[MikroTik] KPN Routed IPTV Hapert en stopt na paar minuten

[berryh]

Goedemiddag,

Een klein poosje geleden heb ik een MikroTik RB4011 aangeschaft om de door KPN aangeleverde ExperiaBox te vervangen. De MikroTik moet zowel internet als routed IPTV gaan regelen, met een tagged vlan voor telefonie, wat afgehandeld wordt door de ExperiaBox. Na vrij veel lezen op Netwerkje, Tweakers en andere bronnen (inclusief wat configuratie voor Ubiquiti als 'inspiratie'), krijg ik het toch nog niet helemaal werkend. Internet werkt als een zonnetje, zelfde geldt voor telefonie. Het gaat mis bij de TV. Deze hapert een keer na een minuut of vier, vijf, gaat vervolgens even verder voor een minuutje en vervolgens geeft het de melding dat de zender niet beschikbaar is. Deel twee is dat software updates of reinstalls niet werken. Deze loopt telkens in een fout op 27 procent.

Ik probeer (zoals gezegd) Routed IPTV te gebruiken. IGMP-Proxy staat aan en geconfigureerd, volgens mij heb ik firewall regels die nodig zijn er (goed) in staan en multicast staat aan. De opstelling is NTU -> MikroTik -> rest van het netwerk met de decoder momenteel op poortje 7. In onderstaande configuratie zitten alle suggesties die ik kon vinden verwerkt. De gevoelige informatie heb ik eruit gehaald. Ik neem aan dat ik een foutje heb gemaakt, maar ik kan het nog niet ontdekken.

Alvast bedankt voor de hulp, wordt gewaardeerd!

code:

/interface bridge
add arp=proxy-arp igmp-snooping=yes name=bridge-local
add name=bridge-tel
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp l2mtu=1598 loop-protect=off
/interface vlan
add interface=ether1 name=vlan1.4 vlan-id=4
add interface=ether1 loop-protect=off name=vlan1.6 vlan-id=6
add interface=ether1 name=vlan1.7 vlan-id=7
add interface=ether2 name=vlan2.7 vlan-id=7
/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=vlan1.6 \
    keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=pppoe-client \
    password=kpn user=xxxxxx@internet
/interface ethernet switch port
set 0 default-vlan-id=0
set 1 default-vlan-id=0
set 2 default-vlan-id=0
set 3 default-vlan-id=0
set 4 default-vlan-id=0
set 5 default-vlan-id=0
set 6 default-vlan-id=0
set 7 default-vlan-id=0
set 8 default-vlan-id=0
set 9 default-vlan-id=0
set 10 default-vlan-id=0
set 11 default-vlan-id=0
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
add code=28 name=option28-broadcast value="'192.168.2.255'"
/ip dhcp-server option sets
add name=IPTV options=option60-vendorclass,option28-broadcast
/ip pool
add name=thuisnetwerk ranges=192.168.2.1-192.168.2.199
/ip dhcp-server
add address-pool=thuisnetwerk disabled=no interface=bridge-local lease-time=\
    1h30m name=dhcp-thuis
/routing bgp instance
set default disabled=yes
/interface bridge port
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=ether6
add bridge=bridge-local interface=ether7
add bridge=bridge-local interface=ether8
add bridge=bridge-local interface=ether9
add bridge=bridge-local interface=ether10
add bridge=bridge-local interface=sfp-sfpplus1
add bridge=bridge-tel interface=vlan2.7
add bridge=bridge-tel interface=vlan1.7
/interface bridge settings
set allow-fast-path=no
/ip neighbor discovery-settings
set discover-interface-list=none
/ip address
add address=192.168.2.254/24 interface=bridge-local network=192.168.2.0
/ip dhcp-client
add default-route-distance=210 dhcp-options=\
    option60-vendorclass,hostname,clientid disabled=no interface=vlan1.4 \
    use-peer-dns=no use-peer-ntp=no
/ip dhcp-server config
set store-leases-disk=15m
/ip dhcp-server lease
add address=192.168.2.1 mac-address=xxxxx server=dhcp-thuis
add address=192.168.2.5 mac-address=xxxxx server=dhcp-thuis
add address=192.168.2.19 mac-address=xxxxx server=dhcp-thuis
add address=192.168.2.22 mac-address=xxxxx server=dhcp-thuis
/ip dhcp-server network
add address=192.168.2.0/24 dhcp-option-set=IPTV dns-server=192.168.2.254 \
    domain=berryh.tk gateway=192.168.2.254
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d servers=1.1.1.1,1.0.0.1
/ip firewall address-list
add address=192.168.2.0-192.168.2.254 list=allowed_to_router
add address=0.0.0.0/8 comment=RFC6890 list=not_in_internet
add address=172.16.0.0/12 comment=RFC6890 list=not_in_internet
add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet
add address=10.0.0.0/8 comment=RFC6890 list=not_in_internet
add address=169.254.0.0/16 comment=RFC6890 list=not_in_internet
add address=127.0.0.0/8 comment=RFC6890 list=not_in_internet
add address=224.0.0.0/4 comment=Multicast disabled=yes list=not_in_internet
add address=198.18.0.0/15 comment=RFC6890 list=not_in_internet
add address=192.0.0.0/24 comment=RFC6890 list=not_in_internet
add address=192.0.2.0/24 comment=RFC6890 list=not_in_internet
add address=198.51.100.0/24 comment=RFC6890 list=not_in_internet
add address=203.0.113.0/24 comment=RFC6890 list=not_in_internet
add address=100.64.0.0/10 comment=RFC6890 list=not_in_internet
add address=240.0.0.0/4 comment=RFC6890 list=not_in_internet
add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=not_in_internet
/ip firewall filter
add action=accept chain=input in-interface=pppoe-client protocol=icmp
add action=accept chain=input connection-state=related
add action=accept chain=input connection-state=established
add action=accept chain=input src-address-list=allowed_to_router
add action=fasttrack-connection chain=forward comment=FastTrack \
    connection-state=established,related
add action=accept chain=forward comment="Established, Related" \
    connection-state=established,related
add action=drop chain=forward comment="Drop invalid" connection-state=invalid \
    log=yes log-prefix="[Drop invalid]"
add action=drop chain=forward comment=\
    "Drop tries to reach not public address from LAN" dst-address-list=\
    not_in_internet in-interface=bridge-local log=yes log-prefix=\
    "[!public_from_LAN]" out-interface=!bridge-local
add action=drop chain=forward comment=\
    "Drop incoming packets that are not NATted" connection-nat-state=!dstnat \
    connection-state=new in-interface=pppoe-client log=yes log-prefix=\
    "[!NAT]"
add action=drop chain=forward comment=\
    "Drop incoming from internet which is not public IP" in-interface=\
    pppoe-client log=yes log-prefix="[!public]" src-address-list=\
    not_in_internet
add action=drop chain=forward comment=\
    "Drop packets from LAN that do not have LAN IP" in-interface=bridge-local \
    log=yes log-prefix="[LAN_!LAN]" src-address=!192.168.2.0/24
add action=reject chain=input in-interface=pppoe-client protocol=tcp \
    reject-with=icmp-port-unreachable
add action=reject chain=input in-interface=pppoe-client protocol=udp \
    reject-with=icmp-port-unreachable
/ip firewall nat
add action=masquerade chain=srcnat out-interface=vlan1.4
add action=masquerade chain=srcnat comment="Needed for IPTV" dst-address=213.75.112.0/21 out-interface=vlan1.4
add action=masquerade chain=srcnat comment="Needed for IPTV" dst-address=217.166.0.0/16 out-interface=vlan1.4
add action=masquerade chain=srcnat comment="Needed for internet" out-interface=pppoe-client src-address=192.168.2.0/24
add action=masquerade chain=srcnat comment="Hairpin NAT" dst-address=!192.168.2.254 src-address=192.168.2.0/24
add action=dst-nat chain=dstnat dst-address-type=local dst-port=22 protocol=\
    tcp to-addresses=192.168.2.216 to-ports=22
add action=dst-nat chain=dstnat dst-address-type=local dst-port=5000 \
    protocol=tcp to-addresses=192.168.2.2 to-ports=5000
add action=dst-nat chain=dstnat dst-address-type=local dst-port=5001 \
    protocol=tcp to-addresses=192.168.2.2 to-ports=5001
add action=dst-nat chain=dstnat dst-address-type=local dst-port=5000 \
    protocol=udp to-addresses=192.168.2.2 to-ports=5000
add action=dst-nat chain=dstnat dst-address-type=local dst-port=5001 \
    protocol=udp to-addresses=192.168.2.2 to-ports=5001
add action=dst-nat chain=dstnat dst-address-type=local dst-port=80 protocol=\
    tcp to-addresses=192.168.2.203 to-ports=80
add action=dst-nat chain=dstnat dst-address-type=local dst-port=443 protocol=\
    tcp to-addresses=192.168.2.203 to-ports=443
add action=dst-nat chain=dstnat dst-address-type=local dst-port=80 protocol=\
    udp to-addresses=192.168.2.203 to-ports=80
add action=dst-nat chain=dstnat dst-address-type=local dst-port=443 protocol=\
    udp to-addresses=192.168.2.203 to-ports=443
add action=dst-nat chain=dstnat dst-address-type=local dst-port=8443 \
    protocol=tcp to-addresses=192.168.2.209 to-ports=8443
add action=dst-nat chain=dstnat dst-address-type=local dst-port=1194 \
    protocol=udp to-addresses=192.168.2.209 to-ports=1194
add action=dst-nat chain=dstnat dst-address-type=local dst-port=9987 \
    protocol=tcp to-addresses=192.168.2.217 to-ports=9987
add action=dst-nat chain=dstnat dst-address-type=local dst-port=9987 \
    protocol=udp to-addresses=192.168.2.217 to-ports=9987
add action=dst-nat chain=dstnat dst-address-type=local dst-port=3478 \
    protocol=tcp to-addresses=192.168.2.149 to-ports=3478
add action=dst-nat chain=dstnat dst-address-type=local dst-port=3478 \
    protocol=udp to-addresses=192.168.2.149 to-ports=3478
add action=dst-nat chain=dstnat dst-address-type=local dst-port=9523 \
    protocol=tcp to-addresses=192.168.2.149 to-ports=9523
add action=dst-nat chain=dstnat dst-address-type=local dst-port=9523 \
    protocol=udp to-addresses=192.168.2.149 to-ports=9523
add action=dst-nat chain=dstnat dst-address-type=local dst-port=32400 \
    protocol=tcp to-addresses=192.168.2.247 to-ports=32400
add action=dst-nat chain=dstnat dst-address-type=local dst-port=54321 \
    protocol=tcp to-addresses=192.168.2.247 to-ports=54321
add action=dst-nat chain=dstnat dst-address-type=local dst-port=54321 \
    protocol=udp to-addresses=192.168.2.247 to-ports=54321
add action=dst-nat chain=dstnat dst-address-type=local dst-port=50443 \
    protocol=udp to-addresses=192.168.2.203 to-ports=50443
add action=dst-nat chain=dstnat dst-address-type=local dst-port=50443 \
    protocol=tcp to-addresses=192.168.2.203 to-ports=50443
add action=dst-nat chain=dstnat dst-address-type=local dst-port=40000-40050 \
    protocol=tcp to-addresses=192.168.2.221 to-ports=40000-40050
add action=dst-nat chain=dstnat dst-address-type=local dst-port=40000-40050 \
    protocol=udp to-addresses=192.168.2.221 to-ports=40000-40050
add action=dst-nat chain=dstnat dst-address-type=local dst-port=2022 \
    protocol=tcp to-addresses=192.168.2.221 to-ports=2022
add action=dst-nat chain=dstnat dst-address-type=local dst-port=2022 \
    protocol=udp to-addresses=192.168.2.221 to-ports=2022
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh address=192.168.2.0/24 port=2202
set api disabled=yes
set winbox address=192.168.2.0/24
set api-ssl disabled=yes
/ip ssh
set strong-crypto=yes
/ip upnp
set enabled=no show-dummy-rule=no
/ip upnp interfaces
add interface=bridge-local type=internal
add interface=pppoe-client type=external
/routing igmp-proxy
set quick-leave=yes
/routing igmp-proxy interface
add alternative-subnets=0.0.0.0/0 interface=vlan1.4 upstream=yes
add interface=bridge-local
/system clock
set time-zone-name=Europe/Amsterdam
/system logging
add topics=igmp-proxy
/tool bandwidth-server
set enabled=no
/tool mac-server
set allowed-interface-list=none
/tool mac-server mac-winbox
set allowed-interface-list=none
/tool mac-server ping
set enabled=no
/tool sniffer
set filter-interface=vlan1.4

[MusicMaikel]

Ik heb dit ook geprobeerd met een Sophos UTM en managed switches. Wel een iets andere opstelling, aangezien de signalen eerst werden afgesplitst naar UTM en EB om vervolgens weer naar een coreswitch te gaan. Vanuit daar ben ik verder gegaan.

Ik heb exact hetzelfde issue gehad, maar geen oplossing kunnen vinden. De UTM ondersteund geen IGMP snooping, maar dit gebruikte ik via de EB. Het IPTV signaal werd dus omgeleid.

Het lijkt er op alsof dit gewoon niet kan vanuit KPN of iets dergelijks. Ik zit er sterk aan te denken, op het moment dat ik een eigen huis koop, om geen IPTV af te nemen aangezien wij (ik en mijn vriendin) vrijwel geen TV kijken.

Het is natuurlijk geen oplossing voor jouw probleem, maar weet dat je niet de enige bent die er mee gestunt heeft! Ik heb het uiteindelijk gewoon opgegeven.

[wizai]

Je geeft aan dat je de experiabox hebt vervangen voor de Mikrotik.
Ik heb zelf een Experiabox V8 in bridge modus, vóór mijn Mikrotik staan. vanaf daar lopen 2 kabeltjes naar de Mikrotik, 1 voor de uplink en 1 voor de iptv config.
Dit werkt perfect!

Heb je de Mikrotik direct op de V10 aangesloten? De Experiabox V9 en V10 kan niet in bridge modus.

Ik zie veel config regels waarbij ik hetzelfde heb ingesteld, vanavond kan ik hier wellicht e.e.a. vergelijken.

[RodeStabilo]

wizai schreef op vrijdag 24 januari 2020 @ 14:32:
Je geeft aan dat je de experiabox hebt vervangen voor de Mikrotik.
Ik heb zelf een Experiabox V8 in bridge modus, vóór mijn Mikrotik staan. vanaf daar lopen 2 kabeltjes naar de Mikrotik, 1 voor de uplink en 1 voor de iptv config.
Dit werkt perfect!

Hoe zet je een Experiabox in bridge mode dan? je kan er bijna niets zelf op aanpassen.

[wizai]

RodeStabilo schreef op vrijdag 24 januari 2020 @ 14:38:
[...]

Hoe zet je een Experiabox in bridge mode dan? je kan er bijna niets zelf op aanpassen.

Voor de Experiabox V8 gaat het als volgt; https://www.iwally.nl/experiabox-v8-bridge-mode

[Thralas]

wizai schreef op vrijdag 24 januari 2020 @ 14:32:
Ik heb zelf een Experiabox V8 in bridge modus, vóór mijn Mikrotik staan. vanaf daar lopen 2 kabeltjes naar de Mikrotik, 1 voor de uplink en 1 voor de iptv config.
Dit werkt perfect!

Waarom splits je de vlans niet zelf uit, als je toch een MikroTik hebt?

@berryh Je hebt geen rule die IGMP op INPUT toelaat. Zonder die rule kun je wel een multicast group joinen, maar alle membership queries van de upstream switch bereiken je IGMP proxy niet.

En dat geeft exact dit probleem: het werkt tot de eerste membership query.

[berryh]

wizai schreef op vrijdag 24 januari 2020 @ 14:32:
Je geeft aan dat je de experiabox hebt vervangen voor de Mikrotik.
Ik heb zelf een Experiabox V8 in bridge modus, vóór mijn Mikrotik staan. vanaf daar lopen 2 kabeltjes naar de Mikrotik, 1 voor de uplink en 1 voor de iptv config.
Dit werkt perfect!

Heb je de Mikrotik direct op de V10 aangesloten? De Experiabox V9 en V10 kan niet in bridge modus.

Ik zie veel config regels waarbij ik hetzelfde heb ingesteld, vanavond kan ik hier wellicht e.e.a. vergelijken.

Ik had er even bij kunnen/moeten zetten dat het om een V10a gaat. Ging er vanuit dat deze niet in bridge mode geplaatst kan worden. Zoals gezegd, mijn opstelling is van het glasvezel kastje (NTU) rechtstreeks naar de MikroTik en de EB zit aan de MikroTik, voor de telefonie. Dank alvast voor het vergelijken!

[berryh]

Thralas schreef op vrijdag 24 januari 2020 @ 14:55:
[...]


Waarom splits je de vlans niet zelf uit, als je toch een MikroTik hebt?

@berryh Je hebt geen rule die IGMP op INPUT toelaat. Zonder die rule kun je wel een multicast group joinen, maar alle membership queries van de upstream switch bereiken je IGMP proxy niet.

En dat geeft exact dit probleem: het werkt tot de eerste membership query.

Doe het uit m'n hoofd, maar dit gedrag komt me vaag bekend voor uit de log! Zou die firewall regel er dan ongeveer zo uit moeten zien?

code:

add action=accept chain=input protocol=igmp

[Thralas]

Zo ja, al zou ik ook de interface specificeren (vlan1.4 in jouw geval).

[berryh]

Thralas schreef op vrijdag 24 januari 2020 @ 16:19:
Zo ja, al zou ik ook de interface specificeren (vlan1.4 in jouw geval).

Ga ik vanavond even testen, doe wel een update zodra ik meer weet. Dank tot zover!

[berryh]

@Thralas Ben ondertussen een avondje testen en prutsen verder. Het leek de oplossing te zijn (in eerste instantie) toen ik alleen een decoder rechtreeks had aangesloten op de MikroTik. Toen de rest van het netwerk aangesloten en meteen ging het weer fout. Toen ben ik gaan proberen het te isoleren, maar dit is nog niet gelukt. Tenminste, ik heb het niet terug kunnen brengen naar 1 apparaat of switch. Alle switches in het netwerk zijn Netgear ProSafe switches (GS105/GS108) met IGMP Snooping ingeschakeld. Alle hulp is welkom!

[Thralas]

Klinkt alsof de switch mogelijk roet in het eten gooit.

Ik zou IGMP-verkeer op zoveel mogelijk punten inzichtelijk proberen te maken, dan kun je (relatief) gemakkelijk achterhalen wat er nu precies misgaat.

- Op de MikroTik: Packet Sniffer met protocol igmp, op de IPTV interface en de downstream interface richting je clients tegelijk (je kunt meerdere interfaces tegelijk capturen). Vervolgens kun je het streamen naar Wireshark (capture filter: udp port 37008).

- Op de Netgears: port mirror instellen en met Wireshark op igmp filteren.

- Je kunt de STB eventueel vervangen door een (bekabelde) laptop met VLC, dan kun je dáár ook igmp inzichtelijk maken met Wireshark. NPO1: rtp://@224.0.252.126:7252 (ik weet niet of Windows moeilijk doet met multicast en firewalling, maar onder Linux werkt het prima).

Desnoods even beginnen met een laptop en wel/niet een netgear ertussen, dat vertelt al een hoop zonder dat je uberhaupt naar een igmp capture hoeft te staren.

Met een combinatie van bovenstaande en een beetje redeneren over IGMP zou je in ieder geval de schuldige aan moeten kunnen wijzen. Je bent in ieder geval op zoek naar een membership query die niet beantwoord wordt.

[ Voor 7% gewijzigd door Thralas op 25-01-2020 16:36 ]

[whirlpool]

Ik zou de dhcp-option-set bij de ip dhcp-server lease voor de tv-decoder doen i.p.v. bij de ip dhcp-server network

code:

/ip dhcp-server lease
add address=192.168.2.x comment="Decoder 1" dhcp-option-set=IPTV mac-address=xxxxx server=dhcp-thuis
...
...
...
/ip dhcp-server network
add address=192.168.2.0/24  dns-server=192.168.2.254 domain=berryh.tk gateway=192.168.2.254

Verder heb ik IPv6 ingesteld bij KPN, maar dat zou voor de tv niet uit moeten maken.

De volgende ip firewall nat regel heb ik ook niet in mijn config

code:

/ip firewall nat
add action=masquerade chain=srcnat out-interface=vlan1.4

[ Voor 14% gewijzigd door whirlpool op 24-02-2020 22:00 ]