Entertain mittels USG am Telekom-BNG-Anschluss. (Stand )

Transkript

1 Entertain mittels USG am Telekom-BNG-Anschluss. (Stand ) Anmerkung: Bisher scheint alles an Entertain V1 (bis MR303) zuverlässig zu funktionieren. Seit Entertain V2 (ab MR400) nutzt die Telekom IGMPv3 SSM in WAN. Dieses wird vom USG bisher nicht offiziell unterstützt. Es gibt bisher auch nun einen bei dem es am BNG-Anschluss mit Entertain V2 funktioniert. Daher ist die Anleitung in Bezug auf Entertain V2 eher als experimentell anzusehen. Probleme mit dem IGMP-Proxy des USG haben gezeigt, dass dieses keine Dauerlösung ist. Momentan ist vom Betrieb abzuraten. Eine Aktivierung des IGMP-Snooping für UniFi-Switche, verhindert eine IPv6-Adresszuweisung an alle angeschlossenen Geräte. Diese Anleitung soll dabei helfen, Entertain (V1 und V2) mittels UniFi Hardware an einem BNG- Anschluss zu ermögliche. Die Anleitung funktioniert nicht an einem nicht BNG-Anschluss, da hier neben dem VLAN 7 noch das VLAN 8 benötigt wird. Da alle Anschlüsse umgestellt werden, wird dieses Thema hier auch nicht behandelt. Es wird davon ausgegangen, dass der USG die PPPoE Einwahl übernimmt und ein DSL-Modem, wie der Draytek Vigor 130, vorgeschaltet ist. Entertain V1 verwendet die Mediareceiver MR300 und MR303. Entertain V2 verwendet den Mediareceiver MR400. Die Erkenntnisse stammen dabei aus dem Thread Entertain mit Ubiquitit Security Gateway Ein Dank geht dabei an Ex0, Alanin, Shadowcat und dermetze für die Hilfestellungen und Tests. Hoffentlich habe ich niemanden vergessen. Changelog Erste Version Formatierung angepasst Bezeichnung Entertain angepasst Kleine Fehler behoben Empfohlene Browser hinzugefügt Auslesen des Korrekten pppoe Interfaces hinzugefügt Verzeichnis für die config.gateway.json hinzugefügt Anmerkungen hinzugefügt Um den Bereich Troubleshooting ergänzt

2 1. Test auf BNG Über folgenden Link könnt seht ihr wie ihr testen könnt, ob ihr bereits auf BNG migriert wurdet: Solltet dieses nicht der Fall sein, könnte euch dieser Beitrag evtl. helfen. Die dort gemachten Einstellungen beziehen sich alle auf Entertain V1. 2. Konfiguration des Draytek 130 (Dank en Ex0) Der Draytek übernimmt hier die reine Modem Funktion. Folgende Bilder von Ex0 zeigen die Einstellungen am Draytek. Laut Webseite von Draytek werden neu ausgelieferte 130er direkt als Modem konfiguriert und benötigen keine Anpassung, ihr solltet also direkt starten können. Internet Access >> General Setup Internet Access >> PPPoE/PPPoA

3 Internet Access >> MPoA

4 3. Internetzugang einrichten (Dank en Ex0) Devices >> USG >> Configuration >> WAN Der Username setzt sich aus den T-Online Zugangsdaten zusammen: wobei: A= 12-stellige Anschlusskennung T= T-Online-Nummer M= vierstelliger Mitbenutzerzusatz Als DNS-Server könnt ihr die Server von T-Online o o Google o o Oder z.b. OpenDNS eintragen.

5 4. Firewallregeln anpassen (Dank an Alanin) Hier müsst ihr unterscheiden ob ihr das alte oder neue Entertain nutzt. Das neue Entertain V2 verwendet den MR400 und das Alte V1 den MR300/MR303. IPTV-Source: V1 V IPTV-Destination: V1 V / /16 Die Adresse /4 ist bei beiden gleich, ebenso der Port. Die Regeln der Firewall folgen als Screenshots. Die IPs müsst ihr entsprechend eurer Entertain- Variante anpassen. Die Screenshots zeigen die Einstellungen für V1. Die Bilder stammen von Alanin. FIREWALL >> Groups

6 Jetzt die Firewall Regeln an sich. Achte bitte auf die richtige Zuordnung (WAN IN, bzw. WAN LOCAL). FIREWALL >> Rules >> WAN IN

7

8 FIREWALL >> Rules >> WAN LOCAL

9

10 5. IGMP-Proxy mittels config.gateway.json aktivieren (Dank an Ex0, Alanin und Shadowcat) Zuerst müsst ihr euch per SSH mit eurem USG verbinden. Die Anmeldedaten sind die gleichen wie vom Controller. Mittels dem Befehl show interfaces, könnt ihr euch die Interfaces des USG anzeigen lassen. Wichtig ist dabei das Interface pppoe. Diesen Eintrag merkt ihr euch. Ihr erstell eine Datei Namens config.gateway.json und passt den gelb markierten Eintrag an euren obigen Wert an. config.gateway.json: { } "protocols": { "igmp-proxy": { "interface": { "pppoe0": { "alt-subnet": [ " /0" ], "role": "upstream", "threshold": "1" }, "eth1": { "alt-subnet": [ " /0" ], "role": "downstream", "threshold": "1", "whitelist": [ " /16", " /16" ] } } } }

11 Mittels der SeiteJSONLint, könnt ihr noch teste ob das JSON Format korrekt ist. Die editierte Konfig Datei ladet ihr in folgendes Verzeichnis auf dem Unifi Controler Server hoch: [UniFi base Ordner]/data/sites/[site] [site] ist dabei die Site ID eures controllers. Falls ihr nur eine habt sollte diese default lauten. Jetzt müsste ihr über den Unifi Controler noch ein Re-Provisioning anstoßen (z.b eine neue Portfreigabe machen oder Configuration >> Manage Device >> Force Provision). Der [UniFi base Ordner] ist folgender: macos: /Applications/UniFi.app/Contents/Resources Windows: "%userprofile%/ubiquiti Unifi" UniFi Cloud Key & Debian/Ubuntu Linux: /usr/lib/unifi Sobald der USG neu provisioniert wurde und ihr Fernsehen schaut, könnt ihr mit dem Befehl show ip multicast interfaces, den Traffic auf dem pppoe und eth Interface sehen.

12 6. UniFi Switch anpassen Solltet ihr noch einen UniFi Switch nutzen, müsst ihr das IGMP-Snooping im Controller aktivieren und per CLI die Header-Validation deaktivieren. Als Browser solltet ihr Chrome oder Firefox verwenden, da es mit Safari momentan Probleme gibt. Ich hatte das bereits hier mal zusammengeschrieben: Um an das CLI zu kommen, öffnet ihr das Debug-Terminal über den Controller

13 Device SW-Wohnzimmer: Connected BusyBox v ( :57:14 PDT) built-in shell (ash) Enter 'help' for a list of built-in commands. US.v3.7.55# telnet Entering character mode Escape character is '^]'. Warning! The changes may break controller settings and only be effective until reboot. (UBNT) >en (UBNT) #config (UBNT) (Config)#show igmp Admin Mode... Enable Multicast Control Frame Count... 0 IGMP header validation... Enabled Interfaces Enabled for IGMP Snooping... None VLANs enabled for IGMP snooping... 1 (UBNT) (Config)#no set igmp header-validation (UBNT) (Config)#show igmp Admin Mode... Enable Multicast Control Frame Count IGMP header validation... Disabled Interfaces Enabled for IGMP Snooping... None VLANs enabled for IGMP snooping... 1 (UBNT) (Config)# Die rot markierten Befehle führen euch zum Ziel. Abschließend sollte, wenn ihr euch die Daten mit "show igmp" anzeigen lasst, der Admin Mode auf Enable stehen und IGMP header validation auf Disabled. Bei einem Senderwechsel zählt dann auch der Frame Count hoch. Diese Einstellungen am Switch werden nach jedem Reboot, bzw. jeder Reprovisionierung überschrieben. Die Änderungen sollten aber bald im Controller anpassbar sein. 7. Troubleshooting Nach einen Neustart des USG oder einer Zwangstrennung läuft es wieder nicht o Die Ursache ist das IGMP Proxy des USG, welcher nicht startet o Z.b. in der config.gateway.json den Eintrag pppoex auf einen anderen Wert ändern, provisionieren, zurück ändern und wieder provisionieren. Dadurch sollte der Proxy neu starten