Vreemd probleem met Unifi USG (3p) en internetverbinding

[Montalbano]

Mijn thuisnetwerk bestaat uit een KPN Experia box met daarachter een Unifi USG (3p) router, 3 AP's, 2 switches, een Cloudkey plus v2 en wat camera's.

Op zich werkt dit allemaal als een tierelier... totdat ik de IDS of IPS functionaliteit aanzet. Zodra ik dat doe, dan knalt binnen een paar dagen, altijd in de nacht, de internetverbinding eruit. Het hele interne netwerk blijft werken, maar alle apparaten verliezen hun internetverbinding.
Bijkomstig vreemd verschijnsel: de toegang tot mijn Homey domotica apparaat dat ook in dat netwerk zit, via de app (en cloud), werkt op die momenten als enige nog wel.
Stekker uit de USG en opnieuw opstarten lost het weer op.

Ik heb hierover met Ubiquity contact gehad, die me de ARP cache timeout hebben laten aanpassen naar 30 seconden. Dat klonk plausibel, maar lost het probleem helaas niet op.
Het volgende advies is het vervangen van de USG door een Dream Router of UDM pro, omdat "de USG al een oud apparaat is".

Zonder IDS/IPS blijft alles prima werken, maar ik vind het irritant dat ik geen gebruik kan maken van die mogelijkheden.

Misschien is er iemand die een briljant idee heeft wat ik nog zou kunnen proberen? Ik moet er bij vertellen dat ik prima mijn weg kan vinden in de grafische interfaces maar wat minder onderlegd ben in het hele command line gebeuren.

[vali]

Geen idee of het probleem nog speelt. Mocht dat nog zo zijn zou je zou kunnen kijken wat de load is van je USG. Is die in de nacht veel hoger dan overdag?

[ Voor 27% gewijzigd door vali op 27-10-2023 09:38 ]

[Montalbano]

Dank voor je antwoord. Ik heb hem uiteindelijk vervangen door een andere router (UniFi Dream Router). Daar na een paar stabiele maanden nu ook issues mee, bevriest compleet eens in de zoveel dagen. Lijkt een veelvoorkomend issue helaas. Volgende lichting netwerk spullen wordt een ander merk ben ik bang.

[Verwijderd]

Ik heb op een gegeven moment de adapter vervangen. De bijgeleverde bleek na al die jaren crappy. Daarna nooit meer last gehad.

[DutchKel]

Waarom heb je eigenlijk de dream machine en kpn router tegelijkertijd in gebruik?

Je hebt daardoor een dubbele nat wat sowieso onwenselijk is.

[Montalbano]

DutchKel schreef op vrijdag 27 oktober 2023 @ 18:36:
Waarom heb je eigenlijk de dream machine en kpn router tegelijkertijd in gebruik?

Je hebt daardoor een dubbele nat wat sowieso onwenselijk is.

Nou eigenlijk omdat het prima werkt met een paar port forwards op de kpn router. Dus ik had weinig reden om dat anders te doen. Ik heb de kpn tv kastjes direct aan de kpn aangesloten.

[vali]

DutchKel schreef op vrijdag 27 oktober 2023 @ 18:36:
Waarom heb je eigenlijk de dream machine en kpn router tegelijkertijd in gebruik?

Je hebt daardoor een dubbele nat wat sowieso onwenselijk is.

Zo erg is dubbele nat ook weer niet, plaatst hem in DMZ en je kan in meeste gevallen prima ermee werken. Verder is KPN druk bezig overal glas te plaatsen, dan kan je sowieso de experiabox er tussen vandaan halen.

Montalbano schreef op vrijdag 27 oktober 2023 @ 18:25:
Dank voor je antwoord. Ik heb hem uiteindelijk vervangen door een andere router (UniFi Dream Router). Daar na een paar stabiele maanden nu ook issues mee, bevriest compleet eens in de zoveel dagen. Lijkt een veelvoorkomend issue helaas. Volgende lichting netwerk spullen wordt een ander merk ben ik bang.

Heb je daar hoge load? Heb zelf alleen ervaring met de dream machine pro en daar merkte ik dat ids/ips en flink wat vlans (en data) voor hoge ram gebruik zorgde. Hoe is dat bij jou? Zag zelf met gemak 70% van de 4G. De dream machine heeft 2GB en het kan zijn dat je tot zijn max zit qua geheugen. Je zou ook hier kunnen kijken om ram gebruik iets te tweaken.

Verder hebben de dm en de dmp beide flink wat updates ontvangen. Beide zijn niet eens te herkennen met de build die ze in het begin hebben gekregen. Het maakt hierdoor moeilijker om goede oplossingen te vinden, gezien vele verwijzen naar oude informatie. Heb je al een ticket aangemaakt bij ubiquiti?

[ Voor 58% gewijzigd door vali op 29-10-2023 22:11 ]

[DutchKel]

vali schreef op zondag 29 oktober 2023 @ 21:36:
[...]

Zo erg is dubbele nat ook weer niet, plaatst hem in DMZ en je kan in meeste gevallen prima ermee werken. Verder is KPN druk bezig overal glas te plaatsen, dan kan je sowieso de experiabox er tussen vandaan halen.

Waarom denk je dat het probleemloos werkt?

Lees de verschillende artikelen op internet maar eens en verdiep je maar in nat en je snapt dat het onwenselijk is en dat het ook vreemde problemen kan geven.

Voorbeeld artikel waar het in detail wordt uitgelegd:
https://kb.netgear.com/30...ble-NAT-and-why-is-it-bad

Je ARP tabellen die voor de vertalingen zorgen van het interne netwerk naar het externe netwerk werken niet correct als er een dubbele nat wordt gebruikt. Het gaat vaak al helemaal mis als beide netwerken ook nog eens dezelfde ip adressen reeks gebruiken.

Vooral de speciale functies van ubiquiti raken daardoor van slag omdat je van een lokaal ip adres naar een lokaal ip adres gaat met een willekeurige poort ipv dat je direct met de eindserver via de normale route communiceert.

[vali]

DutchKel schreef op zondag 29 oktober 2023 @ 22:57:
[...]

Waarom denk je dat het probleemloos werkt?

Lees de verschillende artikelen op internet maar eens en verdiep je maar in nat en je snapt dat het onwenselijk is en dat het ook vreemde problemen kan geven.

Voorbeeld artikel waar het in detail wordt uitgelegd:
https://kb.netgear.com/30...ble-NAT-and-why-is-it-bad

Je ARP tabellen die voor de vertalingen zorgen van het interne netwerk naar het externe netwerk werken niet correct als er een dubbele nat wordt gebruikt. Het gaat vaak al helemaal mis als beide netwerken ook nog eens dezelfde ip adressen reeks gebruiken.

Vooral de speciale functies van ubiquiti raken daardoor van slag omdat je van een lokaal ip adres naar een lokaal ip adres gaat met een willekeurige poort ipv dat je direct met de eindserver via de normale route communiceert.

Het kan issues veroorzaken maar deze zijn zeker wel op te lossen. Je moet alleen ervoor zorgen dat deze niet te oud zijn. Ben verder benieuwd welke speciale functies in de war kunnen raken van dubbele nat

Het kan misschien onwenselijk zijn, maar heb zeker prima werkende omgevingen gezien (helemaal als je bekijkt dat we het hier over een thuisomgeving hebben).

Verder stukje over

Online games
VPN connections
Port forwarding and triggering
Secure websites that use SSL

Deze problemen ervaar je niet als je dubele nat gebruikt en het achter een DMZ plaatst. Mocht de TS problemen ervaren met packet loss dan had de dream machine dit getoond in de logs. Ironisch genoeg zijn er wel wat issues met ARP Timeouts en zijn oplossingen om dit te fixen.

[ Voor 18% gewijzigd door vali op 29-10-2023 23:10 ]

[DutchKel]

@vali wat nou als de ARP tabel van de experiabox maar een maximum aantal entries heeft per ip adres en @Montalbano zit daar nu net tegenaan te hinken?

De experiabox ziet maar 1 client verbonden die ontzettend veel verschillende verzoeken doet. Meer dan een normale client.

Dat verklaart wel waarom dat het even werkt als de boel herstart wordt. Dan is er immers geen verbinding meer en wordt de ARP tabel (deels) leeg gemaakt. Totdat deze weer vol zit. Dat verklaart ook waarom de bestaande verbindingen nog wel blijven werken (die entries staan nog in de ARP tabel) maar nieuwe entries kunnen er dan niet meer bij.

Het is lang geleden dat ik NAT op de opleiding heb gehad, maar er werd toen al gezegd (in 2002) dat je nooit een dubbele nat moet creëren omdat je dan vage problemen kunt krijgen.

[laurens0619]

Dit heeft niets met dubbel nat te maken maar alles met ubiquiti. Het is geen geheim dat die soms wat firmware/stabiliteits uitdagingen hebben in de unifi lijn.

[jadjong]

DutchKel schreef op maandag 30 oktober 2023 @ 02:03:
@vali wat nou als de ARP tabel van de experiabox maar een maximum aantal entries heeft per ip adres en @Montalbano zit daar nu net tegenaan te hinken?

Dat kan uitgesloten worden door de volgende keer de KPN router een schopt te geven als de handel vastgelopen is.

De ARP tabel van de Experia box zal maar 1 entry hebben, tenzij je geen dubbel NAT gebruikt.

[DutchKel]

jadjong schreef op maandag 30 oktober 2023 @ 07:26:
[...]

Dat kan uitgesloten worden door de volgende keer de KPN router een schopt te geven als de handel vastgelopen is.

De ARP tabel van de Experia box zal maar 1 entry hebben, tenzij je geen dubbel NAT gebruikt.

Niet helemaal, in de ARP tabel staan ook de poorten welke van de ene kant met de andere kant is verbonden. Ik dacht dat ook de MAC adressen erin staan maar dat weet ik niet zeker.

En er zijn maximaal 65535 poorten te gebruiken (-1024 want onder de 1024 mag je niet zomaar gebruiken, die liggen hard vast voor diensten).

Je hebt bijvoorbeeld de volgende ARP tabel:

Intern IP	Extern IP	Intern IP Poort	Extern IP Poort
192.168.1.3	8.8.8.8.8	37567	53
192.168.1.3	142.251.36.35	37568	443
192.168.1.3	213.239.154.31	37569	443

Maar nu ga ik wel erg diep in de uitleg hoe NAT werkt.

[vali]

DutchKel schreef op maandag 30 oktober 2023 @ 08:39:
[...]

Niet helemaal, in de ARP tabel staan ook de poorten welke van de ene kant met de andere kant is verbonden. Ik dacht dat ook de MAC adressen erin staan maar dat weet ik niet zeker.

En er zijn maximaal 65535 poorten te gebruiken (-1024 want onder de 1024 mag je niet zomaar gebruiken, die liggen hard vast voor diensten).

Je hebt bijvoorbeeld de volgende ARP tabel:

Intern IP	Extern IP	Intern IP Poort	Extern IP Poort
192.168.1.3	8.8.8.8.8	37567	53
192.168.1.3	142.251.36.35	37568	443
192.168.1.3	213.239.154.31	37569	443

Maar nu ga ik wel erg diep in de uitleg hoe NAT werkt.

Naar mijn weten is het het volgende :

ARP table is Layer3 address to Layer2 address resolution.


MAC Address Table is Layer2 address to interface binding.

Er zouden dus geen mac-adressen instaan, die worden voornamelijk door het switch gedeelte gebruikt om te weten waar wat zit. Verder klopt het, en ja voor mij is het ook lang geleden, dat er twee tabellen zijn maar het issue wat TS heeft kan zover ik kan oordelen niet liggen aan dubbele nat. Zelf draai ik het ook enige tijd (totdat er glas komt) en ervaar geen issues. Mocht hij het willen checken zou hij een stream kunnen starten of een groot bestand downloaden en wireshark even bekijken of hij drops ziet (al zou zijn DM het ook weergeven).

[ Voor 4% gewijzigd door vali op 30-10-2023 08:56 ]

[DutchKel]

vali schreef op maandag 30 oktober 2023 @ 08:47:
[...]

Naar mijn weten is het het volgende :

ARP table is Layer3 address to Layer2 address resolution.


MAC Address Table is Layer2 address to interface binding.

Er zouden dus geen mac-adressen instaan, die worden voornamelijk door het switch gedeelte gebruikt om te weten waar wat zit. Verder klopt het, en ja voor mij is het ook lang geleden, dat er twee tabellen zijn maar het issue wat TS heeft kan zover ik kan oordelen niet liggen aan dubbele nat. Zelf draai ik het ook enige tijd (totdat er glas komt) en ervaar geen issues. Mocht hij het willen checken zou hij een stream kunnen starten of een groot bestand downloaden en wireshark even bekijken of hij drops ziet (al zou zijn DM het ook weergeven).

Ik denk dat veel valt en staat met hoeveel verbindingen er worden opgezet vanuit dat ene ip adres. Als je met torrents oid werkt dan zit je er natuurlijk wel wat sneller aan, als er geen entries meer bij kunnen dan kun je geen nieuwe verbinding meer opzetten. Bestaande verbindingen blijven dan wel open staan.

[vali]

DutchKel schreef op maandag 30 oktober 2023 @ 09:01:
[...]

Ik denk dat veel valt en staat met hoeveel verbindingen er worden opgezet vanuit dat ene ip adres. Als je met torrents oid werkt dan zit je er natuurlijk wel wat sneller aan, als er geen entries meer bij kunnen dan kun je geen nieuwe verbinding meer opzetten. Bestaande verbindingen blijven dan wel open staan.

Maar dan zou de DM niet moeten vastlopen als geen nieuwe verbindingen kan opzetten. IDS/IPS en veel VLANS zijn zaken die impact kunnen hebben op een router en voor vastlopers kunnen zorgen als er, ubiquiti kennende, bugs erin zitten.

[ Voor 12% gewijzigd door vali op 30-10-2023 09:11 ]

[DutchKel]

vali schreef op maandag 30 oktober 2023 @ 09:08:
[...]

Maar dan zou de DM niet moeten vastlopen als geen nieuwe verbindingen kan opzetten.

Misschien crasht die wel omdat die ook door de poorten heen is. Die heeft namelijk eenzelfde soort tabel met ook dezelfde beperking van het aantal poorten. Alleen daar gaat dan alles naar bijvoorbeeld 192.168.1.1 (extern) toe en intern heb je dan wel verschillende ip adressen.

Het is niet voor niks dat ik zeg dat een dubbele NAT onwenselijk is en tot vreemde problemen kan leiden. Maar niemand hoeft mij te geloven, ik probeer alleen te helpen waar ik kan.

Ik heb hier een oude UDM Pro en heb nog nooit problemen gehad ermee, ook heb ik nog niemand in het unifi topic over zulke dingen gehoord.

[ Voor 25% gewijzigd door DutchKel op 30-10-2023 09:17 ]

[vali]

DutchKel schreef op maandag 30 oktober 2023 @ 09:11:
[...]

Misschien crasht die wel omdat die ook door de poorten heen is. Die heeft namelijk eenzelfde soort tabel met ook dezelfde beperking van het aantal poorten. Alleen daar gaat dan alles naar bijvoorbeeld 192.168.1.1 (extern) toe en intern heb je dan wel verschillende ip adressen.

Dat zou terug komen in de logging (al ver voor zijn crash). Het is daarom goed om stapsgewijs alles af te gaan wat er gebeurd op de router. Wat is de load, wat voor verkeer geneer je. Zelf ervaar ik 0 issues met dubbele nat en ik genereer behoorlijk wat qua verkeer. Al heb ik geen DM, heb wel bij andere soortgelijks omgeving gezien.

[laurens0619]

@DutchKel JE haalt een ARP tabel en NAT tabel door elkaar

Vollopende NAT tabellen was vroeger zeker een dingetje, 1x torrents draaien en je gemiddelde sitecom router hing zichzelf op. Een Experiabox heeft daar niet zo snel last van

Maar de TS geeft zelf al aan: Het werkt perfect totdat ik IDS/IPS inschakel, dan crasht dat ding.
Ik zie niet in wat IDS/IPS met ARP/NAT te maken heeft...

[ Voor 6% gewijzigd door laurens0619 op 30-10-2023 09:21 ]

[DutchKel]

laurens0619 schreef op maandag 30 oktober 2023 @ 09:20:
@DutchKel JE haalt een ARP tabel en NAT tabel door elkaar

Vollopende NAT tabellen was vroeger zeker een dingetje, 1x torrents draaien en je gemiddelde sitecom router hing zichzelf op. Een Experiabox heeft daar niet zo snel last van

Maar de TS geeft zelf al aan: Het werkt perfect totdat ik IDS/IPS inschakel, dan crasht dat ding.
Ik zie niet in wat IDS/IPS met ARP/NAT te maken heeft...

Kun je dan in detail uitleggen hoe IDS/IPS precies werkt? Ik kan dat namelijk niet dus ga het daarom ook niet uitsluiten.

Wat ik wel weet is dat IDS/IPS o.a. alle ip adressen probeert te resolven en daardoor dus ook meerdere verbindingen opzet. Ook wordt ervoor gewaarschuwd dat het meer cpu verbruik veroorzaakt en dat je daardoor mogelijk niet meer de maximale internet snelheid kunt gebruiken.

Maar ik ga er niet meer verder op in. Als iedereen toch zeker weet dat het niet van de dubbele NAT komt dan hoeft het ook niet meer getest te worden.

[laurens0619]

@DutchKel
Een IDS/IPS is op netwerkgebied vrij passief en zet geen extra verbindingen op en resolved ook niets. Het maakt dus geen extra entries in een NAT tabel. Hij zal wel periodiek een signature database update doen maar dat is gewoon een losse download en niet continu.

Hij analyseert de inhoud bijvoorbeeld op basis van signatures of reputation tabellen. Echter veel is decrypted tegenwoordig dus is is analyse op de payload lastig (tenzij je decrypt).

Het is iig wel een zware taak en je performance kakt dan inderdaad in bij een usg.
Het zal niet de eerste keer zijn dat zware taken ook memory leaks hebben op een unifi en een herstart nodig is om het proces tot leven te krijgen (igmp proxy heeft/had ook die reputatie op een unifi)

[Montalbano]

Dank allemaal voor de reacties en het meedenken, echter heb ik inmiddels de USG in de kast gemikt en vervangen door een Unifi Dream Router (UDR). Het topic was van februari en door de aanhoudende issues heb ik er voor gekozen hem te vervangen door de UDR.

De UDR zit nog steeds achter de Experiabox, maar dat is vooral omdat ik weliswaar prima de interface van Unifi kan bedienen, AP's kan configureren etc, maar te weinig kennis heb van netwerkroutering om de Experiabox er tussenuit te halen en vlans voor TV aansluitingen op te zetten etc.
En het werkt(e...) altijd prima voor mij.

Met de UDR dus nu na 6 stabiele maanden ook ineens een issue (complete freeze van het ding, met tussenpozen van 2-10 dagen), maar op het unifi community forum lijkt dat een veelvoorkomend probleem.

[PeeCee]

Montalbano schreef op maandag 30 oktober 2023 @ 16:43:
Dank allemaal voor de reacties en het meedenken, echter heb ik inmiddels de USG in de kast gemikt en vervangen door een Unifi Dream Router (UDR). Het topic was van februari en door de aanhoudende issues heb ik er voor gekozen hem te vervangen door de UDR.

De UDR zit nog steeds achter de Experiabox, maar dat is vooral omdat ik weliswaar prima de interface van Unifi kan bedienen, AP's kan configureren etc, maar te weinig kennis heb van netwerkroutering om de Experiabox er tussenuit te halen en vlans voor TV aansluitingen op te zetten etc.
En het werkt(e...) altijd prima voor mij.

Met de UDR dus nu na 6 stabiele maanden ook ineens een issue (complete freeze van het ding, met tussenpozen van 2-10 dagen), maar op het unifi community forum lijkt dat een veelvoorkomend probleem.

Is dit met of zonder IPS/IDS?

Bij Ubiquiti zie ik inderdaad verschillende topics, zelfs zonder dubbel NAT. Gezien je het ondervind met twee apparaten van Ubiquiti, vroeg ik mij af of je onderstaand al eens geprobeerd hebt? Niet dat het de oplossing is, maar kan mogelijk wel op iets duiden.

1. Heb je wel eens de Experiabox uit en aan gezet toen je dit ondervond?
2. Heb je wel eens de netwerkkabel tussen de UDR en de Experiabox los gehaald en na een minuut terug gestopt toen je dit ondervond?
3. Heb je wel eens de kabel tussen de Experiabox en UDR vervangen?

[Montalbano]

PeeCee schreef op dinsdag 31 oktober 2023 @ 16:41:
[...]

Is dit met of zonder IPS/IDS?

Bij Ubiquiti zie ik inderdaad verschillende topics, zelfs zonder dubbel NAT. Gezien je het ondervind met twee apparaten van Ubiquiti, vroeg ik mij af of je onderstaand al eens geprobeerd hebt? Niet dat het de oplossing is, maar kan mogelijk wel op iets duiden.

1. Heb je wel eens de Experiabox uit en aan gezet toen je dit ondervond?
2. Heb je wel eens de netwerkkabel tussen de UDR en de Experiabox los gehaald en na een minuut terug gestopt toen je dit ondervond?
3. Heb je wel eens de kabel tussen de Experiabox en UDR vervangen?

Met IDS/IPS ingeschakeld. Maar dat heeft dus ook ruim 6 maanden goed gewerkt.
Ik heb punt 1 en 2 niet geprobeerd, 3 wel. 1/2 zal ik bij de volgende freeze zeker uitproberen. Maar gezien de hele UDR vastloopt vraag ik me af of die zichzelf in dat stadium nog kan herstellen.

Op het UI community gaf iemand de suggestie om log retentie zo laag mogelijk te zetten. Dat heb ik nu geprobeerd. Vooralsnog 6 dagen up. Maar dat zegt nog weinig.

[vali]

Montalbano schreef op woensdag 1 november 2023 @ 10:25:
[...]


Met IDS/IPS ingeschakeld. Maar dat heeft dus ook ruim 6 maanden goed gewerkt.
Ik heb punt 1 en 2 niet geprobeerd, 3 wel. 1/2 zal ik bij de volgende freeze zeker uitproberen. Maar gezien de hele UDR vastloopt vraag ik me af of die zichzelf in dat stadium nog kan herstellen.

Op het UI community gaf iemand de suggestie om log retentie zo laag mogelijk te zetten. Dat heb ik nu geprobeerd. Vooralsnog 6 dagen up. Maar dat zegt nog weinig.

Je zou ook kunnen kijken wat je exact wilt laten scannen. Mocht je bv los gaan met torrents en geen IDS/IPS daarvan wilt hebben zou je die bv kunnen uitzetten.Zou ook checken of je adblocker hebt aanstaan, Geen idee wat de resources daarvan tegenwoordig zijn maar in het verleden kon dit aardig toenemen.