Protokoll 2 (IGMP) weiterleiten?

Forum zum Thema Firewall

Moderator: Lancom-Systems Moderatoren

dk5ras
Beiträge: 70
Registriert: 21 Sep 2007, 08:22
Wohnort: Fürth
Kontaktdaten:

Beitrag von dk5ras »

Ich habe es jetzt mal wieder probiert, mit der aktuellen Version (von unterwegs per lahmem GPRS draufgeflasht :-) aber auch nach wie vor ohne Erfolg, auch im doppelten NAT ganz ohne PPPoE funktioniert es nicht. Wenn ich mir die Funkwerk-config ansehe
http://dk5ras.dyndns.org/r1200_VDSL.pdf
dann sieht das für mich auch so aus, als würden da ports umgemappt.
Was ich nicht ganz kapiere, daß da offenbar extern 8082 intern einmal auf 1037, einmal auf 1039 umgesetzt werden soll. Komisch!?

Viele Grüße!
Ralph.

--

LC 1823 OS 7.26 VDSL 50/10 MBit/sec
twister996
Beiträge: 46
Registriert: 19 Jan 2008, 10:09

Beitrag von twister996 »

...wie gesagt, Lancom an Speedport und Speedport an VDSL fkt. bei mir - da musste ich dann auch nix mehr an Ports o.ä. ändern

Gruß
twister996
backslash
Moderator
Moderator
Beiträge: 7148
Registriert: 08 Nov 2004, 21:26
Wohnort: Aachen

Beitrag von backslash »

Hi dk5ras
Was ich nicht ganz kapiere, daß da offenbar extern 8082 intern einmal auf 1037, einmal auf 1039 umgesetzt werden soll. Komisch!?
nein, das ist kein Portmapping... Ich sehe das eher als ein Portforwarding für die Ports 1037 und 1039, das verhindern soll, daß für die Multicasts, die der Receiver zur Steuerung an den Server schickt, jedesmal ein neuer Port der Maskierung gesetzt wird....

Appropos Maskierung... mir kommt da gerade noch eine Idee:

Aktiviere mal den ip-masquerading-Trace (trace # ip-masq) zusammen mit dem IGMP-Trace... (ich befürchte, daß die IGMPs in der Maskierung hängen bleiben - sie sind ja nicht maskierbar und werden auch nicht vom LANCOM selbst erzeugt)...

@twister996

war in deinem funktionierenden Aufbau, die WAN-Verbindung maskiert?
Was mich aber "traurig" gemacht hat: wenn der Lancom beim Plain-Ethernet-Anschluss an den Speedport-Router dann die IPTV-Daten verarbeitet und streamt, wird er SOOO langsam, dass er praktisch nichts anderes mehr macht - LANCONFIG kann nicht einmal mehr die Konfig-Daten lesen, in einer Telnet-Session braucht er für jede Eingabe mehrere Sekunden, die VPN-Verbindung bricht ab und wird dann irgendwann wieder aufgebaut...
Das ist nun eine Frage, wie groß die IPTV-Pakete sind und wie viele von ihnen jede Sekunde ankommen - siehe hierzu auch: http://www.lancom-systems.de/fileadmin/ ... nce-DE.pdf

Gruß
Backslash
dk5ras
Beiträge: 70
Registriert: 21 Sep 2007, 08:22
Wohnort: Fürth
Kontaktdaten:

Beitrag von dk5ras »

twister996 hat geschrieben:...wie gesagt, Lancom an Speedport und Speedport an VDSL fkt. bei mir - da musste ich dann auch nix mehr an Ports o.ä. ändern

Gruß
twister996
Sicher sind bei Dir dann speedport und Lancom im selben subnet? Bei mir ist ja speedport 10.0.1.1, der Lancom auf INTERNET 10.0.1.2 (exposed host im speedport), und dann auf INTRANET 10.0.0.1 - also quasi die gleiche Situation (mit routing) wie ganz ohne speedport, nur eben kein PPPoE. So wie bei Dir kann ich mein LAN nicht betreiben, da dann der speedport regelmäßig Panikattacken erleider und neu startet; er ist einfach überfordert bei VDSL2 und intensiver Nutzung durch server (ftp und http), IPTV, file/printersharing im lokalen Netz... An sich schon arm, da bietet das T einerseits einen fetten Anschluß an, der geradezu zu intensiver Nutzung verleitet, und dann macht die hardware von den Brüdern die Grätsche und hält diesen Beschuß teilweise nur ein paar Stunden aus :-) Deswegen habe ich viel Geld in den LC1823 als Über-Fritz investiert, und das offenbar nicht umsonst, das Ding läuft super-stabil, der support ist vorbildlich, die Möglichkeiten sind immens - nur eben IGMP als das i-Tüpfelchen fehlt.
Ralph.

--

LC 1823 OS 7.26 VDSL 50/10 MBit/sec
twister996
Beiträge: 46
Registriert: 19 Jan 2008, 10:09

Beitrag von twister996 »

...nein, bei mir laufen Lancom und Speedport nicht im gleiches Subnetz, 192.168.2.x und 192.168.11.x - bis jetzt läuft der Speedport stabil durch, aber er macht ja ausschliesslich das Routing zum Lancom und das IPTV-streaming.

Bei Dir hängt der Lancom an "vorderster Front", also direkt am VDSL-Modem? Das wird m.E. Stand heute nicht fkt....

Und ja: ich habe auch nen 1823 und bin damit sehr zufrieden, aber das berühmte iTüpfelchen wäre das IPTV schon! Und gerade die 18er-Geräte mit der Kleinst-TK-Anlagen-Fkt. sind ja eher für den SoHo-Markt als für Konzerne konzipiert, von daher wird die Nachfrage nach Entertain-Features wie IPTV sicherlich steigen - wir scheinen nur zu früh zu sein...

@Backslash:
- ja, die WAN-Verbindung war maskiert
- bzgl. Anzahl und Größe der Pakete: da habe ich ja wohl keinen Einfluss drauf, ich sehe nur, dass es mit dem "billigen" Speedport-Router geht und mit dem Lancom halt nicht

Gruß
twister996
dk5ras
Beiträge: 70
Registriert: 21 Sep 2007, 08:22
Wohnort: Fürth
Kontaktdaten:

Beitrag von dk5ras »

twister996 hat geschrieben:...nein, bei mir laufen Lancom und Speedport nicht im gleiches Subnetz, 192.168.2.x und 192.168.11.x - bis jetzt läuft der Speedport stabil durch, aber er macht ja ausschliesslich das Routing zum Lancom und das IPTV-streaming.

Bei Dir hängt der Lancom an "vorderster Front", also direkt am VDSL-Modem? Das wird m.E. Stand heute nicht fkt....

[...]

Gruß
twister996
Interessant, dann habe ich noch irgendwas falsch gemacht. Leider ist bei mir kaum mal die Zeit in Sicht, da mal ein paar Stunden darauf zu verbraten, das hinzubekommen, nächstes WE auch schon wieder verplant (Skispringen - wenn ich mich am Montag oder Dienstag nicht mehr melde, dann hat es mich wohl zerlegt *g*) .

Ich habe eben beide Varianten durch, an vorderster Front am VDSL2-Modem, und eben auch hinter dem speedport W900V, mit dem gleichen Ergebnis - zehn Sekunden :(

Viele Grüße aus Fürth!
Ralph.

--

LC 1823 OS 7.26 VDSL 50/10 MBit/sec
dk5ras
Beiträge: 70
Registriert: 21 Sep 2007, 08:22
Wohnort: Fürth
Kontaktdaten:

Beitrag von dk5ras »

Moin,

ich habe mir jetzt ein bintec-Gerät besorgt, sollte heute oder morgen da sein; wenn ich damit gemäß der Anleitung von Funkwerk IPTV zum Laufen bekomme, dann kann ich hoffentlich funktionierende sessions sniffen - sollte da also dann immer noch Bedarf bestehen, dann bitte melden :) Momentan funktioniert das ja nicht, da der speedport bei Anschluß eines entsp. switches reproduzierbar Panik bekommt und abschmiert; und einen hub habe ich leider nicht (mehr).

Ach ja, ich habe nicht vor, Lancom untreu zu werden, der Apparat ist rein zur Erforschung und ggf. als Übergangslösung gedacht, bis es hoffentlich einmal ein LC-OS gibt, das das kann. Der speedport ist einfach zu unzuverlässig und muß weg.

Viele Grüße!
Ralph.

--

LC 1823 OS 7.26 VDSL 50/10 MBit/sec
backslash
Moderator
Moderator
Beiträge: 7148
Registriert: 08 Nov 2004, 21:26
Wohnort: Aachen

Beitrag von backslash »

Hi dk5ras

es gibt tatsächlich noch ein Problem mit der Maskierung, aber anders als gedacht... Die IGMPs werden letztendlich gar nicht maskiert und gehen mit ihrer internen Absender-IP aufs WAN. Daher werden sie zumindest bei der direkten Einwahl abgelehnt.

@twister996

daß es bei dir im LAN das Speedport funktioniert , deutet darauf hin, daß der Speedport offenbar die Absenderadresse nicht prüft...

Ich werde euch nochmal eine neue Firmware schicken.

Ach ja: wegen des ominösen "Portforwarding-Eintrags" in der Bintec/Funkwerk-Lösung wird die neue Firmware für die UDP-Multicast testweise *keinen* Maskierungseintrag vornehmen und auch kein PAT (Portersetzung) durchführen. Damit dürfte die Gefahr, daß die Session aufgrund eines neu ausgewürfelten Ports abreißt gebannt sein.

Gruß
Backslash
dk5ras
Beiträge: 70
Registriert: 21 Sep 2007, 08:22
Wohnort: Fürth
Kontaktdaten:

Beitrag von dk5ras »

backslash hat geschrieben: daß es bei dir im LAN das Speedport funktioniert , deutet darauf hin, daß der Speedport offenbar die Absenderadresse nicht prüft...
Gruß
Backslash
Und da er, wenn ich mich recht erinnere, einen anderen speedport (700? 701?) einsetzt, könnte das das Verhalten erklären, daß es bei ihm geht, und bei mir nicht. Ich verwende einen W900V, den ich mit dem userinterface der Fritzbox umgeflasht habe, was aber nur Auswirkungen auf die Telephonfähigkeiten hat, die IP-Funktionalität ist identisch.
Ralph.

--

LC 1823 OS 7.26 VDSL 50/10 MBit/sec
twister996
Beiträge: 46
Registriert: 19 Jan 2008, 10:09

Beitrag von twister996 »

...auch mit neuer Firmware keine Veränderung bei mir :-(

Im Trace immer folgender Ablauf:


[IGMP] 2008/01/28 20:47:29,720
Received v2 query for group 0.0.0.0 from 217.0.119.87 at WAN, INTERNET
--> New timer value is 4775 ms
=> Forward to router


[IGMP] 2008/01/28 20:47:30,710
Received unknown for group 0.0.0.1 from 192.168.11.157 at WLAN-1, INTRANET
=> Forward to router


[IGMP] 2008/01/28 20:47:31,360
Received unknown for group 0.0.0.3 from 192.168.11.218 at LAN-1, INTRANET
=> Forward to router


[IGMP] 2008/01/28 20:47:34,500
Transmit timer for group 224.0.0.9 expired
--> Sending v2 report for group 224.0.0.9 to WAN, INTERNET
--> New timer value is 21257 ms


[IGMP] 2008/01/28 20:47:37,710
Received unknown for group 0.0.0.1 from 192.168.11.157 at WLAN-1, INTRANET
=> Forward to router


[IGMP] 2008/01/28 20:47:44,720
Received v2 query for group 0.0.0.0 from 217.0.119.87 at WAN, INTERNET
--> New timer value is 8461 ms
=> Forward to router


[IGMP] 2008/01/28 20:47:53,190
Transmit timer for group 224.0.0.9 expired
--> Sending v2 report for group 224.0.0.9 to WAN, INTERNET
--> New timer value is 50767 ms


[IGMP] 2008/01/28 20:47:54,430
Received unknown for group 0.0.0.3 from 192.168.11.218 at LAN-1, INTRANET
=> Forward to router


[IGMP] 2008/01/28 20:47:59,720
Received v2 query for group 0.0.0.0 from 217.0.119.87 at WAN, INTERNET
--> New timer value is 2115 ms
=> Forward to router


[IGMP] 2008/01/28 20:48:01,840
Transmit timer for group 224.0.0.9 expired
--> Sending v2 report for group 224.0.0.9 to WAN, INTERNET
--> New timer value is 9044 ms


[IGMP] 2008/01/28 20:48:02,730
Received unknown for group 0.0.0.1 from 192.168.11.157 at WLAN-1, INTRANET
=> Forward to router


[IGMP] 2008/01/28 20:48:05,510
Received unknown for group 0.0.0.1 from 192.168.11.157 at WLAN-1, INTRANET
=> Forward to router
twister996
Beiträge: 46
Registriert: 19 Jan 2008, 10:09

Beitrag von twister996 »

...Leute, man glaubt es kaum... Es funktioniert!!!!!!!!!!!!

Mir war eben aufgefallen, dass ich nicht die letzte, sondern die vorletzte Firmware aktiviert hatte. Nachdem ich jetzt die von heute verwendet habe, läuft es tatsächlich!!

Aber leider gibt es nicht nur gute Nachrichten: wie schon bei den letzten Tests ist auch jetzt die Performance des Lancoms extrem schlecht:
- Aus Lanconfig heraus kann man nicht mal mehr die Konfiguration runter- bzw hochladen
- Lanmonitor macht fast nix, meldet Timeouts und zeigt dann mal wieder ein paar Werte
- Telnet-Session: wenn man sich überhaupt anmelden kann, dauert jede Reaktion auf eine Eingabe ewig lang
- die Performance des restlichen LANs ist im Keller - wo www.wieistmeineip.de noch 16 bis 20 MBit im Download anzeigte (trotz aktiviertem IPTV über Speedport) ist es jetzt nur noch knapp 5 MBit

Kann/muss ich da an meinem Routing noch was optimieren? Wie z.B. die reinkommenden Multicasts nur zum Mediareceiver routen o.ä.?

gruß und gute Nacht (gehabt zu haben)
twister996
dk5ras
Beiträge: 70
Registriert: 21 Sep 2007, 08:22
Wohnort: Fürth
Kontaktdaten:

Beitrag von dk5ras »

Bei mir gestern nach wie vor nix, aber nur auf die Schnelle probiert... Bei Dir jetzt auch direkt per PPPoE? Welche config genau, welche Regeln, welche Routen, wie maskiert? Auch, wenn die performance einbricht, so würde ich es wenigstens gerne mal selbst erleben :-) Ist normale Internetnutzung per WLAN parallel dazu noch halbwegs möglich? Sooo viel läuft der Fernseher ja nicht, das wäre erst mal noch akzeptabel...
Ralph.

--

LC 1823 OS 7.26 VDSL 50/10 MBit/sec
dk5ras
Beiträge: 70
Registriert: 21 Sep 2007, 08:22
Wohnort: Fürth
Kontaktdaten:

Beitrag von dk5ras »

Moin,

heute Morgen habe ich es nochmal kurz getestet, wie bekannt nach 10 Sekunden Stillstand - aber aufgefallen ist, die LEDs am LC und am Modem haben auch nach Abschalten des IP-receivers noch ca. eine Minute wie wild geblinkt (keine weiteren clients im Netz). Somit hat der server wohl Daten geschickt, aber der LC hat sie nicht weitergegeben. Vermutlich wirklich noch ein Konfigurationsfehler bei mir, der IGMP incoming verhindert... Heute Abend geht's weiter :-)

Edit: Die Sperroute für multicast aus den default-settings hat noch gefehlt, und in einer firewall-Regel das UDP-Häkchen; habe wohl eine zu alte config zurückgesichert. Dann sehe ich dem Versuch heute Abend mal verhalten positiv entgegen!
Ralph.

--

LC 1823 OS 7.26 VDSL 50/10 MBit/sec
twister996
Beiträge: 46
Registriert: 19 Jan 2008, 10:09

Beitrag von twister996 »

...hat Dein Mediareceiver viellleicht noch eine Adresse aus dem anderen LAN? Das war bei mir auch zuerst und da fkt. es nicht, da die Firewall-Regeln nicht griffen. Einmal den Mediareceiver softresetten, damit er sich per DHCP eine IP-Adr. vom Lancom holt.... und dann lief. Bin gespannt auf Deine Performance-Ergebnisse...
dk5ras
Beiträge: 70
Registriert: 21 Sep 2007, 08:22
Wohnort: Fürth
Kontaktdaten:

Beitrag von dk5ras »

twister996 hat geschrieben:...hat Dein Mediareceiver viellleicht noch eine Adresse aus dem anderen LAN? Das war bei mir auch zuerst und da fkt. es nicht, da die Firewall-Regeln nicht griffen. Einmal den Mediareceiver softresetten, damit er sich per DHCP eine IP-Adr. vom Lancom holt.... und dann lief. Bin gespannt auf Deine Performance-Ergebnisse...
Das konnte ich dadurch schon ausschließen, daß ich das Ding eh immer beim Wechseln der Verbindung hart abschalte; andernfalls kachelt er irgendwann später ab :-)
Ralph.

--

LC 1823 OS 7.26 VDSL 50/10 MBit/sec
Antworten