Heb je daar een screenshot van?

Wat is het subnet dat je gebruikt voor IPTV?

Helaas is een screenshot niet meer mogelijk, de gegevens zijn alweer weg.

Ik gebruik subnet 192.168.5.0/29. 

Het geschetste verhaal deed zich voor op een pfsense installatie. Inmiddels heb ik daarom maar de blokkade regel tot rfc1918 netwerken als eerste opgenomen en de oude default to all weer teruggezet. Het doel is dus wel bereikt, alleen met een extra firewall regel. Nou ja, brand is erger.

Maar ik ben wel heel erg benieuwd wat die Arris kastjes zoeken op genoemde ip-adres.

Het IP adres 192.168.3.120 is een lokaal IP adres en dus is het sowieso vreemd dat de 5202 daarmee een verbinding zou willen opzetten. Heb jij überhaupt wel een subnet actief waar dat IP adres in valt?

Nee een subnet waarin 192.168.3.120 zou vallen heb ik niet en is op mijn omgeving ook nooit geconfigureerd geweest. Daarom vind ik het zo raar.

Ik ook en daarom ook dat ik om een screenshot vroeg.

Zelf heb ik zoiets nog niet geconstateerd.

Wel heb ik geconstateerd dat de 5202 voor bepaalde functies de DNS server van Google (8.8.8.8) raadpleegt en ook dat is iets wat je wellicht wilt voorkomen.

Dat van die google dns zie ik ook. Maar omdat ik IPTV heb geïsoleerd in een dedicated subnet vind ik dat benaderen van 8.8.8.8 door alleen die Arris kastjes minder erg. Voor andere subnetten gebruik is de dns servers van quad9 via TLS. Maar mogelijk gewenste uitstapjes vanuit de 5202's naar andere netwerken vind ik daarentegen wel zorgelijk. 

Zoals gezegd heb ik dat inmiddels wel weer opgelost door de blokkade naar de rfc1918 netwerken. Ik vind het echter raar dat er eventueel voorgeprogrammeerde ip-adressen naar private address space gerelateerde netwerken lijken te zitten. Of er is iets anders gebeurd. Maar dat lijkt me raar. Meer dan een netgear switch (lekker gemakkelijk voor het snooping verhaal), 2 STB's 5202 en een verbinding naar de router waren er niet op het subnet aangesloten.

Ik blijf het goed in de gaten houden, mocht ik nog iets vinden dan laat ik het weten.

Heb je op de andere subnetten dan ook een destination NAT rule ingesteld staan die DNS requests naar één van de DNS servers van Google redirect naar Quad9. Er zijn apps op Android die hardcoded DNS requests naar 8.8.8.8 sturen. Die vang ik af en redirect ze naar mijn DNS server/forwarder op mijn EdgeRouter.

Ja. En heel af en toe zie je iets richting 8.8.8.8 wat wordt geredirected voorbijkomen. Vooral op het geïsoleerde gasten subnet 

 hallo wjb,

Alweer enige tijd geleden. hier nog diverse dingen geprobeerd maar geen succes, ook edgerouter niet te benaderen via 192.168.2.254, noch op eth 3 als eth4 van edgerouter 6P. hieronder de config boot string zoals geupload via win SCP. let wel, dit is de upload zoals gedefinieerd hier in forum. ik zie overigens eth3 en/of eth4 hier niet in vermeld staan? zoals eerder vermeld, VoIP (via V10) en TV werken prima. Hopelijk kun je me hierin helpen, alvast bedankt! Marco

firewall {
    all-ping enable
    broadcast-ping disable
    ipv6-name WANv6_IN {
        default-action drop
        description "WAN IPv6 naar LAN"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow IPv6 icmp"
            icmpv6 {
                type echo-request
            }
            protocol ipv6-icmp
        }
    }
    ipv6-name WANv6_LOCAL {
        default-action drop
        description "WAN IPv6 naar Router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow IPv6 icmp"
            protocol ipv6-icmp
        }
        rule 40 {
            action accept
            description "Allow dhcpv6"
            destination {
                port 546
            }
            protocol udp
            source {
                port 547
            }
        }
    }
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name WAN_IN {
        default-action drop
        description "WAN naar LAN"
        rule 10 {
            action accept
            description "Allow established/related"
            log disable
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    name WAN_IPTV_IN {
        default-action drop
        rule 1 {
            action accept
            description "Allow established/related"
            log disable
            protocol all
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 2 {
            action drop
            description "Drop invalid state"
            log disable
            protocol all
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
        rule 3 {
            action accept
            description "Allow IGMP multicasts"
            destination {
                address 224.0.0.0/4
            }
            log disable
            protocol udp
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN naar Router"
        rule 10 {
            action accept
            description "Allow established/related"
            log disable
            state {
                established enable
                invalid disable
                new disable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                established disable
                invalid enable
                new disable
                related disable
            }
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    bridge br0 {
        aging 300
        bridged-conntrack disable
        description "KPN Telefonie"
        hello-time 2
        max-age 20
        priority 32768
        promiscuous disable
        stp false
    }
    ethernet eth0 {
        description FTTH
        duplex auto
        mtu 1512
        speed auto
        vif 4 {
            address dhcp
            description "KPN IPTV"
            dhcp-options {
                client-option "send vendor-class-identifier "IPTV_RG";"
                client-option "request subnet-mask, routers, rfc3442-classless-static-routes;"
                default-route no-update
                default-route-distance 210
                name-server update
            }
            firewall {
                in {
                    name WAN_IPTV_IN
                }
            }
            mtu 1500
        }
        vif 6 {
            description "KPN Internet"
            mtu 1508
            pppoe 0 {
                default-route auto
                dhcpv6-pd {
                    no-dns
                    pd 0 {
                        interface eth1 {
                            host-address ::1
                            no-dns
                            prefix-id :1
                            service slaac
                        }
                        prefix-length /48
                    }
                    rapid-commit enable
                }
                firewall {
                    in {
                        ipv6-name WANv6_IN
                        name WAN_IN
                    }
                    local {
                        ipv6-name WANv6_LOCAL
                        name WAN_LOCAL
                    }
                }
                idle-timeout 180
                ipv6 {
                    address {
                        autoconf
                    }
                    dup-addr-detect-transmits 1
                    enable {
                    }
                }
                mtu 1500
                name-server auto
                password ppp
                user-id XX-XX-XX-XX-XX-XX@internet
            }
        }
        vif 7 {
            bridge-group {
                bridge br0
            }
            description "KPN Telefonie"
            mtu 1500
        }
    }
    ethernet eth1 {
        address 192.168.2.254/24
        description Thuis
        duplex auto
        ipv6 {
            dup-addr-detect-transmits 1
            router-advert {
                cur-hop-limit 64
                link-mtu 0
                managed-flag false
                max-interval 600
                name-server 2a02:a47f:e000::53
                name-server 2a02:a47f:e000::54
                other-config-flag false
                prefix ::/64 {
                    autonomous-flag true
                    on-link-flag true
                    valid-lifetime 2592000
                }
                radvd-options "RDNSS 2a02:a47f:e000::53 2a02:a47f:e000::54 {};"
                reachable-time 0
                retrans-timer 0
                send-advert true
            }
        }
        speed auto
        vif 4 {
            address 192.168.4.254/24
            description IPTV
            egress-qos "0:5 1:5 2:5 3:5 4:5"
        }
    }
    ethernet eth2 {
        description "KPN Experia Box"
        duplex auto
        ipv6 {
            address {
                autoconf
            }
            dup-addr-detect-transmits 1
        }
        speed auto
        vif 7 {
            bridge-group {
                bridge br0
            }
            description "KPN Telefonie"
            mtu 1500
        }
    }
    loopback lo {
    }
}
protocols {
    igmp-proxy {
        interface eth0.4 {
            alt-subnet 0.0.0.0/0
            role upstream
            threshold 1
        }
        interface eth1.4 {
            alt-subnet 0.0.0.0/0
            role downstream
            threshold 1
        }
    }
    static {
        interface-route6 ::/0 {
            next-hop-interface pppoe0 {
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name IPTV {
            authoritative enable
            subnet 192.168.4.0/24 {
                default-router 192.168.4.254
                dns-server 195.121.1.34
                dns-server 195.121.1.66
                domain-name iptv.local
                lease 86400
                start 192.168.4.1 {
                    stop 192.168.4.253
                }
            }
        }
        shared-network-name Thuis {
            authoritative enable
            subnet 192.168.2.0/24 {
                default-router 192.168.2.254
                dns-server 192.168.2.254
                lease 86400
                start 192.168.2.1 {
                    stop 192.168.2.200
                }
            }
        }
        static-arp disable
        use-dnsmasq enable
    }
    dns {
        forwarding {
            cache-size 4000
            listen-on eth1
            name-server 195.121.1.34
            name-server 195.121.1.66
            name-server 2a02:a47f:e000::53
            name-server 2a02:a47f:e000::54
            options listen-address=192.168.2.254
        }
    }
    gui {
        http-port 80
        https-port 443
        older-ciphers enable
    }
    nat {
        rule 5000 {
            description IPTV
            destination {
                address 213.75.112.0/21
            }
            log disable
            outbound-interface eth0.4
            protocol all
            source {
            }
            type masquerade
        }
        rule 5010 {
            description Internet
            log disable
            outbound-interface pppoe0
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    telnet {
        port 23
    }
    unms {
        disable
    }
}
system {
    domain-name thuis.local
    host-name Thuis
    login {
        user ubnt {
            authentication {
                plaintext-password "ubnt"
            }
            level admin
        }
    }
    name-server 127.0.0.1
    ntp {
        server 0.nl.pool.ntp.org {
        }
        server 1.nl.pool.ntp.org {
        }
        server ntp0.nl.net {
        }
        server ntp1.nl.net {
        }
        server time.kpn.net {
        }
    }
    offload {
        hwnat disable
        ipsec enable
        ipv4 {
            forwarding enable
            gre enable
            pppoe enable
            vlan enable
        }
        ipv6 {
            forwarding enable
            pppoe enable
            vlan disable
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
    traffic-analysis {
        dpi disable
        export disable
    }
}

/* Warning: Do not remove the following line. */
/* === vyatta-config-version: "config-management@1:conntrack@1:cron@1:dhcp-relay@1:dhcp-server@4:firewall@5:ipsec@5:nat@3:qos@1:quagga@2:suspend@1:system@4:ubnt-pptp@1:ubnt-udapi-server@1:ubnt-unms@1:ubnt-util@1:vrrp@1:webgui@1:webproxy@1:zone-policy@1" === */
/* Release version: v1.10.8.5142440.181120.1645 */
 

Jammer dat je jouw config.boot niet in een spoiler element geplaatst hebt, dergelijke grote lappen tekst maken het topic er niet overzichtelijker op.

Het script dat je gebruikt hebt is dus blijkbaar dat je hele thuisnetwerk op eth1 zit met televisie op vlan 4 van eth 1 en de Experia Box voor telefonie op eth2.

Dat betekent dat je een switch op eth1 moet aansluiten voor alle apparatuur en dat die switch zo ingericht moet worden dat de TV ontvangers op vlan 4 aangesloten worden.

Was dat jouw bedoeling?

Hoeveel TV ontvangers heb je?

thanks wjb, sorry van de config. nee, mijn idee is om mijn thuisnetwerk op eth3 (of eth4) te hebben, eth1 dedicated voor TV ontvanger (heb er maar een), eth2 voor VoIP

Dan zullen we het script een beetje moeten gaan verbouwen.

Ik zal binnenkort eens kijken of ik de benodigde wijzigingen hier kan plaatsen.

Top, dank wacht ik dat wel af. Bedankt alvast

Ter info

Er is een hotfix beschikbaar voor de Edgemax routers:

https://community.ui.com/releases/EdgeMAX-EdgeRouter-Firmware-v2-0-9-hotfix-3/bcbaedc8-41df-4a97-b389-bb122c8905cd

Let op deze is EA

Ik laat hem voorlopig nog even links liggen.

Goedemorgen @wjb 

Ik moet een poortje op mijn ER-X open zetten voor Plex. Volgens jouw screenshot zou ik als WAN interface ppoe0 moeten selecteren. Mijn vraag is, waarom ppoe0 selecteren in plaats van eth0? Ben nieuwsgierig. Wat voor verschil maakt dat?

Alvast bedankt :)

De communicatie met Internet loopt via die pppoe interface en dat is dus de interface waarop de port-forwarding ingesteld moeten worden.

De eth0 interface is feitelijk de "fysieke" interface maar de communicatie loopt over "logische" interfaces zoals pppoe maar ook vlan.

Goedemiddag,

Zijn alle ubiquiti edgerouters niet geschikt i.c.m. KPN Box 12?
Telefonie lijkt namelijk helaas niet te werken. Ik gebruik nu een Edgerouter X

Mvg, Tonny Wolf 

De V12 kan inderdaad niet gebruikt worden als "veredelde VoIP ATA" achter een andere router. Dit geldt voor alle routers. Het ligt niet aan de gebruikte router maar aan het feit dat de V12 telefonie via vlan 6 (Internet) laat lopen i.p.v. vlan 7 (telefonie).

Oké duidelijk. Bedankt voor je toelichting.

@Marco 123H, Onderstaand de wijzigingen in de config,boot om deze geschikt te maken voor jouw situatie.

eth0: WAN poort

eth1: LAN poort

eth2: Poort voor Experia Box als “veredelde" VoIP ATA

eth3: Poort voor TV ontvanger.

Wjb, Many Thanks, wanneer tijd (en dat zal even duren ga ik de aanpassingen doen en testen. Hartstikke bedankt in ieder geval, kan ik mee verder

Goedemorgen @wjb 

Ben bezig met de configuratie van een Draytek Vigor 2135 voor een KPN FTTH aansluiting. Op hun website staan veel handige handleidingen zoals bijvoorbeeld eentje over hoe je routed IPTV kan instellen. Alle stappen zijn heel duidelijk, met uitleg over DHCP option 60 en aanzetten van IGMP proxy en IGMP snooping. Alleen zie ik niks staan over rfc3442 classless routes. Weet jij toevallig of ik hier voor wat moet doen? Of is dat niet nodig?

Alvast bedankt :)

Als je t.b.v. KPN TV zelf geen static route hoeft in te stellen naar een 10.x.x.x adres dan is rfc3442 dus al actief.

@wjb Nog even een vraag, op de managed switches van netgear (ik gebruik zelf de GS308E) staat IGMP snooping standaard aan op VLAN1. Hoef ik dit aan te passen? Heb zelf alle apparaten thuis op hetzelfde LAN en maak lokaal geen gebruik van VLAN’s. Dus alle TV’s en andere apparaten op 192.168.2.0/24. Mag IGMP snooping aan blijven op de standaard VLAN1? Of hoe werkt dat precies?