Probleme mit Internetzugriff bei Netztrennung mittels ARF

jwiesenberger · Beitrag von **jwiesenberger** » 06 Jan 2013, 23:01

Hallo,

ich habe mich zur Einrichtung von zwei lokalen Netzen auf einem Lancom 1823 VoIP an der Anleitung http://www2.lancom.de/kb.nsf/bf0ed2a4d2 ... enDocument orientiert.

Netz 1 entspricht dem standardmäßig vorhandenen INTRANET und ist über BRG-1 (ETH1, WLAN-1) erreichbar, Netz 2 soll nur über WLAN-1-3 (BRG-3) erreichbar sein und ausschließlich dem Internetzugang dienen.

Der Zugang zum Internet über Netz 1 funktioniert einwandfrei, über Netz 2 ist kein Zugang zum Internet möglich, die Verbindung eines WLAN-Clients mit dem zugehörigen WLAN-1-3 klappt aber problemlos.

Wahrscheinlich habe ich irgendwo einen Denkfehler, aber ich habe sowohl das Forum abgesucht, als auch meine Konfiguration gemäß der Anleitung überprüft... ich finde den Grund nicht.

Allen Anschein nach, wird die Default-Route ins Internet für das mit Schnittstellentag 1 versehene Netz 2 nicht verwendet, obwohl in der Anleitung folgender Hinweis steht: "Eine Defaultroute mit dem Routing-Tag 0 kann von allen Netzen als Verbindung genutzt werden."

Anbei hier die entsprechenden Tabellen:

Setup/TCP-IP/Netzliste

Netzwerkname IP-Adresse IP-Netzmaske VLAN-ID Interface Quellpruefung Typ Rtg-Tag Kommentar
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------
INTRANET 172.25.10.254 255.255.255.0 0 BRG-1 locker Intranet 0 local intranet

DMZ 0.0.0.0 255.255.255.0 0 beliebig locker DMZ 0 demilitarized zone

GAST 192.168.1.254 255.255.255.0 0 BRG-3 locker Intranet 1

/Setup/IP-Router/IP-Routing-Tabelle

IP-Adresse IP-Netzmaske Rtg-Tag Peer-oder-IP Distanz Maskierung Aktiv Kommentar
------------------------------------------------------------------------------------------------------------------------------------------------------------
172.25.10.2 255.255.255.255 0 MPS_VPN 0 nein ja

172.25.10.3 255.255.255.255 0 VPN_TABLET 0 nein ja

172.25.10.98 255.255.255.255 0 SIGR 0 nein ja Einw. analog

172.25.10.99 255.255.255.255 0 JAWI 0 nein ja Einw. analog

172.25.20.0 255.255.255.0 0 WROUTER2 0 nein ja

192.168.0.0 255.255.0.0 0 0.0.0.0 0 nein ja block private networks: 192.168.x.y

172.16.0.0 255.240.0.0 0 0.0.0.0 0 nein ja block private networks: 172.16-31.x.y

10.0.0.0 255.0.0.0 0 0.0.0.0 0 nein ja block private network: 10.x.y.z

224.0.0.0 224.0.0.0 0 0.0.0.0 0 nein ja block multicasts: 224-255.x.y.z

255.255.255.255 0.0.0.0 0 T-DSLBIZ 0 Ein ja

/Setup/DHCP/Netzliste

Netzwerkname Start-Adress-Pool Ende-Adress-Pool Netz-Maske Broadcast-Adresse Gateway-Adresse DNS-Default DNS-Backup NBNS-Default NBNS-Backup Aktiv Broadcast-Bit Master-Server 2ter-Master-Server 3ter-Master-Server 4ter-Master-Server Cache Anpassung Cluster
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
INTRANET 172.25.10.100 172.25.10.180 255.255.255.0 0.0.0.0 172.25.10.254 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 ja nein 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 nein nein nein

GAST 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 ja nein 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0 nein nein nein

Außerdem ist noch WLAN-1-3 BRG-3 zugeordnet, die restlichen Schnittstellen sind alle BRG-1 zugeordnet.

In der Firewall existiert aus meiner Sicht keine Regel, die ein Routing von Netz 2 ins Internet verhindert.

Als verwunderliche Beobachtung habe ich noch festgestellt, wenn man in der Routingtabelle die Routing-Regel "block private networks: 192.168.x.y" abschaltet, klappt alles - nur aus meiner Sicht werden dann interne Routingpakete ans WAN weitergeleitet, was ja nicht der Sinn der Sache ist.

Ich bedanke mich ganz herzlich für einen Hinweis!

Viele Grüße!

backslash · Beitrag von **backslash** » 07 Jan 2013, 18:32

Hi jwiesenberger

eigentlich sollte das so funktionieren...

was sagen denn ein IP-Router- und ein Firewall-Trace dazu? (per Telnet auf das Gerät und trace # ip-router firewall eingeben und aus dem GAST-Netz danach auf's Internet zugreifen - aber bitte ohne anderen Traffic)

Gruß
Backslash

jwiesenberger · Beitrag von **jwiesenberger** » 08 Jan 2013, 04:10

Hallo backslash,

danke für Deine Antwort, hier anbei das Ergebniss des Trace:

[Firewall] 2013/01/08 04:01:26,417
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27610

[IP-Router] 2013/01/08 04:01:26,417
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27610
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:26,606
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27757

[IP-Router] 2013/01/08 04:01:26,606
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27757
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:26,866
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 20169

[IP-Router] 2013/01/08 04:01:26,866
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 20169
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:27,045
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 58254

[IP-Router] 2013/01/08 04:01:27,045
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 58254
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:27,340
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 20666

[IP-Router] 2013/01/08 04:01:27,340
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 20666
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:27,607
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 25336

[IP-Router] 2013/01/08 04:01:27,607
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 25336
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:28,077
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 14909

[IP-Router] 2013/01/08 04:01:28,076
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 14909
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:28,100
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 43585

[IP-Router] 2013/01/08 04:01:28,100
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 43585
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:31,419
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 32750

[IP-Router] 2013/01/08 04:01:31,419
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 32750
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:31,614
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 32835

[IP-Router] 2013/01/08 04:01:31,614
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 32835
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:31,876
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 26847

[IP-Router] 2013/01/08 04:01:31,875
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 26847
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:32,050
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 61267

[IP-Router] 2013/01/08 04:01:32,050
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 61267
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:32,350
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27791

[IP-Router] 2013/01/08 04:01:32,350
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27791
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:32,615
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 32847

[IP-Router] 2013/01/08 04:01:32,615
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 32847
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:33,086
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 21580

[IP-Router] 2013/01/08 04:01:33,086
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 21580
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:33,105
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 47932

[IP-Router] 2013/01/08 04:01:33,105
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.254, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 47932
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:36,426
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27610

[IP-Router] 2013/01/08 04:01:36,426
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 60, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27610
Network unreachable (no route) => Discard

[Firewall] 2013/01/08 04:01:36,618
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27757

[IP-Router] 2013/01/08 04:01:36,618
IP-Router Rx (WLAN-1-3, GAST, RtgTag: 1):
DstIP: 172.25.10.210, SrcIP: 192.168.1.29, Len: 61, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 27757
Network unreachable (no route) => Discard

Danke für einen entsprechenden Tipp, viele Grüße

jwiesenberger

jwiesenberger · Beitrag von **jwiesenberger** » 09 Jan 2013, 10:32

Hallo zusammen,

das Problem hat sich gelöst - Trace anschauen und die zugewiesenen DHCP-Daten genau betrachten hilft. Per DHCP wurde nämlich immer der falsche DNS-Server zugewiesen, nur das Standardgateway war korrekt.

In der LANConfig-Registerkarte waren bei den TCP/IP-Einstellungen in der Registerkarte Adressen außer dem IP-Adressbereich für RAS-Zugänge auch noch DHCP-Einstellungen für DNS und NBNS angegeben. Die Daten stammten aus alten immer weiter übernommemen Konfigurationsdaten (als die Router noch keine unterschiedlichen DHCP-Server-Konfigurationen verwalten konnten) und wurden wohl vom Router grundsätzlich als DHCP-Daten verwendet, unabhängig, welche speziellen netzspezifischen DHCP-Daten unter TCP/IP-Einstellungen -> DHCP -> DHCP-Netzwerke konfiguriert sind. Falls ich die Sache hier falsch darstelle, bitte ich um eine Korrektur.

Auf jeden Fall funktioniert nach dem Entfernen der Einträge unter TCP/IP -> Adressen (für DNS und NBNS) die Zuweisung der netzspezifisch konfigurierten DHCP-Daten an das separate Netz einwandfrei, das Routing für das separate Netzt klappt dadaurch auch.

Viele Grüße

LANCOM-Forum.de

Probleme mit Internetzugriff bei Netztrennung mittels ARF

Probleme mit Internetzugriff bei Netztrennung mittels ARF

Problem gelöst