Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > ger.ct > #222411 > unrolled thread

DHCP-Kuddelmuddel

Back to article view | Back to ger.ct

Contents

  DHCP-Kuddelmuddel "Michael Landenberger" <spameimer052006@arcor.de> - 2015-09-21 10:10 +0200
    Re: DHCP-Kuddelmuddel "Ulrich F. Heidenreich" <from!not-for-mail@tremornet.de> - 2015-09-21 10:27 +0200
    Re: DHCP-Kuddelmuddel "Juergen P. Meier" <nospam-1984@jors.net> - 2015-09-21 11:55 +0000
      Re: DHCP-Kuddelmuddel "Michael Landenberger" <spameimer052006@arcor.de> - 2015-09-21 19:45 +0200
        Re: DHCP-Kuddelmuddel "Juergen P. Meier" <nospam-1984@jors.net> - 2015-09-22 06:14 +0000
    Re: DHCP-Kuddelmuddel Daniel Pache <daniel.pache@gmx.net> - 2015-09-21 14:54 +0200
      Re: DHCP-Kuddelmuddel "Michael Landenberger" <spameimer052006@arcor.de> - 2015-09-21 18:49 +0200
        Re: DHCP-Kuddelmuddel Daniel Pache <daniel.pache@gmx.net> - 2015-09-22 09:29 +0200
          Re: DHCP-Kuddelmuddel "Michael Landenberger" <spameimer052006@arcor.de> - 2015-09-23 08:41 +0200
        Re: DHCP-Kuddelmuddel "Ulrich F. Heidenreich" <from!not-for-mail@tremornet.de> - 2015-09-22 10:44 +0200
      Re: DHCP-Kuddelmuddel Jörg Barres <news@traicon.net> - 2015-09-21 20:02 +0200
    Re: DHCP-Kuddelmuddel Jörg Barres <news@traicon.net> - 2015-09-21 19:59 +0200
    Re: DHCP-Kuddelmuddel Bernd Mayer <beam.bam.boom@knuut.de> - 2015-09-22 10:33 +0200
      Re: DHCP-Kuddelmuddel "Michael Landenberger" <spameimer052006@arcor.de> - 2015-09-23 08:45 +0200

#222411 — DHCP-Kuddelmuddel

Hallo,

ich hätte da mal ein Problem:

gegeben sei ein LAN (192.168.1/24, nennen wir es mal Netz 1) an einem
zentralen Router mit DHCP-Server. Mit diesem LAN ist ein weiteres lokales Netz
(192.168.0/24, im folgenden Netz 0 genannt) über einen zweiten Router
verbunden. Der zweite Router wiederum spielt auch DHCP-Server für Netz 0, Netz
0 hat also einen eigenen DHCP-Server.

In Netz 1 befindet sich u. a. ein WLAN-Accesspoint (D-Link DAP-1160). Dieser
verfügt ebenfalls über einen DHCP-Server, der ist aber logischerweise
deaktiviert, denn als DHCP-Server für dieses Netz soll ja der zentrale Router
fungieren. Dem Accesspoint wurde außerdem eine zu Netz 1 passende, feste IP
zugewiesen.

Nun hat irgendein Depp an dem Accesspoint rumgespielt und ihn dabei offenbar
auf die Werkseinstellungen zurückgesetzt. Ich habe mir die Bedienungsanleitung
für den Accesspoint heruntergeladen [1] und entnehme dieser, dass beim
Zurücksetzen die IP auf die Default-IP 192.168.0.50 gesetzt und der
DHCP-Server wieder aktiviert wird. Der Accesspoint ist zwar nach wie vor mit
Netz 1 verbunden, besitzt aber jetzt eine (unpassende) IP aus Netz 0.
Gleichzeitig gibt es jetzt 2 DHCP-Server in Netz 1, von denen aber nur einer
(nämlich der im zentralen Router) eine zu diesem Netz passende IP hat.

[1]
<http://www.dlink.com/-/media/Consumer_Products/DAP/DAP%201160/Manual/DAP_1160_B1_Manual_v2_00_EN.pdf>

Einige Zeit später klagen Benutzer in Netz 0, dass "das Internet" nicht mehr
geht. Mir zu Ohren gekommene Indizien sprechen dafür, dass ein Zugriff aufs
Internet prinzipiell noch möglich ist, die Namensauflösung aber nicht mehr
funktioniert. Benutzer in Netz 1 haben dagegen keine Probleme.

Frage: kann das was mit dem zurückgesetzten Accesspoint und dessen jetzt
ungewollt aktiven DHCP-Server zu tun haben? Und wenn ja, warum sind dann
Benutzer in Netz 1 nicht betroffen, obwohl der Accesspoint mit genau diesem
Netz verbunden, von Netz 0 dagegen über einen Router getrennt ist?

Gruß

Michael

[toc] | [next] | [standalone]

#222419

Michael Landenberger in <news:mtodrt$tll$1@tota-refugium.de>:

>Einige Zeit später klagen Benutzer in Netz 0, dass "das Internet" nicht mehr
>geht. Mir zu Ohren gekommene Indizien sprechen dafür, dass ein Zugriff aufs
>Internet prinzipiell noch möglich ist, die Namensauflösung aber nicht mehr
>funktioniert. 

Ohne jetzt Deine Konfiguration völlig durchzublicken: 

Netz 0 bezieht wohl seine DNS-Server-Adresse automatisch. AFAIK vom
DHCP-Server. Jetzt vielleicht vom falschen? Oder gar nicht mehr? 
Ohne Dir konkret weiterhelfen zu können, würde ich in der Situation
nachforschen, wer jetzt von wem den DNS-Server zugewiesen bekommt.

CU!
Ulrich
-- 
Aus meiner Sammlung "Seltsame WWW-Disclaimer":

Bitte beachten Sie, dass diese Information aus dem 
Jahre 1888 stammt. Sie könnte inzwischen veraltet sein.

[toc] | [prev] | [next] | [standalone]

#222451

Michael Landenberger <spameimer052006@arcor.de>:
> gegeben sei ein LAN (192.168.1/24, nennen wir es mal Netz 1) an einem
> zentralen Router mit DHCP-Server. Mit diesem LAN ist ein weiteres lokales Netz
> (192.168.0/24, im folgenden Netz 0 genannt) über einen zweiten Router

Also Router 2 hat Beine in Netz 1 und Netz 0? (Router verbinden Netze)

> verbunden. Der zweite Router wiederum spielt auch DHCP-Server für Netz 0, Netz
> 0 hat also einen eigenen DHCP-Server.

Also ist Router 2 nicht nur der Router, er Netz 0 und 1 verbinet, er
ist auch Autorisierter DHCP /Server/ in Netz 0 (d.h. er verwaltet den
Lease-Pool)?

> In Netz 1 befindet sich u. a. ein WLAN-Accesspoint (D-Link DAP-1160). Dieser

Ist der AP als Bridge oder als Router konfiguriert?

> verfügt ebenfalls über einen DHCP-Server, der ist aber logischerweise

Also kein DHCP server auf dem AP. Gut.

> deaktiviert, denn als DHCP-Server für dieses Netz soll ja der zentrale Router

Der ist aber doch im Netz 0? wenn du aus Netz 1 auch DHCP von diesem
DHCP-Server beantwortet haben lassen willst, benoetigst du *entweder*
ein Bein vom DHPC-server im Netz 0 (was geht, weil der Serverprozess
ja auf diesem Router laeuft), *oder* ein Geraet in Netz 0 muss DHCP
Relay (aka "Helper" aka "Proxy") spielen.

> fungieren. Dem Accesspoint wurde außerdem eine zu Netz 1 passende, feste IP
> zugewiesen.

Per DHCP oder manuell?

> Nun hat irgendein Depp an dem Accesspoint rumgespielt und ihn dabei offenbar
> auf die Werkseinstellungen zurückgesetzt. Ich habe mir die Bedienungsanleitung

man LART

> für den Accesspoint heruntergeladen [1] und entnehme dieser, dass beim
> Zurücksetzen die IP auf die Default-IP 192.168.0.50 gesetzt und der
> DHCP-Server wieder aktiviert wird. Der Accesspoint ist zwar nach wie vor mit
> Netz 1 verbunden, besitzt aber jetzt eine (unpassende) IP aus Netz 0.

Oh, dein Netz 0 verwendet zufaellig die selben IP-Adressen wie die
Werkeinstellung des AP. Das ist doof.

> Gleichzeitig gibt es jetzt 2 DHCP-Server in Netz 1, von denen aber nur einer

Moooooooooment!

Du schriebst, dass der DHCP-Server in Netz 0 laeuft. In Netz 1 (wo der
AP steckt) gibt es nach deiner Schilderung noch keinen DHCP-Server!

Der DHCP-Server auf dem AP in Netz 1 verteilt jetzt halt fleissig
falsche Leases, weil die Werkseinstellung nicht zum deinem Netz Passt.

> (nämlich der im zentralen Router) eine zu diesem Netz passende IP hat.

Welche IP der DHCP-Server hat, ist dem DHCP server scheiss egal
(solange man kein DHCP-Relaying (helper, proxy) macht.

> Einige Zeit später klagen Benutzer in Netz 0, dass "das Internet" nicht mehr
> geht. Mir zu Ohren gekommene Indizien sprechen dafür, dass ein Zugriff aufs

Ach. Sie bekommen ja vom falschen DHCP Server falsche IP-Leases
zugewiesen.
Allerdings hast du immer noch nicht beschrieben, wie denn die Clients
im Netz 0 (fuer das der AP die Bridge zum WLAN ist) vom DHCP-sever aus
Netz 1 Leases bekommen.

> Internet prinzipiell noch möglich ist, die Namensauflösung aber nicht mehr
> funktioniert. Benutzer in Netz 1 haben dagegen keine Probleme.

Ach.

> Frage: kann das was mit dem zurückgesetzten Accesspoint und dessen jetzt
> ungewollt aktiven DHCP-Server zu tun haben? Und wenn ja, warum sind dann
> Benutzer in Netz 1 nicht betroffen, obwohl der Accesspoint mit genau diesem
> Netz verbunden, von Netz 0 dagegen über einen Router getrennt ist?

Diese Frage kann man ohne die noch fehlende Information nicht
beantworten.

Juergen
-- 
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems.  (Bruce Schneier)

[toc] | [prev] | [next] | [standalone]

#222513

"Juergen P. Meier" schrieb am 21.09.2015 um 13:55:22:

> Michael Landenberger <spameimer052006@arcor.de>:
>> gegeben sei ein LAN (192.168.1/24, nennen wir es mal Netz 1) an einem
>> zentralen Router mit DHCP-Server. Mit diesem LAN ist ein weiteres lokales
>> Netz (192.168.0/24, im folgenden Netz 0 genannt) über einen zweiten Router
 
> Also Router 2 hat Beine in Netz 1 und Netz 0? (Router verbinden Netze)

Jep. Router 2 ist WAN-seitig mit Netz 1 verbunden (hat also eine WAN-IP aus
dem Bereich 192.168.1/24). Das von ihm versorgte LAN (Netz 0) ist ein
192.168.0/24-Netz. Der Router hat die Aufgabe, Netz 0 mit Netz 1 zu verbinden.

>> verbunden. Der zweite Router wiederum spielt auch DHCP-Server für Netz 0,
>> Netz 0 hat also einen eigenen DHCP-Server.
 
> Also ist Router 2 nicht nur der Router, er Netz 0 und 1 verbinet, er
> ist auch Autorisierter DHCP /Server/ in Netz 0 (d.h. er verwaltet den
> Lease-Pool)?

Korrekt.

>> In Netz 1 befindet sich u. a. ein WLAN-Accesspoint (D-Link DAP-1160).
>> Dieser
 
> Ist der AP als Bridge oder als Router konfiguriert?

Der AP ist normalerweise als Access Point und Switch konfiguriert, nicht als
Router. WLAN-Clients können sich mit dem AP verbinden.

>> deaktiviert, denn als DHCP-Server für dieses Netz soll ja der zentrale
>> Router
 
> Der ist aber doch im Netz 0?

In Netz 1 gibt es auch einen DHCP-Server (nämlich den im Hauptrouter). Dieser
Server soll aber nur Anfragen aus Netz 1 beantworten, nicht solche aus Netz 0.

> wenn du aus Netz 1 auch DHCP von diesem
> DHCP-Server beantwortet haben lassen willst,

Nein, das möchte ich nicht. Ich dachte eigentlich, dass das anhand meiner
Beschreibung klar geworden sein sollte ;-)

>> Dem Accesspoint wurde außerdem eine zu Netz 1 passende, feste IP
>> zugewiesen.
 
> Per DHCP oder manuell?

Manuell. Seit dem (unbefugten) Reset hat der diese IP aber nicht mehr.

>> Ich habe mir die Bedienungsanleitung
>> für den Accesspoint heruntergeladen [1] und entnehme dieser, dass beim
>> Zurücksetzen die IP auf die Default-IP 192.168.0.50 gesetzt und der
>> DHCP-Server wieder aktiviert wird. Der Accesspoint ist zwar nach wie vor
>> mit Netz 1 verbunden, besitzt aber jetzt eine (unpassende) IP aus Netz 0.
 
> Oh, dein Netz 0 verwendet zufaellig die selben IP-Adressen wie die
> Werkeinstellung des AP. Das ist doof.
 
>> Gleichzeitig gibt es jetzt 2 DHCP-Server in Netz 1, von denen aber nur
>> einer
 
> Moooooooooment!
 
> Du schriebst, dass der DHCP-Server in Netz 0 laeuft.

Es gibt in Netz 0 normalerweise nur einen DHCP-Server, nämlich den in Router
2. Auch in Netz 1 existiert normalerweise nur ein DHCP-Server, nämlich der im
Hauptrouter (Router 1). Durch den Reset des AP gibt es aber jetzt zwei
DHCP-Server in Netz 1 (zur Erinnerung: der AP hängt nach wie vor am
Hauptrouter, ist also physisch mit Netz 1 verbunden). Allerdings hat der AP
eine IP aus Netz 0. Die Frage ist, ob er damit in Netz 1 in einer Art Unfug
treiben kann, dass sich das *nur* in Netz 0 (das durch einen Router von Netz 1
getrennt ist!) auswirkt.

> In Netz 1 (wo der
> AP steckt) gibt es nach deiner Schilderung noch keinen DHCP-Server!

Ich kann nicht nachvollziehen, wie man die Aussage

| gegeben sei ein LAN (192.168.1/24, nennen wir es mal Netz 1) an
| einem zentralen Router mit DHCP-Server.

so verstehen kann, dass es in Netz 1 keinen DHCP-Server gebe.

> Der DHCP-Server auf dem AP in Netz 1 verteilt jetzt halt fleissig
> falsche Leases, weil die Werkseinstellung nicht zum deinem Netz Passt.

Wie gelangen diese Leases an Clients in Netz 0? Sie können meines Erachtens
allenfalls den WAN-Port von Router 2 erreichen, denn nur der ist direkt mit
Netz 1 und damit mit dem AP verbunden.

>> Einige Zeit später klagen Benutzer in Netz 0, dass "das Internet" nicht
>> mehr geht. Mir zu Ohren gekommene Indizien sprechen dafür, dass ein Zugriff
>> aufs
 
> Ach. Sie bekommen ja vom falschen DHCP Server falsche IP-Leases
> zugewiesen.

Durch einen NAT-Router hindurch? Das glaube ich kaum. Wenn das ginge, würden
ja die Clients z. B. an einem DSL-Router WAN-IPs vom DSL-Provider bekommen.
Tun sie aber nicht, sondern sie bekommen lokale IPs vom DHCP-Server im
DSL-Router.

> Allerdings hast du immer noch nicht beschrieben, wie denn die Clients
> im Netz 0 (fuer das der AP die Bridge zum WLAN ist) vom DHCP-sever aus
> Netz 1 Leases bekommen.

Doch, das habe ich geschrieben. Lies einfach nochmal. Es gibt 2 Netze und 2
Router mit jeweils einem DHCP-Server. Der eine DHCP-Server ist für Netz 0
zuständig, der andere für Netz 1. Die beiden Netze sind über Router 2
verbunden, während Router 1 Netz 1 mit dem Internet verbindet. Vielleicht wird
es klarer, wenn ich es aufmale:

      |
      | DSL-Internetzugang
+-----+-----+
|    WAN    |
|           |
| Router 1/ |
|   DHCP-   |
| Server 1  |
|           |
|    LAN    |
+-----+-----+                  |
      | Netz 1 (192.168.1/24)
      |
      +--- Clients
      |    (bekommen IPs vom DHCP-Server
      |     in Router 1
      |
      +--- D-Link-AP
      |    (normalerweise feste IP 192.168.1.102
      |     und mit deaktiviertem DHCP-Server,
	|     seit Reset Default-IP 192.168.0.50
      |     und mit aktiviertem DHCP-Server)
      |
+-----+-----+
|    WAN    |
|           |
| Router 2/ |
|   DHCP-   |
| Server 2  |
|           |
|    LAN    |
+-----+-----+
      | Netz 0 (192.168.0/24)
      |
      +--- Clients
           (bekommen IPs vom DHCP-Server
            in Router 2

Gruß

Michael

[toc] | [prev] | [next] | [standalone]

#222558

Michael Landenberger <spameimer052006@arcor.de>:
> Jep. Router 2 ist WAN-seitig mit Netz 1 verbunden (hat also eine WAN-IP aus
> dem Bereich 192.168.1/24). Das von ihm versorgte LAN (Netz 0) ist ein
> 192.168.0/24-Netz. Der Router hat die Aufgabe, Netz 0 mit Netz 1 zu verbinden.
>
> In Netz 1 gibt es auch einen DHCP-Server (nämlich den im Hauptrouter). Dieser
> Server soll aber nur Anfragen aus Netz 1 beantworten, nicht solche aus Netz 0.

Soweit so gut. Zwei getrennte Broadcastdomains mit jeweils einem eigenen
local DHCP und BootP Server also.

Der AP steckt im Netz 1.

> Hauptrouter, ist also physisch mit Netz 1 verbunden). Allerdings hat der AP
> eine IP aus Netz 0. Die Frage ist, ob er damit in Netz 1 in einer Art Unfug
> treiben kann, dass sich das *nur* in Netz 0 (das durch einen Router von Netz 1
> getrennt ist!) auswirkt.

Nein. Denn ohne die korrekte IP-Konfiguration (IP-range 192.168.1.0/24)
mit der IP von Router 2 als Gateway gelangen Pakete von Netz 1 in das
Netz 0. Geraete in Netz 0 bekommen vom falsch konfigurierten AP und
etwaitigen WLAN-Clients die von ihm DHCP leases bezogen haben nichts
mit.

>| gegeben sei ein LAN (192.168.1/24, nennen wir es mal Netz 1) an
>| einem zentralen Router mit DHCP-Server.
>
> so verstehen kann, dass es in Netz 1 keinen DHCP-Server gebe.

Im folgesatz hattest du vom DHCP server geschrieben dass er sich in
Netz 0 befindet. Mir war unklar, dass du damit einen zweiten DHCP
server meinst.

>> Der DHCP-Server auf dem AP in Netz 1 verteilt jetzt halt fleissig
>> falsche Leases, weil die Werkseinstellung nicht zum deinem Netz Passt.
>
> Wie gelangen diese Leases an Clients in Netz 0? Sie können meines Erachtens

Dafuer gibt es eigentlich nur eine Moeglichkeit:

die beiden Netze sind auf OSI-Schicht 2 nicht sauber getrennt (schrott-
Switch mit unsauberer VLAN-Implementierung, unbeabsichtiges bridging im
Router [z.B. weil du auf Linux irgendwelche VM-Pakete installiert hast] o.ae.)

Denn ein DHCP-RElay benoetigt eine gueltige ueber Layer-3 erreichbare
IP-Adresse des DHCP-SErvers im anderen Segemnt - was bei obiger
Fehlkonfiguration (werkseinstellung) ja genau nicht existiert.

Bei Sauberer Trennung der beiden Segmente auf (mind.) Schicht 2 gibt
es keine Moeglichkeit fuer DHCP bzw. BootP DISCOVER-Broadcastpakete
(unroutable link-local layer-2 Broadcast) von Netz 0 in Netz 1 zu
gelangen. Und ohne diese DISCOVER Broadcast kann der DHCP-Server im AP
keine Leases verteilen.

Denn directed Unicast DHCP Requests, wie sie z.B. von Clients versucht
werden die noch ein vorhergehendes Lease gecacht haben, koennen
mangels korrekter IP-Addressen von Netz 0 nicht ins Netz 1 gelangen,
denn selbst wenn die Gateway-IP die sie aus dem Lease vom AP noch
gepseichert haben mit der IP des Routers im Netz 0 uebereinstimmt,
wird dieser ein ensprechendes Paket nicht ins Netz 1 routen weil die
Ziel-Adresse ja aus dem IP-Range von Netz 0 stammt.

Es ist also nur moeglich, wenn deine beiden IP-Netze auf Schicht 2
nicht getrennt sind, entweder weil du nur einen physikalischen Switch
verwendest, dessen VLAN-Trennung schrott ist oder du garnicht mit
VLANs trennst, oder weil du noch ein anderes Geraet in beiden Netzen
hast das Bridge spielt.

> allenfalls den WAN-Port von Router 2 erreichen, denn nur der ist direkt mit
> Netz 1 und damit mit dem AP verbunden.

In der Tat.

>> Ach. Sie bekommen ja vom falschen DHCP Server falsche IP-Leases
>> zugewiesen.
>
> Durch einen NAT-Router hindurch? Das glaube ich kaum. Wenn das ginge, würden

Das Kommt Darauf An. Man kann ein Linux natuerlich so
zerkonfigurieren, dass er BOOTP Broadcasts und passende Antowrten
weiterleitet, so eine Konfig ist aber weder Default noch leicht zu uebersehen.

> ja die Clients z. B. an einem DSL-Router WAN-IPs vom DSL-Provider bekommen.
> Tun sie aber nicht, sondern sie bekommen lokale IPs vom DHCP-Server im
> DSL-Router.

Bei DHCP kommt es immer darauf an, welcher Server schneller antwortet.

Das macht Rogue DHCP Server ja so gefaehrlich.

PS: Der ISC dhcpd ist nicht besonders schnell, ein einfacher
gestrickter DHCP server in irgend einem Plastikrouter kann durchaus
mal zig millisekunden schneller antworten, und damit sogar in Layer-2
WANs den autorisierten DHCP-Server ausstechen. BTST2MT.

> verbunden, während Router 1 Netz 1 mit dem Internet verbindet. Vielleicht wird
> es klarer, wenn ich es aufmale:

Ja. Es ist bei kompliziertern Umgebungen immer besser, wenn man
einen Plan[tm] hat.

>| Router 1/ |
>|   DHCP-   |
>| Server 1  |
>|           |
>|    LAN    |
> +-----+-----+                  |
>       | Netz 1 (192.168.1/24)
>       |
>       +--- Clients
>       |    (bekommen IPs vom DHCP-Server
>       |     in Router 1
>       |
>       +--- D-Link-AP
>       |    (normalerweise feste IP 192.168.1.102
>       |     und mit deaktiviertem DHCP-Server,
> 	|     seit Reset Default-IP 192.168.0.50
>       |     und mit aktiviertem DHCP-Server)

Also der "rogue DHCP server" in Netz 1. Die Trennung ist physikalisch?

>       |
> +-----+-----+
>|    WAN    |
>|           |
>| Router 2/ |
>|   DHCP-   |
>| Server 2  |

Ich nehme an, der DHCP-Server lauscht nur auf der LAN-Schnittstelle?
(nicht default, das muss man bei ISC dhcp konfigurieren!)

>|    LAN    |
> +-----+-----+
>       | Netz 0 (192.168.0/24)
>       |
>       +--- Clients
>            (bekommen IPs vom DHCP-Server
>             in Router 2

Falls die Trennung der NEtze wie aufgezeichnet physikalisch ist, gibt
es keinen Weg an Router 2 vorbei.

Wenn dein Client in Netz 0 jetzt ein Lease vom AP bekommt (mit
Gateway-IP 192.168.0.50 was vermutlich nicht die  IP von router2 im
Netz 0 ist), so stimmt immerhin Netz und Maske, er kann also im
Netz 0 mit anderen Clients und dem Router2 als HOst kommunizieren.
Falls dein Router2 die selbe IP wie der AP hat (.50), dann kann er
sogar ganz normal wie wenn er ein Lease vom Router 2 haette
kommunizieren. Der ISC DHCPd in router 2 wird mittels DAD verhindern,
das er eine IP-Adresse die der AP einem client verpasst hat selbst
einem anderen Client vergibt, so das es idR. nicht mal zu einer
Adresskollision kommt.

Bleibt die Frage, wer die BOOTP Requests (die Broadcast DISCOVER
pakete von DHCP) aus Netz 0 an Netz 1 weiterreicht, und wer die DHCP
OFFER/ACK PAktete vom AP mit der falschen IP-Adresse im Netz 1 an die
Clients in Netz 0 weiterreicht.

Wobei, eine weitere Moeglichkeit faellt mir gerade ein:

Hast du mal die WLAN-Schnittstelle in den Clients, deren Ethernet-Port
du in Netz 0 gesteckt hast, ueberprueft?

Einige dysfunktionale Windows-Treiber (z.B. bei HP Notebooks gesehen)
mach(t)en da naemlich was ziemlich kaputtes:
Die schicken DHCP DISCOVER requests sowohl fuer die LAN-Schnittstelle
als auch den WLAN-Adapter jeweils ueber beide Schnittstellen raus,
d.h. du siehst einen DHCP-Request fuer die MAC-Adresse des
LAN-Adapters auf dem WLAN - der AP wuerde das bei dir beantworten und
ueber WLAN zurueckschicken und der kaputte Treiber packt die IP-Config
dann scheints auf den LAN-Anschluss.

Bei $KUNDE war das damals im SIEM/Network-IDS aufgefallen, weil DHCP
Requests mit MAC-Adressen die im LAN registriert waren auch auf den
Wireless-Controllern aufschlugen, und umgekehrt! Was passiert waere,
wenn diese Bogus Requests beantwortet worden waeren, konnte ich damals
allerdings nicht austesten (die DHCP Server haben diese Requests
jeweils ignoriert bzw. ge-NACK-t. Das Problem wurde soweit ich noch
weis mit einem Treiber-Update oder GPO-Richtlinien aus der Welt geschafft.
Das Problem betraf IIRC einige Modelle von HP mit bestimmten Windows-
Treibern. Falls das auch bei dir zutrifft, wuerde es erklaeren wie die
DHCP-Pakete vom AP zum Client kommen.

HTH
Juergen
-- 
Juergen P. Meier - "This World is about to be Destroyed!"
end
If you think technology can solve your problems you don't understand
technology and you don't understand your problems.  (Bruce Schneier)

[toc] | [prev] | [next] | [standalone]

#222466

Am 21.09.2015 um 10:10 schrieb Michael Landenberger:

> Einige Zeit später klagen Benutzer in Netz 0, dass "das Internet" nicht mehr
> geht. Mir zu Ohren gekommene Indizien sprechen dafür, dass ein Zugriff aufs
> Internet prinzipiell noch möglich ist, die Namensauflösung aber nicht mehr
> funktioniert. Benutzer in Netz 1 haben dagegen keine Probleme.

Ich nehme an, Du hast dem Router in Netz 0 keine feste IP für das 
WAN-Interface gegeben sondern er bezieht diese dynamisch? Vermutlich hat 
er jetzt eine IP vom Accesspoint in Netz 1 erhalten, wenn ich Deine 
Beschreibung richtig interpretiere?

Gruß

Daniel

[toc] | [prev] | [next] | [standalone]

#222507

"Daniel Pache" schrieb am 21.09.2015 um 14:54:53:

> Ich nehme an, Du hast dem Router in Netz 0 keine feste IP für das
> WAN-Interface gegeben sondern er bezieht diese dynamisch?

Ich habe derzeit noch überhaupt nichts an diesem Konstrukt gemacht. Es handelt
sich bei der Installation um das LAN einer Schule (die Deppen, die beim AP
einen Werksreset vorgenommen haben, waren vermutlich Schüler), und ein an
dieser Schule tätiger, mir bekannter Lehrer hat mich wegen des Problems
kontaktiert (der Lehrer, der das Netz normalerweise betreut, ist krank). Es
kann aber natürlich sein, dass du recht hast und der Router, der Netz 0 von
Netz 1 trennt, so konfiguriert ist, dass er seine WAN-IP dynamisch bezieht.
Das rückt es natürlich in den Bereich des Möglichen, dass der Router seine IP
vom DHCP-Server im Accesspoint und nicht mehr von dem im Hauptrouter erhalten
hat. Wenn ja, würde das aber bedeuten, dass er eine WAN-IP aus dem Bereich
192.168.0/24 bekommen hat, denn der Accesspoint hat ja seit dem Reset seine
Default-IP 192.168.0.50. Mit einer solchen WAN-IP liegt er natürlich in dem
192.168.1/24-Netz, mit dem er WAN-seitig verbunden ist, falsch. Was mich
allerdings wundert, ist der Umstand, dass der Internetzugriff noch
funktioniert und nur die Namensauflösung streikt. Das äußert sich darin, dass
ein aus Netz 0 abgesandter Ping z. B. an heise.de in der Fehlermeldung
resultiert, dass der Host nicht gefunden wurde, während ein Ping an
193.99.144.80 beantwortet wird.

Morgen werde ich Gelegenheit haben, die Sache mal persönlich unter die Lupe zu
nehmen. Bis dahin müssen die Lehrer und Schüler an besagter Schule noch
gedulden.

Gruß

Michael

[toc] | [prev] | [next] | [standalone]

#222550

Am 21.09.2015 um 18:49 schrieb Michael Landenberger:

> 192.168.1/24-Netz, mit dem er WAN-seitig verbunden ist, falsch. Was mich
> allerdings wundert, ist der Umstand, dass der Internetzugriff noch
> funktioniert und nur die Namensauflösung streikt. Das äußert sich darin, dass
> ein aus Netz 0 abgesandter Ping z. B. an heise.de in der Fehlermeldung
> resultiert, dass der Host nicht gefunden wurde, während ein Ping an
> 193.99.144.80 beantwortet wird.

Das ist wirklich seltsam. Vielleicht sucht sich Windows 7 da aber auch 
andere Wege über IPv6 und den eingebauten Tunnel. Bin gespannt, wie sich 
das ganze aufklärt.

> Morgen werde ich Gelegenheit haben, die Sache mal persönlich unter die Lupe zu
> nehmen. Bis dahin müssen die Lehrer und Schüler an besagter Schule noch
> gedulden.

Ich hatte letztens ein ähnliches Problem mit einem TP-Link-Accesspoint, 
allerdings in einer Autowerkstatt und der Untermieter in der oben 
angesiedelten Privatwohnung hat den AP angeschlossen. Da der nicht 
funktioniert hat, hat der Untermieter das Kabel von unten aus WAN 
rausgezogen und mit in eine der LAN-Buchsen seines Routers gesteckt. Die 
Rechner hatten von mir alle feste IP-Adressen bekommen, Bosch-Tester und 
co natürlich nicht...

Bei der Fehlersuche hat mir

http://blog.thecybershadow.net/2013/01/10/dhcp-test-client/

extrem weitergeholfen, nur so als Tip.

Gruß

Daniel

[toc] | [prev] | [next] | [standalone]

#222673

"Daniel Pache" schrieb am 22.09.2015 um 09:29:34:

> Am 21.09.2015 um 18:49 schrieb Michael Landenberger:

>> Morgen werde ich Gelegenheit haben, die Sache mal persönlich unter die Lupe
>> zu nehmen. Bis dahin müssen die Lehrer und Schüler an besagter Schule noch
>> gedulden.

Du hattest recht: der Router, der Netz 0 von Netz 1 trennt, war so
eingestellt, dass er seine WAN-IP dynamisch bezieht. Der amoklaufende
DHCP-Server im Accesspoint kam dem DHCP-Server im Hauptrouter in die Quere und
hat dem Unter-Router eine untaugliche WAN-IP zugewiesen. Warum sich das aber
nur auf die Namensauflösung ausgewirkt hat, konnte ich auf die Schnelle nicht
feststellen. Die Benutzer in Netz 1 hatten deshalb keine Probleme, weil dort
in den meisten Clients die Client-, Gateway- und Nameserver-IPs fest
eingestellt sind.

Jedenfalls ist der DHCP-Server im Accesspoint jetzt wieder deaktiviert und
alles ist gut. Jetzt muss nur noch eine Lösung gefunden werden, dass das nicht
nochmal passiert. Es ist geplant, eine externe Antenne an den Accesspoint
anzuschließen und dann das Gerät selbst für Schüler unzugänglich wegzusperren.

Gruß

Michael

[toc] | [prev] | [next] | [standalone]

#222561

Michael Landenberger in <news:mtpc8s$ri9$1@tota-refugium.de>:

>Was mich
>allerdings wundert, ist der Umstand, dass der Internetzugriff noch
>funktioniert und nur die Namensauflösung streikt.

Also nicht falsches Netz, sondern sich den DNS-Server vom falschen
DHCP-Router übermitteln lassen. Vielleicht in der Konstellation gar
keinen? 

CU!
Ulrich

-- 
Mein Freund ist ein totaler WindowsNT - Fan. Um ihn zu Linux
zu "bekehren" würde ich gerne wissen, wie man WinNT absichtlich
zum Abstürzen bringt! Vielen Dank im voraus für euere Vorschäge.
                                  [Aus einer Linux-Mailingliste]

[toc] | [prev] | [next] | [standalone]

#222521

Am 21.09.2015 um 14:54 schrieb Daniel Pache:
> Ich nehme an, Du hast dem Router in Netz 0 keine feste IP für das
> WAN-Interface gegeben sondern er bezieht diese dynamisch? Vermutlich hat
> er jetzt eine IP vom Accesspoint in Netz 1 erhalten, wenn ich Deine
> Beschreibung richtig interpretiere?

Mein IPCop kriegt seine IP per DHCP aus dem "übergeordneten" Netz, aber 
ich probier das mal mit einer festen IP aus, mal sehen :-)

Jörg

[toc] | [prev] | [next] | [standalone]

#222519

Am 21.09.2015 um 10:10 schrieb Michael Landenberger:
> gegeben sei ein LAN (192.168.1/24, nennen wir es mal Netz 1) an
> einem zentralen Router mit DHCP-Server. Mit diesem LAN ist ein
> weiteres lokales Netz (192.168.0/24, im folgenden Netz 0 genannt)
> über einen zweiten Router verbunden. Der zweite Router wiederum
> spielt auch DHCP-Server für Netz 0, Netz 0 hat also einen eigenen
> DHCP-Server.

Ist ja genial.
Vielen Dank für deine Fehlerbeschreibung, *exakt* das Gleiche habe ich 
hier heute auch erlebt, und verstehe es auch nicht.

Router 1 ist eine FritzBox, 192.168.0.x, und in diesem Netz hängt ein 
IPCop mit seiner roten (also der externen) Schnittstelle, und spannt ein 
weitere eigenes Netz (192.168.100.x) auf.

Nicht sofort, aber nach einer kleinen Weile, funktioniert DNS nicht mehr.
In keinem der beiden Netze.

>  Einige Zeit später klagen Benutzer in Netz 0, dass "das Internet"
> nicht mehr geht. Mir zu Ohren gekommene Indizien sprechen dafür, dass
> ein Zugriff aufs Internet prinzipiell noch möglich ist, die
> Namensauflösung aber nicht mehr funktioniert. Benutzer in Netz 1
> haben dagegen keine Probleme.

Bei mir geht DNS in keinem der beiden Netze.

Ratlos

Jörg

[toc] | [prev] | [next] | [standalone]

#222555

Am 21.09.2015 um 10:10 schrieb Michael Landenberger:
> Hallo,
>
> ich hätte da mal ein Problem:
>
>
> Nun hat irgendein Depp an dem Accesspoint rumgespielt und ihn dabei offenbar
> auf die Werkseinstellungen zurückgesetzt.

Hallo,

gab es da nicht vor kurzem Meldungen daß bestimmte Router starke 
Sicherheitslückene aufweisen und von außen übernommen werden können?


Bernd Mayer

[toc] | [prev] | [next] | [standalone]

#222674

"Bernd Mayer" schrieb am 22.09.2015 um 10:33:19:

> Am 21.09.2015 um 10:10 schrieb Michael Landenberger:

>> Nun hat irgendein Depp an dem Accesspoint rumgespielt und ihn dabei
>> offenbar auf die Werkseinstellungen zurückgesetzt.

> gab es da nicht vor kurzem Meldungen daß bestimmte Router starke
> Sicherheitslückene aufweisen und von außen übernommen werden können?

In diesem Fall wurde der Accesspoint nicht von außen übernommen. Er ist
derzeit noch so montiert, dass jeder dran kann. Vermutlich ist einfach jemand
auf einen Stuhl geklettert und hat mit Hilfe eines Kugelschreibers o. ä. den
Reset-Knopf gedrückt.

Gruß

Michael

[toc] | [prev] | [standalone]

Back to top | Article view | ger.ct

csiph-web