Guest network geen internet, router achter router

[Sjeuf]

Mijn vraag

Ik had een prima netwerk. Echter, WiFi was niet overal toereiekend.
Toen won ik in een prijsvraag een D'link Covr c1203 setje mesh router. Door omstandigheden (beschadigd product) van D'link een extra set erbij gekregen. Heel erg fijn want woonoppervlak hier is net meer dan 200m². Ik heb het nodig.

Verdiept in aanleg. Router achter router. Ik dacht pak het meteen slim aan.
Stand van zaken is zo als in de link:

https://ibb.co/YQT8sGd

De fritzbox komt mijn IPTV op binnen maar ook nog vast telefonie. Heb deze dus iig ergens in het netwerk nodig. Deze deelt de adressen (DHCP) uit in het 192.168.0.X domein.
Hierop zitten al mijn camera's rond het huis. Deze zijn bekabeld aangesloten. Ik heb ze op de eerste fritzboxrouter zodat als iemand de camera's afkoppelt en zijn laptop aan deze cameranetwerkkabel maakt deze niet direct op mijn netwerk zit maar alleen op de 1e router (fritzbox). Hier zijn alleen dus de camera's op aangesloten. (ik weet het de camera's zien dan wel wie de boel afkoppelt (daar zijn ze voor) maar ik laat liever geen toegang tot mijn netwerk buiten mijn huis...)

Wel is aan de friztbox ook de 2e router aangesloten (COVR c1203) via LAN Fritzbox aan WAN COVR
Dit is een mesh router die ik gelukkig via ethernet backhaul dan als bekabelde AP door het huis kon plaatsen. De Router zelf staat in de meterkast bekabeld aan de fritzbox.

Fritzbox is wifi uitgeschakeld

De COVR is nu ook een DHCP server. Ik zit dan blijkbaar met dubbele NAT maar snap nog niet waarom dat een probleem zou moeten zijn (moet wel zeggen dat ik een VPN hier heb maar deze nog niet aan heb gezet na wisselen van de opzet) Ook blijkt steam moeilijk te doen geloof ik... Enfin.

COVR geeft de adressen uit in de range 192.168.100.X
Dit is de rest van mijn netwerk en alle wifi apparaten (zie ook het plaatje in de link weer opnieuw hiervoor)

Prima! Werkt. COVR's 2.4 Ghz snelheid is wel bedroevend maar 5Ghz superblij mee.

Nu heb ik dit mooi voor elkaar dacht ik. Ik klik Guest network aan in de COVR router. Maar kan dan met dit guest network niet het internet op.... Beperkte beschikbaarheid van WiFi netwerk.

Sterker nog ik kan blijkbaar alleen verbinding maken. Ik laat de optie open om in het netwerk andere apparaten te vinden maar kan via FING op mijn mobiel niet eens de COVR router pingen.

de DHCP server van guest network deelt adressen uit in 192.168.7.X gebied.
Gateway is dan 192.168.7.1 en mijn mobiel kreeg 192.168.7.103 toegewezen. Ook andere apparaten kunnen het internet niet op. Ik kan in dit gastennetwerk niets instellen van gateway, DNS, oid

Even nog mijn instellingen:
INternet -
WAN-IP Fritzbox router (XXX.XXX.XXX.XXX)
LAN-IP Fritzbox router (192.168.0.1) = ook DHCP server
WAN-IP COVR (192.168.0.247) (internet settings via DHCP verkregen van Fritzbox)
LAN-IP COVR (192.168.100.1)
DNS relay enabled
Default gateway 192.168.0.1
DNS server 192.168.0.1 (ook al 8.8.8.8 / 8.8.4.4 geprobeerd)

LAN-IP COVR Guest WIFI 192.168.7.1

Dit laatste IP adres is vanuit het gewone WIFI wel te benaderen en deze verwijst dan naar de inlogsite van de COR router net zoals 192.168.100.1.
Echter vanaf een apparaat op het netwerk 192.168.7.X is 192.168.7.1 niet te pingen of te bereiken.
ook niet als internet acces only uit staat voor het gastnetwerk.


Relevante software en hardware die ik gebruik
Zie bij producten
Alles heeft de laatste updates.


Wat ik al gevonden of geprobeerd heb
Alle fora op internet afgestruind maar vind veel zaken die hier op lijken maar geen duidelijk antwoord in mijn exacte situatie.


Ik ben zelfs aan het denken om de boel af te breken en de COVR te verkopen. Dan misschien een edgerouter X of 4 en dan verschillende unify APs bekabeld eraan hangen.
Dan kan ik met VLANs werken. ook al heb ik dat nog nooit gedaan....
Maar als ik het gastennetwerk toch aan krijgt zoals hierboven beschreven dan laat ik het even hierbij.

Of is er iemand die me mijn configuratie hard afraadt?

NB COVR Router kan NIET in bridge modus en moet verbinding hebben met iets aan zijn WAN poort wil deze functioneren. Hiernaast zit er dan nog maar 1 LAN poort op die dan weer naar een switch moet.

[Verwijderd]

Dubbel-NAT is slordig en dus beter te vermijden als het niet direct nodig is. Het kan allerlei obscure problemen opleveren. Een simpel voorbeeld is als je een port-forward nodig hebt. Die moet je dan twee keer apart instellen, voor elke NAT-router. Dubbel werk loopt dubbel zo snel in de papieren en is lastig identiek te houden zonder geautomatiseerde hulp.

Je CCTV ik op een tweede poortje van je NVR aansluiten, dus zonder internetverbinding. Zolang het geen "cloud"-cameras zijn natuurlijk. Als iemand dan de kabeltjes eruittrekt voor internet voor z'n laptop dan werkt dat gewoon niet.

Als je je fritzbox echt alleen voor telefoon gebruikt kun je 'm instellen op "IP client mode". Dan deelt'ie geen adressen uit en routeert'ie niet, maar is'ie gewoon een apparaat dat "meedoet" op het netwerk.

Je kan ook de instellingen voor vaste telefonie in een VoIP-SIP-telefoon instellen en dan kan de fritzbox eruit. XS4ALL geeft die instellingen wel vrij (in tegenstelling tot KPN). De instellingen staat "voor softphone" (VoIP-programma) boven maar zullen het voor een hardphone (VoIP-telefoon) ook gewoon doen.

Verder heb ik geen idee van je COVR-verhaal, dus dat mag iemand anders invullen. Het klinkt wel raar dat 192.168.7.1 wel vanaf 192.168.100.0/24 te bereiken is en niet van 192.168.7.0/24. Mischien dat dat een defect is in de software. Zijn er updates beschikbaar?

[MAX3400]

Is dat niet by design?

De meeste (!!!) guest networks hebben als hebbedingetje dat er geen "LAN loopback" mogelijk is. En terecht. Ja, nu is het thuis maar je guest network is toch niet anders als bij de McDonalds. Daar wil je toch ook niet dat jouw laptopje gehackt wordt door die gast 2 tafels verderop?

Geen idee maar het lijkt me dat hierover echt iets in de handleiding zou moeten staan?

/edit: pagina 46 van de US handleiding

/edit2: ah, de uitleg is tweeeerlei; ik zou Dlink eens contacten. Normaliter "sowieso" mogen Guest Devices elkaar niet zien en het switch-balkje in je Guest Setup staat dus een beetje rottig maar betekent dat Guest Devices OOK niet naar je 100.X segment mogen. Zo werkt het in ieder geval op mijn Asus router.

[ Voor 30% gewijzigd door MAX3400 op 22-02-2019 07:31 ]

[prutser001]

Bij andere AP's etc, heb je soms een optie 'bridge to lan', ook zijn er opties zoals 'client isolation'.

[Sjeuf]

@Verwijderd
Dank voor je reply, ik heb geen NVR. Het zijn hikvision camera's, geen cloud verbinding. Ik verbind ze aan mijn netwerk en laat mijn synology nas via surveillance station het werk doen. Ik kan in theorie mijn managed switches wel zo instellen met vlans dat ze alleen met de synology nas praten denk ik maar dan zitten ze toch al op mijn netwerk. Omdat mijn nas achter de tweede router zit kan geen verkeer vanuit de eerste naar de tweede tenzij het tweede netwerk daarom gevraagd heeft.

Dubbele nat klopt. Heb al dubbele poort open moeten zetten naar nas voor internet toegang voor mijn mqtt Server

Persoonlijk had ik de covr nooit gekocht maar ik hem hem gekregen. Vrij summiere instellingen mogelijk.

[Sjeuf]

@MAX3400
Het maakt niet uit of ik lan loopback schuifje aan of uit zet. Ik kom niet op mijn lan (7.X) of op internet. Guest apparaat krijgt een ip adres. En dat is het. Maar guest apparaat kan ook niet naar 7.1 (covr router) pingen
Ik weet niet of het covr ding niet denkt dat mijn fritzbox router het internet is en het daarmee fout gaat..

[MAX3400]

@Sjeuf 1 ding tegelijk want je gooit er nu 2 op een hoop.

1. 7.x krijgt geen internet
2. 7.x kan onderling niet pingen

2 lijkt me 100% by design; ik zou guests inderdaad ook allerlei services / protocollen verbieden zoals ICMP etc.

Voor 1; en daarom zou je Dlink kunnen contacten; door je dubbel NAT, is het zomaar mogelijk dat de connectie tussen COVR & Fritz als "LAN" wordt gezien en "dus" is 2 weer van toepassing.

Rottigste / snelste test; de Fritz ertussenuit en COVR direct aan internet prikken.

wil je zo vriendelijk zijn niet meerdere posts achter elkaar te maken; vind ik persoonlijk erg rottig lezen. Je kan meerdere replies in 1 post zetten.

[Verwijderd]

Dan werkt je NAS dus als NVR. Als dat ding een tweede netwerkpoortje heeft --dat heeft'ie, zo te zien-- kun je dat gebruiken om een internetloos CCTV-netwerkje te bouwen. Dan is gelijk heel je cameraverkeer van de algemene poort af.

Je kan ook dingen met VLANs doen, maar in deze setup lijkt het simpeler om het kabeltje van de camera-switch uit de fritzbox te trekken en in het tweede poortje in de NAS te steken.

De VoIP kan ook anders, en dan houdt je alleen de IPTV over om iets handigs mee te doen. Als je dat lukt dan hoeft de fritzbox niet meer tussen COVR en uplink.

En als dan de COVR direct aan uplink hangen helpt, kan je dat dus blijven doen.

Het alternatief is, en ik weet niet of de COVR-apparaten dat kunnen, om het geheel met alleen AP-functionaliteit neer te zetten. Wil je het geheel dan een gastnetwerk naast een eigen netwerk laten aanbieden dan moeten ze onderling en naar de uplink toe het verkeer ook scheiden. Bijvoorbeeld via VLANs. En die moet je dan dus (kunnen) instellen. Het zou zelfs kunnen dat er nu niets werkt omdat dat met de VLANs niet goed geregeld is, zodat het gastverkeer nergens heenkan.

Verder: Als ik zo de release notes van de beschikbare firmware lees dan staan daar meerdere mogelijke spelbrekers als opgelost genoemd. Dus het heeft wel zin even te kijken welke firmware er in jouw COVR-apparaten zit.

[Sjeuf]

Iedereen bedankt....

Uiteindelijk toch uitgevogeld. Blijkt dat mijn netwerkkennis bassaal is en het voor een niet ICTer zoals ik velaal trial en error is.


In de firewall instellingen was een optie enable SPI IPv4. Deze toch maar eens uitgezet... Hierna functioneerde het guestnetwerk als beloofd/verwacht!

Blijkbaar is de firewallinstelling voor een WAN verbinding die van een intranetwerk afkomt anders dan voor een internetverbinding. Daarnaast snap ik persoonlijk niet waarom na het disablen van de SPI het gastennetwerk het nu wel doet terwijl de standaard WIFI verbinding het met SPI enabled wel deed.

SPI opgezocht maar snap dit niet in relatie met gastennetwerk. Enfin het werkt. En omdat ik in een router achter een router zit verwacht ik van extern niet veel problemen omdat mijn friztbox SPI wel heeft.

Nogmaals iedereen hartelijk dank voor het meedenken en zelfs de manuals doorkijken.
Soms loopt je zo vast dat je wel om hulp moet vragen en dan uitgebreide antwoorden krijgen is altijd erg fijn !!

@MAX3400

Voor 1; en daarom zou je Dlink kunnen contacten; door je dubbel NAT, is het zomaar mogelijk dat de connectie tussen COVR & Fritz als "LAN" wordt gezien en "dus" is 2 weer van toepassing.

Door deze opmerking dacht ik opeens aan de firewall !!

@Verwijderd helaas staat mijn synology NAS ver weg van alle binnenkomende kabels van de camera's. Zou alleen kunnen bijpluggen via een switch, dan moet ik over op VLANs. Wel nog een keer een idee om uit te vogelen!

[ Voor 19% gewijzigd door Sjeuf op 22-02-2019 23:29 ]