Gebruik een eigen router i.p.v. de Experia Box

@wjb Thanks! Dit heeft het probleem inderdaad opgelost!

Ik heb hier een werkende config voor de ER-12. Mogelijk heb je er wat aan. Anderen mogen natuurlijk schieten op tekortkomingen of verbeteringen.

Uiteraard is deze config ook opgebouwd uit delen en met tips van anderen.

Verder is hij 1 op 1 uit te voeren met de stappen van wjb om hem te laden in de ER-12.

Wan (via NTU) op poort 9, IPTV op poort 8, met daarop een switch aangesloten waarop dan weer de STB's zijn aangesloten. Aansluiting van LAN via de switchpoorten. VLAN 4001 is bedoeld als een tunnel vanaf de omgeving van de router naar een heel andere plek in huis. Vaste telefonie van KPN zit er niet op, heb geen aansluiting daarop.

firewall {
    all-ping enable
    broadcast-ping disable
    group {
        address-group MANAGEMENT {
            address 192.168.1.23
            address 192.168.1.24
            description "Management devices"
        }
        network-group RFC1918 {
            description "RFC1918 ranges"
            network 192.168.0.0/16
            network 172.16.0.0/12
            network 10.0.0.0/8
        }
    }
    ipv6-name WANv6_IN {
        default-action drop
        description "WAN IPv6 inbound traffic forwarded to LAN"
        rule 10 {
            action accept
            description "Allow established/related sessions"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow ICMPv6"
            icmpv6 {
                type echo-request
            }
            protocol ipv6-icmp
        }
    }
    ipv6-name WANv6_LOCAL {
        default-action drop
        description "WAN IPv6 inbound traffic to the router"
        rule 10 {
            action accept
            description "Allow established/related sessions"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow IPv6 icmp"
            protocol ipv6-icmp
        }
        rule 40 {
            action accept
            description "Allow DHCPv6"
            destination {
                port 546
            }
            protocol udp
            source {
                port 547
            }
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name LAN8_IN {
        default-action accept
        description "IPTV to lan/wan"
        rule 10 {
            action accept
            description "Allow management"
            destination {
                group {
                    address-group MANAGEMENT
                }
            }
            log disable
            protocol tcp
        }
        rule 20 {
            action drop
            description "Drop traffic to other LANs"
            destination {
                group {
                    network-group RFC1918
                }
            }
            log disable
            protocol all
        }
    }
    name VLAN20_IN {
        default-action accept
        description "Guest to lan/wan"
        rule 10 {
            action drop
            description "Drop traffic to other LANs"
            destination {
                group {
                    network-group RFC1918
                }
            }
            log disable
            protocol all
        }
    }
    name VLAN30_IN {
        default-action accept
        description "IoT to lan/wan"
        rule 10 {
            action accept
            description "Allow Plex port 32400"
            destination {
                address 192.168.1.4
                port 32400
            }
            log disable
            protocol tcp
        }
        rule 20 {
            action accept
            description "Allow to ioBroker service port 8087"
            destination {
                address 192.168.1.2
                port 8087
            }
            log disable
            protocol tcp
        }
        rule 30 {
            action accept
            description "Allow config devices for xxxxxx"
            log disable
            protocol tcp
            source {
                address 192.168.30.3
            }
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 40 {
            action accept
            description "Allow Established Related"
            destination {
                group {
                    network-group RFC1918
                }
            }
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 50 {
            action drop
            description "Drop traffic to other LANs"
            destination {
                group {
                    network-group RFC1918
                }
            }
            log disable
            protocol all
        }
    }
    name VLAN_LOCAL {
        default-action drop
        description "VLANs to router"
        rule 10 {
            action accept
            description "Allow client DHCP"
            destination {
                port 67
            }
            log disable
            protocol udp
        }
        rule 20 {
            action accept
            description "Allow client DNS"
            destination {
                port 53
            }
            log disable
            protocol tcp_udp
        }
    }
    name WAN_IN {
        default-action drop
        description "WAN to internal (LAN)"
        rule 10 {
            action accept
            description "Allow established/related"
            log disable
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        rule 10 {
            action accept
            description "Allow established/related"
            log disable
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        description "Switch port 0"
        duplex auto
        speed auto
    }
    ethernet eth1 {
        description "Switch port 1"
        duplex auto
        speed auto
    }
    ethernet eth2 {
        description "Switch port 2"
        duplex auto
        speed auto
    }
    ethernet eth3 {
        description "Switch port 3"
        duplex auto
        speed auto
    }
    ethernet eth4 {
        description "Switch port 4"
        duplex auto
        speed auto
    }
    ethernet eth5 {
        description "Switch port 5"
        duplex auto
        speed auto
    }
    ethernet eth6 {
        description "Switch port 6"
        duplex auto
        speed auto
    }
    ethernet eth7 {
        description "Switch port 7"
        duplex auto
        speed auto
    }
    ethernet eth8 {
        address 192.168.8.1/28
        description "IPTV lan"
        duplex auto
        firewall {
            in {
                name LAN8_IN
            }
        }
        speed auto
    }
    ethernet eth9 {
        description "WAN FTTH"
        duplex auto
        mtu 1512
        speed auto
        vif 4 {
            address dhcp
            description "WAN IPTV"
            dhcp-options {
                client-option "send vendor-class-identifier "IPTV_RG";"
                client-option "request subnet-mask, routers, rfc3442-classless-static-routes;"
                default-route no-update
                default-route-distance 210
                name-server update
            }
            mtu 1500
        }
        vif 6 {
            description "WAN Internet"
            mtu 1508
            pppoe 0 {
                default-route auto
                description "WAN Internet"
                dhcpv6-pd {
                    no-dns
                    pd 0 {
                        interface switch0.1 {
                            host-address ::1
                            no-dns
                            prefix-id :1
                            service slaac
                        }
                        interface switch0.20 {
                            host-address ::1
                            no-dns
                            prefix-id :20
                            service slaac
                        }
                        interface switch0.30 {
                            host-address ::1
                            no-dns
                            prefix-id :30
                            service slaac
                        }
                        prefix-length /48
                    }
                    rapid-commit enable
                }
                firewall {
                    in {
                        ipv6-name WANv6_IN
                        name WAN_IN
                    }
                    local {
                        ipv6-name WANv6_LOCAL
                        name WAN_LOCAL
                    }
                }
                idle-timeout 180
                ipv6 {
                    address {
                        autoconf
                    }
                    dup-addr-detect-transmits 1
                    enable {
                    }
                }
                mtu 1500
                name-server auto
                password ppp
                user-id XX-XX-XX-XX-XX-XX@internet
            }
        }
    }
    ethernet eth10 {
        duplex auto
        speed auto
    }
    ethernet eth11 {
        duplex auto
        speed auto
    }
    loopback lo {
    }
    switch switch0 {
        description local
        mtu 1500
        switch-port {
            interface eth0 {
                vlan {
                    pvid 1
                    vid 20
                    vid 30
                    vid 4001
                }
            }
            interface eth1 {
                vlan {
                    pvid 1
                    vid 20
                    vid 30
                }
            }
            interface eth2 {
                vlan {
                    pvid 1
                }
            }
            interface eth3 {
                vlan {
                    pvid 1
                }
            }
            interface eth4 {
                vlan {
                    pvid 1
                }
            }
            interface eth5 {
                vlan {
                    pvid 1
                }
            }
            interface eth6 {
                vlan {
                    pvid 1
                }
            }
            interface eth7 {
                vlan {
                    pvid 4001
                }
            }
            vlan-aware enable
        }
        vif 1 {
            address 192.168.1.1/24
            description xxxxxx
            ipv6 {
                dup-addr-detect-transmits 1
                router-advert {
                    cur-hop-limit 64
                    link-mtu 0
                    managed-flag false
                    max-interval 600
                    name-server 2a10:50c0::ad1:ff
                    name-server 2a10:50c0::ad2:ff
                    other-config-flag false
                    prefix ::/64 {
                        autonomous-flag true
                        on-link-flag true
                        valid-lifetime 2592000
                    }
                    radvd-options "RDNSS 2a10:50c0::ad1:ff 2a10:50c0::ad2:ff {};"
                    reachable-time 0
                    retrans-timer 0
                    send-advert true
                }
            }
            mtu 1500
        }
        vif 20 {
            address 192.168.20.1/27
            description "Guest lan"
            firewall {
                in {
                    name VLAN20_IN
                }
                local {
                    name VLAN_LOCAL
                }
            }
            ipv6 {
                dup-addr-detect-transmits 1
                router-advert {
                    cur-hop-limit 64
                    link-mtu 0
                    managed-flag false
                    max-interval 600
                    name-server 2a10:50c0::ad1:ff
                    name-server 2a10:50c0::ad2:ff
                    other-config-flag false
                    prefix ::/64 {
                        autonomous-flag true
                        on-link-flag true
                        valid-lifetime 2592000
                    }
                    radvd-options "RDNSS 2a10:50c0::ad1:ff 2a10:50c0::ad2:ff {};"
                    reachable-time 0
                    retrans-timer 0
                    send-advert true
                }
            }
            mtu 1500
        }
        vif 30 {
            address 192.168.30.1/24
            description "IoT lan"
            firewall {
                in {
                    name VLAN30_IN
                }
                local {
                    name VLAN_LOCAL
                }
            }
            ipv6 {
                dup-addr-detect-transmits 1
                router-advert {
                    cur-hop-limit 64
                    link-mtu 0
                    managed-flag false
                    max-interval 600
                    name-server 2a10:50c0::ad1:ff
                    name-server 2a10:50c0::ad2:ff
                    other-config-flag false
                    prefix ::/64 {
                        autonomous-flag true
                        on-link-flag true
                        valid-lifetime 2592000
                    }
                    radvd-options "RDNSS 2a10:50c0::ad1:ff 2a10:50c0::ad2:ff {};"
                    reachable-time 0
                    retrans-timer 0
                    send-advert true
                }
            }
            mtu 1500
        }
    }
}
port-forward {
    auto-firewall enable
    hairpin-nat enable
    lan-interface switch0.30
    rule 1 {
        description "xxxxxxx"
        forward-to {
            address 192.168.30.3
            port xxxxxx
        }
        original-port xxxxxx
        protocol tcp
    }
    wan-interface pppoe0
}
protocols {
    igmp-proxy {
        interface eth8 {
            alt-subnet 0.0.0.0/0
            role downstream
            threshold 1
        }
        interface eth9.4 {
            alt-subnet 0.0.0.0/0
            role upstream
            threshold 1
        }
        interface switch0.1 {
            role disabled
            threshold 1
        }
        interface switch0.20 {
            role disabled
            threshold 1
        }
        interface switch0.30 {
            role disabled
            threshold 1
        }
    }
    static {
        interface-route6 ::/0 {
            next-hop-interface pppoe0 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        global-parameters "option vendor-class-identifier code 60 = string;"
        global-parameters "option broadcast-address code 28 = ip-address;"
        hostfile-update disable
        shared-network-name E8-iptv {
            authoritative disable
            subnet 192.168.8.0/24 {
                default-router 192.168.8.1
                dns-server 195.121.1.34
                dns-server 195.121.1.66
                lease 86400
                start 192.168.8.11 {
                    stop 192.168.8.14
                }
                static-mapping Sw-GS105E {
                    ip-address 192.168.8.5
                    mac-address xx:xx:xx:xx:xx:xx
                }
            }
        }
        shared-network-name sw0-1 {
            authoritative disable
            subnet 192.168.1.0/24 {
                default-router 192.168.1.1
                dns-server 192.168.1.1
                lease 86400
                start 192.168.1.51 {
                    stop 192.168.1.250
                }
                static-mapping BrPrinterxxxxx {
                    ip-address 192.168.1.21
                    mac-address xx:xx:xx:xx:xx:xx
                }
                static-mapping BrPrinterxxxxx {
                    ip-address 192.168.1.22
                    mac-address xx:xx:xx:xx:xx:xx
                }            
                static-mapping xxxxxx {
                    ip-address 192.168.1.23
                    mac-address xx:xx:xx:xx:xx:xx
                }
                static-mapping xxxxx {
                    ip-address 192.168.1.24
                    mac-address xx:xx:xx:xx:xx:xx
                }
            }
        }
        shared-network-name sw0-20 {
            authoritative disable
            subnet 192.168.20.0/27 {
                default-router 192.168.20.1
                dns-server 192.168.20.1
                lease 86400
                start 192.168.20.5 {
                    stop 192.168.20.30
                }
            }
        }
        shared-network-name sw0-30 {
            authoritative disable
            subnet 192.168.30.0/24 {
                default-router 192.168.30.1
                dns-server 192.168.30.1
                lease 86400
                start 192.168.30.51 {
                    stop 192.168.30.250
                }
            }
        }
        static-arp disable
        use-dnsmasq enable
    }
    dns {
        forwarding {
            cache-size 4000
            listen-on eth8
            listen-on switch0.1
            listen-on switch0.20
            listen-on switch0.30
            name-server 94.140.14.14
            name-server 94.140.15.15
            name-server 2a10:50c0::ad1:ff
            name-server 2a10:50c0::ad2:ff
            name-server 195.121.1.34
            options listen-address=192.168.8.1
        }
    }
    gui {
        http-port 80
        https-port 443
        older-ciphers enable
    }
    nat {
        rule 5000 {
            description "MASQ all traffic to IPTV network"
            destination {
                address 0.0.0.0/0
            }
            log disable
            outbound-interface eth9.4
            protocol all
            source {
            }
            type masquerade
        }
        rule 5010 {
            description "MASQ all traffic to Internet network"
            log disable
            outbound-interface pppoe0
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    telnet {
        port 23
    }
    unms {
        disable
    }
}
system {
    analytics-handler {
        send-analytics-report false
    }
    crash-handler {
        send-crash-report false
    }
    domain-name xxxxxxxxxxxxxx
    host-name gw-er-12
    login {
        user ubnt {
            authentication {
                plaintext-password "ubnt"
            }
            level admin
        }
    }
    name-server 127.0.0.1
    ntp {
        server 0.nl.pool.ntp.org {
        }
        server 1.nl.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
    }
    offload {
        hwnat disable
        ipsec disable
        ipv4 {
            forwarding enable
            gre enable
            pppoe enable
            vlan enable
        }
        ipv6 {
            forwarding enable
            pppoe enable
            vlan disable
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
    traffic-analysis {
        dpi disable
        export disable
    }
}
 

Verleden woensdag een langdurende storing ondergaan op zowel iptv, internet en telefonie.

Na een aantal uren kon alles weer opgestart worden, echter iptv bleef problemen geven. Ondanks de Boottrap-fix op de er3 lite toch maar eens een restart igmp-proxy gegeven en jawel het beeld bleef stabiel, geen schakel over naar en andere zender en dan weer terug. Totdat de 2e tv aangezet werd en de eerste uitgeschakeld  gelijk weer een foutmelding op de 2e tv.

Uiteindelijk maar een er4 besteld en vrijdag ontvangen. Gelijk aan de laptop gehangen en ingelogd op de Er 4. Laat ik is proberen om de backup van de Er3 lite te laden en jawel zonder ook maar iets te moeten veranderen draaien.

Toch wel makkelijk die Edge routers.

@jherder  en @wjb :

Dank voor het delen van de ER-12 config en de opmerkingen daarover. Ik heb kennelijk niet goed genoeg gezocht in die kleine week dat ik hier mee bezig ben… Ik had e.e.a. al werkend. Idd met WAN op poort 9, telefonie op poort 8. Telefonie en internet werken prima. TV hapert nog om de paar seconden. Nog uit te zoeken dus. In eerste instantie had ik geen PPPOE verbinding. Daar terug naar de basisconfiguratie te gaan voor de ER-X en stap voor stap aanpassingen te maken, is dat opgelost.

Ik zal me als eerste eens gaan verdiepen in de verschillen in de beide configuraties.

Greetz, Ger

Heb je de source NAT rule "IPTV" ook omgezet naar het aangepaste subnet?

Heb je de TV ontvanger(s) opnieuw opgestart?

Kan je de klok er op gelijk zetten na hoeveel seconden het beeld stil komt te staan?

En als je dan naar een andere zender gaat dan duurt het weer precies even lang?

Zo ja, twee dingen:

1) Haal de switch even van stroom af.

2) Geef in de cli van de EdgeRouter het command restart igmp-proxy

Treedt het probleem nog steeds op?

Die ondersteunt IGMP snooping.

Als ik een ER-12 zou hebben dan zou ik eth9 als WAN poort configureren, de TV ontvanger(s) op eth8 configureren en eth0 t/m eth7 in de.switch opnemen. Eigenlijk precies zoals @jherder het ingesteld heeft staan.

Belangrijk is het om de TV ontvangers op één LAN poort buiten de switch aan te sluiten immers één van de grote tekortkomingen van EdgeRouters is dat ze geen IGMP snooping ondersteunen. Als je meerdere TV ontvanger hebt, dan sluit je op die LAN poort een switch aan die wel IGMP snooping ondersteunt en de TV ontvangers vervolgens weer op die switch.

Het feit dat EdgeRouters geen IGMP snooping ondersteunen is voor mij juist.de reden geweest om voor de EdgeRouter Lite 3 en EdgeRouter 4 te kiezen.

Als je op beide de laatste firmware hebt staan dan zou dat eigenlijk wel goed moeten komen. Aan de andere kant is het ook mogelijk om twee vlans op die switches te definiëren en TV via een eigen vlan te distribueren. Je hoeft in beide gevallen geen tweede netwerkkabel naar jouw kantoor de trekken, alles kan prima over één netwerkkabel.

Ga je überhaupt meerdere poorten van jouw EdgeRouter gebruiken als je toch al.een 24 poorts switch in de meterkast hebt, of was het juist de bedoeling om de switch eruit te doen en de 8 LAN poorten van de EdgeRouter te gaan gebruiken.

Door rfc3442-classless-static-routes zou de kernel die route automatisch moeten maken op het moment dat de DHCP verbinding op vlan 4 tot stand komt.

Het enige is dat je dan nog een source NAT rule zou moeten maken.

 

Dit was allemaal in place. De trick was de static route die je toe moet voegen. In mijn geval

 

Onder water is de firewall gold een ubuntu linux boxje met een hele fijne ui/app er overheen met veel opties die makkelijk beschikbaar zijn. IPTV werkt nu als een zonnetje :) 
Volgende project is VOIP werkend krijgen. 

Als er interesse is wil ik mijn Firewalla Gold configuratie wel delen. 

@WBG

Door rfc3442-classless-static-routes zou de kernel die route automatisch moeten maken op het moment dat de DHCP verbinding op vlan 4 tot stand komt.

Het enige is dat je dan nog een source NAT rule zou moeten maken.

 

Dit was allemaal in place. De trick was de static route die je toe moet voegen. In mijn geval

 

Onder water is de firewall gold een ubuntu linux boxje met een hele fijne ui/app er overheen met veel opties die makkelijk beschikbaar zijn. IPTV werkt nu als een zonnetje :) 
Volgende project is VOIP werkend krijgen. 

Als er interesse is wil ik mijn Firewalla Gold configuratie wel delen. 

@WBG Kan je mij de PPPoE instellingen laten zien om je firewalla te gebruiken ipv de experia box? inloop er onwijs mee te klooien. in heb alleen internet via de glasvezel.

Alvast bedankt.

Hoe had je die TPLink C2300 dan aangesloten op de EdgeRouter?

Wat was/is dan het subnet van die TPLink?

Wat is het subnet van jouw EdgeRouter?

Je moet twee routers nooit hetzelfde subnet geven.

Of je gebruikt die TP-Link in accesspoint mode (als die dat kent) of je geeft hem een afwijkend subnet.

De TP link staat in AP mode. Aan de andere kant vraag ik me af waarom ik deze een afwijkend subnet moet geven, als deze in routed mode staat.  Als in de TP link een default gateway instel die verwijst naar de Edge router lite en de TP link via een LAN interface aan de switch hang, kan dit toch geen kwaad? Volgens mij is de WAN poort op de TP link een routed port. Of zie ik dat verkeerd?