Telekom Entertain ruckelt

-flo- 0 · May 24, 2017, 6:30 PM

Nur so interessehalber: Weiß jemand, mit was eine FB oder ein Speedport IGMPv3 mit SSM macht? Ist da ein eigener IGMP-Proxy implementiert?

Parsec · May 24, 2017, 6:42 PM

Ich vermute er hat einen igmpproxy.

Allerdings ist das Linux und dies ist hardwarenahe nicht so einfach auf FreeBSD zu migrieren.

Unter Linux gibt es auch den mcproxy der funktioniert mit Entertain 2.0

Betty · Jul 23, 2017, 6:00 PM

Also ich habe nach diversen Schwierigkeiten mit einer Sophos Home Lizenz und viel Forum Besuchen sowie einigem Testen eine funktionierende Lösung gefunden.

Allerdings mit Pfsense 2.4 und dem IGMP Proxy.

Leider ist meine Zeit gerade sehr begrenzt, ich poste aber die nächsten Tage meine Konfiguration, wenn Interesse besteht…

Und ja: ich habe den MR400 und das BNG, ich brauche nur das VLAN 7 und benutze einen Zyxel VMG1312-B30A als Modem. PPOe erfolgt über die Pfsense und das VLAN Tagging auch.

jahonix · Jul 23, 2017, 6:04 PM

@Betty:

…ich poste aber die nächsten Tage meine Konfiguration, wenn Interesse besteht...

Klar, mach' mal!

-flo- 0 · Jul 23, 2017, 6:25 PM

Yep, Interesse besteht.

Betty · Jul 23, 2017, 6:35 PM

okay… dann doch noch auf die Schnelle:

Und by the way: im Hintergrund läuft bei mir die ganze Zeit Entertain... :)

also:

Pfsense 2.4.0-BETA vom 01.07.2017

Modem wie geschrieben von Zyxel im Bridge Mode

WAN Interface und drauf ein VLAN 7 Interface mit PPOE.

Firewall Rules:

LAN:

meine IP4 / Proto All to all pass rule hat die "Allow IP options" checked!

WANVLAN7:

Eine Pass Rule mit
IPv4 / IGMP
Source *
Port *
Destination 224.0.0.0/4
und "Allow IP options" checked

eine Pass Rule mit
IPv4 / UDP
Source *
Port *
Destination 224.0.0.0/4

IGMP Proxy:

Interface: WANVLAN7
Type: Upstream Interface
Networks:
224.0.0.0/4
193.158.0.0/15
87.140.0.0/15

Interface: LAN
Type: Downstream Interface
Networks: IP Adresse des PFsense LAN Interfaces sowie zugehörige Bitmask

So, bis auf den Network Eintrag im Upstream Interface des IGMP Proxys von 87.140.0.0 / 15 habe ich alles auf bestehenden Forums Einträgen entnommen.

Dazu vielen Dank an alle!

Aber leider hat es zuerst nicht funktioniert und nur geruckelt oder das Bild fror ein. Dann habe ich durch Zufall eine neue IP Liste der EntertainTV Sender gefunden und neben der zugehörigen Multicast Adresse wurde dort zwangsweise noch die IP 87.141.215.251 angesprochen. Diese habe ich dann in ein entsprechendes 15er Subnet (wie der bereits vorhandene Network Eintrag, der wohl aus dem alten Entertain stammte) umgewandelt und als Network in das Upstream Interface eingtragen und sofort konnte ich sowohl per VLC als auch mit dem MR400 problemlos schauen.

Wäre natürlich sehr interessant, ob diese Lösung bei anderen auch hilft.

Viel Spaß beim ausprobieren.

-flo- 0 · Jul 23, 2017, 7:12 PM

@Betty:

okay… dann doch noch auf die Schnelle:
[…]
Wäre natürlich sehr interessant, ob diese Lösung bei anderen auch hilft.

Danke!

Ich werd's probieren. Jetzt muß ich nur erstmal die letzte 2.4 BETA installieren (ich wollte auf das Release warten).

-flo-

Betty · Jul 23, 2017, 7:32 PM

@flo:

Nur mal so als Idee… versuch doch mal meine Config auf deiner V2.3 umzusetzen.
Dass ich die 2.4 nutze hat erst mal nichts mit Entertain zu tun... und der entscheidende Schritt zu allen anderen Beiträgen war der letzte Network Eintrag im Upstream Interface.

Betty

-flo- 0 · Jul 23, 2017, 7:44 PM

Die Zeit kann ich mir sparen. :-) Ich habe noch eine 2.2.6. In der 2.3 ist der IGMP-Proxy defekt (siehe https://redmine.pfsense.org/issues/6099), das ist seit einiger Zeit als gefixt gemeldet, aber wohl nicht in der 2.3, sondern in der 2.4.

Abgesehen von den Subnetzen im Upstream-Interface (und bei mir komplexeren Regeln auf dem LAN Interface) entspricht Deine Konfig aber genau meiner aktuellen, insofern könnte das "einfach funktionieren".

Ich will meine bestehende Installation nicht aktualisieren (wer weiß …) , sondern ich mache eine Neu-Installation auf einem anderen Boot-Medium. Das dauert ein bißchen.

Guest · Jul 24, 2017, 6:55 PM

@Jahonix

Welche davon hast Du selbst denn schon positiv getestet?

1. AVM FB 7490 und direkt den MR400 und den MR200 angeschlossen, der MR400 muss aber zwingend der Master sein
und der MR200 der Slave, steht auch so in der Bedienungsanleitung, sonst wird es nichts. EntertainTV Plus (Entertein 2.0)
an einem VDSL2 (Vectoring) 50 MBit/s und 100 MBit/s Anschluss.
2. Bei einem Bekannten mit einem MikroTik Router (RB850Gx2) der kann von Haus aus PIM Routing und kommt denn einfach
in eine DMZ der pfSense oder davor ganz wie man möchte und natürlich abhängig davon ob ein Router oder ein Modem vor der
pfSense Firewall steht.
3. Bekannter Nr2 hat einfach einen Cisco SG350-10 besorgt und hat den vor der pfSense Firewall stehen, fertig!
Der hat einen IGMPv3 Proxy integriert und der funktioniert!

@Parsec

Auch Entertain 2.0 macht/braucht kein PIM

Entweder mit einem IGMPv3 Proxy oder mittels PIM Routing kann das Problem gelöst werden.

@Betty
Danke für die Info, ich werde jetzt auch auf die Version 2.4.0 umsteigen, das hört sich echt gut an. Dann kommt der SG350-10
hinter die pfSense und dann ist endlich "Ruhe im Karton"!

jahonix · Jul 25, 2017, 6:24 AM

Die Variante mit dem IGMPv3 Proxy des Cisco Switches gefällt mir, tolle Idee!

Betty · Jul 25, 2017, 6:45 AM

Kurzer Nachtrag:

Auch wenn mein Setup im normalen Betrieb einwandfrei läuft (mittlerweile ein MR400 und ein MR200), so konnte ich den "Erststart" des MR200 nicht mit diesem Setup durchführen. Er meldete immer den Fehler 14, was ja auf ein Netzwerkproblem hindeutet.
Nachdem ich diesen kurz an einem Speedport direkt angeschlossen hatte, lief der Start problemlos. Danach konnte ich ihn auch wieder in meinem "normalen" Setup starten und wie gesagt, es läuft einwandfrei.

Ich habe keine Ahnung, was der MR beim ersten Start anders macht und was aus irgendeinem Grund von PFsense geblockt wird.

Wenn jemand eine Idee dazu hat… ich würde nich freuen. Wobei ich jetzt auch erstmal alle geplanten Geräte im Einsatz habe und ein evtl Erststart bei einem weiteren MR mit einem kurzen Wechsel auf den Speedport auch kein riesen Problem darstellt. Aber Neugierig bin ich schon, was denn da wohl vom MR angefordert und von der PFsense geblockt wird.

Grüsse
Betty

Guest · Jul 25, 2017, 11:26 AM

Ich habe keine Ahnung, was der MR beim ersten Start anders macht und was aus irgendeinem Grund von PFsense geblockt wird.

Also was da genau gelockt wird in der pfSense Firewall weiß ich auch nicht, ich weiß nur das es seit Version 2.0 (EntertainTV)
sich so verhält das zwei Sachen passieren;

Der Receiver registriert sich bei dem Telekom Server
Und dann sucht er nach Softwareupdates und "updated" das System

Und der erste Schritt mit der Registrierung, hat man mir im Telekomshop zumindest so erzählt, muss funktionieren
sonst hat man keinen TV-Empfang. Denn bei der Erstanmeldung wird ein Schlüssel übertragen, bzw. bei der Anmeldung
am Telekomserver wird einer erzeugt und der wird dann auch auf den MR400 bzw. MR200 übertragen und erst dann kann
man die Angebote alle nutzen!

Zu dem Fehler 14 habe ich bis dato nur zwei Sachen gehört, das zum Einen wenn WLAN oder LAN Bridges mit im Spiel sind
bei ca. 8% das Softwareupdate abgebrochen wird und wenn die Firmware vom "Speedport Routern" nicht aktuell ist.

Aber gut ich kann da nicht so richtig mit reden denn mit der AVM FB7490 passt und funktioniert alles selbst wenn ich damit
am PC fernsehen (DVBviewer Pro (zur Zeit noch als Demoversion)) möchte geht alles klar, ich bin echt mal auf die Version
2.4 gespannt.

-flo- 0 · Jul 25, 2017, 2:53 PM

@Betty:

Ich habe keine Ahnung, was der MR beim ersten Start anders macht und was aus irgendeinem Grund von PFsense geblockt wird.

Wenn jemand eine Idee dazu hat… ich würde nich freuen.

Das Problem hatte ich vor ewiger Zeit auch mal. Die Lösung war das TFTP Package, wenn ich das noch richtig im Kopf habe. Ich glaube der Receiver holt sich sein Update per TFTP.

-flo- 0 · Jul 25, 2017, 3:15 PM

@BlueKobold:

3. Bekannter Nr2 hat einfach einen Cisco SG350-10 besorgt und hat den vor der pfSense Firewall stehen, fertig!
Der hat einen IGMPv3 Proxy integriert und der funktioniert!

Wie muß ich mir denn das vorstellen, so??

Modem - Cisco SG350-10 - pfSense

und am Cisco dann der MR?

Switches mit IGMP-v3 Proxy müßte es aber auch günstiger geben oder nicht? Ein Linksys LGS308 z.B. hat ebenfalls IGMPv3 snooping. Einen "IGMP Proxy" hat ein SG350-10 laut Datenblatt nicht, wohl aber einen "IGMP Querier" ("IGMP querier is used to support a Layer 2 multicast domain of snooping switches in the absence of a multicast router"). Das beinhaltet vermutlich eine Teilfunktion des IGMP Proxy (periodische membership queries), den Rest erledigt dann das snooping?

Guest · Jul 25, 2017, 9:36 PM

Das Problem hatte ich vor ewiger Zeit auch mal. Die Lösung war das TFTP Package, wenn ich das noch richtig im Kopf habe. Ich glaube der Receiver holt sich sein Update per TFTP.

Das kann ich nicht sagen, aber bei dem Anmelden am Telekom Server wird ein Schlüssel erzeugt und ausgetauscht und dann
erst ein Update der Receiver Software statt findet, mag aber gut möglich sein das dort TFTP benutzt wird.

Wie muß ich mir denn das vorstellen, so??

Kam wohl nicht so gut rüber bei den anderen Antworten, ich habe einen SG350-10 und der ist bei dem einen Bekannten
vor der Firewall im Einsatz und einen MikroTik RB850Gx2 der ist bei dem anderen Bekannten im Einsatz.

Modem - Cisco SG350-10 - pfSense

Bei mir ist es AVM FB 7490 - pfSense - LAN
Bei Bekanntem Nr.1 Modem – SG350-10 -- pfSense -- LAN
Bei Bekanntem Nr2. Modem -- MikroTik -- pfSense -- LAN

und am Cisco dann der MR?

Bei dem Switch am Switch bei mir am der AVM FB 7490 und bei dem MikroTik am MikroTik.
MikroTik und auch der SG350 sind jeweils vor der Firewall!

Switches mit IGMP-v3 Proxy müßte es aber auch günstiger geben oder nicht? Ein Linksys LGS308 z.B. hat
ebenfalls IGMPv3 snooping. Einen "IGMP Proxy" hat ein SG350-10 laut Datenblatt nicht, wohl aber einen "IGMP Querier"
("IGMP querier is used to support a Layer 2 multicast domain of snooping switches in the absence of a multicast router").
Das beinhaltet vermutlich eine Teilfunktion des IGMP Proxy (periodische membership queries), den Rest erledigt dann das snooping?

Also ich habe auch andere Switche und glaube mir die funktionieren alle nicht! Dahinter nicht und davor auch nicht!
Netgear GS105E, GS108E, GS108Tv2, GS110T, GS110TP und so weiter und so fort, bei dem alten Entertain mit dem
MR300 Receiver hat ein SG300 völlig gereicht! Nur mit dem bzw. ab dem EntertainTV und EntertainTV Plus Angebot
ist das auch nicht mehr der Fall! Und dann geht die Suche los! Und bei Cisco habe ich etwas zu dem SG350 gelesen
was dann die Kaufentscheidung ausgemacht hat. Ich zitiere mal daraus;

Multicast-TV-VLAN
Multicast-TV-VLAN ermöglicht die gemeinsame Nutzung eines einzelnen Multicast-VLAN im Netzwerk.
Abonnenten nutzen weiterhin separate VLANs (auch als MVR bezeichnet). Link dazu (PDF)

So und nun selbst damit hat es dann nicht hinter der pfSense funktioniert oder ich bin einfach zu dumm dazu
gewesen! Also habe ich mir voller Frust eine AVM FB7490 geleistet, denn daran soll es kein Probleme geben,
und wie war alle tutti! zur VPN Anbindung gibt es auch Apps dazu und fertig, die pfSense steht jetzt leider dahinter!!!

Und wenn das mit der Version 2.4.0 nun funktioniert und die bald als Release heraus kommt, nehme ich mir den Switch
und den kleinen MikroTik zurück und alle sind wieder zufrieden denn dann sollte es ja auch bei meinen Bekannten funktionieren!

Nur so interessehalber: Weiß jemand, mit was eine FB oder ein Speedport IGMPv3 mit SSM macht? Ist da ein eigener IGMP-Proxy implementiert?

MikroTik RouterOS kann PIM von Haus aus und es gibt da mehrere Versionen von!

RFC 3973 PIM-DM (Dense-Mode)
Für Multicast bei hoher Teilnehmerdichte
RFC 4601 PIM-SM (Sparse-Mode)
geringe Teilnehmerdichte, aber verstreute Teilnehmer
PIM SSM (source-specific multicast)
PIM source-specific multicast (SSM) uses a subset of PIM sparse mode and IGMP version 3 (IGMPv3) to allow a client to receive multicast traffic directly from the source. PIM SSM uses the PIM sparse-mode functionality to create an SPT between the receiver and the source, but builds the SPT without the help of an RP. Also so ich das hier verstanden habe ist das normels PIM SM für das man einen extra
Multicast Group angelegt hat und für die ein IGMPv3 Proxy benutzt wird.
RFC 5015 BIDIR-PIM
Für den bidirektionalen Datenfluss

Betty · Jul 26, 2017, 10:33 AM

@-flo-:

@Betty:

Ich habe keine Ahnung, was der MR beim ersten Start anders macht und was aus irgendeinem Grund von PFsense geblockt wird.

Wenn jemand eine Idee dazu hat… ich würde nich freuen.

Das Problem hatte ich vor ewiger Zeit auch mal. Die Lösung war das TFTP Package, wenn ich das noch richtig im Kopf habe. Ich glaube der Receiver holt sich sein Update per TFTP.

Danke für den Tip mit dem TFTP!
Habe das gerade noch mal gegooglt und tatsächlich scheinen die MR eine Datei Namens "Chipset7241DraImage.img" vom Server slbupifk11100.prod.sngtv.t-online.de per tftp anzufordern.

Und genau dieser Request wurde vom PFsense bei mir geblockt.

Damit das läuft muss unter den Advanced Settings der TFTP Proxy für LAN und WAN aktiviert werden. Danach konnte ich per TFTP Client diese Datei tatsächlich herunterladen.

Mal sehen, wie es beim nächsten "neuen" MS dann aussieht…

Grüße
Betty

-flo- 0 · Aug 5, 2017, 4:02 PM

@-flo-:

@Betty:

Wäre natürlich sehr interessant, ob diese Lösung bei anderen auch hilft.

Ich werd's probieren. Jetzt muß ich nur erstmal die letzte 2.4 BETA installieren (ich wollte auf das Release warten).

So, 2.4.0 BETA installiert, komplett frisch aufgesetzt und die Config aus der alten Installation übernommen. Internet, VoIP, Entertain geht alles. (Hier off topic: RRD-Graph-Daten sind verlorengegangen. Die hatte ich beim Config-Export extra angehakt. Sonst bisher keine Befunde.)

2.4.0-BETA (amd64) 
built on Fri Aug 04 07:30:39 CDT 2017 
FreeBSD 11.0-RELEASE-p11

slaven · Oct 6, 2017, 3:52 PM

Hallo zusammen,
ich habe eine interessante Beobachtung gemacht, vll kann mir das jemand erklären.

PfSense 2.3.4-RELEASE-p1.

Folgendes Setup VDSL 100 BGN (Entertain 2.0) -> FB 7490 (Modem / PPPOE) -> pfSense als Exposed Host -> Netgear ProSafe Plus Switch mit IGMP Snooping aktiviert -> MR400 Receiver.

Habe kein IGMPProxy aktiviert. Regeln nur ganz normale Lan Allow to Any Rule drin.

Habe nun nach einigen Wochen den MR400 mal wieder gestartet und damit erstmals in der obigen Konfiguration. Softwareupdate ist ohne Probleme durchgelaufen. Hier gabs also keine Probleme. (War ja ein Erststart, oder?)

Folgendes Verhalten: HD Sender (öffentliche und privat) brechen erwartungsgemäß nach 10 Sekunden bei Umschaltung auf Multicast ab. SD-Sender laufen soweit ruckelfrei und normal.
Was mich wundert: CNN HD und BBC laufen völlig ruckelfrei und dauerhaft. Woran liegt das? Werden diese Sender nicht auf Multicast übertragen?

Viele Grüße und ein schönes Wochenende!

Guest · Oct 6, 2017, 7:22 PM

@slaven

und was hindert Dich daran den Receiver MR400 direkt an die AVM FB zu "hängen"?
Dann würden all diese Probleme gar nicht erst auftreten, oder?