Van experiabox naar eigen netwerk: IGMP snooping?

[Esumontere]

Goedenavond allemaal!

Ik heb een KPN VDSL-verbinding thuis, waarbij ik momenteel de Experiabox als modem en router gebruik. Ik ben bezig met het updaten van mijn netwerk in huis (2 kamer-appartement, 75 m2), omdat de experiabox van KPN gewoon niet voldoende WiFi-signaal produceert om mijn appartement van stabiele WiFi te voorzien, en omdat ik wat meer controle wil hebben over wat er binnen mijn huis gebeurt. Momenteel heb ik vanaf de experia-box 2 kabels door het huis getrokken, 1 naar de slaapkamer voor iTV en 1 naar de woonkamer, waar via een managed switch met IGMP Snooping het signaal verdeeld wordt tussen de iTV en de overige apparaten (computers, smart-TV, WiFi-access point omdat het experiabox-signaal matig is). Dit is natuurlijk niet bijzonder optimaal.

Nu heb ik inmiddels een losse router besteld (pricewatch: TP-Link Archer Draadloze Dual Band Gigabit Router Archer C1200). Het plan is om alle routing-functies van de experiabox uit te zetten, het ding dus enkel als modem te gebruiken, en vervolgens de nieuwe TP-link te gebruiken waarvoor hij gemaakt is. Ik wil de TP-link niet in de meterkast, maar in de woonkamer ophangen. De vraag is echter: Kan dat via die ene ethernetkabel die nu naar de woonkamer loopt?

Mijn vraag:
Kan ik, met mijn huidige bekabeling, zowel de nieuwe router als de iTV-set via de managed switch aansluiten op de ethernetkabel die door de muur naar de experiabox loopt, of moet ik hiervoor een tweede kabel trekken?

Relevante software en hardware die ik gebruik
pricewatch: TP-Link Archer Draadloze Dual Band Gigabit Router Archer C1200
pricewatch: Netgear Prosafe Gigabit Plus GS105E
KPN iTV unit
Experiabox V10

Wat ik al gevonden of geprobeerd heb
Ik heb al wat rondgeklikt op het KPN-forum, maar ik vind alleen erg oude posts van mensen die dergelijke dingen proberen (bijvoorbeeld dit). Hieruit werd duidelijk dat de iTV-sets direct op de modem moeten worden aangesloten als deze in bridge-modus staat. Er is alleen niet duidelijk of over die kabels dan óók een 'gewone' internetverbinding aangelegd kan worden.

[ Voor 5% gewijzigd door Esumontere op 17-10-2017 21:57 ]

[base_]

Info hierover vind je hier: http://netwerkje.com/eigen-router

[Esumontere]

base_ schreef op dinsdag 17 oktober 2017 @ 21:28:
Info hierover vind je hier: http://netwerkje.com/eigen-router

Ah, excuus, ik zie dat ik vergeten was te vermelden dat ik KPN VDSL heb, dus geen glasvezel. Dit betekent dat mijn Experiabox sowieso moet fungeren als NTU, waardoor het verhaal waar jij naar linkt helaas niet opgaat.

EDIT: Dit is dus een schets van het netwerk wat ik wil aanleggen:

[ Voor 18% gewijzigd door Esumontere op 17-10-2017 21:53 ]

[chickpoint]

Waarom wil je zo graag van de experiabox af?
Ik denk dat je jezelf een hoop moeite kunt besparen door de wifi van de experiabox uit te schakelen en de Archer op een centrale plek te plaatsen als access point.

Ik heb toevallig ook een appartement van 75 m2 en haal met een Asus RT-AC66u prima dekking.

Dan kun je de rest van het netwerk hetzelfde laten. Mocht je meer mogelijkheden willen hebben dan de experiabox nu geeft is het belangrijk om even te vermelden welke experiabox je hebt en welke mogelijkheden jij mist.

Esumontere schreef op dinsdag 17 oktober 2017 @ 21:39:
[...]

Ah, excuus, ik zie dat ik vergeten was te vermelden dat ik KPN VDSL heb, dus geen glasvezel. Dit betekent dat mijn Experiabox sowieso moet fungeren als NTU, waardoor het verhaal waar jij naar linkt helaas niet opgaat.

EDIT: Dit is dus een schets van het netwerk wat ik wil aanleggen:
[afbeelding]

De schets die je hier maakt kan niet als je de Archer wilt gebruiken als router. Als je de Archer als router gaat gebruiken zullen alle netwerk apparaten achter deze router moeten zitten

[ Voor 39% gewijzigd door chickpoint op 17-10-2017 21:58 ]

[Esumontere]

chickpoint schreef op dinsdag 17 oktober 2017 @ 21:56:
Waarom wil je zo graag van de experiabox af?
Ik denk dat je jezelf een hoop moeite kunt besparen door de wifi van de experiabox uit te schakelen en de Archer op een centrale plek te plaatsen als access point.

Ik heb toevallig ook een appartement van 75 m2 en haal met een Asus RT-AC66u prima dekking.

Dan kun je de rest van het netwerk hetzelfde laten. Mocht je meer mogelijkheden willen hebben dan de experiabox nu geeft is het belangrijk om even te vermelden welke experiabox je hebt en welke mogelijkheden jij mist.

Ik wil vooral een SFTP-server gaan opzetten, als Dropbox-alternatief, waarbij Port Forwarding ingesteld maar goed dichtgetimmerd is. Omdat de Experia-box (ik heb de V10, overigens) nogal beperkt is met betrekking tot instellingen in die categorie, wil ik dat graag via de TP-link regelen.

chickpoint schreef op dinsdag 17 oktober 2017 @ 21:56:

De schets die je hier maakt kan niet als je de Archer wilt gebruiken als router. Als je de Archer als router gaat gebruiken zullen alle netwerk apparaten achter deze router moeten zitten

Dat is dus ook mijn vraag. Ik dacht dat iTV, ookal staat de Experiabox in bridged modus, nog steeds via die box moest lopen?

[ Voor 18% gewijzigd door Esumontere op 17-10-2017 22:04 ]

[chickpoint]

Port forwarding is ook prima te doen met de experiabox, neem even hier een kijkje: https://forum.kpn.com/int...-wat-waarom-en-hoe-322560

[Esumontere]

chickpoint schreef op dinsdag 17 oktober 2017 @ 22:02:
Port forwarding is ook prima te doen met de experiabox, neem even hier een kijkje: https://forum.kpn.com/int...-wat-waarom-en-hoe-322560

Klopt, maar zoals in diezelfde link aangegeven kan je helaas niet filteren op MAC-adres, waardoor in feite iedereen die een wachtwoord kan brute-forcen toegang heeft tot mijn bestanden.
Dit zie ik verkeerd, excuus. Echter, ik wil graag restricties aanbrengen in het systeem, zodat echt alleen mijn SFTP server beschikbaar is. Dat lijkt met de experiabox niet mogelijk?

[ Voor 17% gewijzigd door Esumontere op 17-10-2017 22:07 ]

[chickpoint]

Ik denk dat je jezelf veilig waant achter een oplossing die niet zo veilig zal zijn als de beveiliging van je sftp server goed te regelen .

Mac adressen zij vrij eenvoudig te spoofen en dan kun je in principe nog steeds een brute force uitvoeren. (Ver gezocht ik weet het )

Is het niet verstandiger om alleen toegang te verschaffen tot je sftp server door middel van een certificaat IPV een wachtwoord?

Mocht dit niet de voorkeur hebben kun je nog altijd Fail2Ban gebruiken om brute force aanvallen tegen te gaan.
https://www.fail2ban.org/wiki/index.php/Main_Page

[Esumontere]

chickpoint schreef op dinsdag 17 oktober 2017 @ 22:11:
Ik denk dat je jezelf veilig waant achter een oplossing die niet zo veilig zal zijn als de beveiliging van je sftp server goed te regelen .

Mac adressen zij vrij eenvoudig te spoofen en dan kun je in principe nog steeds een brute force uitvoeren. (Ver gezocht ik weet het )

Is het niet verstandiger om alleen toegang te verschaffen tot je sftp server door middel van een certificaat IPV een wachtwoord?

Mocht dit niet de voorkeur hebben kun je nog altijd Fail2Ban gebruiken om brute force aanvallen tegen te gaan.
https://www.fail2ban.org/wiki/index.php/Main_Page

Ja, je hebt gelijk. Toegang via een certificaat was sowieso het plan, dus dan komt het inderdaad wel goed. Dit alles is ook allemaal enigszins nieuw voor mij

Hoe dan ook, als ik het goed begrijp is dit jouw advies: Gebruik de experiabox gewoon als router, zet de TP-Link in Access-point modus, stel port forwarding op in de experiabox en zet je SFTP-systeem achter een SSL certificaat?

Overigens gaat de SFTP-server draaien op een RaspPi3, dus configurability zit er sowieso wel in

[ Voor 4% gewijzigd door Esumontere op 17-10-2017 22:20 ]

[Sleepkever]

Esumontere schreef op dinsdag 17 oktober 2017 @ 22:04:
[...]

Klopt, maar zoals in diezelfde link aangegeven kan je helaas niet filteren op MAC-adres, waardoor in feite iedereen die een wachtwoord kan brute-forcen toegang heeft tot mijn bestanden.
Dit zie ik verkeerd, excuus. Echter, ik wil graag restricties aanbrengen in het systeem, zodat echt alleen mijn SFTP server beschikbaar is. Dat lijkt met de experiabox niet mogelijk?

connecties blokkeren na x inlogpogingen? fail2ban doet dat onder linux bijvoorbeeld heel aardig. Plus andere user nemen dan root (waar al die scripts op gebaseerd zijn) en dan ben je al een best eind.

Verder zou je ook eventueel poor man's bridging kunnen gaan doen door je tplink in de DMZ te gooien vanaf de experia box (ondersteunen die dmz?) en dan kan je alle routeer functies daar gebruiken, maar dit is wel echt heel error gevoelig en levert vaak een boel ellende op

In principe kan je gewoon de NAT gebruiken van je experia box, alles behalve wat je daar in stelt word sowieso geblokkeerd dan.

[chickpoint]

Esumontere schreef op dinsdag 17 oktober 2017 @ 22:13:
[...]

Ja, je hebt gelijk. Toegang via een certificaat was sowieso het plan, dus dan komt het inderdaad wel goed. Dit alles is ook allemaal enigszins nieuw voor mij

Hoe dan ook, als ik het goed begrijp is dit jouw advies: Gebruik de experiabox gewoon als router, zet de TP-Link in Access-point modus, stel port forwarding op in de experiabox en zet je SFTP-systeem achter een SSL certificaat?

Overigens gaat de SFTP-server draaien op een RaspPi3, dus configurability zit er sowieso wel in

Je mag het een sleutel (my bad) noemen, SSL is weer net anders . Maar dit lijkt me het beste idee, aangezien ik niet zo'n pro ben in VDSL en eigen routers (zit zelf o glas en verder alleen ervaring met KPN-OPIB over ADSL).

De experiabox is zo slecht niet voor routing, alleen wifi kun je wel eens pech mee hebben (kijk ik even naar de V8 en v9). Voor een goed wifi signaal is vooral de juiste (centrale) plaatsing een ontzettend belangrijke factor.

[chickpoint]

Snip: foutje

[ Voor 96% gewijzigd door chickpoint op 17-10-2017 22:20 ]

[Esumontere]

chickpoint schreef op dinsdag 17 oktober 2017 @ 22:20:
[...]

Fixed

Ik kan je vertellen, de wifi van de V10 is ook niet alles. Slechte stabiliteit en langzaam. Daarnaast zit het IS/RA punt nou eenmaal in de meterkast, en het trekken van een telefoonkabel (lees: antenne) van ~15m naar een centraal punt is niet bijzonder bevorderlijk voor de snelheid.

[chickpoint]

Esumontere schreef op dinsdag 17 oktober 2017 @ 22:22:
[...]

Fixed

Ik kan je vertellen, de wifi van de V10 is ook niet alles. Slechte stabiliteit en langzaam. Daarnaast zit het IS/RA punt nou eenmaal in de meterkast, en het trekken van een telefoonkabel (lees: antenne) van ~15m naar een centraal punt is niet bijzonder bevorderlijk voor de snelheid.

Dat begrijp ik, die kabel wil je het liefste zo kort mogelijk houden. Helaas komt dat inderdaad de plaatsing niet ten goede. Maar dit kun je dus inderdaad met een los access point oplossen.

[Esumontere]

chickpoint schreef op dinsdag 17 oktober 2017 @ 22:25:
[...]


Dat begrijp ik, die kabel wil je het liefste zo kort mogelijk houden. Helaas komt dat inderdaad de plaatsing niet ten goede. Maar dit kun je dus inderdaad met een los access point oplossen.

Top!

Dan gaan we het inderdaad zo aanpakken. Bedankt!