Apart subnet over PPPoE verbinding in pfSense

[Bramboos]

Wij hebben sinds kort zakelijk glasvezel waarbij we naast ons normale IP nog een extra subnet hebben aangeschaft.

Nu hebben we van onze provider een Mikrotik routertje gekregen maar deze kan gewoon de vele verbindingen niet aan. De snelheid blijft bij laag gebruik hangen op 450mbit (van de 565 mbit die we met pfSense halen) en bij druk gebruik kakt de verbinding in onder de 300mbit. Nu heeft onze provider geen verstand van pfSense en kunnen ons dus ook niet helpen met de instellingen voor het instellen van het subnet.

Op de Mikrotik router werkt het subnet wel dus het is uitgesloten dat het probleem bij de provider zit. Toen ik vroeg hoe ze het subnet aanmaakten op de Mikrotik werd mij verteld dat ze gewoon een interface toevoegden met het subnet en dat je dan naast de DHCP leases in het netwerk ook gebruik kon maken van de externe IP's.

Nu ben ik al 2 avonden kwijt aan het proberen om dat subnet werkend te krijgen op pfSense. Ik draai pfSense in mijn racks in het datacenter, ik draai het thuis, bij familie. Overal werkt het en uiteindelijk krijg ik alles wel ingesteld. Maar dat magische subnet is mij echt een raadsel.

Nu hoop ik dus eigenlijk dat iemand hier iets soortgelijks heeft gehad en mij kan vertellen wat ik moet instellen. NAT 1:1 is natuurlijk geen optie mocht dat aangeboden worden. De IP's in het subnet moeten al dan niet op het huidige netwerk gaan werken of in een vlan of eventueel op een aparte interface op de router. Dat maakt niet uit.

[Bierkameel]

Kan je niet inloggen op die MikroTik en de config eruit halen?

[Bramboos]

Ja, dat kan maar het is daar precies zoals ze bij de support van de provider zeggen. Ze maken een nieuwe interface aan. Maar dat werkt op pfSense blijkbaar anders aangezien er niks gebeurt als ik exact op dezelfde manier daar een interface aanmaak.

[Crazius]

Je kan virtuele ip's configureren op de huidige WAN interface

"Firewall" --> "Virtual IPs"

[Verwijderd]

Pfsense en Mikrotik zijn twee verschillende platformen.

[Bramboos]

Crazius schreef op woensdag 10 januari 2018 @ 15:40:
Je kan virtuele ip's configureren op de huidige WAN interface

"Firewall" --> "Virtual IPs"

Yes, daar is het subnet toegevoegd. Maar ik kan er nu nog niks mee.

Verwijderd schreef op woensdag 10 januari 2018 @ 15:41:
Pfsense en Mikrotik zijn twee verschillende platformen.

Dat weet ik en wordt overigens ook snel duidelijk bij het inloggen op beide apparaten. Vandaar dat het ook niet zo 1 op 1 settings overnemen is.

[Crazius]

Je zal daarna firewall rules moeten aanmaken of 1:1 nat regels moeten aanmaken.

Als je vanuit je LAN met een specifiek ip adres naar buiten wilt zal je outbound NAT op manual moeten zetten.

[DJSmiley]

Hoe wordt dat subnet geleverd? is dat gewoon gerouteerd over je normale IP adres?
In dat geval gewoon een 2e interface (of vlan) aanmaken met jouw subnet en nat disablen daarop

En welke Mikrotik is dat? De meeste Mikrotiks moeten gewoon prima >500Mbit kunnen halen, tenzij er een stapel firewall rules in zitten. Voor de budget mikrotikjes heb je overigens wel fasttrack nodig (bv de Hex), anders blijf je rond de 350Mbit hangen

Post desnoods eens de config van je Mikrotik? Dan kunnen we snel genoeg zien hoe je ISP het heeft ingericht.

[ Voor 11% gewijzigd door DJSmiley op 10-01-2018 21:59 ]

[terror538]

Ik heb op mijn OpenBSD bak gewoon een extra VLAN en vether interfaces voor mijn gerouteerde /29 van xs4all.

Voor de duidelijkheid: je moet het extra subnet instellen aan de LAN kant /niet/ op de WAN interface! Dus of direct aan je LAN kant óf middels vlans.

[Bramboos]

Ik heb dus een VLAN aangemaakt op de LAN interface en daar op dat VLAN een interface gemaakt. Als ik het IP van het subnet invul op die interface dan krijg ik:

The following input errors were detected:
This IPv4 address is the network address and cannot be used

Het gaat om een /28 btw. Het eerste adres is dus network addr, tweede is de gateway dus als ik het 3e adres uit het subnet pak en die invul op de interface dan mag ik wel opslaan en wordt de interface ook actief maar ik wil dus het hele subnet dan kunnen gebruiken op dat VLAN.

Blijft volgensmij het geval dat ik het alsnog moet routeren en dat is nou precies het probleem. Bij eigenlijk elke rule die ik op internet vind of uit mijn duim zuig valt het internet weg en in sommige gevallen kom ik niet eens meer op de web interface waarna ik dus alles weer mag resetten.

Het gaat in ieder geval op dezelfde manier als het bij XS4ALL werkt (KPN Wholesale).

Hier in ieder geval hoe het nu ingesteld staat:

[Thralas]

Waarom heb je een extra VLAN nodig? Kun je niet gewoon een extra adres toevoegen op je LAN-interface?

Bramboos schreef op donderdag 11 januari 2018 @ 20:11:
Het gaat om een /28 btw. Het eerste adres is dus network addr, tweede is de gateway dus als ik het 3e adres uit het subnet pak en die invul op de interface dan mag ik wel opslaan en wordt de interface ook actief maar ik wil dus het hele subnet dan kunnen gebruiken op dat VLAN.

Ho even. Gateway? Als je het subnet op je LAN configureert dan ben je de gateway. Het 'tweede' adres geef je dan dus aan je router, de rest kun je gewoon gebruiken door ze uit te delen (DHCP, statisch) aan je clients.

Ik ken pfSense verder niet, maar ik zou ook eens goed nalopen hoe je NAT werkt (wat @DJSmiley ook zegt). Het is niet ongewoon om een 'alles dat deze interface uitgaat moet worden geNAT'-rule te hebben, daar zul je dus een uitzondering op moeten maken.

DJSmiley schreef op woensdag 10 januari 2018 @ 21:58:
En welke Mikrotik is dat? De meeste Mikrotiks moeten gewoon prima >500Mbit kunnen halen, tenzij er een stapel firewall rules in zitten.

Als je met 'de meeste' MikroTiks een CCR, RB1100, RB3011 of RB750Gr bedoelt wel. Ik ben daar niet zo stellig in en verwacht dat je het zeker niet fatsoenlijk haalt op vrijwel alles dat niet 19" is.

Als ik als voorbeeldje deze zakelijke aanbieder neem dan zie ik dat ze nog een RB951G leveren. Er zijn de laatste paar releases een hoop verbeteringen doorgevoerd (ie. vroeger hadden we niet eens fasttrack), maar het zou me verbazen als 'ie 500 Mbit/s haalt.

[Bramboos]

Ik wil het subnet of op een aparte netwerk poort op de router of in een vlan omdat ik niet wil dat mensen op de LAN zomaar een IP uit het subnet mogen pakken.

Ik heb nu de Mikrotik RB850Gx2 maar op een of andere manier is dat gewoon heel instabiel. Waarschijnlijk zal het bij het gemiddelde gezin en bedrijf prima werken. Maar als je flink wat blockchain noeds hebt draaien met poorten naar buiten en verder nog elke nacht bijna een TB aan backups uit het datacenter naar binnen pompt dan vind die Mikrotik de 500mbit niet meer lief meer.

Het vreemde blijf ik vinden dat echt niemand van de provider mij kan vertellen hoe dat subnet precies werkt. Dat ik vlan6 met PPPoE moest gebruiken was mij al bekend maar anders moest ik dat waarschijnlijk ook nog uit gaan zoeken.

Als er nou misschien een handleiding op internet stond hoe ik dat subnet op een random andere router moest instellen dan had ik dat misschien nog wel over kunnen porren naar pfSense maar het is allemaal maar wat gokken.

En eigenlijk alles wat ik kan vinden wat betreft pfSense bevat NAT en dat is gewoon niet wat ik wil. Ik wil gewoon op een aparte lijn of vlan mijn IP's van mijn subnet kunnen gebruiken.