OPNsense + Cisco SG250 + IGMP Proxy für Magenta TV nur IGMPv2

pppedd
Hallo,

ich bekomme MagentaTV mit der OPNsense und Cisco Switches nicht zum Laufen. Die Switches zeigen mir mit nachfolgender Konfiguration alle Multicast-Ports im IGMP Compatibility Mode v2 an und der Magenta Receiver meckert nach kurzer Diagnose rum, dass ein altes Multicast-Protokoll verwendet wird. Klassisches Symptom ist das Freeze des Bildes nach ein paar Sekunden.

Ich bekomme zwar diese Woche die neue Magenta TV One Box, welche auf Android basiert und Magenta TV nur als App ausführt (damit sollte die Multicast Problematik vom Tisch sein), aber das Problem würde ich trotzdem gerne lösen.

Das Netzwerk habe ich am Wochenende mit komplett neuen Geräten ausgestattet und alles Alte herausgeworfen. Sieht so aus:

Modem: Zyxel VMG1312-B30 (nur 100/40 Leitung, daher kein 35b fähiges Gerät)
Firewall: OPNsense 21.7.6 (IP: 10.1.1.1)
Switch 1: Cisco SG250-18 (IP: 10.1.1.254, OPNsense hängt an Port 2 des Switches)
Switch 2: Cisco SG250-08HP (IP: 10.1.1.253, SG250-18 hängt an Port 1 des SG250-08HP)
WiFi AP: Zyxel NWA210AX (IP: 10.1.1.240)

Alternativ habe ich noch eine Digitalisierungsbox Smart 2 da. Dort könnte ich die OPNsense als Exposed Host eintragen und den Receiver direkt anschließen. Von solchen Lösungen halte ich aber eher weniger wegen doppeltem NAT usw.

Verkabelung wie folgt:

Modem - OPNsense - Switch 1 - Switch 2 (an Switch 2 hängt der WiFi AP und ein Telekom MR401)

Ich habe bisher nur eine minimale Grundkonfiguration der Geräte vorgenommen, weil mir noch Zeit gefehlt hat. Es gibt derzeit nur das VLAN1 mit dem geheimnisvollen Namen ManagementVLAN (10.1.1.0/24).

Im IGMP Proxy der OPNsense habe ich Folgendes eingetragen:

2021-12-06_19h03_04

Die Firewall-Regeln sehen so aus:

WANVDSL:

2021-12-06_19h02_37

ManagementVLAN:

2021-12-06_19h02_20

Auf den beiden Cisco SGs ist jeweils Bridge Multicast Filtering Status auf Enable gesetzt sowie IGMP Snooping Status und IGMPv3 Querier Status aktiviert (Bilder für SG250-08HP, für den SG250-18 ähnlich, mit anderer Querier-IP):

2021-12-07_07h30_43

2021-12-07_07h05_29

2021-12-07_07h05_43

Bei Aufnahme der Screenshots steht bei Querier IP Address die IP des jeweiligen Switches, weil ich den igmpproxy auf der OPNsense gerade deinstalliert habe. Ist der igmpproxy auf der OPNsense aktiviert, dann lautet die Querier IP Address auf beiden Switches fein 10.1.1.1 und die MRouter Ports werden auch korrekt erkannt (Port 2 beim SG250-18 und Port 1 beim SG250-08HP).

Entferne ich nun den IGMP Proxy auf der OPNsense und spiele noch etwas mit manuellen Router Ports auf den Switches herum und diese schalten die Querier-IP wieder auf sich selbst, dann werden mir die Multicast-Ports plötzlich im v3 Compatibility Mode angezeigt:

Hier mal der Screenshot vom SG250-18:

2021-12-07_07h23_25

Also, sobald der IGMP Proxy auf der OPNsense mit obiger Konfiguration aktiv ist, werden mir Multicast Pakete in v2 durch das Netzwerk geworfen. Ich habe mal gelesen, dass das IGMP Proxy Plugin im Downstream nur v2 kann, der Upstream macht v3. Allerdings haben es schon Leute mit der OPNsense hinbekommen. Das wundert mich etwas...

Ich hätte auch kein Problem die OPNsense durch eine pfSense zu ersetzen, wenn es dann mit IGMPv3 Multicast klappt.

Kann mir jemand helfen?

Content-Key: 1594940138

Url: https://administrator.de/contentid/1594940138

Ausgedruckt am: 22.01.2022 um 17:01 Uhr

Mitglied: BirdyB
BirdyB 07.12.2021 um 09:06:52 Uhr
Goto Top
Moin,
ich habe das Konstrukt fast genauso, allerdings mit pfSense laufen und es rennt einwandfrei…

VG
Mitglied: aqui
aqui 07.12.2021 aktualisiert um 11:01:46 Uhr
Goto Top
im IGMP Compatibility Mode v2 an
Das ist falsch, denn Magenta TV erzwingt IGMPv3 !!
Wie Kollege @biryb oben schon sagt rennt es zumindestens mit der pfSense so absolut fehlerfrei.

So sollten die IPv4 Multicast Settings im Switch aussehen:

back-to-topGlobales Setup

mc1

back-to-topIGMP Snooping Setup

mc2
Beim Snooping ist es essentiell wichtig zu zu wissen ob die Firewall als PIM Router (Multicast Router) oder nur als Multicast Proxy rennt ? Davon hängt es ab ob der Switch als IGMP Querrier laufen muss oder nicht. Bei einem PIM Router im Netz ist der immer Querrier und man kann es am Switch deaktivieren. Bei einer MC Proxy Konfig muss der Switch Querrier sein.
Im Zweifel belässt du beide als Querrier, den dann gewinnt der mit der niedrigsten mac Adresse.
IGMPv3 ist aber zwingend nötig. Ohne v3 kein Magenta TV !

Zum Check installiere dir den Klassiker VLC und damit kannst du dir dann Magenta mit allen Geräten im lokalen Netz ansehen. Auch zum Troubleshooting hilft das sehr weil man so mit dem Wireshark genau sehen kann was passiert.
Die Multicast Adressen von Magenta findest du hier:
https://iptv.blog/artikel/multicastadressliste/

Magenta Infos zum Pendant pfSense findest du hier:
https://www.heise.de/ct/artikel/MagentaTV-auf-pfSense-Co-4698826.html
https://administrator.de/content/detail.php?id=595937&token=206
https://administrator.de/forum/ipv6-fuer-bestimmte-domain-od-geraet-umge ...
Mitglied: pppedd
pppedd 07.12.2021 um 12:34:38 Uhr
Goto Top
Danke für eure Antworten! Wieder etwas gelernt über Multicasting.

Habe jetzt die Einstellungen für Multicast an den Ciscos so eingestellt wie von aqui geschrieben. Die Switche beide als Querrier, der kleine SG08-HP hat gewonnen.

Das igmpproxy Plugin noch einmal aktiviert und konfiguriert. Danach beide Switches und OPNsense neu gestartet. Anschließend MR401 eingeschaltet. Gleiches Spiel wieder mit dem Freeze.

Dann habe ich mal den MR401 direkt mit dem 1. LAN Port der OPNsense verbunden. MR401 neu gestartet. Kurz Bild über Unicast und dann Freeze, weil das Multicast nicht geht.

Liegt wohl also am igmpproxy Plugin der OPNsense. Wird wohl nur ein Wechsel auf die pfSense helfen.

Weiß schon jemand wann netgate die Plus Installation für eigene Hardware veröffentlicht? Oder sind die netgate eigenen Appliances zu empfehlen? Bei der CE Version soll ja die Entwicklung nicht mehr richtig vorangehen habe ich gelesen.
Mitglied: aqui
aqui 07.12.2021 aktualisiert um 13:00:19 Uhr
Goto Top
Gleiches Spiel wieder mit dem Freeze.
Das zeigt das die Umschaltung zu Multicast nicht rennt. Die ersten Sekunden läuft das Streaming in Unicast und schaltet dann auf Multicast um. Kannst du auch mit dem Wireshark sehen.
Irgendwas ist also noch mit deinem igmpproxy Plugin oder auf dem Regelwerk im Argen. Beachte das die funktionalen Multicast Gruppenadressen im Regelwerk freigeschaltet sind !
Wieder etwas gelernt über Multicasting.
Wenn du selber mal etwas damit spielen willst: 😉
https://www.administrator.de/content/detail.php?id=362413&token=462# ...
Bzw. für die Protokoll Grundlagen sind die die Stormwind_Videos in allen Folgen unbedingt sehenswert !
Mitglied: pppedd
pppedd 08.12.2021 um 07:15:45 Uhr
Goto Top
Danke für deine Antwort. Die Stormwind Videos sind wirklich gut erklärt.

Das Regelwerk sollte eigentlich passen, da ich das nach den Anleitungen gemacht habe und mir der Firewall-Log auch keine Blocks mehr für IGMP und UDP ausgibt. Wird wohl doch am igmpproxy Plugin liegen.

Naja sei's drum, morgen kommt die Magenta TV One Box und das Problem hat sich von selbst gelöst :-D face-big-smile

Den SG250-18 kann ich diese Woche gleich mal zurückschicken, der kann nämlich kein Inter VLAN Routing, wie ich gestern Abend gesehen habe. Und den kompletten Traffic über die OPNsense jagen möchte ich jetzt nicht unbedingt (Backup Traffic etc.).

Hab mir jetzt für nen schmalen Taler noch einen gebrauchten SG300-28 bestellt, damit sollte das gehen.
Mitglied: NordicMike
NordicMike 08.12.2021 um 07:21:26 Uhr
Goto Top
Warum kann er das nicht?

Das schon gesehen?

https://www.youtube.com/watch?v=ZdEe7cU3x1Q
Mitglied: pppedd
pppedd 08.12.2021 aktualisiert um 10:19:55 Uhr
Goto Top
Hast du recht! Da hab ich wohl in der Hektik das IPv4 Routing Kontrollkästchen nicht gesehen... Na zum Glück konnte ich den SG300 stornieren.

Geht jeden Falls alles mit dem Inter VLAN Routing. SG250-18 ist Gateway, SG250-08HP läuft nur als Layer2 Switch. DHCP auf den VLAN Interfaces auf der OPNsense vergibt auch schön seine Adressen.

Hab da auch so eine latente Kaufsucht für Technik... erst einmal einkaufen, dann überlegen
Mitglied: pppedd
pppedd 08.12.2021 aktualisiert um 11:06:36 Uhr
Goto Top
So mal schauen ob das Telekrumm Zeug funktioniert

Nachtrag: Da werden sich Frau und Kind aber freuen. Nach kurzem Testen kann ich sagen, dass das Teil richtig gut läuft (und alles schön über Unicast). Erheblich schneller als der eingerostete MR401 und man kann Apps aus dem Google Playstore nachinstallieren. Ist zwar im Moment noch Beta, aber mal schauen wie sich das Ding bewährt. Werde gleich noch eine für den Keller bestellen und den MR201 in Rente schicken, falls die Anzahl pro User im Beta-Test nicht limitiert ist.

Nachtrag 2: Seit gestern ist die Beta beendet und zum normalen Tarif ohne 3 Monate kostenlose Testphase buchbar.

20211208_093504114_ios
Mitglied: aqui
aqui 08.12.2021 um 11:15:35 Uhr
Goto Top
erst einmal einkaufen, dann überlegen
Bzw. lesen sollte man. Das wird alles explizit im hiesigen Layer3_VLAN_Tutorial erklärt. ;-) face-wink
Heiß diskutierte Beiträge
general
Liste von URLs in wininet.dllFennek11Vor 1 TagAllgemeinInternet13 Kommentare

Hallo, die Frage ist zugleich enrsthaft und Satire: Windows enthält die Datei "c:\windows\system32\wininet.dll", die für viele Verbindungen ins Internet benötigt wird. Ein Blick in die ...

question
2 Faktor Authentifizierung generell abschaltenratzekahl1Vor 1 TagFrageGoogle Android9 Kommentare

Hallo zusammen, ich habe eine Frage: Kann ich in Google die 2 Faktor Authentifizierzung generell abschalten? Wenn ich ein Gerät als vertrauenswürdig hinzugefügt habe, ja, ...

question
Netzwerk Grafisch darstellen?FireWorldVor 1 TagFrageInternet8 Kommentare

Hallo, ich bin der Zeit auf der Suche nach einem Programm zur Grafischen Darstellung von inbound/outbound eines Servers in einem Rechenzentrum. Hat Jemand eine idee ...

info
Ruhe in Frieden, HackbratenVision2015Vor 1 TagInformationOff Topic5 Kommentare

Der US-Sänger Meat Loaf ist tot. Er starb laut seiner Facebook-Seite in der vergangenen Nacht im Alter von 74 Jahren. Meat Loaf, mit bürgerlichem Namen ...

question
Fritz Repeater 1750E "verloren"reksierpVor 1 TagFrageHardware9 Kommentare

Hallo, ich habe ein 150 Jahre altes Haus (ehemaliger Dorf-Bahnhof), sehr verwinkelt, viele Räume, mit Anbau, 2 Kriech-Dachböden. Vor mehreren Jahren hab ich einige Repeater ...

question
Tablet-Display defekt: wie Zugriff auf DatenMahstarDVor 1 TagFrageGoogle Android6 Kommentare

Guten Abend, ich habe ein Tablet überreicht bekommen mit der Bitte um den Versuch einer Datenrettung. Tablet: Samsung Galaxy Tab-A (2016, SM-T585) Das Display ist ...

info
SonicWall Bootloop seit letzter NachtSt-AndreasVor 1 TagInformationFirewall2 Kommentare

Sonicwall Gen 7 spielen Bootloop seit letzter Nacht. Hilfe dazu hier ...

question
Verständnisproblem SubnettingKarolaVor 17 StundenFrageNetzwerkgrundlagen6 Kommentare

Hallo, möchte mal nerven weil ich keine Antwort finde Ein Netzwerk 172.16.0.0 /16 besteht aus einem alten Router als 4 Port Switch und 4 Clients. ...