Routing puzzeltje voor deze grijze dag

[spaceboy]

Ik heb een uitdaging op routing gebied. Ik dacht dat ik er wel genoeg van wist, maar kennelijk kom ik er zelfs met Google en ChatGPT niet uit. Situatie is hieronder geschetst.



Ik wil Node-RED gaan gebruiken in m'n Home Automation. Daarvoor moet ik kennelijk (en ook omdat ik dat eigenlijk sowieso graag wil) via SSL mijn Home Assistant kunnen bereiken. Daarvoor heb ik een eigen domein die ik via de DNS-settings van Google Domains heb laten verwijzen naar mijn externe IP-adres van Ziggo. Via DNS Lookup tools heb ik geverifieerd dat deze goed staat ingesteld.

Wat heb ik nu ingeregeld:

1. In modem Ziggo ConnectBox port forwarding ingesteld zodat port 80 en 443 naar IP-adres C wordt doorgestuurd (naar de router dus)
2. In router port forwarding ingesteld zodat port 80 en 443 verkeer wordt doorgestuurd naar IP-adres E (Home Assistant) op de juiste port: 8123

Pingen op IP-adres A geeft geen response.
Pingen op IP-adres B, D en E geeft wel response. (C uiteraard niet, which is fine)
Webbrowser op IP-adres A port 80, 443, 8123 geeft geen response.

Ik doe kennelijk iets heel doms. Iemand tips wat ik nog eens kan proberen? Echt raketwetenschap moet dit niet zijn.

[mschol]

je werkt nu met een dubbele NAT als ik het goed begrijp? waarom de connectbox niet in bridgemode zetten?

[spaceboy]

mschol schreef op zaterdag 18 november 2023 @ 10:42:
je werkt nu met een dubbele NAT als ik het goed begrijp? waarom de connectbox niet in bridgemode zetten?

Ja, klopt helemaal. Daar heb ik mezelf ook al over verbaasd. Ik zag het nergens in de opties van de ConnectBox, maar nu zie ik dat dat op afstand moet gebeuren door Ziggo? Wat is dat voor grap?

En belangrijker: zou het met mijn setup nu (in dubbele NAT mode zeg maar) niet moeten kunnen werken?

[ymoona]

Heeft de Connect box geen DMZ mode? Anders kan je de tp-link in DMZ zetten.

Probeer je vanaf je laptop op je buiten ip te verbinden? Het kan zijn dat dat niet goed werkt. Probeer het eens via een externe verbinding zoals je mobiel.

[bregweb]

Waarom dubbele NAT, waarom vervang je die TP LInk niet door een simpele switch?

[spaceboy]

ymoona schreef op zaterdag 18 november 2023 @ 10:52:
Heeft de Connect box geen DMZ mode? Anders kan je de tp-link in DMZ zetten.

Probeer je vanaf je laptop op je buiten ip te verbinden? Het kan zijn dat dat niet goed werkt. Probeer het eens via een externe verbinding zoals je mobiel.

Ja, DMZ heeft hij wel, daar heb ik nog geen dingen mee gedaan. Die zet ik even op m'n TODO-lijstje. Eerst ga ik die bridge mode aanpassen.

[RocketKoen]

Ip adres A gaat je sowieso geen respons geven. Ziggo heeft gedeelde IPv4 adressen. Er zitten dus nog 20 klanten met hetzelfde IPv4 adres.

Daarnaast, zitten IP B?C/D/E wel in dezelfde range?
Ziggo pakt bijvoorbeeld standaard 192.168.178.1
Als jouw router een IP in de range 10.0.0.x aan je domotica en laptop geeft gaat die niet praten met de connectbox.

[Dracula]

Gewoon ff door ziggo in bridge laten zetten. Zo gepiept.

Verre weg het makkelijkst.

[spaceboy]

bregweb schreef op zaterdag 18 november 2023 @ 10:52:
Waarom dubbele NAT, waarom vervang je die TP LInk niet door een simpele switch?

Dat is niet expres, maar heeft te maken met het aantal ports op de TP-Link + meer instelmogelijkheden. En betere WIFI. Dus verschillende redenen waarom ik die router heb neergezet. Maar het punt is heel valide: waarom een dubbele NAT? Omdat ik dus niet kon vinden hoe die Ziggo ConnectBox in bridge mode kan. Ik heb zojuist dat "formulier ingevuld" (en nu max 24 uur wachten kennelijk).

Wordt vervolgd. Thanks allen.

[ymoona]

spaceboy schreef op zaterdag 18 november 2023 @ 10:53:
[...]

Ja, DMZ heeft hij wel, daar heb ik nog geen dingen mee gedaan. Die zet ik even op m'n TODO-lijstje. Eerst ga ik die bridge mode aanpassen.

DMZ is een alternatief, heb je je modem in bridge heb je geen dmz meer nodig.

[Dracula]

spaceboy schreef op zaterdag 18 november 2023 @ 10:54:
[...]

Dat is niet expres, maar heeft te maken met het aantal ports op de TP-Link + meer instelmogelijkheden. En betere WIFI. Dus verschillende redenen waarom ik die router heb neergezet. Maar het punt is heel valide: waarom een dubbele NAT? Omdat ik dus niet kon vinden hoe die Ziggo ConnectBox in bridge mode kan. Ik heb zojuist dat "formulier ingevuld" (en nu max 24 uur wachten kennelijk).

Wordt vervolgd. Thanks allen.

Ff bellen met helpdesk.

[Croga]

RocketKoen schreef op zaterdag 18 november 2023 @ 10:53:
Ip adres A gaat je sowieso geen respons geven. Ziggo heeft gedeelde IPv4 adressen. Er zitten dus nog 20 klanten met hetzelfde IPv4 adres.

Dit is voor het eerst dat ik het hoor. Daarnaast is het absoluut niet mijn ervaring. Iedereen die ik ken die ZIggo heeft, heeft gewoon een eigen IP.

Als Ziggo CGNAT zou forceren dan zou niemand meer iets thuis kunnen draaien. En dat is, gezien alle posts op dit forum, simpelweg niet waar.

Ergo: Heb je hier bewijs van? Ik zie namelijk hele bergen bewijs dat dit niet zo is.

(Het zou het namelijk ook compleet zinloos maken om hun modem in bridge mode te zetten; de gedeelde IP zou dan gewoon aan je eigen router uitgedeeld worden met uiteindelijk hetzelfde issue.)

[FreakNL]

Hij is in de war met mobiele providers denk ik.

Het Ziggo adres wat je krijgt is gewoon uniek.

[mschol]

spaceboy schreef op zaterdag 18 november 2023 @ 10:46:
[...]

Ja, klopt helemaal. Daar heb ik mezelf ook al over verbaasd. Ik zag het nergens in de opties van de ConnectBox, maar nu zie ik dat dat op afstand moet gebeuren door Ziggo? Wat is dat voor grap?

ziggo moet dat inderdaad remote regelen, geen idee waarom precies..

En belangrijker: zou het met mijn setup nu (in dubbele NAT mode zeg maar) niet moeten kunnen werken?

op papier zou je zeggen dat het moeten kunnen , de praktijk is een stuk minder makkelijk om het werkende te krijgen

[spaceboy]

Dracula schreef op zaterdag 18 november 2023 @ 10:57:
[...]


Ff bellen met helpdesk.

Ja, shitzooi. Dat had ik gelijk moeten doen. Ik heb braaf dat formulier ingevuld. Krijg je "binnen 24 uur" iets. Lekker vaag. Kan dus dat opeens je internet eruit ligt. Net met de helpdesk gebeld: "Ja, dat had je moeten bellen, dan hadden we het direct voor je kunnen doen. Kan niet alsnog, want je hebt dat formulier al ingevuld."

[Ben(V)]

Dubbel Nat is uiteraard geen enkel probleem ondanks wat iedereen hier altijd over roept.
Dus in bridge mode zetten is echt niet nodig.
Pingen naar adres A kan alleen als de Ziggo router loopback ondersteund wat niet het geval is.

Verder zou ik gewoon die extra router ertussenuit halen, die is volkomen nutteloos.
Als je meer poorten nodig hebt plaats je een switch.
Wifi van die AX3000 is helemaal niets beter dan die Connectbox.
En welke instelling heb je dan nodig die niet in die Connectbox zitten.

En vind je het wel verstandig om Home Assistant zomaar rechtstreeks aan het internet te hangen.
Het is verstandiger als je vanaf het internet ergens bij wilt komen daar een VPN tunnel naar je Lan voor op te zetten.

[ Voor 17% gewijzigd door Ben(V) op 18-11-2023 11:34 ]

[Dracula]

spaceboy schreef op zaterdag 18 november 2023 @ 11:23:
[...]

Ja, shitzooi. Dat had ik gelijk moeten doen. Ik heb braaf dat formulier ingevuld. Krijg je "binnen 24 uur" iets. Lekker vaag. Kan dus dat opeens je internet eruit ligt. Net met de helpdesk gebeld: "Ja, dat had je moeten bellen, dan hadden we het direct voor je kunnen doen. Kan niet alsnog, want je hebt dat formulier al ingevuld."

Wat een bs bedrijf is het toch ook.

[RonnieKo]

Inderdaad Dubbele nat hoeft geen probleem te zijn. Je kan zowel op de Ziggo Connectbox en de AX3000 een regel maken waarmee je het poortverkeer naar de juiste IP-adres in het netwerk dirigeert. Zelf een tijdje gehad met een oude KPN-experiabox en een Apple Airport Extreme . Werkte gewoon goed. Later is het een en ander in het netwerk aangepast. O.a. de Apple Airport Extreme viel uit en kreeg andere Experiabox van KPN.

En wat al aangegeven is: Een VPN-tunnel is een veiligere optie om toe te passen.

[ Voor 9% gewijzigd door RonnieKo op 18-11-2023 11:32 ]

[spaceboy]

Ben(V) schreef op zaterdag 18 november 2023 @ 11:27:
En vind je het wel verstandig om Home Assistant zomaar rechtstreeks aan het internet te hangen.
Het is verstandiger als je vanaf het internet ergens bij wilt komen daar een VPN tunnel naar je Lan voor op te zetten.

Ja, eigenlijk is dit wel het beste punt van de dag. Ik heb daar niet zo goed over nagedacht. Ik ga mijn strategie herzien. Die bridge mode aanvraag loopt nu, maar dat voelt ook logischer.


En "Wifi van die AX3000 is helemaal niets beter dan die Connectbox". Weet je dat zeker? Volgens mij ondersteung de ConnectBox geen Wifi6. Die AX300 wel.

[ Voor 13% gewijzigd door spaceboy op 18-11-2023 11:56 ]

[SambalBij]

Het woord wat je zoekt is 'hairpinning'

Middels DNS ga je je externe IP (IP adres A in je tekening) op je buitenste NAT resolven. Het apparaat wat dat adres heeft, je Ziggo modem, moet dan hairpinning/NAT loopback ondersteunen, omdat hij het uitgaande verkeer op zijn externe interface 180 graden terug naar binnen moet kunnen sturen.
Dat ziggo modem doet dat blijkbaar niet...

Wil je dat wel bereiken dan zul je je externe IP adres terecht moeten laten komen op iets wat dat wel ondersteunt. Stap 1 is dan inderdaad de Ziggo modem in bridge mode (laten) zetten. Je krijgt dan je publieke IP op de achterliggende router. Belangrijk is dan wel dat díe router dan wel hairpinning ondersteunt. Of die TP-Link dat wel of niet doet lijkt niet echt duidelijk als ik er op google...
Alternatief (met of zonder Ziggo modem in bridge mode) is om te zorgen dat vanuit intern dat adres naar je interne IP resolved in plaats van het externe. Zou je intern een eigen DNS server moeten opzetten (apart of eventueel op een router die dat zou ondersteunen) of het in je hosts file zetten.

edit:
Wat ik, los van de routing issue, nog mis in je startpost; Heb je naast die DNS registratie en de port forwarding ook ergens een SSL certificaat staan?

Je impliceert nu dat je via de dubbele port forwarding zowel poort 80 (non ssl http) én poort 443 (https) laat forwarden naar poort 8123 op je HA. Dat heeft geen zin; die poort 8123 heeft óf wel, óf geen SSL-met-certificaat. Beiden tegelijk gaat niet. Heeft ie wel SSL, dan zou je alleen 443 moeten forwarden. Heeft die poort géén ssl, dan zou alleen poort 80 zin hebben (wat je echter dan weer niet open zou moeten willen zetten naar het grote boze internet) en moet je er iets van een reverse proxy voor zetten die je SSL offload doet.

Ik doe dat zelf middels de addon "NGINX Home Assistant SSL proxy" binnen HA. HA zelf luistert zonder SSL intern op poort 8123. Die addon luistert op 443 voor https, en foward het verkeer naar 8123.

[ Voor 29% gewijzigd door SambalBij op 18-11-2023 12:16 ]

[Ben(V)]

Het is afhankelijk welke Connectbox je hebt of hij wifi 6 heeft.

Maar heb je wel devices die wifi 6 ondersteunen?
En het nut van wifi 6 zit vooral in als je veel devices die wifi 6 aankunnen gelijktijdig gebruikt.
De rat race naar steeds snellere wifi die niemand echt gebruikt is over het algemeen geld weggooien.

Hoe snel denk je dat je data van en naar je telefoon nodig hebt?