DMZ wird "mitmaskiert" obwohl...

[Koppelfeld]

... In der Routingtabelle steht, "Nur Inter,net maskieren".

7.100+, Version 9.20 Rel.
Hat jemand eine Lösung ?

[maiki]

schon einmal die 9.20RU1 ausprobiert ?

Grüße

Maik

[Koppelfeld]

schon einmal die 9.20RU1 ausprobiert ?

Ja, am Sonntag installiert. Keine Änderung.

[stefanbunzel]

Hallo Koppelfeld,

könntest du bitte mal den kompletten Inhalt der Routing-Tabelle hier posten? Dann könnte man ggf. sehen, wo es hakt.

Viele Grüße,
Stefan

[Koppelfeld]

Moinsen,

könntest du bitte mal den kompletten Inhalt der Routing-Tabelle hier posten? Dann könnte man ggf. sehen, wo es hakt.

Kein Problem:

Code: Alles auswählen

root@CRHALLE:/Setup/IP-Router
> list IP-Routing-Table/

IP-Address       IP-Netmask       Rtg-tag  Peer-or-IP        Distance  Masquerade  Active   Comment                                                         
===========================================-----------------------------------------------------------------------------------------------------------------
192.168.50.0     255.255.255.0    0        TRLAGE            0         No          Yes      VPN -> LAGE - TELEPHON / SYMMTRISCH                             
192.168.51.0     255.255.255.0    0        TRLAGE            0         No          Yes      LAGE - Surfparadies                                             
192.168.52.0     255.255.255.0    0        TRLAGE            0         No          Yes      VPN -> LAGE-TEAM                                                
192.168.60.0     255.255.255.0    0        TRLAGE            0         No          Yes      VPN->Lage (Terminals)                                           
192.168.117.0    255.255.255.0    0        UIX-CR0           0         No          Yes                                                                      
192.168.132.0    255.255.255.0    0        COROS             0         No          Yes                                                                      
192.168.136.0    255.255.255.0    0        CBHOME            0         No          Yes                                                                      
192.168.137.0    255.255.255.0    0        GROEMITZ          0         No          Yes                                                                      
192.168.0.0      255.255.0.0      0        0.0.0.0           0         No          Yes      block private networks: 192.168.x.y                             
172.16.0.0       255.240.0.0      0        0.0.0.0           0         No          Yes      block private networks: 172.16-31.x.y                           
10.0.0.0         255.0.0.0        0        0.0.0.0           0         No          Yes      block private network: 10.x.y.z                                 
224.0.0.0        224.0.0.0        0        0.0.0.0           0         No          Yes      block multicasts: 224-255.x.y.z                                 
255.255.255.255  0.0.0.0          13       PORNO_QSL         0         intranet    Yes      Testumgebung Super-Mario                                        
255.255.255.255  0.0.0.0          11       PORNO_QSL         0         intranet    Yes      Webradio                                                        
255.255.255.255  0.0.0.0          8        BITEL             0         on          Yes      Reservebetrieb TK-Anlage                                        
255.255.255.255  0.0.0.0          6        BITEL             0         intranet    Yes      VPN + DIAL-IN                                                   
255.255.255.255  0.0.0.0          5        PORNO_QSL         0         intranet    Yes      Wartung-VPN                                        
255.255.255.255  0.0.0.0          4        BITEL             0         intranet    Yes      VPN-Gateway                                                     
255.255.255.255  0.0.0.0          0        BITEL             0         intranet    Yes      DFLT             

Einschlägig ist die Default-Route.
Die Netzwerke sind:

Code: Alles auswählen

root@CRHALLE:/Setup/TCP-IP
> list Network-list/

Network-name      IP-Address       IP-Netmask       VLAN-ID  Interface           Src-check      Type      Rtg-tag  Comment                                                         
==================-----------------------------------------------------------------------------------------------------------------------------------------------------------------
INTRANET          192.168.140.252  255.255.254.0    0        LAN-1               strict         Intranet  0        local intranet                                                  
WEBDMZ            xx.xx.xx.210     255.255.255.240  20       LAN-1               strict         DMZ       0        WEB-DMZ                             

Ein Host mit der Adresse xx.xx.xx.217 und Gateway xx.xx.xx.210 landet aber zuverlässig als xx.xx.xx.210 bei einer beliebigen Gegenstelle an.

Ich kriege die Motten.
Als nächstes bewege ich meinen Hintern dorthin und ersetze das VLAN durch einen "echten" Ethernetport.
Nicht lachen, ich habe da so meine Erfahrungen.

[stefanbunzel]

Hallo Koppelfeld,

wenn ich mich nicht irre, dann liegt der Fehler darin, dass du die Gegenstelle "BITEL" in der Routing-Tabelle einmal "maskiert" und einmal "nur intranet maskieren" drin stehen hast. Ich bilde mir ein, dass das LCOS das so nicht verabarbeiten kann.
Das LCOS liest einmal die Routing-Tabelle und sieht die maskierte Option zur Gegenstelle "BITEL" und maskiert dann sämtliche Verbindungen darüber. Daran habe ich mir auch schon einmal die Zähne ausgebissen und zig Stunden mit Analysieren verbracht...

Bitte deaktiviere oder lösche mal zum Testen diese eine maskierte Route. Dann müsste es nach einmaliger Trennung der Verbundung (hoffentlich) gehen.

Viele Grüße,
Stefan

[Koppelfeld]

Hallo Stefan !

wenn ich mich nicht irre, dann liegt der Fehler darin, dass du die Gegenstelle "BITEL" in der Routing-Tabelle einmal "maskiert" und einmal "nur intranet maskieren" drin stehen hast. Ich bilde mir ein, dass das LCOS das so nicht verabarbeiten kann.

Erstmal: Vielen Dank !
Und ja: Da war doch etwas ...
Auf jeden Fall kann man sicher ein Routing-Tag nur einmal innerhalb der Routing-Tabelle verwenden, das habe ich schon auf die harte Tour gelernt.
Eine Alternativkonfiguration für BITEL ist denkbar. Die bereite ich vor und schalte sie heute abend ein.

Gruß Hans

[Koppelfeld]

Hallo Stefan !

wenn ich mich nicht irre, dann liegt der Fehler darin, dass du die Gegenstelle "BITEL" in der Routing-Tabelle einmal "maskiert" und einmal "nur intranet maskieren" drin stehen hast. Ich bilde mir ein, dass das LCOS das so nicht verabarbeiten kann.

...
Eine Alternativkonfiguration für BITEL ist denkbar. Die bereite ich vor und schalte sie heute abend ein.

Mich laust der Affe.
Es ist genau so, wie Du sagst: "Mischbetrieb" einer Gegenstelle mit unterschiedlichen Maskierungsmodi ist nicht möglich.

Vielen Dank. Da hast Du mir sauber aus der Patsche geholfen.

Gruß Hans

[Jirka]

Hallo mein lieber Koppelfeld,

also das hätte ich jetzt nicht von Dir erwartet...
Ich habe mich nicht getraut, das zu schreiben, was Stefan geschrieben hat, weil ich schlicht und einfach davon ausgegangen bin, dass Du das nun verinnerlicht haben solltest. Immerhin entschuldigst Du Dich mit dem Satz "Und ja: Da war doch etwas ...".
Also hier noch mal zum mitschreiben, Backslash hatte es so schön erklärt: http://www.lancom-forum.de/aktuelle-lan ... tml#p84710

Viele Grüße,
Jirka

[Koppelfeld]

Moin Jirka,

also das hätte ich jetzt nicht von Dir erwartet...
Backslash hatte es so schön erklärt: http://www.lancom-forum.de/aktuelle-lan ... tml#p84710

50+, muß ich mehr sagen ?
Genau dieses Posting von Backslash hatte ich in Erinnerung, aber falsch.

Trotzdem ist das eine gefährliche Falle. Es wäre schön, wenn dan die Maskierungsregeln der Gegenstelle zugeordnet würden.

Trotzdem allen Beteiligten vielen Dank -- ich wische jetzt 'mal den Kalk vom Schreibtisch, der mir gerade vom Kopf gerieselt ist.

[stefanbunzel]

Hallo Jirka, Koppelfeld und Backslash,

diese Maskierungs-Option in der Routing-Tabelle nervt mich aber auch schon seit Jahren! Ganz ehrlich gesagt, ist die dort komplett unbrauchbar und vom Lancom-Entwickler der ersten Stunde falsch platziert. Man kann diese Option für beliebige Routen an beliebige "Router" setzen, bei denen sie einfach nicht greift, da die Maskierung nur bei "Gegenstellen" funktioniert. Und dann auch noch die Besonderheit, dass man ja in der Routing-Tabelle mehrere Routen zu einer Gegenstelle eintragen kann, aber die Maskierungs-Option dann von der ersten Route genommen wird.

Meine große Bitte an Lancom (in der Hoffnung, dass das einer der zuständigen Entwickler / PM hier liest), wie auch eben fast zeitgleich von Koppelfeld geäußert: Bitte verschiebt den Konfigurations-Schalter "Maskierung" aus der Routing-Tabelle in die Gegenstellen-Tabelle, so dass diese Option alleine an eine Gegenstelle und nicht an Routen gebunden ist. Das würde solche Fragen und Probleme dann sicher vermeiden - und wäre auch logisch nachvollziehbar.

Viele Grüße,
Stefan