Ben je bij dit topic terechtgekomen omdat je op zoek bent naar een oplossing voor het verbeteren van de wifi dekking in jouw woning, lees dan niet dit hele artikel (zonde van de tijd ;)), maar schaf een goed wifi accesspoint aan. (Geen wifi extender of wifi repeater maar een wifi accesspoint.) Overweeg dan ook direct om een goed dual-band wifi accesspoint aan te schaffen zoals bijvoorbeeld de WiFi "versterker" van KPN of een accesspoint van EDIMAX of Ubiquiti.
Had je al een wifi router aangeschaft of heb je andere redenen om een eigen router in te zetten of heb je al een router aangeschaft, lees dan gerust verder.
De Experia Boxen van KPN (met name de V10) zijn prima routers voor de niet veeleisende eindgebruikers, maar aan de andere kant bieden ze niet de flexibiliteit die van een router verwacht zou mogen worden. Daarnaast is het iedereen wel bekend dat de Experia Boxen bepaalde functionaliteit niet ondersteunen of niet correct ondersteunen.
Denk hierbij aan:
VPN tunnels waardoor het niet mogelijk is om van buitenaf een VPN verbinding op te zetten met het netwerk thuis.
Parental control waarbij bepaalde sites geblokkeerd kunnen worden of voor apparaten een tijdslot ingesteld kan worden.
Een voordeel is dat je volledige vrijheid hebt over de inrichting van jouw netwerk thuis en de communicatie met Internet, waarbij je absoluut niet beperkt wordt door de beperkingen van de Experia Box.
Een nadeel is dat het configureren van zo'n router toch wel enige "kennis" vereist en tevens dat je support van KPN kunt vergeten als je bijvoorbeeld een probleem hebt met Internet, televisie en/of de vaste telefoon.
Alternatief is om een tweede eigen router achter de Experia Box te plaatsen.
Deze router zal dan wel aan de onderstaande voorwaarden moeten voldoen:
De router moet geen dsl router zijn, maar een router waarvan de WAN (Internet) poort een "gewone" UTP poort (RJ45) is voor standaard netwerk kabels.
De router moet een WAN IP adres moet kunnen krijgen van de DHCP server van de Experia Box. (Ik ben echter nog geen routers tegengekomen die wel een "gewone" UTP WAN poort hebben en dit niet ondersteunen, m.u.v. de KPN Experia Boxen zelf.)
De router moet de door jou gewenste functionaliteit ondersteunen.
Belangrijk is het dan ook om vast te stellen welke functionaliteit je nodig hebt in de eigen router bij de selectie en aanschaf van de eigen router.
Dus stel jezelf de vraag wat je wilt bereiken met die eigen router.
Gaat het om:
het opzetten van een netwerk voor de gameconsoles en spelcomputers
het opzetten van gescheiden netwerken voor privé en zakelijk gebruik (thuiskantoor) waarbij VPN verbindingen nodig zijn voor het van buitenaf benaderen van het zakelijke netwerk.
het opzetten van een netwerk dat multicasting ondersteunt voor Bonjour, Airplay en Airprint
gewoon om van die Experia Box af te zijn
meer invloed te hebben op welke sites wel en niet benaderbaar mogen zijn (parental control)
een andere reden
Voor je het weet ben je een dief van je eigen portemonnee omdat je een dure router hebt aangeschaft waarvan je 80% van de functionaliteit niet gebruikt, of juist een goedkope router die toch niet blijkt te kunnen wat jij nodig hebt.
Voorbeelden: Apart netwerk voor gameconsoles en spelcomputers
De router (bijvoorbeeld een Netgear WNR1000) moet UPnP ondersteunen. De gameconsoles en spelcomputers die ook UPnP ondersteuning vereisen worden aangesloten op de eigen router. Andere computers, tablets en telefoons kunnen zowel op de Experia Box als op de eigen router aangesloten worden.
Gescheiden netwerk voor privé en zakelijk gebruik met VPN
De router (bijvoorbeeld een Cisco RV180W) moet VPN verbindingen ondersteunen. Alle computers, tablets, telefoons, NASsen, etc. die zakelijk gebruikt worden of via een VPN verbinding van buitenaf benaderbaar moeten zijn worden op de eigen router aangesloten. Computers, tablets en telefoons die privé gebruikt worden, worden op de Experia Box aangesloten.
Netwerk dat multicasting ondersteunt t.b.v. Bonjour, Airplay en Airprint en Apple TV.
De router (bijvoorbeeld een Apple Airport Extreme, maar ook vele andere routers) moet multicasting ondersteunen. Alle apparatuur die gebruik maken van Bonjour (en daarmee Airprint en Airplay) worden op de eigen router aangesloten. Let op: Dit kunnen ook Windows PC's zijn aangezien ook Windows Bonjour ondersteunt. Apparaten die geen gebruik maken van Bonjour kunnen op zowel de eigen router als op de Experia Box aangesloten worden.
Netwerk voor alle apparaten m.u.v. de KPN TV ontvangers
Uiteraard kan ook gekozen worden om alle apparatuur op de eigen router aan te sluiten. Afhankelijk van de gewenste functionaliteit zal dan uiteraard een router gekozen moeten worden die UPnP, multicasting en/of VPN tunnels ondersteunt. Kies een router met een goede wifi dekking en indien gewenst ook 802.11ac (wifi) ondersteuning.
Configuratie: Ongeacht de geselecteerde router is de configuratie van de router achter jouw Experia Box altijd hetzelfde. Stap 1: Configureer jouw eigen router voor alle door jou gewenste functionaliteit. (Raadpleeg het manual van jouw eigen router om te zien hoe en waar je de instellingen kunt doen.)
Zorg er voor dat het WAN (Internet) IP adres van jouw eigen router door de DHCP server van de Experia Box uitgegeven wordt.
Als je handmatig een DNS server moet instellen (en dat is normaliter niet het geval als het WAN (Internet) IP adres door de DHCP server van de Experia Box uitgegeven wordt), vul hier dan het adres van jouw Experia Box in (192.168.2.254).
Activeer de DHCP server van jouw eigen router en zorg er voor dat deze IP adressen in een ander subnet dan die van de Experia Box liggen. Je kunt hier 192.168.x.x of 10.x.x.x subnetten gebruiken.
De Experia Box gebruikt subnet 192.168.2.xxx.
Stap 2: De Experia Box configureren.
Bepaal het MAC adres van de WAN (Internet) poort van jouw eigen router. (Raadpleeg het manual van jouw router om te zien waar je dit MAC adres kunt vinden.)
Maak een "DHCP binding" (static DHCP) voor het gevonden MAC adres. Kies hierbij voor een hoog (nog niet gebruikt) IP adres binnen de DHCP range van de experia Box bijvoorbeeld: 192.168.2.250. (De IP adressen 192.168.2.255 (broadcast), 192.168.2.254 (router) en 192.168.2.253 (interne FTP server) zijn al in gebruik door de Experia Box zelf.) Loopt de DHCP range van jouw Experia Box bijvoorbeeld van 1 tot 200, kies dan voor een IP adres boven in die reeks zoals 192.168.2.200 of 192.168.2.195.
Zet de DMZ functionaliteit aan en vul het gebruikte IP adres in bij de DMZ Host.
Verwijder eventuele handmatige "Port-Forwardings" op de Experia Box van protocollen (poorten) die naar de eigen router doorgestuurd moeten worden.
Sluit nu de WAN (Internet) poort van jouw eigen router met een UTP kabel aan op één van de LAN poorten van de Experia Box.
Voorkom dat jouw Internet aansluiting in quarantaine geplaatst wordt:
Als jouw eigen router het Simple Network Management Protocol (SNMP) ondersteunt, zorg dan dat deze uit gezet wordt. KPN zal, voor jouw eigen veiligheid, jouw Internet aansluiting vrij snel in quarantaine plaatsen als een apparaat in jouw netwerk via SNMP van buitenaf te benaderen is.
Bridge mode of router mode?
De meeste routers ondersteunen zowel de "router mode" als de "bridge mode".
Welke moet ik dan gebruiken?
In bridge mode wordt het netwerk achter de eigen router beheerd door de DHCP server van de Experia Box. Alle apparaten hebben dan dus IP adressen binnen het subnet van de Experia Box (192.168.2.xxx).
Het voordeel van de "bridge mode" mode is dat alle apparaten elkaar kunnen vinden, immers ze zitten allemaal in hetzelfde subnet.
Tegelijkertijd heeft dit ook een nadeel aangezien je gebruik maakt van functionaliteit van de Experia Box en als de Experia Box een "probleem heeft", dan geldt dit direkt ook voor de apparaten achter de eigen router.
In "router mode" wordt de aansturing van de apparaten achter de eigen router volledig door de eigen router uitgevoerd.
Het voordeel is dan ook dat apparaten achter de eigen router met elkaar kunnen blijven communiceren in het geval van een storing op de Experia Box. (Zelfs als je de Experia Box van stroom afhaalt.)
Een nadeel (of voordeel) is dat apparaten die op de Experia Box zijn aangesloten de apparaten achter de eigen router niet kunnen benaderen. (Overigens kunnen apparaten aangesloten op de eigen router wel apparaten bereiken die aangesloten zijn op de Experia Box .)
Mijn stelregel is dan ook:
Kies voor "bridge mode" als het je eigenlijk alleen te doen is om de wifi dekking in jouw woning te verbeteren.
Kies voor "router mode" om de afhankelijkheid van de Experia Box zo klein mogelijk te maken tenzij het een vereiste is dat apparaten die op de Experia Box zijn aangesloten moeten kunnen communiceren met apparaten die op de eigen router zijn aangesloten.
LET OP: Een router in "bridge mode" mag je nooit als DMZ Host van de Experia Box instellen.
Port forwarding als de eigen router in "router mode" staat:
Zoals eerder aangegeven moeten alle port-forwardings van poorten, die doorgestuurd moeten worden naar de eigen router, op de Experia Box verwijderd worden. Doordat de eigen router als DMZ Host van de Experia Box gedefinieerd is, zullen alle poorten, waarvoor op de Experia Box geen port-forwardings gedefinieerd zijn, naar de eigen router doorgezet worden, uitgezonderd TCP poort 8085 (remote beheer van Experia Box) en UDP poort 5060 (telefonie).
De benodigde port-forwardings voor apparaten aangesloten op de eigen router moeten hierbij op de eigen router aangemaakt worden.
29 april 2015: Routed-iTV en de eigen router:
Zoals jullie misschien weten gaat KPN over van bridged-iTV naar routed-iTV.
Zo is dit op de V9 bij de laatste firmware update al geïntroduceerd en zullen de andere Experia Boxen volgen.
Routed-iTV houdt in dat de TV ontvangers een IP adres in de range van de Experia Box gaan krijgen (192.168.2.x) en niet meer zoals bij bridged-iTV in de 10.x.x.x range.
Het voordeel hiervan is dat een TV ontvanger ook aangesloten kan worden op de eigen router mits deze in bridge-mode gebruikt wordt.
De eigen router zal dan wel IGMP snooping moeten ondersteunen om te voorkomen dat de TV streams via wifi gebroadcast worden. Vrijwel elke wifi zender zal van zo'n broadcast "plat gaan".
Op de eigen router zal dan tevens de IGMP proxy server wel uitgezet moeten worden omdat anders de TV geheid na een paar minuten zal uitvallen.
Sluit een eigen router ook altijd met zijn WAN poort aan op het netwerk.
Er zijn mensen die de eigen "router" puur inzetten als wifi-accesspoint en daarbij deze niet met de WAN poort van de eigen "router" aansluiten op de Experia Box maar met een LAN poort.
Mijn advies: Niet doen, een eigen "router" sluit je aan op het netwerk via de WAN poort van deze router en niet via één van de LANpoorten. Heb jij deze situatie en ervaar je dit probleem met de TV, lees dan nog even de eerste alinea van dit bericht nog eens of configureer jouw eigen router in "bridge-mode" en sluit hem aan op het netwerk via de WAN poort. Mocht je, ondanks mijn advies, toch jouw eigen router met een LAN poort aangesloten laten op de Experia Box (omdat deze bijvoorbeeld geen WAN poort heeft), zet dan de IGMP proxy server op jouw eigen router uit.
Als de IGMP proxy server op de eigen router niet uitgezet is, dan zal je ervaren dat de TV er na een paar minuten mee ophoudt. Let op: Er zijn zelfs routers (zoals de Linksys EA6500) waarbij de IGMP proxy server niet meer uitgezet kan worden zodra deze in bridge-mode geplaatst wordt.
Bladzijde 68 / 86
Hoi @wjb ,
Bedankt voor je reactie. Het klopt dat de EdgeRouter X initieel geen actieve DHCP server heeft, maar ETH1 is geconfigureerd als DHCP client (en heeft ook gewerkt). De WebGUI zag er voor enkele ogenblikken leuk uit. Ná de mislukte firmware update (failed), is echter ETH1 niet meer actief, en is ETH0 niet bereikbaar op 192.168.1.1. Een “Reset to factory defaults” heeft ook geen resultaat.
Ná de mislukte firmware update (failed), is echter ETH1 niet meer actief, en is ETH0 niet bereikbaar op 192.168.1.1. Een “Reset to factory defaults” heeft ook geen resultaat.
Hmmm, dat klinkt niet best.
Ik heb de Ubiqiuiti EdgeRouter X toch nog kunnen herstellen met behulp van de volgende instructies: EdgeRouter - TFTP Recovery
Ik heb inmiddels een groot deel van de topics over het gebruik van een eigen router achter of in plaats van de Experiabox doorgelezen. Ik ben zelf thuis in de weer met een Edgerouter X achter de Experiabox V10a. Ik heb enkele vragen, vooral om het beter te snappen:
In de verschillende topics heb ik meerdere malen gelezen dat het niet mogelijk is je iTV achter je eigen router die weer achter de experiabox staat werkend te krijgen. Ik geloof dit , maar ik ben nieuwsgierig waarom dat niet werkt. Ik zou denken dat wanneer je op de edgerouter een IGMP proxy insteld en de iTV downstream aansluit die zou moeten werken. Waarom kan dit niet?
Als ik de Edgerouter in een DMZ achter de Experiabox plaats, heeft dit dan invloed op de andere apparaten die direct met de Experiabox verbonden zijn?
Komen de originele vlans van de NTU door op de Experiabox als deze in een DMZ hangt?
Als ik met 2 switches en 2 vlans de iTV box verbind met de Experiabox, en de andere apparaten achter de 2e switch. Vanuit welk netwerk configureer ik dan de vlans?
@Jochem2020
In de verschillende topics heb ik meerdere malen gelezen dat het niet mogelijk is je iTV achter je eigen router die weer achter de experiabox staat werkend te krijgen. Ik geloof dit , maar ik ben nieuwsgierig waarom dat niet werkt. Ik zou denken dat wanneer je op de edgerouter een IGMP proxy insteld en de iTV downstream aansluit die zou moeten werken. Waarom kan dit niet?
Ik ken de mogelijkheden of onmogelijkheden niet van een “Edgerouter”?
Maar voor elke andere router die zowel IGMP proxy + IGMP Snooping ondersteunen,is het inderdaad zoals je aangeeft een kwestie van zowel een IGMP proxy + IGMP Snooping aanvinken, zonder verder aanvullende instellingen. (Dus niet koppelen aan LAN-poorten en aanvullende VLAN's). Enkel die twee instellingen activeren, en het zou moeten werken.
Het werkt bijv. reeds met de meest simplistische TP-Link Archer 6, maar ook met Synology, en heb van gebruikers van een Asus-router dat ook als positief werkend als bericht gekregen. Die twee instellingen activeren - stekkertje van de TV-ontvanger overzetten naar de 2e router, en je hebt in 5 seconden weer actief werkende TV-diensten - gewoon in routed mode zonder beperkingen.
VLAN's en functionaliteiten daarvan worden in de Experia Box namelijk zelf al gescheiden. Dus dat hoef je niet verder nog eens met switches e.d. daar nog achter iets met instellingen te doen. (Hooguit een switch gebruiken die IGMP Snooping ondersteunt).
DMZ zou je in de Experia Box kunnen instellen voor services die je van buiten uit wilt bereiken, voor apparaten/ servers achter die Edgerouter.
Ik heb inmiddels een groot deel van de topics over het gebruik van een eigen router achter of in plaats van de Experiabox doorgelezen. Ik ben zelf thuis in de weer met een Edgerouter X achter de Experiabox V10a. Ik heb enkele vragen, vooral om het beter te snappen:
In de verschillende topics heb ik meerdere malen gelezen dat het niet mogelijk is je iTV achter je eigen router die weer achter de experiabox staat werkend te krijgen. Ik geloof dit , maar ik ben nieuwsgierig waarom dat niet werkt. Ik zou denken dat wanneer je op de edgerouter een IGMP proxy insteld en de iTV downstream aansluit die zou moeten werken. Waarom kan dit niet? Theoretisch zou het mogelijk moeten zijn maar de praktijk is een stuk weerbarstiger.
Als ik de Edgerouter in een DMZ achter de Experiabox plaats, heeft dit dan invloed op de andere apparaten die direct met de Experiabox verbonden zijn? Nee, maar apparaten aangesloten op de Experia Box zullen de apparaten achter de EdgeRouter niet kunnen benaderen.
Komen de originele vlans van de NTU door op de Experiabox als deze in een DMZ hangt? Nee.
Als ik met 2 switches en 2 vlans de iTV box verbind met de Experiabox, en de andere apparaten achter de 2e switch. Vanuit welk netwerk configureer ik dan de vlans? De Experia Box staat op een vlan en de EdgeRouter staat op een vlan. Mijn stelling is dat het vlan van de router waar je de computerapparatuur op aansluit en beherende vlan laat zijn.
Beste lezer,
Allereerst @wjb hartelijk dank voor de oorspronkelijke post van dit draadje! Dit heeft mij goed op weg geholpen. Ik zit echter nog met een probleem en ik hoop dat iemand die dit leest een gouden tip voor me heeft.
Ik heb zelf een ExperiaBox V10, met daarachter een EdgeRouter X v2.0.9-hotfix.1. Mijn ouders hebben een Ziggo modem met ook daarachter een zelfde ERX. Op beide modems geef ik de ERX-en een static DHCP adres en configureer dat IP adres als DMZ op de modems. Op beide modems heb ik alle port forwardings verwijderd. De KPN TV settopbox heb ik nog wel direct op mijn eigen ExperiaBox V10 en die werkt ook nog naar behoren.
Op beide ERX-en configureer ik een IPSec Site-to-Site tunnel. Als ik eerst de VPN configuratie bij mijn ouders doe en daarna die bij mij, dan wordt de VPN tunnel direct opgezet. Als ik eerst de VPN configuratie bij mij doe en daarna die van mijn ouders, dan wordt de VPN tunnel niet opgezet. Ik moet dan eerst weer naar mijn eigen ERX en een refresh doen op die webpagina voor de tunnel wordt opgezet. Ik heb dit nu beide kanten op meerdere maken geprobeerd met een factory reset van beide routers als startpunt. Het gevonden gedrag is consistent.
Mijn vermoeden is dat de ERX bij mijn ouders de ERX achter mij ExperiaBox initieel niet kan bereiken en dat daarom de VPN tunnel pas tot stand komt als de VPN verbinding wordt ge-initieerd vanaf mijn ERX.
Om de DMZ functionaliteit van beide modems te testen heb ik een raspberry pi met domoticz webapp achter mijn router gehangen en als DMZ geconfigureerd. Op mijn publieke IP adres kan ik die webinterface zonder problemen bereiken. Dezelfde test bij mijn ouders geeft hetzelfde positieve resultaat. Dus mijn ExperiaBox stuurt port 443 TCP verkeer iig netjes door naar de DMZ host.
Een snelle zoektocht op internet suggereert dat de ERX een IPSec verbinding probeert op te zetten op UDP/500 ('phase 1’) en UDP/4500 ('phase 2’), maar ik heb dit niet zelf vast kunnen stellen.
Dus mijn eerste vraag is: zou UDP verkeer ook netjes doorgestuurd moeten worden naar de DMZ host, of vangt de ExperiaBox dit UDP verkeer af?
Heeft iemand enige suggestie wat ik nog kan proberen om dit verder te testen?
Elke hulp is van harte welkom.
Met hartelijke groeten, Paul
IPSec wordt niet echt vrolijk van double-nat. Waarschijnlijk hebben jouw ouders dat ziggo modem in bridge-mode staan klopt dat?
Heb je een glasvezelaansluiting?
Zo ja, dan zou ik je willen adviseren om de Experia Box er helemaal tussenuit te snijden.
Ook bij VDSL aansluitingen kan de Experia Box vervangen worden maar dan zal je nog wel een Zyxel VMG4005-B50A als modem moeten aanschaffen.
Door double-nat te vermijden zal je zeker in staat moeten zijn om site-2-site IKE(v2)/IPSec VPN verbindingen op te zetten.
Zelf heb ik er ook meerdere op mijn ER-4 lopen.
Plaats anders ook eens de configuratie van jouw VPN. Uiteraard wel even privé gegevens zoals IP adressen en pre-shared-key wegpoetsen.
Het makkelijkst is om het VPN stukje uit de config.boot hier te posten.
Na het posten van mijn vorige bericht heb ik nog geprobeerd of het verschil maakt als ik de UDP/500 en UDP/4500 zelf via port forward op mijn ExperiaBox doorzet naar de ERX. Het maakt geen verschil.
Wat wel nieuwe informatie is: als ik aan mijn kant "show vpn log” bekijk, dan zie ik voor elke ping poging vanaf mijn ouders aan mijn kant het volgende in het log verschijnen: " DMN] signal of type SIGINT received. Shutting down” gevolgd door 2 seconden later "eDMN] Starting IKE charon daemon (strongSwan 5.6.3, Linux 4.14.54-UBNT, mips)” en dat dan meerdere keren. Het lijkt er dus op dat er wel iets door komt elke keer als de kant van mijn ouders probeert de VPN te initieren.
Wat je zegt (dat ipsec met double-nat om problemen vraagt) klinkt daarmee nog logisch.
Aan beide kanten van de verbinding dus dezelfde opzet: een modem met daarachter een ERX. De Ziggo modem is niet in bridge-mode, dit is althans met dat model niet in te stellen (ik vond online wel andere modellen waarbij dat wel kon, maar bij deze dus niet). Dat ik de DMZ kan instellen suggereert denk ik niet bridge-mode (of zeg ik nu iets geks?).
Ik denk dat mijn VPN configuratie nu juist is, aangezien deze aan beide kanten hetzelfde is (met public IPs en local networks omgekeerd uiteraard). Uiteindelijk werkt de VPN wel, maar dus afhankelijk welke ERX de tunnel initieel opzet. Daarna werkt hij aan beide kanten.
De eigen-router-ipv-experiabox optie klinkt nu aantrekkelijker maar heb ik tot nu toe om 2 redenen niet gedaan: 1) met de huidige opstelling werkt de TV zonder omkijken, ook als KPN later weer iets omgooit en 2) mijn ERX heeft een RJ-45 WAN poort, dus geen idee waar ik de kleinere DSL stekker in zou moeten doen.
Ik begrijp nu dat ik dit laatste punt kan oplossen door de Zyxel VMG4005-B50A ertussen te zetten (dank voor de tip). Een snelle blik op pricewatch laat ruim 100 EUR zien. Dat is het dubbele van de reeds gekochte router. Het lijkt mij dat de ERX het werkpaard is dat al het werk doet en dat die Zyxel niet meer doet dan inbellen. Ik wil geen zure nederlander lijken, maar zijn daar goedkopere alternatieven voor? Of iets dat ik nog kan proberen met de hardware die ik heb? Is de router functie in de ExperiaBox V10 niet uit te zetten? Of iets zoals een bridge-mode? En al deze opties komen terug op punt 1) hierboven: dat de TV blijft werken (ook in de toekomst) is wel een dingetje...
Overigens is een eerdere poging met WireGuard gestrand, maar zou ik nogmaals kunnen proberen. OpenVPN heb ik nog niet geprobeerd (ook UDP) en er is wel een OpenVPN KB artikel op de Ubiquiti site. Dus dat zijn twee dingen die ik nog kan proberen. Maar ik ben bang dat ik de resultaten van die 2 opties pas morgen op zijn vroegst kan delen.
Dit riekt toch echt naar double-nat een welbekend fenomeen wat mij bijna acht jaar terug met dit forum in aanraking gebracht heeft.
Kijk eens op de ER-X bij jouw ouders wat het WAN IP adres van de ER-X is.
Is dat het publieke IP adres dat van Ziggo verkregen wordt of een LAN IP adres verkregen van het modem van Ziggo?
Aan beide kanten heeft de modem een publiek IP 8x.x.x.x.
Aan beide kanten krijgt de ERX een IP van het modem (192.168.178.x/24 van de ziggo modem en 192.168.2.x/24 bij de experiabox). Beide toegekend met een static DHCP binding op het MAC adres van de eth0 port van de ERX (WAN port).
De ERX-en geven zelf adressen uit op de LAN ports eth1 tm eth4. Bij mijn ouders 192.168.8.x/24 en bij mij 192.168.4.x/24.
Als de kinderen op bed liggen zo kan ik nog wel wat verder googlen op ipsec en doublenat. Technisch snap ik niet waarom doublenat een issue is. Het zou transparant moeten zijn voor buiten.
Verder kan ik die openvpn optie nog proberen.
Ik zie nu jouw laatste zin. Nog veel verschillen met mijn config. Ik zal er eens mee varieren / spelen.
Technisch snap ik niet waarom doublenat een issue is. Het zou transparant moeten zijn voor buiten.
Veel IPSec implementaties pingen aan het einde van de opbouw van de VPN tunnel binnende tunnel het publieke IP adres waarmee de verbinding oorspronkelijk opgebouwd werd. Als er geen reply op die ping ontvangen wordt dat wordt de VPN tunnel weer afgebroken.
Als de VPN server op jouw ER-X dus niet in staat is om binnen de VPN tunnel het publieke IP adres van de Experia Box te pingen dan heb je dit probleem te pakken.
Wat je beschrijft past bij die SIGINT log entries die ik hierboven postte.
Blijft het mysterie waarom dat slechts 1 van de richtingen het probleem is. Wellicht dat dit is op te lossen met de ipsec config.
Uiteindelijk heb ik de WireGuard tunnel ook werkend: maar wederom alleen als ik deze initieer vanaf de ExperiaBox kant naar de Ziggo kant. Andersom werkt het niet.
Ik ben toch erg benieuwd waarom het gedrag bij de ExperiaBox anders is dan bij dat Ziggo modem. Los van het modem is de setup aan beide kanten identiek.
Wat het verschil tussen die ExperiaBox en dat Ziggo modem ook is: de kans dat het iets is dat ik kan fixen lijkt niet heel groot :-)
WireGuard zou geen last van double-nat mogen hebben.
Nog een indicatie dat het een ander probleem betreft: als ik mijn laptop in mijn ER-X prik en naar speedtest.net ga, dan werkt dat.
Als ik hetzelfde bij mijn ouders doe, dan blijft de speedtest hangen in het proces van bepalen van een test-server (“finding optimal server”).
Als ik mijn laptop direct in het modem van mijn ouders prik, dan kan hij wel een test-server selecteren. Als ik hem (met die test-server geselecteerd) terug prik in de ER-X en de speedtest start, dan krijg ik de melding:
Latency Test Error
Could not connect to the test server. A firewall could be blocking the connection or the server might be having some issues. Please try again later.
Kortom: mogelijk is de ExperiaBox helemaal niet het probleem, maar wordt het toch veroorzaakt door het Ziggo modem :-D
Wat het probleem ook is en door welke modem het ook wordt veroorzaakt: het probleem is 1 richting op en geldt zowel voor WireGuard alsook IPSec...
Zou jij de config.boot van die ER-X bij jouw ouder hier eens willen posten, uiteraard ontdaan van eventuele vertrouwelijke informatie.
Doe dat dan in een spoiler om het topic een beetje leesbaar te houden.
De inhoud van jouw confIg.boot.
Een overzichtje van de opstelling (enkel een paar cijfers van de public IP adressen aangepast, en ook consistent in de config hieronder):
Ik heb meerdere pogingen gedaan, waaronder:
Deze WireGuard poging (hierbij is het 192.168.12.0/24 subnet de endpoints van de tunnel):
Op beide routers:
wg genkey >/config/auth/wg.key
cat /config/auth/wg.key
Op mijn “vk4router”:
configure
set interfaces wireguard wg4 address 192.168.12.4/24 set interfaces wireguard wg4 listen-port 51820 set interfaces wireguard wg4 private-key /config/auth/wg.key set interfaces wireguard wg4 route-allowed-ips true
set interfaces wireguard wg4 peer 'VW8 PUB KEY BETWEEN THE QUOTES' endpoint 84.104.8x.6x:51820 set interfaces wireguard wg4 peer 'VW8 PUB KEY BETWEEN THE QUOTES' allowed-ips 192.168.12.8/32
set firewall name WAN_LOCAL rule 20 action accept set firewall name WAN_LOCAL rule 20 protocol udp set firewall name WAN_LOCAL rule 20 description 'WireGuard' set firewall name WAN_LOCAL rule 20 destination port 51820
commit ; save ; exit
exit
Daarna op de "vw8router” van mijn ouders :
configure
set interfaces wireguard wg8 address 192.168.12.8/24 set interfaces wireguard wg8 listen-port 51820 set interfaces wireguard wg8 private-key /config/auth/wg.key set interfaces wireguard wg8 route-allowed-ips true
set interfaces wireguard wg8 peer 'VW4 PUB KEY BETWEEN THE QUOTES' endpoint 86.90.1x.5x:51820 set interfaces wireguard wg8 peer 'VW4 PUB KEY BETWEEN THE QUOTES' allowed-ips 192.168.12.4/32
set firewall name WAN_LOCAL rule 20 action accept set firewall name WAN_LOCAL rule 20 protocol udp set firewall name WAN_LOCAL rule 20 description 'WireGuard' set firewall name WAN_LOCAL rule 20 destination port 51820
commit ; save ; exit
Als ik vanuit mijn ouders 192.168.12.4 ping, dan werkt dat niet. Als ik sudo wg doe, dan is er geen handshake.
Als ik daarna vanuit mijn router 192.168.12.8 ping, dan werkt dat wel en er is nu ook een handshake te zien.
Als ik daarna weer bij mijn ouders dezelfde 192.168.12.4 of 192.168.4.x ping, dan werkt dat nu wel.
Bij de volgende IPSec poging forceer ik de VW8 kant (mijn ouders) de connectie te initieren door de VK4 kant connection-type respond te geven. Met deze opzet kan ik dus geen tunnel opzetten, ongeacht vanuit welke kant ik ping.
Tot slot zie je bij deze poging dat ik zowel de authentication id alsook de authentication remote-id gebruik. Ik had daarvoor dezelfde test gedaan zonder authentication remote-id (dus enkel authentication id), zonder enig verschil in het resultaat.
Aan beide kanten een factory reset ER-X, bij beide de WAN+2LAN2 wizard doorlopen om bij mijn ouders de 192.168.8.1/24 DHCP op te zetten en bij mij de de 192.168.4.1/24 DHCP.
Daarna eerst aan de VK4 (mijn) kant gedraaid:
configure
set vpn ipsec auto-firewall-nat-exclude enable set vpn ipsec esp-group FOO0 proposal 1 encryption aes128 set vpn ipsec esp-group FOO0 proposal 1 hash sha1 set vpn ipsec ike-group FOO0 proposal 1 dh-group 14 set vpn ipsec ike-group FOO0 proposal 1 encryption aes128 set vpn ipsec ike-group FOO0 proposal 1 hash sha1 set vpn ipsec site-to-site peer 84.104.8x.6x authentication id 86.90.1xx.5x set vpn ipsec site-to-site peer 84.104.8x.6x authentication remote-id 192.168.178.66 set vpn ipsec site-to-site peer 84.104.8x.6x authentication mode pre-shared-secret set vpn ipsec site-to-site peer 84.104.8x.6x authentication pre-shared-secret cj9hKUaAxxxxxxxx3G4YXuF7 set vpn ipsec site-to-site peer 84.104.8x.6x connection-type respond set vpn ipsec site-to-site peer 84.104.8x.6x description ipsec set vpn ipsec site-to-site peer 84.104.8x.6x ike-group FOO0 set vpn ipsec site-to-site peer 84.104.8x.6x local-address 0.0.0.0 set vpn ipsec site-to-site peer 84.104.8x.6x tunnel 1 esp-group FOO0 set vpn ipsec site-to-site peer 84.104.8x.6x tunnel 1 local prefix 192.168.4.0/24 set vpn ipsec site-to-site peer 84.104.8x.6x tunnel 1 remote prefix 192.168.8.0/24
commit ; save ; exit exit
Daarna aan de VW8 (mijn ouders) kant:
configure
set vpn ipsec auto-firewall-nat-exclude enable set vpn ipsec esp-group FOO0 proposal 1 encryption aes128 set vpn ipsec esp-group FOO0 proposal 1 hash sha1 set vpn ipsec ike-group FOO0 dead-peer-detection action restart set vpn ipsec ike-group FOO0 dead-peer-detection interval 30 set vpn ipsec ike-group FOO0 dead-peer-detection timeout 60 set vpn ipsec ike-group FOO0 proposal 1 dh-group 14 set vpn ipsec ike-group FOO0 proposal 1 encryption aes128 set vpn ipsec ike-group FOO0 proposal 1 hash sha1 set vpn ipsec site-to-site peer 86.90.1xx.5x authentication id 84.104.8x.6x set vpn ipsec site-to-site peer 86.90.1xx.5x authentication remote-id 192.168.2.2 set vpn ipsec site-to-site peer 86.90.1xx.5x authentication mode pre-shared-secret set vpn ipsec site-to-site peer 86.90.1xx.5x authentication pre-shared-secret cj9hKUaAxxxxxxxx3G4YXuF7 set vpn ipsec site-to-site peer 86.90.1xx.5x connection-type initiate set vpn ipsec site-to-site peer 86.90.1xx.5x description ipsec set vpn ipsec site-to-site peer 86.90.1xx.5x ike-group FOO0 set vpn ipsec site-to-site peer 86.90.1xx.5x local-address 0.0.0.0 set vpn ipsec site-to-site peer 86.90.1xx.5x tunnel 1 esp-group FOO0 set vpn ipsec site-to-site peer 86.90.1xx.5x tunnel 1 local prefix 192.168.8.0/24 set vpn ipsec site-to-site peer 86.90.1xx.5x tunnel 1 remote prefix 192.168.4.0/24
commit ; save ; exit ping 192.168.4.39
Deze ping aan de kant van mijn ouders geeft geen resultaat. Als ik ook aan mijn kant ping en daarna aan beide kanten via de VPN Status wizard bekijk blijft de tunnel Down.
Ik krijg het dus alleen werkend als ik de connection-type aan mijn kant op initiate zet en vanuit mijn kant een actie doe die de tunnel aanspreekt (zoals ping 192.168.8.x).
Mijn aanname was dat mijn ouders mijn router niet (voldoende) konden bereiken en dat dus de ‘schuld’ bij de ExperiaBox lag. Echter, de hiervoor genoemde speedtest error suggereert dat de Ziggo modem roet in het eten gooit (dus dat zou mooi zijn).
Daar komt bij dat mijn ouders binnenkort verhuizen en geconfronteerd gaan worden met een nieuwe modem (nog onbekend welke). Als de ExperiaBox het probleem is, dan vindt ik dat wel een spannend vooruitzicht. Zeker gezien de grote reistijd (nu is het 10 huizen verderop). Als het probleem bij de Ziggo modem ligt, dan kan ik er beter mee leven dat de tunnel maar vanuit 1 kant kan worden opgezet: mogelijk kan het met het nieuwe modem van beide kanten, het blijft in ieder geval mogelijk om de tunnel op te zetten.
Een verdere test zou kunnen zijn om dezelfde test te herhalen bij iemand anders, maar ik vermoed niet dat een willekeurige buurman blij wordt van het idee om een nieuw apparaat aan de modem te hangen en deze als DMZ in te stellen. Als er dan onverklaarde problemen optreden in de maanden daarna, dan ben ik automatisch de hoofdverdachte… :-)
PS, ik zie nu dat dit niet exact de gevraagde config.boot is. Als het nog toevoegt op bovenstaande, dan kan ik die nog halen...
Onderstaand de configuratie van een werkende site-2-site verbinding vanuit een KPN aansluiting naar een zakelijke aansluiting bij Ziggo.
set vpn ipsec allow-access-to-local-interface disable set vpn ipsec auto-firewall-nat-exclude enable set vpn ipsec esp-group FOO0 compression disable set vpn ipsec esp-group FOO0 lifetime 3600 set vpn ipsec esp-group FOO0 mode tunnel set vpn ipsec esp-group FOO0 pfs enable set vpn ipsec esp-group FOO0 proposal 1 encryption aes256 set vpn ipsec esp-group FOO0 proposal 1 hash sha1 set vpn ipsec ike-group FOO0 ikev2-reauth no set vpn ipsec ike-group FOO0 key-exchange ikev1 set vpn ipsec ike-group FOO0 lifetime 28800 set vpn ipsec ike-group FOO0 proposal 1 dh-group 2 set vpn ipsec ike-group FOO0 proposal 1 encryption aes256 set vpn ipsec ike-group FOO0 proposal 1 hash sha1 set vpn ipsec ipsec-interfaces interface pppoe0 set vpn ipsec site-to-site peer 217.100.XXX.XX authentication mode pre-shared-secret set vpn ipsec site-to-site peer 217.100.XXX.XX authentication pre-shared-secret 'xxxxxxx' set vpn ipsec site-to-site peer 217.100.XXX.XX connection-type initiate set vpn ipsec site-to-site peer 217.100.XXX.XX description VPN naar kantoor set vpn ipsec site-to-site peer 217.100.XXX.XX ike-group FOO0 set vpn ipsec site-to-site peer 217.100.XXX.XX ikev2-reauth inherit set vpn ipsec site-to-site peer 217.100.XXX.XX local-address 86.86.xxx.xxx set vpn ipsec site-to-site peer 217.100.XXX.XX tunnel 1 allow-nat-networks disable set vpn ipsec site-to-site peer 217.100.XXX.XX tunnel 1 allow-public-networks disable set vpn ipsec site-to-site peer 217.100.XXX.XX tunnel 1 esp-group FOO0 set vpn ipsec site-to-site peer 217.100.XXX.XX tunnel 1 local prefix 10.2.0.0/16 set vpn ipsec site-to-site peer 217.100.XXX.XX tunnel 1 remote prefix 10.1.0.0/16
Zoals je kunt zien gebruik ik geen remote-id bij authentication maar is het local-address gevuld met het publieke IP adres.
Aan beide zijden gebruik ik overigens connection-type initiate omdat beide zijden in staat moeten zijn een nieuwe VPN verbinding op te bouwen. Een peer die als initiate gedefinieerd is zal ook altijd de respond rol vervullen.
Als ik mijn configuratie aanpas op basis van de verschillen met jouw voorbeeld, dan werkt het nog steeds slechts 1 kant op. De enige setting die ik niet heb kunnen overnemen is de interface pppoe0 regel.
Omdat mijn ouders het eerste jaar geen vaste internet aansluiting hebben op hun nieuwe adres gaan ze waarschijnlijk een 4G oplossing zoals T-mobile 4G Voor Thuis overnemen. De vraag is nu hoe dat gaat werken. Als het met dat ding ertussen wel lukt om van hun kant de VPN te initieren dan is daarmee het verhaal klaar. Dat kunnen we binnenkort al testen. Als dat werkt, dan lag het zeker aan het Ziggo modem. Verder heb ik nog niemand anders horen klagen over de VPN met de ExperiaBox V10 ertussen. Ziggo gaf aan dat ze het modem van mijn ouders niet terug willen omdat het een erg oud model is…
Voor nu is daarmee het verhaal voor mij klaar tot ik kan testen met hun nieuwe modem. Kortom, voor nu: bedankt!!
De enige setting die ik niet heb kunnen overnemen is de interface pppoe0 regel.
Die regel moet verwijzen naar de WAN interface. In mijn geval is dat de pppoe verbinding naar KPN omdat ik mijn EdgeRouter rechtstreeks op de KPN aansluiting heb staan. Aangezien jij de ER-X als tweede router achter de Experia Box hebt staan zal dat bij jou de eth poort moeten zijn waarop de Experia Box aangesloten is.
Omdat mijn ouders het eerste jaar geen vaste internet aansluiting hebben op hun nieuwe adres gaan ze waarschijnlijk een 4G oplossing zoals T-mobile 4G Voor Thuis overnemen. De vraag is nu hoe dat gaat werken. Als het met dat ding ertussen wel lukt om van hun kant de VPN te initieren dan is daarmee het verhaal klaar. Dat kunnen we binnenkort al testen. Als dat werkt, dan lag het zeker aan het Ziggo modem. Verder heb ik nog niemand anders horen klagen over de VPN met de ExperiaBox V10 ertussen. Ziggo gaf aan dat ze het modem van mijn ouders niet terug willen omdat het een erg oud model is…
Voor nu is daarmee het verhaal voor mij klaar tot ik kan testen met hun nieuwe modem. Kortom, voor nu: bedankt!!
Let op: T-Mobile hanteert dynamische IP adressen en dat is killing voor site-2-site VPN verbindingen die van beide zijden geïnitieerd moeten kunnen worden.
Wel kan je jouw VPN dan zo kunnen configureren dat deze VPN verbindingen vanaf alle IP adressen accepteert.
Dit doe je door peer 0.0.0.0 te gebruiken.
Tevens zal je dan een remote-id moeten opgeven maar dat kan ook een fqdn zijn i.p.v. een IP adres. Bij jouw ouders zal dan die fqdn dan als authentication id ingesteld moeten zijn.
Goedemiddag,
Ik heb zojuist mijn nieuwe woning opgeleverd gekregen en liep meteen tegen een ‘probleempje’ aan.
Ik zou graag een UDM-pro gebruiken in mijn huis. Hiervoor kies ik voor de optie om de tv te laten lopen via de experiabox en het internet via de UDM-pro, zoals beschreven in pagina 1.
Echter loopt er maar één loze leiding naar de plek waar mij tv komt. Echter heb ik er twee nodig, één voor het signaal van de tv vanuit de experiabox en één voor het internet signaal van mijn UDM-pro (voor playstation, smart tv e.d.).
Ik ga proberen om twee utp-kabels door de loze leiding te trekken, maar denk niet dat dit gaat lukken.
Weten jullie misschien een oplossing voor bovenstaand probleem?
Groeten Ronald
Ik ga proberen om twee utp-kabels door de loze leiding te trekken, maar denk niet dat dit gaat lukken.
Wat is de diameter van de leiding”? Met standaard afmeting PVC-buis heb ik zelf wel twee kabels er doorheen kunnen trekken.
Let dan wel op de diameter van die kabels (CAT 5E / CAT 6 met of zonder afscherming). En gebruik “kabelvet / kabelglijmiddel” om het een stuk soepeler door de leiding heen te trekken.
Reageer
De Kennisbank
Heb je vragen over diensten, producten of wil je weten hoe je modeminstellingen verandert? Vind het antwoord op de meest gestelde vragen in onze Kennisbank
Enter your E-mail address. We'll send you an e-mail with instructions to reset your password.
Bestand scannen voor virussen
Sorry, we zijn de inhoud van dit bestand nog aan het controleren om er zeker van te zijn dat het veilig is om te downloaden. Probeer het nog een keer over een paar minuten.
, maar ik ben nieuwsgierig waarom dat niet werkt. Ik zou denken dat wanneer je op de edgerouter een IGMP proxy insteld en de iTV downstream aansluit die zou moeten werken. Waarom kan dit niet?
