THOMSON TG784 & Firewall Zyxel ZyWALL35

[apitsos]

Χαίρετε!

Έχω ένα θέμα που αφορά το router της FORTHnet THOMSON TG784 και την υπόλοιπη δικτακή υποδομή μου. Επειδή δεν μπορώ να βγάλω άκρη απευθύνομαι σε σας, τους Guru των ADSL & της τηλεφωνίας!

Ιστορικά στοιχεία
Μέχρι πρότεινως είχα μια σύνδεση FORTHnet Double Play και ένα άλλο router THOMSON (νομίζω το 585) το οποίο ήταν σεταρισμένο σε bridge mode, μιας και το routing γινόταν από μια συσκευή υψηλών προδιαγραφών που διαθέτω. Αυτή είναι η Zyxel ZyWALL35, η οποία μπορεί να κάνει και redundancy όσον αφορά τη σύνδεση, μιας και μπορεί να συνδεθεί με δύο διαφορετικές συνδέσεις (έχει δύο WANs) είτε για load balancing είτε για fail-over σενάρια. Έτσι το router μου ήταν σε bridge mode και όλα γινόντουσαν στο "internet security device" Zyxel που έχω, κάνοντας εκεί το routing, το "firewalling" & το port forwarding. Για το εσωτερικό μου δίκτυο το ZyWALL προφανώς είναι και το Gateway μου. Έτσι λοιπόν ο DHCP Server ορίζει την IP του ως Gateway σε όλους τους clients.

Στο σήμερα
Λόγω αυξημένων αναγκών (χρειαζόμουν επιπλέον γραμμές με αριθμοδότηση) και για μείωση κόστους, μετέφερα την γραμμή double play μαζί με μια άλλη FORTHnet Telephony που είχα στο FORTHnet Professional. Επίσης ζήτησα και μια νέα γραμμή και έτσι απόκτησα τρεις τηλεφωνικούς αριθμούς και internet, μαζί με ένα block από 8 static IPs που τόσο πολύ τις χρειαζόμουν. Μου έδωσαν λοιπόν το THOMSON TG784 και ήρθε τεχνικός στο χώρο μου, ο οποίος και έκανε την εγκατάσταση. Έτσι το σενάριο σήμερα έχει ως εξής. Μία γραμμή POTS με ADSL κύκλωμα και δύο VoIP γραμμές, προφανώς τύπου PSTN (μέσω router και εξόδων FXS).

Προβλήματα
Υπάρχουν διάφορα προβλήματα, τα οποία προσπαθεί η FORTHnet να λύσει αυτή τη στιγμή, αλλά εδώ και 3-4 μέρες δεν έχουν λυθεί. Σήμερα περιμένω και έναν εξειδικευμένο τεχνικό, ο οποίος ελπίζω να δώσει λύση σε όλα, αλλά θα ήθελα πάρα πολύ να έχω και τη γνώμη κάποιων ειδικών από εδώ μέσα. Τα προβλήματα λοιπόν είναι τα εξής:
1. Gateway IP & block of static IPs
2. Bridge Mode
Θα τα αναλύσω ευθύς αμέσως, αφού εξηγήσω το εξής. Εγώ ιδανικά θέλω το Gateway μου να είναι το Zyxel και ότι το router. Θέλω το router να συνδέεται στην είσοδο WAN1 του Zyxel και όλο το traffic να περνάει από κει μέσα, για να μπορώ να εφαρμόζω τα rules που θέλω. Επίσης επειδή είναι πολύ πιο ευέλικτο από οποιοδήποτε router παρόχου και όπως καταλαβαίνετε έχει απείρως περισσότερες ρυθμίσεις και δυνατότητες, θέλω να γίνεται εκεί όλη η διαχείριση. Αυτοί είναι και οι λόγοι που το προηγούμενο απλό router ήταν σε bridge mode και όλα γινόντουσαν στο Zyxel.

Πρόβλημα IP & block of static IPs
Το πρώτο και το κυριότερο πρόβλημα έχει να κάνει με την IP του Gateway. Η FORTHnet μου έδωσε όπως είπα ένα block από 8 IPs, από τις οποίες τελικά μου μένουν 5!!!. Η πρώτη χρησιμοποιείται για το router, η προτελευταία είναι η "Μετάδοση" και η τελευταία είναι το "επόμενο δίκτυο". Ανάθεμα και αν καταλαβαίνω τα τελευταία δύο... Επί της ουσίας λοιπόν, οι IPs είναι της μορφής 62.1.ΧΧΧ.ΧΧΧ. Το εσωτερικό μου δίκτυο είναι της μορφής 192.168.0.ΧΧΧ. Επομένως αν μου ορίσουν το block με της 8 IPs, αναγκαστικά η IP του router μου γίνεται 62.1.ΧΧΧ.1. Αυτό λοιπόν ακόμα και αν προσπαθήσω να το ορίσω σαν gateway σε μια κάρτα δικτύου ενός υπολογιστή, έρχεται σε αντίθεση με την IP του υπολογιστή (192.168.0.ΧΧΧ) και "χτυπάει" μήνυμα, στο οποίο αν φυσικά επιμείνεις με "ΟΚ" ορίζεται, αν και δεν δουλεύει σωστά, γιατί στην ουσία δεν έχω internet (ότι Subnet και αν ορίσω). Αν βάλω την IP του υπολογιστή μου να είναι 62.1.ΧΧΧ.ΧΧΧ τότε όλα καλά, αλλά αυτό είναι κάτι που δεν το θέλω, καθώς δεν μπορώ να αλλάξω έτσι απλά όλες τις IP σε όλο μας το δίκτυο. Αν μου ορίσει η FORTHnet το gateway μου (δηλαδή η IP του router) να είναι της μορφής 192.168.0.ΧΧΧ τότε δεν μπορεί να μου δώσει το block με τις 8 IPs.

Bridge mode
Το πρώτο που σκέφτηκα λοιπόν σαν λύση ήταν να γυρίσει το router σε bridge mode (όπως και το παλιό μου) ώστε να γίνονται όλες οι ρυθμίσεις και το routing στο Zyxel, το οποίο ήταν ούτως ή άλλως Gateway για το δίκτυο μου. Αυτό όμως μου είπαν από τη FORTHnet ότι δεν γίνεται, διότι πρώτον το THOMSON δεν παίζει σε bridge mode και δεύτερον δεν είναι δυνατόν να γίνει κάτι τέτοιο, διότι τότε δεν θα δούλευαν τα VoIP τηλέφωνα!

Να μην σας τα πολυλογώ, ψάξε από δω ψάξε από κει βρήκα documentation που αναφέρει ότι το THOMSON TG 784 παίζει σε Bridge mode αν και δεν γνωρίζω αν σε αυτή την περίπτωση μπορούν να δουλεύουν τα VoIP τηλέφωνα.

Τελικά στο δια ταύτα η ερώτηση είναι η εξής. Υπάρχει λύση ώστε να συνδεθεί το router στην WAN port του ZyWALL και να περνάει όλο το traffic μέσα από αυτό και να γίνεται εκεί το port forwarding και το firewall? Δεν με απασχολεί αν το router θα είναι σε bridge mode ή όχι. Αυτό που θέλω είναι να έχω gateway της μορφής 192.168.0.XXX (π.χ. το ZyWALL) για να μην κάνω δραματικές αλλαγές στο εσωτερικό μου δίκτυο, να λειτουργούν τα VoIP τηλέφωνα μου, για να τα ρίξω σε έναν Asterisk Server που φτιάχνω και να αξιοποιήσω το block με τις 8 static IPs (δηλαδή τις 5 που απομένουν για δική μου χρήση).

Υπάρχει κανένας τόσο Guru που να μπορεί να δώσει λύση στο παραπάνω σενάριο? Αδυμονώ να μάθω τις απόψεις των ειδικών!

Σας ευχαριστώ θερμότατα εκ των προτέρων για το χρόνο σας, για την υπομονή σας και για τη διάθεση σας να βοηθήσετε.

[Frontier]

Το πρόβλημα με το TG784 που έχεις είναι ότι είναι provider locked απ'τη Forthnet.
Η πρόσβαση που επιτρέπουν είναι επιπέδου χρήστη (power user) και αυτά που θέλεις να κάνεις χρειάζονται επίπεδο Administrator. Το 784 υποστηρίζει ό,τι θέλεις - χωρίς να χρειάζεσαι το ZyXEL - αλλά πρέπει να μπει σε Administrator mode.

Εάν δεν μπορέσεις να βρεις άκρη, από το Home Networking menu > Interfaces μπορείς να αλλάξεις την IP του Thomson (και να κάνεις disable τον DHCP server του) ώστε το ZyXEL να αναλάβει όλα τα υπόλοιπα.

[apitsos]

Σύμφωνοι. Δεν διαφωνώ σε αυτό. Θα ήθελα όμως να ξέρω, έστω και η provider που είναι administrator στο router μου, θα μπορούσε να τα κάνει. Τα παιδιά από το NOC είναι πολύ εξυπηρετικά και έχουν πολύ όρεξη και διάθεση να βοηθήσουν. Σας λέω μου στέλνουν και τεχνικό στο χώρο μου χωρίς χρέωση. Το θέμα είναι αυτά που θέλω γίνονται να το συγκεκριμένο router και αν ναι, τι πρέπει να γίνει ακριβώς, ώστε και να εκμεταλεύομαι το block με τις static IPs, και να έχω VoIP τηλέφωνα από τα FXS ports του router και να είναι Gateway το Zyxel και να κάνω εκεί όλες τις ρυθμίσεις firewall & port forwarding?

Ευχαριστώ και πάλι για το χρόνο σας!

[CortexDSL]

Σου απαντάω στα γρήγορα γιατί με περιορίζει ο χρόνος, και αναγκάστηκα να διαβάσω ψιλοδιαγώνια το μήνυμα.
Στέκομαι σε δύο σημεία

"Θέλω το router να συνδέεται στην είσοδο WAN1 του Zyxel"

Αυτό δεν γίνεται. Η WAN είσοδος αφορά διαμορφωμένη κυμματομορφή, δεν μπορείς να μεταφέρεις δεδομένα τα οποία θα διαχειριστείς από μια τέτοια είσοδο, καθώς είναι πλέον σε στάδιο transmit. Όλες οι ρυθμίσεις του δικτύου σου θα βρίσκονται πίσω από τη wan θύρα, μόλις φτάσεις σε αυτή βγαίνεις πλέον στον πάροχο.

Σχετικά με τις static ip. Αφού σου δίνουν 8 είναι λοιπόν μια class C address το οποίο σημαίνει:
η 1η ip είναι η διεύθυνση του router άρα και όλου του δικτύου
οι επόμενες 6 ip είναι εσωτερικές διευθύνσεις μηχανημάτων στο δίκτυο ( τα pc σου ας πούμε)
η 8η ip είναι η broadcast, δηλαδή όταν ένα πακέτο απευθύνεται σε αυτή τότε το λαμβάνουν όλα τα μηχανήματα του δικτύου

Επίσης όταν θες SIP τηλεφωνία πρέπει για να δουλεύουν οι αριθμοί το routing να γίνεται από το router του παρόχου καθώς αποκλειστικά και μόνο αυτό μπορεί να κάνει log in την sip υπηρεσία στον πάροχο, άρα αναγκαστικά δουλεύεις το thomson σαν gateway. Έχω την εντύπωση ότι άδικα τους τραβολογάς.

καλή επιτυχία στις ρυθμίσεις εύχομαι

[apitsos]

Γεια σου φίλε μου,

Σε ευχαριστώ πολύ για το χρόνο σου. Δεν είμαι σίγουρος αν κατάλαβες τι ακριβώς θέλω να κάνω με το Zyxel, αλλά τέλος πάντων. Οι διευκρινήσεις όμως για τις IP είναι κατατοπιστικές. Τι γίνεται όμως αν εγώ έχω 30 υπολογιστές από πίσω και όχι μόνο 6 (που από ότι σου είπα είναι μάλλον 5)? Μπορώ αυθαίρετα να βάλω τις επόμενες IPs σε άλλα PCs του δικτύου, απλά δεν θα είναι reachable απ' έξω?

[CortexDSL]

Αναγκάζεσαι να μπεις σε βαθύτερες έννοιες που αφορούν το subnetting. Ενδεχομένως να χρειαστείς bridges που θα έχουν static ip απ αυτές που σου έδωσε η forthnet, και θα δίνουν εσωτερικές ip σε όσα μηχανήματα θες να έχεις πίσω από αυτή τη static ip.
Σημασία στην συγκεκριμένη περίπτωση παίζουν και τα subnet masks καθώς υπάρχουν συγκεκριμένες διαδικασίες με τις οποίες καθορίζεται το πόσα pc θα μπορούν να βρίσκονται "πίσω" από μια static ip που την δίνεις σε μια bridge.
Αν έχεις περισσότερα από 6 pc, θα πρέπει πιθανώς να ζητήσεις τη βοήθεια πιστοποιημένου τεχνικού δικτύων που θα δει το εσωτερικό σου δίκτυο από κοντά.

Πάντως, εφ όσον έχεις sip γραμμές να θεωρείς βέβαιο ότι το routing σε πρώτη τουλάχιστον φάση πρέπει να γίνεται από το thomson, δηλαδή στις τηλεφωνικές πρίζες θα συνδέσεις αυτό. Από κει και πέρα μπορείς να βάλεις το Zyxel πίσω από το thomson για να μοιράσει τις εσωτερικές ip.

[apitsos]

Μάλιστα!

Ωραία, σε ευχαριστώ πολύ για τις διευκρινήσεις. Τις κρατώ και αυτές και θα κρατήσω ενήμερο το forum, αναλόγως με το πως θα εξελιχτεί το θέμα.

Ευχαριστώ πολύ και πάλι για τις διευκρινήσεις και το χρόνο σας.

[prodromosfan]

Το πρόβλημα με το TG784 που έχεις είναι ότι είναι provider locked απ'τη Forthnet.
Η πρόσβαση που επιτρέπουν είναι επιπέδου χρήστη (power user) και αυτά που θέλεις να κάνεις χρειάζονται επίπεδο Administrator. Το 784 υποστηρίζει ό,τι θέλεις - χωρίς να χρειάζεσαι το ZyXEL - αλλά πρέπει να μπει σε Administrator mode.

Εάν δεν μπορέσεις να βρεις άκρη, από το Home Networking menu > Interfaces μπορείς να αλλάξεις την IP του Thomson (και να κάνεις disable τον DHCP server του) ώστε το ZyXEL να αναλάβει όλα τα υπόλοιπα.

Αυτο δεν ειναι προβλημα εφοσον οι κωδικοι για admin εχουν γινει γνωστοι.

Το 784 παιζει σε bridge mode αλλα υπαρχει προβλημα με την voip τηλεφωνια.
Το προβλημα ειναι οτι το 784 εκτος απο τον ρολο του μοντεμ
πρεπει να παιξει και το ρολο του voip αλλα και του ρουτερ.

Το zyxel που εχεις δεν ειναι μοντεμ ε;

Θα μπορουσες να παιξεις οπως επαιζες και τωρα
δηλαδη modem (bridge mode)->zyxel->784 μεσω θυρας wan και σεταρισμα μονο των voip τηλεφωνων εφοσον δουλευει με τη λογικη του sip registrar η forthnet και δεν απαιτει κανα vlan περιεργο.

Φυσικα ετσι θυσιαζεις (άλλη) μια στατικη ip για το 784.

........Auto merged post: prodromosfan πρόσθεσε 5 λεπτά και 14 δευτερόλεπτα αργότερα ........

να λειτουργούν τα VoIP τηλέφωνα μου, για να τα ρίξω σε έναν Asterisk Server που φτιάχνω και να αξιοποιήσω το block με τις 8 static IPs (δηλαδή τις 5 που απομένουν για δική μου χρήση).

Ok ωπα.

O λογος που σου δωσανε το 784 απο τη forthnet ειναι ακριβως γαι να λειτουργουν τα τηλεφωνα.
Να παρεις τις ρυθμισεις και να τις μεταφερεις σε asterisk server θα πρεπει να ξέρεις αν αυτο γινεται και μπορει να παιξει ετσι η voip τηλεφωνια της forthnet.

[apitsos]

Καλησπέρα,

Κοίταξε... Το Zyxel είναι ένα "Internet Security Device" που παίζει σαν firewall κυρίως, αλλά και σαν router, εφόσον μπορείς να το θέσεις σε router mode. Αυτή άλλωστε είναι η κύρια δουλειά του, εφόσον εκτός από το firewall κάνει και το routing, όχι μόνο για έναν ISP, αλλά για δύο ταυτόχρονα! Έτσι μπορεί να χειριστεί δύο γραμμές είτε για fail-over σενάριο είτε για load balancing. Απλά για να το κάνεις αυτό πρέπει να βάλεις τα routers σε bridge mode και να τερματίσεις την έξοδο ethernet αυτών στις δύο εισόδους WAN1 & WAN2 του ZyWALL35.

Αυτό που πρέπει να επιβεβαιωθεί είναι αν το TG784 τεθεί σε bridge mode (οπότε μου λύνει θεωρητικά τα όποια προβλήματα δικτύου & gateway) μπορεί να λειτουργεί ταυτόχρονα και σαν SIP Registrar, όπως πολύ σωστά ανέφερες.

Τώρα αυτό που αναφέρω για το asterisk μάλλον δεν έχεις καταλάβει τι ακριβώς εννοώ. Εγώ θέλω να πάρω τις FXS εξόδους του router που ουσιαστικά είναι σαν PSTN γραμμές και να τις ρίξω σε FXO modules, όπως θα έκανα με τις απλές τηλεφωνικές γραμμές. Δεν νομίζω ότι πρέπει ή ότι αξίζει τον κόπο να βάλω το asterisk να ασχοληθεί με SIP registration και να κάνει handle τις VoIP γραμμές που έχω. Δεν ξέρω άλλωστε αν μπορεί καν να το κάνει (θα χρησιμοποιήσω το Elastix).

Ευχαριστώ πολύ για το χρόνο σου!

[prodromosfan]

θα κοιταξω σε ενα forthnet user.ini που εχω αν η voip τηλεφωνια τους μπορει να παιζει μονο σαν registrar και θα ενημερωσω το βραδυ.

Off Topic

και μην φανταστεις και εγω ασχετος ειμαι
αλλα ελεω cyta εχω καταντησει να μαθω "κινέζικα"

[apitsos]

Χα χα χα...

Ευχαριστώ πολύ!!! Το εκτιμώ...

[apitsos]

Λοιπόν παίδες...

Τα παληκάρια από τη FORTHnet μου έστειλαν ένα σαΐνι και μου έλυσε όλα μου τα προβλήματα χωρίς να χρειαστεί ούτε administrator access ούτε τίποτα! Επειδή ή έννοια των forums είναι να βρίσκομαι απαντήσεις σε διάφορα προβλήματα μας, ακούστε πως μπορεί να λυθεί το πρόβλημα αυτό. Επαναλαμβάνω το πρόβλημα πριν αναφέρω τη λύση.

Πρόβλημα
Έχουμε ένα THOMSON TG784 & ένα Zyxel ZyWALL35. Το THOMSON μας δίνει και θύρες FXS με VoIP τηλέφωνα (εκτός από την κεφαλική γραμμή - POTS). Θέλουμε όλο το traffic να περνάει από το firewall (Zyxel) και να γίνεται εκεί όλη η διαχείριση. Θέλουμε το gateway μας να είναι το Zyxel (192.168.0.XXX) και το router να κρατήσει την "περίεργη" IP του ISP, μιας και μας δίνει ένα block από 8 static IPs (62.1.ΧΧΧ.ΧΧΧ). Επίσης θέλουμε αυτές να μπορούμε να τις αντιστοιχήσουμε σε μηχανήματα στο εσωτερικό μας δίκτυο και να είναι προσβάσιμα απ' έξω με την public IP που μας δίνει ο ISP. Ωστόσο αυτή η διαχείριση θέλουμε να γίνεται από το Zyxel. Πόσο απλά σας ακούγονται όλα αυτά? Κι όμως, είναι απλά... Δείτε τη λύση.

Λύση
1. Το router το αφήνουμε όπως το έχει ο πάροχος! Έχει static IP (την πρώτη από το block των 8), Wi-Fi disabled, DHCP disabled (το ζητάμε από τη FORTHnet να το κάνει για εμάς), firewall & UPnP disabled επίσης.
2. Συνδέουμε μια οποιαδήποτε ethernet έξοδο του THOMSON router στο WAN1 του Zyxel ZyWALL 35.
3. Το ZyWALL το θέτουμε σε router mode (Maintenance -> Device Mode -> Router mode)
4. Θέτουμε το WAN1 σε Full feature (Advanced -> NAT -> NAT Overview). Αν δεν το κάνουμε αυτό δεν θα λειτουργήσει η αντιστοίχηση των στατικών IP από τον πάροχο.
5. Θέτουμε το encapsulation του WAN1 σε ethernet (Network -> LAN -> WAN1) και το Service Type σε "Data" (από το ίδιο μενού).
6. Ορίζουμε ακριβώς από κάτω το fixed IP του Zyxel (του δίνουμε τη δεύτερη IP από το block των 8) βάζοντας σαν "My WAN IP address" όπως είπα την δεύτερη IP από το block των 8 static IPs που μας έδωσε ο πάροχος, σαν Subnet mask 255.255.255.248 & σαν gateway IP την IP του router (είναι η πρώτη από το block των 8 IPs που μας δίνει η FORTHnet). Έτσι όλοι οι υπολογιστές πίσω από το firewall μας που έχουν σαν gateway το ZyWALL θα έχουν public IP την δεύτερη static IP (μπορείτε να το τσεκάρετε με το whatismyip.com) εκτός αν ορίσουμε κάτι διαφορετικό για κάποιον συγκεκριμένο server.
7. Και για να ολοκληρώσουμε και το tutorial: Αν θέλουμε να ορίσουμε κάποια από τις υπολοιπόμενες static IPs σε κάποιον υπολογιστή/server, τότε ένα 1-1 address mapping κάνοντας insert στον πίνακα με τα address mappings (Advanced -> NAT -> Address Mapping) και αντιστοιχούμε μια local IP (192.168.0.XXX) με μια Global IP (62.1.XXX.XXX). Οπότε όταν χτυπάμε απ' έξω την συγκεκριμένη Global IP, χτυπάμε κατευθείαν τον server (ή υπολογιστή) που αντιστοιχίσαμε. Επίσης ο συγκεκριμένος server/pc/μηχάνημα "βγαίνει" στο internet με την συγκεκριμένη public IP (μπορούμε να το δούμε αν επισκευθούμε στο συγκεκριμένο μηχάνημα (εφόσον είναι υπολογιστής) το whatismyip.com.

Αυτή ήταν η λύση στο πρόβλημα μου! Έτσι τώρα έχω και internet σε όλο μου το δίκτυο με gateway το Zyxel όπως είχα και πριν με το απλό router που το είχα σε bridge mode, έχω και τις 8 static IPs του παρόχου και τις αντιστοιχώ πανεύκολα όπου θέλω και φυσικά γίνεται και το SIP Registration στο THOMSON το οποίο εμένα μου δίνει στην τελική απλές PSTN γραμμές τις οποίες και θα ρίξω στον asterisk για να κάνω το τηλεφωνικό μου κέντρο!

Έτσι λοιπόν τέλος καλό, όλα καλά!

Ευχαριστώ για μια ακόμα φορά τους φίλους που ασχολήθηκαν με το πρόβλημα μου και για τις συμβουλές τους!

Φιλικά,
Άγγελος Πίτσος


Υ.Γ.: Και όπως συνηθίζω να λέω, anything can be achieved! Επαληθεύομαι για μια ακόμα φορά...

[prodromosfan]

Mια χαρά λοιπόν

[apitsos]

Mια χαρά λοιπόν

Μια χαρά, πράγματι! Σε ευχαριστώ πολύ και σένα και όλους όσους συμμετείχατε σε αυτό το thread!

Καλό σας βράδυ.

[xekarfotos11]

Αν και άργησα να δω το Post ... άλλη μια λύση είναι να ζητούσες από την ίδια τη Forthnet να σου κάνει one to one ΝΑΤ.
Θα όριζες μια private στο firewall και θα σου έστελναν όλη την κίνηση απο την IP που θα διάλεγες ... θα ήταν σαν να έχει static απευθείας στο firewall.
Αυτό μπορεί να το κάνει για όλα τα device ... βασοκή προυπόθεση η ύπαρξη TG784