Tagged VLAN und IGMP-Proxy (Entertain)
-
Hallo,
ich habe das Interface in Richtung des Media Receivers auf Tagged-VLAN umgestellt, um evtl. noch mehr Netze auf das IF packen zu können.
Sprich, das Interface von pfsense in Richtung Switch ist tagged (vr1_vlan200). Der Media-Receiver hängt an einem Access-Port des Switches (gleiches VLAN).
Jetzt friert alle ~ 5 min. das Bild ein, nach einiger Zeit fängt es aber von selbst wieder an zu laufen, aber leider auch wieder nur für ~ 5 min.
Wenn ich das Tagged-VLAN entferne und das Netz nur mit Access-Ports betreibe, habe ich diese Problem nicht…
Jemand eine Idee?
Danke, fürs Lesen! ;)
-
Was hast Du für einen Switch? Verwendest Du VLANs nach 802.1q? Erhält der Receiver getaggte Pakete? Was hast Du noch am Switch / welche anderen VLANs gibt es?
-flo-
-
also die 5 Sek. sind das typische Anzeichen dafür das der Switch von Unicast auf Multicast nicht funktioniert! Das bedeutet dein IGMP-Proxy dürte nicht richtig konfiguriert sein!
-
Was hast Du für einen Switch? Verwendest Du VLANs nach 802.1q? Erhält der Receiver getaggte Pakete? Was hast Du noch am Switch / welche anderen VLANs gibt es?
-flo-
Ist ein Linksys Managed Gigabit Switch (SRW2008, glaub ich). VLANs werden nach 802.1q verwendet. (Mehr kann der Switch eh nicht). Prinzipell funktionieren VLANs. Hab schon mehrere eingerichtet. (z.B. VLAN 300 & 999, alle auch getaggt). Bei den VLANs macht die pfsense und der Switch das was sie sollen.
Der Receiver hängt an einem reinem Access Port in dem VLAN, also nicht getaggt. Nur der Port zu der pfsense ist ein Trunk Port.also die 5 Sek. sind das typische Anzeichen dafür das der Switch von Unicast auf Multicast nicht funktioniert! Das bedeutet dein IGMP-Proxy dürte nicht richtig konfiguriert sein!
Es geht um 5 Minuten und nicht Sekunden. ;) Sprich, nach ~ 5 min friert das Bild für einige Zeit ein und fängt nach ~1 min wieder an zu laufen. Kann natürlich sein, das der Proxy ein Problem mit VLANs hat. Aber in der Config-File vom IGMP Proxy steht schon vr1_vlan200 drin…
Und wie gesagt, wenn ich das vlan auf der pfsense entferne und am switch alles durch Access Port realisiere funktioniert es auch...
Ganz evtl. noch interessant: Hardware technisch läuft pfsense auf dem alix2d13.
Danke! :)
-
Interessant.
Also die pfSense sendet an den MediaReceiver im VLAN 200 über den Switch. Die frames von der pfSense sind getagged mit VLAN 200. Der Switch leitet den Traffic über den Access Port an den MediaReceiver weiter. Dabei entfernt er die VLAN-Tags und die Frames erreichen den MediaReceiver untagged.
Der MediaReceiver sendet seine Frames an die pfSense durch den AccessPort, dabei werden die Pakete mit VLAN 200 getagged und über den trunk Port an die pfSense weitergegeben.
Stimmt das wirklich so?
Was hängt noch am Switch / im LAN? Tritt das Problem auch auf, wenn außer dem Switch, der pfSense und dem MediaReceiver nichts angeschlossen ist? Was steht im system.log, wenn der MediaReceiver hängt?
-flo-
-
Stimmt das wirklich so?
So wie ich das sehe, ja! Bei den anderen VLANs funktioniert es ja auch so, zumindest habe ich da keine Probleme. Ist dort auch der gleiche Aufbau: In Richtung pfsense getaggt, und die Geräte hängen untagged und im gleichen VLAN am Access Port.
Was hängt noch am Switch / im LAN? Tritt das Problem auch auf, wenn außer dem Switch, der pfSense und dem MediaReceiver nichts angeschlossen ist? Was steht im system.log, wenn der MediaReceiver hängt?
-flo-
Alle Geräte in dem gleichen VLAN habe ich schon mal ausgeschaltet, allerdings ohne Erfolg.
Die Logs sind leider dieses mal auch keine Hilfe, zumindest sehe keinen hilfreichen Logs… Bzw. Zu den Zeitpunkt an dem das Bild stehen bleibt, kommt meist auch kein neuer Eintrag.
-
Alle Geräte in dem gleichen VLAN habe ich schon mal ausgeschaltet, allerdings ohne Erfolg.
Ich würde vorschlagen mal alles andere vom Switch wirklich abzuziehen (egal an welchen VLAN) und das nochmal zu testen. Du weißt aktuell noch nicht, ob es eine Wechselwirkung mit anderen Geräten gibt.
Dann gibt es einen Traffic Graph auf dem Dashboard der pfSense. Was zeigt der an, wenn das Bild wegbleibt? IPTV verursacht einen konstant hohen Datenstrom, den man da sehr gut erkennen kann. Wenn der Traffic auf der pfSense aufhört, dann bleibt er nicht im Switch hängen, sondern vorher.
-flo-
-
Alle Geräte in dem gleichen VLAN habe ich schon mal ausgeschaltet, allerdings ohne Erfolg.
Ich würde vorschlagen mal alles andere vom Switch wirklich abzuziehen (egal an welchen VLAN) und das nochmal zu testen. Du weißt aktuell noch nicht, ob es eine Wechselwirkung mit anderen Geräten gibt.
Dann gibt es einen Traffic Graph auf dem Dashboard der pfSense. Was zeigt der an, wenn das Bild wegbleibt? IPTV verursacht einen konstant hohen Datenstrom, den man da sehr gut erkennen kann. Wenn der Traffic auf der pfSense aufhört, dann bleibt er nicht im Switch hängen, sondern vorher.
-flo-
So, hab Deinen Rat mal befolgt. Alles abgestöpselt bzw. den betreffenden Port gesperrt. Leider ohne Erfolg. Gleiches Problem… :(
Anbei noch Graphen.
IPTV - Ist der Port in Richtung Provider (Telekom)
Media_DMZ ist in Richtung Receiveruntagged.png - Media_DMZ Port auf der pfsense ist untagged, switchport auf access
tagged.png - Media_DMZ Port auf der pfsense ist tagged, switchport auf trunk
Man sieht hier deutlich, dass das Bild bei beim tagged Port 2 Mal eingefroren ist. Komisch ist auch der IN und OUT Traffic auf dem Media_DMZ Port.
Ideen? Vorschläge?
Danke! :)
-
Äußert interessant.
Warum auf dem Media_DMZ-Interface überhaupt ein In-Traffic ist, erschließt sich mir nicht. Meinem Verständnis nach sollte da nur Out-Traffic erscheinen. Allerdings ist das in beiden Fällen gleich und bei mir sieht es übrigens ganz genauso aus. Das können wir denke ich abhaken.
Warum aber der Out-Traffic verdoppelt wird, ist die Frage.
Evtl. willst Du mal Deine ganzen Configs (IGMP-Proxy, Interfaces) hier posten. Vielleicht fällt mir was auf.
Dann kannst Du noch den IGMP-Traffic zwischen MediaReceiver und pfSense untersuchen (Wireshark). Wenn der IGMP-Proxy nach der Group Membership fragt (macht er periodisch), dann meldet er die Ergebnisse nach "oben" weiter. Wenn die Antworten auf diese Anfragen vom MediaReceiver ausbleiben, könnte das immerhin mal erklären, warum der Datenstrom abreißt. (Allerdings nicht, warum die Antworten auf eine Membership Query überhaupt ausbleibt.)
-
Eventuell hilft es, IGMP Snooping auf dem VLAN abzustellen? Ggf. ist die Implementation ein wenig buggy und schlägt nach 5 Minuten dazwischen.
-
"Versuch macht kluch." Ich würde das auch ausprobieren. Das müßte aber schon ein Fehler in der Implementierung sein, der nur bei VLANs zuschlägt, denn das IGMP-Snooping dürfte ja auch aktiv sein, wenn keine VLANs genutzt werden. Möglich ist es aber.
Außerdem ist das IGMP-Snooping ohnehin verzichtbar, wenn der IPTV-Traffic schon in sein eigenes VLAN isoliert wird.
-flo-
-
Jetzt zitiere ich mich schon selbst:
Warum aber der Out-Traffic verdoppelt wird, ist die Frage.
Ich habe gerade zufällig gesehen, daß auch bei mir der Out-Traffic mit dem doppelten Volumen angezeigt wird. Ich bin einigermaßen sicher, daß ich das anfangs nicht so hatte. Als IPTV funktioniert hat, habe ich dann auf VLANs umgestellt. Es sieht also so aus, als ob diese Verdoppelung mit dem VLAN zusammenhängt. Das kann aber nicht das Problem für die Unterbrechungen sein. Bei mir habe ich solche Unterbrechungen nicht.
Verdoppelung hin oder her: Es ist klar, daß der Traffic bereits von außen ausbleibt, das dürfte am IGMP-Proxy liegen. Daher meine Frage nach dem Protokoll des IGMP-Traffic. (Der Switch kann m.W. den Verkehr an einem Port auf einen anderen Port spiegeln, dann kann man das mit Wireshark recht einfach untersuchen.)
Evtl. kann mal jemand erklären, was der Traffic Monitor genau mißt und anzeigt.
-flo-
-
Warum aber der Out-Traffic verdoppelt wird, ist die Frage.
[…] Es sieht also so aus, als ob diese Verdoppelung mit dem VLAN zusammenhängt.
Das Problem mit dem verdoppelten Traffic ist ein bekannter Fehler im Zusammenhang mit VLANs, siehe hier:
https://redmine.pfsense.org/issues/3314
-flo-
-
OK, dank Dir! Dann ist das ja geklärt… ;)
War am WE nicht zuhaus, kann erst heute Abend wieder was testen. Habe jetzt mal einen neuen Switch besorgt. Mal schauen, ob es mit dem richtig funkt.
Ist zwar nur ein Netgear, aber mal schauen.
Denn irgendwie geht auch die Datenrate beim W-LAN AP in den Keller, wenn ich Fern schaue. Obwohl anderes VLAN...
Mal schaun, evtl. bringt der andere Switch ja was... ;)
-
Denn irgendwie geht auch die Datenrate beim W-LAN AP in den Keller, wenn ich Fern schaue. Obwohl anderes VLAN…
Mal schaun, evtl. bringt der andere Switch ja was... ;)
Ich hab bei Switchen ohne IGMP Snooping immer einfach für Entertain mit ebtables auf meinen DD-WRT APs den UDP Port 10000 auf der LAN Bridge geblockt. Dann lief das WLAN wieder perfekt.
-
Also wenn das WLAN beim Fernsehen langsam wird, dann läuft der Multicast-Traffic offenbar auch über das WLAN. Das ist ein klarer Hinweis, daß dem Switch weder die Trennung des Multicast-Traffic in ein eigenes VLAN noch das IGMP-Snooping gelingen.
Von wegen "nur ein Netgear": Ich verwende hier zwei Netgear Switches (Prosafe GS108E und GS 105E) für genau solch ein Setup ohne jedes Problem.
-
Erst einmal die guten Nachrichten:
Mit dem Switch (Netgear JGS524E) funktioniert es. Sprich keine Unterbrechungen mehr, bei getaggten Interface.
2 Probleme habe ich aber noch:
-
Wenn ich IGMP Snooping für das VLAN in dem der Receiver steht aktiviere, ist der gleiche Fehler wieder da. :(
(Siehe, die IGMP Konfiguration im Anhang). -
Ich würde gerne das Modem auch an den Switch anschließen, sprich die VLANs der Telekom (7 u. 8) auch über den Switch. So kann ich das Interface der pfsense noch für andere VLANs "missbrauchen" ;-) Funktioniert auch so weit ganz gut, bis auf IGMP snooping. Dann friert das Bild nach ~10 sek. ein. (Gleiche IGMP snooping Konfig, wie im Anhang) Ohne IGMP snooping funktioniert alles einwandfrei.
Hab natürlich auch schon andere IGMP Konfigurationen getestet. Leider immer das gleiche Ergebnis.
Jemand eine Idee, für die beiden "Probleme"?
Wie sieht es mit QoS aus? Erfahrungen? Man die Pakete ja in pfsense entsprechend taggen. Bringt das was?
Danke! :)
-
-
Auf den VLANs der Telekom (7 PPPoE und 8 IPTV) solltest Du kein IGMP Snooping anstellen, den Traffic sollest Du 1:1 an die pfSense durchreichen. Und wenn in VLAN 200 eh nur der Receiver und die pfSense hängen, kannst Du dort auf IGMP Snooping eigentlich verzichten.
-
Auf den VLANs der Telekom (7 PPPoE und 8 IPTV) solltest Du kein IGMP Snooping anstellen, den Traffic sollest Du 1:1 an die pfSense durchreichen.
Deswegen habe ich in der IGMP snooping Konfiguration ja auch explizit das VLAN 200 konfiguriert und nicht 8. (Siehe die Konfig, in meinem letzen Post) ;)
Und wenn in VLAN 200 eh nur der Receiver und die pfSense hängen, kannst Du dort auf IGMP Snooping eigentlich verzichten.
Tja, leider hängen in dem VLAN 200 noch andere Geräte, da dort an einer Stelle ein "dummer" Switch hängt. Ging leider nicht anders. Oder ich muss den "dummen" durch einen kleinen "intelligenten" Switch ersetzen und dann den Receiver komplett in ein eigenes VLAN packen. Wäre auch eine Lösung.
Auch wenn so erst einmal zu funktionieren scheint, würde aber trotzdem gerne wissen warum das mit dem IGMP snooping nicht funzt…
Ideen?
Danke! :)
-
Tja, leider hängen in dem VLAN 200 noch andere Geräte, da dort an einer Stelle ein "dummer" Switch hängt. Ging leider nicht anders. Oder ich muss den "dummen" durch einen kleinen "intelligenten" Switch ersetzen und dann den Receiver komplett in ein eigenes VLAN packen. Wäre auch eine Lösung.
Auch wenn so erst einmal zu funktionieren scheint, würde aber trotzdem gerne wissen warum das mit dem IGMP snooping nicht funzt…
Mit einem GS108T und Cisco SG300 hat es bei mir immer problemlos mit IGMP Snooping funktioniert. Hast Du mal probiert, ausschliesslich den Receiver über den Switch mit der pfSense zu verbinden und sonst nichts weiteres?
Wenn das Bild nach 10 sec einfriert, kommt i.d.R. gar kein Multicast Traffic durch, bei Entertain wird ja zuerst Unicast gestreamt und dann nach ein paar Sekunden auf Multicast gewechselt.Du könntest mal den IGMP Traffic auf VLAN200 mitschneiden und schauen, ob zur pfSense überhaupt IGMP Join Pakete vom Receiver Richtung Telekom durchkommen.
