Netwerk uitbreiden (uit leergierigheid)

[ubremoved_539]

Ik vrees dat IPv6 configuratie iets complexer is dan een IPv6 DHCP client aan te maken (er bestaan trouwens diverse methodes voor het bekomen van een IPv6 adres).

Ik heb ook geen idee hoe je een routed setup kan doen met een eigen router achter een TN router... eigenlijk wil je een eigen /64 uit die /56 denk ik (al staat m'n IPv6 kennis ook nog in z'n kinderschoenen).

Deze link bevat trouwens goed leesvoer.

[ubremoved_539]

Hieronder wat sfeerbeelden van mijn poging.

Heb je nog nieuwe pogingen ondernomen... ?

[NuKeM]

I.v.m. IPv6:
Ik heb nog enkele kleinigheden geprobeerd, maar zonder resultaat.

http://wiki.mikrotik.com/wiki/Manual:IPv6/ND

"Due to restrictions of IPv6, address auto-configuration can not be performed on routers. Routers require manual address configuration."

Dus ik stel mij er in eerste plaats al vragen bij of ik de router zelf een adres kan laten krijgen van de telenet router.
Een windows PC heeft geen enkel probleem, gewoon IPv6 aanzetten en hij krijgt zijn v6 IP.

Nu, ik wil de router natuurlijk niet enkel een v6 IP geven, maar een hele range waaruit hij dan kan uitdelen. Dat is me nog niet gelukt.
Maar, eerlijk is eerlijk, ik ben er wat minder mee bezig (op dit ogenblik geeft IPv4 mij wat meer vertrouwen omdat ik het beter ken, ook al mag v6 beter en eenvoudiger zijn). Ik wacht wat af tot er anderen hun ervaring met IPv6 en Routerboards kunnen delen.

Voor de rest:
Wel ben ik tegen het probleem aangestoten dat mijn Canon netwerk printer niet met clients op andere subnets om kan Dus dan maar USB voor pc op VLAN10 en hem op VLAN30 gestoken voor de wifi-clients.

Voorts probeer ik nog uit te zoeken hoe ik mijn internet traffiek kan weergeven via Graphing. Hier moet waarschijnlijk een simple queue voor aangemaakt worden, maar daar ben ik nog niet uit.

Daarnaast probeer ik internet trafiek sowieso voorrang te geven op interne trafiek tussen subnets. Maar ook dat zal nog wat opzoekwerk vergen en is blijkbaar niet zo eenvoudig als het lijkt.

[ubremoved_539]

Nu, ik wil de router natuurlijk niet enkel een v6 IP geven, maar een hele range waaruit hij dan kan uitdelen. Dat is me nog niet gelukt.

En vermoedelijk zelfs een ander IPv6 subnet per VLAN (gewoon IPv6 heb ik trouwens werkende via een HE Tunnel, de routed /48 setup per VLAN staat ook nog op m'n ToDo lijstje).

Wel ben ik tegen het probleem aangestoten dat mijn Canon netwerk printer niet met clients op andere subnets om kan Dus dan maar USB voor pc op VLAN10 en hem op VLAN30 gestoken voor de wifi-clients.

Dat verbaast me ten zeerste... je Canon heeft toch een subnet mask en default gateway ? Da's namelijk het enige dat je moet hebben om vanaf andere subnets te printen.

Voorts probeer ik nog uit te zoeken hoe ik mijn internet traffiek kan weergeven via Graphing. Hier moet waarschijnlijk een simple queue voor aangemaakt worden, maar daar ben ik nog niet uit.

Nee, queues heb je hiervoor niet nodig... gewoon graphing enablen op je interface (staat standaard trouwens op). Je kan deze bekijken door te surfen naar je Router z'n IP-adres.

Daarnaast probeer ik internet trafiek sowieso voorrang te geven op interne trafiek tussen subnets. Maar ook dat zal nog wat opzoekwerk vergen en is blijkbaar niet zo eenvoudig als het lijkt.

Daar heb je wel queues voor nodig...

[NuKeM]

En vermoedelijk zelfs een ander IPv6 subnet per VLAN (gewoon IPv6 heb ik trouwens werkende via een HE Tunnel, de routed /48 setup per VLAN staat ook nog op m'n ToDo lijstje).

Dat zou ik inderdaad graag doen.

Dat verbaast me ten zeerste... je Canon heeft toch een subnet mask en default gateway ? Da's namelijk het enige dat je moet hebben om vanaf andere subnets te printen.

Ik vond het ook vreemd, IP en gateway stonden correct, ik kon zonder probleem aan de webinterface van de printer vanop een ander subnet, maar toch bleef de printer 'offline' staan. Windows firewall stond af. Nu, ik wil het nog wel eens een kans geven en er mij in verdiepen.

Nee, queues heb je hiervoor niet nodig... gewoon graphing enablen op je interface (staat standaard trouwens op). Je kan deze bekijken door te surfen naar je Router z'n IP-adres.

Klopt, graphing stond al actief, maar het subnet waarin de telenet router zit staat ingesteld op de interface zelf. M.a.w., ik zag in de trafiek daar dan ook alle trafiek opduiken, ook die tussen andere subnets/VLANs. Dit heb ik opgelost door op de Cisco VLAN 1 op de trunk naar de Miktrotik niet meer als untagged te zetten, maar als tagged en vervolgens het subnet en het bijhorende gateway IP op VLAN 1 te steken (en dus niet meer direct op de interface). Mits wat nodige firewall en NAT aanpassingen was het dan in orde en kon ik via graphing op VLAN 1 mooi de internet trafiek zien. Maar, mijn VPN bleek niet meer te werken, maar dat probeer ik nog wel een keer, want dit kon aan een derde oorzaak liggen. Het is toen allemaal snel snel gegaan en ik heb mijn oude settings teruggezet omdat ik VPN nodig heb.

Daar heb je wel queues voor nodig...

Klopt, samen met packet marking (via Mangle), etc.
Ik had even de illusie dat mijn bandbreedte door de Mikrotik werd gesmoord tijdens andere activiteiten, maar ik denk nu dat dit eerder aan een dip lag in het Telenet netwerk. Het is dus geen prioriteit meer om prioriteiten te voorzien, al wil ik er mij voor de sport bij tijd en stond wel eens aan wagen.

[NuKeM]

De graphing voor het subnet van Telenet is dus in orde. VPN doet het gewoon, dat het niet op mijn GSM wou werken moet aan iets anders liggen (ik heb gelezen dat er MTU problemen mogelijk zijn in Android, het werkt even en dan is het gedaan met de VPN verbinding).
Met die graphing kan ik dus de bandbreedte tussen de router en subnet 192.168.1.0 (VLAN1) bekijken... in principe zou dit overeen moeten komen met de trafiek van en naar internet (aangezien de Telenet router de enige is in dit subnet, samen met de Cisco switch en digicorder).

Op mijn graphing zie ik wel iets 'vreemds':

vlan1 traffic.png

Tussen het moment dat wij hier gaan slapen en terug opstaan is er een OUT (upload, blauw) van gemiddeld 1Mbit/s.
Nu, ik weet natuurlijk niet of dit lokaal is van routerboard naar vlan1 of van routerboard->vlan1->telenet->internet. Toch zou ik graag deze vreemde sluipverbruiker vinden.

Uit de graphing van VLAN10 (Home netwerk met servers, pc's, media, ...):

vlan10 traffic.png

Hier zien we de verbruiker terug op de IN (groen). Het komt dus uit mijn Home netwerk en gaat naar het netwerk met de Telenet router. Op de Wifi en IPcam graphing is niets terug te vinden. Ter info, de trafiek OUT hierboven is grotendeels van de IPcams.

Ik weet dat ik met Torch veel kan zien, maar ik kan dit niet een hele nacht laten aanstaan en er een resultaat uit krijgen van de hele nacht (Torch is meer iets Real-Time dan voor logging).
Traffic Flow kan een optie zijn, maar zijn er goede (gratis) applicaties zoals NTop die onder windows draaien? Op http://www.networkuptime.com/tools/netflow/ staat een lijst, maar die is blijkbaar erg verouderd.

[ubremoved_539]

Tussen het moment dat wij hier gaan slapen en terug opstaan is er een OUT (upload, blauw) van gemiddeld 1Mbit/s.

De NSA of de Chinezen die je server aan het copieren zijn Heb je geen cloud backup of iets dergelijks dat enkel actief is als je verder geen netwerk activiteit hebt ?

Kan je torch trouwens niet langer laten draaien ? Anders de sniffer tool, via de schuduler zou je die 's nachts enkele moment opnames kunnen laten maken.

Traffic Flow kan een optie zijn, maar zijn er goede (gratis) applicaties zoals NTop die onder windows draaien? Op http://www.networkuptime.com/tools/netflow/ staat een lijst, maar die is blijkbaar erg verouderd.

NTop werkt toch onder Windows... http://www.ntop.org/products/ntop/

In Wireshark zitten trouwens ook diverse statistieken... kan je gerust een nachtje laten draaien.

[NuKeM]

Ik heb een Packet Sniffer Stream gezet naar Wireshark op één van de servers met een filter op de Telenet VLAN. Ik zal dat eens een nachtje doen draaien Die Chinees of NSA'er wordt gevonden

[NuKeM]

HA, de Chinees is gevonden, en wat voor een Chinees!

Wat logisch nadenken heeft mij de schuldige weten aanduiden. Ik ga de Wireshark alsnog draaien gewoon ter bevestiging en sport, maar het is 100% zeker.

De Chinees is ... een bug ... meer bepaald, een SPIN

zal je denken

Wel, tegen de slaaptijd schieten ook het IR-LEDs van de IPcams aan als het donker wordt.
Nu is het een drukke spinnenmaand en regelmatig hangen die een web voor de lens (aangetrokken door het IR-licht, ondanks mijn pogingen dit te voorkomen).
Het web beweegt voor de lens (door de wind) en weerkaatst het IR-licht in de lens.
De NAS die de beelden analyseert aanschouwt dit als beweging en dit triggert een opname.
Daaraan gekoppeld wordt bij elke detectie ook een beeld extern opgeslagen (via het internet) ... en dat is dus die trafiek.

Case solved

[Heronic]

ondanks mijn pogingen dit te voorkomen

Daar ben ik eens benieuwd naar... je hebt een spinnenverschrikker aan je cams geplaatst?

[NuKeM]

Wel, ik heb het volgende ondernomen:

• Externe IR-lamp bijgeplaatst in de hoop de aandacht van de IR-LEDs op de camera rond de lens weg te nemen (+ dat was ook nodig voor wat meer verlichting).
• Wat opzoekwerk gedaan, er bestaan blijkbaar sprays, maar daar wordt van gemeld dat ze niet werken
• Ik heb gelezen over een katten/honden luizen-/vlooienband rond de camera... raar en origineel, het proberen waard en dat leek even te helpen, maar nu zijn ze dus terug

Wel een raar zicht natuurlijk :

[Tomsworld]

Uit die ipv6 zou je misschien een andere /64 uit die /56 moeten kunnen nemen alleen is de vraag hoe die gerouteerd wordt, ik zou eens achter zo'n verbinding moeten zitten om dat uit te zoeken.

[Heronic]

Wel een raar zicht natuurlijk

Geweldig

Ik zou er nog een pantoffel naast hangen en een sticker met een afbeelding van een stofzuiger erop plakken. Hebben ze heel veel schrik van!

[NuKeM]

Vandaag manueel mijn overzet van Fibernet naar Internet 120 aangevraagd.
Zit nu op internet 120, nog steeds IPv6 en hieronder het bewijs dat de Routerboard zonder probleem de 120Mbit/s trekt

telenet download test.png

[krisken]

Welk merk/type routerboard is dit nu?

[NuKeM]

Mikrotik RouterBoard RB951G-2HND

[ubremoved_539]

Mikrotik RouterBoard RB951G-2HND

M'n ondertussen toch al wat oudere RB-450G kan nog best mee en zelfs meer (680 ipv 600 MHz, 256 ipv 128 MB).

[krisken]

Zo zie je maar dat kwaliteit niet altijd geld moet kosten

[NuKeM]

Op vraag hieronder mijn configuratie. Ik heb hier en daar in de Mikrotik export wel iets weggelaten wat niet relevant was of gewoon toch disabled was.

Ter info en duiding ook mijn huidige netwerk config:

Netwerk layout.png

Code: Selecteer alles

[admin@MikroTik] > export compact
# oct/01/2013 09:32:02 by RouterOS 6.4
# software id = xxx
#
/interface ethernet
set 0 name=RouterOnAStick_Port2 speed=1Gbps

/ip neighbor discovery
set wlan1 discover=no
set Home discover=no
set IPcam discover=no
set Telenet discover=no
set Wifi discover=no

/interface vlan
add interface=RouterOnAStick_Port2 l2mtu=1594 name=Telenet vlan-id=1
add interface=RouterOnAStick_Port2 l2mtu=1594 name=Home vlan-id=10
add interface=RouterOnAStick_Port2 l2mtu=1594 name=IPcam vlan-id=20
add interface=RouterOnAStick_Port2 l2mtu=1594 name=Wifi vlan-id=30

/ip pool
add name="Home pool" ranges=192.168.10.100-192.168.10.200
add name=Wifi ranges=192.168.30.100-192.168.30.200

/ip dhcp-server
add address-pool="Home pool" disabled=no interface=Home name=Home
add address-pool=Wifi disabled=no interface=Wifi name=Wifi

/system logging action
set 0 memory-lines=100
set 1 disk-lines-per-file=100
set 3 remote=192.168.10.1

/interface ethernet switch port
set 1 vlan-mode=fallback

/ip address
add address=192.168.1.254/24 interface=Telenet network=192.168.1.0
add address=192.168.10.254/24 interface=Home network=192.168.10.0
add address=192.168.20.254/24 interface=IPcam network=192.168.20.0
add address=192.168.30.254/24 interface=Wifi network=192.168.30.0

/ip dhcp-server network
add address=192.168.10.0/24 comment="Home DHCP" dns-server=195.130.130.139,208.67.222.222 gateway=192.168.10.254
add address=192.168.30.0/24 comment="Wifi DHCP" dns-server=195.130.130.139,208.67.222.222 gateway=192.168.30.254

/ip dns
set allow-remote-requests=yes

/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=established
add chain=input comment="default configuration" connection-state=related
add chain=input in-interface=Home
add action=drop chain=input comment="default configuration"
add chain=forward comment="default configuration" connection-state=established
add chain=forward comment="default configuration" connection-state=related
add action=drop chain=forward comment="default configuration" connection-state=invalid
add chain=forward comment="Alles naar NAS mag" dst-address=192.168.10.1
add chain=forward comment="Toegang vanuit Home naar IPcam" in-interface=Home out-interface=IPcam
add chain=forward comment="Link tussen Unifi en Controller" dst-address=192.168.10.2 src-address=192.168.30.1
add chain=forward comment="Toegang vanuit Home naar Wifi" in-interface=Home out-interface=Wifi
add action=drop chain=forward comment="IPcams geen internet toegang" in-interface=IPcam out-interface=Telenet
add chain=forward comment="Alles naar Telenet netwerk toelaten" out-interface=Telenet
add action=drop chain=forward

/ip firewall nat
add action=masquerade chain=srcnat out-interface=Telenet
add action=dst-nat chain=dstnat dst-port=1723 in-interface=Telenet protocol=tcp to-addresses=192.168.10.1 to-ports=1723
add action=dst-nat chain=dstnat in-interface=Telenet protocol=gre to-addresses=192.168.10.1

/ip route
add distance=1 gateway=192.168.1.1

/system clock
set time-zone-name=Europe/Brussels

/system leds
set 0 interface=wlan1

/system logging
add action=remote topics=error,critical,info,warning

/system ntp client
set enabled=yes mode=unicast primary-ntp=192.168.10.1

/tool graphing interface
add

/tool graphing resource
add

/tool sniffer
set filter-interface=Telenet filter-stream=yes only-headers=yes streaming-server=192.168.10.2

[bollewolle]

Schitterend NuKeM, deze ga ik zeker eens beter bekijken. Sinds mijn topic over de Firewall heb ik jammer genoeg geen tijd meer gehad om er mij nog eens mee bezig te houden. Maar het is zeker handig om een voorbeeld te hebben van een min of meer gelijkaardige setup.

[NuKeM]

Pas op, mijn firewall settings zijn heel bescheiden.

Vandaag toch ook maar weer eens wat zitten prutsen met de handen in de haren.
Mijn RouterOnAStick zit op poort 2, leuk, werkt... maar ik wou hem eens op poort 1 zetten (om daarna op elk van de andere 4 poorten een individuele VLAN te zetten voor debugging).
De verhuis naar een andere poort wou niet lukken, de verbinding met de router verbrak, ook met herstoken kabel. Een geluk dat ik in "safe mode" werk dus gewoon stekker in en uit om het terug goed te zetten.
Uit frustratie ook geprobeerd op poort 3... idem.

Stil verdenk ik de Cisco switch ofzo die een bepaalde time-out heeft en gewoon blijft drukken naar de MAC van poort 2 terwijl het naar poort 1 (of 2) moet?

Achja, bij zo'n RouterBoard komt een garantie om vele lange avonden en uren zoet mee te zijn

[ubremoved_539]

/tool sniffer
set filter-interface=Telenet filter-stream=yes only-headers=yes streaming-server=192.168.10.2

Kan je eens uitleggen wat je precies in Wireshark doet om dit werkend te krijgen ?

192.168.10.2 is toch de PC waarop je wireshark actief hebt ?

[NuKeM]

Klopt, dat is een pc met Wireshark. Ik heb ook even liggen zoeken wat ik moest instellen in Wireshark, maar dat bleek heel eenvoudig, namelijk niets. Hij gaat sniffen op de aansluiting van de PC en daar worden door de RouterBoard ook de gefilterde packets naar gestreamd die Wireshark dan mee opneemt neem ik aan. Dus gewoon stream laten lopen en Wireshark ook. Zo bleek het toch voor mij te werken.

Add: Ik heb wel een kleine aanpassing moeten doen in de instellingen van Wireshark herinner ik me nu. Zal het even opzoeken.

Add2: http://blog.bravi.org/?p=768

Wireshark configuration
Wireshark is commonly used network multiplatform protocol analyzer.
To accept sniffer’s TZSP streams:
- Make sure the host is accepting UDP in Wireshark (as TZSP uses UDP to transport data).
- Disable WCCP protocol in Wireshark (Analyze/Enabled Protocols), as that collides with TZSP (by default frames may be considered WCCP, not TZSP).

[ Post made via mobile device ]