Eigen router achter een XS4ALL-VDSL-aansluiting

Als je een VDSL-verbinding van XS4ALL neemt, krijg je al een tijd lang als modem de onvolprezen FRITZ!Box 7360. Dit apparaat biedt, naast de modemfunctie, leuke extra mogelijkheden als wifi en telefonie (dect, voip, antwoordapparaat).

Wil je wat meer in je netwerk, zoals de mogelijkheden van IPv6 ten volle benutten, dan loop je al snel tegen de beperkingen* van de Fritzbox aan. Dat is niet gek, de Fritzbox is echt bedoeld voor consumenten, maar het is wel jammer.Helaas zijn er nog niet zo veel alternatieven: in de Pricewatch van Tweakers (http://tweakers.net/categorie/560/modems-en-routers/producten) staan op dit moment maar 20 VDSL-modems tegen ruim 100 ADSL2-modems. Het goedkoopste VDSL-modem (Annex A) kost nu €119, het goedkoopste ADSL2-modem (Annex A) slechts €13.

In dit artikel onderzoek ik hoe je met een eigen router achter een modem kan werken en is geïnspireerd op dit artikel. Het is dus de bedoeling dat het modem uitsluitend als modem functioneert (“transparent bridge” of “bridge mode”) en dat de PPPoE-sessie vanaf de router draait.

De parameters voor VDSL van XS4ALL zijn:

Annex:A
VPI=8
VCI=48
Internet: PPPoE via 802.1Q VLAN 6

(IPTV via VLAN 4 blijft in deze test buiten beschouwing.)

Voor dit experiment heb ik tijdelijk een Draytek Vigor 2850 ter beschikking (firmwareversie 3.6.4.1 van juli 2013). Wellicht is het overkill om dit model als transparent bridge te gebruiken, maar: het is maar een experiment! Met de fabrieksinstellingen als startpunt, gaat het configureren als transparent bridge als volgt:

Met bovenstaande instellingen blijft het modem zelf bereikbaar voor configuratie via LAN-poort 1. De eigen router kan nu aangesloten worden op LAN-poort 2.

Voor deze test wilde ik een MikroTik RB751G-2HnD gebruiken. Dit is een leuk en veelzijdig routertje, dat ook nog eens heel betaalbaar is. (Dit model is inmiddels opgevolgd door de snellere RB951G-2HnD). De gebruikte RouterOS-versie is 6.5.

De MikroTik sluit je vanaf poort 1 aan op poort 2 van het modem. Met ook hier de fabrieksinstellingen als startpunt, zou het moeten werken na de volgende aanpassingen:

1. instellen van een PPPoE-client op interface ether1-gateway,
2. aanpassen default firewall,
3. aanpassen default NAT-rule,
4. instellen DHCPv6-client.

Stap 1 ziet er – in code – als volgt uit:

/interface pppoe-client add
    ac-name=""
    add-default-route=yes
    allow=pap,chap,mschap1,mschap2
    dial-on-demand=no
    disabled=no
    interface=ether1-gateway
    name=pppoe-out1
    password=kpn
    profile=default
    service-name=""
    use-peer-dns=yes
    user=fb7360@xs4all.nl

Let er op dat bij username en password iets is ingevuld. Het maakt niet uit wát, er wordt niet op gecontroleerd.

Hier begint helaas de ellende: met bovenstaande instellingen werkt het wel eens. En “wel eens” is niet goed genoeg. Ik heb nog niet kunnen achterhalen waarom de PPPoE-client het meestal niet doet en soms ineens wel. Voor een “productie”-opstelling is dat te onzeker. Na een herstart van de router heb ik een keer een half uur gewacht en nóg wilde de verbinding niet opkomen (wel continu pogingen te zien in de log).

In deze thread op het forum van MikroTik komt ditzelfde probleem aan de orde, maar wordt een relatie gelegd met de VLAN-tag. In bovenstaande opstelling kan dat het probleem niet zijn, omdat de VLAN-tag er al in het modem wordt afgehaald.

Evengoed lijkt het er wel op dat de PPPoE-client in RouterOS buggy is. Ik heb de PPPoE-verbinding ook direct vanaf een Xubuntu 12.04 desktop opgezet en dat lukt keer op keer, zonder enig probleem.

Ik wil het experiment binnenkort nog eens herhalen, dan op basis van een Linux-serverinstallatie.

Voetnoot:
*) De beperkingen van de FRITZ!Box 7360 (firmware: FRITZ!OS 5.51 (111.05.51) van 15 april 2013) die ik heb ondervonden zijn:

• de IPv6-prefix die via prefix-delegation wordt uitgegeven is slechts een /62 (4 subnetten) (getest met een MikroTik RB751G-2HnD, RouterOS 5.25);
• onvoorspelbaarheid van de uitgedeelde prefix;
• statisch routeren van een (groter) IPv6-subnet alleen mogelijk via de debug.cfg-hack;
• de firewall biedt onvoldoende mogelijkheden om toegang tot hosts, laat staan hele subnetten, open te zetten (IPv6).