mchl8 schreef op zondag 15 juli 2018 @ 22:16:
[...]


Dank je wel voor je hulp!
Hoe heb je dat dan met wireless apparatuur gedaan (laptop bijvoorbeeld)? Bekabeld kun je natuurlijk prima via de betreffende switch poort van een ander VLAN voorzien, maar hoe bereik je dat met draadloze clients?

Bij het WLAN kun je (onder Advanced? IIRC) het VLAN ID opgeven dat gebruikt moet worden voor dat WLAN.

[MisteRMeesteR]

mchl8 schreef op zondag 15 juli 2018 @ 22:16:
[...]


Dank je wel voor je hulp!
Hoe heb je dat dan met wireless apparatuur gedaan (laptop bijvoorbeeld)? Bekabeld kun je natuurlijk prima via de betreffende switch poort van een ander VLAN voorzien, maar hoe bereik je dat met draadloze clients?

Daar zeg je wat. Ik heb dus een profiel gemaakt dat gewoon al bestaat . Gelijk even rechtgezet, had ik zelf eigenlijk ook moeten weten. Bedankt me daar even op te wijzen!

onder je wireless network kun je een VLAN ID (dot1q) opgeven.

[Yoshimi]

RobertMe schreef op zondag 15 juli 2018 @ 22:19:
[...]

Bij het WLAN kun je (onder Advanced? IIRC) het VLAN ID opgeven dat gebruikt moet worden voor dat WLAN.

Yep, dat ga ik morgenavond dan eens proberen! Blijft mooi spul, dat Ubiquiti

[kwad]

Is het ook gelukt om hem in de controller weer online te krijgen?

Bij mij nog niet. Hij staat nog steeds op Disconnected. Wel heb ik met iemand van ubnt via het ticketsysteem contact en hij is aan het uitzoeken hoe dit komt. Vrijdag einde dag voor het laatst contact gehad dus hopelijk komt hij er vandaag weer op terug.

[QempZoR]

kwad schreef op maandag 16 juli 2018 @ 11:53:
[...]

Bij mij nog niet. Hij staat nog steeds op Disconnected. Wel heb ik met iemand van ubnt via het ticketsysteem contact en hij is aan het uitzoeken hoe dit komt. Vrijdag einde dag voor het laatst contact gehad dus hopelijk komt hij er vandaag weer op terug.

Probeer firmware 4.4.18 is voor de USG.
Bij alle andere versies blijft hij bij mij ook op Disconnect.
4.4.18 werkt wel.

[databeestje]

Kavaa schreef op vrijdag 13 juli 2018 @ 09:21:
[...]


Ik kan me niet echt een situatie zo voorstellen waarom je het geheugen zou willen uitbreiden?
Vertel...

BGP tables hebben wat geheugen nodig
Ik heb bevestiging vanuit een medewerker dat dit in de 6P niet mogelijk is. Het komt er dan op neer dat de enige optie de Edgerouter Pro of een Edgerouter Infinity is.

Nu zijn we een week verder met de 2 stuks Edgerouter Pro en 2 Full tables en iBGP tussen de units met een VRRP op het lan. Maar in het geval van failover moet je echt wel minuten (5+) geduld hebben. Nu schijnt het wel zo te zijn dat de ER-8-XG echt veel sneller is.

Nu gaat het om 2 x 500Mbit, dus niet echt schokkend, maar de CPU hit in geval van failover ziet er verdacht veel uit als CPU routing in plaat van hardware routing, dus dan zou een infinity niet overbodig zijn.

Je kan het ook zien op de console van de ER, het ribd proces hangt dan langdurig op een core.

[burne]

databeestje schreef op maandag 16 juli 2018 @ 22:37:
[...]

BGP tables hebben wat geheugen nodig

Ga je een full routing table bijhouden op je routertje?

Het is lang geleden dat ik bytes moest tellen maar je moet op enkele tientallen bytes per route rekenen. Als je een redundant default route van je ISP krijgt heb je dus minder dan 100 bytes nodig voor je route-tabel.

Maar als je alle 725930 IPv4 routes wilt heb je wat meer geheugen nodig. 'Echte' routers hebben de route-tabel in TCAM, wat een beetje duurder en veel sneller dan RAM is, en daar maakt het uit.

[Jan-man]

Iemand enig idee hoe ik het volgende netter oplos ?

 

setup

 

KPN Glas ->  Edgerouter X sfp

                                               -> eth.0 = wan

                                               -> eth.1 = switch0 = lan

                                               -> eth.2 = switch0 = itv

                                               -> eth.3 = switch0 = itv

                                               -> eth.4 = switch0 = itv

 

Nu liep hij na 48 uur prima draaien ineens helemaal vast en kreeg geen ITV signaal meer . Ook was downloaden zeer onstabiel en crashde de edgrouter als ik een speedtest deed.

 

Hierop heb ik de edgerouter helemaal gewist en firmware verwijderd omdat sinds ik hem heb (1 week +-) er super veel mee heb zitten spelen en gekloot.

 

Na de volledige reset en opnieuw config erop werkt alles nu weer en is ook downloaden weer de volle 200/200 stabiel.

Echter na 2 tot 4 uur loopt de IGMP buffer vol lijkt het en begint itv te storen. Zodra ik restart igmp doe werkt alles weer 2 tot 4 uurtjes.

Als oplossing heb ik hiervoor een script gemaakt wat elke ~90 min een restart van igmp doet. Nadeel hiervan is dat dan de TV even 20 sec stoort. Nu niet zo proleem we kijken met dit weer toch bijna geen tv maar straks met de winter gaat dat wel opvallen.

 

Mijn vraag dus is er een optie om de IGMP niet te laten crashen/vollopen ? zonder de igmp te herstarten ?

[databeestje]

burne schreef op maandag 16 juli 2018 @ 23:24:
[...]


Ga je een full routing table bijhouden op je routertje?

Correct, maar het zijn er 2, elke kant van de straat 1. We hebben ook 2 seperate glas terminatie punten met eigen glas tussen de gebouwen.

Het is lang geleden dat ik bytes moest tellen maar je moet op enkele tientallen bytes per route rekenen. Als je een redundant default route van je ISP krijgt heb je dus minder dan 100 bytes nodig voor je route-tabel.

Voor trafic engineering doeleinden is gebruik van een full table makkelijker dan default routes.

Maar als je alle 725930 IPv4 routes wilt heb je wat meer geheugen nodig. 'Echte' routers hebben de route-tabel in TCAM, wat een beetje duurder en veel sneller dan RAM is, en daar maakt het uit.

Sterker nog, we hebben er nog eens 54k bovenop

Hiervoor gebruikten we een Cisco 4431 en een 4351, echter was de upgrade van de 4351 met performance licentie en smartnet wat aan de dure kant. En de extra poort deed het alleen met een nieuwere versie van IOS-XE. Het is ook een beetje kont dat deze nieuwere ISR modellen met 4GB ram komen maar deze in 2 stukken gesplitst worden waardoor je maar 1.7GB over houdt voor IOS-XE. Daar past dan weer geen full table in. Ze hadden beide dan ook 16GB ram om circa 7GB netto over te houden.

Zelfs de ISR heeft geen echte TCAM naar mijn weten, het is gewoon DDR4 wat er in gaat.

[DanTm]

Ik vroeg mij af wanneer je eigenlijk de update optie (knop) bij een AP te zien krijgt.
Mijn AP's zijn nu allemaal 3.9.27 (controller 3.8.24), maar op de site zie ik dat 3.9.42 ook al gereleased is. Waarom krijg ik die niet te zien als update? of kan dat alleen maar handmatig via de update url?

[Suicyder]

Ik moet zeggen dat ik positief verrast ben door zowel USG (non Pro) als de APs. Ik heb er van beide 1, zitten nu 7 users op en op AP soms 17 devices. Ding hobbelt vrolijk door zonder enig probleem.

Ook de snelheid blijft goed, 400/40 van Ziggo via ethernet of via 5Ghz wifi gewoon volledig belasten. Beste aankopen die ik in behoorlijk wat jaren heb gedaan op dit vlak.

[TPA]

DanTm schreef op dinsdag 17 juli 2018 @ 09:48:
Ik vroeg mij af wanneer je eigenlijk de update optie (knop) bij een AP te zien krijgt.
Mijn AP's zijn nu allemaal 3.9.27 (controller 3.8.24), maar op de site zie ik dat 3.9.42 ook al gereleased is. Waarom krijg ik die niet te zien als update? of kan dat alleen maar handmatig via de update url?

Hij is net uit, dat duurt meestal een aantal dagen...hij staat wel in de community maar nog niet op de download pagina.... ook dat duurt een aantal dagen.
Je kan hem op dit moment enkel handmatig updaten...

[DanTm]

TPA schreef op dinsdag 17 juli 2018 @ 09:56:
[...]


Hij is net uit, dat duurt meestal een aantal dagen...hij staat wel in de community maar nog niet op de download pagina.... ook dat duurt een aantal dagen.
Je kan hem op dit moment enkel handmatig updaten...

ok, maar 3.9.40 is al langer uit, en die is ook niet beschikbaar via de controller. Nog niet stabiel genoeg?

[RobertMe]

DanTm schreef op dinsdag 17 juli 2018 @ 09:48:
Ik vroeg mij af wanneer je eigenlijk de update optie (knop) bij een AP te zien krijgt.
Mijn AP's zijn nu allemaal 3.9.27 (controller 3.8.24), maar op de site zie ik dat 3.9.42 ook al gereleased is. Waarom krijg ik die niet te zien als update? of kan dat alleen maar handmatig via de update url?

Zoals @TPA al zegt gaat daar altijd een aantal dagen (volgens mij om en nabij een week) overheen. Dit zodat eerst "the brave" handmatig updaten en in geval van problemen kan Ubiquiti de update dan nog terugtrekken, i.p.v. deze (semi) automatisch* uitrollen naar alle gebruikers en maar hopen dat het overal werkt.

* Als gebruikers automatische firmware updates aan hebben staan worden deze dus automatisch gedaan (doh) vanaf het moment dat Ubiquiti deze via de controller aanbied, i.p.v. normaliter alleen de Update knop geven.

DanTm schreef op dinsdag 17 juli 2018 @ 09:59:
[...]


ok, maar 3.9.40 is al langer uit, en die is ook niet beschikbaar via de controller. Nog niet stabiel genoeg?

3.9.40 is alleen in beta forum uitgekomen IIRC? Dus inderdaad niet stabiel genoeg dan (of ze hadden verdere fixes al klaar voor 3.9.42 en daarom .40 overgeslagen)

[ Voor 17% gewijzigd door RobertMe op 17-07-2018 10:01 ]

[DanTm]

bedankt voor de reacties, ga ik nog wel even wachten tot hij officieel aangeboden wordt via de interface

[TPA]

RobertMe schreef op dinsdag 17 juli 2018 @ 10:00:
[...]


3.9.40 is alleen in beta forum uitgekomen IIRC? Dus inderdaad niet stabiel genoeg dan (of ze hadden verdere fixes al klaar voor 3.9.42 en daarom .40 overgeslagen)

zegt dit niet wat over de reden van 3.9.42:

IMPORTANT NOTE: In preparation for an upcoming code merge, we've updated the minimum firmware version to 3.9.42 for certain hardware. That means if you flash this firmware onto any HD/SHD/XG/BaseStationXG then you will not be able to downgrade to firmware prior to 3.9.42.

[loyske]

DanTm schreef op dinsdag 17 juli 2018 @ 10:03:
bedankt voor de reacties, ga ik nog wel even wachten tot hij officieel aangeboden wordt via de interface

In de mail stond verder nog het volgende:

We've prepared firmware 3.9.42.9152. Please see below for the changelog and links to the firmware binaries. This is a stable candidate release which is currently available via the blog only.

[M-int]

kwad schreef op maandag 16 juli 2018 @ 11:53:
[...]

Hij staat nog steeds op Disconnected.

Hoi Kwad, heb je toevallig een config.gateway.json op de controller voor deze site? Check dan eens of je bij de eth0 (USG3) of eth2 (USG4) iets anders hebt staan bij "description" dan "WAN".

code:

{
"firewall":{
      "source-validation":"disable"
   },
    "interfaces": {
        "ethernet": {
            "eth2": {
                "description": "WAN",
                "duplex": "auto",
                "speed": "auto",
                "vif": {
                    "4": {
ETC...

Zelf had ik hier iets anders staan en toen dit veranderde in "WAN" werd de USG weer in de controller goed weergegeven met info in de bolletjes.

[Sjalabert]

Heren,

Zit even met de handen in mijn haar (KPN IPTV vraagje). Ik heb het *json verhaal uitgevoerd op mijn USG. Heb een VLANonly netwerk aangemaakt en toegekend aan een poort. Op deze poort is de decoder aangesloten. Maar hij doet het niet (kan geen IP adres krijgen). Wat kan er fout gaan. Sorry voor de sumiere informatie. (ben een Applicatie persoon geen Netwerk )

[RobertMe]

Sjalabert schreef op dinsdag 17 juli 2018 @ 11:54:
Sorry voor de sumiere informatie. (ben een Applicatie persoon geen Netwerk )

Je kunt beginnen met uitleggen wat je hebt gedaan als onderdeel van:

Ik heb het *json verhaal uitgevoerd op mijn USG. Heb een VLANonly netwerk aangemaakt en toegekend aan een poort.

Zelf heb ik geen IPTV, maar de config.gateway.json is sowieso een essentieel onderdeel van het hele verhaal, dus hoe deze er nu uit ziet is nodig zodat anderen je kunnen helpen. Daarnaast heb je bij IPTV AFAIK ook nog een script nodig wat periodiek wordt uitgevoerd, moet IGMP zijn ingeschakeld, .... Oftewel: wat heb je nu precies gedaan? Alleen het "*json verhaal" is volgens mij dus al niet voldoende, en daarnaast zien wij niet wat je in het JSON bestand hebt staan (en staat dat op de correcte plek?)

Zoals gezegd, ik heb zelf geen IPTV dus kan je verder ook niet helpen. Maar je mag ook iets meer je best doen zodat anderen die IPTV wel werkend hebben je ook gericht kunnen helpen.

[QempZoR]

M-int schreef op dinsdag 17 juli 2018 @ 11:37:
[...]


Hoi Kwad, heb je toevallig een config.gateway.json op de controller voor deze site? Check dan eens of je bij de eth0 (USG3) of eth2 (USG4) iets anders hebt staan bij "description" dan "WAN".

code:

{
"firewall":{
      "source-validation":"disable"
   },
    "interfaces": {
        "ethernet": {
            "eth2": {
                "description": "WAN",
                "duplex": "auto",
                "speed": "auto",
                "vif": {
                    "4": {
ETC...

Zelf had ik hier iets anders staan en toen dit veranderde in "WAN" werd de USG weer in de controller goed weergegeven met info in de bolletjes.

Welke firmware draai je op de USG?

Dit zou voor wat kunnen betekenen, wanneer je een hogere versie dan 4.4.18 gebruik voor de USG, deze op Disconnected knalt.
Bij mij staat daar namelijk (alleen dan eth0, want gebruik een USG 3p) "eth0 - FTTH" en geen "WAN".

Misschien zit er in de nieuwere firmwares een check o.i.d. die wil dat de WAN ook als description "WAN" heeft...

EDIT: Helaas, had de hoop dat het aanpassen van de description ook het WAN ip in de controller zou aanpassen, maar helaas.

[ Voor 10% gewijzigd door QempZoR op 17-07-2018 14:23 ]

[Sjalabert]

RobertMe schreef op dinsdag 17 juli 2018 @ 12:01:
[...]

Je kunt beginnen met uitleggen wat je hebt gedaan als onderdeel van:

[...]


Zelf heb ik geen IPTV, maar de config.gateway.json is sowieso een essentieel onderdeel van het hele verhaal, dus hoe deze er nu uit ziet is nodig zodat anderen je kunnen helpen. Daarnaast heb je bij IPTV AFAIK ook nog een script nodig wat periodiek wordt uitgevoerd, moet IGMP zijn ingeschakeld, .... Oftewel: wat heb je nu precies gedaan? Alleen het "*json verhaal" is volgens mij dus al niet voldoende, en daarnaast zien wij niet wat je in het JSON bestand hebt staan (en staat dat op de correcte plek?)

Zoals gezegd, ik heb zelf geen IPTV dus kan je verder ook niet helpen. Maar je mag ook iets meer je best doen zodat anderen die IPTV wel werkend hebben je ook gericht kunnen helpen.

*begrijpelijk

Ik heb deze acties uitgevoerd: https://github.com/basmeerman/unifi-usg-kpn Daarna netwerk 'only VLAN 4 aangemaakt'. Deze aan een poort toegekend.

[kwad]

Hoi Kwad, heb je toevallig een config.gateway.json op de controller voor deze site? Check dan eens of je bij de eth0 (USG3) of eth2 (USG4) iets anders hebt staan bij "description" dan "WAN".

Hier heb ik inderdaad wat anders staan. Echter als ik het aanpas naar "WAN" dan nog steeds hetzelfde probleem.

Gisteren lange tijd gemaild met de helpdesk en we komen steeds een stapje verder. Ik hoop einde middag weer van hem te horen en dat we verder gaan met troubleshooten.

[eenbrauw]

Sjalabert schreef op dinsdag 17 juli 2018 @ 11:54:
Heren,

Zit even met de handen in mijn haar (KPN IPTV vraagje). Ik heb het *json verhaal uitgevoerd op mijn USG. Heb een VLANonly netwerk aangemaakt en toegekend aan een poort. Op deze poort is de decoder aangesloten. Maar hij doet het niet (kan geen IP adres krijgen). Wat kan er fout gaan. Sorry voor de sumiere informatie. (ben een Applicatie persoon geen Netwerk )

Heb je de juiste next hop in de json staan?
Zonder de next hop kan de decoder geen IPTV IP opvragen aan de KPN kant.

De next hop kun je opvragen in je USG door via SSH in te loggen en het onderstaande script uit te voeren. Het IP uit het script moet je in je json zetten onder "static route"

Next Hop script:

code:

sudo su
r_ip=$(show dhcp client leases | grep router | awk '{ print $3 }');
iptv_static=$(echo "Route 213.75.112.0/21 next-hop $r_ip")
echo -e "$iptv_static"
exit

Static route:

code:

"static": {
                        "interface-route": {
                                "0.0.0.0/0": {
                                        "next-hop-interface": {
                                                "pppoe2": {
                                                        "distance": "1"
                                                }
                                        }
                                }
                        },
                        "route": {
                                "213.75.112.0/21": {
                                        "next-hop": {
                                                "<next hop ip>": "''"
                                                }
                                        }
                                }
                        }

ps. deze website heeft ook een config voor KPN. wel een wat uitgebreidere config.

[edit] Quote omgezet naar code om het beter leesbaar te maken

[ Voor 22% gewijzigd door eenbrauw op 17-07-2018 14:29 ]

[Sjalabert]

eenbrauw schreef op dinsdag 17 juli 2018 @ 14:22:
[...]


Heb je de juiste next hop in de json staan?
Zonder de next hop kan de decoder geen IPTV IP opvragen aan de KPN kant.

De next hop kun je opvragen in je USG door via SSH in te loggen en het onderstaande script uit te voeren. Het IP uit het script moet je in je json zetten onder "static route"

Next Hop script:

code:

sudo su
r_ip=$(show dhcp client leases | grep router | awk '{ print $3 }');
iptv_static=$(echo "Route 213.75.112.0/21 next-hop $r_ip")
echo -e "$iptv_static"
exit

Static route:

code:

"static": {
                        "interface-route": {
                                "0.0.0.0/0": {
                                        "next-hop-interface": {
                                                "pppoe2": {
                                                        "distance": "1"
                                                }
                                        }
                                }
                        },
                        "route": {
                                "213.75.112.0/21": {
                                        "next-hop": {
                                                "<next hop ip>": "''"
                                                }
                                        }
                                }
                        }

ps. deze website heeft ook een config voor KPN. wel een wat uitgebreidere config.

[edit] Quote omgezet naar code om het beter leesbaar te maken

Dankje, straks maar (weer) eens proberen. Hopen dat ik tijd krijg van de vrouw want ze is ff internetloos.

[eenbrauw]

Ik ken het probleem, als je de next hop opvraagt, vervolgens in de json zet en de router alleen een provisioning geeft is de downtime minimaal .
Let wel, elke keer alsde router reboot kan de next hop veranderen, daarom is het handig om dit script paraat te houden.

[GJ007]

Loekie schreef op zondag 1 april 2018 @ 17:16:
[...]

Hier gaat vanuit de glasvezel aansluiting de fiber direct de fritzbox van tweak in, ga deze vervangen door de usg4 pro binnenkort. Dit was een nieuwe oplevering in nieuwbouwhuis en niet bestaande aansluiting.
Nog even uitvogelen welk type kabel gebruikt wordt, de std 1 meter is te kort en heb ca 3 mtr nodig.

Is al een tijdje terug, maar heb je dit werkend gekregen?

Gister eindelijk de HAS geplaatst hier, dus ik zit te wachten tot tweak oplevert.
SFP modules liggen inmiddels ook al klaar.

Heb overigens bewust geen tv via squarl genomen; kijken hier toch nooit, en ben van plan via NLziet die laat live momenten te bekijken (abbo helft goedkoper dan elk andere tv aanbieder) - en aanzienlijk makkelijk te configureren in dat geval

[HKLM_]

Vandaag achter het feit gekomen dat je in de USG ook een poort kan forwarden voor enkel IP-adressen die je zelf opgeeft. Damm dacht die controller aardig te kennen ondertussen

Dat geeft mooi de mogelijkheid om de Cloudkey bij mijn ouders eruit te doen, en direct verbinden met die van mij onder een aparte site scheelt weer updaten

[ Voor 32% gewijzigd door HKLM_ op 17-07-2018 16:17 ]

[zeroday]

HKLM_ schreef op zaterdag 14 juli 2018 @ 14:06:
[...]


Zou je mij nog eens willen helpen. Ik heb een real domain name HKLM_.nl en mijn unifi controller wil ik intern kunnen bereiken op unifi.hklm_.nl als ik mijn hostfile in windows aanpast gaat dit prima maar via de USG DNS lukt het niet ondanks je stappen.

- Ik heb de naam van de cloud key aangepast naar unifi en in de settings/network/lan als domain opgegeven hkml_.nl echter als ik dan op een systeem zit zonder de aangepaste host file kom ik er nog niet op helaas. Ik zie vast iets niet...

Schiet mij maar lek haha ik heb bij de settings/network/lan mijn domain opgegeven HKLM_.nl die zie ik ook terug in mijn dns op mijn iphone als search domains. Maar het werkt niet... Ik heb nu de dnsmask via cli aangepast en het werk

code:

 /etc/dnsmasq.d/dnsmasq.static.conf

code:

 address=/unifi.hklm_.nl/192.168.1.10

code:

 sudo /etc/init.d/dnsmasq force-reload

Zie vast iets over het hoofd in de GUI maar ben blij dat het nu werkt

in mijn USG Heb ik geen dnsmasq.static.conf maar een dnsmasq-dhcp-config.conf
Misschien werkte het bij jou niet omdat je wellicht/misschien geen DHCP op de USG hebt draaien?

dit staat er oa bij mij

##shared-network net_LAN_eth1_10.1.1.0-24

#subnet 10.1.1.0/24
dhcp-range=set:netLANeth11011024,10.1.1.90,10.1.1.250,255.255.25
5.0,84600
dhcp-option=tag:netLANeth11011024,vendor:ubnt,1,10.1.1.188
domain=zeroday.nl,10.1.1.0/24,local
dhcp-option=tag:netLANeth11011024,option:domain-name,zeroday.nl

[HKLM_]

zeroday schreef op woensdag 18 juli 2018 @ 08:16:
[...]


in mijn USG Heb ik geen dnsmasq.static.conf maar een dnsmasq-dhcp-config.conf
Misschien werkte het bij jou niet omdat je wellicht/misschien geen DHCP op de USG hebt draaien?

dit staat er oa bij mij

##shared-network net_LAN_eth1_10.1.1.0-24

#subnet 10.1.1.0/24
dhcp-range=set:netLANeth11011024,10.1.1.90,10.1.1.250,255.255.25
5.0,84600
dhcp-option=tag:netLANeth11011024,vendor:ubnt,1,10.1.1.188
domain=zeroday.nl,10.1.1.0/24,local
dhcp-option=tag:netLANeth11011024,option:domain-name,zeroday.nl

Mijn USG doet ook DHCP voor verschillende netwerken. Ik zal van het weekend nog eens kijken maar met deze oplossing ben ik ook tevreden.

Andere vraag voor het topic: Ik wil de AP's bij mijn ouders via L3 naar mijn cloudkey laten verwijzen dit heb ik gisten met succes getest thuis. Maar in inform is http weet iemand hoeveel verkeer er over de verbinding gaat tussen de AP en Controller en of dit gecodeerd is vanuit de controller / makkelijk is te onderscheppen?

[iAdema]

HKLM_ schreef op woensdag 18 juli 2018 @ 08:31:
[...]


Mijn USG doet ook DHCP voor verschillende netwerken. Ik zal van het weekend nog eens kijken maar met deze oplossing ben ik ook tevreden.

Andere vraag voor het topic: Ik wil de AP's bij mijn ouders via L3 naar mijn cloudkey laten verwijzen dit heb ik gisten met succes getest thuis. Maar in inform is http weet iemand hoeveel verkeer er over de verbinding gaat tussen de AP en Controller en of dit gecodeerd is vanuit de controller / makkelijk is te onderscheppen?

Als ik deze link mag geloven is het wel encrypted: https://community.ubnt.co...et-inform-ssl/td-p/474355

[L201]

De gui van mijn EdgeRouter is niet meer bereikbaar. Na een reboot draait de webservice niet. als ik deze handmatig start via /usr/sbin/lighttpd -f /etc/lighttpd/lighttpd.conf dan krijg ik in elk geval weer een response, maar helaas is het een 500 - Internal server error.

Als ik vervolgens in de log (/var/log/lighttpd/error.log) kijk dan zie ik dit staan:

code:

2018-07-18 09:54:32: (log.c.164) server started 
2018-07-18 09:54:56: (mod_fastcgi.c.1754) connect failed: Connection refused on unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 
2018-07-18 09:54:56: (mod_fastcgi.c.3028) backend died; we'll disable it for 1 seconds and send the request to another backend instead: reconnects: 0 load: 1 
2018-07-18 09:54:57: (mod_fastcgi.c.2569) unexpected end-of-file (perhaps the fastcgi process died): pid: 5094 socket: unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 
2018-07-18 09:54:57: (mod_fastcgi.c.3353) response not received, request sent: 1132 on socket: unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 for ?, closing connection 
2018-07-18 09:54:58: (mod_fastcgi.c.1754) connect failed: Connection refused on unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 
2018-07-18 09:54:58: (mod_fastcgi.c.3028) backend died; we'll disable it for 1 seconds and send the request to another backend instead: reconnects: 0 load: 1 
2018-07-18 09:55:00: (mod_fastcgi.c.2569) unexpected end-of-file (perhaps the fastcgi process died): pid: 5099 socket: unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 
2018-07-18 09:55:00: (mod_fastcgi.c.3353) response not received, request sent: 1142 on socket: unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 for ?, closing connection

Ik heb hem vorige week geupdate naar firmware 1.10.5 (https://www.ubnt.com/down...e-3erpoe-5-firmware-v1105), maar ben daarna ook nog gewoon op de GUI geweest.

Via SSH kan ik hem gelukkig gewoon benaderen, maar ik zou dit toch graag opgelost hebben aangezien ik deze week wat zaken wil tunen.

[Yoshimi]

L201 schreef op woensdag 18 juli 2018 @ 10:03:
De gui van mijn EdgeRouter is niet meer bereikbaar. Na een reboot draait de webservice niet. als ik deze handmatig start via /usr/sbin/lighttpd -f /etc/lighttpd/lighttpd.conf dan krijg ik in elk geval weer een response, maar helaas is het een 500 - Internal server error.

Als ik vervolgens in de log (/var/log/lighttpd/error.log) kijk dan zie ik dit staan:

code:

2018-07-18 09:54:32: (log.c.164) server started 
2018-07-18 09:54:56: (mod_fastcgi.c.1754) connect failed: Connection refused on unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 
2018-07-18 09:54:56: (mod_fastcgi.c.3028) backend died; we'll disable it for 1 seconds and send the request to another backend instead: reconnects: 0 load: 1 
2018-07-18 09:54:57: (mod_fastcgi.c.2569) unexpected end-of-file (perhaps the fastcgi process died): pid: 5094 socket: unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 
2018-07-18 09:54:57: (mod_fastcgi.c.3353) response not received, request sent: 1132 on socket: unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 for ?, closing connection 
2018-07-18 09:54:58: (mod_fastcgi.c.1754) connect failed: Connection refused on unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 
2018-07-18 09:54:58: (mod_fastcgi.c.3028) backend died; we'll disable it for 1 seconds and send the request to another backend instead: reconnects: 0 load: 1 
2018-07-18 09:55:00: (mod_fastcgi.c.2569) unexpected end-of-file (perhaps the fastcgi process died): pid: 5099 socket: unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 
2018-07-18 09:55:00: (mod_fastcgi.c.3353) response not received, request sent: 1142 on socket: unix:/var/run/ubnt-rtr-ui/fastcgi.gui.socket-0 for ?, closing connection

Ik heb hem vorige week geupdate naar firmware 1.10.5 (https://www.ubnt.com/down...e-3erpoe-5-firmware-v1105), maar ben daarna ook nog gewoon op de GUI geweest.

Via SSH kan ik hem gelukkig gewoon benaderen, maar ik zou dit toch graag opgelost hebben aangezien ik deze week wat zaken wil tunen.

Misschien dat deze post je helpt? Als je een recente backup hebt, zou je kunnen overwegen om een factory reset te doen en daarna je backup terug te zetten.

[L201]

@mchl8 Die thread was ik inderdaad ook al tegen gekomen, en die stappen had ik geprobeerd. Ik heb vorige week wel een config backup gedownload, of althans, zonder de gui erbij weet ik niet meer precies wat voor backup dat was, maar onderin de systemtab.
Via ssh kan ik nu ook nog bij de config.boot overigens.

Een factory reset moet middels hardware zeker? of kan dat ook via ssh? Heb eigenlijk geen zin om hem los te moeten halen uit mijn rack

[edit]Oh gelukkig, de reset zit gewoon aan de voorzijde Maar goed, liever zie ik het zo te fixen. Want als ik me niet vergis is eth0 de local lan bij default? Daar zit nu mijn wan, dus moet wel weer een en ander overhoop halen met kabeltjes om er dan op te kunnen

[ Voor 23% gewijzigd door L201 op 18-07-2018 19:17 ]

[Yoshimi]

L201 schreef op woensdag 18 juli 2018 @ 19:10:
@mchl8 Die thread was ik inderdaad ook al tegen gekomen, en die stappen had ik geprobeerd. Ik heb vorige week wel een config backup gedownload, of althans, zonder de gui erbij weet ik niet meer precies wat voor backup dat was, maar onderin de systemtab.
Via ssh kan ik nu ook nog bij de config.boot overigens.

Een factory reset moet middels hardware zeker? of kan dat ook via ssh? Heb eigenlijk geen zin om hem los te moeten halen uit mijn rack

[edit]Oh gelukkig, de reset zit gewoon aan de voorzijde Maar goed, liever zie ik het zo te fixen. Want als ik me niet vergis is eth0 de local lan bij default? Daar zit nu mijn wan, dus moet wel weer een en ander overhoop halen met kabeltjes om er dan op te kunnen

Jammer dat de items uit die post niet helpen.. Wat betreft de LAN interface na reset (eth0), klopt dat en zul je inderdaad kabels moeten wisselen.

Had je het volgende ook al geprobeerd:
sudo /usr/sbin/ubnt-util, gevolgd door sudo /usr/sbin/ubnt-daemon.

Wellicht dat er tijdens het updaten bestanden corrupt geraakt zijn?
Mocht dat ook niet werken dan kun je:
1) via SSH de nieuwe firmware nogmaals installeren middels add system image *hier de url van de ubnt download site* of
2) terug naar je oude firmware via set system image default-boot om vervolgens verder proberen te achterhalen waar de oorzaak zit, of
3) wellicht dat iemand hier, of op de ubnt community op je post reageert met de gouden oplossing

[L201]

mchl8 schreef op woensdag 18 juli 2018 @ 20:31:
[...]


Jammer dat de items uit die post niet helpen.. Wat betreft de LAN interface na reset (eth0), klopt dat en zul je inderdaad kabels moeten wisselen.

Had je het volgende ook al geprobeerd:
sudo /usr/sbin/ubnt-util, gevolgd door sudo /usr/sbin/ubnt-daemon.

Wellicht dat er tijdens het updaten bestanden corrupt geraakt zijn?
Mocht dat ook niet werken dan kun je:
1) via SSH de nieuwe firmware nogmaals installeren middels add system image *hier de url van de ubnt download site* of
2) terug naar je oude firmware via set system image default-boot om vervolgens verder proberen te achterhalen waar de oorzaak zit, of
3) wellicht dat iemand hier, of op de ubnt community op je post reageert met de gouden oplossing

Ik had de vraag idd ook op het ubnt forum uitgezet, maar helaas nog geen reacties gehad. Inmiddels heb ik een runtime reset gedaan en even een kabel aan eth0 gehangen. Na de reset kwam ik er uiteraard gewoon weer in gelukkig. Toen de backup van vorige week terug gezet, reboot... http service draaide weer niet, lighttpd handmatig gestart, weer internal server error. Dus kennelijk klopt er iets niet in die config, helaas

[Yoshimi]

L201 schreef op woensdag 18 juli 2018 @ 21:24:
[...]


Ik had de vraag idd ook op het ubnt forum uitgezet, maar helaas nog geen reacties gehad. Inmiddels heb ik een runtime reset gedaan en even een kabel aan eth0 gehangen. Na de reset kwam ik er uiteraard gewoon weer in gelukkig. Toen de backup van vorige week terug gezet, reboot... http service draaide weer niet, lighttpd handmatig gestart, weer internal server error. Dus kennelijk klopt er iets niet in die config, helaas

Dat is balen.
Hoe heb je je config initieel gedaan? Herinner je je evt nog instellingen die je later via de cli hebt uitgevoerd die wellicht ten grondslag hieraan kunnen liggen? Als je de ‘show configuration’ output uit SSH anders eens kunt posten? Misschien vinden we het op die manier (aangezien het best eens aan je configuratie kan liggen)

[L201]

mchl8 schreef op woensdag 18 juli 2018 @ 21:32:
[...]


Dat is balen.
Hoe heb je je config initieel gedaan? Herinner je je evt nog instellingen die je later via de cli hebt uitgevoerd die wellicht ten grondslag hieraan kunnen liggen? Als je de ‘show configuration’ output uit SSH anders eens kunt posten? Misschien vinden we het op die manier (aangezien het best eens aan je configuratie kan liggen)

Toen ik een jaar of 2 a 3 geleden mijn router in ging richten heb ik dat grotendeels met de info van hier en de vaker genoemde sites gedaan (kriegsmann dacht ik). Ik heb glasvezel via XS4all en moest ook de IPTV etc dus gedaan krijgen Daarna heeft het altijd zonder problemen gewerkt.

Het begon er dan denk ik mee dat ik bezig ben geweest om een certificaat aan te maken zodat ik bij het inloggen niet eerst die waarschuwing weg moest klikken. Die tutorial die ik daarvoor gebruikt hebt klopte niet helemaal of ik heb stappen verkeerd gedaan, want het werkte niet. Public/private key matchte niet, dus ik heb vervolgens een delete service gui gedaan want anders starte de webservice niet op.

Anyway, hier mijn huidige config, want gezien het feit dat het na het restoren van mijn config fout ging lijkt mij het ook daarin te zitten. Ik heb enkele cuts gedaan voor informatie als adressen die niet iedereen hoeft te weten Maar vraag gerust als dat toch noodzakelijk is..

[edit] en daarmee heb ik gelijk de oplossing al gegeven
want dit loste het op:

code:

[edit]
root@EdgeRouter# set service gui http-port 80
[edit]
root@EdgeRouter# set service gui https-port 443
[edit]
root@EdgeRouter# set service gui older-ciphers enable 
[edit]
root@EdgeRouter# commit
[ service gui ]
Starting the GUI service.

code:

firewall {
    all-ping enable
    broadcast-ping disable
    group {
        address-group PPPOE-Address {
        }
        network-group BOGONS {
            description "Invalid WAN networks"
            network 10.0.0.0/8
            network 100.64.0.0/10
            network 127.0.0.0/8
            network 169.254.0.0/16
            network 172.16.0.0/12
            network 192.0.0.0/24
            network 192.0.2.0/24
            network 192.168.0.0/16
            network 192.18.0.0/15
            network 198.51.100.0/24
            network 203.0.113.0/24
            network 224.0.0.0/3
        }
        network-group DMZ-Subnet {
            description "DMZ Subnet"
            network 192.168.200.0/24
        }
        network-group DOMO-Subnet {
            description "Home automation and IoT devices"
            network 192.168.50.0/24
        }
        network-group GUEST-Subnet {
            description "Guest network"
            network 192.168.100.0/24
        }
        network-group LAN-Subnet {
            description "Local network"
            network 192.168.1.0/24
            network 192.168.2.0/24
        }
        port-group HTTP-HTTPS {
            description "HTTP and HTTPS"
            port 80
            port 443
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name DMZ-GUEST {
        default-action reject
        description "From DMZ to Guest"
        rule 10 {
            action accept
            description "Allow established/related"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action reject
            description "Reject invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 30 {
            action accept
            description "Allow ICMP"
            log disable
            protocol icmp
        }
    }
    name DMZ-LAN {
        default-action reject
        description "From DMZ to Local Network"
        rule 10 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            log enable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 30 {
            action accept
            description "Allow ICMP"
            log enable
            protocol icmp
        }
        rule 40 {
            action accept
            description "Allow HTTP/HTTPS to LAN"
            destination {
                group {
                    network-group LAN-Subnet
                }
            }
            log enable
            protocol tcp
            source {
                port 443
            }
        }
    }
    name DMZ-Local {
        default-action reject
        description "DMZ to Local"
        rule 10 {
            action accept
            log disable
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action drop
            log enable
            state {
                invalid enable
            }
        }
        rule 100 {
            action accept
            log enable
            protocol icmp
        }
        rule 400 {
            action accept
            description NNTP
            destination {
                port 123
            }
            log enable
            protocol tcp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
        rule 600 {
            action accept
            description DNS
            destination {
                port 53
            }
            log enable
            protocol tcp_udp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
        rule 700 {
            action accept
            description DHCP
            destination {
                port 67,68
            }
            log enable
            protocol udp
            source {
                group {
                }
            }
        }
    }
    name DMZ-WAN {
        default-action reject
        description "DMZ to WAN"
        rule 10 {
            action accept
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            log enable
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            log enable
            protocol icmp
        }
        rule 40 {
            action accept
            description "TCP 80/443"
            destination {
                port 80,443
            }
            log enable
            protocol tcp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
        rule 50 {
            action accept
            description SMTP
            destination {
                port 25
            }
            log enable
            protocol tcp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
        rule 60 {
            action accept
            destination {
                port 5060
            }
            log disable
            protocol udp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
    }
    name DOMO-LAN {
        default-action reject
        description "Domotica/IoT to LAN"
        rule 10 {
            action accept
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
    }
    name DOMO-Local {
        default-action reject
        description "Domotica/IoT to Local"
        rule 10 {
            action accept
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action reject
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 30 {
            action accept
            destination {
                port 123
            }
            log disable
            protocol tcp_udp
            source {
                group {
                    network-group DOMO-Subnet
                }
            }
        }
        rule 40 {
            action accept
            description DNS
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
            source {
                group {
                    network-group DOMO-Subnet
                }
            }
        }
        rule 50 {
            action accept
            description DHCP
            destination {
                port 67,68
            }
            log disable
            protocol udp
        }
    }
    name LAN-WAN {
        default-action drop
        description ""
        enable-default-log
    }
    name LAN_Local {
        default-action accept
        description ""
        enable-default-log
    }
    name WAN_IN {
        default-action drop
        description "WAN to internal"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 21 {
            action accept
            description "Allow IKE for Remote VPN Server"
            destination {
                port 500
            }
            log enable
            protocol udp
        }
        rule 22 {
            action accept
            description "Allow L2TP for Remote VPN Server"
            destination {
                port 1701
            }
            log enable
            protocol udp
        }
        rule 23 {
            action accept
            description "Allow ESP for Remote VPN Server"
            log enable
            protocol 50
        }
        rule 24 {
            action accept
            description "Allow NAT-T for Remote VPN Server"
            destination {
                port 4500
            }
            log enable
            protocol udp
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address dhcp
        description Internet
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
            }
        }
        mtu 1512
        poe {
            output off
        }
        speed auto
        vif 4 {
            address dhcp
            description "VLAN4 - IPTV"
            dhcp-options {
                client-option "send vendor-class-identifier "IPTV_RG";"
                client-option "request subnet-mask, routers, rfc3442-classless-static-routes;"
                default-route no-update
                default-route-distance 210
                name-server update
            }
            mtu 1508
        }
        vif 6 {
            description "VLAN6 - Internet"
            mtu 1508
            pppoe 0 {
                default-route auto
                firewall {
                    in {
                        name WAN_IN
                    }
                    local {
                        name WAN_LOCAL
                    }
                }
                mtu 1500
                name-server auto
                password ****************
                user-id [e-mail]
            }
        }
    }
    ethernet eth1 {
        address 192.168.1.254/24
        description Local
        duplex auto
        firewall {
            local {
                name LAN_Local
            }
        }
        poe {
            output off
        }
        speed auto
    }
    ethernet eth2 {
        description "Unify AP Woonkamer"
        duplex auto
        poe {
            output 24v
        }
        speed auto
    }
    ethernet eth3 {
        description "Unify AP Zolder"
        duplex auto
        poe {
            output off
        }
        speed auto
    }
    ethernet eth4 {
        description "LAN via Netgear"
        duplex auto
        poe {
            output 48v
        }
        speed auto
    }
    loopback lo {
    }
    switch switch0 {
        address 192.168.2.254/24
        description Thuisnetwerk
        firewall {
            local {
                name LAN_Local
            }
        }
        mtu 1500
        switch-port {
            interface eth2 {
            }
            interface eth3 {
            }
            interface eth4 {
            }
            vlan-aware disable
        }
        vif 100 {
            address 192.168.100.254/24
            description Guest
            firewall {
                local {
                    name LAN_Local
                }
            }
            mtu 1500
        }
    }
}
port-forward {
    auto-firewall enable
    hairpin-nat enable
    lan-interface eth1
    lan-interface switch0
    <port mapping rules are hidden>
    wan-interface pppoe0
}
protocols {
    igmp-proxy {
        disable-quickleave
        interface eth0.4 {
            alt-subnet 0.0.0.0/0
            role upstream
            threshold 1
        }
        interface eth1 {
            alt-subnet 0.0.0.0/0
            role downstream
            threshold 1
        }
        interface switch0 {
            alt-subnet 0.0.0.0/0
            role downstream
            threshold 1
        }
    }
    static {
        route 213.75.112.0/21 {
            next-hop 10.194.128.1 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        global-parameters "option vendor-class-identifier code 60 = string;"
        global-parameters "option broadcast-address code 28 = ip-address;"
        hostfile-update disable
        shared-network-name Guest {
            authoritative disable
            subnet 192.168.100.0/24 {
                default-router 192.168.100.254
                dns-server 8.8.8.8
                dns-server 8.8.4.4
                lease 86400
                start 192.168.100.100 {
                    stop 192.168.100.200
                }
            }
        }
        shared-network-name LAN1 {
            authoritative disable
            subnet 192.168.1.0/24 {
                default-router 192.168.1.254
                dns-server 192.168.1.254
                lease 86400
                start 192.168.1.100 {
                    stop 192.168.1.200
                }
                <static-mappings are hidden>
            }
        }
        shared-network-name LAN2 {
            authoritative disable
            subnet 192.168.2.0/24 {
                default-router 192.168.2.254
                dns-server 192.168.2.254
                lease 86400
                start 192.168.2.100 {
                    stop 192.168.2.200
                }
                <static-mappings are hidden>
            }
        }
        static-arp disable
        use-dnsmasq disable
    }
    dns {
        forwarding {
            cache-size 150
            listen-on eth1
            listen-on switch0
        }
    }
    nat {
        rule 5000 {
            description IPTV
            destination {
                address 213.75.112.0/21
            }
            log disable
            outbound-interface eth0.4
            protocol all
            type masquerade
        }
        rule 5010 {
            description "masquerade for WAN"
            log disable
            outbound-interface pppoe0
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    ubnt-discover {
        disable
    }
    unms {
        disable
    }
}
system {
    conntrack {
        expect-table-size 2048
        hash-size 32768
        modules {
            sip {
                disable
            }
        }
        table-size 262144
    }
    host-name EdgeRouter
    login {
        <hidden>
    }
    name-server 176.103.130.130
    name-server 176.103.130.131
    name-server 8.8.8.8
    name-server 8.8.4.4
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    offload {
        hwnat disable
        ipv4 {
            forwarding enable
            pppoe enable
            vlan enable
        }
    }
    static-host-mapping {
        host-name edgerouter {
            inet 192.168.2.254
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
    traffic-analysis {
        dpi disable
        export disable
    }
}
vpn {
    ipsec {
        auto-firewall-nat-exclude disable
        ipsec-interfaces {
            interface pppoe0
        }
        nat-networks {
            allowed-network 192.168.1.0/24 {
            }
            allowed-network 192.168.2.0/24 {
            }
        }
        nat-traversal enable
    }
    l2tp {
        remote-access {
            authentication {
                local-users {
                    username something {
                        password somepassword
                    }
                }
                mode local
            }
            client-ip-pool {
                start 192.168.5.100
                stop 192.168.5.130
            }
            dns-servers {
                server-1 8.8.8.8
                server-2 8.8.4.4
            }
            idle 1800
            ipsec-settings {
                authentication {
                    mode pre-shared-secret
                    pre-shared-secret somepassword
                }
                ike-lifetime 3600
                lifetime 3600
            }
            mtu 1500
            outside-address <myip>
            outside-nexthop <myip>
        }
    }
}

[Yoshimi]

L201 schreef op woensdag 18 juli 2018 @ 21:50:
[...]


Toen ik een jaar of 2 a 3 geleden mijn router in ging richten heb ik dat grotendeels met de info van hier en de vaker genoemde sites gedaan (kriegsmann dacht ik). Ik heb glasvezel via XS4all en moest ook de IPTV etc dus gedaan krijgen Daarna heeft het altijd zonder problemen gewerkt.

Het begon er dan denk ik mee dat ik bezig ben geweest om een certificaat aan te maken zodat ik bij het inloggen niet eerst die waarschuwing weg moest klikken. Die tutorial die ik daarvoor gebruikt hebt klopte niet helemaal of ik heb stappen verkeerd gedaan, want het werkte niet. Public/private key matchte niet, dus ik heb vervolgens een delete service gui gedaan want anders starte de webservice niet op.

Anyway, hier mijn huidige config, want gezien het feit dat het na het restoren van mijn config fout ging lijkt mij het ook daarin te zitten. Ik heb enkele cuts gedaan voor informatie als adressen die niet iedereen hoeft te weten Maar vraag gerust als dat toch noodzakelijk is..

[edit] en daarmee heb ik gelijk de oplossing al gegeven
want dit loste het op:

code:

[edit]
root@EdgeRouter# set service gui http-port 80
[edit]
root@EdgeRouter# set service gui https-port 443
[edit]
root@EdgeRouter# set service gui older-ciphers enable 
[edit]
root@EdgeRouter# commit
[ service gui ]
Starting the GUI service.

code:

firewall {
    all-ping enable
    broadcast-ping disable
    group {
        address-group PPPOE-Address {
        }
        network-group BOGONS {
            description "Invalid WAN networks"
            network 10.0.0.0/8
            network 100.64.0.0/10
            network 127.0.0.0/8
            network 169.254.0.0/16
            network 172.16.0.0/12
            network 192.0.0.0/24
            network 192.0.2.0/24
            network 192.168.0.0/16
            network 192.18.0.0/15
            network 198.51.100.0/24
            network 203.0.113.0/24
            network 224.0.0.0/3
        }
        network-group DMZ-Subnet {
            description "DMZ Subnet"
            network 192.168.200.0/24
        }
        network-group DOMO-Subnet {
            description "Home automation and IoT devices"
            network 192.168.50.0/24
        }
        network-group GUEST-Subnet {
            description "Guest network"
            network 192.168.100.0/24
        }
        network-group LAN-Subnet {
            description "Local network"
            network 192.168.1.0/24
            network 192.168.2.0/24
        }
        port-group HTTP-HTTPS {
            description "HTTP and HTTPS"
            port 80
            port 443
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name DMZ-GUEST {
        default-action reject
        description "From DMZ to Guest"
        rule 10 {
            action accept
            description "Allow established/related"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action reject
            description "Reject invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 30 {
            action accept
            description "Allow ICMP"
            log disable
            protocol icmp
        }
    }
    name DMZ-LAN {
        default-action reject
        description "From DMZ to Local Network"
        rule 10 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            log enable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 30 {
            action accept
            description "Allow ICMP"
            log enable
            protocol icmp
        }
        rule 40 {
            action accept
            description "Allow HTTP/HTTPS to LAN"
            destination {
                group {
                    network-group LAN-Subnet
                }
            }
            log enable
            protocol tcp
            source {
                port 443
            }
        }
    }
    name DMZ-Local {
        default-action reject
        description "DMZ to Local"
        rule 10 {
            action accept
            log disable
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action drop
            log enable
            state {
                invalid enable
            }
        }
        rule 100 {
            action accept
            log enable
            protocol icmp
        }
        rule 400 {
            action accept
            description NNTP
            destination {
                port 123
            }
            log enable
            protocol tcp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
        rule 600 {
            action accept
            description DNS
            destination {
                port 53
            }
            log enable
            protocol tcp_udp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
        rule 700 {
            action accept
            description DHCP
            destination {
                port 67,68
            }
            log enable
            protocol udp
            source {
                group {
                }
            }
        }
    }
    name DMZ-WAN {
        default-action reject
        description "DMZ to WAN"
        rule 10 {
            action accept
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            log enable
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            log enable
            protocol icmp
        }
        rule 40 {
            action accept
            description "TCP 80/443"
            destination {
                port 80,443
            }
            log enable
            protocol tcp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
        rule 50 {
            action accept
            description SMTP
            destination {
                port 25
            }
            log enable
            protocol tcp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
        rule 60 {
            action accept
            destination {
                port 5060
            }
            log disable
            protocol udp
            source {
                group {
                    network-group DMZ-Subnet
                }
            }
        }
    }
    name DOMO-LAN {
        default-action reject
        description "Domotica/IoT to LAN"
        rule 10 {
            action accept
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
    }
    name DOMO-Local {
        default-action reject
        description "Domotica/IoT to Local"
        rule 10 {
            action accept
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action reject
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 30 {
            action accept
            destination {
                port 123
            }
            log disable
            protocol tcp_udp
            source {
                group {
                    network-group DOMO-Subnet
                }
            }
        }
        rule 40 {
            action accept
            description DNS
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
            source {
                group {
                    network-group DOMO-Subnet
                }
            }
        }
        rule 50 {
            action accept
            description DHCP
            destination {
                port 67,68
            }
            log disable
            protocol udp
        }
    }
    name LAN-WAN {
        default-action drop
        description ""
        enable-default-log
    }
    name LAN_Local {
        default-action accept
        description ""
        enable-default-log
    }
    name WAN_IN {
        default-action drop
        description "WAN to internal"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 21 {
            action accept
            description "Allow IKE for Remote VPN Server"
            destination {
                port 500
            }
            log enable
            protocol udp
        }
        rule 22 {
            action accept
            description "Allow L2TP for Remote VPN Server"
            destination {
                port 1701
            }
            log enable
            protocol udp
        }
        rule 23 {
            action accept
            description "Allow ESP for Remote VPN Server"
            log enable
            protocol 50
        }
        rule 24 {
            action accept
            description "Allow NAT-T for Remote VPN Server"
            destination {
                port 4500
            }
            log enable
            protocol udp
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address dhcp
        description Internet
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
            }
        }
        mtu 1512
        poe {
            output off
        }
        speed auto
        vif 4 {
            address dhcp
            description "VLAN4 - IPTV"
            dhcp-options {
                client-option "send vendor-class-identifier "IPTV_RG";"
                client-option "request subnet-mask, routers, rfc3442-classless-static-routes;"
                default-route no-update
                default-route-distance 210
                name-server update
            }
            mtu 1508
        }
        vif 6 {
            description "VLAN6 - Internet"
            mtu 1508
            pppoe 0 {
                default-route auto
                firewall {
                    in {
                        name WAN_IN
                    }
                    local {
                        name WAN_LOCAL
                    }
                }
                mtu 1500
                name-server auto
                password ****************
                user-id [e-mail]
            }
        }
    }
    ethernet eth1 {
        address 192.168.1.254/24
        description Local
        duplex auto
        firewall {
            local {
                name LAN_Local
            }
        }
        poe {
            output off
        }
        speed auto
    }
    ethernet eth2 {
        description "Unify AP Woonkamer"
        duplex auto
        poe {
            output 24v
        }
        speed auto
    }
    ethernet eth3 {
        description "Unify AP Zolder"
        duplex auto
        poe {
            output off
        }
        speed auto
    }
    ethernet eth4 {
        description "LAN via Netgear"
        duplex auto
        poe {
            output 48v
        }
        speed auto
    }
    loopback lo {
    }
    switch switch0 {
        address 192.168.2.254/24
        description Thuisnetwerk
        firewall {
            local {
                name LAN_Local
            }
        }
        mtu 1500
        switch-port {
            interface eth2 {
            }
            interface eth3 {
            }
            interface eth4 {
            }
            vlan-aware disable
        }
        vif 100 {
            address 192.168.100.254/24
            description Guest
            firewall {
                local {
                    name LAN_Local
                }
            }
            mtu 1500
        }
    }
}
port-forward {
    auto-firewall enable
    hairpin-nat enable
    lan-interface eth1
    lan-interface switch0
    <port mapping rules are hidden>
    wan-interface pppoe0
}
protocols {
    igmp-proxy {
        disable-quickleave
        interface eth0.4 {
            alt-subnet 0.0.0.0/0
            role upstream
            threshold 1
        }
        interface eth1 {
            alt-subnet 0.0.0.0/0
            role downstream
            threshold 1
        }
        interface switch0 {
            alt-subnet 0.0.0.0/0
            role downstream
            threshold 1
        }
    }
    static {
        route 213.75.112.0/21 {
            next-hop 10.194.128.1 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        global-parameters "option vendor-class-identifier code 60 = string;"
        global-parameters "option broadcast-address code 28 = ip-address;"
        hostfile-update disable
        shared-network-name Guest {
            authoritative disable
            subnet 192.168.100.0/24 {
                default-router 192.168.100.254
                dns-server 8.8.8.8
                dns-server 8.8.4.4
                lease 86400
                start 192.168.100.100 {
                    stop 192.168.100.200
                }
            }
        }
        shared-network-name LAN1 {
            authoritative disable
            subnet 192.168.1.0/24 {
                default-router 192.168.1.254
                dns-server 192.168.1.254
                lease 86400
                start 192.168.1.100 {
                    stop 192.168.1.200
                }
                <static-mappings are hidden>
            }
        }
        shared-network-name LAN2 {
            authoritative disable
            subnet 192.168.2.0/24 {
                default-router 192.168.2.254
                dns-server 192.168.2.254
                lease 86400
                start 192.168.2.100 {
                    stop 192.168.2.200
                }
                <static-mappings are hidden>
            }
        }
        static-arp disable
        use-dnsmasq disable
    }
    dns {
        forwarding {
            cache-size 150
            listen-on eth1
            listen-on switch0
        }
    }
    nat {
        rule 5000 {
            description IPTV
            destination {
                address 213.75.112.0/21
            }
            log disable
            outbound-interface eth0.4
            protocol all
            type masquerade
        }
        rule 5010 {
            description "masquerade for WAN"
            log disable
            outbound-interface pppoe0
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    ubnt-discover {
        disable
    }
    unms {
        disable
    }
}
system {
    conntrack {
        expect-table-size 2048
        hash-size 32768
        modules {
            sip {
                disable
            }
        }
        table-size 262144
    }
    host-name EdgeRouter
    login {
        <hidden>
    }
    name-server 176.103.130.130
    name-server 176.103.130.131
    name-server 8.8.8.8
    name-server 8.8.4.4
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    offload {
        hwnat disable
        ipv4 {
            forwarding enable
            pppoe enable
            vlan enable
        }
    }
    static-host-mapping {
        host-name edgerouter {
            inet 192.168.2.254
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
    traffic-analysis {
        dpi disable
        export disable
    }
}
vpn {
    ipsec {
        auto-firewall-nat-exclude disable
        ipsec-interfaces {
            interface pppoe0
        }
        nat-networks {
            allowed-network 192.168.1.0/24 {
            }
            allowed-network 192.168.2.0/24 {
            }
        }
        nat-traversal enable
    }
    l2tp {
        remote-access {
            authentication {
                local-users {
                    username something {
                        password somepassword
                    }
                }
                mode local
            }
            client-ip-pool {
                start 192.168.5.100
                stop 192.168.5.130
            }
            dns-servers {
                server-1 8.8.8.8
                server-2 8.8.4.4
            }
            idle 1800
            ipsec-settings {
                authentication {
                    mode pre-shared-secret
                    pre-shared-secret somepassword
                }
                ike-lifetime 3600
                lifetime 3600
            }
            mtu 1500
            outside-address <myip>
            outside-nexthop <myip>
        }
    }
}

Ik denk dat de delete service gui het probleem is.
[edit] je hebt het al uitgevonden, mooi

[L201]

mchl8 schreef op woensdag 18 juli 2018 @ 22:04:
[...]


Ik denk dat de delete service gui het probleem is.
[edit] je hebt het al uitgevonden, mooi

Aangezien ik vorige week nog wel gewoon ermee gewerkt had, zocht ik daar niet direct de oorzaak in. Maar mogelijk kon dat onder 1.9.7 nog wel, maar onder 1.10.5 niet meer. Maar de trigger gaf nu de reset die na het terugzetten van de config niet meer werkte, dat liet ziet dat het niet in de image maar echt in de config zat.

[L201]

Omdat we nu toch met de config bezig zijn en mijn config hier nog boven vermeld staat...
Ik heb met netgear switch nu in eth4 zitten, onderdeel van switch0 dus. Alle vaste verbindingen lopen via die switch dus, en zowel vast als via wif zit in het 192.168.2.x segment.

Nu heb ik mijn netgear in eth1 gezet, netwerk segment 192.168.1.x maar nu kan ik daar niks meer in benaderen vanaf mijn laptop via wifi. Ook mijn tv ontvanger kan nu geen verbinding meer leggen.

In mijn nat rules kan ik niks zien wat dat veroorzaakt in elk geval:

code:

nat {
        rule 5000 {
            description IPTV
            destination {
                address 213.75.112.0/21
            }
            log disable
            outbound-interface eth0.4
            protocol all
            type masquerade
        }
        rule 5010 {
            description "masquerade for WAN"
            log disable
            outbound-interface pppoe0
            protocol all
            type masquerade
        }
    }

Kortom, enig idee? Hoe ik mijn switch rustig via eth1 kan laten lopen zonder dat de boel vastloopt?

[xbeam]

Sjalabert schreef op dinsdag 17 juli 2018 @ 11:54:
Heren,

Zit even met de handen in mijn haar (KPN IPTV vraagje). Ik heb het *json verhaal uitgevoerd op mijn USG. Heb een VLANonly netwerk aangemaakt en toegekend aan een poort. Op deze poort is de decoder aangesloten. Maar hij doet het niet (kan geen IP adres krijgen). Wat kan er fout gaan. Sorry voor de sumiere informatie. (ben een Applicatie persoon geen Netwerk )

Dat kan kloppen dat je geen ip krijgt
Vlan only krijgt geen dhcp van usg.
Je moet een corporate netwerk aanmaken en daar in aangeven dat dat een vlan is.

De vlanonly kan je verwijderen uit je config deze gebruik je niet.

[To_Tall]

xbeam schreef op donderdag 19 juli 2018 @ 09:20:
[...]


Dat kan kloppen dat je geen ip krijgt
Vlan only krijgt geen dhcp van usg.
Je moet een corporate netwerk aanmaken en daar in aangeven dat dat een vlan is.

De vlanonly kan je verwijderen uit je config deze gebruik je niet.

Kan wel natuurlijk. Hij zou dan eerst terug moeten naar DHCP. Ip addressen moeten aanmaken op de devices. en hoppa dhcp weer uitzetten.

Dan heb je een VLAN only static network.
Als je geen Ip addressen op de apparatuur zet en er is geen DHCP op het netwerk krijg je natuurlijk geen IP addressen.

[xbeam]

To_Tall schreef op donderdag 19 juli 2018 @ 09:50:
[...]

Kan wel natuurlijk. Hij zou dan eerst terug moeten naar DHCP. Ip addressen moeten aanmaken op de devices. en hoppa dhcp weer uitzetten.

Dan heb je een VLAN only static network.
Als je geen Ip addressen op de apparatuur zet en er is geen DHCP op het netwerk krijg je natuurlijk geen IP addressen.

Maar static ip kan je niet instellen op de tv kastjes van kpn. En om bij iedere herstart je netwerk om te gaan zetten is ook niet handig.

En ik verwacht ook niet dat hij buiten de router om dhcp gaat draaien op zijn vlan_only.

In standaart thuis tuin en keuken situatie is maakt vlan_only het alleen ingewikkeld en het is niet nodig.

[Valkyre]

nu heb ik thuis een aardig eco system van unifi:
switches en AP's (pfsense firewall omdat ik de USG te weinig performance vond hebben)

en met mijn ouders en schoonouders heb ik ipsec tunnels tbv backups.
Beide hebben een oude draytek router en deze zou ik eigenlijk willen vervangen voor:
USG + Ap.
Het liefst zou ik deze configureren middels de controller die bij mij staat, maar ik heb een beetje het idee dat ik dan een kip-ei probleem krijg met met met name de USG configureren.

nu kan ik mij 2 mogelijk oplossingen bedenken:
1. ik installeer tijdelijk lokaal de controller op een pc op de remote locatie, en doe de installatie en verplaatst daarna de configuratie naar een site op mijn controller.
2. ik open de adopt poorten op mijn firewall en laat ze via internet connecten naar mij?
3. is er nog een betere methode?

ik neig voor alsnog naar optie 1

[To_Tall]

xbeam schreef op donderdag 19 juli 2018 @ 10:32:
[...]


Maar static ip kan je niet instellen op de tv kastjes van kpn. En om bij iedere herstart je netwerk om te gaan zetten is ook niet handig.

En ik verwacht ook niet dat hij buiten de router om dhcp gaat draaien op zijn vlan_only.

In standaart thuis tuin en keuken situatie is maakt vlan_only het alleen ingewikkeld en het is niet nodig.

Verkeerd gelezen dacht dat het over netwerk apparatuur ging.
als hij het verkeer bridge naar ETH2 zou hij het wel kunnen je hebt dan direct netwerk connectie naar KPN. je hebt dan geen netflix toegang op de STB omdat internet gemist wordt

@Gohan-san
je cloudkey moet beschikbaar zijn over het internet liefst met een normale URL. of via Cloud access dacht ik. de USG is ongeconfigureerd te bereiken via 192.168.1.1.

Internet instellen zodat je "internet" toegang hebt
dan via ssh inform commando geven richting jouw cloudkey en apparaat adopten. Als bij je ouders en schoonouders wel een vast IP hebben dan is dat goed te doen. je kan dan in je unifi controller een FW rule aanmaken dat alleen IP adressen afkomstig van xxx.xxx.xxx.xxx toegang mag en kan krijgen naar je inform URL. Ik weet alleen even niet welke fw rules uit mn hoofd je nodig hebt.

[ Voor 68% gewijzigd door To_Tall op 19-07-2018 13:18 ]

[Ronwiel]

Ik overweeg een Ubiquiti UniFi AP aan te schaffen, maar kom er na het lezen van reviews nog niet helemaal uit. Het AP wordt van stroom voorzien d.m.v. een POE injector. Graag wil ik op gezette tijden het AP uitschakelen. Kan dat het eenvoudigst worden gedaan door de POE injector op een tijdschakelaar te zetten in het stopcontact?

[HKLM_]

Ronwiel schreef op donderdag 19 juli 2018 @ 15:43:
Ik overweeg een Ubiquiti UniFi AP aan te schaffen, maar kom er na het lezen van reviews nog niet helemaal uit. Het AP wordt van stroom voorzien d.m.v. een POE injector. Graag wil ik op gezette tijden het AP uitschakelen. Kan dat het eenvoudigst worden gedaan door de POE injector op een tijdschakelaar te zetten in het stopcontact?

Wil je het AP uitschakelen of alleen de WiFi? Als je het hele AP wilt uitschakelen moet je inderdaad de POE adapter op de tijdschakelaar zetten. Wil je alleen de WiFi uit hebben dan zijn daar mogelijkheden voor in de controller (Controller hoeft daar niet voor aan te blijven)

Hou er alleen wel rekening meet dat als je apparaten hard van het stroom haalt (bam geen stroom meer) ze dit vaak niet al te lekker vinden (Kan lang goed gaan dat dan weer wel )

[ Voor 11% gewijzigd door HKLM_ op 19-07-2018 15:51 ]

[Ronwiel]

@HKLM_ In principe wil ik de 'radio' uitschakelen zodat er dus ook echt geen signaal wordt uigezonden. Dus niet de SSID verbergen, of tijdelijk toegang voor iedereen ontzeggen.

Genoeg routers die dat wel ondersteunen door middel van het zetten van een vinkje, maar niet de ondersteuning bieden dat te doen op basis van tijd. Maar ik vermoed dat Ubiquiti dat ook niet ondersteunt (?) Vandaar mijn idee van de tijdschakelaar om het handmatig te doen . Wil 'm overigens het liefst beheren via de iOS app. Wellicht dat de mogelijkheden daar beperkter zijn dan op een desktop.

[ Voor 8% gewijzigd door Ronwiel op 19-07-2018 15:56 ]

[HKLM_]

To_Tall schreef op donderdag 19 juli 2018 @ 13:04:
[...]

Verkeerd gelezen dacht dat het over netwerk apparatuur ging.
als hij het verkeer bridge naar ETH2 zou hij het wel kunnen je hebt dan direct netwerk connectie naar KPN. je hebt dan geen netflix toegang op de STB omdat internet gemist wordt

@Gohan-san
je cloudkey moet beschikbaar zijn over het internet liefst met een normale URL. of via Cloud access dacht ik. de USG is ongeconfigureerd te bereiken via 192.168.1.1.

Internet instellen zodat je "internet" toegang hebt
dan via ssh inform commando geven richting jouw cloudkey en apparaat adopten. Als bij je ouders en schoonouders wel een vast IP hebben dan is dat goed te doen. je kan dan in je unifi controller een FW rule aanmaken dat alleen IP adressen afkomstig van xxx.xxx.xxx.xxx toegang mag en kan krijgen naar je inform URL. Ik weet alleen even niet welke fw rules uit mn hoofd je nodig hebt.

Als je poort TCP 8080 en UDP 3478 forward vanuit de USG naar het IP van je ouders dan werkt het. Ik heb het afgelopen week ook gedaan en mijn AP was binnen no time up-en-running.

[HKLM_]

Ronwiel schreef op donderdag 19 juli 2018 @ 15:54:
@HKLM_ In principe wil ik de 'radio' uitschakelen zodat er dus ook echt geen signaal wordt uigezonden. Dus niet de SSID verbergen, of tijdelijk toegang voor iedereen ontzeggen.

Genoeg routers die dat wel ondersteunen door middel van het zetten van een vinkje, maar niet de ondersteuning bieden dat te doen op basis van tijd. Maar ik vermoed dat Ubiquiti dat ook niet ondersteunt (?) Vandaar mijn idee van de tijdschakelaar om het handmatig te doen . Wil 'm overigens het liefst beheren via de iOS app. Wellicht dat de mogelijkheden daar beperkter zijn dan op een desktop.

Dit is prima mogelijk in de zowel de controller als de App de functie heet Wlan Schedule en zit ook gewoon in de IOS App. Als je dit instelt verbreekt de verbinding gewoon op de aangegeven tijd en is het ssid niet meer zichtbaar.

[ Voor 5% gewijzigd door HKLM_ op 19-07-2018 16:02 ]

[Ronwiel]

@HKLM_ Maar, verbreekt dat enkel de verbinding of schakelt het ook de zender uit? Wellicht dat ik er maar een support ticket aan moet wagen .

[HKLM_]

Ronwiel schreef op donderdag 19 juli 2018 @ 16:03:
@HKLM_ Maar, verbreekt dat enkel de verbinding of schakelt het ook de zender uit? Wellicht dat ik er maar een support ticket aan moet wagen .

Hij stopt met de verbinding en met uitzenden. Op de opgegeven tijd is het niet mogelijk verbinding te maken met dat ding tot de tijd komt dat hij weer aan mag. Je ziet het SSID ook niet in je lijst staan op de device.

[ Voor 12% gewijzigd door HKLM_ op 19-07-2018 16:07 ]

[Ronwiel]

@HKLM_ Helder! Dat is precies wat ik zoek.

[HKLM_]

iAdema schreef op woensdag 18 juli 2018 @ 08:49:
[...]


Als ik deze link mag geloven is het wel encrypted: https://community.ubnt.co...et-inform-ssl/td-p/474355

Via support deze link gehad: https://help.ubnt.com/hc/...communicate-with-the-UAP- het verkeer tussen de controller en ap is inderdaad encrypted

[L201]

L201 schreef op woensdag 18 juli 2018 @ 22:37:
Omdat we nu toch met de config bezig zijn en mijn config hier nog boven vermeld staat...
Ik heb met netgear switch nu in eth4 zitten, onderdeel van switch0 dus. Alle vaste verbindingen lopen via die switch dus, en zowel vast als via wif zit in het 192.168.2.x segment.

Nu heb ik mijn netgear in eth1 gezet, netwerk segment 192.168.1.x maar nu kan ik daar niks meer in benaderen vanaf mijn laptop via wifi. Ook mijn tv ontvanger kan nu geen verbinding meer leggen.
...
Kortom, enig idee? Hoe ik mijn switch rustig via eth1 kan laten lopen zonder dat de boel vastloopt?

Even mezelf opnieuw quoten... Want ook na het doorlopen van mijn config om te kijken qua settings voor iptv kan ik redenerend niet begrijpen waarom IPTV via een switch op eth4 wel werkt, en op eth1 niet. Of kan het te maken hebben met het feit dat eth1 een ip/subnet heeft en eth4 niet, aangezien dat ip/subnet op switch0 zit?

[rally]

Vanochtend de update gedaan naar 5.9.16, echter nu krijg ik een error m.b.t. het security certificaat.
Ik doe een renew, maar dat mag helaas niet baten

Overigens heb ik hiervoor deze how-to gevolgd.

Het certificaat dat ik nu krijg is van UBNT en niet van Letsencrypt.

Iemand hier een briljant idee?

[TF0]

Sinds vandaag kan ik niet meer op de controller (5.7.20 volgens de iOS app).
Draaide enkele maanden succesvol op een Raspberry Pi 3.

Ik heb de RPi al opnieuw opgestart en 'sudo service unifi restart' helpt ook niet

'sudo service unifi status -l' geeft het volgende:

code:

● unifi.service - unifi
   Loaded: loaded (/lib/systemd/system/unifi.service; enabled)
   Active: active (running) since Sun 2018-07-22 11:45:02 UTC; 11min ago
  Process: 1220 ExecStop=/usr/lib/unifi/bin/unifi.init stop (code=exited, status=0/SUCCESS)
  Process: 1330 ExecStart=/usr/lib/unifi/bin/unifi.init start (code=exited, status=0/SUCCESS)
 Main PID: 1377 (jsvc)
   CGroup: /system.slice/unifi.service
           ├─1377 unifi -cwd /usr/lib/unifi -home /usr/lib/jvm/jdk-8-oracle-arm32-vfp-hflt/jre -cp /usr/share/java/commons-daemon.jar:/usr/lib/unifi/lib/ace.jar -pidfile /var/run/unifi.pid -proc...
           ├─1378 unifi -cwd /usr/lib/unifi -home /usr/lib/jvm/jdk-8-oracle-arm32-vfp-hflt/jre -cp /usr/share/java/commons-daemon.jar:/usr/lib/unifi/lib/ace.jar -pidfile /var/run/unifi.pid -proc...
           ├─1379 unifi -cwd /usr/lib/unifi -home /usr/lib/jvm/jdk-8-oracle-arm32-vfp-hflt/jre -cp /usr/share/java/commons-daemon.jar:/usr/lib/unifi/lib/ace.jar -pidfile /var/run/unifi.pid -proc...
           └─1398 /usr/lib/jvm/jdk-8-oracle-arm32-vfp-hflt/jre/bin/java -Xmx1024M -XX:ErrorFile=/usr/lib/unifi/logs/hs_err_pid%p.log -Dapple.awt.UIElement=true -Dfile.encoding=UTF-8 -jar /usr/li...

Jul 22 11:45:02 retropie unifi.init[1330]: Starting Ubiquiti UniFi Controller: unifi.
Jul 22 11:45:02 retropie systemd[1]: Started unifi.

Ziet er goed uit volgens mij.

Zowel https://unifi.controller:8443/manage/site/default/dashboard en de iOS applicatie krijgen geen verbinding.

Iemand een idee?

[RobinF]

@TF0 , zelfde hier maar dan met een CloudKey

K zie echter ook niets nuttigs in de logs

[burne]

Okee. Troubleshooten dus..

Wat zegt 'netstat -tupan | grep 8443'?

Doe eens 'sudo systemctl restart unifi.service' en kijk dan wat je ziet als je met 'sudo journalctl' naar de logfile kijkt? Je kunt snel naar het einde met '>'

[ Voor 53% gewijzigd door burne op 22-07-2018 18:58 ]

[TF0]

burne schreef op zondag 22 juli 2018 @ 18:42:
Okee. Troubleshooten dus..

Wat zegt 'netstat -tupan | grep 8443'?

Doe eens 'sudo systemctl restart unifi.service' en kijk dan wat je ziet als je met 'sudo journalctl' naar de logfile kijkt? Je kunt snel naar het einde met '>'

Bedankt!
Zie hieronder het resultaat (heb er ook maar sudo voor gezet om alles te krijgen):

netstat -tupan | grep 8443

code:

tcp6       0      0 :::8443                 :::*                    LISTEN      1398/java
tcp6     205      0 192.168.10.20:8443      192.168.10.100:4163     CLOSE_WAIT  -
tcp6     205      0 192.168.10.20:8443      192.168.10.100:4993     CLOSE_WAIT  -
tcp6     235      0 192.168.10.20:8443      192.168.10.101:55982    CLOSE_WAIT  -
tcp6     205      0 192.168.10.20:8443      192.168.10.100:5015     CLOSE_WAIT  -
tcp6     205      0 192.168.10.20:8443      192.168.10.100:2076     CLOSE_WAIT  -
tcp6     205      0 192.168.10.20:8443      192.168.10.100:5544     CLOSE_WAIT  -
tcp6     463      0 192.168.10.20:8443      192.168.10.100:2171     CLOSE_WAIT  -
tcp6     205      0 192.168.10.20:8443      192.168.10.100:9449     CLOSE_WAIT  -
tcp6     205      0 192.168.10.20:8443      192.168.10.100:8659     CLOSE_WAIT  -
tcp6     205      0 192.168.10.20:8443      192.168.10.100:4444     CLOSE_WAIT  -
tcp6     235      0 192.168.10.20:8443      192.168.10.101:55983    CLOSE_WAIT  -
tcp6     463      0 192.168.10.20:8443      192.168.10.100:14067    CLOSE_WAIT  -

sudo journalctl
(laatste paar regels)

code:

Jul 22 16:58:05 retropie sudo[24115]: pi : TTY=pts/1 ; PWD=/home/pi ; USER=root ; COMMAND=/bin/netstat -tupan
Jul 22 16:58:05 retropie sudo[24115]: pam_unix(sudo:session): session opened for user root by pi(uid=0)
Jul 22 16:58:05 retropie sudo[24115]: pam_unix(sudo:session): session closed for user root
Jul 22 17:00:01 retropie CRON[24215]: pam_unix(cron:session): session opened for user root by (uid=0)
Jul 22 17:00:01 retropie CRON[24219]: (root) CMD (   PATH="$PATH:/usr/local/bin/" pihole updatechecker local)
Jul 22 17:00:01 retropie CRON[24215]: pam_unix(cron:session): session closed for user root
Jul 22 17:01:29 retropie sudo[24304]: pi : TTY=pts/1 ; PWD=/home/pi ; USER=root ; COMMAND=/bin/systemctl restart unifi.service
Jul 22 17:01:29 retropie sudo[24304]: pam_unix(sudo:session): session opened for user root by pi(uid=0)
Jul 22 17:01:30 retropie systemd[1]: Stopping unifi...
Jul 22 17:01:54 retropie unifi.init[24310]: Stopping Ubiquiti UniFi Controller: unifi.
Jul 22 17:01:54 retropie systemd[1]: Starting unifi...
Jul 22 17:01:55 retropie unifi.init[24420]: Starting Ubiquiti UniFi Controller: unifi.
Jul 22 17:01:55 retropie systemd[1]: Started unifi.
Jul 22 17:01:55 retropie sudo[24304]: pam_unix(sudo:session): session closed for user root
Jul 22 17:01:56 retropie sudo[24482]: unifi : user NOT in sudoers ; TTY=unknown ; PWD=/usr/lib/unifi ; USER=root ; COMMAND=/sbin/ubnt-tools id
Jul 22 17:01:58 retropie sudo[24497]: unifi : user NOT in sudoers ; TTY=unknown ; PWD=/usr/lib/unifi ; USER=root ; COMMAND=/sbin/ubnt-tools id
Jul 22 17:03:25 retropie sudo[24573]: pi : TTY=pts/1 ; PWD=/home/pi ; USER=root ; COMMAND=/bin/journalctl
Jul 22 17:03:25 retropie sudo[24573]: pam_unix(sudo:session): session opened for user root by pi(uid=0)

Er zijn twee lijnen rood, die starten met "unifi: user NOT in sudoers", is dat het probleem? Ik dacht dat dat nooit een sudo-user was eigenlijk.

[burne]

TF0 schreef op zondag 22 juli 2018 @ 19:09:

code:

tcp6       0      0 :::8443                 :::*                    LISTEN      1398/java

Dit betekend dat er een proces luistert op poort 8443. Je kunt met 'ps -l 1398' kijken of dit jre is, de java runtime engine.

Er zijn twee lijnen rood, die starten met "unifi: user NOT in sudoers", is dat het probleem? Ik dacht dat dat nooit een sudo-user was eigenlijk.

Ik denk dat dat niet het probleem is.

Volgende file: in /usr/lib/unifi/logs moet je een server.log kunnen vinden die de logging van je controller bevat. Staan daar opvallende dingen in?

[ Voor 3% gewijzigd door burne op 22-07-2018 19:56 ]

[TF0]

burne schreef op zondag 22 juli 2018 @ 19:55:
[...]

Dit betekend dat er een proces luistert op poort 8443. Je kunt met 'ps -l 1398' kijken of dit jre is, de java runtime engine.

[...]

Ik denk dat dat niet het probleem is.

Volgende file: in /usr/lib/unifi/logs moet je een server.log kunnen vinden die de logging van je controller bevat. Staan daar opvallende dingen in?

'ps -l 1398' geeft het volgende:

code:

F S   UID   PID  PPID  C PRI  NI ADDR SZ WCHAN  TTY        TIME CMD

Dat lijkt me niet goed.

Verder heeft server.log 'oneindig' veel van het volgende:

code:

[2018-07-22 13:34:12,982] <db-server> ERROR system - unable to exec
java.io.IOException: Cannot run program "bin/mongod" (in directory "/usr/lib/unifi"): error=2, No such file or directory
        at java.lang.ProcessBuilder.start(ProcessBuilder.java:1048)
        at com.ubnt.ace.C.Object(Unknown Source)
        at com.ubnt.ace.C.o00000(Unknown Source)
        at com.ubnt.service.OoOO.U.Oo0000(Unknown Source)
        at com.ubnt.service.OoOO.U.super(Unknown Source)
        at com.ubnt.service.OoOO.U$1.run(Unknown Source)
        at java.lang.Thread.run(Thread.java:745)
Caused by: java.io.IOException: error=2, No such file or directory
        at java.lang.UNIXProcess.forkAndExec(Native Method)
        at java.lang.UNIXProcess.<init>(UNIXProcess.java:248)
        at java.lang.ProcessImpl.start(ProcessImpl.java:134)
        at java.lang.ProcessBuilder.start(ProcessBuilder.java:1029)
        ... 6 more

Is er een probleem met de database ?

Edit:
Daar lijkt het wel op:
ps -aef | grep mongo
Geeft:

code:

root     30513 29080  0 18:59 pts/1    00:00:00 grep mongo

Terwijl je blijkbaar (https://community.ubnt.co...he-http-page/td-p/1700663) een andere database moet hebben.

Zijn onderstaande stappen verstandig?

"sudo service unifi stop [ENTER]" => to stop the unifi controller
"sudo service mongodb stop [ENTER]" => to stop the mongoDB default process
"sudo rm /var/log/unifi/* [ENTER]" => to delete all the log file (NO IMPORTANT DATA, ONLY LOG FILES)
"sudo service unifi start [ENTER]" => start normally the unifi controller AND it's own mongoDB
"ps -aef | grep java [ENTER]" => to check the java process
"ps -aef | grep mongo [ENTER]" => to check the new mongoDB database

[ Voor 20% gewijzigd door TF0 op 22-07-2018 21:02 ]

[burne]

TF0 schreef op zondag 22 juli 2018 @ 20:35:

Dat lijkt me niet goed.

Als 'm daarna herstart hebt veranderd het getalletje.

Verder heeft server.log 'oneindig' veel van het volgende:
[code]
[2018-07-22 13:34:12,982] <db-server> ERROR system - unable to exec
java.io.IOException: Cannot run program "bin/mongod" (in directory "/usr/lib/unifi"): error=2, No such file or directory

Het lijkt erop dat je geen Mongo-daemon meer hebt, of dat er een tiepfout in een pad zit.

[zeroday]

rally schreef op zaterdag 21 juli 2018 @ 16:42:
Vanochtend de update gedaan naar 5.9.16, echter nu krijg ik een error m.b.t. het security certificaat.
Ik doe een renew, maar dat mag helaas niet baten

Overigens heb ik hiervoor deze how-to gevolgd.

Het certificaat dat ik nu krijg is van UBNT en niet van Letsencrypt.

Iemand hier een briljant idee?

Je moet de key die je hebt/had eerst verwijderen uit de keystore en daarna de nieuwe (bestaande) er weer in zetten
ik heb dat probleem gehad met de eerste versie in deze reeks, nu met de upgrade naar 5.9.16 bleef bij mij alles ok
ik gebruik(te) btw dit script volgens mij
https://github.com/rjr162/unifi-cert

En, weet het niet precies meer, ik heb volgens mij onderstaande gebruikt uit het forum om de oude key eruit te krijgen en de nieuwe erin omdat ik naar een wildcard certificaat ben gegaan voor mijn interne netwerk
deze heb ik op 1 VM staan en die heb ik maar even voor het gemak (omdat ik niet weet hoe het anders kan) op een NFS share gezet zodat elke machine erbij kan en ik met 1 wildcard certificaat alle VMs kan bedienen. Geen gedonder meer met het overkopieren van de certificaten elke 3 maand.

Dit voor de keystore stuff

As root, you need to run:


openssl pkcs12 -export -in cert.pem -inkey privkey.pem -out unifi.p12 -name unifi -CAfile fullchain.pem -caname root

mv /var/lib/unifi/keystore /var/lib/unifi/keystore.backup

keytool -importkeystore -deststorepass aircontrolenterprise -destkeypass aircontrolenterprise -destkeystore /var/lib/unifi/keystore -srckeystore unifi.p12 -srcstoretype PKCS12 -alias unifi

service unifi restart
Explanation of the commands:


1. Package the PEMs into P12 format.

2. Backup your current, probably default, UniFi keystore.

3. Import the P12 certs into UniFi's Java keystore

4. Restart the UniFi controller

In case anything goes wrong, restore the default keystore to get a working UniFi web GUI again:


mv /var/lib/unifi/keystore /var/lib/unifi/keystore.borked
mv /var/lib/unifi/keystore.backup /var/lib/unifi/keystore