Mikrotik RB4011 en IPTV van KPN

[Knoose]

Beste mede-tweakers,

Op dit moment ben ik bezig mijn nieuw aangeschafte mikortik RB-4011 in te stellen ter vervanging van mijn experiabox v10. Dit naar de hand van de configs die op netwerkje.com staan.
Het is mij al gelukt om internet te krijgen, maar nu zit ik met het welbekende probleem dat de IPTV ermee ophoud na 2 seconden. (sommige kanalen doen het wel zoals een heel 'leuk' bollywood kanaal uit india)
Nu heb ik gelezen dat dit komt doordat de IPTV eerst via unicast gaat en dat er dus iets mis is met mijn igmp instellingen.

Ik heb menig mikrotik configs gezien hier op het forum en zelf getracht mijn config te troubleshooten naar de hand van die configs maar ik heb denk ik te weinig ervaring om de 'fout' te ontdekken.

Voor test doeleinden heb ik mijn netwerk zo simpel mogelijk gehouden. Het glasvezel boxje is aangesloten op eth poort 1 van de mikrotik. Daarna hangt mijn laptop waarmee ik aan het configureren ben op poort 2 en op poort 3 zit het IPTV kastje.

Ik lees vaker dat de config van netwerkje.com niet de meest ideale is, maar voordat ik dat idealer ga proberen te maken wil ik het gewoon eerst werkend hebben en ik hoop dat er mensen zijn die me willen helpen.

Alvast bedankt!
Knoose

Edit:
Volgens dit topic zou het om de dns van KPN kunnen gaan.Dit heb ik geprobeerd maar het werkt niet.
[MikroTik] KPN fiber routed IPTV veel zenders werken niet
Wel lijk ik dezelfde symptomen te hebben. Ook ben ik in het bezit van een VIP2952v2

Hier mijn config

code:

/interface bridge
add arp=proxy-arp igmp-snooping=yes name=bridge-LAN protocol-mode=none
add arp=proxy-arp name=bridge-local
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp l2mtu=1598 loop-protect=off
set [ find default-name=ether2 ] l2mtu=1598
/interface vlan
add interface=ether1 name=vlan1.4 vlan-id=4
add interface=ether1 loop-protect=off name=vlan1.6 vlan-id=6
/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=vlan1.6 keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=pppoe-client password=1234 user=1234@provider
/interface ethernet switch port
set 0 default-vlan-id=0
set 1 default-vlan-id=0
set 2 default-vlan-id=0
set 3 default-vlan-id=0
set 4 default-vlan-id=0
set 5 default-vlan-id=0
set 6 default-vlan-id=0
set 7 default-vlan-id=0
set 8 default-vlan-id=0
set 9 default-vlan-id=0
set 10 default-vlan-id=0
set 11 default-vlan-id=0
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
add code=28 name=option28-broadcast value="'10.8.3.255'"
/ip dhcp-server option sets
add name=IPTV options=option60-vendorclass,option28-broadcast
/ip pool
add name=thuisnetwerk ranges=10.8.3.71-10.8.3.122
/ip dhcp-server
add address-pool=thuisnetwerk disabled=no interface=bridge-local lease-time=1h30m name=dhcp-thuis
/ppp profile
set *0 only-one=yes use-compression=yes use-ipv6=no use-upnp=no
add name=default-ipv6 only-one=yes use-compression=yes use-upnp=no
/routing bgp instance
set default disabled=yes
/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=ether6
add bridge=bridge-local interface=ether7
add bridge=bridge-local interface=ether8
add bridge=bridge-local interface=ether9
add bridge=bridge-local interface=ether10
/ip address
add address=10.8.3.1/24 interface=bridge-local network=10.8.3.0
/ip dhcp-client
add default-route-distance=210 dhcp-options=option60-vendorclass disabled=no interface=vlan1.4 use-peer-dns=no use-peer-ntp=no
/ip dhcp-server config
set store-leases-disk=15m
/ip dhcp-server lease
add address=10.8.3.68 comment="Decoder 1" dhcp-option-set=IPTV mac-address=00:02:9B:D9:C5:B7 server=dhcp-thuis
/ip dhcp-server network
add address=10.8.3.0/24 dns-server=10.8.3.1 domain=thuis.local gateway=10.8.3.1
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d servers=84.200.69.80,84.200.70.40
/ip firewall filter
# no interface
add action=accept chain=input in-interface=pppoe-client protocol=icmp
add action=accept chain=input connection-state=related
add action=accept chain=input connection-state=established
# no interface
add action=reject chain=input in-interface=pppoe-client protocol=tcp reject-with=icmp-port-unreachable
# no interface
add action=reject chain=input in-interface=pppoe-client protocol=udp reject-with=icmp-port-unreachable
/ip firewall nat
# pppoe-client not ready
add action=masquerade chain=srcnat comment="Needed for internet" out-interface=pppoe-client src-address=10.8.0.0/16
add action=masquerade chain=srcnat comment="Needed for IPTV" dst-address=213.75.112.0/21 out-interface=vlan1.4
add action=masquerade chain=srcnat comment="Needed for IPTV" dst-address=217.166.0.0/16 out-interface=vlan1.4
/ip upnp
set show-dummy-rule=no
/ip upnp interfaces
add interface=bridge-local type=internal
add interface=pppoe-client type=external
/routing igmp-proxy
set quick-leave=yes
/routing igmp-proxy interface
add alternative-subnets=0.0.0.0/0 interface=vlan1.4 upstream=yes
add interface=bridge-LAN
/system clock
set time-zone-name=Europe/Amsterdam

[ Voor 9% gewijzigd door Knoose op 07-08-2020 22:27 ]

[mauricedetmers]

Dit is de IGMP-Proxy configuratie die bij mij werkt, misschien heb je daar wat aan?
Betreft de DNS in dat netwerk heb ik gewoon 8.8.8.8 en 8.8.4.4

code:

# aug/10/2020 15:19:21 by RouterOS 6.47
# software id = ***
#
# model = RouterBOARD 3011UiAS
# serial number = ***
/routing igmp-proxy
set query-interval=2m5s query-response-interval=10s quick-leave=no
/routing igmp-proxy interface
add alternative-subnets=213.75.0.0/16,10.142.64.0/18,0.0.0.0/0 disabled=no interface=vlan4-KPN-IPTV threshold=1 upstream=yes
add alternative-subnets="" disabled=no interface=bridge-HDB-IPTV threshold=1 upstream=no

[DenKn]

Zelf heb ik dezelfde multicast config als in de TS, en dat werkt prima met 0.0.0.0/0 als dit het enige muticast is wat je wil doen op je Mikrotik.

Wat mij opvalt is dat jij in de config 2 bridges hebt (bridge-local en bridge-LAN) en dat de box (ether3) aan bridge-local hangt, en dat het muticast verkeer op bridge-LAN plaatsvindt.

[Knoose]

Beste mauricedetmers en DenKn,

Allereerst hartelijk dank voor jullie reacties!
Ik ga vanavond de IGMP-proxy config eens uitproberen. De DNS die ik heb ingesteld is van DNS.watch, ik ben er niet echt een fan google dus als ik onder hun diensten uit kan komen dan doe ik dat met alle plezier

Wat mij opvalt is dat jij in de config 2 bridges hebt (bridge-local en bridge-LAN) en dat de box (ether3) aan bridge-local hangt, en dat het muticast verkeer op bridge-LAN plaatsvindt.

Daar vroeg ik me ook al iets over af, het komt wel regelrecht uit netwerkje.com ik heb hier al een beetje mee zitten vogelen maar de dingen die ik gedaan heb maakten alles stuk, en ik heb nog niet veel tijd gehad om dit verder aan te pakken.

Vooralsnog allebei bedankt voor het meedenken!

Met vriendelijke groet,
Knoose

[DenKn]

Daar vroeg ik me ook al iets over af, het komt wel regelrecht uit netwerkje.com ik heb hier al een beetje mee zitten vogelen maar de dingen die ik gedaan heb maakten alles stuk, en ik heb nog niet veel tijd gehad om dit verder aan te pakken.

Op netwerkje.com zie ik geen bridge-local, vermoedelijk is dat je eigen lokale bridge. Als je met die bridge tevreden bent, moet je wellicht de IGMP proxy en IGMP snooping op die bridge activeren. en bridge-LAN uitfaseren. Succes!

[ Voor 8% gewijzigd door DenKn op 13-08-2020 08:51 ]

[Knoose]

Beste DenKn,

Dank voor je input!

Ik heb even gekeken en bridge-local komt in de basis setup voor, idd niet in de setup voor routed IPTV.

Ik heb het inmiddels aan de praat gekregen. Het leek voor mij nodig om het MAc- address van de experiabox erin te verwerken en lag het ook nog aan het feit dat bridge-local en bridge-lan niet consistent gebruikt werden en beidde handleidingen op netwerkje.com.
Ik ben nog wat andere dingen aan het configureren (had wat moeite met portforwarding maar dat heb ik nu ook onder de knie zoals het gebruik van 'hair-pin' Nats). Zodra de config klaar is zal ik hem censureren op gevoelige info en online zetten voor andere mensen die er ook mee worstelen.

[Knoose]

Zoals beloofd mijn config.
In deze config is ook verwerkt dat ik een PFsense VM gebruik om verbinding te maken met een VPN provider (deze had ik al draaien in mijn vorige setup en aangezien deze daait op een PC die bijna altijd aanstaat en mikrotik zelf dit niet (goed) kan heb ik deze VM erin gehouden). De reden waarom ik die PFsense niet gebruik als standaard router is omdat ik dan veel poorten mis en de PC soms op onhandige momenten voor andere personen in het huis uitgaat.
Al het verkeer gaat in principe via die PFsense box muv het tv kastje en enkele servers die ik heb draaien, vandaar dat ik ook een alternate-gateway en alternate-dns richting de mikortik heb gespecificeerd voor een aantal static leases.
Mijn port forwards en static leases heb ik eruit geknipt.
Ook heb ik een aantal regels uit de tutorials van https://www.wirelessinfo.be/mikrotik-router-beveiligen/ overgenomen. Bijzonder informatief.

code:

/interface bridge
add arp=proxy-arp fast-forward=no igmp-snooping=yes name=bridge-local protocol-mode=none
/interface ethernet
set [ find default-name=ether1 ] arp=proxy-arp l2mtu=1598 loop-protect=off
set [ find default-name=ether2 ] l2mtu=1598
set [ find default-name=ether10 ] poe-out=off
/interface vlan
add arp=proxy-arp interface=ether1 name=vlan1.4 vlan-id=4
add interface=ether1 loop-protect=off name=vlan1.6 vlan-id=6
/interface pppoe-client
add add-default-route=yes allow=pap disabled=no interface=vlan1.6 keepalive-timeout=20 max-mru=1500 max-mtu=1500 name=pppoe-client password=kpn user=[mac-address-experiabox-v10]@provider
/interface ethernet switch port
set 0 default-vlan-id=0
set 1 default-vlan-id=0
set 2 default-vlan-id=0
set 3 default-vlan-id=0
set 4 default-vlan-id=0
set 5 default-vlan-id=0
set 6 default-vlan-id=0
set 7 default-vlan-id=0
set 8 default-vlan-id=0
set 9 default-vlan-id=0
set 10 default-vlan-id=0
set 11 default-vlan-id=0
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip dhcp-client option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
/ip dhcp-server option
add code=60 name=option60-vendorclass value="'IPTV_RG'"
add code=28 name=option28-broadcast value="'10.5.0.255'"
add code=3 name=Alternate-gateway value="'10.5.0.1'"
add code=6 name=Alternate-DNS value="'10.5.0.1'"
/ip dhcp-server option sets
add name=IPTV options=option60-vendorclass,option28-broadcast
/ip pool
add name=thuisnetwerk ranges=10.5.0.71-10.5.0.90
/ip dhcp-server
add address-pool=thuisnetwerk disabled=no interface=bridge-local lease-time=1h30m name=dhcp-thuis
/ppp profile
set *0 only-one=yes use-compression=yes use-upnp=no
/routing bgp instance
set default disabled=yes
/tool user-manager customer
set admin access=own-routers,own-users,own-profiles,own-limits,config-payment-gw
/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=ether6
add bridge=bridge-local interface=ether7
add bridge=bridge-local interface=ether8
add bridge=bridge-local interface=ether9
add bridge=bridge-local interface=ether10
/ip address
add address=10.5.0.1/24 interface=bridge-local network=10.5.0.0
/ip dhcp-client
add default-route-distance=210 dhcp-options=option60-vendorclass disabled=no interface=vlan1.4 use-peer-dns=no use-peer-ntp=no
/ip dhcp-server config
set store-leases-disk=15m
/ip dhcp-server lease
add address=10.5.0.68 comment="Decoder 1" dhcp-option=Alternate-DNS,Alternate-gateway dhcp-option-set=IPTV mac-address=[Mac-address-tvkastje] server=dhcp-thuis
/ip dhcp-server network
add address=10.5.0.0/24 boot-file-name="boot\\\\x64\\\\ipxescript.ipxe" dns-server=10.5.0.x,10.5.0.1 domain=thuis.local gateway=10.5.0.x,10.5.0.1 next-server=10.5.0.x
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d servers=84.200.69.80,84.200.70.40,195.121.1.34,195.121.1.66
/ip firewall address-list
add address=10.5.0.0/24 list=Management
add address=10.5.0.1 list=Routers
/ip firewall filter
add action=drop chain=input comment="Restrict access to router" dst-address-list=Routers dst-port=22,8291,[port-mikrotik-webinterface] in-interface=pppoe-client protocol=tcp src-address-list=!Management
add action=drop chain=input comment="dropping port scanners" src-address-list="port scanners"
add action=drop chain=input comment="Restrict DNS queries on TCP" dst-port=53 in-interface=pppoe-client protocol=tcp
add action=drop chain=input comment="Restrict DNS queries on UDP" dst-port=53 in-interface=pppoe-client protocol=udp
add action=accept chain=input in-interface=pppoe-client protocol=icmp
add action=accept chain=input connection-state=related
add action=accept chain=input connection-state=established
add action=accept chain=input disabled=yes in-interface=vlan1.4 protocol=igmp
add action=accept chain=input comment="IPTV IGMP" dst-address=224.0.0.0/8 in-interface=vlan1.4 protocol=igmp
add chain=input in-interface=vlan1.4 protocol=udp
add chain=forward in-interface=vlan1.4 protocol=udp
add action=reject chain=input in-interface=pppoe-client protocol=tcp reject-with=icmp-port-unreachable
add action=reject chain=input in-interface=pppoe-client protocol=udp reject-with=icmp-port-unreachable
add action=drop chain=input disabled=yes dst-address=[ISP-IP-address] in-interface=bridge-local port=[ip-port-mikrotik-webinterface] protocol=tcp
# add action=drop chain=forward comment="Drop all from WAN not NATted" connection-nat-state=!srcnat,dstnat
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="Port scanners to list " protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="NMAP FIN Stealth scan" protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="SYN/FIN scan" protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="SYN/RST scan" protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="FIN/PSH/URG scan" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="ALL/ALL scan" protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=input comment="NMAP NULL scan" protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
# add action=drop chain=input comment="Drop all"
/ip firewall nat
add action=masquerade chain=srcnat comment="Needed for IPTV" disabled=yes dst-address=213.75.112.0/21 out-interface=vlan1.4
add action=masquerade chain=srcnat comment="Needed for IPTV" disabled=yes dst-address=217.166.0.0/16 out-interface=vlan1.4
add action=masquerade chain=srcnat comment="Needed for IPTV" disabled=yes dst-address=10.207.0.0/20 out-interface=vlan1.4
add action=masquerade chain=srcnat out-interface=vlan1.4
add action=masquerade chain=srcnat comment="Needed for internet" out-interface=pppoe-client src-address=10.5.0.0/24
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www port=[aangepaste-port-voor-webconfig]
set api disabled=yes
set api-ssl disabled=yes
/ip ssh
set forwarding-enabled=remote strong-crypto=yes
/ip upnp
set show-dummy-rule=no
/ip upnp interfaces
add interface=bridge-local type=internal
add interface=pppoe-client type=external
/routing igmp-proxy
set quick-leave=yes
/routing igmp-proxy interface
add alternative-subnets=0.0.0.0/0 interface=vlan1.4 upstream=yes
add interface=bridge-local
/system clock
set time-zone-name=Europe/Amsterdam
/tool bandwidth-server
set enabled=no
/tool user-manager database
set db-path=user-manager