Printer bereikbaar op gast netwerk op een Edgerouter X SFP

[WoBoW]

Afgelopen tijd begon het te kriebelen dat eventuele gasten en IOT apparatuur op mijn netwerk overal bij kunnen komen. Tijd voor een apart gasten netwerk dus.
Ik heb T-Mobile glasvezel, waarbij de vezel direct naar een EdgeRouter X SFP zit. Daaraan hangen 3 Unifi AC-Lite/LR accespoints en de Unifi controller draait in Docker op mijn Synology NAS.

Hierin ben ik niet de enige en er is dus veel informatie te vinden. Ik heb grotendeels de handleiding gevolgd van: https://xdeb.org/post/202...dgerouter-guest-iot-vlan/ en alles nog eens gecheckt met de handleiding van https://www.wemustbegeeks...-and-unifi-access-points/
Alles werkt naar behoren, op het gastnetwerk (VLAN 20) krijg ik een IP uit de 192.168.2.x reeks ipv van de 1.x reeks en de 1.x reeks is niet benaderbaar, het internet is uiteraard beschikbaar.

Helaas krijg ik de printer en de chromecast (beide een vast IP in 1.x reeks) niet bereikbaar vanaf het gastennetwerk ondanks, naar mij inziens, correcte firewall regels. Is er iemand die een idee heeft, ik heb vast iets over het hoofd gezien?

Hieronder enkele screenshots van de instellingen.
Uit het dashboard van de EdgeRouter:

De routing in de EdgeRouter:

EdgeRouter firewall:

EdgeRouter firewall rulesets:


Mochten jullie nog meer screenshots of informatie nodig hebben van de Unifi Controller of Accespoints, laat even weten.

[ChaserBoZ_]

Die printer zou redelijk recht toe recht aan moeten werken, je kunt meekijken met het verkeer op één van je vlans als je met ssh inlogt op je Edgerouter.

Voor de Chromecast moet je mdns instellen, zie; https://www.cron.dk/edgerouter-and-chromecast/

[ Voor 49% gewijzigd door ChaserBoZ_ op 02-01-2021 15:59 ]

[Jeroen_ae92]

Juist, mdns repeater voor bonjour etc. Verder, je hebt de rules voor de printer en chromecast op de Guest_local ruleset gezet. Dat wordt em niet. Local is in dit geval de router zelf. Die rules gaan dan ook niet gehit worden. Die rules horen op de Guest_in en dan boven de block rule.

[qwasd]

Jeroen_ae92 schreef op zaterdag 2 januari 2021 @ 16:47:
Juist, mdns repeater voor bonjour etc. Verder, je hebt de rules voor de printer en chromecast op de Guest_local ruleset gezet. Dat wordt em niet. Local is in dit geval de router zelf. Die rules gaan dan ook niet gehit worden. Die rules horen op de Guest_in en dan boven de block rule.

Dit inderdaad.
Op GUEST_IN de printer toelaten en via de config tree onder "service - mdns - repeater" de interfaces toevoegen. Vervolgens zou het moeten werken.

En als het om een draadloze printer gaat neem ik aan dat je je netwerken op unifi hebt toegevoegd met vlan only en geen specifieke policies op je SSIDS hebt staan.

[ Voor 15% gewijzigd door qwasd op 02-01-2021 19:29 ]

[WoBoW]

Jeroen_ae92 schreef op zaterdag 2 januari 2021 @ 16:47:
Juist, mdns repeater voor bonjour etc. Verder, je hebt de rules voor de printer en chromecast op de Guest_local ruleset gezet. Dat wordt em niet. Local is in dit geval de router zelf. Die rules gaan dan ook niet gehit worden. Die rules horen op de Guest_in en dan boven de block rule.

Bedankt Jeroeon_ae92! Ik heb de veranderingen doorgevoerd, maar helaas is de printer nog niet bereikbaar. Heb je nog ideëen?

[WoBoW]

ChaserBoZ_ schreef op zaterdag 2 januari 2021 @ 15:58:
Die printer zou redelijk recht toe recht aan moeten werken, je kunt meekijken met het verkeer op één van je vlans als je met ssh inlogt op je Edgerouter.

Voor de Chromecast moet je mdns instellen, zie; https://www.cron.dk/edgerouter-and-chromecast/

Daar ga ik mee aan de slag, bedankt voor het linkje!

[Jeroen_ae92]

WoBoW schreef op zondag 3 januari 2021 @ 13:59:
[...]

Bedankt Jeroeon_ae92! Ik heb de veranderingen doorgevoerd, maar helaas is de printer nog niet bereikbaar. Heb je nog ideëen?

Heb je die rule boven die block rule geplaatst? Hoe zoek je de printer eigenlijk? Via windows tcp of iets als airprint? Doe anders even de output van de volgende cli commando’s posten:

Configure
Show firewall name GUEST_IN
Show service mdns

[WoBoW]

Jeroen_ae92 schreef op zondag 3 januari 2021 @ 18:26:
[...]


Heb je die rule boven die block rule geplaatst? Hoe zoek je de printer eigenlijk? Via windows tcp of iets als airprint? Doe anders even de output van de volgende cli commando’s posten:

Configure
Show firewall name GUEST_IN
Show service mdns

Bedankt voor het meedenken!
Ik had de rules idd boven de block rule geplaatst (zie hieronder). Om te testen bezoek ik de interne webserver van de printer, dus gewoon tcp-ip op poort 80.

En hierbij de config van firewall GUEST-IN:

code:

 default-action accept                                                            
 description ""                                                                   
 rule 10 {                                                                        
     action accept                                                                
     description "Allow established/related"                                      
     log disable                                                                  
     protocol all                                                                 
     state {                                                                      
         established enable                                                       
         invalid disable                                                          
         new disable                                                              
         related enable                                                           
     }                                                                            
 }                                                                                
 rule 20 {                                                                        
     action accept                                                                
     description "Allow Printer"                                                  
     destination {                                                                
         address 192.168.1.5                                                      
     }                                                                            
     log disable                                                                  
     protocol all                                                                 
 }                                                                                
 rule 30 {
     action accept
     description "Allow Chromecast"
     destination {
         address 192.168.1.10
     }
     log disable
     protocol all
 }
 rule 40 {
     action drop
     description "Drop invalid"
     log disable
     protocol all
     state {
         established disable
         invalid enable
         new disable
         related disable
     }
 }
 rule 50 {
     action drop
     description "Block local access"
     destination {
         address 192.168.1.1-192.168.2.254
     }
     log disable
     protocol all
 }

En van de mdns repeater:

code:

 repeater {                                                                       
     interface switch0.20                                                         
     interface switch0                                                            
 }

En hierbij ook gelijk maar de hele config fle: http://gofile.me/5lKoA/OExY9DcJu

Misschien wel goed om te noemen, dat i.v.m. T-Mobile de WAN poort (eth5) alles over vlan 300 stuurt.

[Jeroen_ae92]

Ziet er allemaal goed uit. Kun je vanuit je Guest netwerk bijvoorbeeld wel een ping doen naar de printer?

[WoBoW]

Jereoen_ae92, het is ongelofelijk (gisteravond nog wel even een herstart gedaan van de router) en ja hoor, wel nog wat instabiel:

Maar na nog een paar keer:


En de web interface van de printer is nu ook gewoon bereikbaar.

Naar mijn Chromecast is het wel gewoon stabiel, dus het moet bij mijn printer liggen.


De rest van het privé IP range blijft onbereikbaar, precies zoals het hoort.

Hartelijk dank voor alle hulp!

[ Voor 3% gewijzigd door WoBoW op 04-01-2021 15:28 ]