Router OPNsense z ONT i dekoderem 4K Multi zamiast Funbox 6 w Orange

[krdian]

Witam,

Próbuję zastąpić Funbox-a 6 podłączonego do ONT na światłowodzie Orange przez router OPNSense, analogicznie do:

https://nasz.orange.pl/t5/Modemy-i-routery/Konfiguracja-w%C5%82asnego-routera-do-telewizji-IPTV-i-Vo...

Internet działa bez problemu, bridge na vlan-ach 838 i 839 dostaje adres IP z DHCP. Jak na razie nie udało mi się odebrać pakietów multicast z do dekodera 4K Multi (nawet gdy podłaczam router i dekoder do switach-a z IGMP snooping). W logach igmpproxy widzę, że pakiety do niego trafiają ale na dekoderze widzę tylko statyczną treść bez strumienia wideo. Może komuś udało się poprawnie OPNsense na podobnym zestawie urządzeń ?

Moja obecna konfiguracja:

Urządzenia, połączenia fizyczne (kable):
- zakończenie ONT
- router na bazie OPNSense, konfigurowane porty:
- <WAN>: połączony z ONT
- <TV>: do dekodera IPTV. Podłączony dekoder do osobnego portu karty sieciowej, żeby nie obciążać portu <LAN> ruchem telewizyjnym. 
- dekoder IPTV "Dekoder 4K Multi"

- <WAN>:
   - 35: Internet, przez protokół PPPoE
   - 838: IPTV, ruch DHCP do konfiguracji interfejsu multicast
   - 839: IPTV, ruch IGMP i multicast (kanały telewizji)
- <TV>: bez VLAN-ów, ruch unicast i multicast prowadzony w jednej podsieci IP

Konfiguracja interfejsu IP od strony <WAN> do komunikacji z usługą IPTV

- na interfejsie <WAN> założone VLAN-y 838, 839 (Interfaces > Assignments > VLANs). VLAN-y przypisane do portu.
- założony bridge <BR_IPTV_WAN> (Interfaces > assignments > Bridges) na interfejsach <WAN.838>, <WAN.839>.
- skonfigurowany protokół IP na interfejsie bridge <BR_IPTV_WAN>:
- konfiguracja przez DHCP
- włączona konfiguracja zaawansowana, w polu "Send options" wpisane:
dhcp-client-identifier 1:{mac_addr_asciiU:}, dhcp-class-identifier "sagemcom", user-class "&FSVDSL_funbox.MLTV.softathome.Funbox6"
 Interfejs <BR_IPTV_WAN>  uzyskał adres IP z podsieci prywatnej klasy A, czyli 10.x.x.x

Reguły firewalla (Firewall > Rules).
Interfejs <BR_IPTV_WAN>
IPV4, in: <TV> net : any, do: any:any. Action "Pass".
Interfejs <WAN.839>
IPV4 IGMP, in: 10.0.0.0/8:any, dst: 224.0.0.0/4:any. Action "Pass".
IPV4 UDP, in: 10.0.0.0/8:any, dst: 224.0.0.0/4:any. Action "Pass".

Interfejs <TV>
IPV4 any,  in: 10.0.0.0/8:any, dst: 224.0.0.0/4:any. Action "Pass".

Konfiguracja igmpproxy

quickleave
phyint igc1 downstream ratelimit 0 threshold 1 # <TV>
altnet 224.0.0.0/4
phyint bridge0 upstream ratelimit 0 threshold 1 # <BR_IPTV_WAN>
altnet 224.0.0.0/4
altnet 10.0.0.0/8

_____________________

*Doprecyzowałem nazwę tematu - moderator Wojciech.

[j131]

Egress na vlan 839 musi być prio 4, inaczej pakiety igmp są ignorowane. Mostkowanie jest zbędne. Podobnie jak cały vlan 838.

[pirenej]

tu nie potrzeba żadnych bridge. Kaleczą się wszyscy tymi bridgami niepotrzebnie. To co musisz zrobić, oprócz vlan35, to interfejs vlan839 i igmpproxy. To właśnie igmpproxy jest tym, co kieruje multicasty z vlan839 do lan domowego, a stąd do dekodera. Do działania igmpproxy musi mieć jakikolwiek adres IP na interfejsie vlan839, bo bez IP nie działa. Mówiono tutaj, że ten adres jest pobierany z infrastruktury O! poprzez dhcp na vlan838, ale ja tego nie sprawdzałem, tylko dałem vlanowi839 adres statyczny z puli prywatnej. Nieważne jaki, igmpproxy nie zważa na to, musi mieć jedynie adres IP zefiniowany na tym interfejsie. Ja mam swój router na "gołym" freebsd, a  mój vlan839 wygląda jak niżej. vlan838 nie mam wcale.

$ ifconfig vlan839
vlan839: flags=1008a43<UP,BROADCAST,RUNNING,ALLMULTI,SIMPLEX,MULTICAST,LOWER_UP> metric 0 mtu 1492
	options=4600703<RXCSUM,TXCSUM,TSO4,TSO6,LRO,RXCSUM_IPV6,TXCSUM_IPV6,MEXTPG>
	ether 40:62:31:<ciach>
	inet <prywatny> netmask 0xffffffff broadcast <broadcast>
	groups: vlan
	vlan: 839 vlanproto: 802.1q vlanpcp: 4 parent interface: igb3
	media: Ethernet autoselect (1000baseT <full-duplex>)
	status: active
	nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL>

igmpproxy mam skonfigurowane tak, być może jest tu pewien nadmiar, ale jak działa, nie ruszam:

$ cat /usr/local/etc/igmpproxy.conf | grep -v ^$'#'

quickleave


phyint igb1 disabled

phyint vlan839 upstream ratelimit 0 threshold 1
        altnet  10.0.0.0/8

phyint igb0 downstream ratelimit 0 threshold 1
 	altnet 10.0.0.0/24
	altnet 239.0.0.0/8
	altnet 232.0.0.0/8
	altnet 244.0.0.0/8

 PS.

w sekcji downstream zamiast 10.0.0.0/24 wstaw swoją podsieć domową, prawdopodobnie 192.168.1.0/24.

[j131]

No tak, adres ip ktory dostaje się z vlan 838 nie tylko nie jest potrzebny, ale w większości przypadków będzie niewłaściwy. Phyint upstream igmpproxy musi widzieć jakiś adres LOKALNY. Wszystko jedno jaki. Mimo że go nie ma w config. A z vlan 838 po dhcp dostaje się coś z 10 na początku. Altnet na phyint upstream będzie działał z sieci 10/10, niekoniecznie 10/8. Ale oczywiście z 10/8 też zadziała.

[krdian]

Dzięki panowie. Faktycznie wystarczy ustawić tylko interfejs z vlan 839 (video) i dowolnym, prywatnym  adresem IP ( w moim przypadku 192.168.10.1/32 i igmproxy z podsiecią LAN w downstream i dekoder śmiga 😀 Poczyszczę jeszcze konfigurację po zabawach z bridge i wrzucę jak obecnie wygląda - może komuś się przyda. 

[j131]

Może w bonusiku pokusisz się o konfigurację DS z ipv6? Powinno sie bez problemów dać ustawić. Druga sesja na tym samym vlan 35, tylko ze zmodyfikowanym loginem. Dostajesz prefix /56, ustawiasz coś z niego na LAN i hula.

[pirenej]

---

@krdiannapisał(-a)

interfejs z vlan 839 (video) i dowolnym, prywatnym  adresem IP ( w moim przypadku 192.168.10.1/32

---

ja celowo zaciemniłem swój adres prywatny w moim przykładzie. Jak kopiowklejacze wkleją to samo u siebie, wówczas nie wiadomo co będzie, gdy we wszechpolskim intranecie vlan839 od orange pojawią się dwa takie same adresy. Być może zabezpieczeniem jest nieogłaszanie IP w arp, czyli flaga -arp:

$ ifconfig vlan839 inet 192.168.10.1/32 -arp

[j131]

Może być nawet 192.0.2.1/32, oczywiście bez obsługi ARP. Też zadziała z igmpproxy. W takim układzie będzie wyłącznie dla multicast. Dla copy-pasterów chyba tego typu adres byłby najbezpieczniejszy. VOD na vlan 838 pozostaje do zbadania, ale nie chce mi się wypożyczać tam nic tylko po to, żeby przetestować. Zwiastuny vod idą bez tego vlanu zdefiniowanego.

[j131]

---

@j131napisał(-a)

Może w bonusiku pokusisz się o konfigurację DS z ipv6? Powinno sie bez problemów dać ustawić. Druga sesja na tym samym vlan 35, tylko ze zmodyfikowanym loginem. Dostajesz prefix /56, ustawiasz coś z niego na LAN i hula.

---

Dla zachęty coś takiego:

C:\Users\User>tracert google.com

Tracing route to google.com [2a00:1450:401b:800::200e]
over a maximum of 30 hops:

...
2 6 ms 8 ms 6 ms 2a01:1000::6c1
3 5 ms 6 ms 2 ms 2a01:1000:0:5c1::1
4 9 ms 11 ms 9 ms 2a01:1000::36
5 11 ms 10 ms 10 ms 2001:4860:1:1::1f36
6 10 ms 10 ms 10 ms 2001:4860:0:1::619
7 11 ms 10 ms 11 ms 2001:4860:0:1::4221
8 9 ms 10 ms 10 ms waw07s02-in-x0e.1e100.net [2a00:1450:401b:800::200e]

Trace complete.

C:\Users\User>tracert -4 google.com

Tracing route to google.com [216.58.208.206]
over a maximum of 30 hops:

...
2 17 ms 3 ms 7 ms gda-bng5.neo.tpnet.pl [83.1.5.164]
3 3 ms 1 ms 3 ms gda-r11.tpnet.pl [80.50.150.193]
4 8 ms 10 ms 10 ms war-r11.tpnet.pl [195.116.35.90]
5 * 31 ms 30 ms 193.251.248.153
6 26 ms 26 ms 30 ms 72.14.218.24
7 27 ms 30 ms 30 ms 209.85.142.109
8 40 ms 29 ms 29 ms 192.178.105.16
9 31 ms 30 ms 28 ms 192.178.73.111
10 31 ms 29 ms 30 ms 192.178.75.104
11 29 ms 30 ms 29 ms 192.178.83.134
12 30 ms 29 ms 30 ms 192.178.99.173
13 30 ms 30 ms 30 ms 142.250.224.89
14 30 ms 30 ms 30 ms waw07s02-in-f14.1e100.net [216.58.208.206]

Trace complete.

[atlas_cudow]

Wygląda fajnie. Jak to wygląda dla mniejszych portali typu nasz.orange.pl ?  Bo google czy FB.. wiadomo... Tylko już mało kto tam zagląda 🙂