DMZ-feature, dubbele NAT met Streamz

[Ex-Netweter]

Hi,

Achter mijn Telenet HGW heb ik een D-link router (met OpenWRT) hangen, hiermee implementeer ik o.a. DNS-based adblocking en parental controls voor mijn clients. Voorlopig staan ze in cascade waardoor ik dubbele NAT gebruik.

Ik merk op dat mijn Chromecast (die met de OpenWRT-SSID verbonden is) last heeft om YouTube-filmpjes te casten, ik vermoed dat dit een gevolg is van de dubbele NAT. Tenzij jullie misschien andere vermoedens of ervaringen hebben?

Daarom zou ik graag een meer structurele oplossing willen, maar zonder een e-router aan te vragen. Mocht er ooit een calamiteit voorvallen wil ik makkelijk mijn Telenet-apparatuur (HGW en Access Point) terug in gebruik kunnen nemen om zo min mogelijk downtime (in de zin van geen internet outbreak) te hebben.

Op de website van OpenWRT vind ik een Poor Man’s Bridge terug (https://openwrt.org/docs/guide-user/network/switch_router_gateway_and_nat#device_as_router_as_expose... ) die stelt dat ik de DMZ-feature van Telenet zou moeten gebruiken. Interpreteer ik dit juist als ik zeg dat ik alsnog een dubbele NAT behoudt, zonder de nadelen van dubbele NAT omdat alles toch naar de WAN-link van de OpenWRT-router geforward wordt? M.a.w. het is veilig om de WAN-link van een router (met strikte iptables rules) in de DMZ te plaatsen, maar geen game console o.i.d?

Zijn er bepaalde valkuilen of zaken waar ik zeker op moet letten aan deze werkwijze?

Heeft dit invloed op mijn Digicorder (model met HDD) en Streamz?

Alvast bedankt!

Mvg,

[Arnie]

Persoonlijk zou ik toch de e-router aanraden. De bridge-functie (MAC passthrough) die je dan kunt gebruiken is enkel van toepassing voor één MAC adres (dat zou in jouw geval het MAC adres van de WAN interface van de D-Link zijn).

Voor alle andere direkt op de HGW aangesloten apparatuur gedraagt deze zich heel normaal als HGW, enkel zonder Wifi. Maar zoals je al aangeeft gebruik je een AP, dus is dat geen probleem.

Met DMZ is nog altijd sprake van dubbel NAT. DMZ is namelijk niets anders dan een catch-all port forwarding voor inkomend verkeer.

Terwijl inkomend verkeer normaal geblokkeerd wordt, tenzij expliciet door middel van port-forwarding toegestaan, doe je met DMZ juist het omgekeerde.

Alles wat niet via port-forwarding aan een specifieke host doorgestuurd moet worden, zal niet langer geblokkeerd worden, maar naar de DMZ host doorgestuurd worden.

Handig als die host een router is, maar is wel nog altijd dubbel-NAT.

De digibox dient direkt aan de HGW aangesloten te blijven, ander werkt de interactiviteit niet.

[flip1953]

---

@Ex-Netweter  schreef:

Ik merk op dat mijn Chromecast (die met de OpenWRT-SSID verbonden is) last heeft om YouTube-filmpjes te casten, ik vermoed dat dit een gevolg is van de dubbele NAT. Tenzij jullie misschien andere vermoedens of ervaringen hebben?

---

Dubbele NAT is normaal geen oorzaak van vertraging, ik zou eerder kijken naar de specs of instellingen van jouw D-link router (kan deze gigabit routeren) ??

---

@Ex-Netweter  schreef:

Op de website van OpenWRT vind ik een Poor Man’s Bridge terug (https://openwrt.org/docs/guide-user/network/switch_router_gateway_and_nat#device_as_router_as_exposed_host_in_the_isp_router ) die stelt dat ik de DMZ-feature van Telenet zou moeten gebruiken. Interpreteer ik dit juist als ik zeg dat ik alsnog een dubbele NAT behoudt, zonder de nadelen van dubbele NAT omdat alles toch naar de WAN-link van de OpenWRT-router geforward wordt?

---

DMZ is niet onveilig, gezien jouw D-link router de firewall is voor jouw netwerk.

Maar het lost jouw probleem geenszins op, het enige wat DMZ doet is een default portforwarding naar de DMZ host.

---

@Ex-Netweter  schreef:

Daarom zou ik graag een meer structurele oplossing willen, maar zonder een e-router aan te vragen. Mocht er ooit een calamiteit voorvallen wil ik makkelijk mijn Telenet-apparatuur (HGW en Access Point) terug in gebruik kunnen nemen om zo min mogelijk downtime (in de zin van geen internet outbreak) te hebben.

Jouw vrees is ongegrond denk ik.

De E-router is een gewone HGW zonder WiFi. Met andere woorden: de E-router + een Telenet AP erachter is net als een gewone HGW (je kan zelfs via Mijn Telenet de WiFi van de E-router instellen).

Ik ben 100% akkoord met het advies van @Arnie  : met de E-router krijgt jouw D-link een publiek IPv4 adres (en IPv6 prefix), zodat er geen dubbele NAT meer is. De vraag is of dat jouw snelheidsprobleem oplost???

[StefaanH]

@flip1953 

Ik weet niet of je dit echt zo bedoelde, maar ...

citaat: (je kan zelfs via Mijn Telenet de WiFi van de E-router instellen)

De E-Router heeft geen WiFi aan boord ....

[flip1953]

---

@StefaanH  schreef:

@flip1953 

Ik weet niet of je dit echt zo bedoelde, maar ...

citaat: (je kan zelfs via Mijn Telenet de WiFi van de E-router instellen)

De E-Router heeft geen WiFi aan boord ....

---

Ja dat is echt zo bedoeld.

De E-router heeft wel geen WiFi aan boord, maar heeft wel in "Mijn Telenet" de WiFi menu's en instellingen zoals een andere HGW.

Vandaar mijn uitspraak: de E-router + een Telenet AP erachter is net als een gewone HGW (je kan zelfs via Mijn Telenet de WiFi van de E-router instellen).

[flip1953]

Afbeelding (MAC adres verwijderd) 

Zoals je ziet: de E-router (zonder WiFi) heeft wel degelijk WiFi Instellingen op "Mijn Telenet" 😊

[StefaanH]

@flip1953 

Je hebt, zoals meestal, overschot van gelijk  😉