Routing Problem -> grosse Ratlosigkeit...

wohlzudoof · Beitrag von **wohlzudoof** » 18 Mär 2011, 11:39

Hallo zusammen,

ich habe über einen 1711 einige Außenstellen angeschlossen. Klappt alles wunderbar. Nun habe ich vor kurzem einen 1811N per VPN angebunden.
Der 1711 hat das Netzwerk 192.168.1.x, der 1811N 192.168.3.x
Der 1711 hat die Adresse 192.168.1.111, der 1811N die 192.168.3.1.
Ich erreiche von beiden Seiten alle Rechner problemlos. Das einzige, was nicht funktioniert, ist den 1811N von der 1711 Seite aus zu erreichen.
Unter 192.168.3.1:80 meldet sich der 1711 statt 1811N. Auch wenn ich mich versuche per SSH einzuloggen.
Wenn ich ein Trace vom IP-Routing zur 1811N-Gegenstelle (AGAPI) mache, dann wird es ganz merkwürdig:
Ein Ping auf eine andere Station im 3er Subnetz
Ausgabe Konsole:

Code: Alles auswählen

 ping 192.168.3.2
PING 192.168.3.2 (192.168.3.2): 56 data bytes
64 bytes from 192.168.3.2: icmp_seq=0 ttl=62 time=70.171 ms
64 bytes from 192.168.3.2: icmp_seq=1 ttl=62 time=67.708 ms
64 bytes from 192.168.3.2: icmp_seq=2 ttl=62 time=68.077 ms

Ausgabe Trace:

Code: Alles auswählen

[IP-Router] 2011/03/18 11:14:03,620
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0): 
DstIP: 192.168.3.2, SrcIP: 192.168.1.31, Len: 84, TOS: ----
Prot.: ICMP (1), echo request, id: 0x8b05, seq: 0x0000
Route: WAN Tx (AGAPI)

[IP-Router] 2011/03/18 11:14:03,690
IP-Router Rx (AGAPI, RtgTag: 0): 
DstIP: 192.168.1.31, SrcIP: 192.168.3.2, Len: 84, TOS: ----
Prot.: ICMP (1), echo reply, id: 0x8b05, seq: 0x0000
Route: LAN-1 Tx (INTRANET): 

[IP-Router] 2011/03/18 11:14:04,620
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0): 
DstIP: 192.168.3.2, SrcIP: 192.168.1.31, Len: 84, TOS: ----
Prot.: ICMP (1), echo request, id: 0x8b05, seq: 0x0001
Route: WAN Tx (AGAPI)

[IP-Router] 2011/03/18 11:14:04,690
IP-Router Rx (AGAPI, RtgTag: 0): 
DstIP: 192.168.1.31, SrcIP: 192.168.3.2, Len: 84, TOS: ----
Prot.: ICMP (1), echo reply, id: 0x8b05, seq: 0x0001
Route: LAN-1 Tx (INTRANET): 

[IP-Router] 2011/03/18 11:14:05,620
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0): 
DstIP: 192.168.3.2, SrcIP: 192.168.1.31, Len: 84, TOS: ----
Prot.: ICMP (1), echo request, id: 0x8b05, seq: 0x0002
Route: WAN Tx (AGAPI)

[IP-Router] 2011/03/18 11:14:05,690
IP-Router Rx (AGAPI, RtgTag: 0): 
DstIP: 192.168.1.31, SrcIP: 192.168.3.2, Len: 84, TOS: ----
Prot.: ICMP (1), echo reply, id: 0x8b05, seq: 0x0002
Route: LAN-1 Tx (INTRANET):

Soweit so gut.
Ping auf den 1811N:

Code: Alles auswählen

ping 192.168.3.1
PING 192.168.3.1 (192.168.3.1): 56 data bytes
Request timeout for icmp_seq 0
Request timeout for icmp_seq 1
Request timeout for icmp_seq 2

Traceausgabe:

Code: Alles auswählen

[IP-Router] 2011/03/18 11:15:34,150
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0): 
DstIP: 192.168.3.1, SrcIP: 192.168.1.31, Len: 84, TOS: ----
Prot.: ICMP (1), echo request, id: 0x9305, seq: 0x0000
Route: WAN Tx (AGAPI)

[IP-Router] 2011/03/18 11:15:35,150
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0): 
DstIP: 192.168.3.1, SrcIP: 192.168.1.31, Len: 84, TOS: ----
Prot.: ICMP (1), echo request, id: 0x9305, seq: 0x0001
Route: WAN Tx (AGAPI)

[IP-Router] 2011/03/18 11:15:36,150
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0): 
DstIP: 192.168.3.1, SrcIP: 192.168.1.31, Len: 84, TOS: ----
Prot.: ICMP (1), echo request, id: 0x9305, seq: 0x0002
Route: WAN Tx (AGAPI)

[IP-Router] 2011/03/18 11:15:37,150
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0): 
DstIP: 192.168.3.1, SrcIP: 192.168.1.31, Len: 84, TOS: ----
Prot.: ICMP (1), echo request, id: 0x9305, seq: 0x0003
Route: WAN Tx (AGAPI)

Es kommt keine Antwort vom 3.1.
Ping auf 1711 gibt normale Ergebnisse (ICMP ist nicht gesperrt).
Ich betreibe im 1711er Subnetz(x.1.x) einen Win2008 DNS. Dort ist eine Weiterleitung für Anfragen auf das 1811N Netz (*.agapi.intra) eingerichtet.
Wenn ich nun eine DNS Abfrage für eine Station im x.3.x Netz sende, passiert folgendes:

Code: Alles auswählen

dig onkel.agapi.intra

; <<>> DiG 9.6.0-APPLE-P2 <<>> onkel.agapi.intra
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 26665
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;onkel.agapi.intra.             IN      A

;; Query time: 4666 msec
;; SERVER: 192.168.1.112#53(192.168.1.112)
;; WHEN: Fri Mar 18 11:22:36 2011
;; MSG SIZE  rcvd: 35

Auf der Trace Seite:

Code: Alles auswählen

[IP-Router] 2011/03/18 11:22:26,700
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0): 
DstIP: 192.168.3.1, SrcIP: 192.168.1.112, Len: 74, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 54419
Route: WAN Tx (AGAPI)

[IP-Router] 2011/03/18 11:22:26,710
IP-Router Rx (AGAPI, RtgTag: 0): 
DstIP: 213.191.92.82, SrcIP: 92.224.64.XX, Len: 74, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 58699
Filter (Port)

Der Win2008 Server (112) will richtigerweise bei der 3.1. anfragen, kriegt aber keine Antwort. Dann versucht er die Anfrage an den Hansenet DNS (213.191.92.82) zu stellen (92.xx ist unsere WAN-IP), allerdings geht die Anfrage auch über die AGAPI Route! Das führt dazu, daß die Firewall vom 1711 den WinServer sperrt (IDS).
Wenn ich die DNS-Abfrage direkt an den 3.1. Router stelle (dig onkel.agapi.intra @192.168.3.1), passiert folgendes:

Code: Alles auswählen

[IP-Router] 2011/03/18 11:29:47,000
IP-Router Rx (LAN-1, INTRANET, RtgTag: 0): 
DstIP: 192.168.3.1, SrcIP: 192.168.1.31, Len: 63, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 63380
Route: WAN Tx (AGAPI)

[IP-Router] 2011/03/18 11:29:47,000
IP-Router Rx (AGAPI, RtgTag: 0): 
DstIP: 192.168.1.112, SrcIP: 192.168.1.111, Len: 63, TOS: ----
Prot.: UDP (17), DstPort: 53, SrcPort: 58914
Filter (Port)

Die Anfrage geht zum 1811 Router, es kommt nichts zurück, dann sendet der 1711 (x.1.111) eine Anfrage zum Win2008 Server (112), allerdings wieder über die AGAPI Route. Dann wird mein Rechner vom 1711 gesperrt und es kommt ein IDS Alarm...

Ich habe im 1711 KEINE Loopback Adressen konfiguriert und auch nichts anderes gemacht, als bei den anderen Gegenstellen.
Hat irgendjemand eine Idee, woran es liegen könnte?

Welche Router-Config-Infos soll ich hier sinnvollerweise posten, um das Problem einzugrenzen?

Danke für Eure Hilfe, Rado

wohlzudoof · Beitrag von **wohlzudoof** » 22 Mär 2011, 09:30

Nicht mal eine Mini-Idee?

DimiR · Beitrag von **DimiR** » 28 Mär 2011, 12:08

Die Netze haben ja je eine 24-er Subnetmask, oder ?
wie sehen die Routing Tabellen auf beiden Geräten aus? (ls /Status/IP-Router/Act.-IP-Routing-Tab)

Wie ist die Firewall auf dem 1811-er eingerichtet?