Hoi @utrecht56 ,

Allereerst natuurlijk welkom op de Community van T-Mobile! Een superhandige guide en mooi artikel. Ik weet zeker dat hier veel mensen wat aan gaan hebben. Voel je vooral vrij om hier je Thuis van te maken. Ook zijn wij er voor jou! 

Hoi @utrecht56 

Even een kleine comment. Je wilt de firewall op eth0 wel degelijk aan laten staan. Dit is namelijk je wan interface. Als je daarop de firewall uitzet kan het hele internet alle poorten op je router zelf benaderen. Denk hierbij aan ssh, http en https voor de webinterface, misschien snmp en de ubnt discovery bende. Dit wil je echt dichthebben staan ;-)

En gezien we toch bezig zijn dan hierbij ook maar even mijn config. Ik gebruik zelf de webinterface niet. Nog sterker, die staat uitgeschakelt omdat ik dat ding al meerdere malen m’n config heb zien vern**ken in het verleden.

Een ander puntje is dat ik voor m’n AP op poort eth1 vlan tagging gebruik om het guest vlan (17) te scheiden van het private vlan (16). Het enige verkeer dat vanuit vlan 17 naar 16 mag zijn dns requests naar de pihole en verkeer op udp poort 67 naar de router zelf. Dit laatste is nodig voor dhcp.

In principe kunnen syncookies ook disabled worden gezien er geen poorten naar de router zelf open staan. En send-redirects kunnen eigenlijk ook uit gezien ik hier maar 1 router heb en een beetje fatsoenlijk ingerichte machine deze toch niet zondermeer accepteert.

firewall {
    all-ping enable
    broadcast-ping disable
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name guest-to-in {
        default-action drop
        rule 10 {
            action accept
            destination {
                address 172.16.16.3
                port 53
            }
            protocol tcp_udp
        }
        rule 20 {
            action drop
            destination {
                address 172.16.16.0/24
            }
            protocol all
        }
        rule 30 {
            action accept
        }
    }
    name guest-to-local {
        default-action drop
        rule 10 {
            action accept
            destination {
                port 67
            }
            protocol udp
        }
    }
    name ipv4-from-wan {
        default-action drop
        rule 10 {
            action accept
            state {
                established enable
                related enable
            }
        }
    }
    options {
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
}
interfaces {
    ethernet eth0 {
        duplex auto
        speed auto
        vif 300 {
            address dhcp
            firewall {
                in {
                    name ipv4-from-wan
                }
                local {
                    name ipv4-from-wan
                }
            }
        }
    }
    ethernet eth1 {
        duplex auto
        speed auto
    }
    ethernet eth2 {
        duplex auto
        speed auto
    }
    ethernet eth3 {
        duplex auto
        speed auto
    }
    ethernet eth4 {
        duplex auto
        poe {
            output off
        }
        speed auto
    }
    loopback lo {
    }
    switch switch0 {
        mtu 1500
        switch-port {
            interface eth1 {
                vlan {
                    vid 16
                    vid 17
                }
            }
            interface eth2 {
                vlan {
                    pvid 16
                }
            }
            interface eth3 {
                vlan {
                    pvid 16
                }
            }
            interface eth4 {
                vlan {
                    pvid 16
                }
            }
            vlan-aware enable
        }
        vif 16 {
            address 172.16.16.1/24
        }
        vif 17 {
            address 172.16.17.1/24
            firewall {
                in {
                    name guest-to-in
                }
                local {
                    name guest-to-local
                }
            }
        }
    }
}
service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name vlan16 {
            authoritative enable
            subnet 172.16.16.0/24 {
                default-router 172.16.16.1
                dns-server 172.16.16.3
                domain-name example.com
                lease 3600
                start 172.16.16.128 {
                    stop 172.16.16.254
                }
            }
        }
        shared-network-name vlan17 {
            authoritative disable
            subnet 172.16.17.0/24 {
                default-router 172.16.17.1
                dns-server 172.16.16.3
                lease 3600
                start 172.16.17.128 {
                    stop 172.16.17.254
                }
            }
        }
        static-arp disable
        use-dnsmasq disable
    }
    dns {
        forwarding {
            cache-size 3000
            dhcp eth0.300
            except-interface eth0.300
            system
        }
    }
    nat {
        rule 5010 {
            outbound-interface eth0.300
            protocol all
            type masquerade
        }
    }
    ssh {
        port 22
        protocol-version v2
    }
    ubnt-discover {
        disable
    }
    ubnt-discover-server {
        disable
    }
    unms {
        disable
    }
}
system {
    host-name router
    login {
        user XXX {
            authentication {
                encrypted-password ****************
                plaintext-password ****************
            }
            level admin
        }
    }
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    offload {
        hwnat enable
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone Europe/Amsterdam
}

@Marty_J Dank voor je opbouwend kritiek. Ja, je heb indardaad gelijk over de filewall. Je moet in ieder geval IPV4 aan laten staan. Als het kan, pas ik dat aan. Dank ook voor jouw setup maar ik mis de kennis om die helamaal te snappen. In ieder geval werkt mijn setup prima in mijn huis en ook mijn firewall.

I have some problem, i’m new one here, and I have couple question

First I’m use my edgerouter 4, yea I have network connection. yt etc work

but I cannot set my dns config to noip.me on this. I cannot connect, on noip.me website I didint see my Ip ,and when I click update - nothing

And second , I’m use port forwarding from Network :eth0 /eth0.300 and the same. Nothing work , 

*everything its blocked from outside ? Also I cannot connect to my synology disc station :o 

any one know ?

Goedenavond,

Ik zit er aan te denken over te stappen naar odido. Op dit moment ben ik klant bij KPN waarbij ik zelf de edgerouter X icm ubiquiti AP's gebruik.

Wat mij een beetje tegenhoudt is het idee dat mijn glasvezel aangepast moet gaan worden door een monteur voor een media converter. in het verleden ben ik op een ander adres eens klant bij T-Mobile geweest waarbij ze ook een media converter plaatsten in plaats van het huidige KPN NT. Resultaat was toen een gammele constructie met een loshangende vezel

Mijn vraag aan jullie is dan ook, is dit nog steeds de werkwijze ( dus de huidige media converter TY01 / U-FTU vervangen door een loshangend media convertertje)?

en is deze aanpassing ook echt nodig of volstaat de huidige media converter ook?

Alvast bedankt voor jullie reactie!

Hoi @doomoo, leuk dat je interesse hebt om naar Odido over te stappen!  Welke Media Converter wij gebruiken hangt erg af van de plek waar je woont aangezien wij in sommige gebieden het netwerk van KPN gebruiken met de Media Converter van KPN en op andere plekken het netwerk van KPN gebruiken met onze eigen netwerkapparatuur, waardoor wij ook een eigen Media Converter gebruiken. Om je hier uitsluitsel over te geven raad ik je aan om jouw postcode en huisnummer via een privébericht naar mij toe te sturen.

Meer informatie over het aansluiten van een eigen router vind je hier: Je eigen modem bij Odido.

Ik kan dit snel voor je opzoeken, ik kijk graag met je mee!