[Ubiquiti Edgerouter] Niet werkende Android apps

[tm474881]

Hoi,

Ik heb een week of 2 terug mijn Fritzbox vervangen voor een Edgerouter 4.
De Fritzbox deed het eigenlijk prima, maar was op zoek naar wat meer functionaliteit in de zin van VPN verbindingen, en het is gewoon leuk om met wat nieuws te spelen.

Mijn situatie is als volgt. FttH van Xs4all met een mediaconverter waar utp uit komt. Deze zit in eth0 van de router. Hierop is een Vlan geconfigureerd evenals een PPPOE interface.
Vanaf de eth1 poort loopt er een utp naar een simpele switch (Cisco/Linksys 8 poorts gigabit switch).

Verder zijn er geen zaken die mee kunnen spelen als Vlans, of dergelijke. Loopt geen televisie dienst over deze verbinding en ook geen telefonie.

De Edgerouter configureren was niet zo heel lastig, en de verbinding werkt in grote lijnen ook naar behoren. Ik kan gewoon de volledige bandbreedte benutten.
Ik heb nog een beetje lopen pielen met de MTU instellingen van de PPPOE, de vlan interface en de Eth0 interface, tot ik tevreden was met de beleving op de laptop (Draadloos via Unifi access points, die hiervoor ook al zaten, en is niets aan veranderd, behalve ander ip in hetzelfde subnet)
IPV6 werkt ook naar behoren, evenals een L2TP vpn en port-forwardings.

Nu komt de vraag.
Als ik op mijn Android 10 toestel bijv de app van dumpert probeer te openen, blijft deze tot in den treure laden en geeft uitendelijk een timeout. Als ik bijvoorbeeld instagram open, duurt het een seconde of 10 voordat de app herlaad, en weer reageert op input (app lijkt stil te staan op dat moment). Dit met instagram gebeurt alleen tijdens het starten van de app, nadat deze gesluimerd is geweest.
Als ik vervolgens de Wifi uitzet, is er niets aan de hand, en werkt dumpert en instagram weer zoals normaal.
Om het nog vreemder te maken, heeft een iphone op hetzelfde netwerk, met dezelfde apps er geen last van.
Als ik de android op een ander Unifi wifi-netwerk gebruik, heb ik dit ook niet.

Ik dacht nog dat het zou kunnen komen door de DPI, dus dat heb ik uitgezet, evenals Netflow en UNMS.

Verder werkt in het netwerk alles normaal en heb ik van de vrouw des huize ook geen klachten gehad over internet verbindingen of dergelijke.

Wellicht dat er een Tweaker is die mij kan wijzen op instellingen die ik over het hoofd heb gezien welke ik nog kan nalopen.

[ehvc]

dit klinkt als een MTU / MSS issue

Bekijk dit heel even:
https://community.ui.com/...f5-4dc2-b03e-cd2f2c049c24

[tm474881]

@ehvc Bedankt voor je reactie.
Ik heb de link bekeken en de wizard doorgelopen voor het MSS-Clamping verhaal.
Dat aangezet, en heeft helaas niet geholpen.
Ik heb ook geprobeerd om de standaard waarde van 1412 te vervangen voor 1452.
Dat bood ook geen uitkomst.
Weer even een beetje geëxperimenteerd met de mtu's en dat ik de mtu van pppoe naar 1492 zetten (ipv 1500) leek het wat beter te gaan, maar dat was ook maar een paar tellen.

MTU van de pppoe staat (nu weer) op 1500, van de vlan 6 op 1508 en van de eth0 op 1512.

[ehvc]

dumpert op de PC werkt dus perfect.
maar op de Android werkt het niet?

https://help.ubnt.com/hc/...oting-Connectivity-Issues

[ Voor 40% gewijzigd door ehvc op 12-02-2020 20:11 ]

[tm474881]

@ehvc
De dumpert app doet het niet, Instagram app doet "raar", Facebook lijkt kuren te hebben en ik heb het idee dat de play store langer doet over het downloaden/updaten van apps.

In de browser van zowel android als de pc werkt dumpert in ieder geval prima. Maar de dumpert app, en Instagram en Facebook doen het wel goed op mijn netwerk met een iPhone.

Dezelfde android (samsung s10 btw) doet het op bijvoorbeeld mijn werk netwerk wel weer prima met bovengenoemde apps

Dit is natuurlijk niet onwerkbaar zo, en heel veel gaat wel goed, maar er is iets aan de hand waar ik (nog) niet achter ben

[ehvc]

tm474881 schreef op woensdag 12 februari 2020 @ 20:12:
@ehvc
Dit is natuurlijk niet onwerkbaar zo, en heel veel gaat wel goed, maar er is iets aan de hand waar ik (nog) niet achter ben

Maar wel irritant indd.

Zonder inzicht in je config is dit lastig te trouble shooten.

Je kan een span poort configuren en een wireshark trace op een PC aanzetten.
Je config uitkleden zodat alleen IPV4 internet werkt en dan testen.
Andere accespoint gebruiken, Je wifi van je Laptop sharen bijvoorbeeld.

Config of vraag ook nog even op: https://community.ui.com/ delen anders.

[tm474881]

Hieronder de config.
Ik heb nog lopen stoeien met de mtu van de pppoe interface. Deze staat nu op 1492 ipv 1500, lijkt het iets beter mee te gaan, maar bijvoorbeeld een youtube app wil ook niet laden hiermee.

Ik ga nog even proberen met ip6 uit, maar gezien de iphone(s) er geen last van hebben denk ik niet dat dat het is.

JSON:

firewall {
    all-ping enable
    broadcast-ping disable
    ipv6-name WANv6_IN {
        default-action drop
        description "WAN inbound traffic forwarded to LAN"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related sessions"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    ipv6-name WANv6_LOCAL {
        default-action drop
        description "WAN inbound traffic to the router"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related sessions"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow IPv6 icmp"
            protocol ipv6-icmp
        }
        rule 40 {
            action accept
            description "allow dhcpv6"
            destination {
                port 546
            }
            protocol udp
            source {
                port 547
            }
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name WAN_IN {
        default-action drop
        description "Wan to Internal"
        enable-default-log
        rule 20 {
            action accept
            description "Allow established/related"
            log enable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 30 {
            action drop
            description "Drop invalid state"
            log enable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "Wan to router"
        enable-default-log
        rule 10 {
            action accept
            description "Allow established/related"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 30 {
            action accept
            description ike
            destination {
                port 500
            }
            log disable
            protocol udp
        }
        rule 40 {
            action accept
            description esp
            log disable
            protocol esp
        }
        rule 50 {
            action accept
            description nat-t
            destination {
                port 4500
            }
            log disable
            protocol udp
        }
        rule 60 {
            action accept
            description l2tp
            destination {
                port 1701
            }
            ipsec {
                match-ipsec
            }
            log disable
            protocol udp
        }
    }
    options {
        mss-clamp {
            interface-type all
            mss 1412
        }
        mss-clamp6 {
            interface-type pppoe
            mss 1452
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        description "eth0 - FTTH"
        duplex auto
        mtu 1512
        speed auto
        vif 6 {
            description "eth0.6 - Internet"
            mtu 1508
            pppoe 0 {
                default-route auto
                dhcpv6-pd {
                    no-dns
                    pd 0 {
                        interface eth1 {
                            prefix-id :1
                            service slaac
                        }
                        prefix-length /48
                    }
                    rapid-commit disable
                }
                firewall {
                    in {
                        ipv6-name WANv6_IN
                        name WAN_IN
                    }
                    local {
                        ipv6-name WANv6_LOCAL
                        name WAN_LOCAL
                    }
                }
                idle-timeout 180
                ipv6 {
                    address {
                        autoconf
                    }
                    dup-addr-detect-transmits 1
                    enable {
                    }
                }
                mtu 1492
                name-server auto
                password xs4all
                user-id xs4all@internet
            }
        }
    }
    ethernet eth1 {
        address 192.168.178.1/24
        description "eth1 - LAN"
        duplex auto
        ipv6 {
            dup-addr-detect-transmits 1
            router-advert {
                cur-hop-limit 64
                link-mtu 0
                managed-flag false
                max-interval 600
                name-server 2001:4860:4860::8888
                name-server 2001:4860:4860::8844
                other-config-flag false
                prefix ::/64 {
                    autonomous-flag true
                    on-link-flag true
                    valid-lifetime 2592000
                }
                radvd-options "RDNSS 2001:4860:4860::8888 2001:4860:4860::8844 {};"
                reachable-time 0
                retrans-timer 0
                send-advert true
            }
        }
        speed auto
    }
    ethernet eth2 {
        duplex auto
        speed auto
    }
    ethernet eth3 {
        duplex auto
        speed auto
    }
    loopback lo {
    }
}
protocols {
    static {
        interface-route6 ::/0 {
            next-hop-interface pppoe0 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name LAN {
            authoritative enable
            subnet 192.168.178.0/24 {
                default-router 192.168.178.1
                dns-server 8.8.8.8
                dns-server 8.8.4.4
                lease 86400
                start 192.168.178.60 {
                    stop 192.168.178.189
                }
                static-mapping Diskstation {
                    ip-address 192.168.178.190
                    mac-address 00:11:32:98:ca:ed
                }
            }
        }
        static-arp disable
        use-dnsmasq disable
    }
    dns {
        forwarding {
            cache-size 150
            listen-on eth1
            name-server 8.8.8.8
            name-server 8.8.4.4
            options listen-address=192.168.178.1
        }
    }
    gui {
        http-port 80
        https-port 443
        older-ciphers enable
    }
    nat {
        rule 5010 {
            description "XS4All Internet"
            log enable
            outbound-interface pppoe0
            protocol all
            source {
                address 192.168.178.0/24
            }
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    ubnt-discover {
        disable
    }
    unms {
        connection wss://
    }
}
system {
    domain-name ****.nl
    host-name ER4-****
    login {
        user ------ {
            authentication {
                encrypted-password ------------
                plaintext-password ""
            }
            full-name "*****"
            level admin
        }
    }
    name-server 8.8.8.8
    name-server 8.8.4.4
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    offload {
        hwnat disable
        ipv4 {
            forwarding enable
            pppoe enable
            vlan enable
        }
    }
    package {
        repository wheezy {
            components "main contrib non-free"
            distribution wheezy
            password ""
            url http://mirror.leaseweb.com/debian
            username ""
        }
        repository wheezy-security {
            components main
            distribution wheezy/updates
            password ""
            url http://security.debian.org
            username ""
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
    traffic-analysis {
        dpi enable
        export enable
    }
}
traffic-control {
    optimized-queue {
        policy global
        policy queues
    }
}
vpn {
    ipsec {
        allow-access-to-local-interface disable
        auto-firewall-nat-exclude disable
        ipsec-interfaces {
        }
    }
    l2tp {
        remote-access {
            authentication {
                local-users {
                    username ***** {
                        password ******
                    }
                }
                mode local
            }
            client-ip-pool {
                start 192.168.178.210
                stop 192.168.178.230
            }
            dns-servers {
                server-1 8.8.8.8
                server-2 8.8.4.4
            }
            idle 1800
            ipsec-settings {
                authentication {
                    mode pre-shared-secret
                    pre-shared-secret ******
                }
                ike-lifetime 3600
                lifetime 3600
            }
            outside-address 0.0.0.0
        }
    }
}

[Axewi]

tm474881 schreef op donderdag 20 februari 2020 @ 14:37:

Ik heb nog lopen stoeien met de mtu van de pppoe interface. Deze staat nu op 1492 ipv 1500, lijkt het iets beter mee te gaan, maar bijvoorbeeld een youtube app wil ook niet laden hiermee.

Je hoeft niet te "stoeien" je kan de correcte mtu gewoon berekenen.

[tm474881]

@Axewi tnx voor je reactie.
Ik heb dat ook als een van de eerste geprobeerd.
Ik kom op een max packet size op 1472.
1472+28 = 1500

[Axewi]

tm474881 schreef op donderdag 20 februari 2020 @ 15:21:
@Axewi tnx voor je reactie.
Ik heb dat ook als een van de eerste geprobeerd.
Ik kom op een max packet size op 1472.
1472+28 = 1500

Dan zou ik de mtu daar op laten staan.

Heb je nog andere packages geinstalleerd op de router? Als ik mijn config dump zie ik namelijk geen verwijzigen naar de debian repository staan.

[tm474881]

Ik heb de mtu weer aangepast naar 1500 en de packages verwijderd. Heb de configuratie van https://kriegsman.io/2016...-edgerouter-lite-for-kpn/ gevolgd, en aangepast waar nodig. Leek me, voor de toekomst misschien handig om de packages te kunnen installeren.

Heb nu alleen geen toegang meer tot de edgerouter, ik zat over een vpn verbinding en dat de mtu werd aangepast en gecommit viel de verbinding weg en unms ziet hem nog down.

vanavond maar de ipv6 config eruit halen, kijken of dat scheelt

[Axewi]

In hoevere is de XS4ALL configuratie hetzelfde als die van KPN?

Hier overigens een andere KPN config voor de edgerouter zonder telefonie.
Ik zie hier geen instellingen staan m.b.t. de mss die jij wel in je config hebt, de MTU hebben ze op 1500 staan.

code:

firewall {
    all-ping enable
    broadcast-ping disable
    ipv6-name WANv6_IN {
        default-action drop
        description "WAN IPv6 naar LAN"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow IPv6 icmp"
            icmpv6 {
                type echo-request
            }
            protocol ipv6-icmp
        }
    }
    ipv6-name WANv6_LOCAL {
        default-action drop
        description "WAN IPv6 naar Router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow IPv6 icmp"
            protocol ipv6-icmp
        }
        rule 40 {
            action accept
            description "Allow dhcpv6"
            destination {
                port 546
            }
            protocol udp
            source {
                port 547
            }
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name WAN_IN {
        default-action drop
        description "WAN naar LAN"
        rule 10 {
            action accept
            description "Allow established/related"
            log disable
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN naar Router"
        rule 10 {
            action accept
            description "Allow established/related"
            log disable
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        description FTTH
        duplex auto
        mtu 1512
        speed auto
        vif 4 {
            address dhcp
            description "KPN IPTV"
            dhcp-options {
                client-option "send vendor-class-identifier "IPTV_RG";"
                client-option "request subnet-mask, routers, rfc3442-classless-static-routes;"
                default-route no-update
                default-route-distance 210
                name-server update
            }
            mtu 1500
        }
        vif 6 {
            description "KPN Internet"
            mtu 1508
            pppoe 0 {
                default-route auto
                dhcpv6-pd {
                    no-dns
                    pd 0 {
                        interface eth1 {
                            host-address ::1
                            no-dns
                            prefix-id :1
                            service slaac
                        }
                        prefix-length /48
                    }
                    rapid-commit enable
                }
                firewall {
                    in {
                        ipv6-name WANv6_IN
                        name WAN_IN
                    }
                    local {
                        ipv6-name WANv6_LOCAL
                        name WAN_LOCAL
                    }
                }
                idle-timeout 180
                ipv6 {
                    address {
                        autoconf
                    }
                    dup-addr-detect-transmits 1
                    enable {
                    }
                }
                mtu 1500
                name-server auto
                password ppp
                user-id XX-XX-XX-XX-XX-XX@internet
            }
        }
    }
    ethernet eth1 {
        address 192.168.2.254/24
        description Thuis
        duplex auto
        ipv6 {
            dup-addr-detect-transmits 1
            router-advert {
                cur-hop-limit 64
                link-mtu 0
                managed-flag false
                max-interval 600
                name-server 2a02:a47f:e000::53
                name-server 2a02:a47f:e000::54
                other-config-flag false
                prefix ::/64 {
                    autonomous-flag true
                    on-link-flag true
                    valid-lifetime 2592000
                }
                radvd-options "RDNSS 2a02:a47f:e000::53 2a02:a47f:e000::54 {};"
                reachable-time 0
                retrans-timer 0
                send-advert true
            }
        }
        speed auto
    }
    ethernet eth2 {
        description "Niet in gebruik"
        duplex auto
        speed auto
    }
    loopback lo {
    }
}
protocols {
    igmp-proxy {
        interface eth0.4 {
            alt-subnet 0.0.0.0/0
            role upstream
            threshold 1
        }
        interface eth1 {
            alt-subnet 0.0.0.0/0
            role downstream
            threshold 1
        }
    }
    static {
        interface-route6 ::/0 {
            next-hop-interface pppoe0 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        global-parameters "option vendor-class-identifier code 60 = string;"
        global-parameters "option broadcast-address code 28 = ip-address;"
        hostfile-update disable
        shared-network-name Thuis {
            authoritative enable
            subnet 192.168.2.0/24 {
                lease 86400
                start 192.168.2.1 {
                    stop 192.168.2.200
                }
            }
        }
        static-arp disable
        use-dnsmasq enable
    }
    dns {
        forwarding {
            cache-size 4000
            listen-on eth1
            name-server 195.121.1.34
            name-server 195.121.1.66
            name-server 2a02:a47f:e000::53
            name-server 2a02:a47f:e000::54
            options listen-address=192.168.2.254
        }
    }
    gui {
        http-port 80
        https-port 443
        older-ciphers enable
    }
    nat {
        rule 5000 {
            description IPTV
            destination {
                address 213.75.112.0/21
            }
            log disable
            outbound-interface eth0.4
            protocol all
            source {
                address 192.168.2.0/24
            }
            type masquerade
        }
        rule 5010 {
            description Internet
            log disable
            outbound-interface pppoe0
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    telnet {
        port 23
    }
    unms {
        disable
    }
}
system {
    domain-name thuis.local
    host-name Thuis
    login {
        user ubnt {
            authentication {
                plaintext-password "ubnt"
            }
            level admin
        }
    }
    name-server 127.0.0.1
    ntp {
        server 0.nl.pool.ntp.org {
        }
        server 1.nl.pool.ntp.org {
        }
        server ntp0.nl.net {
        }
        server ntp1.nl.net {
        }
        server time.kpn.net {
        }
    }
    offload {
        hwnat disable
        ipsec enable
        ipv4 {
            forwarding enable
            gre enable
            pppoe enable
            vlan enable
        }
        ipv6 {
            forwarding enable
            pppoe disable
            vlan enable
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
    traffic-analysis {
        dpi disable
        export disable
    }
}


/* Warning: Do not remove the following line. */
/* === vyatta-config-version: "config-management@1:conntrack@1:cron@1:dhcp-relay@1:dhcp-server@4:firewall@5:ipsec@5:nat@3:qos@1:quagga@2:suspend@1:system@4:ubnt-pptp@1:ubnt-udapi-server@1:ubnt-unms@1:ubnt-util@1:vrrp@1:webgui@1:webproxy@1:zone-policy@1" === */
/* Release version: v1.10.8.5142440.181120.1645 */

[ Voor 97% gewijzigd door Axewi op 20-02-2020 16:37 ]

[To_Tall]

Axewi schreef op donderdag 20 februari 2020 @ 16:24:
In hoevere is de XS4ALL configuratie hetzelfde als die van KPN?

Hier overigens een andere KPN config voor de edgerouter zonder telefonie.
Ik zie hier geen instellingen staan m.b.t. de mss die jij wel in je config hebt, de MTU hebben ze op 1500 staan.

Die config werkt nog.
Als je kijkt naar de config voor de USG is deze redelijk gelijk.

Echter, er zijn wat truukjes bij gekomen. die eea vergemakelijken of vanuit ervaring misschien beter kunnen.
de config van bas meerman zet volgens mij de firewall voor VLAN4 helemaal uit. Wat eigelijk een security risico kan zijn.

Blijkbaar heb ik op de quote butten gedrukt op het moment dat je het bericht hebt aangepast

[ Voor 6% gewijzigd door To_Tall op 20-02-2020 17:11 ]

[tm474881]

Ik geloof het bijna niet, maar na mijn laatste wijziging van het wijzigen van de mtu op de pppoe interface deed mijn verbinding het niet meer.

Wijziging ongedaan gemaakt en nog niet.
Toen heb ik de pppoe interface verwijderd en opnieuw aangemaakt.
Verbinding kwam weer op, en issues met Android lijken (even afkloppen) over.

Ik ga nog wel even de huidige config vergelijken met de eerdere, wel benieuwd wat er nou anders is

[Kasper1985]

Heb je misschien een pihole of andere adblocker draaien? Misschien alleen op die android toestellen?

Ik heb exact hetzelfde gedrag met bijvoorbeeld coolblue en mediamarkt apps. Maar als ik mijn pihole uitzet of andere dns instel werkt het prima. Ik gebruik dezelfde router.