WLAN-Modul stürzt ab, Clients loggen sich aus

[Blindschleiche]

Hallo liebe Lancomer,

ich habe hier ein akutes Problem mit einem Lancom AP. Es stellt sich so dar das sich alle Clients ausloggen, im LAN-Monitor bleiben sie vorhanden mit dem roten Verbotszeichen. Das WLAN-Modul geht auf über 80% Kanallast und stürzt dann ab. (im Lanmonitor durchgestrichen) Nach ca. 1min loggen sich die Clients wieder ein und das WLAN-Modul ist wieder da. Die Kanallast ist dann so zwischen 15-30%. Das ganze passiert so aller 5-15min, läuft aber auch mal eine Stunde. Ich hatte einen L54ag mit FW 7.30 und einen L54g mit FW 7.26 laufen. Beide das gleiche Problem. Wo kann ich genaue Protokolle einsehen was da passiert. der LAN-Monitor ist da wenig aufschlussreich. Die Geräteaktivitäten vom LAN-Monitor zeigen auch nur das sich Clients neu einbuchen.

[Jirka]

Hallo Blindschleiche,

Du könntest ja mal unter Status -> WLAN -> Log-Tabelle schauen, auch wenn ich nicht annehme, dass da was aufschlussreiches steht.

Ggf. gibt vielleicht der Syslog-Output noch was her. Aber neu booten tut der LANCOM nicht, oder? (Betriebszeit mal anschauen)

Da Du das Gerät schon ausgetauscht hast, sollte man da eher einen Blick in die Umgebung werfen (Störquellen oder andere APs).

Viele Grüße,
Jirka

[Blindschleiche]

Danke Jirka,

das mit der WLAN-Logtabelle klappt nicht, wenn sich alle Clients ausbuchen ist die so weit runtergelaufen dass ich die ersten Einträge die ev. zum Absturz geführt haben nicht mehr sichtbar sind (40-50 Clients). Neu booten tut der nicht. Zuvor war ein Buffalo mit DD-WRT eingesetzt. Ich dachte der LANCOM hat mehr Power. Der Buffalo hat das nicht gemacht.

[LoUiS]

Neu booten tut der nicht.

woher weisst Du dass das LANCOM nicht booted?
Gib im Telnet einfach mal ein "show bootlog" ein, dann sehen wir ob das LANCOM abstuerzt.


Ciao
LoUiS

[alf29]

Moin,

ch habe hier ein akutes Problem mit einem Lancom AP. Es stellt sich so dar das sich alle Clients ausloggen, im LAN-Monitor bleiben sie vorhanden mit dem roten Verbotszeichen. Das WLAN-Modul geht auf über 80% Kanallast und stürzt dann ab. (im Lanmonitor durchgestrichen) Nach ca. 1min loggen sich die Clients wieder ein und das WLAN-Modul ist wieder da. Die Kanallast ist dann so zwischen 15-30%. Das ganze passiert so aller 5-15min, läuft aber auch mal eine Stunde. I

Eine Unterbrechung von einer Minute ohne Absturz des Geräts kann grob zwei Dinge
bedeuten:

(1) Du arbeitest auf 5 GHz mit DFS , und der AP hat eine Radar-Störung erkannt. Das sollte
man in der Tabelle 'Status->WLAN->Kanal-Scan-Resultate' sehen können. Einzelne
Kanäle sollten als gesperrt gekennzeichnet sein.
(2) Du hast Clients, die mit TKIP-Verschlüsselung arbeiten und dabei irgendwie Mist bauen,
so daß sich beim Entschlüsseln der Pakete Prüfsummenfehler im sogenannten Michael-Hash
finden. Bei solchen Fehlern (und fehlerfreier Implementierung von TKIP) muß davon
ausgegangen werden, daß die Funkzelle aktiv angegriffen wird und der IEEE-Standard
schreibt zwingend vor, daß bei mehr als einem Michael-Fehler pro Minute die Funkzelle
für eine Minute deaktiviert werden muß. Ob Michael-Fehler auftreten, kannst Du unter
Status->WLAN->Fehler nachschauen.

Treten die Fehler auch bei weniger Clients auf? Gleichzeitig 40..50 Clients auf einem einzigen
AP ist eine vergleichweise hohe Zahl und jenseits der Grenze, bis zu der der WLAN-Chip
im LANCOM alle Session-Keys gleichzeitig in der Hardware halten kann (die liegt bei einer
aktiven SSID bei knapp 30 Clients, falls diese TKIP machen oder knapp doppelt so viel, falls
diese AES oder WEP benutzen). Jenseits dieser Grenze müssen ständig Schlüssel ein-
und ausgelagert werden und man hat ähnliche Performance-Einbußen, als wenn ein PC
zu wenig Speicher hat und ständig swappen muß...

Gruß Alfred

[Jirka]

Moin,

(1) dürfte schon mal wegfallen, da es wohl mit einem L-54g auch auftrat.

(2) klingt interessant, mal sehen, was er dazu schreibt

Wo wir gerade da sind, was sind eigentlich IV-Sequenzfehler? Bzw. wie kommt es zu diesen?

Viele Grüße,
Jirka

[Blindschleiche]

Hallo,

danke für die Antworten. Das der LANCOM nicht bootet habe ich an der Betriebszeit im Lanmonitor abgelesen. Läuft die denn auch weiter wenn der neu bootet?
zu Alfred:
Das war sehr aufschlussreich für mich. Vielen Dank.
Der Lancom arbeitet im 2,4 GHz Bereich, habe ja zur Zeit wie geschrieben einen L54g am laufen. Es sind tatsächlich fast immer über 40 Clients dran. Das mit dem mit weniger probieren ist schlecht, das nehmen mir die Leute übel. Ich hätte jetzt folgende Ideen.
1. Kann ich ein 2. Funknetz auf dem gleichen Lancom aufmachen?
2. Wenn im LANCOM TKIP/AES eingestellt ist kann ich dann anfangen einige Clients auf nur AES umzustellen oder geht das nicht gleichzeitig?

Viele Grüße...

[alf29]

Moin,

Wo wir gerade da sind, was sind eigentlich IV-Sequenzfehler? Bzw. wie kommt es zu diesen?

Das bedeutet, daß ein mit TKIP oder AES verschlüsseltes Paket
hereingekommen ist, dessen Sequenznummer gleich oder niedriger der
bisher höchsten Sequenznummer ist. Größerenteils werden solche Dupes
schon von vorgeschalteten Schichten ausgefiltert, so daß sie im Normalbetrieb
nur sehr selte auftreten - es sei denn, ein Angreifer macht bewußt Replays...

1. Kann ich ein 2. Funknetz auf dem gleichen Lancom aufmachen?

Kannst Du schon, aber das ändert nichts an der Situation - der Speicher
für Schlüssel in der Hardware ist für Clients aus allen Netzen gemeinsam.

2. Wenn im LANCOM TKIP/AES eingestellt ist kann ich dann anfangen einige Clients auf nur AES umzustellen oder geht das nicht gleichzeitig?

Das kann in einer Funkzelle beliebig gemischt werden. In der Stationstabelle
kann man auch sehen, was ein Client gewählt hat.

Gruß Alfred

[Jirka]

Moin,

Das war sehr aufschlussreich für mich. Vielen Dank.

Ja - und?! Hast Du nun unter Status -> WLAN -> Fehler nachgeschaut, ob Michael-Fehler auftraten?

Das bedeutet, daß ein mit TKIP oder AES verschlüsseltes Paket
hereingekommen ist, dessen Sequenznummer gleich oder niedriger der
bisher höchsten Sequenznummer ist. Größerenteils werden solche Dupes
schon von vorgeschalteten Schichten ausgefiltert, so daß sie im Normalbetrieb
nur sehr selte auftreten - es sei denn, ein Angreifer macht bewußt Replays...

Also Angreifer gibt's hier nicht. Höchstens vierbeinige

Also an meinem Haupt-L-54 dual werden hier für WLAN-1 853 IV-Sequenzfehler angezeigt (alle anderen APs haben 0 IV-Sequenzfehler). An WLAN-1 hängen nur per P2P ein weiterer L-54 dual (AES) und zwei Clients, USB-54pro (AES) und MC-11 (ohne). Ich lösche mal die Fehler ...

Viele Grüße,
Jirka

[Blindschleiche]

Hallo,

ich musste mir erstmal einen Syslog-Clienten eirichten weil Status > Wlan wie gesagt bei so vielen Clients voll läuft wenn sich alle Clients einbuchen dass ich den Fehler nicht mehr sehe.
Es sind aber tatsächlich die Michael-Fehler die das Problem verursachen. Es ist auch exakt mit der Minute so, wenn zwei Fehler in einer Minute sind, geht das WLAN-Modul schlafen. Es scheint wohl so das das TKIP in der DD-WRT fehlerhaft ist. Das tritt bei der DD-WRT auch in verschiedenen Firmware Versionen auf. Warum muss das denn so sein, gut die DD-WRT ist eine freie Entwicklung, läuft aber für Clients super und mit DD-WRT Accesspoints als Gegenstelle giebt´s ja auch keine Probleme. Ich muss wohl doch alle Clients auf AES umstellen und wie Alfred sagt wenns der Peformace zu gute kommt hats ja was gebracht.

[longobardi]

Hallo
@alfred, kann man sich anzeigen lassen , ob er keyspeicher überläuft und geswappt wird ?

Kann man Meldungen im syslog erzeugen lassen
Grüße

[alf29]

Moin,

das ist ein reines Rechenexempel. Der Key-Cache hat 64 Einträge, davon gehen statisch
4 Einträge plus einer pro aktiver SSID weg. Den restlichen Teil teilen sich Clients und eventuelle
P2P-Partner, wobei eine Gegenstelle ohne mit TKIP zwei Einträge belegt, einer mit WEP, AES oder
ohne Verschlüsselung einen Eintrag.

Gruß Alfred