OPNSense & KPN Routed IPTV. Error 563

[Torrenator]

Mijn vraag
Al een paar dagen ben ik bezig met het inrichten van een OPNSense router (virtueel) dat draait op Proxmox. De reden waarom ik dit aan het doen ben is vanwege dat KPN zijn bridged TV aan het uitfaseren is en nu ook de melding krijg in het menu dat ik mijn modem moet vervangen.

Nu had ik hiervoor de opstelling zoals op netwerkje.com http://netwerkje.com/eigen-router, maar dan zonder routed IPTV. Nu heb ik in de nieuwe situatie dus OPNSense met 4 virtuele nics met daarin vlans 4 en 6 (TV en internet) en vlan 1,2 (LAN, LAN_IPTV). OPNSense doet zelf niets met vlans.

Ik heb tot zover een aantal artiekelen gelezen welke subnets gebruikt moeten worden en hoe dit ingericht moet worden maar na een hoop geprobeerd te hebben wilt het toch nog niet lukken. Een aantal configuraties heb ik geprobeerd alsvolgens de volgende urls:

https://blog.firewallonli...v-routed-ipv6-op-pfsense/
https://netwerkje.com/routed-iptv
https://gathering.tweakers.net/forum/list_messages/1907138


Wat ik werkend denk te hebben is het volgende:
- KPN IPTV (WAN) interface: ik krijg een adres
- NAT tussen intern iptv en wan: ik zie met packet captures dat er wordt gecommuniceerd tussen een iptv server en het iptv kastje. Onder andere NTP en vervolgens wat tcp en tls verkeer.
- IGMP werkt intern lijkt me. Ik zie member leaves en members van zowel het iptv kastje als een 10.x.x.x adres.

Ik krijg op het kastje een error 563 te zien op 85%.

Aantal afbeeldingen van de configs:





Ik hoop dat iemand ook ervaring heeft met OPNSense en KPN routed iptv. Zelf zie ik het niet vaak voorbij komen. De reden waarom ik geen pfsense heb gebruikt is omdat ik ook performance issues ervaarde en wat dingen niet helemaal lekker vond staan met configs die niet lekker in elkaar zaten. Met opnsense was het veel makkelijker en stabieler dus vandaar hiervoor gekozen

[ Voor 2% gewijzigd door Torrenator op 05-01-2020 20:17 . Reden: Plaatjes ]

[BigEagle]

Ik heb KPN IPTV werkend met routed TV.

Aantal vragen voor je:

• Krijg je een IP adres op VLAN 4?
• Gebruik je nog een switch tussen je OPNsense en IPTV kastjes?
• Heb je nog firewall rules ingested voor IPTV?

[Mythling]

Ik denk dat je nog wat firewall rules mist:

[Torrenator]

Ja ik krijg een IP en er zitten inderdaad twee managed switches tussen opnsense en het kastje. Eigenlijk 3 als je proxmox mee telt. Firewall regels hebben ik voor test nog lekker los gelaten. Dat is dus alles toe staan met de specifieke optie dat er ip options gebruikt mogen worden.

[ik222]

Luistert je DNS forwarder of resolver ook op de ITV LAN interface? Dit moet er van uitgaande dat je geen specifieke DNS servers meegeeft in de DNS config, OpnSense geeft dan zijn eigen IP in dat subnet mee als DNS server aan clients, alleen moet je de resolver of forwarder wel nog vertellen dat hij daar op moet reageren.

Dit heeft mij zelf eens een uur debuggen gekost toen een ontvanger in een nieuw subnet op 85% bleef hangen met error 563...

[Torrenator]

Ik heb mijn DNS nog ingesteld staan op mijn eigen DNS server. Weet je toevallig ook welke DNS servers de IPTV gebruikt?

[ik222]

Gewoon je eigen DNS is prima, alleen moet die wel bereikbaar zijn vanuit het ITV subnet en ook reageren op clients in dat subnet. Heb je dat gecontroleerd?

[Torrenator]

Ja dat heb ik gechecked in de packet capture. Ik zie een aantal iptv online namen langskomen in de aanvragen.

[StaticZ]

Die 224.0.0.0/8 hoeft in ieder geval niet bij de downstream te staan.

De multicast range is trouwens 224.0.0.0/4.

[HellStorm666]

Uiteindelijk alles al werkende gekregen?

Bij mij werkt alles, behalve dan de TV. Die stottert elke 3 sec. en blijft na 2 keer hangen.

EDIT:
Nevermind, heb t gefixed.

Uitleg post ik nog.

[ Voor 17% gewijzigd door HellStorm666 op 03-03-2020 20:59 ]

[ik222]

HellStorm666 schreef op dinsdag 3 maart 2020 @ 18:10:
Uiteindelijk alles al werkende gekregen?

Bij mij werkt alles, behalve dan de TV. Die stottert elke 3 sec. en blijft na 2 keer hangen.

Dan werkt vermoedelijk je IGMPProxy niet? Post eens een configuratie screenshot daarvan?

[HellStorm666]

Hierbij de uitleg.

https://github.com/HellSt...Routed-IPTV-with-OPNsense

[Torrenator]

Hmm. Ik zal eens kijken wanneer ik tijd heb ik jou config te proberen. Een paar dagen geleden had ik een test gedaan om te kijken of IGMP proxy zelf wel zijn werk doet.

Hierbij had ik in een virtuele omgeving twee clients en opsense. Daarna geprobeerd om een VLC multicast stream te maken en die via igmp proxy naar de andere kant te krijgen. Ik zag hierin dat IGMP proxy downstream de Join kreeg van de 'client'. Alleen leek hij niets te doen met de zendende partij, ik zag hem namelijk niet voorbij komen in de debugging van igmp proxy.

Maar wie weet heb ik nu meer geluk.

[Torrenator]

@HellStorm666 Het lijkt erop dat jou config werkt. Ik kreeg heel even beeld op een bepaalde manier deze was ook stabiel. Alleen na het herstarten van het kastje werkt het niet meer.

Ik heb in mijn netwerksituatie wat dingen veranderd omdat ik een aantal dingen niet vertrouwde. Aan het begin van mijn netwerk had ik een simpel netgear switchje neergezet met daarin de opzet van netwerkje.com. Tijdens mijn omzetting naar routed iptv had ik al rare dingen gezien en vraagtekens gezet bij de implementatie van het IGMP protocol op die switch. Vandaag heb ik die switch eruit gehaald en alles in mijn Cisco switch gestopt. Dit werkt nu goed met IGMP snooping en alles erop en eraan. Hierna kreeg ik dus een werkende situatie. Na de herstart kon mijn IPTV kastje niet meer bij KPN netwerk (ook niet voor software updates). Op een gegeven moment na terug in bridged lan te zetten kon ik wel de "nieuwe" apps zien in het menu. Toen ik daarop Youtube ging starten om te kijken of het werkt zag ik dat mijn iptv kast daar geen ondersteuning voor had. Ik kreeg dit te zien in een bericht in het menu als ik Youtube selecteer. Gepaard met geen beeld en een 563 error ging ik verder met mijn andere vermoeden dat het IPTV kastje was verouderd (Motorola VIP1853). Hierop heb ik KPN gebeld en zij bevestigden dat het kastje inderdaad was verouderd (voor Youtube dan). Maar ik reken daar ook gelijk even de routed IPTV ondersteuning bij.

Morgen kan ik dus een nieuw kastje ophalen bij een PostNL punt en dan ga ik kijken of de hele situatie goed werkt. Overigens ik ga natuurlijk geen Youtube of Netflix via het KPN kastje kijken. Ik heb daar gewoon een chromecast voor. De hele reden dat ik dit uberhaupt doet is dat het menu voor onder andere opnames geblokkeerd wordt en dat de bridged modus wordt uitgezet.

Ik hoop echt wel dat het kastje oud was anders wordt ik echt gek. Ben er nu al best lang mee bezig. En die 563 error kreeg ik al sinds het begin dus misschien is het wel al die tijd dat geweest.

[ik222]

Routed mode wordt ook door de Motorola ontvangers gewoon ondersteunt, dus dat zal het probleem niet zijn (al is die oude ontvangers omruilen natuurlijk toch goed).

[Torrenator]

Het lijkt erop dat het nu werkt. Zoals @ik222 al zei was het waarschijnlijk wel mogelijk om ook met de motorola routed iptv werkend te krijgen al kan ik dat nu niet meer testen.

Wat ik ook heb uitgevonden is dat op een gegeven moment dat ik wel beeld kreeg maar om de 3 seconden freezed. Dit zou je direct verwijten aan de IGMP Proxy. Dacht ik ook. Maar in mijn situatie is het net wat anders naar mijn idee. Ik heb namelijk de volgende netwerk appartuur in volgorde van buiten naar binnen.

WAN -> Cisco Switch CS500G -> Proxmox(opnsense) en IPTV. Allemaal in vlans gescheiden.

Wat ik dus vermoed is dat omdat ik IGMP snooping had aangezet op de cisco switch is dat de multicast instellingen nog niet goed staan of dat dit niet werkt in deze opzet omdat zowel de multicast ip's aan iptv-wan als iptv-lan hetzelfde zijn. Daar gaat denk ik de switch op zijn gat omdat hij niet meer weet waar het moet worden afgeleverd.

Een andere verandering is dat ik als test de 224.0.0.0/4 range aan de downstream had toegevoegd aan mijn igmp proxy. Ook heb ik quickleave uitgezet (al weet ik niet of dat nu nog zo is omdat handmatige wijzigingen worden overschreven als je iets veranderd in de gui).

Dat is naar mijn idee de veranderingen ten op zichte van @HellStorm666 zijn config.

[Torrenator]

@ik222 Het nieuwe kastje is trouwens wel 20x sneller met opstarten uit standby. Het switchen tussen kanalen gaat ook sneller. In zijn algeheel lijkt het allemaal wat vlotter.

[Torrenator]

Ik heb sinds vandaag wel weer dat hij vastloopt om de 3 seconden. Dat zou naar IGMP wijzen. Iemand nog ideeën over igmp snooping timers

[Torrenator]

Ik zie wel dat als ik eerst pimd draai (zonder enige config) en dan igmpproxy start dat hij het dan een tijdje doet. Dan krijg ik ook routes in de routetabel van IGMPProxy te zien.

[ik222]

Wat zegt je IGMPProxy log op het moment dat het niet werkt? En draait IGMPProxy dan überhaupt wel?

[Torrenator]

In de system.log zie ik niet veel. Ik doe nu via ssh de debugging. daarin zie ik wel het volgende wanneer net de verbinding weg is.

Got leave message from 10.214.118.99 to 224.3.2.6. Starting last member detection.
The found if for 10.214.118.99 was not downstream. Ignoring leave request.
Got leave message from 10.214.118.99 to 224.0.0.251. Starting last member detection.
The found if for 10.214.118.99 was not downstream. Ignoring leave request.
RECV V3 member report from 10.214.118.99 to 224.0.0.22
Got leave message from 10.214.118.99 to 224.3.2.6. Starting last member detection.
The found if for 10.214.118.99 was not downstream. Ignoring leave request.
Got leave message from 10.214.118.99 to 224.0.0.251. Starting last member detection.
The found if for 10.214.118.99 was not downstream. Ignoring leave request.

Wat ik ook zie is dat zonder pimd. Dat er dan geen multicast routes worden toegevoegd maar met pimd eerst te runnen dat er dan wel multicast routes komen.

[ik222]

Die log duidt erop dat je downstream IGMP verkeer überhaupt niet bij OpnSense / IGMPProxy aankomt. Je ziet namelijk enkel wat normaal verkeer vanaf de upstream kant.

De vraag is waarom, hoogstwaarschijnlijk zit het probleem in je switch. Kun je daar eens de config van posten? En je kunt eens proberen om de mrouter poorten statisch in te stellen. In VLAN4 is dat de poort naar je NTU / SFP en in je interne netwerk de poort naar je proxmox server. Als het goed is kun je met show commands ook uitlezen wat hij zelf dynamisch geleerd heeft.

[Mythling]

Zet IGMP snooping op je switches eens uit. Op de een of andere manier gaat 't bij mij daardoor mis.

[Torrenator]

Helaas is er geen SSH toegang tot de switch. Het is trouwens een SG200-50 Cisco switch. Het lijkt er wel op dat de mrouter poorten dynamisch worden geleerd. Alleen lijkt het erop dat bij vlan 4 op poort 5 (proxmox met opnsense) dat als het niet meer werkt de dynamische lering kwijt is. Even voor jou beeldgeving, op poort GE1 zit de WAN, GE5 (proxmox), GE50 IPTV. vlan 2 is de IPTV_LAN

[ik222]

Sowieso gebruikt KPN IGMPv2, dus VLAN4 moet je op IGMPv2 zetten.

Daarnaast zou je de mrouter ports statisch kunnen instellen, werkt het dan nog niet?

[Torrenator]

Dat hij niet IGMPv2 deed was mij ook opgevallen. Helaas kan ik op dit moment dat niet aanpassen. Hij lijkt het automatisch te moeten leren. Helaas zegt een handleiding dat dit wel moet kunnen.

https://www.cisco.com/c/e...ocol-igmp-snooping-o.html

De mrouter ports had ik ook al op statisch ingesteld maar helaas geen resultaat.

[Donserdal]

Iemand toevallig ervaring met een Unifi switch die met een OpnSense FW in verbinding staat?

Ik heb de volgende setup:

NTU --> Unifi 16 Switch --> VLAN 4 (Access) --> Ubuntu met KVM --> OpnSense --> VLAN10(IPTV LAN) --> Unifi 16 Switch --> IPTV Box

NTU --> Unifi 16 Switch --> VLAN 6 (Access) --> Ubuntu met KVM --> OpnSense --> VLAN1(LAN) --> Unifi 16 Switch

Unifi Config als volgt:
Netwerk:
Naam -> IPTV WAN
Type -> VLAN Only
VLAN -> 4
IGMP Snooping -> Enabled

Netwerk:
Naam -> IPTV LAN
Type -> VLAN Only
VLAN -> 10
IGMP Snooping -> Enabled


In OpnSense:
Interfaces:
Device vtnet2
Description WANIPTV
IPv4 Config Type: DHCP
IPv6 Config Type: None
DHCP client configuration
Configuration Mode : Advanced
Send Options: dhcp-class-identifier "IPTV_RG"
Request Options: subnet-mask, routers, broadcast-address, classless-routes

Device vtnet3
Description LANIPTV
IPv4 Config Type: Static IPv4
IPv6 Config Type: None
Static IPv4 configuration
IPv4 address :192.168.10.1/24


IGMP Proxy:
WANIPTV upstream 213.75.0.0/16, 217.166.0.0/16, 10.0.0.0/8
LANIPTV downstream 192.168.10.0/24

Outbound NAT:
Manual rules
Interface Source Source Port Destination Destination Port NAT Address NAT Port Static Port
WANIPTV LANIPTV net * * * WANIPTV address * NO
WANIPTV LANIPTV net * 217.166.0.0/16 * WANIPTV address * NO
WANIPTV LANIPTV net * 213.75.0.0/16 * WANIPTV address * NO

Firewall Rules:
LANIPTV:
Action Protocol Source Port Destination Port Gateway Schedule
Pass IPv4 * LANIPTV net * * * * *

WANIPTV:
Protocol Source Port Destination Port Gateway Schedule
IPv4 IGMP * * * * * *
IPv4 UDP 213.75.0.0/16 * 224.0.0.0/4 * * *
IPv4 UDP 217.166.0.0/16 * 224.0.0.0/4 * * *
IPv4 UDP 213.75.0.0/16 * WANIPTV address * * *
IPv4 UDP 217.166.0.0/16 * WANIPTV address * * *
IPv4 * 10.0.0.0/8 * 224.0.0.0/4 * * *


Wat doe ik hier fout? Ik krijg nu 5 seconden beeld maar verder niet... Heb de experia box verder gebruikt om de software te updaten.

[JohHer]

Heb de installatie van HellStorm666 uit het bericht van 3 maart gevolgd.
Heb internet, en ook TV. Maar als de WAN IPTV interface ge enabled is heb ik geen internet meer. TV loopt dan wel door. Wat doe ik fout?

[johnkeates]

Ik vermoed dat je default verandert en daar door internetverkeer opeens naar de IPTV gateway gaat.

[JohHer]

Ik heb me rot gezocht vanmiddag. Vermoede al zo iets. Maar waar moet ik dit zoeken/aanpassen?

[DaydreamBelieve]

JohHer schreef op vrijdag 27 november 2020 @ 15:57:
Ik heb me rot gezocht vanmiddag. Vermoede al zo iets. Maar waar moet ik dit zoeken/aanpassen?

Ik heb me ook rot gezocht, maar uiteindelijk gevonden . Je moet je ppoe interface een hogere prioriteit geven in gateways. Zie ook https://docs.opnsense.org...D%3EGateways%2D%3ESingle.

[s.vanrossem]

Heb dit topic mee gelezen omdat ik eenzelfde ervaar.

De guide van @HellStorm666 heb ik helemaal overgenomen, echter loopt bij mij het beeld na een minuut of 5 vast. Enige mogelijke manier om dan weer beeld te krijgen, is; of igmpproxy service herstarten, of van zender te wisselen.
Dit gedrag heb ik via een directe poort op mijn firewall, en via mijn switch.

Exact dezelfde configuratie werkt in mijn setup met pfSense wel. Map ik dat 1-1 met OPNsense dan werkt het bijna .
Ik gebruik OPNsense 21.1.3_3 (latest).

[ik222]

@s.vanrossem Mis je niet toevallig een regel op de IPTV WAN interface die IGMP accepteert?

[s.vanrossem]

ik222 schreef op zondag 21 maart 2021 @ 07:48:
@s.vanrossem Mis je niet toevallig een regel op de IPTV WAN interface die IGMP accepteert?

Die regel heb ik, het lijkt er op dat deze regel `allow-options` vereist?
Zodra ik dat toe pas werkt het

[ik222]

s.vanrossem schreef op zondag 21 maart 2021 @ 09:38:
[...]


Die regel heb ik, het lijkt er op dat deze regel `allow-options` vereist?
Zodra ik dat toe pas werkt het

Klopt inderdaad, dat moet aan staan. Goed dat het werkt nu

Anders worden group specific queries gedropt waardoor de stream inderdaad na ongeveer 5 minuten stopt.

[ Voor 15% gewijzigd door ik222 op 21-03-2021 10:04 ]

[s.vanrossem]

ik222 schreef op zondag 21 maart 2021 @ 10:03:
[...]

Klopt inderdaad, dat moet aan staan. Goed dat het werkt nu

Anders worden group specific queries gedropt waardoor de stream inderdaad na ongeveer 5 minuten stopt.

Exact mijn probleem . Dankjewel voor het meedenken @ik222 .

[huub66]

Even meegelezen op dit topic. Ik kom van Openwrt af en ben sinds kort met OPNSense icm een Qotom i5 box aan de slag.
Heb de instructies van Hellstorm666 gevolgd maar loop tegen 2 problemen aan;

1. Internet is ontzettend traag (vergeleken bij de Archer c2600 met OpenWRT)..
2. ...en als ik IPTV kijk krijg ik na een poosje (soms 5 mins, soms 30 en alles ertussen) een foutcode 'stb-nmc-400' op mijn decoder. Als ik IGMPProxy herstart werkt het weer een tijdje, meestal ook als ik van zender wissel en weer terug, maar zie dan in OPNsense log de volgende foutmelding;

2021-03-23T21:39:11 igmpproxy[3583] select() failure; Errno(4): Interrupted system call
2021-03-23T21:38:47 igmpproxy[3583] MRT_DEL_MFC; Errno(49): Can't assign requested address
2021-03-23T21:37:23 igmpproxy[3583] MRT_DEL_MFC; Errno(49): Can't assign requested address

Mijn setup voor IPTV = IPTV VLAN 4 -> NTU -> OPNSense -> VLAN 20 -> TP-Link SG-3216 -> decoder

Als ik de OPNsense router terugwissel voor OpenWRT werkt het wel, dus de configuratie van de Switch zou het moet moeten zijn.

Iemand een idee hoe dit op te lossen?

edit: ik heb overigens 'allow options' voor alle firewall regels van de IPTV_WAN interface aanstaan. Is dit correct of moet dit alleen voor de IGMP protocol regel?

[ Voor 6% gewijzigd door huub66 op 23-03-2021 23:21 ]

[s.vanrossem]

huub66 schreef op dinsdag 23 maart 2021 @ 21:57:
Even meegelezen op dit topic. Ik kom van Openwrt af en ben sinds kort met OPNSense icm een Qotom i5 box aan de slag.
Heb de instructies van Hellstorm666 gevolgd maar loop tegen 2 problemen aan;

1. Internet is ontzettend traag (vergeleken bij de Archer c2600 met OpenWRT)..
2. ...en als ik IPTV kijk krijg ik na een poosje (soms 5 mins, soms 30 en alles ertussen) een foutcode 'stb-nmc-400' op mijn decoder. Als ik IGMPProxy herstart werkt het weer een tijdje, meestal ook als ik van zender wissel en weer terug, maar zie dan in OPNsense log de volgende foutmelding;

2021-03-23T21:39:11 igmpproxy[3583] select() failure; Errno(4): Interrupted system call
2021-03-23T21:38:47 igmpproxy[3583] MRT_DEL_MFC; Errno(49): Can't assign requested address
2021-03-23T21:37:23 igmpproxy[3583] MRT_DEL_MFC; Errno(49): Can't assign requested address

Mijn setup voor IPTV = IPTV VLAN 4 -> NTU -> OPNSense -> VLAN 20 -> TP-Link SG-3216 -> decoder

Als ik de OPNsense router terugwissel voor OpenWRT werkt het wel, dus de configuratie van de Switch zou het moet moeten zijn.

Iemand een idee hoe dit op te lossen?

edit: ik heb overigens 'allow options' voor alle firewall regels van de IPTV_WAN interface aanstaan. Is dit correct of moet dit alleen voor de IGMP protocol regel?

toon volledige bericht

Ik had allow-options in eerste instantie enkel op mijn IPTV interne vlan aangezet, maar dat moet dus ook op de IGMP regel van je IPTV WAN.

En terugkomend daarop; ik heb die oude pfSense config nog eens nagekeken en daar staat het dus niet aan op de IPTV WAN IGMP firewall regel, vreemd wat dat leek wel te werken zonder (of hij maakt een transparante regel aan)?

[Vorkie]

Zo heb ik het werkend;

IPTV WAN FW:


Overal IP OPTIONS aanstaan.

IPTVLAN:


Overal IP OPTIONS aanstaan.

IGMP Proxy:


het VLAN van de STB / IPTVLAN heeft de KPN DNS servers en NIET intern.

[ Voor 7% gewijzigd door Vorkie op 24-03-2021 07:54 ]

[huub66]

Vorkie schreef op woensdag 24 maart 2021 @ 07:54:
Zo heb ik het werkend;

IPTV WAN FW:
[Afbeelding]

Overal IP OPTIONS aanstaan.

IPTVLAN:
[Afbeelding]

Overal IP OPTIONS aanstaan.

IGMP Proxy:
[Afbeelding]

het VLAN van de STB / IPTVLAN heeft de KPN DNS servers en NIET intern.

toon volledige bericht

Vreemd, als ik deze configuratie 1:1 overneem, komt ik niet verder dan het opstarten van de decoder tot 85%. Om vervolgens error 562 te krijgen..

Ik zie dat de decoders beide een IP adres krijgen dus de verbinding is er wel degelijk..
Het trage internet wel inmiddels opgelost, dat bleek een DNS probleem te zijn.

[Vorkie]

huub66 schreef op woensdag 24 maart 2021 @ 18:52:
[...]


Vreemd, als ik deze configuratie 1:1 overneem, komt ik niet verder dan het opstarten van de decoder tot 85%. Om vervolgens error 562 te krijgen..

Ik zie dat de decoders beide een IP adres krijgen dus de verbinding is er wel degelijk..
Het trage internet wel inmiddels opgelost, dat bleek een DNS probleem te zijn.

Maar welke dns servers krijgen je ontvangers? Direct de KPN DNS? of doe je daar je opnsense ip?

Had je btw ook een outbound NAT rule gemaakt? (Even van pfsense)

Interface iptv wan
Source iptv lan
Nat iptv wan interface

[ Voor 32% gewijzigd door Vorkie op 24-03-2021 19:06 ]

[huub66]

Vorkie schreef op woensdag 24 maart 2021 @ 19:02:
[...]

Maar welke dns servers krijgen je ontvangers? Direct de KPN DNS? of doe je daar je opnsense ip?

Had je btw ook een outbound NAT rule gemaakt? (Even van pfsense)

Interface iptv wan
Source iptv lan
Nat iptv wan interface


[Afbeelding]

Uhm, vergeef me mijn beperkte kennis van opnsense (nogal steile leercurve vanuit openwrt ) maar hoe kan ik interface specifiek een DNS aanpassen?

Ik heb nu bij System > Settings > General zowel OpenDNS als KPN DNS staan, maar ubound luistert niet op de IPTV LAN & IPTV WAN interfaces. Hoe kan ik alleen de KPN DNS servers voor IPTV LAN & IPTV LAN gebruiken?

edit: ja, outbound NAT rule is gemaakt.

Ik zie in de firewall logs de volgende foutmeldingen staan;


Als ik dan 'block private networks' op de IPTV_WAN interface uitschakel, dan werkt het, maar dat is uiteraard niet te bedoeling.
Wat zou ik nog aan de firewall rules kunnen aanpassen om dit te voorkomen?

[ Voor 25% gewijzigd door huub66 op 24-03-2021 19:35 ]

[StaticZ]

Onder Services DHCPv4 IPTVLAN daar de DNS van KPN meegeven.
Block private networks moet wel uit op je IPTV_WAN je krijgt ook op de interface een 10.0.0.0/8 adres van KPN.

[huub66]

StaticZ schreef op woensdag 24 maart 2021 @ 20:26:
Onder Services DHCPv4 IPTVLAN daar de DNS van KPN meegeven.
Block private networks moet wel uit op je IPTV_WAN je krijgt ook op de interface een 10.0.0.0/8 adres van KPN.

Ah tuurlijk, thanks (en ook @Vorkie )! Nu werkt het wel!

[Vorkie]

Kijk eens aan! Veel kijkplezier

[huub66]

Wellicht offtopic, maar heeft iemand een instructie hoe IPv6 werkend te krijgen icm KPN glasvezel en OPNSense? Ik ben zover dat ik een delegated prefix krijg maar ik kan bij de DHCPv6 server alleen relay of lease configureren, geen static IP.

Mijn WAN gegevens;



Kan iemand mij in de goede richting duwen?

[StaticZ]

Je krijgt dus een prefix vanuit KPN, dit is goed.
Nu onder je "LAN" interface "IPv6 Configuration Type" op "Track Interface" zetten.
Vervolgens kun je "Track IPv6 Interface" je WAN verbinding kiezen en kun je je prefix ID kiezen.

Manual configuration mag uitblijven, deze gebruik je als je DHCPv6 wilt gebruiken of prefix delegation wilt gebruiken binnen je lan.

[huub66]

StaticZ schreef op donderdag 25 maart 2021 @ 11:07:
Je krijgt dus een prefix vanuit KPN, dit is goed.
Nu onder je "LAN" interface "IPv6 Configuration Type" op "Track Interface" zetten.
Vervolgens kun je "Track IPv6 Interface" je WAN verbinding kiezen en kun je je prefix ID kiezen.

Manual configuration mag uitblijven, deze gebruik je als je DHCPv6 wilt gebruiken of prefix delegation wilt gebruiken binnen je lan.

Dat had ik inderdaad al allemaal zo ingesteld. Maar ik wil wel graag IPv6 adressen op mijn devices. Mijn referentie is openwrt waar ik door de DHCPv6 server op een interface aan te zetten ook automatisch een IPv6 adres kreeg op mijn machines nadat de wan interface een IPv6 adres kreeg.

Als ik in opnsense DHCPv6 probeer aan te zetten met een bepaalde range achter de prefix (zoals hier uitgelegd voor pfsense) dan krijg ik de melding "/services_dhcpv6.php: Warning! dhcpd_dhcp6_configure() found no suitable IPv6 address on lan" in het log te zien..

[StaticZ]

Zodra track interface aan staat worden er via SLAAC "Radvd" adressen uitgedeeld binnen je lan.
DHCPv6 heb je hier niet voor nodig.

Je client stuurt een Router Solicitation en je OPNsense router reageert met een Router advertisement, en zo kan je client aan een ipv6 adres komen.

https://docs.opnsense.org/manual/radvd.html

[huub66]

StaticZ schreef op donderdag 25 maart 2021 @ 14:57:
Zodra track interface aan staat worden er via SLAAC "Radvd" adressen uitgedeeld binnen je lan.
DHCPv6 heb je hier niet voor nodig.

Je client stuurt een Router Solicitation en je OPNsense router reageert met een Router advertisement, en zo kan je client aan een ipv6 adres komen.

https://docs.opnsense.org/manual/radvd.html

Ah helder. Dan vraag ik me af waarom ik die adressen niet uitgedeeld krijg naar mijn apparaten want ik had die instellingen al goed staan. Moet ik wellicht firewall regels daarvoor aanmaken om dat toe te staan of worden die standaard aangemaakt zoals bij DHCP?

[StaticZ]

De firewall regels worden automatisch aangemaakt.
Draait de service Radvd wel?
En draai je de laatste versie van OPNSense? 21.1.3_3

[huub66]

Yep, versie 21.1.3_3.

Radvd draait;



LAN interface config;



Ik krijg dus bij de LAN interface een link-local IPv6 adres. Klopt dat?

[StaticZ]

Dat is exact hetzelfde als ik werkend heb.
Ik heb alleen een ander prefix id gebruikt, probeer eens "aaaa" of"1" zoals de standaard experiabox doet.
Ook zie ik bij mijn LAN interface een GUA IPv6 adres.

edit:
Die 0 moet ook gewoon kunnen net geprobeerd en gaat prima.
Al eens een keer gereboot?
Kun je je WAN ipv6 config ook eens posten?

[ Voor 26% gewijzigd door StaticZ op 25-03-2021 17:20 ]

[huub66]

Ik heb inmiddels LAN prefix id eens aangepast, de NTU, opnsense en distributie switch gereboot en nu zie ik bij LAN wel een IPv6 adres staan, wat eerst niet het geval was. Dat lijkt dus te werken!

Echter, op mijn apparatren krijg ik nog altijd geen IPv6 adres toegewezen. Ook ipv6-test.com werkt niet..

Mijn huidige LAN status dus;



En mijn WAN settings;

[StaticZ]

In de WAN interface heb ik IPv6 op basic staan, "Request only an IPv6 prefix" " Send IPv6 prefix hint" "use IPv4 connectivity" staan allemaal aan.
"Use VLAN priority" staat op disabled.
En de prefix length staat op /48.

Kan het niet zijn dat de switch het IPv6 multicast verkeer dropt?

Start Radvd eens opnieuw dit zorgt ervoor dat er meteen een router advertisement uit gaat.

[ Voor 20% gewijzigd door StaticZ op 25-03-2021 19:03 ]

[huub66]

StaticZ schreef op donderdag 25 maart 2021 @ 18:59:
In de WAN interface heb ik IPv6 op basic staan, "Request only an IPv6 prefix" " Send IPv6 prefix hint" "use IPv4 connectivity" staan allemaal aan.
"Use VLAN priority" staat op disabled.
En de prefix length staat op /48.

Kan het niet zijn dat de switch het IPv6 multicast verkeer dropt?

Start Radvd eens opnieuw dit zorgt ervoor dat er meteen een router advertisement uit gaat.

Het werkt!

Die switch was dus het probleem, poos geleden multicast fwd uitgezet op de switch om te testen en niet meer terug aan gezet. Ik las je post en het schoot meteen te binnen. Dankjewel, top @StaticZ!!

[huub66]

Vorkie schreef op woensdag 24 maart 2021 @ 21:24:
Kijk eens aan! Veel kijkplezier

Ik moet toch nog even terugkomen op mijn OPNsense setup. Met dank aan alle hulp vanuit dit topic werkt IPTV en IPv6 icm KPN routed IPTV. Echter, zo 1x per uur of soms vaker krijg ik nog altijd een haperend beeld met soms heel kort een foutmelding van de kpn decoder wat dan na een paar seconden vanzelf hersteld.
Daarbij op die momenten ook de volgende foutmelding in het syslog te zien;

2021-03-28T18:37:36 igmpproxy[67695] MRT_DEL_MFC; Errno(49): Can't assign requested address
2021-03-28T17:54:32 igmpproxy[67695] MRT_DEL_MFC; Errno(49): Can't assign requested address

Er zijn geen firewall issues als ik het log bekijk en ook zie ik geen andere mogelijke problemen. Ook system load is laag genoeg, ergens tussen 0,1 en 0,3 dus daar zie ik ook geen problemen.
Heb al een keer OPNsense 21.1.3_3 volledig opnieuw geïnstalleerd, maar nog altijd hetzelfde gedrag.

Als ik IGMP proxy herstart lijkt het een poos beter te gaan. Iemand anders vergelijkbare problemen wellicht?

[Vorkie]

huub66 schreef op zondag 28 maart 2021 @ 20:10:
[...]


Ik moet toch nog even terugkomen op mijn OPNsense setup. Met dank aan alle hulp vanuit dit topic werkt IPTV en IPv6 icm KPN routed IPTV. Echter, zo 1x per uur of soms vaker krijg ik nog altijd een haperend beeld met soms heel kort een foutmelding van de kpn decoder wat dan na een paar seconden vanzelf hersteld.
Daarbij op die momenten ook de volgende foutmelding in het syslog te zien;

2021-03-28T18:37:36 igmpproxy[67695] MRT_DEL_MFC; Errno(49): Can't assign requested address
2021-03-28T17:54:32 igmpproxy[67695] MRT_DEL_MFC; Errno(49): Can't assign requested address

Er zijn geen firewall issues als ik het log bekijk en ook zie ik geen andere mogelijke problemen. Ook system load is laag genoeg, ergens tussen 0,1 en 0,3 dus daar zie ik ook geen problemen.
Heb al een keer OPNsense 21.1.3_3 volledig opnieuw geïnstalleerd, maar nog altijd hetzelfde gedrag.

Als ik IGMP proxy herstart lijkt het een poos beter te gaan. Iemand anders vergelijkbare problemen wellicht?

toon volledige bericht

Staat hier nog wat nuttigs in?
[OPNsense+KPN+IPTV] Wel unicast, geen multicast werkend.

[huub66]

Vorkie schreef op zondag 28 maart 2021 @ 20:43:
[...]


Staat hier nog wat nuttigs in?
[OPNsense+KPN+IPTV] Wel unicast, geen multicast werkend.

Dankje voor de link , ik ga eens wat puzzelen met de IGMP instellingen op de TP-Link switch.

[huub66]

huub66 schreef op maandag 29 maart 2021 @ 11:40:
[...]


Dankje voor de link , ik ga eens wat puzzelen met de IGMP instellingen op de TP-Link switch.

Inmiddels een update; na zo'n beetje alle multicast/IGMP instellingen te hebben geprobeerd op de TL-SG3216, zonder succes heb ik mijn heil gezocht in een andere switch.
Had nog een TL-SG105E liggen en heb daar alleen de STB patchkabels op aangesloten en daarmee is het probleem opgelost!

De TL-3216 is een oud beestje, maar het is me vooralsnog een raadsel wat nu exact het probleem is bij deze switch. Hij ondersteund IGMPv2 en IGMP snooping staat aan (als dat uit staat werkt het helemaal niet). Wellicht toch een keer upgraden naar een nieuwe switch, maar vooralsnog ben ik met deze workaround geholpen.

[Miki]

huub66 schreef op vrijdag 2 april 2021 @ 12:01:
[...]


Inmiddels een update; na zo'n beetje alle multicast/IGMP instellingen te hebben geprobeerd op de TL-SG3216, zonder succes heb ik mijn heil gezocht in een andere switch.
Had nog een TL-SG105E liggen en heb daar alleen de STB patchkabels op aangesloten en daarmee is het probleem opgelost!

De TL-3216 is een oud beestje, maar het is me vooralsnog een raadsel wat nu exact het probleem is bij deze switch. Hij ondersteund IGMPv2 en IGMP snooping staat aan (als dat uit staat werkt het helemaal niet). Wellicht toch een keer upgraden naar een nieuwe switch, maar vooralsnog ben ik met deze workaround geholpen.

Hou het wel even in de gaten, mijn TL-SG108PE v2 deed ook nog wel eens moeilijk en daarbij kreeg ik soms ook stotterend beeld terwijl ik nog geen PFsense/OPNsense boxje, maar wel sterk geïnteresseerd ben

Dus ik vermoed dat de implementatie van IGMPv2 van TP-Link niet helemaal zuiver is. Recent mijn switch vervangen door een Ubiquiti en het stotteren komt nu niet meer voor bij de glasvezels zenders (661, 662 enz) terwijl daarvoor het kijken van de glasvezel zenders vrijwel altijd uitliep op stotterend geluid en zo af en toe ook op de HD zenders.

[ik222]

IGMP gaat regelmatig regelmatig bij verschillende fabrikanten mis. TP Link heeft een aantal modellen met issues maar juist ook Ubiquiti heeft regelmatig issues, al dan niet na firmware updates.

Ik heb zelf een TP-Link T1600G (24 ports) en die werkt in elk geval ook probleemloos.

[stormfly]

HellStorm666 schreef op dinsdag 3 maart 2020 @ 21:44:
Hierbij de uitleg.

https://github.com/HellSt...Routed-IPTV-with-OPNsense

Kan jij Netflix? Je nat voor internet naar de vlan 4 interface ipv de vlan 6?

code:

Got to Firewall -> NAT -> Outbound set the mode at Hybrid Add the following 3 outbound rules:

Interface WAN_IPTV, Source IPTV net, source port+destination+destination port = any, NAT address = WAN_IPTV address
Interface WAN_IPTV, Source IPTV net, source port = any, destination = 217.166.0.0/16, destination port = any, NAT address = WAN_IPTV address
Interface WAN_IPTV, Source IPTV net, source port = any, destination = 213.75.0.0/16, destination port = any, NAT address = WAN_IPTV address

[HellStorm666]

stormfly schreef op maandag 14 juni 2021 @ 14:07:
[...]


Kan jij Netflix? Je nat voor internet naar de vlan 4 interface ipv de vlan 6?

code:

Got to Firewall -> NAT -> Outbound set the mode at Hybrid Add the following 3 outbound rules:

Interface WAN_IPTV, Source IPTV net, source port+destination+destination port = any, NAT address = WAN_IPTV address
Interface WAN_IPTV, Source IPTV net, source port = any, destination = 217.166.0.0/16, destination port = any, NAT address = WAN_IPTV address
Interface WAN_IPTV, Source IPTV net, source port = any, destination = 213.75.0.0/16, destination port = any, NAT address = WAN_IPTV address

Source is in de regels wel het IPTV netwerk. dus niet ál het netwerk verkeer wordt naar de WAN_IPTV genat.

Maar of Netflix toen werkte weet ik niet, ik had destijds geen netflix.
Nu al geruime tijd erg tevreden gebruiker van T-Mobile [phone] glasvezel.
Daarnaast gebruik ik geen IPTV meer via de provider maar Canal Digitaal welke via een App op de Google TV chromecast werkt.
Én m'n OPNSense (daarvoor Unifi) spul is vervangen door Untangle HomePro (welke ook véél beter bevalt).

[stormfly]

HellStorm666 schreef op maandag 14 juni 2021 @ 14:13:
[...]

Source is in de regels wel het IPTV netwerk. dus niet ál het netwerk verkeer wordt naar de WAN_IPTV genat.

Maar of Netflix toen werkte weet ik niet, ik had destijds geen netflix.
Nu al geruime tijd erg tevreden gebruiker van T-Mobile [phone] glasvezel.
Daarnaast gebruik ik geen IPTV meer via de provider maar Canal Digitaal welke via een App op de Google TV chromecast werkt.
Én m'n OPNSense (daarvoor Unifi) spul is vervangen door Untangle HomePro (welke ook véél beter bevalt).

Klopt is ook niet all het netwerkverkeer. Ik denk niet dat je kon Netflixen omdat in vlan 4 geen internet beschikbaar is.

Anyway ik heb getracht een goede guide te maken in een nieuw topic. Er zijn veel bijna goede guides waaruit ik dankbaar mijn info heb gehaald.

Hmmm Untangle Home PRO daar ga ik eens wat meer over lezen.