Experiabox v10a, icm VPN-diensten 1900AC

[admiralawesome]

Ik heb inderdaad de "hoofdrouter" een vast IP gegeven. Alle vaste netwerk apparatuur, trouwens.
Het gasten wifi valt, zoals je al gokt, in een reek van 192.168.1.x.
Maar dit is allemaal niet veranderd sinds ik ben geswitch naar de nieuwe propositie. Het enige wat ik mij kan voorstellen, is dat de V10A toch nog iets die poorten filtert.

Vandaag verwacht ik de V10, kijken of dat verschil maakt. En anders toch van het weekend met een EdgeRouter lite aan de gang. De configfile heb ik vanochtend gemaakt, dus die hoef ik alleen maar te pushen. Verschillende internetbronnen gebruikt (bron 1, bron 2, bron 3)

[Babylonia]

Heb hier nu even getest met een vergelijkbare set-up.
Experia Box V10A,  waarbij ik de DHCP van die modem/router heb uitgezet.
In de RT1900ac voor het WAN IP handmatig een vast IP-adres gegeven, in het sub-net van de Experia Box.
(en met de gateway gegevens van de Experia Box).

Heel fascinerend. Door het ontbreken van een DHCP-server in de Experia Box,
krijgt de TV-ontvanger aangesloten op die Experia Box geen intern LAN IP-adres toegewezen, en werkt niet "achter de Experia Box".

Echter de TV-ontvanger nu aangesloten achter de Synology RT1900ac, is daarop nu wel volledig actief.
Zowel IGMP Snooping, alsook IGMP Proxy moesten daarvoor wel actief zijn ingeschakeld in de RT1900ac.

Het enige wat ik mij kan voorstellen, is dat de V10A toch nog iets die poorten filtert.

Daar heb ik nu ook op getest.
Maar ik kwam in deze set-up (met uitgeschakelde DHCP) nu niet verder dan alleen een werkende OpenVPN verbinding (via mijn mobiele telefoon).
Vanuit de thuislocatie probeerde ik ook met een "loopback" functionaliteit een VPN Plus SSL VPN connectie.
Maar kwam daar nu ook niet mee verder, terwijl dat normaal geen probleem is.

Zelfde resultaat voor DMZ als Port Forwarding.  Het is een te grote tombola of iets wel of niet zal werken.

EDIT:
Inmiddels verderop iets verder getest, zie aanbevelingen in laatste deel van < DEZE > reactie.

[admiralawesome]

Dat je tv ontvangers geen ip krijgen wanneer de dhcp is uitgeschakeld op de Experiabox, is logisch toch.
Je kunt hierbij niet handmatig een ip invullen.

-Aan de ene kant fijn dat het op deze manier bij jou ook niet werkt, maar opzich best vreemd.
Met de V10 is deze setup bij jou geen probleem? Desnoods met de dhcp op de experiabox gewoon aan.. Zolang de vpn diensten maar weer te gebruiken zijn.

[Ben(V)]

Er is geen antwoordt op gegeven dus zeg ik het nog maar eens.

Als je de DHCP van de experiabox uitzet dan krijg de WAN kant van de Synology router geen gateway adres en geen DNS adres.
Hij weet dan niet waar hij heen moet als je het internet op wilt.
Je moet dan handmatig die twee instellen en het zou zomaar kunnen dat zoiets niet voorzien is in de Synology router.
Die moeten dus 192.168.2.254 zijn.

Zet gewoon die DHCP server van de experiabox aan en zorg ervoor via een macadres/ipadres  koppeling die Synology router steeds hetzelfde ipadres krijgt.
In de DMZ zetten is eigenlijk ook niet handig, gewoon standaard dubbele Nat is veel verstandiger.
Je moet dan als je portforwarding gebruikt dat alleen twee keer doen namelijk in de experiabox naar je Synology router en in de Synology router naar het device (bijvoorbeeld je Nas) waar je naar toe wilt forwarden.

Er zijn namelijk twee soorten DMZ.
Als het de ene vorm is hangt die Synology router als het ware rechtstreeks aan het internet en dan heb je een ipadres ingestelt dat niet werkt op het internet.

[Babylonia]

Dat je tv ontvangers geen ip krijgen wanneer de dhcp is uitgeschakeld op de Experiabox, is logisch toch.

Het klopt dat dat logisch is.  Maar ik beschrijf het tevens ook voor mensen buiten ons zelf die deze berichten ook lezen.
Daar kan de informatie ook informatief/ interessant voor zijn.

[Babylonia]

Als je de DHCP van de experiabox uitzet dan krijg de WAN kant van de Synology router geen gateway adres en geen DNS adres.
Hij weet dan niet waar hij heen moet als je het internet op wilt.
Je moet dan handmatig die twee instellen en het zou zomaar kunnen dat zoiets niet voorzien is in de Synology router.

De Synology router voorziet daar wel in, en is dan ook als zodanig in te stellen.
Maar stabiel werkt het allemaal niet om in de Experia Box de DHCP uit te zetten m.b.t. door te sturen services.

Zet gewoon die DHCP server van de experiabox aan en zorg ervoor via een macadres/ipadres  koppeling die Synology router steeds hetzelfde ipadres krijgt.
In de DMZ zetten is eigenlijk ook niet handig, gewoon standaard dubbele Nat is veel verstandiger.
Je moet dan als je portforwarding gebruikt dat alleen twee keer doen namelijk in de experiabox naar je Synology router en in de Synology router naar het device (bijvoorbeeld je Nas) waar je naar toe wilt forwarden.

Zo heb ik dat normaal ook precies als zodanig ingesteld (gewoon 2x port forwarding ingesteld, en werkt doorgaans ook het beste).
Maar zelf had ik eerder daarmee niet de TV-diensten vanuit Experia Box kunnen doorzetten naar de Synology router.
Met de testen die ik nu aanvullend heb gemaakt, heb ik dat inmiddels wel klaar gekregen.

En dat zit hem dan eigenlijk alleen in de "IGMP Proxy" functionaliteit, die niet stond ingesteld.
(IGMP Snooping  had ik standaard al wel ingesteld, maar dat is kennelijk niet genoeg voor die TV-services).

Met dit "voortschrijdend inzicht" ben ik er nu zelf toch ook heel wat mee opgeschoten. 
En voor  @admiralawesome  zou ik willen adviseren, de set-up dan ook precies als zodanig in te stellen.
Dus zowel in de Experia Box DHCP ingeschakeld houden, op basis van MAC-adres vast IP-adres ("DHCP-binding") voor de Synology router instellen. De Synology router op DHCP laten staan en automatisch een IP-adres laten verkrijgen vanuit de Experia Box.
Verder voor de gebruikte services de zaken met Port Forwarding instellen.

Echter geldt voor de V10A nog wel de beperking dat het VPN - PPTP protocol niet werkt, voor zowel uitgaand als inkomende connecties.
En dat zit hem dan in bugs van die V10A wat inmiddels door diverse gebruikers is opgemerkt. De V10 (zonder A) heeft die problemen niet.
Echt rauwig hoef je er niet echt op te zijn, want PPTP is toch al niet echt aan te bevelen, omdat het het minst veilige VPN protocol is.
De andere VPN-protocollen hebben geen probleem met de V10A.

[admiralawesome]

Oké, nu toch maar de dhcp functie van de experiabox aangezet, om de oplossing van Ben(V) te proberen.
Echter heeft dit ook geen effect gehad.
De huidige instellingen, zie bijlage, zijn volgens mij de meest eenvoudige, en,
PostNL is hier nog niet langs geweest, dus de v10A heb ik nog niet binnen. En precies hoe jij, Babylonia, het als eerste voorstelde.

[Babylonia]

Nog weer een ander gebrek van die V10A opgemerkt.  De "loopback" functie van de V10A werkt niet.
(Gebruik binnen je eigen netwerk van het internet WAN IP-adres of zoals in mijn geval een NL-domein met SSL certificaat).

V10 (zonder "A") terug gehangen, werkt het direct.  Dus die V10 is wel beter.  (Stuur je de V10A terug).

De huidige instellingen, zie bijlage, zijn volgens mij de meest eenvoudige

Bij gebruik van Port Forwarding, niet ook DMZ daarbij gebruiken.
De TV-ontvangers kun je gewoon achter de Synology router of Access Points blijven gebruiken.
(Dat heb ik nu juist uit jou eerdere opstelling geleerd, bij gebruik van IGMP Snooping en IGMP Proxy ).

Feitelijk gewoon zoals je eerste schema. Alleen met DHCP ingeschakeld, vast IP-addres (DHCP-binding) voor je eerste Synology router,
en Port Forwarders voor services van je NAS e.d. die je van buitenuit wilt bereiken. (Zoals eerder met plaatjes uitgelegd < HIER > ).

[admiralawesome]

Nee, ip forwarding werkt natuurlijk niet als DMZ aanstaat. Die heb ik ook uitgezet. Alleen in de tekening nog niet..
En die IGMP proxy, moet je trouwens aanvinken om gebruik te kunnen maken van IGMP snooping v3. Zonder dat werkt het niet.

De V10A kan terug, fijn dat ze daar bij Telfort helemaal niet moeilijk over doen, en een V10 direct versturen.
De argumentatie die ik aan de telefoon kreeg, dat VPN puur een zakelijk toepassing is en daarom via de klantenservice niet wordt ondersteund vind ik wel een beetje flauw. Serieuze consumenten moeten er toch ook mee kunnen werken. Wellicht dat een firmware update in de toekomst nog iets doet, want er zullen op de achtergrond toch (ongeacht de instellingen) nog poorten worden geblokkeerd, blijkt.

Voor nu, alle bedankt voor het meedenken en als de V10 direct werkt, zal ik dat hieronder laten weten.

[Birdy]

De argumentatie die ik aan de telefoon kreeg, dat VPN puur een zakelijk toepassing is en daarom via de klantenservice niet wordt ondersteund vind ik wel een beetje flauw.

Dat is niet flauw, ze lopen gewoon jaren achter met hun denkwijze.

[Babylonia]

De V10A kan terug, fijn dat ze daar bij Telfort helemaal niet moeilijk over doen, en een V10 direct versturen.
De argumentatie die ik aan de telefoon kreeg, dat VPN puur een zakelijk toepassing is en daarom via de klantenservice niet wordt ondersteund vind ik wel een beetje flauw.

Dat ze bij Telfort niet moeilijk doen om de modem/router te ruilen is sterk afhankelijk welke medewerker je treft.
Op het forum bij Telfort zijn er ook gebruikers waarbij de medewerker heel hardnekkig willens en weten vasthoudt aan de gedachte dat de gebruiker geen recht heeft op een andere modem/router. En niet van plan is die te verstrekken.

Daarbij kun je bedenken dat het niet aan Telfort is welke services doorgegeven of geblokkeerd mogen worden.
Eisen waar apparatuur aan moet voldoen is vastgelegd in wetgeving.

Met het niet functioneren - blokkeren of vertragen van bepaalde services (zoals VPN),
voldoet de apparatuur niet aan regelgeving m.b.t. "netneutraliteit".
Aanvankelijk alleen een typisch Nederlandse wetgeving (sinds 2013),
maar inmiddels bindend geregeld voor de hele Europese Unie als bescherming voor de rechten van gebruikers.

Webpagina van Telfort zelf die informatie geeft over "netneutraliteit"  < HIER >
Europese kantoor belast met de Europese regelgeving m.b.t. internet < HIER >  (in detail info HIER )

[admiralawesome]

Oké,
Zojuist de nieuwe router (V10) geïnstalleerd. Na portforwarding aangezet te hebben voor een nieuwe gemaakte regelset, doet de VPN plus app op mijn Iphone het direct.
De Ipsec-verbinding via mijn laptop extern gaat nog niet lekker "Remote Access error 789 - The L2TP connection attempt failed because the security layer encountered a processing error during initial negotiations with the remote computer.", maar dit lijkt mij een autorisatiefout. Ze zien elkaar dus wel.

[Babylonia]

Nog wat sleutelen dan.  De V10 is in ieder geval een stuk betrouwbaarder dan de V10A.

Hierbij voor je (en voor andere gebruikers die een en ander in een V10 willen instellen) nog even de afbeeldingen van een V10

• om een vast IP-adres in te stellen,
• applicatie regels aan te maken om poorten van services daarvoor te reserveren,
• en daadwerkelijk van de aangemaakte applicaties de port forwarding naar een IP-adres actief door te leiden.

Instellen vast IP-adres "DHCP-binding".
Hoewel dat voor de situatie bij NAT achter NAT feitelijk alleen voor de RT1900ac nodig zou zijn,
staan enkele apparaten er ook bij, voor het geval ze voor bepaalde omstandigheden
tijdelijk direct toch achter de V10 worden gehangen.




Aanmaken van applicaties om poorten voor bepaalde services te reserveren.
Voor zover ze niet al reeds zijn vóór ingevuld.  Ingedeeld per categorie.




Het toevoegen van de services aan een IP-adres
waarmee de port forwarding daadwerkelijk actief wordt ingesteld.

[admiralawesome]

Laatste update.
Het blijkt dus een fout te zijn in de verificatie van Windows (7/10). Deze heeft (schijnbaar) moeite met een NAT-NAT opstelling.
Een simpele registry key lost dat op.

• Press the Windows Key and R at the same time to bring up the Run box.
• Type in: regedit and click OK. Click Yes if asked if you'd like to allow the app to make changes to your PC.
• In the left pane, locate and click the folder: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent
• Click the Edit menu and hover your cursor over New. Click DWORD Value. A new registry will appear in the right pane, named New Value #1.
• Rename that file: AssumeUDPEncapsulationContextOnSendRule (this is case-sensitive and contains no spaces) and press ENTER.
• Right-click AssumeUDPEncapsulationContextOnSendRule, then click Modify.
• In the Value data box, type 2 and click OK.
• Reboot the computer.

Hierna komt de L2TP/Ipsec verbinding meteen in de lucht.