ERX & Unifi AP: VLAN werkt wel WIRED maar niet WIRELESS

woensdag 23 december 2020 19:22

Acties:

0 Henk 'm!

Topicstarter

Mijn vraag
Ik heb mijn EdgeRouter X VLAN-aware ingesteld met een LAN en vijf VLANs.

Computers die bedraad zijn verbonden op verschillende VLANs (bijv. Eth1: pvid=110 en Eth2: pvid=120) die kunnen elkaar bereiken met ping. Tenminste: ik heb firewall zo ingesteld dat VLAN110 wel kan pingen naar VLAN120 en omgekeerd niet.

Maar als mijn computers draadloos zijn verbonden (via Unifi AP) dan kunnen ze dat opeens niet!

Bovendien hebben ze geen toegang tot de ubnt router (en ook niet tot de Ziggo router waar de ERX op is aangesloten). Maar wel gewoon tot websites buiten mijn netwerk.

Ik heb al uren zoekwerk er in zitten, maar kom er niet uit. Iemand een idee? Ik word hier helemaal

Moet ik zoeken in de ERX of in het AP? (In het AP stel je volgens mij eigenlijk niet veel meer in dan: deze SSID hoort bij deze VLAN en dat lijkt gewoon te werken?). Iets met 'routing'?

Relevante software en hardware die ik gebruik
EdgeRouter X (ERX) en Unifi Access Point (AP)

Wat ik al gevonden of geprobeerd heb
Ik heb verschillende scenarios uitgezocht, bedraad en niet bedraad. Daarbij heb ik draadloos uitgeprobeerd met pvid=leeg (dus AP krijgt IP-adres van LAN) en met pvid=160 (dus AP krijgt IP-adres van VLAN160). Zie plaatjes van instellingen switch0 en van de tests die ik heb uitgevoerd.

Afbeeldingslocatie: https://tweakers.net/i/NTLsBqDMfAyAfIuuAj6jZwr0PgU=/800x/filters:strip_exif()/f/image/lO8GYoLF96H2Hs9Fk4OKW7F5.png?f=fotoalbum_large

Afbeeldingslocatie: https://tweakers.net/i/sK1qpd5486Z7VE7n_JF06WEAqeI=/full-fit-in/4000x4000/filters:no_upscale():fill(white):strip_exif()/f/image/qHQOBNlACHSbS5ecM6ASZGXn.png?f=user_large

- beide computers draadloos op VLAN110: kunnen elkaar pingen (is zoals verwacht)
- een computer draadloos op VLAN110 en een bedraad op VLAN110: kunnen elkaar niet pingen (is niet zoals verwacht)
- een computer draadloos op VLAN160 (dus dezelfde VLAN als het AP): kan wel pingen met andere opties, maar nog steeds niet met draadloos op VLAN110.

code:

firewall {
    all-ping enable
    broadcast-ping disable
    group {
        address-group myVLANs {
            address 10.0.110.0/24
            address 10.0.120.0/24
            address 10.0.130.0/24
            address 10.0.140.0/24
            address 10.0.150.0/24
            address 10.0.160.0/24
            description "Local VLANs"
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name WAN_IN {
        default-action drop
        description "WAN to internal"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name vlan120in {
        default-action accept
        description "Prevent access VLAN200"
        rule 30 {
            action drop
            description "Drop VLANs"
            destination {
                group {
                    address-group myVLANs
                }
            }
            log disable
            protocol all
            source {
            }
            state {
                established disable
                invalid disable
                new enable
                related disable
            }
        }
        rule 40 {
            action drop
            description "DROP Ziggo Router"
            destination {
                address 192.168.178.1
            }
            log disable
            protocol all
        }
    }
    name vlan120local {
        default-action drop
        description "Prevent access to router"
        rule 1 {
            action accept
            description "allow DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 2 {
            action accept
            description "allow DHCP"
            destination {
                port 67
            }
            log disable
            protocol udp
        }
    }
    name vlan140in {
        default-action accept
        description "Prevent access VLAN200"
        rule 30 {
            action drop
            description "Drop VLANs"
            destination {
                group {
                    address-group myVLANs
                }
            }
            log disable
            protocol all
            source {
            }
            state {
                established disable
                invalid disable
                new enable
                related disable
            }
        }
        rule 40 {
            action drop
            description "DROP Ziggo Router"
            destination {
                address 192.168.178.1
            }
            log disable
            protocol all
        }
    }
    name vlan140local {
        default-action drop
        description "Prevent access to router"
        rule 1 {
            action accept
            description "allow DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 2 {
            action accept
            description "allow DHCP"
            destination {
                port 67
            }
            log disable
            protocol udp
        }
    }
    name vlan150in {
        default-action accept
        description "Prevent access VLAN200"
        rule 30 {
            action drop
            description "Drop VLANs"
            destination {
                group {
                    address-group myVLANs
                }
            }
            log disable
            protocol all
            source {
            }
            state {
                established disable
                invalid disable
                new enable
                related disable
            }
        }
        rule 40 {
            action drop
            description "DROP Ziggo Router"
            destination {
                address 192.168.178.1
            }
            log disable
            protocol all
        }
    }
    name vlan150local {
        default-action drop
        description "Prevent access to router"
        rule 1 {
            action accept
            description "allow DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
        rule 2 {
            action accept
            description "allow DHCP"
            destination {
                port 67
            }
            log disable
            protocol udp
        }
    }
    name vlan200in {
        default-action accept
        description "Prevent access VLAN200"
        rule 10 {
            action accept
            description "allow 10.0.110.12"
            destination {
                address 10.0.110.12
            }
            log disable
            protocol all
        }
        rule 20 {
            action accept
            description "allow 10.0.110.13"
            destination {
                address 10.0.110.13
            }
            log disable
            protocol all
        }
        rule 30 {
            action drop
            description "Drop VLANs"
            destination {
                group {
                    address-group myVLANs
                }
            }
            log disable
            protocol all
            source {
            }
            state {
                established disable
                invalid disable
                new enable
                related disable
            }
        }
        rule 40 {
            action drop
            description "DROP Ziggo Router"
            destination {
                address 192.168.178.1
            }
            log disable
            protocol all
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        address dhcp
        description Internet
        duplex auto
        firewall {
            in {
                name WAN_IN
            }
            local {
                name WAN_LOCAL
            }
        }
        speed auto
    }
    ethernet eth1 {
        description Local
        duplex auto
        speed auto
    }
    ethernet eth2 {
        description Local
        duplex auto
        speed auto
    }
    ethernet eth3 {
        description Local
        duplex auto
        speed auto
    }
    ethernet eth4 {
        description Local
        duplex auto
        speed auto
    }
    loopback lo {
    }
    switch switch0 {
        address 192.168.1.1/24
        description Local
        mtu 1500
        switch-port {
            interface eth1 {
                vlan {
                    pvid 110
                }
            }
            interface eth2 {
                vlan {
                    pvid 160
                }
            }
            interface eth3 {
                vlan {
                    vid 110
                    vid 120
                    vid 130
                    vid 140
                    vid 150
                }
            }
            interface eth4 {
                vlan {
                    pvid 160
                    vid 110
                    vid 120
                    vid 130
                    vid 140
                    vid 150
                }
            }
            vlan-aware enable
        }
        vif 110 {
            address 10.0.110.1/24
            description "HOME1 devices"
            mtu 1500
        }
        vif 120 {
            address 10.0.120.1/24
            description "HOME2 devices"
            firewall {
                in {
                    name vlan120in
                }
                local {
                    name vlan120local
                }
            }
            mtu 1500
        }
        vif 130 {
            address 10.0.130.1/24
            description "HOME3 restricted"
            mtu 1500
        }
        vif 140 {
            address 10.0.140.1/24
            description IOT
            firewall {
                in {
                    name vlan140in
                }
                local {
                    name vlan140local
                }
            }
            mtu 1500
        }
        vif 150 {
            address 10.0.150.1/24
            description GUEST
            firewall {
                in {
                    name vlan150in
                }
                local {
                    name vlan150local
                }
            }
            mtu 1500
        }
        vif 160 {
            address 10.0.160.1/24
            description "Unifi APs"
            mtu 1500
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update enable
        shared-network-name LAN {
            authoritative enable
            subnet 192.168.1.0/24 {
                default-router 192.168.1.1
                dns-server 192.168.1.1
                lease 86400
                start 192.168.1.38 {
                    stop 192.168.1.243
                }
            }
        }
        shared-network-name VLAN110HOME1 {
            authoritative enable
            subnet 10.0.110.0/24 {
                default-router 10.0.110.1
                lease 86400
                start 10.0.110.20 {
                    stop 10.0.110.200
                }
                static-mapping remco-laptop {
                    ip-address 10.0.110.9
                    mac-address e0:69:95:cc:d1:8d
                }
            }
        }
        shared-network-name VLAN120HOME2 {
            authoritative enable
            subnet 10.0.120.0/24 {
                default-router 10.0.120.1
                lease 86400
                start 10.0.120.20 {
                    stop 10.0.120.200
                }
            }
        }
        shared-network-name VLAN130HOME3 {
            authoritative enable
            subnet 10.0.130.0/24 {
                default-router 10.0.130.1
                lease 86400
                start 10.0.130.20 {
                    stop 10.0.130.200
                }
            }
        }
        shared-network-name VLAN140IOT {
            authoritative enable
            subnet 10.0.140.0/24 {
                default-router 10.0.140.1
                lease 86400
                start 10.0.140.20 {
                    stop 10.0.140.200
                }
            }
        }
        shared-network-name VLAN150GUEST {
            authoritative enable
            subnet 10.0.150.0/24 {
                default-router 10.0.150.1
                lease 86400
                start 10.0.150.20 {
                    stop 10.0.150.200
                }
            }
        }
        shared-network-name VLAN160UNIFI {
            authoritative enable
            subnet 10.0.160.0/24 {
                default-router 10.0.160.1
                lease 86400
                start 10.0.160.20 {
                    stop 10.0.160.200
                }
            }
        }
        static-arp disable
        use-dnsmasq enable
    }
    dns {
        forwarding {
            cache-size 150
            listen-on switch0.110
            listen-on switch0.120
            listen-on switch0.130
            listen-on switch0.140
            listen-on switch0.150
            listen-on switch0.160
            system
        }
    }
    gui {
        http-port 80
        https-port 443
        older-ciphers enable
    }
    nat {
        rule 5010 {
            description "masquerade for WAN"
            outbound-interface eth0
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    unms {
        disable
    }
}
system {
    domain-name home.local
    host-name ubnt2
    name-server 1.1.1.1
    name-server 1.0.0.1
    name-server 127.0.0.1
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
}

/* Release version: v1.10.11.5274269.200221.1028 */

Alvast bedankt voor het meedenken!
...

donderdag 24 december 2020 12:45

ed1703

eventueel zijn met een

code:

1	ebtables -t nat -F

de tables leeg, deze zijn echter met een complete reboot weer terug.
Weet anders echt niet waar het probleem zit.

Dit doet je op het AP.
Weet niet of een backup terugzetten met forgetten van het AP the way is, want je weet nu nog niet waar de fout zit.

[ Voor 28% gewijzigd door ed1703 op 24-12-2020 13:02 ]

woensdag 23 december 2020 20:29

Acties:

+1 Henk 'm!

GlowMouse

Je zegt "Eth2: pvid=120", maar in je screenshot staat 160.

Het verschil tussen eth3 en eth4 is de pvid, die wordt gebruikt voor verkeer naar de AP zelf. Als je een pvid invult, moet je die ook instellen als management VLAN op het AP (unifi settings, networks, LAN, advanced, VLAN ID).

Tussen wired110 en wireless110 zou ik het AP verdenken. Hier was iemand met een vergelijkbaar probleem, en na een firmware update werkte het wel:
https://community.ui.com/...70-4264-9b25-bc0858133631

Het kan helpen om met tcpdump op de ER te kijken hoever het pingpakketje komt. Bereikt het 'de andere kant', komt er een reply, enz. Tcpdump werkt helaas niet tussen verkeer dat volledig binnen de switch0.x interface blijft, dus het werkt niet voor verkeer op hetzelfde vlan.

code:

1	sudo tcpdump -i switch0.110 icmp

donderdag 24 december 2020 00:13

Acties:

0 Henk 'm!

remco12345

Topicstarter

Bedankt voor je reactie.

Je zegt "Eth2: pvid=120", maar in je screenshot staat 160.

Klopt, ik heb even getest met VLAN160 zodat mijn firewall rules voor 120 niet in de weg zouden zitten.

Het verschil tussen eth3 en eth4 is de pvid, die wordt gebruikt voor verkeer naar de AP zelf. Als je een pvid invult, moet je die ook instellen als management VLAN op het AP (unifi settings, networks, LAN, advanced, VLAN ID).

Ik heb dit geprobeerd, maar kan die optie niet vinden. Als ik een nieuw netwerk definieer kan ik die een VLAN id meegeven, maar ik zie geen optie om de huidige LAN aan te passen en een VLAN id te geven?

Tussen wired110 en wireless110 zou ik het AP verdenken. Hier was iemand met een vergelijkbaar probleem, en na een firmware update werkte het wel:
https://community.ui.com/...70-4264-9b25-bc0858133631

Vanmorgen heb ik de controller en het AP geüpdatet. Dus dat zou goed moeten zijn. Een factory reset heb ik nog even niet geprobeerd. Die stel ik liever nog even uit...

Het kan helpen om met tcpdump op de ER te kijken hoever het pingpakketje komt. Bereikt het 'de andere kant', komt er een reply, enz. Tcpdump werkt helaas niet tussen verkeer dat volledig binnen de switch0.x interface blijft, dus het werkt niet voor verkeer op hetzelfde vlan.

Die kende ik nog niet! Weer wat geleerd. Vanavond uitgeprobeerd en een paar dingen vallen op (maar daarmee weet ik nog niet hoe op te lossen):

Ping wired VLAN110 naar wireless VLAN130: geen output: waarom niet eens output? Die bereikt de switch0.110 niet eens?
Ping wired VLAN110 naar wired VLAN130: request, no reply

Hopelijk leidt dit tot suggesties? Zo niet dan vrees ik dat ik die factory reset moet gaan doen...

Ter info nog de details van de tcpdump:

Afbeeldingslocatie: https://tweakers.net/i/3ycanGFobsA7rcsW0p5DtiwrLC4=/800x/filters:strip_exif()/f/image/ojfdQf4ajw1DfNlIP3zR7u4L.png?f=fotoalbum_large

donderdag 24 december 2020 00:23

Acties:

0 Henk 'm!

GlowMouse

Bij de ping van VLAN110 naar VLAN130, is de lege output van tcpdump op switch0.110 of op switch0.130? Kun je bij de laatste ping ook eens kijken naar switch0.130 om te zien of de ping ook op die interface zichtbaar is? Je ziet dan ook of de computer een antwoord stuurt.

Ik heb dit geprobeerd, maar kan die optie niet vinden. Als ik een nieuw netwerk definieer kan ik die een VLAN id meegeven, maar ik zie geen optie om de huidige LAN aan te passen en een VLAN id te geven?

Ik gebruik controller 6.x. Links onderaan zit een tandwiel voor settings, in de balk die verschijnt klik je onder wifi op networks, bij LAN staat rechts 'edit', dan kun je advanced uitklappen en is het eerste veld voor VLAN ID). Een alternatief is om in het linkermenu naar Devices te gaan, het AP aan te klikken, dan klik je in de rechterbalk die verschijnt op het tandwiel, dan ga je naar Services, en kun je ook het Management VLAN instellen.

donderdag 24 december 2020 09:35

Acties:

0 Henk 'm!

remco12345

Topicstarter

Als ik wissel van 'classic view' naar een view met nieuwe features dan zie ik die optie inderdaad wel. Maar het vakje VLAN is grijs: ik kan het niet aanpassen.

Ik heb de tcpdump herhaald terwijl ik kijk naar zowel switch0.110 als 0.130:

Met AP in poort eth3 dus geen VLAN pvid:
- Wireless VLAN110 ping naar Wireless 130: allebei geven geen output
- Wired VLAN110 ping naar Wireless 130: allebei geven output met ICMP echo request, maar zonder reply
Met AP in poort eth4 dus als VLAN160:
- Wireless VLAN160 ping naar Wireless 130: allebei geven output met ICMP echo request, maar zonder reply. Het is vreemd dat dit scenario nu wel output geeft en hierboven niet?
- Wired VLAN110 ping naar Wireless 130: allebei geven output met ICMP echo request, maar zonder reply

Vanwege het feit dat de ERX router achter de Ziggo router zit (dubbele NAT?) heb ik ook nog geprobeerd wat er gebeurt als ik eth0 loskoppel (dus WAN). Dan gaan ze wel allebei piepen dat ze geen toegang tot internet meer hebben, maar het effect van ping is ongewijzigd. Dus daar lijkt het niet aan te liggen.

donderdag 24 december 2020 09:54

Acties:

0 Henk 'm!

ed1703

remco12345 schreef op donderdag 24 december 2020 @ 09:35:
Als ik wissel van 'classic view' naar een view met nieuwe features dan zie ik die optie inderdaad wel. Maar het vakje VLAN is grijs: ik kan het niet aanpassen.

Ik heb de tcpdump herhaald terwijl ik kijk naar zowel switch0.110 als 0.130:
Met AP in poort eth3 dus geen VLAN pvid:
- Wireless VLAN110 ping naar Wireless 130: allebei geven geen output
- Wired VLAN110 ping naar Wireless 130: allebei geven output met ICMP echo request, maar zonder reply
Met AP in poort eth4 dus als VLAN160:
- Wireless VLAN160 ping naar Wireless 130: allebei geven output met ICMP echo request, maar zonder reply. Het is vreemd dat dit scenario nu wel output geeft en hierboven niet?
- Wired VLAN110 ping naar Wireless 130: allebei geven output met ICMP echo request, maar zonder reply

Zie je die echo-requests wel voorbij komen op je access-point?
ssh naar je AP, tcpdump -i br0.vlanid of eth0.vlanid of athx.vlaid athx kan ath1 of ath4 e.d. zijn.
echo reply is nu misschien wat minder boeiend, ik ben vooral benieuwd of het verkeer bij de NIC van het AP aankomt.

donderdag 24 december 2020 11:20

Acties:

0 Henk 'm!

remco12345

Topicstarter

Ja, het AP ziet de echo requests wel langskomen.

Ingelogd op AP heb ik "tcpdump -i br0.110" en "tcpdump -i br0.130" naast elkaar gedraaid.
- Wireless VLAN110 ping naar Wireless VLAN130: ICMP echo request bij beide
- Wired VLAN110 ping naar Wireless VLAN130: ICMP echo request bij VLAN130, maar niet bij VLAN110 (op zich is dat logisch want wired VLAN110 gaat niet via het AP)

donderdag 24 december 2020 11:32

Acties:

+1 Henk 'm!

valkenier

Ehm, kan het zo zijn dat je op je AP guest policies aan hebt staan, waardoor adressen uit de private range niet te bereiken zijn?

donderdag 24 december 2020 11:41

Acties:

0 Henk 'm!

remco12345

Topicstarter

Ik heb de guest policies / guest portal niet aan staan bij Guest Control.

Wel zie ik bij Guest Control dat er bij Access Control bij ‘post authorisation restrictions’ drie ranges zijn ingevuld, maar ik geloof niet dat ik dat zelf had gedaan en die zouden niet in de weg moeten zitten omdat het portal niet aan staat? Het zijn 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8

donderdag 24 december 2020 12:35

Acties:

0 Henk 'm!

ed1703

remco12345 schreef op donderdag 24 december 2020 @ 11:41:
Ik heb de guest policies / guest portal niet aan staan bij Guest Control.

Wel zie ik bij Guest Control dat er bij Access Control bij ‘post authorisation restrictions’ drie ranges zijn ingevuld, maar ik geloof niet dat ik dat zelf had gedaan en die zouden niet in de weg moeten zitten omdat het portal niet aan staat? Het zijn 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8

Die staan standaard zo. Kan zijn dat je ze toevallig op WLAN-netwerken hebt aangevinkt. Dit lijkt er namelijk wel heel erg op. Vooral omdat het verkeer wel aankomt bij je AP. Wat zou betekenen dat er met de config van je edgerouter weinig mis is, want anders zou je echo's op het AP niet zien.

donderdag 24 december 2020 12:44

Acties:

0 Henk 'm!

remco12345

Topicstarter

Je zou denken dat het in het AP zit inderdaad... Ik heb nog nagekeken en "Apply guest policies (captive portal, guest authentication, access)" staat toch echt uit voor de SSIDs die ik gebruik.

Ik vrees dat het toch een reset gaat worden...

Even voor de zekerheid, dat wordt dan dus:
1. backup maken van Unifi Controller
2. forget AP vanuit Unifi Controller
3. Unifi Controller verwijderen van mijn Mac
4. Unifi Controller opnieuw installeren op mijn Mac
5. installatie uitvoeren en AP weer adopteren

donderdag 24 december 2020 12:45

Acties:

Beste antwoord ✓
+1 Henk 'm!

ed1703

eventueel zijn met een

code:

1	ebtables -t nat -F

de tables leeg, deze zijn echter met een complete reboot weer terug.
Weet anders echt niet waar het probleem zit.

Dit doet je op het AP.
Weet niet of een backup terugzetten met forgetten van het AP the way is, want je weet nu nog niet waar de fout zit.

[ Voor 28% gewijzigd door ed1703 op 24-12-2020 13:02 ]

donderdag 24 december 2020 13:05

Acties:

0 Henk 'm!

remco12345

Topicstarter

Je bent een HELD

Ik stond echt op het punt de reset en een heleboel gedoe te gaan doen, maar deze code was de oplossing !!
Nu even uit interesse: wat zijn dat voor tabellen die ik hiermee leeg gooi?

donderdag 24 december 2020 13:08

Acties:

0 Henk 'm!

ed1703

remco12345 schreef op donderdag 24 december 2020 @ 13:05:
Je bent een HELD

Ik stond echt op het punt de reset en een heleboel gedoe te gaan doen, maar deze code was de oplossing !!
Nu even uit interesse: wat zijn dat voor tabellen die ik hiermee leeg gooi?

Dat zijn dus de Guest Policy's.
En als je nu het AP reboot?

donderdag 24 december 2020 13:33

Acties:

0 Henk 'm!

remco12345

Topicstarter

Hmmmm... iets te vroeg gejuicht misschien.

Ik heb het AP gereboot en verschillende testen succesvol gedaan tussen wired110/wireless110/wireless130. Maar een minuut of 10 later werkt het allemaal opeens niet meer.

donderdag 24 december 2020 23:03

Acties:

+2 Henk 'm!

remco12345

Topicstarter

Inmiddels een paar uurtjes en een paar reboots verder lijkt de setup nu toch echt wel stabiel.
Er was nog een oude SSID ingesteld in de controller / het AP naar een VLAN dat niet (meer) bestaat en die had wel guest policies. Misschien dat die toch op een of andere manier in de weg zat? Hoe dan ook, fingers crossed dat het zo blijft en bedankt @GlowMouse, @valkenier en zeker ook @ed1703 voor jullie adviezen! $_/-\o_$

Onderwerpen

Vraag

Beste antwoord (via remco12345 op 24-12-2020 23:03)

Alle reacties