Nach dem Update heute nacht routet mein EF1900 nicht mehr

[rkramer_de]

Hallo,
heute Nacht hat der EF1900 ein Firmwareupdate durchgeführt und danach ging das Routing nicht mehr.

Zur Historie:
2024-09-10 02:40:58;0;5;Running firmware version is 10.80.0741RU7 / 13.08.2024;
2024-09-13 02:31:17;0;5;Running firmware version is 10.80.0742SU8 / 07.09.2024;

Auch ein zurückkehren auf die letzte Firmware hat nicht geholfen.

Erst mit der Firmware

2024-09-13 10:38:08;0;5;Running firmware version is 10.72.0484RU6 / 10.11.2023;

Routet das System wieder. Ist da etwas bekannt, dass die Firmware 10.80 einen Bug hat?

Ergänzung: An dem System ist ein Telekom Router einer Standleitung und der Glasfaserrouter eines lokalen Anbieters (Entega) angeschlossen.

[tbc233]

Was meinst Du mit "Routing ging nicht mehr"?
War das Internet generell weg? Oder meinst Du Routen die Du im Bezug auf Deine (offensichtlich) zwei Internetzugänge eingestellt hast? Oder irgendwelche anderen Routen die Du gebaut hast?

[Ganzfix]

Ein bisschen wenig Infos.
Wie ist das Routing mit den beiden Leitungen konfiguriert? Load-Balancer? Backup-Tabelle verwendet?

[rkramer_de]

Sorry das ich nicht geantwortet habe. Ich hatte die Benachrichtigungen nicht an und nach dem das System mit dem Downgrade wieder lief, waren andere Aufgaben wichtiger. Jetzt möchte ich aber wieder auf die neuere Firmware gehen und deshalb das Problem verstehen und lösen.

Zu dem Problem:
Ich habe mehrer Zugänge über Glasfaser. Nach dem Update hat der Router keine Daten mehr aus dem internen Netz nach aussen geroutet.
Es ist kein Loadbalancer oder sonstiges aktiv. Die Pakete werden bei getagged und dann auf die entsprechende Schnittstelle geroutet.

Ich habe noch einen Verdacht: In der internen Netzwerktabelle ist ein Eintrag mit einer 255.255.252.0 Netzwerkmaske, der die IP-Bereiche 192.168.116.0 bis 192.168.119.0 umfassen soll.

Netztabelle.jpg

Vielleicht hat der Router mit der Netzwerkmaske Probleme und stellt das routen ein?
Die Bereiche 117, 118 und 119 sind ja jeweils nochmals getrennt definiert.

Wir haben das Problem erst mal so gelöst, dass wir auf die alte Firmware zurückgegangen sind.

Vielen Dank für eure Hilfe

[Dr.Einstein]

Verstehe den Sinn deiner Konfig nicht. Alle Netze ohne Trennung (im selben Routing Tag) in der selben Broadcastdomain, und dann noch Überschneidungen der Netze anhand der Subnetmaske. 192.168.117.206 + 192.168.118.206 + 192.168.119.206 solltest du eher als Loopbackadressen eintragen, als als echte angelegte Netze.

Vielleicht erklärst du einmal, wieso die Konfiguration so aussieht, wie sie aussieht.

Und "Routing ging nicht mehr" lässt sich eigentlich leicht prüfen: Via SSH auf den Router einloggen, trace # ip-router @ <Ziel-IP> , dann einen Ping auf die Ziel IP absetzen und schauen, was der Trace ausgibt. Ich tippe auf sowas wie No Backroute.

[rkramer_de]

Das gnze ist evolutionär gewachsen und ich bin auch von vielem nicht der Autor. Ich probier mal eine Erklärung:

1. im 116 Netz sind die festen IPs, wie z.B. Drucker
2. Im 117er Subnetz sind die Rechner, die per DHCP ihre Adressen bekommen.
3. Im 118er Subnetz sind die Telefone
4. Das 119er Netz wird für diverses verwendet.

Damit ein PC im 117er Netz in alle Teilnetze ohne Router kommunizieren kann, wurde die Netzmaske auf die 255.255.252.0 gesetzt.

Früher hatten wir nur einen CompanyConnect-Anschluß, über den der gesamte Datenverkehr lieft. Die 100MBit sind aber langsam zu wenig geworden, sodaß wir noch zwei weitere Glasfaseranschlüsse für die Redundanz und Performance integriert haben. Wir taggen die entsprechenden IP-Adressen in der Firwall und im Router gibt es Regeln, die entsprechend des Tags auf eine der externen Leitungen routet. Auf einen der schnellen Zugänge werden z.B. alle PC geroutet. Sollte ein Internetzugang ausfallen, wird manuell umgeschaltet.

Die weiteren Netzeinträge wurden wahrscheinlich deshalb integriert, damit der Router von jedem Subsegment mit einer IP in dem Subsegment aus erreichbar sein soll.

[lna]

@rkramer_de

Das sieht für mich aus als wäre das ursprüngliche segment zu klein gewesen und dann eine erweiterung auf ein größeres Subnetz gemacht worden.
Der Plan ist dann aber nicht aufgeschrieben und nicht konsequent verfolgt worden, sodass daraus ganz viele Notlösungen geworden sind.
Bevor du irgendwas aktualisierst sollte hier dringend aufgeräumt werden - mich wundert, dass es mit der alten Version klappt.
Ich fürchte aber dass das Aufräumen nicht so leicht wird und kann mir gut vorstellen, dass Manche Endgeräte mit einer /22 Maske und der 116.206 als Gateway unterwegs sind, während andere Geräte mit /24 und dem jeweiligen Gateway arbeiten.

Das Aufräumen ist also Mehrschrittig und abhängig davon welches Ziel du verfolgst.

Im Moment ist alles im selben L2-Segment, durch ändern der IP kann ich andere Geräte direkt ansprechen, kein Sicherheitsanspruch.

Option 1: Netztrennung durchsetzen

1. Alle IP Endgeräte (DHCP ist einfach, danach wird es müßig) durchgehen und auf /24 + das korrekte Gateway einstellen
2. im Router die /22 IP auf /24 umstellen
3. VLAN-Struktur einführen, auf Router und Switches umsetzen (größere Downtime erforderlich)

Option 2: alles egal, Hauptsache viele IPs im großen Netz:

1. Alle IP Endgeräte (DHCP ist einfach, danach wird es müßig) durchgehen und auf /22 + das korrekte Gateway (192.168.116.206) einstellen
2. im Router alle /24 IPs auf LAN-1 löschen