Ik ben onlangs verhuisd en heb een Odido glasvezel abonnement afgesloten. Daarbij werd het Zyxel EX5601-T1 modem geleverd.
Eerder gebruikte ik altijd een eigen modem, een Netgear met OpenWRT. Deze kan ik bij Odido ook prima gebruiken, was het niet dat OpenWRT de verbinding nogal traag maakt (1gbps wordt 400/500mbps).
Nu wil ik een apparaat een statisch IP geven buiten het subnet 192.168.1.1/24 (ik wil de VMs op mijn server in een apart subnet, en ik wil Wireguard opzetten en de Wireguard peers ook een eigen subnet geven). Maar daar kom ik in de problemen: het lijkt erop dat de Zyxel communicatie naar adressen buiten het standaard subnet 192.168.1.1/24 blokkeert.
Als ik een apparaat met een statisch IP buiten het standaard subnet ping, krijg ik namelijk "From 188.89.112.1 icmp_seq=1 Packet filtered". Een ping vanaf dat apparaat zelf krijgt überhaupt niks terug.
Nu vielen mij 2 dingen op:
Het IP 188.89.112.1 lijkt een externe gateway te zijn. Waarom stuurt het modem lokale IPs in hemelsnaam naar WAN? Ik zou verwachten dat er wel een intern filter zou zijn voor 192.168.0.0/16 en andere interne ranges.
En, als ik een arping doe, krijg ik wel gewoon een juiste ARP reply van het apparaat dat ik arping. Vanaf een "werkend" apparaat naar een apparaat buiten het standaard subnet, maar ook andersom. Het lijkt er dus op dat het apparaat buiten het standaard subnet prima te vinden is, alleen dat de Zyxel besluit om de packet toch maar naar WAN te sturen.
Weet iemand hier meer over?
Beste antwoord door rvk01
Nu wil ik een apparaat een statisch IP geven buiten het subnet 192.168.1.1/24 (ik wil de VMs op mijn server in een apart subnet, en ik wil Wireguard opzetten en de Wireguard peers ook een eigen subnet geven). Maar daar kom ik in de problemen: het lijkt erop dat de Zyxel communicatie naar adressen buiten het standaard subnet 192.168.1.1/24 blokkeert.
Je maakt niet duidelijk welk IP of welke range je daarvoor wilt gebruiken.
Als ik een apparaat met een statisch IP buiten het standaard subnet ping, krijg ik namelijk "From 188.89.112.1 icmp_seq=1 Packet filtered". Een ping vanaf dat apparaat zelf krijgt überhaupt niks terug.
Wie is de (interne) gateway en welk subnet mask heb je gebruikt in je private IP range?
Nu vielen mij 2 dingen op:
Het IP 188.89.112.1 lijkt een externe gateway te zijn. Waarom stuurt het modem lokale IPs in hemelsnaam naar WAN? Ik zou verwachten dat er wel een intern filter zou zijn voor 192.168.0.0/16 en andere interne ranges.
De 188.89.112.1 zal de externe gateway zijn voor de router zelf. Maar als het pakketjes ontvangt van een range die het niet kent en waar verder geen “doel” voor is (want die kent de modem verder niet), waar moet ie dan zijn pakketjes heen sturen? De modem is een gateway voor je eigen interne DHCP range. Jij zit daar met je eigen gedefinieerde range dus buiten.
De vraag is meer waarom jouw apparaten (in die range) pakketjes naar de modem sturen terwijl dat niet hun gateway zou moeten zijn?
Hier heeft overigens Docker op mijn raspberry pi ook een aparte range waar alle docker containers in hangen. Maar dat blijft allemaal contained in dat virtuele netwerk. Voor verkeer naar buiten zet docker dan via nft/iptables een forward op.
Nu wil ik een apparaat een statisch IP geven buiten het subnet 192.168.1.1/24 (ik wil de VMs op mijn server in een apart subnet, en ik wil Wireguard opzetten en de Wireguard peers ook een eigen subnet geven). Maar daar kom ik in de problemen: het lijkt erop dat de Zyxel communicatie naar adressen buiten het standaard subnet 192.168.1.1/24 blokkeert.
Je maakt niet duidelijk welk IP of welke range je daarvoor wilt gebruiken.
Als ik een apparaat met een statisch IP buiten het standaard subnet ping, krijg ik namelijk "From 188.89.112.1 icmp_seq=1 Packet filtered". Een ping vanaf dat apparaat zelf krijgt überhaupt niks terug.
Wie is de (interne) gateway en welk subnet mask heb je gebruikt in je private IP range?
Nu vielen mij 2 dingen op:
Het IP 188.89.112.1 lijkt een externe gateway te zijn. Waarom stuurt het modem lokale IPs in hemelsnaam naar WAN? Ik zou verwachten dat er wel een intern filter zou zijn voor 192.168.0.0/16 en andere interne ranges.
De 188.89.112.1 zal de externe gateway zijn voor de router zelf. Maar als het pakketjes ontvangt van een range die het niet kent en waar verder geen “doel” voor is (want die kent de modem verder niet), waar moet ie dan zijn pakketjes heen sturen? De modem is een gateway voor je eigen interne DHCP range. Jij zit daar met je eigen gedefinieerde range dus buiten.
De vraag is meer waarom jouw apparaten (in die range) pakketjes naar de modem sturen terwijl dat niet hun gateway zou moeten zijn?
Hier heeft overigens Docker op mijn raspberry pi ook een aparte range waar alle docker containers in hangen. Maar dat blijft allemaal contained in dat virtuele netwerk. Voor verkeer naar buiten zet docker dan via nft/iptables een forward op.
Je probeert nu een adres te bereiken waar je Zyxel niet van weet hoe hij dat moet bereiken. Normaal gesproken zou je daarvoor een extra route moeten instellen. Helaas is dat met de Odido firmware niet mogelijk. Maar zelfs waar dat mogelijk is kan dat alleen met een 2e router achter de zyxel. @rvk01 geeft je de verklaring waarom at gebeurt. De router filtert die interne adressen niet omdat die ook die RFC1918 adressen moet kunnen routeren, vooral voor management verkeer (instellingen vanuit Odido).
De makkelijkste optie is die 2e router (de hypervisor in het voorbeeld van @rvk01) NAT te laten doen naar een adres in het bereik van de Zyxel. Zet je static port forwarding naar dat adres waar nodig.
