verlorene KNX Verbindung

[coliflower]

Ist das nun eine Schnittstelle oder Router ?
Der Router soll die x.y.0 haben, bei der Schnittstelle wären die .250 egal

[MoseP]

Hast Du mal versucht, Edomi und IP-Router in einem VLAN zu isolieren?

VLAN wäre mein nächster Versuch. Da ich VLAN aber noch nicht ganz durchschaut habe bin ich den einfacheren Weg gegangen: Ich habe am Switch einfach mal alle Ports außer Edomi, KNX/IP Interface, Fritz-Box, AccessPoint und diesen PC deaktiviert.

2 IP Router? Wie schaut denn deine Topologie aus?

Vorher hatte ich schon mal das Kabel vom PEAKnx USB-Connector abgezogen (der eine IP-Router, kein "zweiter"), aber das änderte nichts.

Ergebnis nach 10 Minuten Port-Deaktivierung und einem Edomi-Neustart und Restart der Weinzierl IP-Schnittstelle: Edomi hat immer noch die gleichen Verbindungsabbrüche:
2018-07-09 00:40:47 734428 KNX 14497 KNX-Verbindung verloren. ERROR
2018-07-09 00:40:50 852983 KNX 14497 KNX-Schnittstelle: Name: KNX IP Interface 731 / PA: 1.0.255 / MAC: gelöscht Ok
2018-07-09 00:40:50 874340 KNX 14497 KNX-Verbindung: Tunnel-PA: 1.0.250 / Channel-ID: 114 Ok
2018-07-09 00:42:01 652575 KNX 14497 KNX-Verbindung verloren. ERROR
2018-07-09 00:42:05 322350 KNX 14497 KNX-Schnittstelle: Name: KNX IP Interface 731 / PA: 1.0.255 / MAC: gelöscht Ok
2018-07-09 00:42:05 343589 KNX 14497 KNX-Verbindung: Tunnel-PA: 1.0.250 / Channel-ID: 115 Ok

[vento66]

2 IP Router? Wie schaut denn deine Topologie aus?

[s01iD]

Hast Du mal versucht, Edomi und IP-Router in einem VLAN zu isolieren?

[MoseP]

Hallo zusammen,

im Rahmen eines Freeze und zahlreicher Neustarts und dem vorübergehenden Austausch meines MDT-Routers gegen mein altes Weinzierl 731 IP Interface bin ich nun dem Problem insofern näher gekommen, als dass jetzt alles noch schlimmer ist... der MDT IP-Router scheint also bei mir nicht die Ursache. In Edomi sieht es bei gerade so aus:
Edomi_Status_20180708.jpg

Minütliche "KNX-Verbindung verloren" und inzwischen 217 Connections... Eine IPTV-Box habe ich nicht. Allerdings einen zweiten IP-Router im Netz, den PEAKnx USB-Connector für die Youvi-Visu und das Trivum-System.

Hat jemand eine Idee, wie ich Edomi wieder zu normaler Mitarbeit überreden kann?

[rdeckard]

Ich muss noch einen peinlichen Nachtrag liefern...

Scheinbar hatte ich Tomaten auf den Augen, denn ich habe zwar IGMP Snooping auf dem HP Switch aktiviert, aber nur "global" und nicht noch zusätzlich im VLAN 1. (Obwohl es eigentlich schön vor meiner Nase stand.)

Ich wusste zwar, dass man IGMP Snooping pro VLAN konfigurieren kann, aber da ich (noch) nie ein VLAN auf diesem Switch erstellt habe, ging ich davon aus, dass kein VLAN gesetzt ist. Dass der Switch aber standardmässig bereits mit einem VLAN 1 ausgestattet ist, habe ich völlig übersehen. Und dort drin war natürlich IGMP Snooping noch deaktiviert!

Fazit: Es funktioniert nun doch auch am Switch und der MDT IP-Router hat keine Probleme damit.
(Biete nun den irrtümlich gekauften neuen MDT IP-Router zum Verkauf an.)

Hier noch Screenshots, falls es jemand interessiert: https://knx-user-forum.de/forum/öffentlicher-bereich/knx-eib-forum/1241842-netzwerkprobleme-mit-mdt-ip-router?p=1242535#post1242535

[rdeckard]

Was mache ich "falsch"?!

Du verwendest nicht mein IPTV-Modell
Nein, deine Aufzählung deckt sich fast zu 90% mit meiner aktuellen Infrastruktur (einfach andere Komponenten). Auch ich habe zurzeit absolut keine Segmentierung und (fast) keine Probleme gehabt (wohnen jetzt 2,5 Jahre in dem Haus). Einzig das Verbinden mit einem meiner AP macht in seltenen Fällen Probleme (nur vom iPad). Aber das muss jetzt nicht zwingend mit dem Netzwerk zu tun haben. Da gibts ja auch zig andere Gründe.

Zudem habe ich noch einen alten Windows 2008 Server, der als Active Directory (und DHCP/DNS) konfiguriert ist. Auch der läuft ohne Probleme in meinem Netz. (Hab Windows und Mac Clients)

Meine (jetzt gelösten) Probleme kamen ja ohne bewusste Änderung aus dem Nichts (vor 2-3 Wochen). Ich kann nur spekulieren, dass mein IPTV-Provider im Vorfeld der WM etwas an den Streams geändert hat, was sich bei mir jetzt negativ ausgewirkt hat.

Und die (übrigens jetzt wieder aufgetauchten, aber eher "harmlosen") KNX-Fehlermeldungen im Edomi-Log sind ja vermutlich ein ganz anderes Problem.

Aber nur, weil es mit solch einer "flachen" Netzwerk-Infrastruktur gut funktioniert, heisst es ja nicht, dass man sich (wenn man möchte) mit Segmentierung befassen kann. Tendenz ist ja so, dass man immer mehr Netzwerk-Devices ins Netz hängt (vorallem WLAN-Geräte wie Mähroboter etc.) und irgendwann ist das halt schon nicht mehr eine gute Idee, wenn alles auf alles Zugriff hat. Auch wenns nur innerhalb des LAN stattfindet. Aber jeder, wie er möchte. Ich kann auch auf all meinen Computer ein einfaches, gut zu merkendes Passwort einsetzen. Das ist komfortabel und funktioniert super. Und wenn man Glück hat, sogar lange Zeit. Aber das Risiko steigt, dass dies irgendwann mal ein Problem werden könnte.

[Glotzkowski]

Was mache ich "falsch"?!

Setzt Du keinen MDT IP Router ein?
Soweit ich das hier im Forum lese gibt es oft Probleme mit dem Router in Verbindung mit EDOMI, oder?

Meine Wenigkeit hat das MDT IP Interface und keine Probleme bzgl. der Verbinungsabbrüche.

[Glotzkowski]

(Mir ist z.B. aufgefallen, dass mein HP Switch auf allen Ports stark flackert, obwohl IGMP Snooping aktiviert war, was ja eher ein schlechtes Zeichen ist. Die Ports flackern aber ALLE auch, wenn die IPTV-Box ausgeschaltet ist. Zwar weniger, aber trotzdem noch sehr synchron. Könnte von der Grundlast der IP-Kameras sein, aber die sollten ja eigentlich nur auf das NAS schreiben und nicht broadcasten.)

Dass alle Ports flackern würde ich nun nicht unbedingt als schlechtes Zeichen werten, das "Broadcast-Rauschen" ist schon normal, sofern sich Endgeräte am Netzwerk befinden, welche Dienste publizieren.
Meine Doorbird Klingelstation z.B. meldet sich alle 7 Sekunden per Broadcast im Netz und macht sich so z.B. bei anderen Geräten oder Applikationen des Herstellers bekannt, PCs mit Windows-Diensten sind auch ganz schön geschwätzig.
Ich möchte wetten, dass Du von den Kameras gar nichts per Broadcast sehen würdest.

In Deinem Fall würde ich das genauso handhaben, wenn es erstmal läuft muss man es nicht sofort von grundauf analysieren.
Um eine Segmentierung des Netzes durchzuführen und damit u.A. IoT-Komponenten zu isolieren, hatte ich vor wenigen Monaten MikroTik-L3-Switches erworben.
Fertig ist das bis jetzt aber auch noch nicht, da es ganz schön Aufwand ist entsprechende Firewall-Regeln in die jeweiligen Richtungen zu erstellen und manche Geräte lassen sich auch nicht mehr so gut bedienen, eben weil sie auf Broadcast und/oder Multicast angewiesen.

[gaert]

Vielleicht ist mein Netzwerk nicht gerade eine Referenz, aber bei mir ist's total einfach:

DSL-Router -> oller passiv-Switch -> sämtliche LAN-Geräte (auch KNX-Router, EDOMI-Server, AppleTVs, WLAN-APs, etc.)

Zusätzlich hängt am o.g. Switch noch ein weiterer, nämlich ein PoE-Switch für die Kameras.

Das alles auch noch in 100Mbit-Technologie

Achja: Die WLAN-APs (2 Stück) hängen auch am Switch, das WLAN des DSL-Routers ist deaktiviert.

Alles total unmanaged und antiquiert - aber es funktioniert reibungslos, sogar das WLAN-"Roaming" funzt wunderbar. Und alle IPs sind statisch, bis auf einen kleinen Bereich für Gäste.

Was mache ich "falsch"?!

[rdeckard]

Glotzkowski
Ich verstehe noch nicht alle Zusammenhänge mit IGMP/Multicast (vorallem die Sache mit dem Querier und den Multicast Gruppen), aber da ich seit 2 Tagen fast jede freie Minute über das Thema lese, wirds ständig ein bisschen besser.
Da ich jetzt eine Lösung habe, die funktioniert (und die ich eigentlich auch so belassen kann), wäre es nur noch für die Neugier und dem besseren Verständnis, WARUM es vorhin noch nicht geklappt hat. Aber ich habe schon Lust, es nochmals am Switch zu testen und mittels Port Mirroring und Wireshark mal paar Ports anzuschauen. (Vorallem der Port mit dem MDT IP-Router und ein anderer, "normaler" Port) Sehe ich den Multicast-Traffic auf beiden Ports, dann zieht das IGMP Snooping aus irgendeinem Grund nicht. Sehe ich den Multicast-Traffic nur zum MDT IP-Router, dann weiss ich, dass es zwar aktiv ist, aber offenbar mit der Multicast-Gruppe noch Probleme gibt. (Mir ist z.B. aufgefallen, dass mein HP Switch auf allen Ports stark flackert, obwohl IGMP Snooping aktiviert war, was ja eher ein schlechtes Zeichen ist. Die Ports flackern aber ALLE auch, wenn die IPTV-Box ausgeschaltet ist. Zwar weniger, aber trotzdem noch sehr synchron. Könnte von der Grundlast der IP-Kameras sein, aber die sollten ja eigentlich nur auf das NAS schreiben und nicht broadcasten.)

Zudem bin ich jetzt etwas angefixt wegen den Vorschlägen zur LAN-Segmentierung (VLAN für verschiedene Zwecke) und möchte da gerne am Ball bleiben. Aber auch wenn ich das VLAN-Konzept verstehe, so gibt es schon noch einige offene Fragen. (Möchte gerne nur ein DHCP/DNS-Server für alle VLANs verwenden. Und manche Geräte können nicht komplett nur in ein VLAN abgeschottet werden. Hier ist sicher ein Inter VLAN Routing nötig. Aber dann dediziert. Ob das mit statischem Routing alleine klappen würde, muss ich noch lernen.)

Oder zusammengefasst: Ich werde mich mal um ein neues Netzwerk-Konzept kümmern und danach die technische Umsetzung planen/realisieren, soweit ich dazu in der Lage bin. (Wenn möglich mit meiner bestehenden Infrastruktur)

[Glotzkowski]

Laut Spezifikation beherrscht der MDT IP Router Multicast und somit wird er sich auch im Netz als Multicast-Member melden, dies sollte er allerdings auch nur für eine bestimmte Multicast-Gruppe (laut Doku 224.0.23.12) machen. Die Standard-Einstellung ist laut Doku allerdings auf 239.0.0.0 gesetzt!
Wenn nun IPTV oder ein anderer Dienst Daten an die 239.0.0.0 schickt und der Switch behandelt Multicast korrekt, würde der MDT Router ebenfalls mit den Frames beschickt.

Sorry, der Teil mit Daten an 239.0.0.0 ist Quatsch, hab zu schnell über die Doku gelesen und mir die Applikation gerade in der ETS angesehen.

Man kann bei dem MDT SCN-IP100.01 die Multicast-Gruppe verändern, diese sollte auf 224.0.23.12 stehen.
Bei MDT SCN-IP100.02 kann man diese auch verändern aber nur innerhalb des Bereiches, welcher für manuell vergebene Multicast-Adressen reserviert ist.
Somit sollte diese Einstellung auf "System Multicast benutzen" stehen.

[Glotzkowski]

Mein Hauptswitch ist ein HPE 1920-48G Switch JG927A

Besitzt der Switch in dem VLAN 1 eine IP-Adresse und ist IGMP Querier aktiviert oder deaktiviert?

Wenn es funktioniert sobald Du die IPTV Box direkt an den Router anschließt und trotzdem eine Verbindung vom Router zum Switch hast, würde ich behaupten, dass der Router IGMP Snooping einwadnfrei beherrscht und der Port des Routers zum Switch nun kein IGMP-Memberport (für eine oder mehrere Multicast-Gruppen) mehr ist.
Wenn Du die IPTV Box an den Switch anschließt wird der Port des Routers zum Switch ein IGMP-Memberport, da der Router in dem Fall ein IGMP Membership-Report von der IPTV Box empfängt und somit alle Multicast-Frames in Richtung Switch schickt.
Da dann in dieser Konstellation scheinbar auch der MDT IP Router die Frames empfängt muss es so sein, dass der Switch kein IGMP Snooping macht und alle Multicast-Frames an alle Ports schickt.
Das könntest Du an Deinem PC mit Wireshark prüfen oder Du hängst nochmal ein Hub zwischen den MDT Router und den Switch und schließt Deinen PC oder Notebook mit an das Hub an damit Du mit Wireshark prüfen kannst welche Frames in Richtung des MDT-Routers geschickt werden oder Du konfigurierst einen Monitoring-Port...
Leider alles mit etwas Aufwand verbunden.
Laut Spezifikation beherrscht der MDT IP Router Multicast und somit wird er sich auch im Netz als Multicast-Member melden, dies sollte er allerdings auch nur für eine bestimmte Multicast-Gruppe (laut Doku 224.0.23.12) machen. Die Standard-Einstellung ist laut Doku allerdings auf 239.0.0.0 gesetzt!
Wenn nun IPTV oder ein anderer Dienst Daten an die 239.0.0.0 schickt und der Switch behandelt Multicast korrekt, würde der MDT Router ebenfalls mit den Frames beschickt.
Sofern ETS läuft wird sich Dein PC auch als Multicast-Member für die Gruppe 224.0.23.12 melden, was zeigt, dass die Doku nicht falsch ist.
Dies würde allerdings nicht erklären warum es funktioniert, wenn die IPTV Box direkt am Router hängt, daher vermute ich, dass der Switch aktuell Multicast-Frames noch nicht korrekt behandelt.

Ich würde nun auf dem MDT Router die Multicast-Gruppe (Multicast-IP-Adresse) prüfen und ggfls. korrigieren.
IP Adresse und IGMP-Snooping auf dem HP Switch prüfen (ggfls. für Tests die anderen Switches mal abklemmen)
Auf dem Switch prüfen welche Multicast-Gruppen der Switch sieht.

[wintermute]

Wenn IGMP Snooping nicht funktioniert, dann liegt es in den allermeisten Faellen nicht an der Switch sondern am Router.
Ich hatte hier mal versucht das (sehr knapp und oberflaechlich) zu erklaeren.

[rdeckard]

Danke s01iD und pitschr für eure Infos. Doch noch Profis hier (Ist nicht abwertend für die anderen Poster gemeint)

Glücklicherweise muss ich mich aber nun doch nicht so tief mit dem Thema VLAN und IGMP/Multicast befassen, da meine erste (und einfachste) Variante schon zum Erfolg führte. (In meinem Schema oben die gestrichelte, blaue Linie)

Habe nun die IPTV-Box direkt mit einem der 4 Ports des VDSL-Routers verbunden. Der 2. Port vom VDSL-Router geht wie bis anhin als Uplink zu meinem Hauptswitch.
Und siehe da, ohne VLAN oder sonstiges zu konfigurieren ist nun der MDT IP Router auch während des Einsatz der IPTV-Box völlig normal zu erreichen. ETS sieht ihn, PING-Zeiten sind normal (<1ms) und Edomi zeigt auch keine Fehler.

Obwohl man die Option nirgends sieht und auch nicht dokumentiert ist, stimmt offenbar das Gerücht, dass dieser VDSL-Router das "IGMP Snooping" schon standardmässig aktiviert hat und jetzt in meinem Fall auch korrekt anwendet. (Also den MDT IP Router nicht als Multicast-Device sieht oder zumindest erkennt, dass der Multicast-Traffic nur für die IPTV-Box bestimmt ist.)

Beim VDSL-Router ("Internetbox 2") und bei der IPTV-Box ("Swisscom TV 2.0") handelt es sich um proprietäre Geräte vom grössten Schweizer Telecom Provider Swisscom. Die Geräte sind natürlich aufeinander abgestimmt und deshalb funktioniert es wohl direkt am VDSL-Router besser als über einen dazwischengehängten Switch (bezogen auf die Multicast-Probleme mit dem MDT IP-Router, sonst hatte ich ja keine Probleme im Netz).
Ich habe die Modelle nicht genannt, weil sie wohl in Deutschland niemand kennt und sie sowieso nur eingeschränkt zu konfigurieren sind.

Bin mal happy, dass es mit dieser Konfiguration zurzeit funktioniert.

Aber das Problem hat mich immerhin dazu motiviert, in Zukunft wohl mein Netz mit VLANs zu optimieren. (Wenn ich dann mal die Zeit dazu finde...)

P.S.: Mein Hauptswitch ist ein HPE 1920-48G Switch JG927A. Ansonsten habe ich noch einen Unifi 16-Port PoE Switch und 3 Unifi AP...