Probleme mit FW 6.22 Rogue AP/Client Detection

Forum zu den aktuellen LANCOM Wireless Accesspoint Serien

Moderator: Lancom-Systems Moderatoren

Antworten
Benutzeravatar
stefanbunzel
Beiträge: 1405
Registriert: 03 Feb 2006, 13:30
Wohnort: endlich VDSL-250

Probleme mit FW 6.22 Rogue AP/Client Detection

Beitrag von stefanbunzel »

Hallo Leute,

habe gestern FW 6.22 auf 9 Lancoms aufgespielt. Insbesondere die neue Rogue AP/Client Detection-Funktion hatte mich interessiert. Doch dann kamen die Probleme...

Zu meinem W-LAN: L-1811 (Gateway) ... (5-GHz-P2P) ... L-54ag - L-54g ... (2,4-Ghz-P2MP) ... 6 x HotSpot's L-54g

Die "HotSpots" sind zum Teil wieder hinter weiteren L-54g verteilt.

Zum Problem: Nach dem Einspielen der Firmware habe ich das "Background-Scan-Intervall" auf 600 Sekunden (10 Minuten) gestellt und das mehr oder weniger gleichzeitig auf allen AP's konfiguriert. Das Ergebnis: Alle AP's haben wie wild angefangen zu scannen und nichts ging mehr im W-LAN. Es kam dann noch schlimmer: Das Aufspielen der Config über W-LAN (P2MP) auf den entferntesten AP'S wurde somit gestört, so dass dort nur Müll ankam und die AP's nicht mehr erreichbar waren. Auf zwei Geräten war die Config derart zerstört, dass nur ein Zurücksetzen des Gerätes und Einspielen der Config über Kabel das Gerät wieder zum Leben erweckte.

Das nächste Problem war dann, dass im Betrieb mit FW 6.22 ständig die P2MP-Verbindungen gekappt und wieder neu aufgebaut wurden. Bei 9 AP's und je 10 Minuten Scanintervall waren die Strecken also im Minuten-Rhythmus gestört und ein effektives Arbeiten der W-LAN-Clients (Surfen, Telefonieren, Download) im Internet kaum mehr möglich.

Ist das so gewollt? Könnte der Scan nicht automatisch dann erfolgen, wenn gerade kein Client am AP eingebucht ist oder zu einer frei definierbaren Uhrzeit? Könnte ein Scan bei geöffneter Config bzw. beim Schreiben der Config verhindert werden? Könnte man den Scan nicht auch auf Anforderung (Mausklick im WLANmonitor) ausführen?

Bedeutet der Scan immer eine komplette Unterbrechung des Funkverkehrs?

Habe jetzt Scanintervall auf 24 Stunden gestellt, so dass die Störung (hoffentlich) nur einmal täglich auftritt - damit ist sie aber auch nicht mehr effektiv...

Habt ihr noch bessere Ideen oder Vorschläge dazu?

Stefan
GS-2326, 1783VAW, R883VAW, 1781A, 831A, 1781EF+, L-452agn, L-32x, L-54(ag/dual), 1711(+), 1511, 821(+), 3850, 3050, IL-11/2, VP-100 ..., Optionen: CF, PS, WLC
LCS WLAN
Benutzeravatar
alf29
Moderator
Moderator
Beiträge: 6207
Registriert: 07 Nov 2004, 19:33
Wohnort: Aachen
Kontaktdaten:

Beitrag von alf29 »

Moin,

Bitte definiere 'wild scannen'. Wie willst Du das festgestellt haben? Und Konfigs können
auch nicht an sich zerstört sein, das ist exakt ein Wert, der dafür umgestellt wird.

Das Scan-Intervall zeigt an, alle wieviel Sekunden jeder Kanal aus dem gegebenen Band
gescannt werden soll. Bei 5 GHz im oberen Band (11 Kanäle) und einem Intervall von
600 Sekunden wird durch das Background-Scanning also etwa alle 55 Sekunden ein
einzelner Scan angestoßen, und jeder von denen dauert nur ca. 32 Millisekunden - und
sie sind explizit so ausgelegt, daß kein einziges Beacon auf AP-Seite verloren geht.
Das Aufspielen der Config über W-LAN (P2MP) auf den entferntesten AP'S wurde somit gestört, so dass dort nur Müll ankam und die AP's nicht mehr erreichbar waren.
Könntest Du das bitte auch mal etwas näher beschreiben? Wie sah denn dieser 'Müll'
aus?
Ist das so gewollt? Könnte der Scan nicht automatisch dann erfolgen, wenn gerade kein Client am AP eingebucht ist oder zu einer frei definierbaren Uhrzeit?
Das würde keinen Sinn ergeben, Sinn der Rogue AP Detection ist ja gerade eine
kontinuierliche Überwachung.
Könnte ein Scan bei geöffneter Config bzw. beim Schreiben der Config verhindert werden? Könnte man den Scan nicht auch auf Anforderung (Mausklick im WLANmonitor) ausführen?
Das Schreiben der Konfig passiert über TCP oder TFTP, und beides sind Protokolle, die
gegen einzelne Paketverluste gesichert sind.
Bedeutet der Scan immer eine komplette Unterbrechung des Funkverkehrs?
Für die oben genannte Zeit, ja. der AP schickt bei eingebuchten Clients ein CTS, das
verhindert, daß die Clients in dieser Zeit ein Paket schicken, das der AP nicht empfangen
könnte.
Habt ihr noch bessere Ideen oder Vorschläge dazu?
Deine Problembeschreibung ist mir ehrlich gesagt völlig unplausibel...

Gruß Alfred
“There is no death, there is just a change of our cosmic address."
-- Edgar Froese, 1944 - 2015
marc b
Beiträge: 463
Registriert: 16 Dez 2004, 19:31
Kontaktdaten:

Beitrag von marc b »

Moin,

also ich kann beobachten das einige Hardware Clients, wie WET11 oder DWL-810 mit der 6.22 auf den L-54g und L-54ag beim Scannen den Accesspoint nciht mehr finden. Will also sagen, das die User beim Einrichten ihres Clients meine Sender nciht mehr sehen können. SSID Broadcast ist aktiv und mit einer Wlankarte geht es auch, aber nicht mit den Hardwareclients. Mit 5.08 war alles i.O.

Marc
>150 Wlan Geräte für den Backbone im Einsatz. Einige Server für die User-Einwahl via PPPoE. LWL-Standleitung als Uplink...>500 Kundenclients. >10TB je Monat Traffic u.s.w. Wlan-Link von 100m bis 15km Entferung.
Benutzeravatar
stefanbunzel
Beiträge: 1405
Registriert: 03 Feb 2006, 13:30
Wohnort: endlich VDSL-250

Beitrag von stefanbunzel »

Hallo alf29,

nach dem Einspielen der Konfigs über W-LAN auf die AP's waren alle "logischen WLAN-Einstellungen" auf Standardwerte, also SSID "LANCOM" gesetzt. Dadurch konnte danach auch keine P2MP-Verbindung mehr funktionieren... Es war aber auch kein Login über WLAN möglich (WEP128 - lt. Handbuch).

Beim Einspielen der Konfig mit LANconfig verharrte der Verlauf bei ca. 60% und brach dann nach längerem Verharren mit einer Fehlermeldung ab, dass das Gerät nicht mehr erreichbar sei. Und das geschah (meiner Meinung nach) in dem Augenblick als ein oder mehrere Geräte den Scan durchführten und somit die P2MP-Verbindungen wohl doch nicht mehr bestanden.

Das Auslesen der defekten Konfig war über serielles Kabel dann noch möglich (hab aber leider keine Kopie angelegt), aber ein Schreiben dieser ging nicht mehr, da zum Beispiel meine Firewall-Regeln derart verändert waren, dass sie eine Fehlermeldung vom AP erzeugten (Leerräume in den Regel-Namen).

Zum Scan-Intervall: Habe ich das richtig verstanden, dass das angegebene Intervall durch die Anzahl der Kanäle je Frequenzband die Anzahl der Scans ergibt? Bei 7 untereinander über P2MP verbundenen AP's bei 2,4 GHz mit 13 Kanälen und zum Beispiel jeweils 3.600 Sekunden Scan-Intervall ist also rein rechnerisch aller 40 Sekunden die Übertragung kurz unterbrochen. Und genau das war mein Problem: Im LANmonitor war ein "buntes Treiben" der Geräte zu beobachten. Kaum war der Baum eines Gerätes dargestellt, so brach dieser wieder zusammen (keine Antwort vom Gerät) und wurde langsam wieder neu aufgebaut. Und das zeitgleich bei allen Geräten.

Und in diesem Zustand war ein Einspielen der Konfig über WLAN eben nicht mehr möglich! (siehe oben)

Danke für deine schnelle Antwort. Ich hoffe, dass meine jetzigen Ausführungen plausibler sind. Da ich kein Netzwerkprofie bin, kann ich eben nur das schildern was ich hier gestern erlebt habe. Egal ob es plausibel klingt oder nicht, es war eben leider so! Und wenn man dann 2 Stunden im Ort unterwegs ist um auf Dachböden von freundlich gewillten Dorfbewohnern sein serielles Kabel an den gut verbauten AP zu stöpseln und endlich wieder das System zum Leben erwecken kann, dann fragt man sich schon, ob diese Folgen jemand bedacht hat.

Trotzdem schönes Wochenende und danke für die Unterstützung.

Ansonsten bin ich überaus zufrieden mit Lancom-Geräten! FW 6.14 ist ja auch nicht schlecht...

Stefan
GS-2326, 1783VAW, R883VAW, 1781A, 831A, 1781EF+, L-452agn, L-32x, L-54(ag/dual), 1711(+), 1511, 821(+), 3850, 3050, IL-11/2, VP-100 ..., Optionen: CF, PS, WLC
LCS WLAN
Benutzeravatar
alf29
Moderator
Moderator
Beiträge: 6207
Registriert: 07 Nov 2004, 19:33
Wohnort: Aachen
Kontaktdaten:

Beitrag von alf29 »

Moin,
Beim Einspielen der Konfig mit LANconfig verharrte der Verlauf bei ca. 60% und brach dann nach längerem Verharren mit einer Fehlermeldung ab, dass das Gerät nicht mehr erreichbar sei. Und das geschah (meiner Meinung nach) in dem Augenblick als ein oder mehrere Geräte den Scan durchführten und somit die P2MP-Verbindungen wohl doch nicht mehr bestanden.
Nur mal zur Klarstellung: Hast Du Point-2-Point-Verbindungen oder sind die Geräte auf
der anderen Seite als Clients konfiguriert? Wenn als Clients, kannst Du Dir das
Background-Scanning dort sparen, denn im Client-Modus dient es überhaupt nicht der
Findung von Rogue APs, sondern dem Suchen von anderen APs mit gleicher SSID, um
das Roaming zu beschleunigen - was bei Festinstallationen mit Richtantennen eher
weniger interessant sein dürfte ;-)
Zum Scan-Intervall: Habe ich das richtig verstanden, dass das angegebene Intervall durch die Anzahl der Kanäle je Frequenzband die Anzahl der Scans ergibt?
Es ergibt den zeitlichen Abstand der Scans auf einzelnen Kanälen.
Bei 7 untereinander über P2MP verbundenen AP's bei 2,4 GHz mit 13 Kanälen und zum Beispiel jeweils 3.600 Sekunden Scan-Intervall ist also rein rechnerisch aller 40 Sekunden die Übertragung kurz unterbrochen.
Nein, das heißt erstmal nur, daß jeder AP alle 3600/13 = 276 Sekunden einen scan auf
einem einzelnen Kanal durchführt. Ich vermute, Deine Topologie ist ein Stern, wenn ein
'Satellit' einen Scan macht, dann interessiert das die Verbindungen zu den 5 anderen
Satelliten überhaupt nicht. Auf jeder einzelnen Strecke hat man also ca. alle 138 Sekunden
eine Unterbrechung, weil entweder die eine oder die andere Seite gescannt hat. Das
sind aber wie gesagt nur jeweils etwa 32 Millisekunden, was umgerechnet etwa 0,023%
der Gesamtzeit wären, und es geht wie gesagt kein einziges Beacon verloren.

Warum Dein Konfig-Upload stehen geblieben ist, weiß ich nicht, aber wenn Du mit dieser
geänderten Konfig gerade erst das Scanning einschalten wolltest, dann kann es
logischerweise nicht daran gelegen haben (die Konfig wird erst eingelesen und dann
übernommen).
Das Auslesen der defekten Konfig war über serielles Kabel dann noch möglich (hab aber leider keine Kopie angelegt), aber ein Schreiben dieser ging nicht mehr, da zum Beispiel meine Firewall-Regeln derart verändert waren, dass sie eine Fehlermeldung vom AP erzeugten (Leerräume in den Regel-Namen).
Also daß bei einem Verbindungsabbruch ein Stück der Konfig am Ende fehlt, mag ja
vielleicht noch plausibel sein. Mittendrin veränderte Sachen sind es aber nicht...dazu
haben SSL und TCP viel zu viele Sicherungsschichten...

Wenn Du möchtest, daß sich jemand darum kümmert, geht das nur so, daß wir die
Ausgangskonfigurationen bekommen und Du genau sagst, was Du wie geändert
hast. Nur dann kann jemand versuchen, das Problem nachzustellen.
also ich kann beobachten das einige Hardware Clients, wie WET11 oder DWL-810 mit der 6.22 auf den L-54g und L-54ag beim Scannen den Accesspoint nciht mehr finden. Will also sagen, das die User beim Einrichten ihres Clients meine Sender nciht mehr sehen können. SSID Broadcast ist aktiv und mit einer Wlankarte geht es auch, aber nicht mit den Hardwareclients. Mit 5.08 war alles i.O.
Also das klingt für mich nach einem völlig anderen Problem. In disem Fall hätte ich gerne
einen WLAN-Trace sowohl mit einer Firmware, mit der es noch funktioniert, als auch mit
einer, mit der es nicht geht. Eventuell kann man das noch etwas weiter einkreisen, zwischen
5.08 und 6.22 liegen einige Firmware-Releases...

Gruß Alfred
Benutzeravatar
stefanbunzel
Beiträge: 1405
Registriert: 03 Feb 2006, 13:30
Wohnort: endlich VDSL-250

Beitrag von stefanbunzel »

Hallo Alfred,

mein WLAN ist sternformig aufgebaut und die AP's sind keine Clients:

Code: Alles auswählen

        AP2  --  AP4
      /        \
AP1             AP5
      \ 
        AP3  -- AP6
               \
                  AP7
So muss man sich das ungefähr vorstellen. Jeder AP besitzt mehrere logische SSID's, stellt die Verbindung zum nächsten AP als eine Art Bridge her und dient als Hotspot für die W-LAN-Clients.

Das Einspielen der Firmware und die erste Konfiguration haben ja auch funktioniert. Dann ging das "bunte Treiben" im LANmonitor los und ich wollte deshalb das Scan-Intervall vergrößern. Und dabei sind mir AP3 und AP7 verloren gegangen.

Zum Abbruch der Funkverbindungen: Wenn AP7 einen Scan durchführte, dann verschwanden alle AP's aus dem LANmonitor (außer AP1, da mein PC mit ihm per LAN verbunden). D.h. AP1 hatte bei Scan von AP7 auch keine Verbindung mehr zu AP2. Und das ist eben das merkwürdige. Ich habe nach jedem Scan eine Syslogmeldung "Key handshake with peer..." von allen AP's erhalten. Demnach wurden nach jedem Scan alle P2MP Verbindungen neu aufgebaut - oder nicht? Anmerkung: Alle P2MP-Verbindungen mit WPA2 und immer mit der gleichen Passphrase!

Stefan
GS-2326, 1783VAW, R883VAW, 1781A, 831A, 1781EF+, L-452agn, L-32x, L-54(ag/dual), 1711(+), 1511, 821(+), 3850, 3050, IL-11/2, VP-100 ..., Optionen: CF, PS, WLC
LCS WLAN
Benutzeravatar
stefanbunzel
Beiträge: 1405
Registriert: 03 Feb 2006, 13:30
Wohnort: endlich VDSL-250

Beitrag von stefanbunzel »

Mist meine tolle Darstellung hat nicht funktioniert:

Also: AP1 ... P2MP ... AP2 ... P2MP ... AP4
AP2 ... P2MP ... AP5
AP1 ... P2MP ... AP3 ... P2MP ... AP6
AP3 ... P2MP ... AP7

Naja auch nicht viel besser...
Stefan
GS-2326, 1783VAW, R883VAW, 1781A, 831A, 1781EF+, L-452agn, L-32x, L-54(ag/dual), 1711(+), 1511, 821(+), 3850, 3050, IL-11/2, VP-100 ..., Optionen: CF, PS, WLC
LCS WLAN
experde
Beiträge: 105
Registriert: 28 Mär 2005, 12:20
Wohnort: Thüringen

Beitrag von experde »

...ich liebe "BETA-TESTER"...;-) testet mal schön alles durch.

Will damit sagen: wenn ihr schon etliche Clients mit W-Lan und I-Net versorgt sollte es nicht an Mitteln fehlen einen zusätzlichen - nennen wir ihn "Labor-AP" - zu beschaffen.
An dem testet man das alles aus. Zur Not auch einen PtP Strecke mit 2`tem AP. Einfach alles bügeln bringt doch nichts ausser viel unnützer Arbeit und Zeitverschwendung!?

Grüße, experde
* der Weg ist das Ziel
xfach Lancom/L54g/ag/dual/3550/821/1711/L10/I10,
3xMikrotik Server, >10 Subnetze,
>250 Endgeräte,
Benutzeravatar
stefanbunzel
Beiträge: 1405
Registriert: 03 Feb 2006, 13:30
Wohnort: endlich VDSL-250

Beitrag von stefanbunzel »

Hallo experde,

na vielen Dank für deine "Experten-Tipps"! Genau aus diesem Grund setze ich Lancom-Geräte ein. Da benötige ich keine Laborkonfigs! Normalerweise funktioniert es ja auch immer.

Im übrigen: Ich habe heute alle AP's wieder auf FW 6.22 und 10.800 s umgestellt - und alles läuft bestens. Keine Probleme, keine Verbindungsabbrüche.

Was da nun heute früh die Ursache der Probleme war, bleibt mir wohl für immer verborgen...

Hauptsache es geht jetzt.

Vielen Dank noch mal und schönen Abend noch

Stefan
GS-2326, 1783VAW, R883VAW, 1781A, 831A, 1781EF+, L-452agn, L-32x, L-54(ag/dual), 1711(+), 1511, 821(+), 3850, 3050, IL-11/2, VP-100 ..., Optionen: CF, PS, WLC
LCS WLAN
Antworten