Docsis 3.1 (CV8560E) + Pfsense firewall + TV-box

[Pietsnot56]

Hi,

Ik heb een CV8560E die ik verbonden heb met een Pfsense firewall (DIY).

Als newbe in het parameteriseren van deze firewall bouw ik al lerend stap voor stap de diverse toepassingen (openvpn, pfblocker,squid,...) op. Bij elke nieuwe stap wacht ik de stabiliteit van het systeem af en controleer ik de logs.

Ip6 heb ik uitgeschakeld gezien de hier vermelde problemen.

De wan poort is gesloten.

Bij controle van de logs zie ik deze weerkerende meldingen die blijkbaar iets te maken hebben met de TVbox die achter de firewall hangt. 

(ip's zijn afgeschermd).

Aug 12 06:48:37

LAN

Default deny rule IPv4 (1000000103)

192.x.y.z:50802 TELENETTVBOX.localdomain

52.214.88.103:443

TCP:PA

Aug 12 06:49:28

WAN

Block ULA networks from WAN block fc00::/7 (12000)

192.x.y.z Cannot resolve

224.0.0.1

IGMP

Aug 12 06:51:17

WAN

Block all IPv6 (1000000003)

[fe80::342c:c4ff:feca:exxx

[ff02::1]

ICMPv6

Weet iemand wat dit is? Kan ik dit vermijden? 

[Steven-E]

De TV Box probeert zo veel mogelijk IPv6 te gebruiken. Maar met IPv4 only zal het ook wel werken.

Waarom hang je de boxen niet vóór je firewall, dus rechtstreeks achter de CV8560e.  Dit is de aangeraden setup.

Dan hoef je ook geen regels te configureren op je PfSense voor de TV boxen. Die moeten alvast contact kunnen opnemen met de cloud voor alles wat uitgesteld kijken is. Maar ook de apps op de TV Box, zoals Netflix hebben internet nodig.  Uit de eerste regel maak ik op dat Netflix trafiek nu niet toegelaten is op je PfSense.

De twee andere regels duiden op IPv6 trafiek, met link local en unique local IPv6 adressen.
Dit kan je negeren.

[Pietsnot56]

Ik vreesde al dat dit iets met de interactie met de tvbox te maken had.

Er is materieel maar 1 lan-kabel mogelijk tussen de firewall (en CV8560E) in de garage en een unmanaged switch in de woonkamer waar de tvbox aanhangt. Will ik het rechtstreeks aansluiten op de CV8560E dan moet ik terug klooien met powerlines. Met dit laatste heb ik geen al te goede ervaringen. Of vlan's gebruiken maar dan moet ik andere switchen kopen.

Op dit ogenblik had ik wel toegang tot Netflix met mijn huidige straight forward opstelling.

Kan de wanpoort niet opengezet worden voor de tvbox? Hoe moet dat? poorten? protocols?...

[Steven-E]

---

@Pietsnot56  schreef:

Kan de wanpoort niet opengezet worden voor de tvbox? Hoe moet dat? poorten? protocols?...

---

"WAN: 1 blauwe ethernetpoort. Die poort staat niet actief en gebruikt u niet."

Dit staat op https://www2.telenet.be/nl/business/klantenservice/alles-over-mijn-telenet-modem/

Maar stel dat dit alsnog zou mogelijk zijn, dan zou je toch nog een extra kabel moeten trekken van de modem naar de TV Box?  Ik doe het inderdaad met managed switches en vlans.
Hoeft niet duur te zijn: https://www.bol.com/nl/p/netgear-prosafe-gs105e-netwerk-switch-smart-managed/1003004012739461/?bltgh...

[Pietsnot56]

Er is maar 1 fysiche utp kabel aanwezig en ik kan onmogelijk een tweede trekken.

Dit is jammerlijk genoeg uitgesloten.

Wanpoort: ik bedoelde de wan-poort op yangling pfsense firewall (inbound) ,niet de blauwe op de telenet router, die inderdaad (voorlopig) niet gebruikt wordt.

Op de yangling pfsense firewall zijn er inderdaad 4 ethernet poorten waarvan lan1 de "wan-poort" is, lan2 de dhcp lan-poort. Deze is hardwarematig gelijk aan de Protectl

De lan2 poort en de twee overige kunnen ook gebruikt worden voor vlan 's te maken.

Maar zover zit ik nog niet.

Verlies ik geen snelheid met de vlan's op 1 kabel?

[Steven-E]

---

@Pietsnot56  schreef:

Verlies ik geen snelheid met de vlan's op 1 kabel?

---

Je zou snelheid verliezen als data in VLAN1 toekomst en via VLAN2 opnieuw zou moeten verstuurd worden via dezelfde kabel.

Maar in jouw geval lever je de data meteen weer af op een lokale poort op de switch, dus nee je hebt geen snelheidverlies.

[Ex-Netweter]

---

@Pietsnot56  schreef:

Als newbe in het parameteriseren van deze firewall bouw ik al lerend stap voor stap de diverse toepassingen (openvpn, pfblocker,squid,...) op. Bij elke nieuwe stap wacht ik de stabiliteit van het systeem af en controleer ik de logs.

---

Gezien je nu zelf zegt dat je in de "learning curve" zit van jouw pfsense opstelling, zou ik het niet nodeloos ingewikkeld maken door nu ook nog eens met vlans te experimenteren 😊.

Als jouw TV-Box werkt (incl. Netflix) in je huidige set-up (CV8560E > Pfsense > unmanaged switch > TV-Box), dan zou ik dat zo laten, en mij niets aantrekken van de logs ...
De firewall houdt toch alleen inkomende connecties tegen?

[Steven-E]

De eerste log regel gaat denk ik weldegelijk over een uitgaande connectie:

Aug 12 06:48:37

LAN

Default deny rule IPv4 (1000000103)

192.x.y.z:50802 TELENETTVBOX.localdomain

52.214.88.103:443

TCP:PA

Normaal bevat de eerste IP kolom de source, en de tweede de destination ( een adres in AWS waar Netflix voor een gedeelte op draait). Interessant artikel hierover trouwens.

Op zich zullen de TV boxen ook wel werken na eigen firewall, maar ik vind het mooier van niet.

Uit principe wil ik ook geen toestel op mijn LAN waar Telenet potentiëel zou kunnen op inloggen en op mijn netwerk rondsnuizen.

In dit geval moet @Pietsnot56 idd zelf de keuze maken. Stap voor stap te werk gaan, eerst misschien achter de PfSense, maar ik zou op termijn wel streven naar een setup waar de TV boxen niet achter de PfSense staan.  

[Pietsnot56]

Moet dit dan de opstelling zijn?

                                                                   Managed Sw                   Managed Sw

CV8560E                      Pfsense                   vlan 10  ----> PC..           vlan 10       --------> AP

lan1          -------------->    wan                       vlan 10  ----> AP              vlan 10        --------> TV 

lan2                                 lan dhcp  ------>     vlan 10  ----> camera       vlan 10       --------> Sonos ..

lan3

lan4         --------------------------------------->     vlan 20                             vlan 20       --------> TVBOX

                                                                         X     ---------------------->  X

                                                                                   tagged trunk

Of zou dit ook moeten kunnen?

                                                                 UnManaged Sw                   Managed Sw

CV8560E                      Pfsense                   poort1  ----> PC..            vlan 10       --------> AP

lan1         ---------->    wan                             poort2  ----> AP               vlan 10      --------> TV 

lan2                            lan1 vlan10 dhcp       poort3  ----> camera        vlan 10      --------> Sonos ..

lan3        ----------->    opt1 vlan 20                                                       vlan  20     --------> TVBOX

lan4                           opt2               <------------------------------------->

                                                                           tagged trunk

om zoiets te configureren zal ik nog wat studie werk hebben!

[Pietsnot56]

Zou dit kunnen?

cv8560                 Pfsense                      Unm sw                            Managed sw

                                                                 vlan10--->pc

lan1     --->            wan                             vlan10--->AP                      vlan10  ---> TV

lan2                       lan1 =vlan 10  ---->                                                vlan10   ---> AP

lan3   ----->            opt1 =vlan 20                                                         vlan20  ----> TVBOX

lan4                       opt2 -------------------------------------------------------->

                                                        tagged trunk

Is een propere oplossing maar zal wat studiewerk vragen!

[Pietsnot56]

Ik probeer een schema te plaatsen maar dit lukt blijkbaar niet.

Zou volgende opstelling lukken?

De pfsense heeft 4 poorten in te stellen naar keuze en deze kan overweg met vlan's

poort1 = wan poort verbonden aan een lanpoort van de cv8560E

poort2 = lan1 poort / dhcp = vlan 10 ; deze wordt doorverbonden aan een unmanaged switch met                                                                daaraan pc, printer,....

poort3  =lan2 poort = vlan20   verbonden aan een andere poort op de cv8560E 

poort4  =         tagged trunk naar managed switch

Op managed switch worden de vlan10 gebruikt voor de TV, AP, sonos,.

Op de vlan20 enkel de TVBOX

Dit zou een propere oplossing zijn.

[Steven-E]

Afbeeldingen moeten goedgekeurd worden, dus het duurt gewoon even eer ze verschijnen, maar probeer maar te uploaden.

Om op je vraag te antwoorden:

Op de switch aan je TV box maak je 2 VLANS: Internet en LAN

Dan een aantal untagged poorten:

- minsten 3 poorten in Internet VLAN: eentje voor de kabel naar de modem, de andere naar de TV boxen en naar de WAN poort van je PfSense (de WAN poort is toch de buitenkant van je firewall he?)

- de overige poorten op je switch zet je untagged in de LAN vlan. Eentje naar de LAN poort van je Pfsense, de andere voor andere interne machines.

Een trunk poort heeft in jouw geval geen zin, tenzij je nog verbindingen wil maken naar andere managed switches in huis, en je daar de VLANs ook beschikbaar wil.

Maar als je aan de modem ook poorten beschikbaar wil in het LAN vlan, zal je dit wel moeten doen. Ik vermoed dat dit niet get geval is.

Dus kijk uit naar een switch met minstens 8 poorten.

[Pietsnot56]

Dit is niet zo duidelijk.

Huidige opstelling is als volgt:

Op een lanpoort van de cv8560e loopt een utp-kabel naar de eerst poort (van 4) op de pfsense.

Deze poort fungeert als de wan-ingang voor mijn eigen netwerk.

(Via het mac-adres en passtrough in "mijn Telenet" wordt mijn privé netwerk verbonden met het Telenet netwerk.)

De tweede poort op de pfsense is de dhcp server uitgang naar mijn intern netwerk.

gezien er meerdere toestellen aanhangen gebeurd dit over een oude router dat enkel fungeert als AP / switch (geen router functie).

Van hieruit vertrekt er een enige utp kabel naar de andere kant van de woning waar via een unmanaged switch TV, sonos, en ook de TVbox aanhangen.

Ik dacht deze unmanaged switch te vervangen door een 8 poorts managed switch.

Deze laatste moet dan 2 vlan's aansturen. Eéntje specifiek voor de TVBox, de andere voor alle bestaande netverkeer. 

Ik denk dat dit moet kunnen.

Maar heb ik aan vertrekzijde ook een managed switch nodig ipv de AP / switch zonder geen router functie. Ik stel mij de vraag of ik dit niet kan oplossen met de pfsense 4 poorts box?

[Steven-E]

Dus de PfSense staat in de buurt van je CV8560e en de TV box op een andere plaats, aangesloten op een unmanaged switch.

Als je via Vlans wil werken, dan heb je in dat geval 2 managed switches nodig.

Beiden met 2 VLANs: Internet en LAN

- Tussen beide switches gebruik je dan die ene kabel aangesloten op een trunkpoort van de switch (beide vlans zitten hier tagged op geconfigureerd).

- de switch aan de modem: daar configureer je 2 untagged poorten in de Internet VLAN. Eentje naar de CV8560e, eentje naar de WAN poort van de Pfsense.  De LAN poort van de Pfsense sluit je aan op een poort op dezelfde switch die untagged in de LAN vlan zit. Andere toestellen op die plaats kan je ook zo aansluiten, inclusief je oude router die je enkel als AP gebruikt.

- de switch aan de TV box, daar configureer je 1 untagged poort in vlan internet (voor de TV box), de andere poorten in de LAN vlan

Ik vermoed dat je vraag dan ook is of je de functie van de eerste managed switch kan opvangen volledig op de Pfsense. Geen idee, dat lijkt me niet evident. Ik ken PfSense niet.

Misschien toch maar laten zoals het is 😉

[Pietsnot56]

Dit is wat ik voor ongeveer voor ogen had.

Inmiddels heb ik een oudere devolo powerline aangesloten op een tweede poort van de cv 8560E en aan de andere powerline de TVBox.

Er zijn in de log op de firewall nu een pak mindere records.

Maar de powerline staat wel op rood. De verbinding is dus maar flauwtjes, iets dat ik al langer wist.

Een andere fase? Teveel aan elkaar gekoppelde stekkers? Dit is de miserie waarvan ik wou verlost zijn.

Met een een goede 100€ ben ik ervan af, studietijd niet mee gerekend!