Internet + IPTV STB

[lomax]

Доброго времени господа!

 

Прошу помощи организовать End-User подключение на RouterBOARD 951G-2HnD.

Схема сети:

1 порт = провайдер (bidge "WAN")

2-4 порты и wlan = компьютеры и смартфоны (bidge "HOME")

5 порт = IPTV приставка (bidge "WAN")

Какой день уже пытаюсь сделать так, чтобы приставка IPTV работала без проблем, т.е. получала ip адрес с провайдера и мак адрес чтобы был виден провайдеру как есть и ARP соответственно также. Все дело в том, что время от времени выпускаются новые прошивки, для приставок а оно "непрямого" подключения не терпит, сами понимаете. Сама же приставка получает IP (10.11.12.13/24)

Для этого создаю бридж "WAN" и засовываю в него 1 и 5 порты, тогда ясное дело, все работает как надо. Сам "WAN" бридж получает IP адрес (10.100.200.2/24) с DHCP провайдера для интернета. Так вот моя задача сделать выход домашних компов в интернет со второго бриджа "HOME" (2-4 ports, ip_addr 192.168.88.0/24) с замаскараденным IP адресом 10.100.200.2/24 (WAN) полученным от провайдера.

Пока что с сети 192.168.88.0/24 я пингую только 10.100.200.2, но пакеты дальше никак не хотят идти хотя бы до 10.100.200.1. Соответственно нету пингов вообще. Хотя в таблице маршрутизации сетка 0.0.0.0/0 находится за 10.100.200.1 через интерфейс "WAN" (ether1-gateway). Сам-то микротик с консоли отлично пингует шлюз и ДНС.

Тут явно что-т с маршрутизацией надо делать, а вот что именно и какую сторону копать не совсем понимаю.

Зы: Не советуйте крутить igmp-proxy для STB, так конечно работает, но тогда приставка по DHCP не получает IP адрес. Так что это не вариант. Да и вообще это не комильфо в конце-то концов.

В общем, буду рад приветствовать любые замечания и предложения!

Edited July 30, 2013 by lomax

[lomax]

Кстати, очень похожая опция есть, кажется, в Zyxel Keenetic с коробки. Где просто нужно поставить галочку IPTV_PORT на нужном порту и все. Тогда все запросы ДХСП от приставки STB и ИГМП к нему идут в обход от других портов и вафли. Вот пытаюсь повторить этот же эффект и на микротике :D

[Ermak_]

1) 1,5 у меня так же пропущенно но для других целей, да все правильно.

2) Микротик получил по DHCP-клиенту (интерфейс которого WAN бридж) все правильно?

3) Роуты: 0.0.0.0/0 на шлюз (!!!) провайдера (вообще по DHCP должен подхватиться).

4) В NAT маскарад?

5) Приставка нормально при этом работает, как я понимаю?

 

И уже дайте принт роутов, а то Ваше описание я понять не могу. 10.100.200.1 - откуда взялся например? Это шлюз провайдера? Или вообще кто?

Edited July 30, 2013 by Ermak_

[lomax]

1) 1,5 у меня так же пропущенно но для других целей, да все правильно.

2) Микротик получил по DHCP-клиенту (интерфейс которого WAN бридж) все правильно?

3) Роуты: 0.0.0.0/0 на шлюз (!!!) провайдера (вообще по DHCP должен подхватиться).

4) В NAT маскарад?

5) Приставка нормально при этом работает, как я понимаю?

 

И уже дайте принт роутов, а то Ваше описание я понять не могу. 10.100.200.1 - откуда взялся например? Это шлюз провайдера? Или вообще кто?

 

Спасибо, за ответ!

По второму и третьему вопросу. Да, микротик сам получает адрес по ДХСП у прова в данном случае он получает ip_addr 10.100.200.2/24. Шлюз к сожалению автоматом не схватывается, поэтому ручками добавляю, что маршрут 0.0.0.0/0 находится за 10.100.200.1 (это ip_addr моего шлюза)

/ip route
add check-gateway=ping distance=1 gateway=10.100.200.1

По четвертому. Маскарадинг.

/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" out-interface=ether1-gateway src-address-list=HOME_LIST

По пятому вопросу. Да, работает как часы. Никакого igmp-proxy

Посмотрите выложил всю свою конфу.

 

Кстати, это наверно мое последнее сообщение наверное будет. Т.к. на форуме высвечивается:

Вы можете отправить еще 1 сообщений до 31 июля 2013 - 09:20. Данное ограничение будет действовать пока у вас не будет 8 одобренных сообщений.

export conf.txt

Edited July 30, 2013 by lomax

[Ermak_]

Экспорт полный не обязателно (вы его со всеми секюрными ключами выложили).

Я пробежал глазами, по ходу пишу, что мне не понятно, либо не нравиться:

1) Что с 4 портом? Что там за бридж? И главное нафига?

2)/ip dhcp-client add comment="default configuration" disabled=no interface=ether1-gateway (Должно быть /ip dhcp-client add comment="default configuration" disabled=no interface=WAN).

3) то же самое /ip firewall nat add action=masquerade chain=srcnat comment="default configuration" out-interface=WAN src-address-list=HOME_LIST, на период настройки оставте так: /ip firewall nat add action=masquerade chain=srcnat comment="default configuration" out-interface=WAN

4) Пока тестируете и настраиваете отключайте все правила /ip firewall filter, как инет появиться настроите. Там вроде все в порядке, кроме интерфейса входящего как и в пунктах выше поменяйте на WAN.

 

Вообще, на первый взгляд все вроде правильно, кроме вышеперечисленного ничего глаз не режет. Я так понимаю это почти дефолтная настройка с которой роутер получили, но чуть изменена. Я обычно сбрасываю все в ноль, потом настраиваю. Кстати для бриджей protocol-mode=rstp поставьте.

 

Отсюда вопросы: у Вашего провайдера нет привязки по mac? Или мак микротика прописали? В адресе шлюза вы уверены? Без тв приставки интернет был?

Edited July 31, 2013 by Ermak_

[lomax]

Экспорт полный не обязателно (вы его со всеми секюрными ключами выложили).

Я пробежал глазами, по ходу пишу, что мне не понятно, либо не нравиться:

1) Что с 4 портом? Что там за бридж? И главное нафига?

2)/ip dhcp-client add comment="default configuration" disabled=no interface=ether1-gateway (Должно быть /ip dhcp-client add comment="default configuration" disabled=no interface=WAN).

3) то же самое /ip firewall nat add action=masquerade chain=srcnat comment="default configuration" out-interface=WAN src-address-list=HOME_LIST, на период настройки оставте так: /ip firewall nat add action=masquerade chain=srcnat comment="default configuration" out-interface=WAN

4) Пока тестируете и настраиваете отключайте все правила /ip firewall filter, как инет появиться настроите. Там вроде все в порядке, кроме интерфейса входящего как и в пунктах выше поменяйте на WAN.

 

Вообще, на первый взгляд все вроде правильно, кроме вышеперечисленного ничего глаз не режет. Я так понимаю это почти дефолтная настройка с которой роутер получили, но чуть изменена. Я обычно сбрасываю все в ноль, потом настраиваю. Кстати для бриджей protocol-mode=rstp поставьте.

 

Отсюда вопросы: у Вашего провайдера нет привязки по mac? Или мак микротика прописали? В адресе шлюза вы уверены? Без тв приставки интернет был?

 

Заработало! Мой косяк был в этой строчке!

/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" out-interface=ether1-gateway src-address-list=HOME_LIST

Переделал как Вы предложили:

/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" dst-address-list=!HOME_LIST out-interface=WAN src-address-list=HOME_LIST

т.е. вместо out-interface=ether1-gateway указал out-interface=WAN

И все! Работает как часы!

4-ый порт делал специально на случай если потеряю доступ. Сейчас он уже в группе HOME как положено.

Про себя думаю, что так и должны быть настроены домашние Микротики, в которых IPTV STB и Интернет.

Ermak_, а тебе большое СПАСИБО

[Ermak_]

/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" dst-address-list=!HOME_LIST out-interface=WAN src-address-list=HOME_LIST

 

В конфиге не видел намтроек UPNP, рекомендую использовать, там тоже укажите WAN как внешний интерфейс, HOME как внутренний:

 

/ip upnp interfaces
add disabled=no interface=WAN type=external
add disabled=no interface=HOME type=internal

[vnkorol]

Меня сейчас гуру заплюют, но вставлю свои 5 копеек. Заметил, что в новых прошивках, если интерфейс входит в бридж, то или ручной адрес или дхцп клиент надо обязательно подвешивать на бридж, а не интерфейс. А в старых прошивках можно было и тупо на сам интерфейс.

[Ermak_]

Меня сейчас гуру заплюют, но вставлю свои 5 копеек. Заметил, что в новых прошивках, если интерфейс входит в бридж, то или ручной адрес или дхцп клиент надо обязательно подвешивать на бридж, а не интерфейс. А в старых прошивках можно было и тупо на сам интерфейс.

 

Вот не знаю, всегда вешал на интерфейс бриджа, если он есть, так как это правильно, и например при перемещении бриджа на другие порты не нужно думать и вспоминать где что оставил на интерфейсы и так далее.

А новые версии вы имеете в виду ros6 и ros5?

[vnkorol]

На 6-ой версии.Если память не изменяет, на 5.24 еще прокатывало, а на 6 уже нет.

[lomax]

У меня 5.25 уже не прокатывает )

Да, видел конфигурации где навешивали на интерфейс.

[s7eepz]

Есть похожая проблема. Приставка, микротик, интернет поднимает роутер через pppoe.

Провайдер в ether1, stb в ether2.

При создании бриджа из этих двух интерфейсов iptv начинает работать, но естественно пропадает интернет.

Не могу ничего придумать. Подскажите?

 

5.26

Edited November 22, 2013 by s7eepz

[tartila]

Есть похожая проблема. Приставка, микротик, интернет поднимает роутер через pppoe.

Провайдер в ether1, stb в ether2.

При создании бриджа из этих двух интерфейсов iptv начинает работать, но естественно пропадает интернет.

Не могу ничего придумать. Подскажите?

 

5.26

 

pppoe на бридж вешайте и - да, есть igmp proxy, чтобы бридж не городить.

[Ermak_]

pppoe на бридж вешайте и - да, есть igmp proxy, чтобы бридж не городить.

1 и 2 порт в бридж, pppoe подключаете через этот бридж.

igmp proxy в микротике... странное какое-то, без него субъективно работает лучше (когда 2-3 клиента после микрота)

Да и страшного ничего в бриджах нет, нормальное понятное решение.