Netwerk logisch inrichten met afgeschermd router

[deepbass909]

Ik zit sinds enige tijd met een kleine uitdaging hier in huis.

Sinds dit voorjaar heb ik een nieuwe woning met glasvezel internet van T-Mobile. Van T-Mobile krijg je een prachtige Draytek Vigor 2132FVn modem/router met SFP-aansluiting voor glas. Een behoorlijk krachtig apparaat, maar met een paar (voor mij) grote nadelen.

Zo ondersteunt deze geen 5 GHz wifi, kan ik geen eigen software erop draaien (zoals een torrent-cliënt) en is deze router door beperkingen vanuit T-Mobile niet in bridge mode of Active True IP te zetten.

Uit mijn oude installatie heb ik een Netgear WNDR3700v1 / 37AV. Op deze router draait OpenWRT Chaos Calmer met wat eigen applicaties en wil ik daarom maar al te graag blijven gebruiken voor het afhandelen van alle netwerktaken in het huis (dus DHCP, firewall, NAT, etc). Daarnaast hangt er op een andere verdieping nog een Linksys WRT320N V1-router met LEDE als extra access point voor de wifi.

Op dit moment zit het als volgt aangesloten/ geconfigureerd:

1. Modem - router : DrayTek Vigor met NAT en DHCP ingeschakeld, intern netwerk range 10.0.0.0/24
2. Router : Netgear met NAT en DHCP ingeschakeld, via de WAN-poort aangesloten op de DrayTek, intern netwerk range 192.168.1.0/24
3. Switch : TP-Link TL-SG1016D 16-poorts unmanaged switch
4. Router : LinkSys als dom access point die via de WAN-poort alles via de TP-link doorstuurt naar de Netgear (voor € 2,50 op de kop getikt bij een kringloop).

Verplicht plaatje van de setup:
20170604_231024 by Chris Hogevonder, on Flickr
De paarse UTP-kabels die net te zien zijn, zijn van de IPTV en gaan rechtstreeks vanaf de Vigor naar een Cat6 aansluiting in het huis.

Nu het probleem waar ik mee zit. Door de huidige setup heb ik een NAT achter NAT. Over het algemeen werkt het goed, met speedtest haal ik meer dan regelmatig meer dan 120 mbit up en down (op een 100 mbit abo) en de ping is laag genoeg. Maar af en toe hapert het internet toch en is het een ware hel om poorten van buiten naar binnen open te zetten.

Ik wil dus naar een meer zinnige configuratie. Ik zou daarvoor ook de Netgear als dom AP in kunnen stellen, net zoals de LinkSys, maar dan zit ik feitelijk OpenWRT buiten spel.

Kort samengevat, ik kan de DrayTek niet elimineren en heb die nodig voor de NAT-functionaliteit, maar ik wil de Netgear als centraal punt in mijn netwerk houden.

Gaat het werken door:

• de DrayTek een vast intern IP te geven van 192.168.1.1,
• de Netgear IP 192.168.1.2, in OpenWRT de WAN- en LAN-poorten in één interfacegroep op te nemen (daarmee NAT uitschakelend op de Netgear)
• de LinkSys IP 192.168.1.3, in OpenWRT de WAN- en LAN-poorten in één interfacegroep op te nemen en DHCP en firewall uit (dom AP)
• DHCP op de DrayTek uitschakelen
• DHCP op de Netgear actief houden met een logische pool (bijv. 192.168.1.50 - 192.168.1.200)
• Firewall op de DrayTek uit

of is een andere setup die beter is in deze situatie, en zo ja, hoe dan?

[Verwijderd]

Er moet gewoon één router de DHCP en de rest afwikkelen. Jij moet bepalen welke dat is, en of deze router dat aankan.

[gastje01]

Waarom gooi je die Draytek er niet tussen uit? Ik lees nergens of je telefonie van Tmobile gebruikt, anders heb je deze helemaal niet meer nodig.

Ik weet niet of je met openwrt vlans kan instellen, dit is wel een eis om je eigen spul werkend te krijgen.

[chickpoint]

Is het geen optie om gebruik te maken van een media converter (meeste ISPs werken via dit principe)?
Dan kan je de glasvezel en SFP overzetten in deze medie converter en vanuit daar met een normaal netwerk draadje naar je Netgear gaan.

https://tweakers.net/pric.../?keyword=media+converter

Het enige dat dan nog overblijft zijn de instellingen, je moet een manier vinden om de verbinding op te zetten. Ik gok dat dit gebeurt via verschillende VLANs, maar daar heb ik zelf geen verdere ervaring mee. Maar na een paar keer googelen moet dat vast goed komen!

[Ora et Labora]

Volgens mij kan je op de Draytek wel een DMZ toewijzen.
Hier sluit je je Netgear op aan. Alle inkomend verkeer wat niet in de Draytek is gespecificeerd staat, gaat automatisch naar de DMZ, jouw Netgear dus. Je hoeft portforwarding dan maar 1x in te stellen, op je Netgear.
In principe hetzelfde hoe je het nu aangesloten hebt, alleen configureer je de poort op de Draytek als DMZ poort.
Niet vergeten alle NAT rules uit je Draytek te verwijderen dan.

[ Voor 7% gewijzigd door Ora et Labora op 31-08-2017 09:32 ]

[ThinkPad]

gastje01 schreef op woensdag 30 augustus 2017 @ 23:43:
Waarom gooi je die Draytek er niet tussen uit? Ik lees nergens of je telefonie van Tmobile gebruikt, anders heb je deze helemaal niet meer nodig.
[...]

Hij heeft wel IPTV, het kan zijn dat de Draytek daar nog iets mee doet. Maar in de meeste gevallen is het gewoon zorgen dat de juiste VLAN wordt doorgezet naar de settopbox en je hebt beeld (bridged IPTV).
Bij KPN is het zo dat in de Experiabox nog bepaalde routing wordt gedaan, zodat de settopbox ook internet heeft en daardoor Netflix e.d. kan gebruiken. Met bridged IPTV werkt dat niet meer, maar dan pak je daarvoor gewoon een Chromecast ofzo

Als je met mediaconverters aan de gang gaat dan zul je dus wel een apparaat moeten hebben die ondersteuning heeft voor VLANs, omdat je meerdere VLANs over één RJ45-aansluiting krijgt. Die zul je ergens uit elkaar moeten trekken. De Draytek doet dat nu voor je. Mogelijk kan OpenWRT dat voor je doen.

Ik heb op mijn NLEx VDSL-lijn een eigen modem (Draytek Vigor 130) en die doet iets soortgelijks als zo'n mediaconverter doet voor glasvezel: hij zet de telefoonlijn om in een RJ45-aansluiting en spuugt de VLAN's uit. Via m'n managed switch zorg ik dat het VLAN voor TV gelijk wordt afgebogen naar het netwerkpoortje op de switch waar m'n settopbox aan hangt. Het VLAN waar het internet signaal op staat stuur ik naar m'n router (pfSense in een VM) in. Met een managed switch is het overigens ook makkelijker om een gastennetwerk ernaast te zetten, kwestie van extra VLAN aanmaken en zorgen dat je router daar DHCP en DNS op aanbied (en wat firewall rules om te zorgen dat het VLAN op internet kan en niet bij je eigen netwerk kan).
Plaatje: https://tweakers.net/ext/f/hlO44IsG6PQf4xWpmOVYfmOt/full.png

P.S. Mocht je ooit nog eens ambities hebben om de wifi/accespoints te upgraden, kijk eens naar hardware van Ubiquiti. Onlangs bij m'n ouders 3x AP-AC-Lite geplaatst en ze zijn erg tevreden over het wifi-bereik nu. Groot voordeel is dat je alle AP's op één plek beheert en bijv. een SSID maar één keer hoeft te configureren en dan naar alle accespoints kunt pushen.

[ Voor 26% gewijzigd door ThinkPad op 31-08-2017 10:08 ]

[gastje01]

ThinkPadd schreef op donderdag 31 augustus 2017 @ 09:42:
[...]

Hij heeft wel IPTV, het kan zijn dat de Draytek daar nog iets mee doet. Maar in de meeste gevallen is het gewoon zorgen dat de juiste VLAN wordt doorgezet naar de settopbox (bridged IPTV).
Bij KPN is het zo dat in de Experiabox routing wordt gedaan zodat de settopbox ook internet heeft en daardoor Netflix e.d. kan gebruiken. Met bridged IPTV werkt dat niet meer, maar dan pak je daarvoor gewoon een Chromecast ofzo

Maar daar had ik het hier niet over. IPTV is de regelen dmv VLANs omdat het ze werken met bridged IPTV ipv routed. T-Mobile Thuis gebruikt De volgende 3:
Management: 100
Internet: 300
IPTV: 640
Telefonie is echter een ander verhaal, T-Mobile geeft de SIP gegevens niet vrij en deze zijn ook niet uit de Draytek te halen (je bent user en geen admin op dat ding helaas). Ik maak zelf geen gebruik van telefonie van T-Mobile, dus dat heb ik niet verder uitgezocht.

Als je met mediaconverters aan de gang gaat dan zul je dus wel een apparaat moeten hebben die ondersteuning heeft voor VLANs, omdat je meerdere VLANs over één RJ45-aansluiting krijgt. Die zul je ergens uit elkaar moeten trekken. De Draytek doet dat nu voor je. Mogelijk kan OpenWRT dat voor je doen.

P.S. Mocht je ooit nog eens ambities hebben om de wifi/accespoints te upgraden, kijk eens naar hardware van Ubiquiti. Onlangs bij m'n ouders 3x AP-AC-Lite geplaatst en ze zijn erg tevreden over het wifi-bereik nu. Groot voordeel is dat je alle AP's op één plek beheert en bijv. een SSID maar één keer hoeft te configureren en dan naar alle accespoints kunt pushen.

Dit dus. Ik heb zelf 2x de AP-AC-Lite in huis (zo groot is mijn kasteel niet) en ik ben zeer te spreken over het bereik en de snelheid. De wifi van de Draytek heb ik nooit gebruikt (want alleen 2.4 en ongunstige plaatsing in huis). Let er wel een beetje mee op, het werkt tot op zekere hoogte 'verslavend'. Eergisteren eindelijk een Unifi 16 -poorts switch plus Unifi Security Gateway besteld om definitief afscheid te nemen van de Draytek. Hierbij ga ik ook VLANs gebruiken om t vanaf de switch al uit elkaar te trekken.Als PostNL me vanavond wel thuis aantreft mag t originele Vodafone/T-Mobile spul terug de doos in.

[Edwin88]

Ik snap niet zo goed waarom je een knappe router van 200 euro met veel krachtigere hardware niet wilt gebruiken maar een oud (2009 eerste prijsvermelding) en goedkoper apparaat je netwerk wilt laten inregelen.

Kan je niet de Vigor als main router gebruiker, en dan beide andere routers als simpel access points gebruiken waarbij je dan die Netgear alsnog gebruikt om software te draaien, alleen dan niet meer als DHCP server te gebruiken.

Wel kan ik je aanraden je switch te vervangen door een managed versie, heb ik laatst ook gedaan en mijn ping en algehele internetverbinding is een stuk stabieler.

Experia Box V10 -> 8 poort PoE switch managed -> AP + allerlei plekken in huis via draad

[deepbass909]

Dank jullie alvast voor de suggesties.

Telefonie hebben we wel, maar gebruiken we niet (een jaar abo met telefoon was onder aan de streep goedkoper dan zonder ), dus dat kan me eigenlijk gestolen worden.

@chickpoint
Over het gebruiken van een mediaconverter heb ik ook al nagedacht, maar ik weet niet of mijn Netgear de multicast stream aan kan nodig voor IPTV in combinatie met de andere taken die ik hem laat uitvoeren (er draait bijv. een torrent-cliënt op en die wil de CPU nog weleens zwaar belasten).

@Ora et Labora
Met een DMZ heb ik al gestoeid, maar wou niet werken. Wat ik heb begrepen, houdt de DrayTek toch nog enig toezicht op de data die via de DMZ loopt en geeft het geen volledig vrije toegang tot het internet.

@ThinkPad
In OpenWRT kan ik bijna alles regelen, op een enkel hardware beperkt protocol na (ik zou bijv. graag 802.11r willen implementeren, maar dat ondersteund de Netgear hardware niet...) VLAN's zijn echter geen enkel probleem.

Aangezien een TP-link mediaconverter blijkbaar maar € 23 kost, is dat wellicht de route om gaan.

Ubiquiti is inderdaad erg mooi spul, maar ook prijzig. Voor ik daar m'n geld aan ga uitgeven, zijn er eerst andere, meer belangrijkere zaken in huis die moeten gebeuren.

@Edwin88
Waarom die Netgear? Omdat die, toen ik hem kocht, als één van de beste routers gold en binnen de OpenWRT/LEDE community nog steeds als één van de meest flexibele routers geldt. Je kan een WNDR3700 met OpenWRT niet vergelijken met dezelfde router met stock firmware. Het enige waar hij het eigenlijk aflegt ten opzichte van nieuwe routers, zijn geavanceerde wifi-protocollen waarvoor hardware ondersteuning nodig is. Maar aangezien geen enkele cliënt hier in huis daar gebruik van kan maken, is dat voor mij geen issue.

Waarom ik de DrayTek buitenspel wil zetten? Omdat dat ding een verschrikkelijk complexe en onlogische interface heeft en totaal niet duidelijk is waar welke functie zit. Ik zou ook zeker niet durven stellen dat de DrayTek krachtigere hardware heeft, qua CPU's is er niet eens zoveel veranderd de afgelopen jaren en op gebied van wifi is de DrayTek zelfs zwakker dan de Netgear. Daarnaast zit de kracht van een router in de software, niet zozeer de hardware (of je moet wel echt onder in het spectrum gaan zitten). Het enige wat ik niet zeker weet, is of de Netgear multicast IPTV aan kan, mocht ik de DrayTek helemaal buiten spel willen zetten.

Switch had achteraf een managed-versie moeten zijn, maar dat heb ik mij te laat gerealiseerd. Toen ik hem aan het uitzoeken was, vond ik het prijsverschil te groot voor iets waarvan ik dacht dat ik het toch niet zou gebruiken. En net als met het Ubiquiti-spul heb ik nu eerst andere zaken waar het geld aan op gaat.
Maar echt last heb ik er niet van, nu zijn er 2 UTP-poort op de DrayTek toegewezen aan de VLAN's voor IPTV en via m'n patchpanel gaan die rechtstreeks naar de ontvangers. Pas als ik een derde ontvanger toe wil voegen, zou een managed switch nodig zijn.

[Edwin88]

Je zegt dat je torrents draait op je router. Ben je dan niet bang dat het CPU gebruik van de torrent client het efficient en snel routeren van je netwerk in de weg zit?

Over het wifi bereik: zorg dat je in ieder geval de wifi uit de meterkast haalt. Tenzij je naast je meterkast zit is elke plek buiten die kast beter dan naast je groepenkast.

[ Voor 34% gewijzigd door Edwin88 op 01-09-2017 08:15 ]

[chickpoint]

Je zou er nog voor kunnen kiezen om je torrents te shedulen midden in de nacht, als je slaapt en toch niet actief je verbinding gebruikt. Dan heb je geen last van een eventuele performance dip.

De realtek netwerk chip die erin zit heeft trouwens VLAN support ingebouwd, dus hoeft niet langs de CPU? Denk dat je router IPTV wel kan trekken dan. Maar pin me er niet op vast

[Ora et Labora]

deepbass909 schreef op vrijdag 1 september 2017 @ 00:03:
@Ora et Labora
Met een DMZ heb ik al gestoeid, maar wou niet werken. Wat ik heb begrepen, houdt de DrayTek toch nog enig toezicht op de data die via de DMZ loopt en geeft het geen volledig vrije toegang tot het internet.

Dat is vreemd. Ik heb juist de ervaring dat dit wel werkt. Wel alle NAT rules en port forwards en routeringen verwijderen uit de Draytek, anders werkt de DMZ niet.

[MisteRMeesteR]

deepbass909 schreef op vrijdag 1 september 2017 @ 00:03:
Dank jullie alvast voor de suggesties.

Tik op Marktplaats een goedkope NTU op de kop en koop een managed switch (welke IGMP snooping ondersteunt) om de binnenkomende VLAN's uit te kleden. Net als ThinkPad heeft gedaan op zijn xDSL lijn. (en honderden andere tweakers ).