[Ubiquiti] Edgerouter configuratie probleem

[Yagermeister]

Mijn vraag

Sinds een aantal weken hebben wij op het werk een Ubiquiti ER-6P ter beschikking om een oude pFsense firewall te vervangen. Ik heb voor de configuratie gebruik gemaakt van de standaard wizard om 3 Wan (2 zijn er pas actief) connecties met load balancing aan te maken en 1 Lan connectie.

Nu werkt dit allemaal prima echter moeten er bepaalde servers via Wan0 naar buiten gaan en alleen Wan1 gebruiken als fail-over. Voor een aantal andere pc's wil ik juist dat alle HTTPS verkeer via WAN1 naar buiten gaat en de rest mag gewoon gedeeld worden over de lijnen totdat Wan1 eruit klapt.

Wan0 is een ADSL (8mbit) lijn waar onze basis over heen moet gaan zoals alle servers en het telefoonverkeer.
Wan1 is een T-Mobile 4G modem met een limiet van 5GB per dag. Daarom willen we alleen HTTPS hierover laten gaan. Daarbij werkt hier geen port forwarding op.
Wan2 wordt een straalverbinding naar een bedrijf kortbij zodat we de ADSL kunnen gebruiken voor puur het telefoonverkeer en wat servers en de rest zoveel mogelijk via deze lijn laten gaan. Dit is overigens een Ziggo lijn op de andere lokatie. Deze is echter nog niet actief. Dat zal binnen enkele weken gebeuren.

Zoals aangegeven heb ik bovenstaande lijnen wel allemaal geconfigureerd op de edgerouter en dit lijkt allemaal prima te gaan op de volgende problemen na:

1. Het geluid van de multiroom installatie lijkt happeringen te vertonen tijdens het afspelen. Het lijkt erop dat deze dus wisselt van lijn ondanks dat deze puur Wan0 moet gebruiken.
2. De servers lijken ook naar Wan1 te gaan ondanks dat ik dit in de config heb aangepast.
3. Op de pc's waar alleen HTTPS via Wan1 moeten gaan lijkt het erop dat ook andere poorten via Wan1 gaan wat onwenselijk is.

Ik heb met wat zoekwerk onderstaande configuratie gemaakt maar hier zit dus iets fout in maar ik weet niet wat daar ik niet superveel ervaring met Ubiquiti heb hierin. Weet iemand wat ik fout heb of moet aanpassen om bovenstaande gerealiseerd te krijgen.

code:

firewall {
    all-ping enable
    broadcast-ping disable
    group {
        address-group kantoor {
            address 192.168.199.70
            address 192.168.199.71
            address 192.168.199.72
            address 192.168.199.73
            address 192.168.199.74
            address 192.168.199.75
            address 192.168.199.76
            description "Kantoor gedeelte"
        }
        address-group servers {
            address 192.168.199.1-192.168.199.99
            address 192.168.199.200-192.168.199.253
            description Servers
        }
        network-group PRIVATE_NETS {
            network 192.168.0.0/16
            network 172.16.0.0/12
            network 10.0.0.0/8
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians disable
    modify balance {
        rule 10 {
            action modify
            description "do NOT load balance lan to lan"
            destination {
                group {
                    network-group PRIVATE_NETS
                }
            }
            modify {
                table main
            }
        }
        rule 20 {
            action modify
            description "do NOT load balance destination public address"
            destination {
                group {
                    address-group ADDRv4_eth0
                }
            }
            modify {
                table main
            }
        }
        rule 30 {
            action modify
            description "do NOT load balance destination public address"
            destination {
                group {
                    address-group ADDRv4_eth1
                }
            }
            modify {
                table main
            }
        }
        rule 40 {
            action modify
            description "do NOT load balance destination public address"
            destination {
                group {
                    address-group ADDRv4_eth2
                }
            }
            modify {
                table main
            }
        }
    rule 90 {
        action modify
        destination {
            port 443
        }
        modify {
            lb-group HTTPS
        }
        source {
            group {
                address-group kantoor
            }
        }
        protocol tcp     
    }
    rule 100 {
        action modify
        modify {
            lb-group LB-servers
        }
        source {
            group {
                address-group servers
            }
        } 
    }                  
        rule 110 {
            action modify
            modify {
                lb-group G
            }
        }
    }
    name WAN_IN {
        default-action drop
        description "WAN to internal"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address 00.00.00.00/30
        description ADSL
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
                name WAN_LOCAL
            }
        }
        poe {
            output off
        }
        speed auto
    }
    ethernet eth1 {
        address 192.168.200.200/24
        description T-Mobile
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
                name WAN_LOCAL
            }
        }
        poe {
            output off
        }
        speed auto
    }
    ethernet eth2 {
        address 192.168.178.253/24
        description Straalverbinding
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
                name WAN_LOCAL
            }
        }
        poe {
            output off
        }
        speed auto
    }
    ethernet eth3 {
        duplex auto
        speed auto
    }
    ethernet eth4 {
        address 192.168.199.254/24
        description "Intern netwerk"
        duplex auto
        firewall {
            in {
                modify balance
            }
        }
        poe {
            output off
        }
        speed auto
    }
    ethernet eth5 {
        duplex auto
        speed auto
    }
    loopback lo {
    }
}
load-balance {
    group LB_servers {
        interface eth0 {
        }
        interface eth1 {
            failover-only
        }
        interface eth2 {
            failover-only
        }
    }    
    group HTTPS {
        interface eth0 {
            failover-only
        }
        interface eth1 {
        }
        interface eth2 {
        }
    }     
    group G {
        interface eth0 {
        }
        interface eth1 {
        }
        interface eth2 {
        }
        lb-local enable
        lb-local-metric-change disable
    }
}
protocols {
    static {
        route 0.0.0.0/0 {
            next-hop 89.255.29.145 {
            }
            next-hop 192.168.178.1 {
            }
            next-hop 192.168.200.254 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name LAN {
            authoritative enable
            subnet 192.168.199.0/24 {
                default-router 192.168.199.254
                dns-server 192.168.199.4
                dns-server 8.8.8.8
                lease 3600
                start 192.168.199.100 {
                    stop 192.168.199.199
                }
                static-mapping WP-01 {
                    ip-address 192.168.199.71
                    mac-address 70:85:00:00:00:00
                }
                static-mapping WP-02 {
                    ip-address 192.168.199.72
                    mac-address b8:97:00:00:00:00
                }
                static-mapping WP-03 {
                    ip-address 192.168.199.73
                    mac-address 4c:cc:00:00:00:00
                }
                static-mapping WP-04 {
                    ip-address 192.168.199.74
                    mac-address 70:85:00:00:00:00
                }
                static-mapping WP-05 {
                    ip-address 192.168.199.75
                    mac-address 40:16:00:00:00:00
                }
                static-mapping WP-06 {
                    ip-address 192.168.199.76
                    mac-address 70:85:00:00:00:00
                }
            }
        }
        static-arp disable
        use-dnsmasq disable
    }
    dns {
        forwarding {
            cache-size 150
            listen-on eth4
        }
    }
    gui {
        http-port 80
        https-port 443
        older-ciphers enable
    }
    nat {
        rule 5000 {
            description "masquerade for WAN"
            outbound-interface eth0
            type masquerade
        }
        rule 5002 {
            description "masquerade for WAN 2"
            outbound-interface eth1
            type masquerade
        }
        rule 5004 {
            description "masquerade for WAN 3"
            outbound-interface eth2
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    unms {
        disable
    }
}
system {
    conntrack {
        expect-table-size 4096
        hash-size 4096
        table-size 32768
        tcp {
            half-open-connections 512
            loose enable
            max-retrans 3
        }
    }
    host-name ubnt
    login {
        user gebruiker {
            authentication {
                encrypted-password stiekem-wachtwoord
            }
            level admin
        }
    }
    name-server 8.8.8.8
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
}

Ik heb wat gevoelige informatie aangepast maar de config zelf komt verder overeen met de running config.

Als iemand een idee heeft wat ik fout doe of wat ik moet aanpassen zou dat super zijn.