Satellitenreceiver haben keine Zugang mehr zu NAS

Carbonide · March 20, 2025 at 3:51 PM

Es ist mir eben erst aufgefallen, es muss aber mit meiner Umstellung auf ZBF vor einigen Wochen zusammenhängen, dass meine Satellitenreceiver (VLAN 60) nicht mehr mit meinen NAS (Main VLAN) kommunizieren können.

Ich blocke alle VLANs (ausser Main) den Zugriff auf andere VLANs. Nur für die Receiver hatte ich eine Ausnahme um auf NAS aufzeichnen oder abspielen zu können. Diese Regel war nach der Umstellung mehrfach vorhanden, deshalb habe ich erst mal die Duplikata entfernt. Hier sind meine Firewall Regeln für die interne Zone:

The content cannot be displayed because it is no longer available.

In Regel 4 erlaube ich also den Receivern den Zugriff auf die NAS und "Auto Allow Return Traffc" habe ich versuchsweise jetzt auch eingeschaltet (das erklärt das Vorhandensein der gesperrten ersten Regel die dadurch automatisch erstellt wurde, Regel 7).

Was mache ich falsch?

Carbonide · March 22, 2025 at 1:07 PM

Es muss an meinen Firewallregeln liegen, denn wenn ich den Receiver in das Main Netzwerk verlege funktioniert alles. Komisch ist nur, dass sogar wenn ich die InterVLAN Blockierregel pausiere (siehe Bild) und der Receiver sich wieder im Media VLAN befindet, klappt der Zugriff aufs NAS trotzdem nicht.

Was blockiert hier immer noch den Zugriff?

(dies sind alle Regeln die die Internal Zone betreffen; in dieser befindet sich das Main, Media un IoT VLAN).

Georgius · March 22, 2025 at 1:25 PM

Das NAS könnte auch eine Firewall haben die Zugriffe aus einem anderen Netzwerrk blockieren.

Carbonide · March 22, 2025 at 2:31 PM

Die Synology-eigene Firewall benutze ich nicht und habe auch kontrolliert ob da nichts ungewollt eingeschaltet wurde. Ausserdem hat es ja jahrelang funktioniert und ich habe den Verdacht dass die Umstellung vor einigen Wochen auf die ZBF Ursache für die Probleme ist, ich es aber erst kürzlich bemerkt habe.

Carbonide · March 22, 2025 at 4:56 PM

Ich versteh's einfach nicht: sogar wenn ich alle Regeln pausiere bis auf die letzte (allow all) kommt der Receiver nicht ins Hauptnetz. Internetzugang funktioniert, es ist also nicht so dass etwas mit der Netzwerkkarte des Receivers nicht in Ordnung ist.

**Naichbindas** · March 22, 2025 at 7:08 PM

Moin, also erste Frage.

Sind deine Netzwerke alle in Internal? oder hast du auch welche in andere Zonen verteilt?

Zweite Frage.

Hast du schonmal nachdem du deine Firewallregeln pausiert hast, an deinem Receiver dort das Netzwerk einmal neugestartet?

Dann nochmal testen ob es dann geht.

Carbonide · March 22, 2025 at 7:26 PM

Alle VLANs befinden sich in der internen Zone:

Ich habe jetzt folgende Regel erstellt (an erster Stelle) und danach den Receiver neu gestartet:

Ergebnis: immer noch kein Zugriff. Ich kann auch keine Geräte in andern VLANs vom Receiver aus pingen. Main zu Media klappt alles.

Im übrigen dachte ich, dass Firewallregeln sofort aktiv werden und dass kein Neustart notwendig sei.

**Naichbindas** · March 22, 2025 at 7:35 PM

Quote from Carbonide

Im übrigen dachte ich, dass Firewallregeln sofort aktiv werden und dass kein Neustart notwendig sei.

Das schon aber es gibt Geräte die haben einen eigenen Cache der zuerst abgearbeitet wird bevor die neue Anfragen isn Netzwerk stellen.

Quote from Carbonide

Ergebnis: immer noch kein Zugriff. Ich kann auch keine Geräte in andern VLANs vom Receiver aus pingen. Main zu Media klappt alles.

Hast du irgendwelche Sachen im Netzwerk wie Netzwerkisolation im Betrieb?

Bei deinen Firewallregeln, wie sieht deine Regel aus womit du deine Netzwerke trennst?

Carbonide · March 22, 2025 at 8:21 PM

Ich habe jetzt mal zu expliziter Return Traffic Reel umgestellt (anstelle von automatisch generierten). Damit sehen meine Firewallregeln für die interen Zone wie folgt aus:

Eigentlich sollte bei Regel 4 nür die Receiveradressen als Source angegeben werden, aber ich habe einfach mal das ganze Media VLAN freigegeben. Hilft trotzdem nicht.

Peterfido · March 22, 2025 at 8:26 PM

Was sind das für Receiver? Evtl. haben die eine Konsole, wo man mal die IP Konfig ausgeben kann.

Die Port-Einstellungen passen? >> Nativ VLAN60, Block ALL.

Carbonide · March 22, 2025 at 8:35 PM

Das sind Dreamboxen (DM920 und DM900). Port Einstellungen wurden nicht geändert (und liefen vor der Umstellung).

ssh root@192.168.60.19

root@192.168.60.19's password:

root@dm920:~# ifconfig

eth0 Link encap:Ethernet HWaddr 00:09:34:46:35:48

inet addr:192.168.60.19 Bcast:192.168.60.255 Mask:255.255.255.0

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1

RX packets:202314 errors:0 dropped:0 overruns:0 frame:0

TX packets:10418 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:1000

RX bytes:61401392 (58.5 MiB) TX bytes:3374116 (3.2 MiB)

lo Link encap:Local Loopback

inet addr:127.0.0.1 Mask:255.0.0.0

inet6 addr: ::1%1/128 Scope:Host

UP LOOPBACK RUNNING MTU:65536 Metric:1

RX packets:3101 errors:0 dropped:0 overruns:0 frame:0

TX packets:3101 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:1081701 (1.0 MiB) TX bytes:1081701 (1.0 MiB)

Peterfido · March 22, 2025 at 8:42 PM

was gibt denn ein traceroute zum Unifi Gateway und ein traceroute zum NAS?

Edit: und zu google.de

Carbonide · March 22, 2025 at 8:48 PM

root@dm920:~# traceroute 192.168.60.1
traceroute to 192.168.60.1 (192.168.60.1), 30 hops max, 38 byte packets
1 gateway (192.168.60.1) 0.310 ms 0.255 ms 0.195 ms
root@dm920:~# traceroute 192.168.1.75
traceroute to 192.168.1.75 (192.168.1.75), 30 hops max, 38 byte packets
1 gateway (192.168.60.1) 0.167 ms 0.140 ms 0.110 ms
2 *^C
root@dm920:~# traceroute google.de
traceroute to google.de (142.250.185.227), 30 hops max, 38 byte packets
1 gateway (192.168.60.1) 0.190 ms 0.154 ms 0.118 ms
2 192.168.4.1 (192.168.4.1) 1.612 ms 1.579 ms 1.482 ms
…
9 142.250.236.57 (142.250.236.57) 13.678 ms 13.675 ms 172.253.50.151 (172.253.50.151) 16.048 ms
10 fra16s53-in-f3.1e100.net (142.250.185.227) 14.279 ms 13.846 ms 16.332 ms

Peterfido · March 22, 2025 at 8:53 PM

Vom PC, welcher wohl in einem anderen Netzwerk hängt, kommst Du auch drauf.

Die Traceroute von meinem Enigma 2 Receiver zu einem Gerät im Management LAN sieht so aus:
root@vuduo4kse:~# traceroute 192.168.1.14
traceroute to 192.168.1.14 (192.168.1.14), 30 hops max, 38 byte packets
1 192.168.2.1 (192.168.2.1) 0.182 ms 0.133 ms 0.102 ms
2 pbs.lan.pr (192.168.1.14) 0.669 ms 0.717 ms 0.469 ms
root@vuduo4kse:~#

Kommst Du per traceroute über das Gateway auf ein anderes Netzwerk (z.B. PC)?

**Naichbindas** · March 22, 2025 at 8:54 PM

Ich würde sagen erstmal deine Firewallregeln in Ordnung bringen. ich habe hier VU Receivver die das gleiche zu deinen Dreamboxen sind.

Es sind Enigma 2 Boxen und ich denke du hast bestimmt sowas wie Open ATV oder so drauf.

Aber das ist nicht entscheidend.

Lösche mal alle deine Regeln die du hast und fang ganz neu an.

Du brauchst eine Regel von Internal zu Internal.

Die sollte so aussehen:

Und eine zweite Regel die dann so aussieht:

Somit sind deine Netzwerke getrennnt und das Default LAN hat Zugriff.

Danach erstellst du eine Regel die deinen Dreamboxen es erlaubt auf den NAS zu zugreifen.

Diese Regel musst du dann noch vor dem Blockieren verschieben.

Das sollte dann klappen.

Carbonide · March 22, 2025 at 9:12 PM

Ich habe die Regeln auf 3 reduziert und anbei dokumentiert.

Ich verstehe nicht was hier noch Ursache für die Blockade sein kann.

**Naichbindas** · March 22, 2025 at 9:17 PM

Mach mal in der Regel Receiver zu NAS bei erlauben den Haken für automatische Antwort rein. Notfalls danach alles einmal neustarten.

Carbonide · March 22, 2025 at 9:24 PM

Hilft auch nicht.

**Naichbindas** · March 22, 2025 at 9:30 PM

Ok dann schau jetzt noch nach im deinem Receiver ob die Freigaben dort noch richtig sind. Notfalls müssen diese dort einmal neu eingerichtet werden. Ich habe VTI auf der VU+ und ich weiss nicht welches du hast. Aber es wird sicher sowas dort auch geben. Und ich würde auf dem NAS noch Freigaben für die Receiver per NFS machen.

Carbonide · March 22, 2025 at 9:35 PM

Die NAS Freigaben auf dem Receiver funktionieren, ich brauch die Dreambox ja einfach nur ins Main VLAN zu verlegen und schon klappt der Zugriff.

Ich habe natürlich beide Netze im NAS erlaubt:

Participate now!