[Ubiquiti-Netwerkapparatuur] Ervaringen & Discussie - Deel 4

[ChUcKiE]

Hmm twijfel nog wel een beetje of ik deze toch niet nu al moet bestellen met de G4 dome, G4 Bullet, Doorbell G4, Twee Wifi 6 LR en twee inWall HD.

Wel jammer dat die laatste nog op Wifi 5 zitten en er nog geen Wifi 6 variant in de EA store staat, en dat de AP wifi 6 pro sold out is.
Ik kom nu al op 1800+ euro uit voor de netwerkapparatuur

[nelizmastr]

RobertMe schreef op dinsdag 16 november 2021 @ 21:08:
[...]

De USG doet aan hardware offloading. Zet die uit en de performance zakt flink in. Bij de UDM en UDR verloopt alle routing, NAT, firewall, ... via de CPU, altijd. Dat scheelt dus nogal een slok op een borrel en maakt vergelijken lastig. Ik verwacht dan ook dat de USG (3P) bij lange na geen 1Gbit/s haalt als je hardware offloading uit zet (kan ergens in de controller), denk dat je blij kunt zijn als je de helft haalt, maar waarschijnlijk dat niet eens. Zet vervolgens nog eens IDS/IPS aan en het zakt helemaal in. (IDS/IPS werkt überhaupt niet in combinatie met hardware offloading, dus dat aanzetten zet hardware offloading impliciet uit).

Zonder offloading doet een USG3P officieel 85 Mbit, daar moet je het mee doen. Die CPU heeft echt de rekenkracht van een aardappel wat dat betreft. Prima natuurlijk als je max een 100Mbit verbinding hebt, maar niet meer dan dat.

De 3P hier heb ik offloading op aan staan. Anders haal ik echt de huidige 200/200 niet.

[Exocet]

nelizmastr schreef op dinsdag 16 november 2021 @ 21:35:
[...]


Zonder offloading doet een USG3P officieel 85 Mbit, daar moet je het mee doen. Die CPU heeft echt de rekenkracht van een aardappel wat dat betreft. Prima natuurlijk als je max een 100Mbit verbinding hebt, maar niet meer dan dat.

De 3P hier heb ik offloading op aan staan. Anders haal ik echt de huidige 200/200 niet.

Ik haal toch echt een gbit

[nelizmastr]

Exocet schreef op dinsdag 16 november 2021 @ 21:40:
[...]


Ik haal toch echt een gbit

Maar niet met DPI aan, alle security toeters en bellen en zonder offloading

Dat is namelijk niet technisch mogelijk.

[Roy Batty]

nelizmastr schreef op dinsdag 16 november 2021 @ 21:40:
[...]


Maar niet met DPI aan, alle security toeters en bellen en zonder offloading

Ik had DPI aan maar IPS uit, dat is een keuze, die 85Mb wordt ook door UI bevestigd icm IPS. Dus zonder IPS kwam ik ook gewoon aan mijn 1Gb. De vraag is....wat doet de UDR ?

[Tranzy]

Ik vermoed dat de snelheid 700 met intrusion is.

Tegenwoordig is 1Gb geen vreemde snelheid meer. En aangezien de USG dit ook blijkt te halen zal het dus niet aan de processor liggen.

Ikzelf heb 600Mb Ziggo en dat haal ik prima met mijn USG. Zou graag mijn maximale snelheid willen halen mét deze opties aan.

[Roy Batty]

Tranzy schreef op dinsdag 16 november 2021 @ 21:50:
Ik vermoed dat de snelheid 700 met intrusion is.

Tegenwoordig is 1Gb geen vreemde snelheid meer. En aangezien de USG dit ook blijkt te halen zal het dus niet aan de processor liggen.

Ikzelf heb 600Mb Ziggo en dat haal ik prima met mijn USG. Zou graag mijn maximale snelheid willen halen mét deze opties aan.

Is ook mijn gok en mits ik iets overzie is 68 eur excl btw dan een belachelijke prijs voor wat je allemaal krijgt.

[Sp33dFr34k]

Roy Batty schreef op dinsdag 16 november 2021 @ 21:46:
[...]

Ik had DPI aan maar IPS uit, dat is een keuze, die 85Mb wordt ook door UI bevestigd icm IPS. Dus zonder IPS kwam ik ook gewoon aan mijn 1Gb. De vraag is....wat doet de UDR ?

Vroeg ik mij ook af, afgaande op eerdere reacties in dit topic zal het tussen de 500 en 700 liggen. Ik ben benieuwd...

[RobertMe]

nelizmastr schreef op dinsdag 16 november 2021 @ 21:35:
[...]


Zonder offloading doet een USG3P officieel 85 Mbit, daar moet je het mee doen. Die CPU heeft echt de rekenkracht van een aardappel wat dat betreft. Prima natuurlijk als je max een 100Mbit verbinding hebt, maar niet meer dan dat.

De 3P hier heb ik offloading op aan staan. Anders haal ik echt de huidige 200/200 niet.

85Mbit/s met alleen hardware offloading uit lijkt mij zeeer laag. IDS/IPS is heavy shit en zwaar CPU intensief. Aangezien die 85Mbit/s doet met IDS/IPS aan lijkt het mij dan ook zwaar onrealistisch dat die niet hoger gaat met IDS/IPS uit, en hardware offloading ook uit. Immers is de CPU belasting vele malen lager als je IDS/IPS uit hebt staan, dus meer ruimte om gewoon lekker te routeren, NATten en firewallen.

[Behoorlijk Leek]

RobertMe schreef op dinsdag 16 november 2021 @ 22:08:
[...]

85Mbit/s met alleen hardware offloading uit lijkt mij zeeer laag. IDS/IPS is heavy shit en zwaar CPU intensief. Aangezien die 85Mbit/s doet met IDS/IPS aan lijkt het mij dan ook zwaar onrealistisch dat die niet hoger gaat met IDS/IPS uit, en hardware offloading ook uit. Immers is de CPU belasting vele malen lager als je IDS/IPS uit hebt staan, dus meer ruimte om gewoon lekker te routeren, NATten en firewallen.

Idd, het ligt aan welke verbinding je hebt, naar ik weet hou je zon 30% over met IPS aan.
Net even getest met mijn 400/400/ verbinding, ips uit 430/430, ips aan 132/137, getest met ookla via wifi op mijn laptop

[Roy Batty]

RobertMe schreef op dinsdag 16 november 2021 @ 22:08:
[...]

met IDS/IPS uit, en hardware offloading ook uit.

inderdaad, en waarom zou je hardware offloading uit zetten ? Behalve dan omdat het moet (of vanzelf gaat) als IDS/IPS aan gaat. Is er een reden om die hardware offloading uit te zetten als het niet hoeft ?

[pinda powerrr]

Voor degenen die meer informatie zoeken op Reddit:
https://www.reddit.com/r/...roid_app&utm_source=share

In deze subreddit wordt de UDR meerdere keren besproken en zijn er uiteraard ook users die eea testen.

Daar heb ik ook de quote vandaan dat de snelheid niet boven 700 Mbit komt, ongeacht de instellingen. De UDR is daar al langer verkrijgbaar in EA, dus de ervaringen zijn daar ook te vinden.

[RobertMe]

Roy Batty schreef op dinsdag 16 november 2021 @ 22:19:
[...]

inderdaad, en waarom zou je hardware offloading uit zetten ? Behalve dan omdat het moet (of vanzelf gaat) als IDS/IPS aan gaat. Is er een reden om die hardware offloading uit te zetten als het niet hoeft ?

Naast IDS/IPS zijn er nog een aantal EdgeOS features die niet compatibel zijn met hardware offloading. Maar volgens mij zit daarvan inderdaad geen enkele direct in de controller ingebakken, oftewel: alleen te gebruiken middels de config.gateway.json

[Tranzy]

Roy Batty schreef op dinsdag 16 november 2021 @ 21:55:
[...]

Is ook mijn gok en mits ik iets overzie is 68 eur excl btw dan een belachelijke prijs voor wat je allemaal krijgt.

Van wat ik lees zal de prijs na officiële release veel hoger liggen.

Maar het blijft een "steal" voor dat geld.

[c-nan]

Ik probeer een Site-to-Site VPN toe te voegen en krijg het volgende:

Failed to apply the configuration (Nothing to delete (the specified node does not exist) Configuration system temporarily locked due to another commit in progress )

Een paar uur wachten maakt geen verschil. Ik kan de entry dus niet toevoegen omdat er al een commit bezig zou zijn?

[Tranzy]

Had een email gestuurd naar Ubiquity.

I have a question regarding the Dream Router.

I have a question regarding the Dream Router.


I now have a Cloud key 1st gen and a USG-3P. Am I correct that both are built-in the Dream Router?

Does the Dream Router also comes with the IDS/IPS option? And what is impact does this have on the internet speed. On the USG-3P it is significant.

Hun antwoord

The cloud key you can use for the access/manage the devices from the network.

Also USG you can use as a gateway.

yes UDR has IDS/IPS options.

Enabling Smart Queues or DPI on top of IPS/IDS will also incur a further throughput penalty to maximum throughput.

Ik heb een reply gestuurd dat mijn vraag niet helemaal goed begrepen is.

Ik wilde weten of de Router de functies van de USG en Cloud key ingebouwd hebben waardoor ik deze niet meer nodig heb.

[stpain]

Is tie al bij iemand verzonden? Status staat bij mij nog op unfulfilled

[Polyphemus]

stpain schreef op woensdag 17 november 2021 @ 04:50:
Is tie al bij iemand verzonden? Status staat bij mij nog op unfulfilled

Ik ben ook nog in blijde verwachting (van verzending).

[rens-br]

Ik snap dat iedereen super blij is dat ze eindelijk hun langverwachte speeltje hebben kunnen bestellen, maar het is niet nodig om elke update van je verzendstatus hier te delen. Daarvoor is dit topic niet bedoeld.

[Verwijderd]

Tranzy schreef op dinsdag 16 november 2021 @ 23:03:

Ik wilde weten of de Router de functies van de USG en Cloud key ingebouwd hebben waardoor ik deze niet meer nodig heb.

Yes, de Dream Router vervangt de USG en CloudKey. UDR wordt beheerd door de ingebouwde controller en kan niet worden beheerd door een externe controller zoals de Cloudkey. Hetzelfde als bij de UDM/UDM-Pro

[Harmen]

Volg dit topic al een tijdje niet meer omdat alles naar behoorde werkte. Sinds een aantal jaar beheer ik mijn 2 ap's vanuit Hostifi. Sinds de laatste controller versies (6.4.54) lijken mij AC lite's (firmware 4.0.54.10625) wel offline/bevroren. Zie beperkte informatie, geen clients verbonden etc.
Iemand dezelfde ervaringen?

[Tomas_]

Verwijderd schreef op woensdag 17 november 2021 @ 08:55:
[...]


Yes, de Dream Router vervangt de USG en CloudKey. UDR wordt beheerd door de ingebouwde controller en kan niet worden beheerd door een externe controller zoals de Cloudkey. Hetzelfde als bij de UDM/UDM-Pro

Het lijkt mij alleen een nadeel dat je storage alleen op sd kaart kunt toevoegen.
Ik heb nu een CK2 met 1 TB, als je dat wilt vervangen is de vraag hoe lang een sd het volhoud met protect.

[HKLM_]

Harmen schreef op woensdag 17 november 2021 @ 10:28:
Volg dit topic al een tijdje niet meer omdat alles naar behoorde werkte. Sinds een aantal jaar beheer ik mijn 2 ap's vanuit Hostifi. Sinds de laatste controller versies (6.4.54) lijken mij AC lite's (firmware 4.0.54.10625) wel offline/bevroren. Zie beperkte informatie, geen clients verbonden etc.
Iemand dezelfde ervaringen?

wat bedoel je met lijken ze offline / bevroren? sowieso kunnen je AP's wel eens een firmware update gebruiken aangezien we al lang en breed op de 5.x.x series zitten (en die werken beter al de 4.x.x)

Je kan altijd: Reilly of Safwan een berichtje sturen voor support op je Hostifi omgeving hé

[ Voor 6% gewijzigd door HKLM_ op 17-11-2021 10:36 ]

[Harmen]

HKLM_ schreef op woensdag 17 november 2021 @ 10:35:
[...]
wat bedoel je met lijken ze offline / bevroren? sowieso kunnen je AP's wel eens een firmware update gebruiken aangezien we al lang en breed op de 5.x.x series zitten (en die werken beter al de 4.x.x)
Je kan altijd: Reilly of Safwan een berichtje sturen voor support op je Hostifi omgeving hé

Heb 2 aps hangen, 1 van de 2 gaf actieve clients door. De andere helaas niet.
Heb als test 1 van de 2 geupdate naar de laatste versie. Die gaf al meer info zoals clients en wifi experience.
Zal de andere ook voorzien van de laatste firmware, even mee testen.
Had al contact gehad met Safwan, raade mij aan de classic weergave te gebruiken.

Ben tussentijds wel gewisseld van firewall (edgerouter x naar opnsense). Heb het gevoel dat sindsdien niet alle clients goed worden weergegeven.

[ Voor 8% gewijzigd door Harmen op 17-11-2021 11:12 ]

[Freekers]

Weet iemand of de Dream Router (UDR) ook Mesh ondersteund? Ik wil hem gaan inzetten om een inwall AP te vervangen welke momenteel gemeshed is.

[HKLM_]

Freekers schreef op woensdag 17 november 2021 @ 10:55:
Weet iemand of de Dream Router (UDR) ook Mesh ondersteund? Ik wil hem gaan inzetten om een inwall AP te vervangen welke momenteel gemeshed is.

Je bedoelt de wireless uplink feature?

[Freekers]

HKLM_ schreef op woensdag 17 november 2021 @ 11:04:
[...]


Je bedoelt de wireless uplink feature?

Yes Maar ik las enkele pagina's terug in dit topic dat je de UDR niet kunt adopten in een bestaande/andere controller. Ik heb reeds een UDM-Pro die middels een AP6-LR wireless uplink doet richting de Inwall AP. Die laatste wil ik dus vervangen, maar ben bang dat dat niet gaat werken als ik de UDR niet kan adopten in de UDM-Pro.

[RobertMe]

Freekers schreef op woensdag 17 november 2021 @ 11:18:
[...]


Yes Maar ik las enkele pagina's terug in dit topic dat je de UDR niet kunt adopten in een bestaande/andere controller. Ik heb reeds een UDM-Pro die middels een AP6-LR wireless uplink doet richting de Inwall AP. Die laatste wil ik dus vervangen, maar ben bang dat dat niet gaat werken als ik de UDR niet kan adopten in de UDM-Pro.

Je stelt IMO sowieso een gekke vraag. Je kunt een AP niet vervangen door een router. Immers is die laatste een router, geen AP. Als in: je krijgt dan te maken met NAT, DHCP, .... En ja, bij een consumenten routertje kun je nog wel eens DHCP uit zetten en alleen een kabeltje in de LAN poort prikken. Maar bij een "unified" systeem zou ik het raar vinden als dit zou kunnen.

[Skynett]

Ik heb de voorganger, de UDM, en daar kan je de AP functionaliteit niet loskoppelen van de rest (Switch en controller) Hij is niet uit de ingebouwde controller te halen. Het is geen los device in de lijst van Unifi netwerkapparatuur op de beheerpagina. In de netwerkmap heeft hij zowel vaste als draadloze verbindingen.

Ik vermoed zo maar dat dat bij de DR exact hetzelfde werkt. Dus als los AP inzetten is er dan niet bij.

[loeberce]

Freekers schreef op woensdag 17 november 2021 @ 10:55:
Weet iemand of de Dream Router (UDR) ook Mesh ondersteund? Ik wil hem gaan inzetten om een inwall AP te vervangen welke momenteel gemeshed is.

Waarom vervang je hem door een UDR en niet door een AP?

[Freekers]

@Skynett @RobertMe Thanks voor de uitleg

loeberce schreef op woensdag 17 november 2021 @ 11:59:
[...]

Waarom vervang je hem door een UDR en niet door een AP?

Deze was cheap

[trabuca]

Masimo schreef op zondag 14 november 2021 @ 20:28:
Probeer eerst het volgende: Reset de USG naar factory-defaults. Maak een rechtstreekse bekabelde verbinding met de USG via je laptop. Mogelijk moet je je laptop eerst even een vast IP-adres geven (bijv. 192.168.1.10). Open de webinterface van de USG via 192.168.1.1 of via https://setup.ui.com.
Stel vervolgens in de webinterface de IP-range in als 192.168.2.1/24, in overeenstemming met jouw huidige netwerk. Exit de USG en sluit hem aan in plaats van je KPN router. WAN poort hoef je nog niet aan te sluiten.

Laptop IP-instellingen weer terug naar automatisch. Nu zou de USG in je controller zichtbaar moeten zijn en kun je adopten. Na adoption de andere zaken aanpassen, die voor KPN nodig zijn.

Ik heb gisteren wat geprobeerd maar denk dat ik niet helemaal volg wat je bedoelde. Moest ik het IP-adres van de USG zelf 192.168.1.1 laten maar alleen de IP-range aanpassen naar192.168.2.1/24? Of ook het IP-adres van de USG aanpassen naar 192.168.2.1?
Dat laatste werkt niet want dat adres was al bezet door een ander apparaat.

Uiteindelijk heb ik mijn huidige LAN IP-range maar omgezet van 192.168.2.1/24 naar 192.168.1.1/24 wat een hoop werk was, maar heb daarmee wel adoptie en een internetverbinding voor elkaar gekregen.

nero355 schreef op zondag 14 november 2021 @ 23:09:
[...]

Allemaal logische gevolgen van het feit dat je op de NAS in een andere IP range de UniFi Controller draait!

Zoals ik al vaak heb gepost in deze reeks :
- Sluit al je UniFi spulletjes aan op je huidige netwerk als NAT achter NAT.
- Installeer de UniFi Controller op een Raspberry Pi die in dat netwerk zit of gebruik een CloudKey.
- Als je alles hebt ingesteld zodat alles werkt in VLAN 1 die de 192.168.1.0/24 subnet heeft dan laat je die lekker over als Management VLAN en niet meer dan dat!
- Daarna sluit je de USG aan op je WAN verbinding en kan je testen of alles dan nog steeds werkt.
- Heb je KPN dan wacht je nog effe daarmee en ga je inderdaad met het IPTV gebeuren aan de slag!
- Als dat succesvol is geüpload dan kan de USG op de WAN verbinding aangesloten worden
- Op dat moment zou alles moeten werken en kan je bijvoorbeeld VLAN 20 aanmaken voor je eigen 192.168.2.0/24 Thuisnetwerk
- Op je Pi-Hole gooi je dan een VLAN Interface erbij die DNS Server speelt in dat VLAN
!! Zorg ervoor dat dus ook alle webGUI's en SSH en dergelijke alleen op de echte eth0 zijn gebind en niet op alle Interfaces zoals vaak standaard het geval is !!

Succes!

Hierin ben ik met mijn kennis al lost na je eerste zin. NAT achter NAT? Ik ben niet bekend met VLANs en aparte IP-ranges voor een thuisnetwerk. Ik heb enkel ISP routers gewend die het thuisnetwerk in dezelfde IP-range hebben als dat het IP-adres van de router is. Ik moet nog een hoop leren.

De 2e zin heeft wel succes gebracht, waarvoor dank! Ik heb op een Raspberry PI unifi controller en Pihole geïnstalleerd. De RPI verbonden op de switch met alleen de USG en UAP's. Alles factory resetted en geadopteerd. Alles is nu goed werkend in de controller, maar wel op een andere IP-rang dan mijn thuisnetwerk zat, namelijk 192.168.1.X ipv 192.168.2.X.

Hierna heb ik Coolhva's instructie gevolgd (https://coolhva.github.io...eway-kpn-ftth-iptv-ipv6/0) en nu heb ik internet werkend!
IPTV werkt nog niet, ook al vermeld de instructie dat het zou moeten werken. Ik ga daarvoor eerst verder met de instructies omtrent VLAN 4 volgens [Ubiquiti & IPTV] Ervaringen & Discussie en https://coolhva.github.io...ty-gateway-kpn-iptv-vlan/ want het wordt her en der genoemd, maar het staat niet in een A-Z instructie, dus ik probeer het aan elkaar te rijmen.


Jouw overige instructies zijn voor dan mij weer te moeilijk te volgen. Als IPTV werkt zal ik kijken naar VLAN 20 voor een 192.168.2.0/24 thuisnetwerk. Wat is daar het voordeel van? Of is het noodzaak en kan PiHole niet in de huidige 192.168.1.0/24 range?
Volgens mij haal ik nu IP-adressen van de USG en LAN IP-ranges (subnetten?) door elkaar? Excuus voor mijn gestuntel, maar de hulp wordt gewaardeerd

Edit: IPTV ook aan de gang!. Oorzaak was het kpn.sh script dat ik zelf ff moest starten en een verkeerde eigenaar had. Maar dat hoort in het IPTV topic, dus ik verhuis daar heen. Bedankt voor alle hulp hier.

[c-nan]

c-nan schreef op dinsdag 16 november 2021 @ 22:49:
Ik probeer een Site-to-Site VPN toe te voegen en krijg het volgende:

[...]


Een paar uur wachten maakt geen verschil. Ik kan de entry dus niet toevoegen omdat er al een commit bezig zou zijn?

Opgelost door /etc/ipsec.conf te legen, daarna kon ik een nieuwe config aanmaken via de GUI.

[marvine]

Iemand enig idee hoe je WAN details zoals subnet,gateway op een UDM kan vinden ?
Al verschillende zaken geprobeerd maar hij komt maar niet tevoorschijn ook niet via SSH.

[Behoorlijk Leek]

marvine schreef op woensdag 17 november 2021 @ 16:15:
Iemand enig idee hoe je WAN details zoals subnet,gateway op een UDM kan vinden ?
Al verschillende zaken geprobeerd maar hij komt maar niet tevoorschijn ook niet via SSH.

New settings-devices-udm-overview-wan
Daar staat de meeste info

[marvine]

Behoorlijk Leek schreef op woensdag 17 november 2021 @ 16:37:
[...]

New settings-devices-udm-overview-wan
Daar staat de meeste info

DIe had ik al gevonden natuurlijk maar zie hier geen WAN gateway of subnetmask staan.

[nero355]

Cyberpope schreef op dinsdag 16 november 2021 @ 10:49:
Kun je in die dreamrouter ook gewoon KPN configureren inclusief TV?

Voor de duurdere modellen zijn er enkele dingen gaande :
- Hacks/DIY Scripts die het een en ander mogelijk maken.
- Ubiquiti schijnt begonnen te zijn met het toevoegen aan IGMP features in de Kernel.

Beide dingen komen op hetzelfde neer, maar wanneer dat naar die cheapo Dream Router komt : Geen idee!

Draai nu een asus router met daarop alles ingesteld.
Krijgt nog nieuwe firmware updates, maar ding is al 8 jaar oud, dus komt ook een keer een eind aan.
Heb al accespoints hangen, dus zit al in ecosysteem.

Voor die ASUS Router kan je vast wel een alternatieve firmware vinden als het eenmaal zover is dus ik zou het lekker zo laten!

Dacuuu schreef op dinsdag 16 november 2021 @ 11:18:
Dit inderdaad. Misschien is het ook mogelijk om de isp modem/router te houden voor iptv, en dat modem dmz'tten naar je ubiquiti systeem?

Dat kan altijd, maar of je dat wilt moet je zelf bepalen...

pinda powerrr schreef op dinsdag 16 november 2021 @ 11:26:
Voor mij meer de vraag, is de Dream router een opvolger voor een USG? Of laat ik het anders zeggen, een beter alternatief.

Wat mij betreft schiet je er weinig mee op, want de features in de UniFi Controller blijven hetzelfde...

USG doet het prima met een Gbit glas verbinding, maar blijft toch "oud" ding.

Zolang die het doet en af en toe een patch krijgt vind ik het helemaal prima!

Komt tijd, komt Grolsch pfSense DIY Router

IntToStr schreef op dinsdag 16 november 2021 @ 14:08:
Ik kijk toevallig in dit topic en zie dat de Dream Router in early access is verschenen. Op dit moment gebruik ik een edge router x met daarachter een switch en meerdere access points in het huis. De controller software draai ik op een nas.

Klopt het dat de Dream Router de edge router + de controller op de nas vervangt en dat de router dan dus ook in de controller te beheren is?

Dat klopt, maar IMHO doe je dan wel een downgrade...

ChUcKiE schreef op dinsdag 16 november 2021 @ 14:24:
Ik zal zelf ook nog even wat onderzoek doen, maar misschien weet iemand het hier zo te vertellen. Werkt Internet via de glasvezel icm Canal Digital TV goed via de Dream machine (Pro SE)?
Met de USG kreeg ik het niet zo 1 2 3 voor elkaar en die heb ik er nu tussenuit.

Zonder de exacte ISP en details van de setup kunnen we je niet helpen hé!

RobertMe schreef op dinsdag 16 november 2021 @ 22:08:
85Mbit/s met alleen hardware offloading uit lijkt mij zeeer laag. IDS/IPS is heavy shit en zwaar CPU intensief. Aangezien die 85Mbit/s doet met IDS/IPS aan lijkt het mij dan ook zwaar onrealistisch dat die niet hoger gaat met IDS/IPS uit, en hardware offloading ook uit. Immers is de CPU belasting vele malen lager als je IDS/IPS uit hebt staan, dus meer ruimte om gewoon lekker te routeren, NATten en firewallen.

Volgens mij deed de USG op de CPU iets van 200 a 300 Mbps

Is vast wel te vinden in de vorige delen van deze Topic reeks!

Roy Batty schreef op dinsdag 16 november 2021 @ 22:19:
inderdaad, en waarom zou je hardware offloading uit zetten ? Behalve dan omdat het moet (of vanzelf gaat) als IDS/IPS aan gaat.

Is er een reden om die hardware offloading uit te zetten als het niet hoeft ?

Soms is het gewoon fijn om bepaalde opties te hebben ook al zal je ze niet gebruiken of hooguit een keertje om wat te testen of zo

De UniFi Controller is al zo vreselijk beperkt op het gebied van Router Settings dus wees blij dat het erin zit!

pinda powerrr schreef op dinsdag 16 november 2021 @ 22:23:
Voor degenen die meer informatie zoeken op Reddit:
https://www.reddit.com/r/...roid_app&utm_source=share

offtopic:
Altijd fijn om te weten dat iemand het via een of andere Android app heeft geshared : ?utm_medium=android_app&utm_source=share

Tracking...

Tracking EVERYWHERE!!!



Doe mij maar https://old.reddit.com/r/Ubiquiti

Tranzy schreef op dinsdag 16 november 2021 @ 23:03:
Had een email gestuurd naar Ubiquity.

I have a question regarding the Dream Router.


[...]


Hun antwoord


[...]


Ik heb een reply gestuurd dat mijn vraag niet helemaal goed begrepen is.

Ik wilde weten of de Router de functies van de USG en Cloud key ingebouwd hebben waardoor ik deze niet meer nodig heb.

Fijn om te weten dat Ubiquiti ook gewoon de zoveelste Big Corp is met een Support Department die helemaal DERP is op het gebied van fatsoenlijke antwoorden geven!

Steam/Rockstar Games/Ubiquiti/enz. = Allemaal één pot nat!

Tomas_ schreef op woensdag 17 november 2021 @ 10:31:
Het lijkt mij alleen een nadeel dat je storage alleen op sd kaart kunt toevoegen.
Ik heb nu een CK2 met 1 TB, als je dat wilt vervangen is de vraag hoe lang een sd het volhoud met protect.

Je zou zo'n model kunnen overwegen : pricewatch: Sandisk High Endurance
Zijn traag/wat trager dan normale modellen, maar wel voor zulke dingen bedoeld

trabuca schreef op woensdag 17 november 2021 @ 12:26:
Hierin ben ik met mijn kennis al lost na je eerste zin. NAT achter NAT?

Een NAT Router die verbinding maakt met het Internet via een andere NAT Router

Ik ben niet bekend met VLANs en aparte IP-ranges voor een thuisnetwerk. Ik heb enkel ISP routers gewend die het thuisnetwerk in dezelfde IP-range hebben als dat het IP-adres van de router is. Ik moet nog een hoop leren.

Dat kan ook met de UniFi modellen, maar dat moet je eigenlijk niet willen, echter zou je wel de rest van je apparaten kunnen omnummeren naar de standaard IP reeks van UniFi in VLAN 1

De 2e zin heeft wel succes gebracht, waarvoor dank! Ik heb op een Raspberry PI unifi controller en Pihole geïnstalleerd. De RPI verbonden op de switch met alleen de USG en UAP's. Alles factory resetted en geadopteerd. Alles is nu goed werkend in de controller, maar wel op een andere IP-rang dan mijn thuisnetwerk zat, namelijk 192.168.1.X ipv 192.168.2.X.

NICE!!!

Hierna heb ik Coolhva's instructie gevolgd (https://coolhva.github.io...eway-kpn-ftth-iptv-ipv6/0) en nu heb ik internet werkend!

Progress!!!

IPTV werkt nog niet, ook al vermeld de instructie dat het zou moeten werken. Ik ga daarvoor eerst verder met de instructies omtrent VLAN 4 volgens [Ubiquiti & IPTV] Ervaringen & Discussie en https://coolhva.github.io...ty-gateway-kpn-iptv-vlan/ want het wordt her en der genoemd, maar het staat niet in een A-Z instructie, dus ik probeer het aan elkaar te rijmen.

Komt wel goed en zo niet dan gewoon goed je vraag/vragen stellen in het IPTV Topic

Jouw overige instructies zijn voor dan mij weer te moeilijk te volgen.

Dan wordt het tijd om een heleboel bij te leren!

Als IPTV werkt zal ik kijken naar VLAN 20 voor een 192.168.2.0/24 thuisnetwerk.
Wat is daar het voordeel van?

Dat je dus de standaard UniFi IP range niet hoeft te slopen in VLAN 1 en je eigen IP reeks gebruikt, zoals je dat tot nu toe deed zonder de boel te verstoren

Daarnaast zijn al je UniFi apparaten ook niet standaard bereikbaar vanaf je Clients, tenzij jij dat toelaat!

Of is het noodzaak en kan PiHole niet in de huidige 192.168.1.0/24 range?

Pi-Hole kan alles dus dat maakt verder niet uit!

Volgens mij haal ik nu IP-adressen van de USG en LAN IP-ranges (subnetten?) door elkaar?

Je haalt niks door elkaar, want je maakt straks een aparte VLAN aan om juist dingen van elkaar te scheiden

Excuus voor mijn gestuntel, maar de hulp wordt gewaardeerd

Als ik heel eerlijk ben denk ik dat je waarschijnlijk van iemand heel klakkeloos het advies hebt gekregen om UniFi te kopen, terwijl je waarschijnlijk beter af was geweest met apparatuur die wat meer op consumenten is gericht, maar goed...

"What's done is done!"

[ChUcKiE]

nero355 schreef op woensdag 17 november 2021 @ 17:09:
[...]

Zonder de exacte ISP en details van de setup kunnen we je niet helpen hé!


[...]

Dit staat er bij Tweak:

• De verbinding gebruikt VLAN 4 en 34.
• Router moet DHCP-requests doen op VLAN 4 voor TV en 34 voor internet (802.1q)
• Default route moet over VLAN 34 gaan.
• Er moet NAT worden toegepast voor verkeer over VLAN 4.
• Er moeten static routes worden gezet naar 185.24.175.0/24 en 185.41.48.0/24 over het op VLAN 4 verkregen gateway IP. Deze routes worden ook via DHCP optie 121 doorgegeven.
• De settopboxen hangen in het normale LAN.
• IGMP snooping of proxying moet worden toegepast op VLAN 4.
• SIP-server: sip.tweakphone.nl, gebruikersnaam lijkt op ‘31361234567’.

[Sa1]

Ik ben een beetje gek aan het worden denk. Ik wil iets vrij simpels maar kan het niet vinden. Ik heb een synology. Die draait mijn interne dns zone. Daar heb ik allemaal ip's en hostnames in staan van interne diensten die ik draai (unifi.domain / spotweb.domain / grafana.domain / ha.domain enz). Nu krijgen mijn clients een dhcp adres van mijn USG en krijgen ook een DNS suffix meegestuurd. Wat ik zou willen is dat de hostnames dynamisch in mijn DNS omgeving komen.

Vroeger noemde we dit Dynamic DNS updates. Als ik daar nu op zoek zie en kan ik alleen online diensten vinden. Alles irt dynamic dns updates en USG gaat over externe diensten. Ik wil gewoon mijn hostnames in mijn synology DNS server hebben.

Zie ik nu gewoon iets over het hoofd?

In de USG zelf heb ik bij WAN dns de DNS van cloudflare, in de veronderstelling zijnde dat aangezien het gaat om de WAN, dit niets met de interne kant te maken heeft. Bij LAN kan ik echter niets van DNS invullen.

In de controller kan ik hier ook niets over vinden wat hier aan gerelateerd is. De DNS server die hier staat is de juiste, maar dat is de DNS server die aan de clients gegeven wordt, en dat staat er imo los van.

Dus, hoe stel je dat in bij USG / Unifi of uberhaupt niet?

[nero355]

ChUcKiE schreef op woensdag 17 november 2021 @ 19:49:
Dit staat er bij Tweak:

• De verbinding gebruikt VLAN 4 en 34.
• Router moet DHCP-requests doen op VLAN 4 voor TV en 34 voor internet (802.1q)
• Default route moet over VLAN 34 gaan.
• Er moet NAT worden toegepast voor verkeer over VLAN 4.
• Er moeten static routes worden gezet naar 185.24.175.0/24 en 185.41.48.0/24 over het op VLAN 4 verkregen gateway IP. Deze routes worden ook via DHCP optie 121 doorgegeven.
• De settopboxen hangen in het normale LAN.
• IGMP snooping of proxying moet worden toegepast op VLAN 4.
• SIP-server: sip.tweakphone.nl, gebruikersnaam lijkt op ‘31361234567’.

Lijkt verdacht veel op de KPN IPTV Setup dus neem eens een kijkje in het IPTV Topic

Sa1 schreef op woensdag 17 november 2021 @ 21:18:
Ik ben een beetje gek aan het worden denk. Ik wil iets vrij simpels maar kan het niet vinden. Ik heb een synology. Die draait mijn interne dns zone. Daar heb ik allemaal ip's en hostnames in staan van interne diensten die ik draai (unifi.domain / spotweb.domain / grafana.domain / ha.domain enz). Nu krijgen mijn clients een dhcp adres van mijn USG en krijgen ook een DNS suffix meegestuurd. Wat ik zou willen is dat de hostnames dynamisch in mijn DNS omgeving komen.

Vroeger noemde we dit Dynamic DNS updates. Als ik daar nu op zoek zie en kan ik alleen online diensten vinden. Alles irt dynamic dns updates en USG gaat over externe diensten. Ik wil gewoon mijn hostnames in mijn synology DNS server hebben.

Zie ik nu gewoon iets over het hoofd?

In de USG zelf heb ik bij WAN dns de DNS van cloudflare, in de veronderstelling zijnde dat aangezien het gaat om de WAN, dit niets met de interne kant te maken heeft. Bij LAN kan ik echter niets van DNS invullen.

In de controller kan ik hier ook niets over vinden wat hier aan gerelateerd is. De DNS server die hier staat is de juiste, maar dat is de DNS server die aan de clients gegeven wordt, en dat staat er imo los van.

Dus, hoe stel je dat in bij USG / Unifi of uberhaupt niet?

Je moet DNSmasq op je NAS de DNSmasq van de Router laten raadplegen, want de Hostnames worden bij de USG geregistreerd en in /etc/hosts weggeschreven!

Zeg maar dit : https://b2discourse.pi-ho...67b7a9e984154702d24b8.png

Maar dan op jouw NAS

[Sa1]

nero355 schreef op woensdag 17 november 2021 @ 23:26:
[...]

Lijkt verdacht veel op de KPN IPTV Setup dus neem eens een kijkje in het IPTV Topic


[...]

Je moet DNSmasq op je NAS de DNSmasq van de Router laten raadplegen, want de Hostnames worden bij de USG geregistreerd en in /etc/hosts weggeschreven!

Zeg maar dit : https://b2discourse.pi-ho...67b7a9e984154702d24b8.png

Maar dan op jouw NAS

Deze snap ik echt niet. Wat jij in je foto aangeeft is conditional forwarding, dus het doorsturen van domainen onder een bepaalde voorwaarde door een andere DNS server laten resolven. Dat is niet waar ik naar op zoek ben. Jouw foto, genomen van een pihole, kan ik dus niet plaatsen. Wellicht dat je wat meer toelichting hierop kunt geven?

Had inderdaad gezien dat in de /etc/hosts de hostnames worden weggeschreven, maar hoe ik die in mijn DNS server krijg, dat is mij echt niet duidelijk. De relatie met de tool DNSmasq kan ik ook niet direct plaatsen, dit is een dns caching tool, die wellicht idd draait op de USG? Is dat wat je bedoelt?

[geenwindows]

nero355 schreef op woensdag 17 november 2021 @ 17:09:
[...]

Volgens mij deed de USG op de CPU iets van 200 a 300 Mbps

Is vast wel te vinden in de vorige delen van deze Topic reeks!

[...]

dat is de USG Pro4, die haalt de 350Mbit met hardware offloading uit (IPS/IDS actief)
hoewel een speedtest richting de 450Mbit kon gaan was een daadwerkelijke downloads (o.a. met Steam en SABnzbd) zo rond de 350Mbit...

[ed1703]

Sa1 schreef op donderdag 18 november 2021 @ 08:41:
[...]
Deze snap ik echt niet. Wat jij in je foto aangeeft is conditional forwarding, dus het doorsturen van domainen onder een bepaalde voorwaarde door een andere DNS server laten resolven. Dat is niet waar ik naar op zoek ben. Jouw foto, genomen van een pihole, kan ik dus niet plaatsen. Wellicht dat je wat meer toelichting hierop kunt geven?

Had inderdaad gezien dat in de /etc/hosts de hostnames worden weggeschreven, maar hoe ik die in mijn DNS server krijg, dat is mij echt niet duidelijk. De relatie met de tool DNSmasq kan ik ook niet direct plaatsen, dit is een dns caching tool, die wellicht idd draait op de USG? Is dat wat je bedoelt?

Dat is inderdaad wat hij bedoelt.
Bij elke DHCP-aanvraag zet de USG de dhcp-client in /etc/hosts, deze geeft via een bash/perl-script de dnsmasq-daemon een schop en deze zal dan ook /etc/hosts opnieuw inlezen, zodat hij via dns opvraagbaar is.
In de DHCP-server config staat een statement dat bij elke DHCP-aanvraag van een client het bash/perl-script moet worden aangeroepen.

code:

# generated by /opt/vyatta/sbin/dhcpd-config.pl

on commit {
        set ClientName = pick-first-value(option fqdn.hostname, concat(option host-name, ".", config-option domain-name), option host-name);    set ClientIp = binary-to-ascii(10, 8, ".", le
ased-address);
        set ClientMac = binary-to-ascii(16, 8, ":", substring(hardware, 1, 6));
        set ClientDomain = pick-first-value(config-option domain-name, "..YYZ!");
        execute("/opt/vyatta/sbin/on-dhcp-event.sh", "commit", ClientName, ClientIp, ClientMac, ClientDomain, "enable", "disable");
}

on release {
        set ClientName = pick-first-value(option fqdn.hostname, option host-name);
        set ClientIp = binary-to-ascii(10, 8, ".",leased-address);
        set ClientMac = binary-to-ascii(16, 8, ":",substring(hardware, 1, 6));
        set ClientDomain = pick-first-value(config-option domain-name, "..YYZ!");
        execute("/opt/vyatta/sbin/on-dhcp-event.sh", "release", ClientName, ClientIp, ClientMac, ClientDomain, "enable", "disable");
}

on expiry {
        set ClientName = pick-first-value(option fqdn.hostname, option host-name);
        set ClientIp = binary-to-ascii(10, 8, ".",leased-address);
        set ClientMac = binary-to-ascii(16, 8, ":",substring(hardware, 1, 6));
        set ClientDomain = pick-first-value(config-option domain-name, "..YYZ!");
        execute("/opt/vyatta/sbin/on-dhcp-event.sh", "release", ClientName, ClientIp, ClientMac, ClientDomain, "enable", "disable");
}

if [ $changes -gt 0 ]; then
  echo Success
  pid=`cat /var/run/dnsmasq/dnsmasq.pid`
  if [ -n "$pid" ]; then
     sudo kill -SIGHUP $pid
  fi

[ Voor 42% gewijzigd door ed1703 op 18-11-2021 09:27 ]

[Sa1]

ed1703 schreef op donderdag 18 november 2021 @ 09:20:
[...]

Dat is inderdaad wat hij bedoelt.
Bij elke DHCP-aanvraag zet de USG de dhcp-client in /etc/hosts, deze geeft via een bash/perl-script de dnsmasq-daemon een schop en deze zal dan ook /etc/hosts opnieuw inlezen, zodat hij via dns opvraagbaar is.
In de DHCP-server config staat een statement dat bij elke DHCP-aanvraag van een client het bash/perl-script moet worden aangeroepen.

code:

# generated by /opt/vyatta/sbin/dhcpd-config.pl

on commit {
        set ClientName = pick-first-value(option fqdn.hostname, concat(option host-name, ".", config-option domain-name), option host-name);    set ClientIp = binary-to-ascii(10, 8, ".", le
ased-address);
        set ClientMac = binary-to-ascii(16, 8, ":", substring(hardware, 1, 6));
        set ClientDomain = pick-first-value(config-option domain-name, "..YYZ!");
        execute("/opt/vyatta/sbin/on-dhcp-event.sh", "commit", ClientName, ClientIp, ClientMac, ClientDomain, "enable", "disable");
}

on release {
        set ClientName = pick-first-value(option fqdn.hostname, option host-name);
        set ClientIp = binary-to-ascii(10, 8, ".",leased-address);
        set ClientMac = binary-to-ascii(16, 8, ":",substring(hardware, 1, 6));
        set ClientDomain = pick-first-value(config-option domain-name, "..YYZ!");
        execute("/opt/vyatta/sbin/on-dhcp-event.sh", "release", ClientName, ClientIp, ClientMac, ClientDomain, "enable", "disable");
}

on expiry {
        set ClientName = pick-first-value(option fqdn.hostname, option host-name);
        set ClientIp = binary-to-ascii(10, 8, ".",leased-address);
        set ClientMac = binary-to-ascii(16, 8, ":",substring(hardware, 1, 6));
        set ClientDomain = pick-first-value(config-option domain-name, "..YYZ!");
        execute("/opt/vyatta/sbin/on-dhcp-event.sh", "release", ClientName, ClientIp, ClientMac, ClientDomain, "enable", "disable");
}

if [ $changes -gt 0 ]; then
  echo Success
  pid=`cat /var/run/dnsmasq/dnsmasq.pid`
  if [ -n "$pid" ]; then
     sudo kill -SIGHUP $pid
  fi

jemig wat nodeloos complex. En dit moet je dan op een of andere wijze laten praten met de DNS server op mijn synology. Vroeger was dat gewoon een vinkje in Server 2000 maar goed.. lekker laten gaan dus.. te veel hobby werk als je het mij vraagt.

[ed1703]

Sa1 schreef op donderdag 18 november 2021 @ 10:15:
[...]
jemig wat nodeloos complex. En dit moet je dan op een of andere wijze laten praten met de DNS server op mijn synology. Vroeger was dat gewoon een vinkje in Server 2000 maar goed.. lekker laten gaan dus.. te veel hobby werk als je het mij vraagt.

Niet echt, dit is builtin vanuit de firmware van de USG. Enige wat je hoeft te doen is een DNS-verwijzing te maken op je NAS naar de USG. Verder werkt dit allemaal out-of-the-box.

Je vroeg hoe dat met /etc/hosts werkte, dus vandaar mijn uitgebreide antwoord. Verder hoef je met die scripts niets te doen.

[ Voor 10% gewijzigd door ed1703 op 18-11-2021 10:35 ]

[Hann1BaL]

Op dit moment gebruik ik 3x UAP-AC APs met een controller op een VM. De router is gewoon het Ziggo modem. Onstabiel.

Nu overweeg ik een UDM (niet pro) te kopen zodat ik ook de security features kan gebruiken en meer controle heb. Deze kan ik de woonkamer staan, want ik heb 2x UTP liggen, dus kan de UDM bij de TV staan, 1 kabel in WAN poort, 1 kabel terug naar de meterkast met switch voor alle andere kamers en APs. En switch bij de TV voor de devices daar.

Dan kan ik in de woonkamer het AP weghalen.

Maar: Ik overweeg sterk om naar KPN glas te gaan en lees problemen met IPTV via de Dream machine.
Klopt het dat KPN IPTV niet aangesloten kan worden op de switch van de UDM?


Reden van eventuele wijziging is dat mijn Ziggo modem continue omvalt (verbinding blijft wel overeind, maar webinterface niet beschikbaar en DHCP stopt er mee.) Nu kan ik bij Ziggo wel een nieuw modem gaan vragen, maar de nieuwe modems staan niet toe om zelf de DNS servers te wijzigen (bij mij thuis 2x PiHole) en dat betekent dat je dus alsnog een andere DHCP server moet inrichten (ja, Pihole server kan dat ook doen.) Dan lijkt de UDM een mooie all in 1 oplossing, maar ik moet dan natuurlijk niet tegen IPTV problemen aanlopen als ik naar glasvezel ga, wat ik wel wil gaan doen.

[prettynifty]

Ik heb een vraag over mijn netwerk.
Op dit moment heb ik ;
USG => switch (8p-60w-poe) => 2x AP AC Lite / Cloud key / 5p flex mini.

Nu ben ik wat aan het opruimen en heb wat netgear (5p en 8p) switches eruit gehaald en zit er een Unifi 24p switch tussen de USG en de 8p-60w-poe.

Nu kreeg ik het fantastische idee om van de 24p naar de 8p 2 of 3 extra patchkabels te "trekken" om dan de AP's en de mini een eigen lijntje te geven naar de 24p.

Heeft dit zin?
Kan het en hoe heet dat?

Ik heb ergens iets gelezen over tv bij KPN en Vlans, maar ik weet niet of dat is wat ik zoek.
Ik hoop ook dat het een beetje duidelijk is en dat iemand me op weg kan helpen.

[RobertMe]

Hann1BaL schreef op donderdag 18 november 2021 @ 11:23:
Op dit moment gebruik ik 3x UAP-AC APs met een controller op een VM. De router is gewoon het Ziggo modem. Onstabiel.

Nu overweeg ik een UDM (niet pro) te kopen zodat ik ook de security features kan gebruiken en meer controle heb. Deze kan ik de woonkamer staan, want ik heb 2x UTP liggen, dus kan de UDM bij de TV staan, 1 kabel in WAN poort, 1 kabel terug naar de meterkast met switch voor alle andere kamers en APs. En switch bij de TV voor de devices daar.

Dan kan ik in de woonkamer het AP weghalen.

Maar: Ik overweeg sterk om naar KPN glas te gaan en lees problemen met IPTV via de Dream machine.
Klopt het dat KPN IPTV niet aangesloten kan worden op de switch van de UDM?


Reden van eventuele wijziging is dat mijn Ziggo modem continue omvalt (verbinding blijft wel overeind, maar webinterface niet beschikbaar en DHCP stopt er mee.) Nu kan ik bij Ziggo wel een nieuw modem gaan vragen, maar de nieuwe modems staan niet toe om zelf de DNS servers te wijzigen (bij mij thuis 2x PiHole) en dat betekent dat je dus alsnog een andere DHCP server moet inrichten (ja, Pihole server kan dat ook doen.) Dan lijkt de UDM een mooie all in 1 oplossing, maar ik moet dan natuurlijk niet tegen IPTV problemen aanlopen als ik naar glasvezel ga, wat ik wel wil gaan doen.

Geen antwoord op jouw vraag, maar als je modem onstabiel is kun je volgens jouw eigen bewoording een nieuw modem aanvragen dat wel stabiel zou zijn. Vervolgens plaats je zelf een UDM, die je zoals ik het lees toch al wilt kopen en alleen nog een reden er voor zoekt , laat je het Ziggo modem in bridge zetten en ben je ook klaar

[RobertMe]

prettynifty schreef op donderdag 18 november 2021 @ 11:45:
Ik heb een vraag over mijn netwerk.
Op dit moment heb ik ;
USG => switch (8p-60w-poe) => 2x AP AC Lite / Cloud key / 5p flex mini.

Nu ben ik wat aan het opruimen en heb wat netgear (5p en 8p) switches eruit gehaald en zit er een Unifi 24p switch tussen de USG en de 8p-60w-poe.

Nu kreeg ik het fantastische idee om van de 24p naar de 8p 2 of 3 extra patchkabels te "trekken" om dan de AP's en de mini een eigen lijntje te geven naar de 24p.

Heeft dit zin?
Kan het en hoe heet dat?

Ik heb ergens iets gelezen over tv bij KPN en Vlans, maar ik weet niet of dat is wat ik zoek.
Ik hoop ook dat het een beetje duidelijk is en dat iemand me op weg kan helpen.

Je kunt niet twee poorten dedicated aan elkaar knopen. Wat je wel kunt doen is een RJ45 koppelstukje tussen de kabels zetten en de switch er tussenuit halen. Uiteraard moet de USW 24 dan wel in PoE voorzien, en ik vermoed dat je het niet PoE model hebt?

Alternatief is gebruik maken van link aggregation (/LACP). Daarmee kun je meerdere poorten bundelen tot één poort. Maar ik weet niet of dat alleen met 2 poorten kan of ook met 3 of 4 zoals je aangeeft. Daarnaast behaal je met 2x 1Gbit/s in LACP nog steeds geen 2Gbit/s in snelheid. Maar worden individuele verbindingen verdeelt en altijd over dezelfde poort verstuurd. Dus met LACP wordt een file transfer tussen een PC & NAS niet magisch 2Gbit/s. Maar twee personen / individuele connecties kunnen dan wel een file transfer met 1Gbit/s naar de NAS doen. Omdat dan de verbindingen over de twee poorten verdeelt kunnen worden (pietje gaat over poort 1 en klaasje over poort 2)

[Miki]

Hann1BaL schreef op donderdag 18 november 2021 @ 11:23:
Op dit moment gebruik ik 3x UAP-AC APs met een controller op een VM. De router is gewoon het Ziggo modem. Onstabiel.

Nu overweeg ik een UDM (niet pro) te kopen zodat ik ook de security features kan gebruiken en meer controle heb. Deze kan ik de woonkamer staan, want ik heb 2x UTP liggen, dus kan de UDM bij de TV staan, 1 kabel in WAN poort, 1 kabel terug naar de meterkast met switch voor alle andere kamers en APs. En switch bij de TV voor de devices daar.

Dan kan ik in de woonkamer het AP weghalen.

Maar: Ik overweeg sterk om naar KPN glas te gaan en lees problemen met IPTV via de Dream machine.
Klopt het dat KPN IPTV niet aangesloten kan worden op de switch van de UDM?


Reden van eventuele wijziging is dat mijn Ziggo modem continue omvalt (verbinding blijft wel overeind, maar webinterface niet beschikbaar en DHCP stopt er mee.) Nu kan ik bij Ziggo wel een nieuw modem gaan vragen, maar de nieuwe modems staan niet toe om zelf de DNS servers te wijzigen (bij mij thuis 2x PiHole) en dat betekent dat je dus alsnog een andere DHCP server moet inrichten (ja, Pihole server kan dat ook doen.) Dan lijkt de UDM een mooie all in 1 oplossing, maar ik moet dan natuurlijk niet tegen IPTV problemen aanlopen als ik naar glasvezel ga, wat ik wel wil gaan doen.

KPN IPTV wordt niet out of the box ondersteund maar er zijn wel mogelijkheden zowel software matig als hardware matig door een switch voor je UDM te zetten waarmee je het internet en IPTV verkeer scheid met VLANS.

Je kunt ook uitwijken naar een EdgeRouter die helaas niet mooi integreert in het Ubiquiti netwerk maar wel prima ondersteuning heeft voor internet en IPTV. Op het KPN Forum vind je kant en klare configuratie bestanden die je zo kunt inladen.

En mocht je alleen maar naar Nederlandse zenders kijken dan is internet Only met een NLZIET abonnement een heel geschikt alternatief voor KPN IPTV.

[prettynifty]

RobertMe schreef op donderdag 18 november 2021 @ 12:09:
[...]
Uiteraard moet de USW 24 dan wel in PoE voorzien, en ik vermoed dat je het niet PoE model hebt?

Nee, helaas heb ik maar een gewone 24p switch.


Ik probeer elke AP en de flex mini een eigen lijntje te geven naar de 24p switch (rest van het netwerk) ipv dat alle data over het kabeltje moet tussen de 8p-60w-poe en de 24p.

Maar dat (b)lijkt dus niet mogelijk.

[Sa1]

ed1703 schreef op donderdag 18 november 2021 @ 10:25:
[...]

Niet echt, dit is builtin vanuit de firmware van de USG. Enige wat je hoeft te doen is een DNS-verwijzing te maken op je NAS naar de USG. Verder werkt dit allemaal out-of-the-box.

Je vroeg hoe dat met /etc/hosts werkte, dus vandaar mijn uitgebreide antwoord. Verder hoef je met die scripts niets te doen.

Dus wat jij zegt; vul in de WAN settings de DNS van de synology in, en dan komen er automatisch de hostnames / rev en forward dns in te staan?

[blaaspijp]

prettynifty schreef op donderdag 18 november 2021 @ 12:37:
[...]


Nee, helaas heb ik maar een gewone 24p switch.

Maar dat (b)lijkt dus niet mogelijk.

Wat is het uiteindelijke doel van je vraag.
En wat is het gebruik van je netwerk?

[ed1703]

Sa1 schreef op donderdag 18 november 2021 @ 12:59:
[...]
Dus wat jij zegt; vul in de WAN settings de DNS van de synology in, en dan komen er automatisch de hostnames / rev en forward dns in te staan?

Nee, dat zeg ik niet: @nero355 heeft je al eerder dit antwoord gegeven:

nero355 schreef op woensdag 17 november 2021 @ 23:26:

Je moet DNSmasq op je NAS de DNSmasq van de Router laten raadplegen, want de Hostnames worden bij de USG geregistreerd en in /etc/hosts weggeschreven!

Zeg maar dit : https://b2discourse.pi-ho...67b7a9e984154702d24b8.png

Maar dan op jouw NAS

Je clients die een DHCP-adres van je USG krijgen, worden namelijk FQDN weggeschreven in /etc/hosts.
Gebruik je op zowel je NAS als de USG dezelfde domeinen in je DNS-server, dan ben ik bang dat deze oplossing niet gaat werken.

[Sa1]

ed1703 schreef op donderdag 18 november 2021 @ 14:52:
[...]

Nee, dat zeg ik niet: @nero355 heeft je al eerder dit antwoord gegeven:


[...]


Je clients die een DHCP-adres van je USG krijgen, worden namelijk FQDN weggeschreven in /etc/hosts.
Gebruik je op zowel je NAS als de USG dezelfde domeinen in je DNS-server, dan ben ik bang dat deze oplossing niet gaat werken.

Maar nogmaals, DNS conditional forwarding is geen oplossing hiervoor. Dat is daar niet voor bedoelt. Het registeren van DNS records vanuit een DHCP server is iets heel normaals volgens mij, maar kennelijk niet haalbaar met USG. DNSMasq is een in mijn beleving gewoon een DNS caching server en staat ook los van de wens om DHCP clients dynamisch hun adressen te laten registeren in een externe DNS server.

Ik begrijp echter dat dit een ingewikkelde wens is en niet op te lossen valt met Unifi. Dank allen voor de antwoorden ik kan hier niet verder mee, maar het is me wel duidelijk, nogmaals dank!

[Hann1BaL]

Miki schreef op donderdag 18 november 2021 @ 12:10:
[...]

KPN IPTV wordt niet out of the box ondersteund maar er zijn wel mogelijkheden zowel software matig als hardware matig door een switch voor je UDM te zetten waarmee je het internet en IPTV verkeer scheid met VLANS.

Je kunt ook uitwijken naar een EdgeRouter die helaas niet mooi integreert in het Ubiquiti netwerk maar wel prima ondersteuning heeft voor internet en IPTV. Op het KPN Forum vind je kant en klare configuratie bestanden die je zo kunt inladen.

En mocht je alleen maar naar Nederlandse zenders kijken dan is internet Only met een NLZIET abonnement een heel geschikt alternatief voor KPN IPTV.

Maar even anders gedacht, kan ik de UDM niet als DMZ instellen op een KPN modem/router?

Plaatjes zeggen meer dan 1000 woorden:
Huidige netwerk: Linker vierkant is woonkamer, Rechter vierkant kantoor ruimte. Er zijn nog wel meerdere devices, maar dat zijn gewoon verbinding per directe kabel of wifi, dus voor ontwerp niet van belang.

NU:


Zou dit werken met KPN? Zodat ik zelf niet moeilijk hoef te doen met het werkend krijgen in UDM? En de UDM als DMZ instel?:

[Miki]

Hann1BaL schreef op donderdag 18 november 2021 @ 15:23:
[...]


Maar even anders gedacht, kan ik de UDM niet als DMZ instellen op een KPN modem/router?

Plaatjes zeggen meer dan 1000 woorden:
Huidige netwerk: Linker vierkant is woonkamer, Rechter vierkant kantoor ruimte. Er zijn nog wel meerdere devices, maar dat zijn gewoon verbinding per directe kabel of wifi, dus voor ontwerp niet van belang.

NU:
[Afbeelding]

Zou dit werken met KPN? Zodat ik zelf niet moeilijk hoef te doen met het werkend krijgen in UDM? En de UDM als DMZ instel?:
[Afbeelding]

Je kunt een KPN modem niet in bridge mode zetten zoals bij Ziggo wel kan en DMZ zou ik je zeer afraden ivm dubbele NAT. Daar krijg je vroeg of laat een hoop gezeik mee.
De opties die ik je heb meegeven zijn het meest kansrijk als je zou overstappen naar KPN.

[nero355]

Hann1BaL schreef op donderdag 18 november 2021 @ 11:23:
Maar: Ik overweeg sterk om naar KPN glas te gaan en lees problemen met IPTV via de Dream machine.
Klopt het dat KPN IPTV niet aangesloten kan worden op de switch van de UDM?

Als je een stukje omhoog had gescrolled dan had je het antwoord al gevonden : nero355 in "[Ubiquiti-Netwerkapparatuur] Ervaringen & Discussie - Deel 4"

Verder kan je via de Search in dit topic of het IPTV topic ook een link vinden naar de changes die door Ubiquiti zelf zijn gemaakt om het straks werkende te krijgen...

geenwindows schreef op donderdag 18 november 2021 @ 09:19:
dat is de USG Pro4, die haalt de 350Mbit met hardware offloading uit (IPS/IDS actief)
hoewel een speedtest richting de 450Mbit kon gaan was een daadwerkelijke downloads (o.a. met Steam en SABnzbd) zo rond de 350Mbit...

Ik zei niks over IDS/IPS en had het puur over NAT via de CPU laten lopen!

Sa1 schreef op donderdag 18 november 2021 @ 15:11:
Maar nogmaals, DNS conditional forwarding is geen oplossing hiervoor. Dat is daar niet voor bedoelt. Het registeren van DNS records vanuit een DHCP server is iets heel normaals volgens mij, maar kennelijk niet haalbaar met USG. DNSMasq is een in mijn beleving gewoon een DNS caching server en staat ook los van de wens om DHCP clients dynamisch hun adressen te laten registeren in een externe DNS server.

Ik begrijp echter dat dit een ingewikkelde wens is en niet op te lossen valt met Unifi. Dank allen voor de antwoorden ik kan hier niet verder mee, maar het is me wel duidelijk, nogmaals dank!

Het is toch echt gewoon wat je wilt :

Sa1 schreef op woensdag 17 november 2021 @ 21:18:
Ik heb een synology.
Die draait mijn interne dns zone.
Daar heb ik allemaal ip's en hostnames in staan van interne diensten die ik draai (unifi.domain / spotweb.domain / grafana.domain / ha.domain enz).

Nu krijgen mijn clients een dhcp adres van mijn USG en krijgen ook een DNS suffix meegestuurd.

Wat ik zou willen is dat de hostnames dynamisch in mijn DNS omgeving komen.
Ik wil gewoon mijn hostnames in mijn synology DNS server hebben.

Zie ik nu gewoon iets over het hoofd?

Dus, hoe stel je dat in bij USG / Unifi of uberhaupt niet?

Je moet dan de NAS vertellen dat die voor bepaalde domeinen de USG moet raadplegen en dan zou het gewoon moeten werken!

Maar ik besef me nu ook dat ik misschien eerst had moeten vragen wat je nou precies allemaal op die NAS draait dus mocht je nog steeds een oplossing willen zoek dat dan effe uit

[stpain]

Krijg 1 van deze dagen de dream router binnen heb nu 2 nanoHD ap’s in gebruik. Nu vraag ik me af ken ik de wifi6 op de router gebruiken in combibatie met wifi5 op de andere. Dus dat roaming en dergelijke werkt?

En zo ja, switched die dan automatisch naar wifi6 als die het ap van de router gebruikt of word enkel wifi5 gebruikt vanwege de nanohd aps

[mrdemc]

Sa1 schreef op donderdag 18 november 2021 @ 15:11:
[...]
Maar nogmaals, DNS conditional forwarding is geen oplossing hiervoor. Dat is daar niet voor bedoelt. Het registeren van DNS records vanuit een DHCP server is iets heel normaals volgens mij, maar kennelijk niet haalbaar met USG. DNSMasq is een in mijn beleving gewoon een DNS caching server en staat ook los van de wens om DHCP clients dynamisch hun adressen te laten registeren in een externe DNS server.

Ik begrijp echter dat dit een ingewikkelde wens is en niet op te lossen valt met Unifi. Dank allen voor de antwoorden ik kan hier niet verder mee, maar het is me wel duidelijk, nogmaals dank!

Je hebt gelijk, dat zijn twee verschillende dingen en de twee manieren hebben ook twee verschillende uitkomsten. Bij de een kun je het betreffende domein nog gebruiken en eventuele extra's instellen, bij de andere oplossing geef je het volledig uit handen.

Ik denk dat je wel wat hebt aan deze thread, volgens mij is dat gelijk aan wat jij wilt:
https://forum.vyos.io/t/h...to-update-dns-zone/6231/4

[jhijman]

stpain schreef op donderdag 18 november 2021 @ 17:09:
Krijg 1 van deze dagen de dream router binnen heb nu 2 nanoHD ap’s in gebruik. Nu vraag ik me af ken ik de wifi6 op de router gebruiken in combibatie met wifi5 op de andere. Dus dat roaming en dergelijke werkt?

En zo ja, switched die dan automatisch naar wifi6 als die het ap van de router gebruikt of word enkel wifi5 gebruikt vanwege de nanohd aps

Je moet je ap puur als losstaand ding zien. Dus als je verbind met je nano dan kan je max WiFi 5 aan en verbind je met de UDR dan kan je max wifi6 aan. Roamen gaat gewoon werken

[Polster]

Pepppie schreef op maandag 15 november 2021 @ 17:23:
[...]

@Polster kun je wellicht nog een keer helpen? Ik krijg poort 11 niet werkend met de SFP naar RJ45-module;

Instellingen van poort 11;
Port profile: LAN (default is ALL)
Operations: Switching
Link speed: 1Gbps FDX
Storm control: disabled

Hoe heb jij het wel werkend gekregen!

Ik heb hier niets mee gedaan, inpluggen en gaan. Zelfde settings als jij alleen link speed staat bij mij op auto-negotiate.
Ik weet niet meer helemaal wat je wilde bereiken maar ik verbind met deze poort mijn switch.

[Pepppie]

Polster schreef op donderdag 18 november 2021 @ 21:29:
[...]


Ik heb hier niets mee gedaan, inpluggen en gaan. Zelfde settings als jij alleen link speed staat bij mij op auto-negotiate.
Ik weet niet meer helemaal wat je wilde bereiken maar ik verbind met deze poort mijn switch.

Dank voor je reactie!

Ik heb de televisie er aan hangen, maar dat zou niet uit moeten maken. Hij doet het andere apparaten ook niet helaas..

[prettynifty]

blaaspijp schreef op donderdag 18 november 2021 @ 14:41:
[...]


Wat is het uiteindelijke doel van je vraag.
En wat is het gebruik van je netwerk?

Ik wil weten of ik mijn 8p-60w-poe met meerdere kabels aan mijn 24p gewone switch kan aansluiten en dan kan instellen dat mijn ap beneden, ap boven en flex mini (alle 3 poe gevoed door de 8p switch) een dedicated gigabit lijn hebben naar de 24p switch. in plaats van 1 kabel van de 8p switch naar de 24 p switch.

Gewoon omdat het kan, het netwerk word niet overdreven zwaar belast.
Het was meer een brainfart en het leek me een leuk projectje om wat te leren, maar als ik dan in de instellingen ga zitten kijken zie ik niets waarvan ik dan denk; Eureka dit is het.

[blaaspijp]

prettynifty schreef op donderdag 18 november 2021 @ 22:28:
[...]
Gewoon omdat het kan, het netwerk word niet overdreven zwaar belast.
Het was meer een brainfart en het leek me een leuk projectje om wat te leren, maar als ik dan in de instellingen ga zitten kijken zie ik niets waarvan ik dan denk; Eureka dit is het.

Check.
Ja het kan, maar echt nuttig .....
Dat hoeft ook niet.

[prettynifty]

blaaspijp schreef op donderdag 18 november 2021 @ 22:36:
[...]


Check.
Ja het kan, maar echt nuttig .....
Dat hoeft ook niet.

Maar hoe heet het dan?
Dan kan ik daarmee weer verder stoeien

[lolgast]

prettynifty schreef op donderdag 18 november 2021 @ 22:39:
[...]


Maar hoe heet het dan?
Dan kan ik daarmee weer verder stoeien

Link Aggregation
https://help.ui.com/hc/en...k-Aggregation-Groups-LAG-

[Sp33dFr34k]

Ik heb de UDR binnen, alles werkt maar ben nog eea aan het uitpluizen. Ik had voorheen in mijn Asus die tevens de DNS uitdeelt ingesteld via dnsmasq als domein1 dan redirect naar dit IP, als domein2 dan redirect naar een ander IP. Hoe doe ik dit nu in de UDR? Ik heb eea gevonden via Google, maar het lijkt allemaal outdated te zijn...

[Neyluzz]

Sp33dFr34k schreef op donderdag 18 november 2021 @ 22:47:
Ik heb de UDR binnen, alles werkt maar ben nog eea aan het uitpluizen. Ik had voorheen in mijn Asus die tevens de DNS uitdeelt ingesteld via dnsmasq als domein1 dan redirect naar dit IP, als domein2 dan redirect naar een ander IP. Hoe doe ik dit nu in de UDR? Ik heb eea gevonden via Google, maar het lijkt allemaal outdated te zijn...

AFAIK is dat niet mogelijk. Je kunt het beste een pihole opzetten en dns forwarden naar de pihole.

[Sa1]

nero355 schreef op donderdag 18 november 2021 @ 16:09:
[...]

Het is toch echt gewoon wat je wilt :

[...]

Je moet dan de NAS vertellen dat die voor bepaalde domeinen de USG moet raadplegen en dan zou het gewoon moeten werken!

Maar ik besef me nu ook dat ik misschien eerst had moeten vragen wat je nou precies allemaal op die NAS draait dus mocht je nog steeds een oplossing willen zoek dat dan effe uit

Conditional forwarding maakt je gebruik van als je van een bepaald domain de hosts wil laten resolven door een andere DNS server. Deze DNS server draait dan op de USG, maar dat wil ik dus niet. Ik wil de hosts entries in mijn Synology DNS server hebben. Die host namelijk mijn interne zone. Mijn PiHole die doet een conditional DNS query naar mijn Synology en daar is dus ook direct mijn achterliggende reden; ik zie de host names niet terug in mijn pihole (wellicht eeder moeten toelichten ;-) excuses). De pihole een conditional dns query doen naar de USG gaat niet, want die DNS zone is dus ook niet compleet, immers staan alle reverse proxy addressen in mijn Synology zone. De DNS zone van pihole zelf gebruiken vind ik niet handig, want wil de Pihole weg kunnen gooien zonder daar verder over na te hoeven denken.

[Sa1]

mrdemc schreef op donderdag 18 november 2021 @ 17:23:
[...]

Je hebt gelijk, dat zijn twee verschillende dingen en de twee manieren hebben ook twee verschillende uitkomsten. Bij de een kun je het betreffende domein nog gebruiken en eventuele extra's instellen, bij de andere oplossing geef je het volledig uit handen.

Ik denk dat je wel wat hebt aan deze thread, volgens mij is dat gelijk aan wat jij wilt:
https://forum.vyos.io/t/h...to-update-dns-zone/6231/4

Ik ga hier is naar kijken. Vyatta.. das een poos terug dat ik daar wat mee gedaan heb. Dit is dus inderdaad exact wat ik wil! Alleen dan vanuit de USG DHCP server. Ik ga dit is even rustig doorlezen en nog wat speuren, maar anders is het gewoon einde probeersel ;-)

Heb nu nav jouw link de volgende gevonden: https://ubntlab.wordpress...tes-from-edgerouter-dhcp/

De usg accepteert ook dezelfde commando's dus maar gewoon doorgevoerd. Let's see what happens.

[ Voor 12% gewijzigd door Sa1 op 19-11-2021 09:15 ]

[RobertMe]

Dus, IPv6 en Ziggo...

Ik ben zelf een leek op dit gebied, maar heb mij gepoogd een beetje in te lezen.

Zelf krijg ik waarschijnlijk geen IPv6, in combinatie met een USG. Dit omdat ik nog een oud modem-only heb hangen.

Bij een familielid heb ik een jaar of 3 terug een EdgeRouter 4 geplaatst en hij is wel geïnformeerd door Ziggo over de komst van IPv6. Dus ik wil toch even kijken hoe en wat.
Zo ver als ik het in ieder geval begrijp zou het geen gevolgen hebben omdat de ER / EdgeOS standaard niks met IPv6 zal doen? Wil ik hem "toegang geven" tot IPv6 zijn er hoe ik het begrijp op twee plekken aanpassingen nodig. Enerzijds zal de firewall ingeregeld moeten worden op IPv6 (simpelste is dan "blokkeer alle verkeer, tenzij established / related"?), anderzijds zullen dan de DHCP settings aangepast moeten worden om hoe ik het begrijp DHCPv6-PD aan te zetten, in combinatie met een prefix-id zodat elk VLAN zijn eigen IPv6 subnet krijgt.

Is er dus iemand die kan bevestigen dat in ieder geval "niks doen" een prima oplossing is? Niet dat dadelijk onbedoeld alsnog zaken open staan via IPv6. En/of welke instellingen ik moet controleren om zeker te zijn dat IPv6 niet functioneert / systemen niet van buitenaf bereikbaar zijn via IPv6.

Edit:
Wat ik mij nu nog afvraag. Er zijn nu een aantal VLANs waarbij de ER het verkeer tussen de VLANs regelt / blokkeert (oftewel: gast VLAN kan niet bij andere VLANs komen etc). In mijn herinnering is dit ingesteld op basis van de subnets (dus 192.168.10.0/24 mag niet babbelen met 192.168.1.0/24 etc). Hoe werkt dit in combinatie met IPv6? Want hoe ik het begrijp krijgen alle systemen dan dus een IP adres toegekend vanuit Ziggo, of in ieder geval de prefix dan. Dus het IP kan nu 1::1 zijn, omdat Ziggo via DHCP 1/56 aanbied, maar volgende week kan Ziggo 2/56 aanbieden. Het is dan "niet echt handig" als alle firewall rules (/address groups) aangepast moeten worden voor de nieuwe prefix.

[ Voor 21% gewijzigd door RobertMe op 19-11-2021 09:34 ]

[Hulliee]

RobertMe schreef op vrijdag 19 november 2021 @ 09:29:
Dus, IPv6 en Ziggo...

Ik ben zelf een leek op dit gebied, maar heb mij gepoogd een beetje in te lezen.

Zelf krijg ik waarschijnlijk geen IPv6, in combinatie met een USG. Dit omdat ik nog een oud modem-only heb hangen.

Bij een familielid heb ik een jaar of 3 terug een EdgeRouter 4 geplaatst en hij is wel geïnformeerd door Ziggo over de komst van IPv6. Dus ik wil toch even kijken hoe en wat.
Zo ver als ik het in ieder geval begrijp zou het geen gevolgen hebben omdat de ER / EdgeOS standaard niks met IPv6 zal doen? Wil ik hem "toegang geven" tot IPv6 zijn er hoe ik het begrijp op twee plekken aanpassingen nodig. Enerzijds zal de firewall ingeregeld moeten worden op IPv6 (simpelste is dan "blokkeer alle verkeer, tenzij established / related"?), anderzijds zullen dan de DHCP settings aangepast moeten worden om hoe ik het begrijp DHCPv6-PD aan te zetten, in combinatie met een prefix-id zodat elk VLAN zijn eigen IPv6 subnet krijgt.

Is er dus iemand die kan bevestigen dat in ieder geval "niks doen" een prima oplossing is? Niet dat dadelijk onbedoeld alsnog zaken open staan via IPv6. En/of welke instellingen ik moet controleren om zeker te zijn dat IPv6 niet functioneert / systemen niet van buitenaf bereikbaar zijn via IPv6.

Edit:
Wat ik mij nu nog afvraag. Er zijn nu een aantal VLANs waarbij de ER het verkeer tussen de VLANs regelt / blokkeert (oftewel: gast VLAN kan niet bij andere VLANs komen etc). In mijn herinnering is dit ingesteld op basis van de subnets (dus 192.168.10.0/24 mag niet babbelen met 192.168.1.0/24 etc). Hoe werkt dit in combinatie met IPv6? Want hoe ik het begrijp krijgen alle systemen dan dus een IP adres toegekend vanuit Ziggo, of in ieder geval de prefix dan. Dus het IP kan nu 1::1 zijn, omdat Ziggo via DHCP 1/56 aanbied, maar volgende week kan Ziggo 2/56 aanbieden. Het is dan "niet echt handig" als alle firewall rules (/address groups) aangepast moeten worden voor de nieuwe prefix.

Wat is het voordeel om je interne netwerk op IP6 te draaien ipv IP4? Ik heb daar ook wel eens over nagedacht en hoe dat dan geregeld moet worden met je firewall rules, vlan's. Uiteindelijk niet het voordeel of noodzaak gezien.

[RobertMe]

Hulliee schreef op vrijdag 19 november 2021 @ 11:11:
[...]


Wat is het voordeel om je interne netwerk op IP6 te draaien ipv IP4? Ik heb daar ook wel eens over nagedacht en hoe dat dan geregeld moet worden met je firewall rules, vlan's. Uiteindelijk niet het voordeel of noodzaak gezien.

Volgens mij is het dan een gevalletje "alles is van buitenaf bereikbaar" dus bv dat als je meerdere servers hebt je ze rechtstreeks kunt benaderen i.p.v. via port forwards en nog een proxy ertussen.

Maar mijn voorkeur gaat, voor nu, om die reden ook uit naar IPv4 only. Dat werkt en is dicht getimmerd. En vandaar ook de vraag "klopt het dat ik met een semi stock firmware niks hoef te doen om de boel dicht te houden".
Als ik zelf ooit IPv6 krijg kan ik er dan eens mee gaan experimenteren. Maar dat ga ik natuurlijk niet bij iemand anders doen. Vandaar ook liever alles dicht timmeren / uit laten. Maar ik wil dan wel zeker weten dat alles juist is ingesteld.

[ed1703]

RobertMe schreef op vrijdag 19 november 2021 @ 11:20:
[...]

Volgens mij is het dan een gevalletje "alles is van buitenaf bereikbaar" dus bv dat als je meerdere servers hebt je ze rechtstreeks kunt benaderen i.p.v. via port forwards en nog een proxy ertussen.

Maar mijn voorkeur gaat, voor nu, om die reden ook uit naar IPv4 only. Dat werkt en is dicht getimmerd. En vandaar ook de vraag "klopt het dat ik met een semi stock firmware niks hoef te doen om de boel dicht te houden".
Als ik zelf ooit IPv6 krijg kan ik er dan eens mee gaan experimenteren. Maar dat ga ik natuurlijk niet bij iemand anders doen. Vandaar ook liever alles dicht timmeren / uit laten. Maar ik wil dan wel zeker weten dat alles juist is ingesteld.

Je USG heeft gewoon als laatste rule een drop op WAN_IN hoor.
Dus je moet echt wel actie ondernemen om zaken open te zetten. (before predefined rules)
Wel is het zo dat je goed moet weten wat je doet, want je kunt een poort voor een geheel subnet open zetten.
Of zelfs alle poorten als je de basics van de unifi-firewall nog niet snapt.

Dit is ook de reden waarom een Ziggo de IPv6-firewall default alles dicht zet, want zonder staat alles open.
Als je modem in routermode staat dan, niet bridge. In Bridge mag je het lekker zelf uitzoeken en krijg je alleen een prefix.

code:

Chain WANv6_IN (1 references)
target     prot opt source               destination
RETURN     all      anywhere             anywhere             /* WANv6_IN-3001 */ state RELATED,ESTABLISHED
DROP       all      anywhere             anywhere             /* WANv6_IN-3002 */ state INVALID
DROP       all      anywhere             anywhere             /* WANv6_IN-10000 default-action drop */

[ Voor 3% gewijzigd door ed1703 op 19-11-2021 11:43 ]

[tcviper]

Hulliee schreef op vrijdag 19 november 2021 @ 11:11:
[...]


Wat is het voordeel om je interne netwerk op IP6 te draaien ipv IP4? Ik heb daar ook wel eens over nagedacht en hoe dat dan geregeld moet worden met je firewall rules, vlan's. Uiteindelijk niet het voordeel of noodzaak gezien.

Dat ieder apparaat in je netwerk rechtstreeks een IP naar buiten heeft en dat je dan geen NAT of andere dingen nodig hebt. Daarbij zitten in vrijwel alle routers (ook bij UniFi) standaard de regels daar al voor ingebouwd. Je hoeft dus niet alles dicht te gooien, IPv6 apparaten zijn al dicht standaard van buiten naar binnen.

[RobertMe]

ed1703 schreef op vrijdag 19 november 2021 @ 11:39:
[...]

Je USG heeft gewoon als laatste rule een drop op WAN_IN hoor.
Dus je moet echt wel actie ondernemen om zaken open te zetten. (before predefined rules)
Wel is het zo dat je goed moet weten wat je doet, want je kunt een poort voor een geheel subnet open zetten.
Of zelfs alle poorten als je de basics van de unifi-firewall nog niet snapt.

Dit is ook de reden waarom een Ziggo de IPv6-firewall default alles dicht zet, want zonder staat alles open.
Als je modem in routermode staat dan, niet bridge. In Bridge mag je het lekker zelf uitzoeken en krijg je alleen een prefix.

code:

Chain WANv6_IN (1 references)
target     prot opt source               destination
RETURN     all      anywhere             anywhere             /* WANv6_IN-3001 */ state RELATED,ESTABLISHED
DROP       all      anywhere             anywhere             /* WANv6_IN-3002 */ state INVALID
DROP       all      anywhere             anywhere             /* WANv6_IN-10000 default-action drop */

In dit geval gaat het om een ER4. De USG heb ik zelf, maar ik heb dus geen "je krijgt IPv6 bericht" gehad.
En volgens mij zat dat bij de ER4 allemaal wat anders en moest je sowieso zelf een firewall chain aan een interface koppelen?
Ik heb in ieder geval een werkje voor komend weekend: de volledige configuratie van EdgeOS doorklikken op zoek naar dingen die betrekking kunnen hebben op IPv6.

Maar het lijkt mij dat zolang ik, geen enkele, DHCP scope instel voor DHCP6-PD dat er sowieso geen gebruik wordt gemaakt van IPv6? Immers kunnen de achterliggende devices dan geen publiek IPv6 adres ontvangen / genereren? En dus hoogstens alleen zo'n LAN-only IPv6 geval dat de router niet het internet op zou mogen sturen. (Omdat die IPv6 scope aan adressen niet de gateway zou mogen passeren).

[ed1703]

RobertMe schreef op vrijdag 19 november 2021 @ 11:55:
[...]

In dit geval gaat het om een ER4. De USG heb ik zelf, maar ik heb dus geen "je krijgt IPv6 bericht" gehad.
En volgens mij zat dat bij de ER4 allemaal wat anders en moest je sowieso zelf een firewall chain aan een interface koppelen?
Ik heb in ieder geval een werkje voor komend weekend: de volledige configuratie van EdgeOS doorklikken op zoek naar dingen die betrekking kunnen hebben op IPv6.

De ER dien je inderdaad zelf actie te ondernemen, maar ook hier zal gelden dat in hoe IPv6 door ziggo wordt aangeboden, je al een aantal zaken moet instellen om uberhaupt ipv6 aan de praat te krijgen.

Maar het lijkt mij dat zolang ik, geen enkele, DHCP scope instel voor DHCP6-PD dat er sowieso geen gebruik wordt gemaakt van IPv6? Immers kunnen de achterliggende devices dan geen publiek IPv6 adres ontvangen / genereren? En dus hoogstens alleen zo'n LAN-only IPv6 geval dat de router niet het internet op zou mogen sturen. (Omdat die IPv6 scope aan adressen niet de gateway zou mogen passeren).

Zonder actie op de WAN-kant binnen Unifi gebeurt er niets qua ipv6.
Default heb je alleen link-local adressen. Dat is vergelijkbaar met 169.254.
LAN-IN/OUT is dus alleen valide als je daadwerkelijk per VLAN een /64 er op hebt staan, wat uit je aangeboden PD vandaan komt. (1 van de 256 /64's uit de /56 van Ziggo)

Ik dacht dat alles voor IPv6 default uit staat, maar correcties zijn welkom.
(of ik heb het zelf uitgezet, had er tot op heden toch niets aan)

[AE69]

Goedendag,

Ik wil graag de prestaties (vooral snelheid) in mijn bedraad en draadloos netwerk verbeteren en ben aan het orienteren naar wat de volgende stap kan zijn. Mijn Ziggo abonnement (Internet Complete) omvat "300Mbps" download en "30Mbps" upload. Echter https://www.speedtest.net/ geeft download van +/-152Mbps en upload +/-30Mbps bedraad gemeten.

Huidige set-up is als volgt:
Ziggo ConnectBox (bridge modus) - USG - TPLink TL-SG1024
- RaspberryPi4 (met PiHole)
- UAP-AC-Pro
- UAP-LR
- UAP-LR
- rest pcs/nas

Ik weet niet of ik nog bij Ubiquiti moet blijven ivm tegenvallende prijs/kwaliteit verhouding (2de USG, overleden EdgeRouter PoE, EoL UAP-LRs, EoL UAP-AC).

[briecht]

AE69 schreef op vrijdag 19 november 2021 @ 12:51:
Goedendag,

Ik wil graag de prestaties (vooral snelheid) in mijn bedraad en draadloos netwerk verbeteren en ben aan het orienteren naar wat de volgende stap kan zijn. Mijn Ziggo abonnement (Internet Complete) omvat "300Mbps" download en "30Mbps" upload. Echter https://www.speedtest.net/ geeft download van +/-152Mbps en upload +/-30Mbps bedraad gemeten.

Huidige set-up is als volgt:
Ziggo ConnectBox (bridge modus) - USG - TPLink TL-SG1024
- RaspberryPi4 (met PiHole)
- UAP-AC-Pro
- UAP-LR
- UAP-LR
- rest pcs/nas

Ik weet niet of ik nog bij Ubiquiti moet blijven ivm tegenvallende prijs/kwaliteit verhouding (2de USG, overleden EdgeRouter PoE, EoL UAP-LRs, EoL UAP-AC).

Welke snelheid haal je met een laptop rechtstreeks aan je ziggo modem?

[Bloemstukje]

Familielid van mij heeft te horen gekregen van haar ISP dat ze overgaan naar IPV6. Ze heeft nu een cloudkey 1 draaien met een USG, en een tweetal unifi AP's. De modem van de ISP staat in bridge modus, en de gateway regelt alles verder. Ondersteunt deze setup dan ook IPV6? Ik weet niet goed waar de ondersteuning moet zitten, moet de USG dit ondersteunen? Of gaat het hier juist om de cloudkey? Iemand een idee ? Op google vindt ik niet een sluitend antwoord.

[nero355]

Hulliee schreef op vrijdag 19 november 2021 @ 11:11:
Wat is het voordeel om je interne netwerk op IP6 te draaien ipv IP4?

Ik heb daar ook wel eens over nagedacht en hoe dat dan geregeld moet worden met je firewall rules, vlan's. Uiteindelijk niet het voordeel of noodzaak gezien.

Of je nou de voordelen en nadelen bekijkt of niet : Je zal op een bepaald moment wel moeten, want anders kan je bepaalde websites of services niet meer bereiken!

RobertMe schreef op vrijdag 19 november 2021 @ 11:20:
Volgens mij is het dan een gevalletje "alles is van buitenaf bereikbaar" dus bv dat als je meerdere servers hebt je ze rechtstreeks kunt benaderen i.p.v. via port forwards en nog een proxy ertussen.

Die Port Forwards zullen nog steeds bestaan, want wat een Port Forward vaak doet is ook een Firewall Rule aanpassen/aanmaken die een bepaalde poort bereikbaar maakt dus uiteindelijk komt het op hetzelfde neer!

Bloemstukje schreef op vrijdag 19 november 2021 @ 13:26:
Familielid van mij heeft te horen gekregen van haar ISP dat ze overgaan naar IPV6. Ze heeft nu een cloudkey 1 draaien met een USG, en een tweetal unifi AP's. De modem van de ISP staat in bridge modus, en de gateway regelt alles verder.

Ondersteunt deze setup dan ook IPV6?
Ik weet niet goed waar de ondersteuning moet zitten, moet de USG dit ondersteunen?
Of gaat het hier juist om de cloudkey?

Iemand een idee ? Op google vindt ik niet een sluitend antwoord.

Weer een mooi voorbeeld dat UniFi setups niet voor iedereen even handig zijn...

Maar om je een antwoord te geven : IPv6 werkt dus aan de WAN kant van je USG en je kan er dan vervolgens voor kiezen om een aantal subnets vanuit het subnet dat je toegewezen krijgt nog eens aan de LAN kant uit te delen

[AE69]

briecht schreef op vrijdag 19 november 2021 @ 13:16:
[...]

Welke snelheid haal je met een laptop rechtstreeks aan je ziggo modem?

Hmmmmm.. redelijk belabberde resultaten

Direct op de Ziggo mode: Ping: 31ms DL:127.6Mbps UL: 30.5Mbps
Via de Switch: Ping: 52ms DL:87.3Mbps UL:30.8Mbps

[Tylen]

Hulliee schreef op vrijdag 19 november 2021 @ 11:11:
[...]


Wat is het voordeel om je interne netwerk op IP6 te draaien ipv IP4? Ik heb daar ook wel eens over nagedacht en hoe dat dan geregeld moet worden met je firewall rules, vlan's. Uiteindelijk niet het voordeel of noodzaak gezien.

Ik heb volledig ipv6 en ipv4 draaien thuis. Sterker nog al mijn diensten die ik thuis host ook. Heerlijk om zoveel publieke ip adressen te hebben 😅

[rescla]

De Dream Router is vandaag binnengekomen, maar het valt tot nu toe een beetje tegen.

M'n huidige site is een USG, een US-8-60W en een UAP-AC-Lite. Verder heb ik het een en ander aan instellingen opgebouwd in de controller die ik graag wil behouden. Dus het plan was om een backup te maken van de controller (die ik nu in docker draai) en die te restoren in de controller van de Dream Router. Op zich gaat dat, de devices zijn te zien in de UI, maar ze wisselen tussen "Ready to adopt" en "Adopting". Daarnaast zie ik de Dream Router zelf ook niet meer in de controller staan, en ook geen mogelijk om hem er in te krijgen. Dus ik vermoed dat ik met het handje alle settings over moet gaan zetten als ik hem wil gebruiken in plaats van de USG.

Verder kan ik de oude user interface ook nergens aan zetten lijkt het, en zijn er ook geen site settings te vinden in de UI. Maar misschien dat ik nog een vinkje mis ergens die ik vergeten ben aan te zetten oid.

Als onderdeel van de setup met de app doet de Dream Router een speed testje, daar kwamen snelheden van rond de 900Mbps voorbij. Dus die bottleneck van 800Mbps herken ik niet echt.

[Hulliee]

Tylen schreef op vrijdag 19 november 2021 @ 19:33:
[...]


Ik heb volledig ipv6 en ipv4 draaien thuis. Sterker nog al mijn diensten die ik thuis host ook. Heerlijk om zoveel publieke ip adressen te hebben 😅

Hoe gaat dat dan in je Unifi setup? Geef je dan per IPv6 device op dat ie vanaf buiten te benaderen is?

[Tylen]

Hulliee schreef op vrijdag 19 november 2021 @ 20:13:
[...]



Hoe gaat dat dan in je Unifi setup? Geef je dan per IPv6 device op dat ie vanaf buiten te benaderen is?

Je hebt geen nat bij ipv6. Dus als je iets open zet voor buiten dan doe je dit op de firewall.

[Hulliee]

Tylen schreef op vrijdag 19 november 2021 @ 20:14:
[...]


Je hebt geen nat bij ipv6. Dus als je iets open zet voor buiten dan doe je dit op de firewall.

Ja dat bedoelde ik ook. Je geeft dus per device op firewall aan. Maakt dat nog wat uit voor je performance? Ga ik daar op mijn udm nog wat voordeel aan hebben qua geheugengebruik bijv?

Ik kan kan me zo voorstellen dat als je v4 en v6 aan hebt staan op een device, dat je het overzicht kwijt raakt?

[RobertMe]

RobertMe schreef op vrijdag 19 november 2021 @ 09:29:
Dus, IPv6 en Ziggo...

Ik ben zelf een leek op dit gebied, maar heb mij gepoogd een beetje in te lezen.

Zelf krijg ik waarschijnlijk geen IPv6, in combinatie met een USG. Dit omdat ik nog een oud modem-only heb hangen.

Bij een familielid heb ik een jaar of 3 terug een EdgeRouter 4 geplaatst en hij is wel geïnformeerd door Ziggo over de komst van IPv6. Dus ik wil toch even kijken hoe en wat.
Zo ver als ik het in ieder geval begrijp zou het geen gevolgen hebben omdat de ER / EdgeOS standaard niks met IPv6 zal doen? Wil ik hem "toegang geven" tot IPv6 zijn er hoe ik het begrijp op twee plekken aanpassingen nodig. Enerzijds zal de firewall ingeregeld moeten worden op IPv6 (simpelste is dan "blokkeer alle verkeer, tenzij established / related"?), anderzijds zullen dan de DHCP settings aangepast moeten worden om hoe ik het begrijp DHCPv6-PD aan te zetten, in combinatie met een prefix-id zodat elk VLAN zijn eigen IPv6 subnet krijgt.

Is er dus iemand die kan bevestigen dat in ieder geval "niks doen" een prima oplossing is? Niet dat dadelijk onbedoeld alsnog zaken open staan via IPv6. En/of welke instellingen ik moet controleren om zeker te zijn dat IPv6 niet functioneert / systemen niet van buitenaf bereikbaar zijn via IPv6.

Edit:
Wat ik mij nu nog afvraag. Er zijn nu een aantal VLANs waarbij de ER het verkeer tussen de VLANs regelt / blokkeert (oftewel: gast VLAN kan niet bij andere VLANs komen etc). In mijn herinnering is dit ingesteld op basis van de subnets (dus 192.168.10.0/24 mag niet babbelen met 192.168.1.0/24 etc). Hoe werkt dit in combinatie met IPv6? Want hoe ik het begrijp krijgen alle systemen dan dus een IP adres toegekend vanuit Ziggo, of in ieder geval de prefix dan. Dus het IP kan nu 1::1 zijn, omdat Ziggo via DHCP 1/56 aanbied, maar volgende week kan Ziggo 2/56 aanbieden. Het is dan "niet echt handig" als alle firewall rules (/address groups) aangepast moeten worden voor de nieuwe prefix.

Hierop terugkomende, ik heb nu in ieder geval de firewall dicht getimmerd voor WAN verkeer, dit middels:

Bash:

configure

edit firewall

edit ipv6-name WAN6_IN
set default-action drop
set rule 10 action accept
set rule 10 description "Allow established/related"
set rule 10 state established enable
set rule 10 state related enable
set rule 20 action drop
set rule 20 description "Drop invalid state"
set rule 20 state invalid enable
set rule 30 action accept
set rule 30 description "Allow ICMPv6"
set rule 30 log disable
set rule 30 protocol icmpv6
up

edit ipv6-name WAN6_LOCAL
set default-action drop
set rule 10 action accept
set rule 10 description "Allow established/related"
set rule 10 state established enable
set rule 10 state related enable
set rule 20 action drop
set rule 20 description "Drop invalid state"
set rule 20 state invalid enable
set rule 30 action accept
set rule 30 description "Allow ICMPv6"
set rule 30 log disable
set rule 30 protocol icmpv6
set rule 40 action accept
set rule 40 description "Allow DHCPv6"
set rule 40 destination port 546
set rule 40 protocol udp
set rule 40 source port 547
top

set interfaces ethernet eth0 firewall in ipv6-name WAN6_IN
set interfaces ethernet eth0 firewall local ipv6-name WAN6_LOCAL

commit
save

Het "inschakelen" van IPv6 durf ik mij echter (nog?) niet aan te wagen, ook omdat ik dit stukje nu "remote" heb gedaan (via VPN) en ik daarnaast niet goed kan overzien wat de gevolgen zijn. Daarnaast zijn er ook nog eens 5 VLANs met verschillende firewall regels die ik dan ook moet inregelen. Maar als ik het goed begrijp kan dat het inschakelen op deze manier gedaan worden:

Bash:

configure

edit interfaces ethernet eth0 dhcpv6-pd
set rapid-commit enable
set pd 0 prefix-length 56
set pd 0 interface eth1.<vlan> prefix-id :<x>
set pd 0 interface eth1.<vlan> host-address ::1
set pd 0 interface eth1.<vlan> service slaac
top

commit
save

waarbij de regels met <vlan> dan herhaald kunnen worden voor de verschillende VLANs en prefix-id :<x> dan "een stukje" van het IP is dat voor dat VLAN gebruikt moet worden. Dus bv prefix-id :1 zorgt ervoor dat alle IPs in dat VLAN een 1 hebben op "een bepaalde" positie en prefix-id :2 dus 2 er van maakt (voor een ander VLAN). De host-address ::1 zorgt er vervolgens voor dat de router zelf het bijbehorende ::1 IP krijgt. Dus prefix-id :2 + host-address ::1 geeft IP adres <ontvangen-prefix>02::1 aan de interface op de router (en ::1 wordt dan via SLAAC uitgedeeld aan de clients).

En als ik het goed begrijp zorgt dit stukje configuratie er dan nog steeds niet voor dat de router zelf een IPv6 IP adres krijgt, wat wel mogelijk zou kunnen zijn middels:

Bash:

configure
set interfaces ethernet eth0 ipv6 address autoconf
set interfaces ethernet eth0 ipv6 dup-addr-detect-transmits 1
commit
save

Maar eigenlijk geen idee of Ziggo dit ondersteund? Ik kom eigenlijk in zoverre alleen het DHCPv6-PD verhaal tegen en niks met of je ook een public (IPv6) adres op de router kunt krijgen.

Edit:
Overigens is in deze voorbeelden / code / configure commando's eth0 dus de WAN poort en eth1 de LAN poort. IMO wel zo handig om even erbij te vermelden, want de voorbeelden die ik vond geven dat niet expliciet aan en moet je op basis van de commando's maar uitvogelen wat wat is.

[Masimo]

AE69 schreef op vrijdag 19 november 2021 @ 19:16:
[...]

Hmmmmm.. redelijk belabberde resultaten

Direct op de Ziggo mode: Ping: 31ms DL:127.6Mbps UL: 30.5Mbps
Via de Switch: Ping: 52ms DL:87.3Mbps UL:30.8Mbps

Je moet dus eerst gaan zorgen dat je de volle 300 Mbps rechtstreeks op je modem binnen krijgt.
Aan de Unifi set-up "sleutelen" heeft nog geen zin.

Check: AOP, bekabeling, splitters, stekkers, versterker, .....
Eerst de binnen-installatie uitsluiten, alvorens je met Ziggo in zee gaat.

[ Voor 19% gewijzigd door Masimo op 19-11-2021 23:10 ]

[Huub-]

Iemand ervaring met USG ? Bij bij staat de threat management op IDS, ik kan het niet meer aanpassen of uitzetten dan krijg ik een error "There was an error saving the settings_ips_key_config changes."
Als ik de stteings aanpas naar de nieuwe settings krijg ik de volgende foutmelding:
.
Heb wel op google gekeken daar zeggen ze iets over honeypot, maar in de nieuwe interface kan ik dat helemaal niet aanpassen of inzien die optie is niet actief..

[AE69]

Masimo schreef op vrijdag 19 november 2021 @ 20:30

Je moet dus eerst gaan zorgen dat je de volle 300 Mbps rechtstreeks op je modem binnen krijgt.
Aan de Unifi set-up "sleutelen" heeft nog geen zin.

Check: AOP, bekabeling, splitters, stekkers, versterker, .....
Eerst de binnen-installatie uitsluiten, alvorens je met Ziggo in zee gaat.

Het maakt toch niet uit als de meting op de Ziggo modem wordt uitgevoerd met de rest (USG - Switch - …) nog aangesloten is?

Hoe zie je wat er aan de AOP, splitter of versterker wat mankeert zonder meetapparatuur?

[Tylen]

Hulliee schreef op vrijdag 19 november 2021 @ 20:21:
[...]


Ja dat bedoelde ik ook. Je geeft dus per device op firewall aan. Maakt dat nog wat uit voor je performance? Ga ik daar op mijn udm nog wat voordeel aan hebben qua geheugengebruik bijv?

Ik kan kan me zo voorstellen dat als je v4 en v6 aan hebt staan op een device, dat je het overzicht kwijt raakt?

Preformance of geheugengebruik zou ik niet weten. Ik haal nog steeds mijn gebruikelijke 940Mbps up and down inclusief ips.

Overzicht raak je niet zo snel kwijt hoor. 👍🏻

[Tylen]

AE69 schreef op vrijdag 19 november 2021 @ 19:16:
[...]

Hmmmmm.. redelijk belabberde resultaten

Direct op de Ziggo mode: Ping: 31ms DL:127.6Mbps UL: 30.5Mbps
Via de Switch: Ping: 52ms DL:87.3Mbps UL:30.8Mbps

Wow dat is wel heel slecht. Is de bekabeling wel goed??

[ed1703]

RobertMe schreef op vrijdag 19 november 2021 @ 20:26:
[...]

Hierop terugkomende, ik heb nu in ieder geval de firewall dicht getimmerd voor WAN verkeer, dit middels:

Bash:

configure

edit firewall

edit ipv6-name WAN6_IN
set default-action drop
set rule 10 action accept
set rule 10 description "Allow established/related"
set rule 10 state established enable
set rule 10 state related enable
set rule 20 action drop
set rule 20 description "Drop invalid state"
set rule 20 state invalid enable
set rule 30 action accept
set rule 30 description "Allow ICMPv6"
set rule 30 log disable
set rule 30 protocol icmpv6
up

edit ipv6-name WAN6_LOCAL
set default-action drop
set rule 10 action accept
set rule 10 description "Allow established/related"
set rule 10 state established enable
set rule 10 state related enable
set rule 20 action drop
set rule 20 description "Drop invalid state"
set rule 20 state invalid enable
set rule 30 action accept
set rule 30 description "Allow ICMPv6"
set rule 30 log disable
set rule 30 protocol icmpv6
set rule 40 action accept
set rule 40 description "Allow DHCPv6"
set rule 40 destination port 546
set rule 40 protocol udp
set rule 40 source port 547
top

set interfaces ethernet eth0 firewall in ipv6-name WAN6_IN
set interfaces ethernet eth0 firewall local ipv6-name WAN6_LOCAL

commit
save

Het "inschakelen" van IPv6 durf ik mij echter (nog?) niet aan te wagen, ook omdat ik dit stukje nu "remote" heb gedaan (via VPN) en ik daarnaast niet goed kan overzien wat de gevolgen zijn. Daarnaast zijn er ook nog eens 5 VLANs met verschillende firewall regels die ik dan ook moet inregelen. Maar als ik het goed begrijp kan dat het inschakelen op deze manier gedaan worden:

Bash:

configure

edit interfaces ethernet eth0 dhcpv6-pd
set rapid-commit enable
set pd 0 interface eth1.<vlan> prefix-id :<x>
set pd 0 interface eth1.<vlan> host-address ::1
set pd 0 interface eth1.<vlan> service slaac

Mis je hier geen prefix-length?

waarbij de regels met <vlan> dan herhaald kunnen worden voor de verschillende VLANs en prefix-id :<x> dan "een stukje" van het IP is dat voor dat VLAN gebruikt moet worden. Dus bv prefix-id :1 zorgt ervoor dat alle IPs in dat VLAN een 1 hebben op "een bepaalde" positie en prefix-id :2 dus 2 er van maakt (voor een ander VLAN). De host-address ::1 zorgt er vervolgens voor dat de router zelf het bijbehorende ::1 IP krijgt. Dus prefix-id :2 + host-address ::1 geeft IP adres <ontvangen-prefix>02::1 aan de interface op de router (en ::1 wordt dan via SLAAC uitgedeeld aan de clients).

De prefix-id's moeten inderdaad uniek zijn en lopen van 0 t/m FF aangezien ze in hex opgegeven moeten worden en het een 8 bits veld is. Dus maximaal FF = 255. Gelijk trekken aan VLAN-ID's boven de 255 kan dus net als bij IPv4 niet

[Tranzy]

UDR is hier ook binnen.

Eerste ervaringen:

Backup van cloud key en restore op de UDR is helaas niet mogelijk.
De clients willen liever connecten met de UDR ipv mijn AP pro's. Oplossing is om wifi groepen te maken.

Erg content met de snelheid. Zowel de interface als mijn internet.
Nu mijn USG en Cloud key verkopen. Die heb ik niet meer nodig.

[RobertMe]

ed1703 schreef op vrijdag 19 november 2021 @ 21:26:
[...]

Mis je hier geen prefix-length?

Helemaal correct en tevens juist. (En dus toegevoegd aan de originele post).

[stormfly]

Tranzy schreef op vrijdag 19 november 2021 @ 21:30:


De clients willen liever connecten met de UDR ipv mijn AP pro's. Oplossing is om wifi groepen te maken.

Of je zendvermogen goed in te regelen.

[ Voor 11% gewijzigd door stormfly op 19-11-2021 21:38 ]

[Sp33dFr34k]

@Tranzy bij jou ook het issue dat hij apparaten offline ziet terwijl ze toch echt aan staan? Heb een paar lampen geflashed met Tasmota en via Home Assistant gekoppeld. Kan ze prima bedienen via HA, maar de UDR denkt desondanks dat ze uitgeschakeld zijn, heel vaag dit...

Sorteren op IP snapt de client list ook niet, gaat bijv van 192.168.1.54 naar 192.168.1.56 en dan komt 192.168.1.55 er tussendoor

[ Voor 20% gewijzigd door Sp33dFr34k op 19-11-2021 22:39 ]

[nero355]

Sp33dFr34k schreef op donderdag 18 november 2021 @ 22:47:
Ik heb de UDR binnen, alles werkt maar ben nog eea aan het uitpluizen. Ik had voorheen in mijn Asus die tevens de DNS uitdeelt ingesteld via dnsmasq als domein1 dan redirect naar dit IP, als domein2 dan redirect naar een ander IP. Hoe doe ik dit nu in de UDR? Ik heb eea gevonden via Google, maar het lijkt allemaal outdated te zijn...

De UDM draait DNSmasq dus de UDR waarschijnlijk ook wel en dan moet je daaraan dat soort dingen toevoegen, maar of je dat persistent kan maken : Geen idee!

Ik doe dat met Pi-Hole gewoon die DNSmasq++ heeft : FTLDNS

Neyluzz schreef op vrijdag 19 november 2021 @ 07:03:
AFAIK is dat niet mogelijk. Je kunt het beste een pihole opzetten en dns forwarden naar de pihole.

Jij bedoelt dit denk ik : [Ubiquiti-Netwerkapparatuur] Ervaringen & Discussie - Deel 4

Maar dat bedoelt hij niet

Sp33dFr34k schreef op vrijdag 19 november 2021 @ 22:34:
Sorteren op IP snapt de client list ook niet, gaat bijv van 192.168.1.54 naar 192.168.1.56 en dan komt 192.168.1.55 er tussendoor

Dat ligt toch aan de UniFi Controller en niet het type Router dat je gebruikt

In mijn vreselijk outdated 5.x.x UniFi Controller gaat het sorteren prima!

[ Voor 16% gewijzigd door nero355 op 20-11-2021 00:27 ]