KPN glasvezel via pfSense met enkele NIC

[Matis]

Beste PNS-ers,

Sinds een aantal maanden woon ik in mijn nieuwbouwwoning en heb ik in iedere ruimte in het huis een dubbele outlet aangelegd. In de meterkast hangt een UniFi Switch 24 (250W) welke al mijn ruimtes voorziet van dubbele aansluitingen.

In mijn vorige woning hing mijn pfSense bakje in de meterkast. Het netwerk ging toen door de Experiabox waar het IPTV gedeelte werd afgesplitst naar mijn STB en de rest van het netwerk ging naar mijn pfSense op de WAN NIC. Op de LAN NIC werd de rest van het untagged netwerk uitgezonden.

In mijn nieuwe woning wil ik dit anders doen. De pfSense machine is op zolder bij de rest van mijn computerapparatuur en server komen te staan. Om niet meteen beide outlets kwijt te zijn in mijn "mancave" (feitelijk "manattic") wil ik het verkeer van de NTU (WAN) naar pfSense en van pfSense naar de rest van het netwerk (LAN) via dezelfde kabel laten lopen.

Ik heb diverse topics en fora geraadpleegd, maar geen enkele combineert mijn twee wensen: KPN glasvezel via pfSense op een enkele NIC. Vaste telefonie hebben we niet, alleen IPTV en Internet.

Ik heb de volgende tutorials gevonden aangaande KPN Glasvezel en pfSense:

• https://blog.firewallonli...iptv-op-pfsense-opnsense/
• https://forum.kpn.com/thu...-iptv-op-unifi-usg-458281
• https://blog.firewallonli...iptv-op-pfsense-opnsense/

Ook heb ik diverse topic gevonden welke pfSense en met een enkele NIC behandelen:

• https://www.dnsthingy.com/support/pfsense-single-nic-setup/
• https://forum.netgate.com...g-pfsense-on-a-single-nic
• https://forum.netgate.com...in-a-pc-with-only-one-nic

Nu kan ik alleen nergens de overlap vinden. Zo weet ik ook niet zeker of mijn plan überhaupt gaat werken.

Een andere oplossing is om een UniFi Switch 8 in de "mancave" bij te zetten en die te gebruiken om toch twee NICs van pfSense te gebruiken.

Ik hoor graag van jullie

Matis

[Brahiewahiewa]

Kwenie hoor, als er toch twee kabels van je meterkast naar je zolder lopen, zou ik ze gewoon allebei gebruiken

[ThinkPad]

VLANs is het toverwoord.

Maak op de switch een VLAN aan, bijv. 300 (random, kies zelf wat leuks). Je kiest twee poorten van de switch die je toewijst aan dat VLAN. Op het ene poortje sluit je een kabel naar je NTU aan. Deze poort stel je in als untagged en dan default VLAN/PVID op 300. Op die manier komt al het untagged verkeer in VLAN300.
Op het andere poortje een kabel naar je server, deze poort stel je in op tagged. Al het uitgaande verkeer krijgt dan het vlaggetje 'ik ben VLAN300' mee.

Daarnaast maak je nog een VLAN aan, voor je LAN, bijv. 400. Hier zet je je overige switchpoorten in (untagged, de apparatuur die je hier op aansluit heeft waarschijnlijk toch geen belang bij VLANs) en ook de poort naar je server (tagged). Op je server zeg je dan dat WAN op VLAN300 zit en LAN op VLAN400 en klaar ben je.

Ik heb naast bovenstaande VLANs ook nog een gasten VLAN en eentje voor IOT meuk En ook 3 SSID's (LAN / GUEST / IOT). Werkt ideaal, alles gescheiden en volledige controle

Probeer het eens, dan kun je daarna gaan uitbreiden. Je komt er gauw genoeg achter hoe het werk door er gewoon een middagje voor te gaan zitten. Kun je daarna nog kijken om de poort naar je pfSense als trunk in te stellen e.d.

[ Voor 130% gewijzigd door ThinkPad op 11-02-2019 20:43 ]

[Matis]

Brahiewahiewa schreef op maandag 11 februari 2019 @ 20:34:
Kwenie hoor, als er toch twee kabels van je meterkast naar je zolder lopen, zou ik ze gewoon allebei gebruiken

Zoals je had kunnen lezen, is dit wat ik (nog) niet wil. Omdat ik dan geen stekkertje meer vrij heb om de rest van mijn computer / server / printer op aan te sluiten.

ThinkPadd schreef op maandag 11 februari 2019 @ 20:36:
VLANs is het toverwoord.

Ja, dat weet ik. Alleen weet ik op de switch niet hoe ik dit moet configureren met betrekking tot tagged / untagged en trunk poorten.

Op basis van de edit; Het probleem is dat KPN VLAN4 voor IPTV en VLAN6 voor internet gebruikt. Deze zou ik dus moeten gebruiken op de WAN zijde van mijn pfSense. Echter moet het (voor zover ik het goed begrijp) ook weer op VLAN4 terug het LAN op om zo de STB tevreden te houden.

Op dit moment heb ik ook 3 SSID's. Alleen ipv IOT heb ik die gebruikt voor de omvormer van de zonnepalen

[ Voor 22% gewijzigd door Matis op 11-02-2019 20:42 ]

[ThinkPad]

Matis schreef op maandag 11 februari 2019 @ 20:39:
[...]
Echter moet het (voor zover ik het goed begrijp) ook weer op VLAN4 terug het LAN op om zo de STB tevreden te houden.

Klopt, dat is routed mode. Is wel werkend te krijgen met pfSense, maar nadeel is wel dat het vrij ingewikkeld is om in te stellen.

Je kunt ook beginnen met bridged mode. Dan zet je alleen VLAN4 (en verder niets) vanaf de NTU door naar je settopbox en heb je verder totaal geen omkijken naar TV gerelateerde settings.
Vanaf switchpoort waar NTU aan hangt stuur je VLAN4 tagged de switch in en untagged weer eruit op poortje waar je settopbox aan hangt. Settopbox even aan/uit en vrouwlief kan iig GTST kijken

Nadeel is dat Netflix, YouTube e.d. het niet doen. Terugkijken/begin gemist nog wel. Ik draai daar al twee jaar mee en werkt prima, groot voordeel vind ik de eenvoud (en daardoor stabiliteit) van die oplossing, geen gerotzooi met configs, IGMP proxy e.d. Netflix e.d. doen we via Chromecast.

[ Voor 34% gewijzigd door ThinkPad op 11-02-2019 20:52 ]

[Matis]

ThinkPadd schreef op maandag 11 februari 2019 @ 20:46:
Klopt, dat is routed mode. Is wel werkend te krijgen met pfSense, maar nadeel is wel dat dat het vrij ingewikkeld maakt.

Je kunt ook beginnen met bridged mode. Dan zet je alleen VLAN4 (en verder niets) vanaf de NTU door naar je settopbox en heb je verder totaal geen omkijken naar TV gerelateerde settings. Nadeel is dat Netflix e.d. het niet doen. Terugkijken/begin gemist nog wel. Op die manier kan de vrouw gewoon GTST kijken en kun jij rustig verder rommelen. Ik draai daar al twee jaar mee en werkt prima, groot voordeel vind ik de eenvoud (en daardoor stabiliteit) van die oplossing. Netflix e.d. doen we via Chromecast.

Bedankt voor de tip, daar had ik nog niet aan gedacht om alleen VLAN4 door te sturen. Nadeel is wel dat dan de STB maar op 1 specifieke outlet in het hele huis werkt. Niet dat dat voor nu een probleem is, maar ik had het me anders voorgesteld.

Netflix kijken we toch op de SmartTV (hdr en 4k ), dus daarvoor hoef ik het niet te laten.

Ik zal eens kijken of ik alleen VLAN4 kan forwarden naar de specifieke STB outlet en dan gaat de rest van het geneuzel wel over de pfSense.

We kunnen weer verder

[ThinkPad]

Matis schreef op maandag 11 februari 2019 @ 20:53:
[...]
Bedankt voor de tip, daar had ik nog niet aan gedacht om alleen VLAN4 door te sturen. Nadeel is wel dat dan de STB maar op 1 specifieke outlet in het hele huis werkt.
[...]

Dat is wel het beste ja, anders bestook je je andere devices mogelijk ook met multicast verkeer en dan kakt je performance in.

[Thralas]

ThinkPadd schreef op maandag 11 februari 2019 @ 20:46:
Je kunt ook beginnen met bridged mode. Dan zet je alleen VLAN4 (en verder niets) vanaf de NTU door naar je settopbox en heb je verder totaal geen omkijken naar TV gerelateerde settings.

Nou...

Ik draai daar al twee jaar mee en werkt prima, groot voordeel vind ik de eenvoud (en daardoor stabiliteit) van die oplossing. Netflix e.d. doen we via Chromecast.

Dat wordt aftellen dan. Geldt uiteraard niet enkel voor XS4ALL, maar ook KPN.

Matis schreef op maandag 11 februari 2019 @ 20:39:
Ja, dat weet ik. Alleen weet ik op de switch niet hoe ik dit moet configureren met betrekking tot tagged / untagged en trunk poorten.

Hoog tijd om je even in te lezen en dan een poging te wagen. Kom je er dan nog niet uit, post dan wat je hebt gebouwd.

Vooruit:

code:

Switch poort 1 (NTU): 4t 6t
Switch poort 2 (pfSense): 4t 6t 100t
Switch poort 3-24: 100u

pfSense: 4t (IPTV) 6t (Internet) 100t (LAN)

Ik zal eens kijken of ik alleen VLAN4 kan forwarden naar de specifieke STB outlet en dan gaat de rest van het geneuzel wel over de pfSense.

Dan moet alsnog je LAN-verkeer terug van pfSense naar je switch. Ik zou sterk aanraden om meteen een routed setup uit te rollen wegens bovenstaande reden.

[burne]

ThinkPadd schreef op maandag 11 februari 2019 @ 20:36:
VLANs is het toverwoord.

Jammer dat dat consumentenspul geen q-in-q doet, dan zou het echt zo makkelijk zijn.

TS:

Je moet even het idee loslaten dat een VLAN een verbinding van punt naar punt is. Het maakt niet uit welke kant de bitjes opgaan.

Tussen je switch en je KPN-modem maak je een trunk met KPN-vlan's erop. Tussen je switch en je pfsense-doos maak je een trunk met je KPN internet vlan erop, en een extra vlan. Op je pfSense zet je je KPN internet vlan als WAN en je extra vlan als LAN.

Een PC zet je als untagged member van je extra vlan, en de STB van KPN zet je tagged in het KPN tv

Edit: je zou dit router-on-a-stick kunnen noemen.

Snap je wat ik bedoel of moet ik een tekeningetje maken?

nvm:



(lang leve draw.io..)

[ Voor 8% gewijzigd door burne op 12-02-2019 08:03 ]

[ThinkPad]

Thralas schreef op maandag 11 februari 2019 @ 21:01:
[...]
Dat wordt aftellen dan. Geldt uiteraard niet enkel voor XS4ALL, maar ook KPN.
[...]

He bah, dat is jammer

Eens kijken hoe ik dat op m'n Edgerouter X voor elkaar ga krijgen dan. Vond het nu juist wel makkelijk, heb de glasvezel rechtstreeks in de Edgerouter X via het SFP-slot, scheelt weer een mediaconverter en Experiabox.

[ik222]

De settopbox kan in elk VLAN werken met routed mode, je moet enkel het door jou gekozen interne VLAN untagged op die poort zetten.

Dus VLAN4 en VLAN6 doortrekken naar de pfSense bak voor WAN. En dan pak je bijvoorbeeld VLAN10 voor LAN. In routed mode komen dan zowel als je eigen netwerk / WiFI devices als de settopboxen in VLAN10 (untagged). Dat is de basis routed setup zoals ook een Fritzbox die maakt.

Zelf zou ik daarbij dan ITV intern nog scheiden als je toch overal managed switches hebt. Dus dan krijg je intern VLAN10 en VLAN11 waarbij VLAN11 ITV is en VLAN10 voor als je andere netwerk apparatuur.

[ Voor 66% gewijzigd door ik222 op 12-02-2019 07:31 ]

[rens-br]

Dit is geen PNS, dus schopje naar NT.

[Matis]

Zojuist een pricewatch: Ubiquiti Unifi Switch (8-poorts, 150W PoE+) besteld welke achter mijn pfSense gateway komt. Middels deze switch kan ik ook gewoon VLANs routeren en vanuit de zolder/mancave weer terug naar mijn 24 poorts switch in de meterkast.

Hopelijk kan ik op die manier dus mijn netwerk configureren zonder tegen de problem die @Thralas schets aan te lopen.

Mijn idee wordt nu om de NTU (via de 24 poorts switch in de meterkast) een trunk naar de pfSense door te sturen, die routeert het verkeer, trekt eventueel VLANs uit elkaar, maakt nieuwe VLANs aan en stuurt het signaal eerst naar de 8 poorts switch die (indien nodig) het verkeer doorstuurt naar de 24 poorts in de meterkast.

Ik zal wel eens een draw.io tekeningetje maken met daarin "mijn" interpretatie hoe het allemaal moet gaan werken.


Naar eigen inzicht aanpasbaar via deze link;

[ Voor 59% gewijzigd door Matis op 11-03-2019 14:52 ]

[Matis]

Ik heb vanavond geprobeerd het een en ander aan de praat te krijgen.

TLDR: De situatie is als volgt: Alles lijkt te werken, op Live TV kijken na. Die stopt na 3 seconden met uitzenden.

In opzichte van voorgaande wensen, heb ik nu de NTU direct in de pfSense gestoken (re0).
Hierop heb ik twee VLANS aangemaakt:


Voor het VLAN6 heb ik een PPPOE connectie opgebouwd en toegevoegd aan de PPPs:



Verder heb ik bij de configuratie van IPTV_WLAN dhcp-class-identifier "IPTV_RG" en subnet-mask, routers, classless-routes toegevoegd.
Dit werkt allemaal en op de drie gedefinieerde interfaces krijg / heb ik netjes een IP:

Ook worden de routes voor IPTV automatisch toegevoegd

Ook krijgt de STB een IP adres middels de volgende settings:


In de firewall rules heb ik voor de IPTV_WAN de volgende regels staan:

Ook heb ik in zowel het LAN als IPTV_WAN het Allow IP options vinkje aangezet.

IGMP Proxy draait en heeft de volgende configuratie:


Als ik kijk in de logs, dan lijkt IGMP Proxy wel degelijk wat te doen:


In de log van de firewall zie ik wel een hoop (nieuwe) berichten voorbij komen, maar ik kan niet beoordelen of dit het probleem van Live TV veroorzaakt of niet:


Edit; last but not least, ik heb IGMP Snooping in mijn Unifi Controller / netwerk aangezet:


Ik heb in mijn twee switches niets geconfigureerd met betrekking tot VLANs of trunks.

[ Voor 25% gewijzigd door Matis op 14-03-2019 23:26 ]

[cdek]

Hallo Mathijs,

Is het inmiddels al gelukt om alles werkend te krijgen, inclusief live televisie?

Ik heb een setup, waarbij ik in de meterkast een 8 poorts unifi switch heb en nu nog een USG3. Deze laatste wil ik echter vervangen door een pfSense router. Vanuit de switch heb ik nu een lijntje naar de switch in de woonkamer, waar ik een poort als IPTV (VLAN4) heb getagd. Hierop is de STB van XS4ALL aangesloten. Een andere poort op de switch in de meterkast is ook als IPTV getagd en deze is verbonden met mijn STB in de slaapkamer. Dit werkt allemaal prima.

Nu onderzoek ik dus hoe eea werkend te krijgen via een pfSense box in plaats van de USG3

[Matis]

Ik heb het zeker werkend gekregen, maar helaas niet op de manier zoals ik het aanvankelijk wilde.

Ik heb nu vanuit de meterkast (waar de FTU/NTU hangt) direct een lijntje naar de WAN-NIC van mijn pfSense machine (deze staat op zolder). Die doet de routering, en stuurt aan de WAN-kant naar een 8 poorts Unifiswitch op zolder, deze heeft weer een direct lijntje terug naar de meterkast, waar mijn 24 poorts Unifi switch hangt. Deze zet (onder andere) het signaal door naar de TV.

[MisteRMeesteR]

cdek schreef op woensdag 13 november 2019 @ 14:15:
Hallo Mathijs,

Is het inmiddels al gelukt om alles werkend te krijgen, inclusief live televisie?

Ik heb een setup, waarbij ik in de meterkast een 8 poorts unifi switch heb en nu nog een USG3. Deze laatste wil ik echter vervangen door een pfSense router. Vanuit de switch heb ik nu een lijntje naar de switch in de woonkamer, waar ik een poort als IPTV (VLAN4) heb getagd. Hierop is de STB van XS4ALL aangesloten. Een andere poort op de switch in de meterkast is ook als IPTV getagd en deze is verbonden met mijn STB in de slaapkamer. Dit werkt allemaal prima.

Nu onderzoek ik dus hoe eea werkend te krijgen via een pfSense box in plaats van de USG3

Dan heb je nu dus Bridged IPTV, zonder Netflix en dergelijke als ik je goed begrijp. Wat je wilt (en volgens mij ook moet van de ISP's) is routed IPTV, waarbij je PFSense doos in dit geval dus o.a. IGMP proxy gaat spelen naast gateway. Is in ieder geval prima te realiseren en ook al genoeg over gepost op het forum en tweakblogs.

Matis schreef op woensdag 13 november 2019 @ 14:48:
Ik heb het zeker werkend gekregen, maar helaas niet op de manier zoals ik het aanvankelijk wilde.

Ik heb nu vanuit de meterkast (waar de FTU/NTU hangt) direct een lijntje naar de WAN-NIC van mijn pfSense machine (deze staat op zolder). Die doet de routering, en stuurt aan de WAN-kant naar een 8 poorts Unifiswitch op zolder, deze heeft weer een direct lijntje terug naar de meterkast, waar mijn 24 poorts Unifi switch hangt. Deze zet (onder andere) het signaal door naar de TV.

Mis jij in je IGMP Proxy configuratie van hierboven niet gewoon het downstream LAN subnet als value?

[Matis]

MisteRMeesteR schreef op woensdag 13 november 2019 @ 14:59:
Mis jij in je IGMP Proxy configuratie van hierboven niet gewoon het downstream LAN subnet als value?

Ik denk het niet, het werkt nu althans naar behoren. Netflix, terugkijken, live etc.

Mogelijk zijn de screenshots in dit topic niet meer actueel met de huidige configuratie.

[MisteRMeesteR]

Matis schreef op woensdag 13 november 2019 @ 15:04:
[...]

Ik denk het niet, het werkt nu althans naar behoren. Netflix, terugkijken, live etc.

Mogelijk zijn de screenshots in dit topic niet meer actueel met de huidige configuratie.

Ah, was meer omdat je in je IGMP logs ook kan zien dat deze het source address 192.168.1.180 niet herkent en hem dus als 'invalid' bestempeld.

Hier thuis heb ik hem iig erbij staan

[cdek]

Matis schreef op woensdag 13 november 2019 @ 14:48:
Ik heb het zeker werkend gekregen, maar helaas niet op de manier zoals ik het aanvankelijk wilde.

Ik heb nu vanuit de meterkast (waar de FTU/NTU hangt) direct een lijntje naar de WAN-NIC van mijn pfSense machine (deze staat op zolder). Die doet de routering, en stuurt aan de WAN-kant naar een 8 poorts Unifiswitch op zolder, deze heeft weer een direct lijntje terug naar de meterkast, waar mijn 24 poorts Unifi switch hangt. Deze zet (onder andere) het signaal door naar de TV.

Dit is precies wat ik zoek Mathijs! Is het voor jou mogelijk om actuele screenshots te plaatsen? En dan met name van de instellingen in pfSense? Dat zou mij enorm op weg helpen Ik ben een enigszins gevorderde hobby netwerker...

[Matis]

cdek schreef op donderdag 14 november 2019 @ 13:00:
Dit is precies wat ik zoek Mathijs! Is het voor jou mogelijk om actuele screenshots te plaatsen? En dan met name van de instellingen in pfSense? Dat zou mij enorm op weg helpen Ik ben een enigszins gevorderde hobby netwerker...

Ja dat wil ik, maar dat gaat (hoogstwaarschijnlijk) niet vandaag gebeuren. Morgen op zijn vroegst en anders in het weekend. Ik zal je nudgen als het zover is!

[cdek]

Matis schreef op donderdag 14 november 2019 @ 14:30:
[...]

Ja dat wil ik, maar dat gaat (hoogstwaarschijnlijk) niet vandaag gebeuren. Morgen op zijn vroegst en anders in het weekend. Ik zal je nudgen als het zover is!

Super, alvast bedankt!

[ Voor 86% gewijzigd door cdek op 14-11-2019 20:40 ]

[Matis]

@cdek en @MisteRMeesteR
Mijn huidige IGMP Proxy ziet er zo uit:


Dit is de enige wijziging tov de eerder geplaatste screenshots.

[ Voor 13% gewijzigd door Matis op 15-11-2019 20:01 ]

[MisteRMeesteR]

Matis schreef op vrijdag 15 november 2019 @ 19:46:
@cdek en @MisteRMeesteR
Mijn huidige IGMP Proxy ziet er zo uit:
[Afbeelding]

Dit is de enige wijziging tov de eerder geplaatste screenshots.

Precies wat ik al zei dus, waarbij je downstream subnet ontbrak

[cdek]

Matis schreef op vrijdag 15 november 2019 @ 19:46:
@cdek en @MisteRMeesteR
Mijn huidige IGMP Proxy ziet er zo uit:
[Afbeelding]

Dit is de enige wijziging tov de eerder geplaatste screenshots.

Dankjewel Mathijs! Ik ga ermee aan de slag.

[Matis]

Ik liep sinds gisteren (na een herstart van pfSense) ineens tegen het probleem aan dat ik een F561 foutcode kreeg van mijn IPTV kastje.

Probleem zit hem dus in het feit dat KPN sinds november geen (default) gateway meer doorstuurt voor het IPTV VLAN.

De oplossing is handmatig de volgende NAT rule toe te voegen: casemodder in "OPNsense & pfSense KPN/Telfort IPTV how-to"