¿El ONT es parte de la red LAN doméstica?

Verdezito 28 octubre 2023 14:48 ✎

⋮

He rehecho por completo la red casera, dejándola exactamente como quiero y con todo tipo de pijadas.

La red se conecta a un router OPNsense/PFsense, es el núcleo de la red. Todo lo que hay conectado a la LAN funciona a las mil maravillas. La red en sí no da problemas.

Lo que me tiene "mosca" es el ONT. Es de mi propiedad, el ISP sólo me proporciona un cable de fibra y yo pongo el resto del equipo (ya sabéis cómo va en España, realmente ellos te ponen sus cacharros y los que sabemos los quitamos según sale el técnico por la puerta).

Si conecto el ONT dentro de la LAN puedo verlo y gestionarlo como al resto de los equipos. 0 problemas en ese sentido (configurando bien el tema de IPs y demás). Lógicamente esto sólo lo hago para pruebas, el ONT no debe estar en la LAN.

Si conecto el ONT en la WAN, en el sitio donde debe estar, me es imposible acceder a él desde dentro de la LAN por mucha configuración que intente. Creo que en parte es lógico: hay un router entre el ONT y el equipo desde el que quiero conectar.

No puedo hacer ahora pruebas al encontrarme fuera de casa. Abro este hilo no por resolver un problema (realmente mi red va fenomenal ahora mismo), sino por confirmar una hipótesis.

¿El ONT es una red independiente a la que se conecta mi router? En este caso podría por ejemplo poner una IP de 192.168.1.1 tanto al router como al ONT y no pasaría nada, no se comunican a ese nivel.
O por el contrario, ¿el ONT forma parte de la red doméstica y debería de acceder a él desde cualquier equipo de la red CORRECTAMENTE CONFIGURADO?

Si es la opción 1 tal y como sospecho no hay más que añadir. Pero si es la opción 2 tengo un problema a nivel de configuración que me gustaría solucionar.

PD: Hablo de un ONT configurado en modo puente, no como router.

PD2: Ni el propio router puede hacer ping al ONT, estando los dos ahora mismo en la misma subred.

dukez 28 octubre 2023 15:21

⋮

La ONT a menos que no sea como las Huawei de Movistar que una vez sincronizadas cortan el acceso web, debes poder acceder desde la LAN con la configuracion correcta en el router.

Debes levantar una IP en rango privado, distinto al de la LAN y en el que este la ONT en el interface WAN sin VLAN y hacer masquerade "NAT" a ese interface.

Podras acceder desde la LAN poniendo la IP de la ONT aun que este en otra red, ya que el router te enrutara.

Igualmente, no tiene ninguna logica hacer eso ya que la ONT es un conversor de medios y una vez funcionando poco mas tienes que tocar en ella

✖

Verdezito 28 octubre 2023 18:11

⋮

Gracias por la respuesta, llevo un rato probando y creo que tanto tú como el otro usuario que ha respondido habéis dado con lo que pasa, que no es algo de configuración: el de que algunas ONT corten el acceso.

Acabo de volver y a casa y he hecho la prueba de fuego: darle la misma IP al ONT que al router y…funcionando! Definitivamente era cosa de la ONT, que al parecer una vez conecta con el OLT se olvida de todo lo demás. Al ir a conectarla a la red local (esta vez sin el cable de fibra conectado) ya la he visto, pero obviamente he empezado a ver errores al ponerle a propósito una IP repetida.

Muchas gracias por todo!

pky 28 octubre 2023 17:25

⋮

Por añadir algo más de info a lo que perfectamente te ha explicado @dukez. La ONT es para ti un elemento transparente, y es la frontera entre dos mundos: mundo del operador (parte óptica) y mundo de tu red doméstica (parte ethernet). Para mi, y por mucho que los operadores se nieguen a admitirlo, es el punto de terminación de red y no el router del operador (aunque el tema está difuso, cuando ese equipo es un todo en uno). La ONT lleva su propio direccionamiento (una subred independiente), aunque como bien te han dicho hay casos en los que incluso pierdes ese acceso una vez dada enlazada con la parte óptica (depende del modelo, el operador lo secuestra al conectarlo a la parte óptica). Para acceder a la pata que te corresponde (la interfaz web que corre en el chisme y que es accesible por la subred de administración), todo lo que tienes que hacer en el router es darle una IP de ese rango, y como bien te han dicho, hacer "masquerade" o "source NAT" a esa subred. Quiere decir que, cuando un equipo de tu red salga por esa interfaz, cambie su IP LAN por la IP que lleva el router en esa interfaz, la cual permite el acceso a dicha subred de administración.

Pongamos un caso práctico, que se ve mejor: tú tienes un router con la LAN = 192.168.1.0/24 (la típica) y una ONT tipo la Nokia G-010-GP (muy típica también), la cual corre una interfaz de administración en su parte ethernet en la 192.168.100.1. ¿cómo hago que un equipo cualquiera debajo del router, por ejemplo IP 192.168.1.7, sea capaz de poner en el navegador 192.168.100.1 y llegue a la web de admin de la ONT en cuestión? Fácil, en dos pasos:

Primero, le das un direccionamiento de ese rango a la interfaz física que te conecta a la ONT. En el router tendrás dada de alta la VLAN que sea que use tu operador sobre etherX, siendo este el puerto que te une a la ONT. A dicha VLAN le llega la IP pública. Pues bien, en lugar de a la VLAN, tu configurarías la 192.168.100.X (cualquier IP de ese rango, menos la .1 que ya la tiene la ONT) en la interfaz etherX que te conecta con la ONT. Suponiendo que es ether1, la cosa quedaría así (te lo pongo en sintaxis de Mikrotik porque es lo que tengo, pero podrías hacerlo igual en cualquier otro router)

/ip address
add interface=ether1 address=192.168.100.2/24

Una vez tienes la IP, el propio router será capaz de tirar un ping a la 192.168.1.1, sin embargo si tú tratas de acceder desde tu máquina (192.168.1.7) a la 192.168.100.1 no llegas. Y no lo haces porque la ONT no sabe retornar el tráfico a una subred distinta de a la que ella misma pertenece (es un elemento neutro y no tiene como tal una tabla de rutas que tú puedas manipular). ¿Cómo consigues que sepa responder? Haciendo que la IP con la que le llegue el paquete no sea la 192.168.1.7, sino la 192.168.100.2, como si fuera el propio router quien hablara con ella. Esto se consigue con una regla de source NAT, o si no te quieres complicar la vida, con un masquerade: todo lo que salga hacia afuera por la interfaz física ether1, lo enmascaras con la IP que dicha interfaz tenga. Te pongo ambas reglas, el source NAT es más correcto, aunque la regla de masquerade es mucho más simple:

Todo lo que salga por ether1, le cambias la IP por la que tenga esa interfaz

/ip firewall nat
action=masquerade chain=srcnat comment=marquerade-ont out-interface=ether1

La otra opción, lo mismo pero con src-NAT: todo lo que vaya con destino a la subred de la ONT; le cambias la IP por la que el router tiene en ether1

/ip firewall nat
action=src-nat chain=srcnat comment=src-nat-ont dst-address=192.168.100.0/24 to-addresses=192.168.100.2

De estas dos maneras podrás administrar la ONT desde tu red local, sin desmontar nada, siempre y cuando la ONT sea de las que no pierde su administración al conectarla a l aparte óptica.

Saludos!

✖

Verdezito 28 octubre 2023 18:20

⋮

Por un lado no sabes cuánto te agradezco la respuesta tan extensa, con parámetros ejemplo y todo para que pruebe en casa. Pero finalmente ha sido la cosa más tonta, que tú mismo además has comentado al final.

Como os conté me extrañaba mucho no poder hacerle un simple ping (ya ni hablo de entrar en la interfaz web) a la ONT bien conectada, pero sí poder trastear con ella con el cable de fibra desconectado y dentro de la red interna. Me falta un tercer caso: ONT conectada en la WAN desde fuera pero sin el cable de fibra puesto pero…quién quiere una red así? Descarto ese caso.

Para descartar errores humanos de configuración (que no dejo de tener demasiadas VLAN en casa, mi configuración es un poco farragosa) y aprovechando que tengo un router bueno probé a hacer los ping desde el propio router, que tiene enlace a todo y…nada, tampoco, ni el router puede hacer ping.

Al tu respuesta me llamó mucho la atención una de tus últimas frases, "las que no pierde su administración al conectarla a l aparte óptica." . A que voy a estar enredando por nada porque mi ONT corta el acceso una vez sincroniza? Para ello hice otra pueba, darle a la ONT la misma IP que el router y conectarla a mi red una vez sincronizada. Y efectivamente se confirma lo que comentabas: la ONT ha cortado esa parte por completo, funciona a la perfección teniendo la misma IP que el router (cosa que no debería de pasar al haber conflicto)

Así que lo dicho, un millón de gracias por toda la información. Será una tontada de pregunta, pero ya he aprendido algo más de las ONT, cacharros que están ahí pero que no se suelen tocar ni configurar apenas.

pky 28 octubre 2023 18:23

⋮

De nada majo, misterio resuelto.

Saludos!

Mikker 28 octubre 2023 21:54

⋮

Del PTRO hacia la central es cosa del operador, y hacia la red de tu casa es cosa/propiedad tuya. Otra cosa es que la ONT y o Router sean tuyos o del operador.