Netgear WNR3500L, Tomato und T-Home Entertain über VDSL

So. Lange (über ein Jahr) ists her, dass mich mein VDSL-Anschluss in ungeahnte Bandbreitensphären befördert hat. Für das erste halbe Jahr hatte ich ‘nen WRT54GL mit Tomato dran laufen – da lief Entertain nicht. Nach besagtem halben Jahr stellte ich ‘nen zweiten WRT54G hin – per Switch zusammen mit dem WRT54GL ans Modem (Speedport 300hs) angeschlossen – und hatte dann auch nach einiger Konfigurationsarbeit den Media-Receiver am Laufen. Nach viel Arbeit hab ich in diesem Jahr nun endlich eine Lösung für Tomato-Liebhaber, die einen in jeder Facette glücklich machen dürfte.

Das Ganze benötigt immer noch einiges an Konfiguration, aber läuft stabil und beinahe alles funktioniert.

Das Gerät

Kern dieses Tutorials ist der vergleichsweise neue WNR3500L von Netgear. Als kleiner Anriss zu den Hardwaredetails: 533MHz CPU, 64MB RAM, 8MB Flash, GBit Switch, 802.11n Wifi, ein USB-Port. Für läppische 70 Euro inklusive Versand ist er zu haben.

Das Flashen

Zunächst muss man sich der grässlichen Netgear-Firmware entledigen. Das funktioniert über ein Firmware-Upgrade zu DD-WRT. Die Firmware findet sich beispielsweise hier, in Zukunft ist der Link möglicherweise tot und man sollte hier einfach “WNR3500L” eingeben und sich dann die “special file for initial flashing” besorgen.

Befinden wir uns nun unter DD-WRT, so sollten wir zunächst mal einen NVRAM-Reset durchführen.

Ist der Reset durch, so können wir mit dem Bespielen von Tomato beginnen. Das dazu nötige Flash-Image finden wir auch in Zukunft sicherlich hier, in naher Zukunft aber auch hier unter “K26-MIPSR2”. Zur Auswahl: Jede der vier Versionen wird auf dem WNR3500L laufen. Die Unterschiede kann man, soweit die Dateinamen sie nicht ohnehin erklären, hier nachlesen.

Unter DD-WRT begibt man sich nach Administration -> Firmware-Upgrade und flasht den WNR3500L mit der Tomato-Firmware. Das Ganze kann eine ganze Weile dauern – am besten einfach mal so um die 5 Minuten zurücklehnen, bevor man irgendwas macht. Danach empfiehlt es sich, erneut einen NVRAM-Reset durchzuführen.

VDSL-Konfiguration unter Tomato

Läuft Tomato nun auf dem WNR, so gibt man zunächst mal seine Zugangsdaten unter Basic -> Network ein, sobald man PPPoE als Type ausgewählt hat, und speichert ab. Unter Administration -> Admin Access gehen wir sicher, dass der Telnet-Daemon aktiviert und am Laufen ist.

Dann öffnen wir eine Telnet-Session zum Router. Unter Windows geht das über Windowstaste+R (=Ausführen), “cmd” zum Öffnen einer Eingabeaufforderung und dortiger Eingabe von

telnet 192.168.1.1

Durch Legitimation mit “root” als Benutzername und “admin” als Passwort gelangen wir nun in die Eingabeaufforderung des Routers. Dort sind für den VDSL-Zugang folgende Befehle auszuführen:

nvram set vlan7hwname=et0
nvram set vlan7ports="0t 8"
nvram set wan_ifname=vlan7
nvram set wan_ifnameX=vlan7
nvram set wan_ifnames=vlan7
nvram commit

Nach einem Reboot (Strom raus, Strom rein) dürfte nun die Internet-Einwahl auch schon direkt funktionieren. Was uns auch schon zum kompliziertesten Teil bringt…

IPTV-Konfiguration

Hier fließen diverse Problematiken (Broadcast/WLAN, RFC3442 dhcp options, igmpproxy) zusammen, und die hier vorgestellte Lösung ist die beste mir bekannte. Sie beinhaltet folgende Schritte:

1. Isolation des Media Receivers durch Auftrennung des Switches des WNRs in einen 3-Port-Bereich für Computer und einen einzelnen Port, an den der Media Receiver angeschlossen wird
2. Konfiguration des vlan8 Interfaces inklusive DHCP/classless static routes
3. Konfiguration des igmpproxy
4. Zusätzliche Firewall-Regeln

Der Reihe nach also:

1. Isolation des Media Receivers auf Port 4 (den untersten) des Switches

Weiterhin per Telnet an den Router:

nvram set vlan1hwname=et0
nvram set vlan1ports="4 3 2 1 8*"
nvram set vlan9hwname=et0
nvram set vlan9ports="1 8*"
nvram commit

Weiter im Web-Interface unter Advanced -> DHCP / DNS. Dort in die Custom Configuration-Box Folgendes eintragen:

interface=vlan9
dhcp-range=iptv,192.168.2.50,192.168.2.100,255.255.255.0,1440m
dhcp-option=iptv,3,192.168.2.1
dhcp-option=iptv,6,192.168.2.1

Dann abspeichern. Dabei ist darauf zu achten, dass die vorletzte Stelle der IP nicht gleich der sein darf, die unter Basic -> Network unter LAN angegeben ist.

Weiterhin sind unter Administration -> Scripts -> Firewall folgende Zeilen einzutragen:

# multicast vlan interface: device configuration
ifconfig vlan9 up
ifconfig vlan9 192.168.2.1

# multicast vlan interface: iptables rules
iptables -I INPUT -i vlan9 -j ACCEPT
iptables -I OUTPUT -o vlan9 -j ACCEPT
iptables -A FORWARD -i vlan9 -o br0 -j ACCEPT
iptables -A FORWARD -i br0 -o vlan9 -j ACCEPT
iptables -A FORWARD -i vlan9 -j ACCEPT

Damit wird Routing zwischen dem LAN- und dem Media Receiver-Subnetz ermöglicht, sowie der Zugang des letzteren zum Internet.

Nun muss dem Media Receiver unter Basic -> Static DHCP eine statische IP im 192.168.2.x-Subnetz angedichtet werden. Dazu ist die sechsstellige MAC-Adresse dessen LAN-Adapters nötig, die man unter Status -> Device List angezeigt bekommt, wenn man den Media Receiver an den Router anschließt.

Abschließend sollte man den Router mit an Port 4 angeschlossenem Media Receiver rebooten um sicher zu gehen, dass der Media Receiver auch eine IP im korrekten Subnetz (.2.x) bekommt (abermals unter Status -> Device List).

2. Konfiguration des vlan8 Interfaces

Abermals per Telnet:

nvram set vlan8hwname=et0
nvram set vlan8ports="0t 8"
nvram commit

Danach nochmal rebooten. Sobald das Web-Interface des Routers wieder da ist, ist unter Administration -> Scripts -> Firewall unter die schon vorhandenen Zeilen Folgendes einzutragen:

# prepare iptv interface
if [ ! "UP" == "$(ip addr | grep -i vlan8 | awk '{split($0,a,",");print a[3];}')" ] ; then
 ifconfig vlan8 up
fi

# get ip, restart wan if it works
if [ ! -e /var/run/iptv.pid  ] ; then
 udhcpc -i vlan8 -s dhcpc-event -p /var/run/iptv.pid
 service wan restart
fi

Hier wird das IPTV-Interface aktiviert und danach mit einer dynamischen IP nebst per DHCP verteilten statischen Routen zur IPTV-Infrastruktur versorgt. Es ist zwar eher unsauber, soetwas ins Firewall-Script zu schreiben, aber letzteres repräsentiert den einzigen Hook, der zu einem Zeitpunkt aufgerufen wird, zu dem alle benötigten Interfaces bereit sind, Befehle entgegen zu nehmen.

Auch hier schadet ein Reboot nicht.

3. Konfiguration des igmpproxy

Im Web-Interface unter Admin -> JFFS den Haken bei Enable setzen und auf Format / Erase… klicken. Das erstellt eine permanente Partition auf dem Flash-Chip, die wir nun mit Daten beschreiben können.

Sobald der Formatierungsvorgang fertig ist, öffnen wir abermals eine Telnet-Session. Dort besorgen wir uns den igmpproxy mitsamt funktionierender Konfiguration für T-Home:

cd /jffs
wget http://bogy.mine.nu/tomato/igmpproxy2
wget http://bogy.mine.nu/tomato/igmp.conf
chmod +x igmpproxy2

Die Konfigurationsdatei ist stark auf dieses Tutorial angepasst. Solltet ihr also Änderungen durchgeführt haben, so solltet ihr analog dazu auch den Inhalt dieser Datei anpassen.

Weiter im Web-Interface: Unter Advanced -> Firewall den Haken bei Allow Multicast wegmachen.

Dann nach Administration -> Scripts. Dort unter Init folgende Zeilen einfügen:

sleep 120
/jffs/igmpproxy2 /jffs/igmp.conf &

Dies startet 2 Minuten nachdem der Router hochgefahren ist  den IGMP-Nachrichten weiterleitenden igmpproxy.

4. Zusätzliche Firewall-Regeln

Unter Administration -> Scripts -> Firewall unter die vorhandenen Zeilen Folgendes einfügen:

# iptv rules
iptables -I INPUT -d 224.0.0.0/4 -j ACCEPT
iptables -I FORWARD -d 224.0.0.0/4 -j ACCEPT
iptables -t nat -A POSTROUTING  -o vlan8 -j MASQUERADE
iptables -A FORWARD -s 217.0.119.0/24 -i vlan8 -j ACCEPT
iptables -A FORWARD -s 193.158.35.0/23 -i vlan8 -j ACCEPT
iptables -A FORWARD -s 87.141.147.0/24 -i vlan8 -j ACCEPT
iptables -A FORWARD -s 217.6.167.0/24 -i vlan8 -j ACCEPT

Dann abspeichern. Das sind Firewall-Regeln, die dem Media Receiver den IPTV- sowie Internetzugang ermöglichen.

Nach einem Reboot sollte dann mit in Port 4 eingestecktem Media Receiver nach ein wenig Wartezeit (ich würde schon mal so 3-4 Minuten veranschlagen.. Aber ist ja nicht schlimm, denn wer rebootet seinen Router auch ständig?) das Fernsehen sowie das Internet auch schon problemlos laufen. Die restliche Konfiguration des Routers könnt ihr nach eurem Ermessen ab hier durchführen.

Optionales

Als Appendix hier noch ein paar kleine Spielereien, die den Genuss der Kombination noch ein wenig erhöhen dürften:

SNMP-Daemon zum Netzwerk-Monitoring

Während der eingebaute Bandbreiten-Graph von Tomato schon ganz toll ist, will ein mancher möglicherweise etwas zentraler Statistiken anlegen; beispielsweise mit Hilfe von MRTG oder dem darauf basierenden Cacti. Dazu gibt es den kleinen und performanten mini_snmpd. Per Telnet-Session:

cd /jffs
wget http://bogy.mine.nu/tomato/mini_snmpd
chmod +x mini_snmpd

Dann im Web-Interface unter Administration -> Scripts -> Init nach Möglichkeit noch vor der sleep-Zeile folgende Zeile hinzufügen:

/jffs/mini_snmpd -i ppp0,vlan8

Wie genau die dazugehörigen OIDs zu beschaffen sind, habe ich in diesem Forenposting beschrieben. Bei ppp0 handelt es sich um den Traffic der Internet-Verbindung, bei vlan8 um den des IPTV-Interfaces.

IPTV vom PC aus via VLC

Während das mit dem Speedport noch funktioniert hat, geht das mit der Konfiguration von hier aufgrund des abgetrennten IPTV-Subnetzes nicht mehr. Wir verwenden dazu stattdessen die Software udpxy. Abermals per Telnet-Session:

cd /jffs
wget http://bogy.mine.nu/tomato/udpxy
chmod +x udpxy

Dann im Web-Interface unter Administration -> Scripts -> Init, nach Möglichkeit genau nach der igmpproxy-Zeile Folgendes anfügen:

/jffs/udpxy -S -a br0 -p 4022 -m vlan8

Damit wird der udpxy als Daemon gestartet und hört auf Port 4022 der Router-IP auf Anfragen, um UDP-Streams zu HTTP-Streams zu übersetzen. Die Statusseite unter http://192.168.1.1:4022/status verrät auch direkt, wie die bislang für VLC verwendeten rtp-Adressen umgewandelt werden müssen. Eine angepasste Playliste für die Router-IP 192.168.1.1 und den besagten Port habe ich hier hochgeladen.

Fix noch rebooten und alles sollte laufen.