Beiträge von DoPe

Die Cloudkeys fahren nach etwa 10s schon herunter ... ausser die Akkus stehen schon kurz vor der Explosion und füllen das Gehäuse komplett aus. Dann gehen die Instant aus. Leider aufgrund der vorherrschenden Thermik eine ziemliche Fehlkonstruktion und so machen die Akkus teilweise nach 6 Monaten schon dicke Backen.

Verstehe die Frage leider auch nicht. Die Cloudkeys werden dort schlichtweg mit der IP Adresse angezeigt, die der Cloudkey auf seinem LAN Interface benutzt. Selbst eine UDM welche hinter einer Fritte hängt (man also doppeltes NAT hat), wird dort nur mit der privaten IP des WAN Ports der UDM angezeigt.

Sicherlich hätte Ubnt das auch mit der IP überschreiben können, von der die entsprechenden Pakete kommen.

Bitte alle Ports vom Router, den ankommenden Switch Ports und die abgehenden Switch Port prüfen, welche Router/Switche und Accesspoints verbinden. An mindestens einem wird das VLAN 20 nicht verbunden sein.

Die Ports sollten als natives Netzwerk das Default Netz eingetragen haben und der Haken bei Traffic Restriction sollte nicht gesetzt sein. Dann wird dein VLAN 20 dort auch getaggt übertragen und steht dann auch erst auf den Switchen und Accesspoints zur Verfügung. Fehlt das auch nur an einer Stelle wird es gar nicht oder nur teilweise funktionieren, je nachdem wo es fehlt.

Es fehlt sozusagen mindestens ein virtuelles Patchkabel.

Zitat von ragman1976

Gibt es eine Möglichkeit nur einzelne IP-Adressen, in meinem Fall, die der DockerVM, aus dem Routing zu nehmen. In den Routing Einstellungen kann ich zwar "Alle Clients" auswählen, aber dann nicht wieder einzelne entfernen ?

Bei den Routing Rules kann man doch auch die einzelne Devices statt eines ganzen VLANs auswählen.

Zitat von Lightrider87

Hast du einen PiHole im Einsatz? Dort müsstest du dann DNS Einträge für deine öffentlichen DNS Namen setzen die intern erreichbar sein sollen. Dieser Zeigt dann auf die Interne IP Adresse deines Proxy. Im Anschluss musst du sicherstellen, dass deine VPN Clients auch den PiHole für DNS nutzen.

Verstehe ich richtig, dass deine UDP als Client zu Proton VPN verbunden ist und deine anderen Endgeräte (Mobiltelefon, etc.) auch?

Was soll das denn bringen, die interne Namensauflösung zu verbiegen? Es geht doch um den Zugriff aus dem Internet auf die diversen Seiten, der nicht funktioniert wenn Proxy über VPN antwortet. Ich vermute mal dass der Zugriff nicht ausschliesslich über VPN erfolgen soll, denn dann könnte man ja den Proxy auch gleich weglassen und durch den Tunnel auf die expliziten Adressen der Dienste zugreifen.

Leitest Du wirklich den ganzen Verkehr über den VPN Tunnel? Falls ja dürfte es daran liegen, dass wenn Du deine öffentliche IP aufrufst für den Zugriff über den Proxy auf einen Dienst, dieser seine Antwort durch den VPN Tunnel schubst und der anfragende Client Antwortpakete von einer völlig anderen öffentlichen IP bekommt.

In etwa damit zu vergleichen, wenn Du 2 DSLer hast über einen hast Du brac die Portweiterleitung zum Proxy ... aber deine Geräte benutzen als Standardgateway den Router der am 2. DSLer hängt. Die Antwortpakete müssen zwingend von der gleichen öffentlichen IP kommen.

Zitat von Matthias

Ich hab´ parallel auf einem anderen Gerät keine Probleme gehabt. Der pihole reicht dann die DNS-Antworten ja unangetastet durch.

Das Testgerät ist ein Samsung Galaxy. Ist nichts besonderes drauf. Oder gibt es eine besondere App bei Samsung, die im Hintergrund installiert ist?

Bei nem iPad hatte ich aber ähnliches Verhalten.

Die Geräte die funktionieren sind völlig unerheblich. Das wurde bereits geklärt, dass andere Geräte zur gleichen Zeit kein Problem haben. Also bitte auf mal auf ein Problemgerät beschränken und bei Ausfall der Internetverbindung abprüfen, ob die IP Settings passen und ob intern eine Kommunikation möglich ist - inkl. Namensauflösung externer Webseiten.

Was war denn nun mit dem pihole? War der jetzt aktiv oder nicht? Wenn nicht aktiv ... was hat dann die Namensauflösung bereitgestellt?

Funktioniert das eigentlich von alleine irgendwann wieder? Oder trennst Du WLAN im Gerät und aktivierst das wieder? Oder startest Du irgenwas neu?

So out-of-the-box sollte eigentlich auf keinem Samsung oder gar Apple Gerät irgendeine Software drauf sein, die solche Probleme verursacht. Dachte da eher an ominöse nachinstallierte "Sicherheitstools" die evtl. Amok laufen. So ala zusätzliche Softwarefirewalls für Windows, die im Zweifelsfall mal alles dicht machen, weil durch minimale Änderungen plötzlich ein neues Netzwerk erkannt und daher ein neues Profile (mit eben diesen "Wir machen mal alles dicht" Einstellungen ) geladen wird. Das kann man also wohl ausschliessen.

Zitat von Matthias

Kleines Experiment: ich habe es jetzt am Handy geschafft nachzusehen, was los ist, wenn ich kein Internet habe.

Ich bin im richtigen WLAN eingebucht und habe eine gültige IP-Adresse. Aber es gibt keine Verbindung zu Webseiten.

Den pihole hatte ich testweise deaktiviert.

Gibt es denn in dem Zustand Kommunikation mit Netzwerkzielen? Ping auf Gateway / DNS ?

Was sagt die Namensauflösung von externen Webseiten? Für den Test hast Du hoffentlich auch einen DNS Server aktiv gehabt, wenn der pihole deaktiviert wurde. Ansonsten wäre das nicht erreichen von Webseiten ja logisch.

Das Handy selbst ist aber frei von fragwürdigen Sicherheits Apps?

Wie der ganze Spaß mit der Glasfaser realisiert ist, hängt vom Provider ab. Kann sein dass man eine Glasfaserschnittstelle als Übergabepunkt bekommt und dann seinen Router dort anschliessen muss (Glasfaser Fritzbox, oder wie hier einige SFP Module für das WAN nutzen). Viele Provider haben eine eine RJ45 Schnittstelle als Übergabepunkt. Entweder "Modem" im ONT integriert oder als externes LWL "Modem". Die "Einwahl" ist ebenso providerspezifisch ... PPPoE (mit oder ohne irgendwelchen VLAN IDs) oder DHCP Client

7490 kannst Du dann entweder als Client oder als Router (mitverwenden eines vorhandenen Anschlusses, WAN = LAN1) verwenden. Welche Option hängt davon ab wie Du die Fritte im LAN haben willst. Ggf. da dann noch bei den SIP Einstellungen die Zeit für das offenhalten der Verbindung kleiner machen, falls die Telefonie einschläft (nach einer weile von aussen nicht mehr anrufbar).

Wird in diesem Szenarion etwas häufiger so benutzt, da Unifi keine entsprechenden analogen Ports oder DECT zur Verfügung stellt. Hat man keine IP Telefone, nutzt man so die Fritzbox als IP TK-Anlage.

Für Policy Based Routing benötigt man mehr als eine Routing Tabelle ... Im dümmsten Fall für jeden Client im LAN eine.

Im Gegensatz zu statischen Routen (wo das Ziel vorgibt welcher weg genommen wird) gibt beim Policy based Routing primär die Quelle vor wo es lang geht. Man braucht also mehr als eine Routing Tabelle. Ob die Tables durchnummeriert werden, man denen Namen verpassen kann oder ähnliches, dürfte wohl eher von der spezifischen Umsetzung im OS/CLI/GUI eines Gerätes sein.

Im Prinzip läuft das in etwa so:

Da kommt ein Paket von einem Client am Router an. Dann wird geschaut ob der Client in irgendeine Policy passt - > so wird dann eine Routing Table ermittelt (wenns nicht passt dann landets in einer Default Table). In der ermittelten Routing Table stehe dann ganz normale Routen die verwendet werden. Alleine durch das existieren mehrerer Routing Tables, ist es ja auch erst möglich, dass unterschiedliche Clients unterschiedliche Routen benutzen können.

Wieviele VLANs hast Du denn insgesammt?

Falls Du bei Traffic Restriction aktivieren dann mit den 3 VLANs auch schon alle existenten erlaubst, dann ist das so ziemlich das gleiche wie keine Traffic Restriction!

Die Skizze ist jetzt für Zugriff über die S2S via OpenVPN oder?

Für wireguard kommt dein PC aus Richtung Internet zur UDM.

Die allowe-ips aus der Client Konfig haben 2 Zwecke. Zum einen können diese beim Verbindungsaufbau zu automatisch gesetzten routen führen (in den Tunnel). Das kann man ggf. Auch statisch per Hand machen. Genauer Parametername weiß ich gerade nich aber auch was mit allowed ips und false oder true als wert.

Zusätzlich verwirft wireguard die Pakete, die nicht aus den erlaubten IP Bereichen kommen.

Letzteres sollte aber die firewall auf der anderen seite unterbinden, da das verschlüsseln und übertragen nicht so sinnig ist um dann verworfen zu werden.

Ich benötige das seltenst und benutze dann meist Android Handy Apps. Da gibts so einiges.

WiFi Analyzer (open source) von VREM Software Development zeigt dir z.B. alle Accesspoints an mit MAC und SSID, Kanal... Das wäre schon mal was für den ersten Blick. Anhand der Signalstärke kannst Du dann ggf. auch sehen ob der "Störenfried" evtl. Doch bei Dir ist.

Hab es schon erlebt, dass Kunden versehentlich auf den WLAN Knopf der Fritzbox gekommen sind und so dort das WLAN reaktiviert haben.

Schau dir einfach mal mit einem entsprechenden Tool bei besagten Accesspoint an, was da so an SSIDS (und dazugehöriger Accesspoints) rumgeistert. Dann mach mal deine Accesspoints aus und schau dann mal was dann noch so angezeigt wird.

Es gibt halt irgendwas, was identisches Zeug sendet aber nicht zu deinem System gehört. Manche Tools zeigen dir auch die MAC Adressen der Accesspoints an die da so rumsenden. Da kann man dann auch sehen ob der Nachbar Unifi hat. Prinzipiell kann es aber irgendein Accesspoint sein - egal welcher Hersteller.

Alternativ gibts in der UDM auch die Übersicht über die Funk Umgebung. Das kann man ähnliche Daten sehen.

Letzten Endes kannst Du da aber sowieso nix gegen machen (so es denn nicht irgendeine Altlast in Deinem Haushalt ist). Wenn es von jemand fremden ist ... bleibt nur Dein Zeug umzukonfigurieren.

Liegt evtl. auch an den Verschlüsselungsverfahren. Wer weiß mit was die auf 800MBit gekommen sind

Prinzipiell kannst Du problemlos einen Edgerouter benutzen.

Du musst dann DHCP (wenn nicht anders gelöst), VLANs, Firewall im Edge Router konfigurieren und im UniFi Controller die Netzwerke (VLAN IDs identisch zum Edge) als Third Party Router sowie die WLANs und Netzwerk zugehörigkeit der SSIDs.

Aufwändiger mit Edge ... aber je nach Model günstiger. Mit Unifi Gateway hast Du alles in einer Oberfläche...

Wenn Du gerne und viel spielen/lernen willst, kann ich dir son kleinen Edgerouter-X empfehlen - unabhängig vom eigentlichen "Problem" Netzwerk.

Microsoft könnte was Netzwerk und Hyper-V angeht, noch einiges verbessern. Aber man wirft ja lieber mit spätestens jeder 2. Server Version bestehende Dinge über Bord und macht alles neu und anders. Ok das macht Microsoft prinzipiell gerne und überall.

Bin das letzte mal über solche unschönen Änderungen gestolpert, als es auf einmal hieß "NIC Teaming ist obsolete und wenn ich einen VSwitch auf das Team Packen will, dann isses unsupportet". Und SET (Switch Embedded Teaming) ging dann auch erstmal nicht dank der Einschränkungen.

Stand da dann nicht was von "Rough Accesspoint" wenn ein Accesspoint der nicht zum Unifi Setup gehört(also im Controller bekannt ist) ,die gleiche SSID benutzt? Hab das schon länger nicht mehr gesehen ... weil andere alte APs immer vorher deaktiviert wurden, wenn das neue System installiert wurde und die WLAN Daten beibehalten werden sollten. Machts auch einfacher wel dann nicht irgendwelche Clients auf ner alten Fritzbox hängen, die gar nicht mehr am Netz ist.

Wenn Du keine SSID UniFi hast, ist dann evtl. dieses "versteckte" Mesh Netz gemeint ... und irgendein Nachbar hat auch UniFI Geräte? Oder heisst dein Netzwerk UniFi oder die Console oder so? Die Meldung wurde wohl schon zig mal verändert vom Wortlaut.

Zitat von Networker

Weil Du ja sicherlich nicht den OpenWRT-Router als Client für den Zugriff auf Ressourcen im VPN benutzt, sondern Geräte, die hinter diesem Router hängen.

Genau ... der Unterschied ergibt sich hier einfach aus der Art des Gerätes. Handy = Client mit dem gearbeitet wird. Router != Client mit dem gearbeitet wird (wobei der natürlich auch darf), hier sind dann mehrere Clients hinter dem Router die eigentlichen Nutzer. Ohne die Route kann der Router werkeln aber die Clients halt nicht.

Leider nein. Mit der vorhandenen Hardware kannst Du zwar schon VLANs erstellen die im Prinzip sogar funktionieren. Diese hängen dann allerdings komplett im luftleeren Raum. Du bekommst keine IPs da so erstmal kein DHCP Server da ist und es gibt auch keinen Router der in andere Netze und somit auch ins Internet führt.

Ich nehme an, die Fritzbox muss bleiben weil es ein Kabelanschluss ist? Oder warum muss die bleiben?

Du kannst wenn es sein muss, hinter die Fritzbox einen vlanfähigen Router anschliessen und an diesen dann deinen Switch und die Accesspoints. Dann kannst Du deine VLANs im Router/Switch/AP entsprechend deiner Wünsche konfigurieren. Bitte darauf achten, dass das IP Netz der Fritzbox nicht hinter dem zusätzlichen Router ebenfalls verwendet wird. Meistens ist es am einfachsten die LAN IP der Fritzbox in ein anderes IP Netz zu verlegen. Dann kann man seine alten IP Adressen im LAN des Zusatzrouters weiternutzen ... spart ggf. ne Menge Konfiguration.

Nachteil bei dieser Variante -> Doppeltes NAT, was in speziellen Szenarien Probleme machen kann.

Möglicherweise kannst Du auch beim Provider, falls es Kabel ist die Fritzbox in den Bridgemode stellen. Dann hast Du kein doppeltes NAT und die Fritzbox ist nur ein "dummes" Modem.

franzbertbua Da drücke ich Dir mal die Daumen, dass Du in der Siliziumlotterie keine Niete gezogen hast und der Speichercontroller zu den besseren gehört und Du den RAM auch stabil "ausfahren" kannst.