[Problem] [GELÖST] Keine Verbindung vom WLAN via FB und Switch ins LAN zum Router (kompliziert!)

[elfri]

Schönen guten Abend miteinander, ich hätte da gern mal ein ganz seltsames Problem

/edit
tl;dr: Lösung: WAN port vom ROUTER hatte beim ersten Einrichten offenbar die WIFI-MAC vom Problem-Laptop L1 geklont - Theo hat's gewusst, s.u.
Da der L1 selten und wenn, dann meist allein im WLAN war, ist's ewig gar nicht aufgefallen.
/edit

Versuch einer Skizze (die gute alte Ascii-Art )

Spoiler: Netzwerkskizze

                                                                ---------------------
                                                 --------       |PC/SERVER/VMs[1..n]|
---------        ----------       --------       | .10.1|<-lan->| .10.1xy           |
|LAPTOP1|        |FRITZBOX|       |SWITCH|       |ROUTER|       ---------------------
|.0.11  |<-Wifi->|.0.1    |<-lan->|.0.252|<-lan->|.0.251|   
---------        |        |       |      |       --------
                 |        |       |      |
---------        |        |       |      |       ---------
|LAPTOP2|        |        |       |      |       |LAPTOP4|
|.0.12  |<-Wifi->|        |       |      |<-lan->|.0.14  |
---------        |        |       --------       ---------
                 |        |
---------        |        |
|LAPTOP3|        |        |
|.0.13  |<-lan-->|        |
---------        ----------

Beschreibung:
- FRITZBOX ist der DSL-Router, der auch das Wifi (nicht:Gastnetz, gibt's auch, ist hier aber nicht Thema) bereit stellt. WIFI und LAN an der Fritz nutzen das Subnetz 10.0.0.x/24.
- FRITZBOX ist via LAN mit einem Lancom SWITCH verbunden. An diesem hängen weitere Geräte mit IP aus dem .0.x/24 Subnetz.
- Eines der Geräte am SWITCH mit IP .0.251 ist ein weiterer ROUTER (OpenWRT), der hinter sich das Subnetz 10.0.10.x/24 bereit stellt, in dem "spezielle Kunden" wohnen, mit IPs 10.0.10.xyz
- Die FRITZBOX hat eine statische Route für 10.0.10.x/24 via 10.0.0.251.
- Die FRITZBOX erlaubt Kommunikation zwischen den WLAN-Clients.
- Ein anderes Gerät am SWITCH mit IP .0.14 ist bspw. LAPTOP4.
- Ein anderes Gerät direkt per LAN an der FRITZBOX ist LAPTOP3 mit IP .0.13.
- Weitere LAPTOPS1+2 hängen per WIFI an der FRITZBOX (IPs ebenfalls .0.xxx)
- Das ganze routing, sub-netting, DNS, DHCP (getrennt in den beidne Bereichen, Fritz für die .0.x und der Router hinter sich für die .10.x) funktioniert alles.

Jetzt das Problem, zu welchem ich einfach keine Idee mehr habe:
PINGs gehen von überall nach überall, NUR nicht vom FRITZ-WLAN zum ROUTER oder darüber hinaus.
Also:
1. LAPTOP3 <lan> FRITZ <lan> SWITCH geht (ping, config-interface des switches, alles gut)
2. LAPTOP3 <lan> FRITZ <lan> SWITCH <lan> ROUTER geht (ping, config-interface des routers, alles gut)
3. LAPTOP3 <lan> FRITZ <lan> SWITCH <lan> ROUTER <lan.10.x> SERVER geht (ping und Dienste, für die Ports offen sind, alles gut)
4. ...................LAPTOP 4 <lan> SWITCH <lan> ROUTER (und darüber hinaus) geht
Bis hier alles ohne wifi. Geht alles.
5. LAPTOP1 <wifi> FRITZ <wifi> LAPTOP2 geht.
6. LAPTOP1 <wifi> FRITZ <lan> SWITCH geht auch noch (den SWITCH kann ich vom WLAN aus noch pingen/config interface aufrufen)

ABER es geht vom !! wifi !! kommend NICHT über den SWITCH hinaus, also:
7. LAPTOP1 <wifi> FRITZ <lan> SWITCH <lan> ROUTER (und darüber hinaus) geht NICHT.

Irgendwas ist bei der Fritte doch schräg...?
- Aus Sicht des Switches kommen alle Pings über das selbe Kabel von der Fritte, egal ob der jew. Laptop per Wifi oder per LAN an ihr angeschlossen ist. Der Switch antwortet auch brav auf Wifi-Clients die ihn anpingen.
- Aus Sicht des Routers kommen alle Pings über das selbe Kabel vom Switch, egal ob der jew. Laptop direkt auch am Switch hängt, oder eben irgendwie hinter dem Kabel von der Fritte.
=> Entweder stellt der Switch Wifi-Pings nicht zum Router durch, oder der Router antwortet nicht auf ihm zugestellte Wifi-Pings, oder die Fritte kriegt die Antworten nicht durch....?
Aber warum NUR NICHT für WIFI-Clients der Fritte, aber sehr wohl für LAN Clients der Fritte? Die sind doch alle "hinter" der Fritte (aus Sicht von Switch&Router).

Ideen!?

 

[frank_m24]

Was passiert, wenn du Laptop 1 per LAN an den Switch und/oder an die Fritzbox hängst? Es kann ja auch ein Problem des Laptops sein.

=> Entweder stellt der Switch Wifi-Pings nicht zum Router durch, oder der Router antwortet nicht auf ihm zugestellte Wifi-Pings, oder die Fritte kriegt die Antworten nicht durch....?

Das kannst du ja einfach per tcpdump auf dem Router herausfinden.

 

[elfri]

Tja... jetzt wird's ganz seltsam.
Zufällig sah ich gestern spät bei einem "Dauer-Ping" von Laptop2 (via Wifi), dass zwischen ~100 "time outs" doch mal EIN Reply vom Router .251 kam.
Also jetzt noch mehr Tests gemacht.

1. SOLANGE Laptop1 NICHT im WLAN ist, gehen auch Pings von Laptop2 (via wifi) bis zum und hinter den Router - und zwar immer, und alle.

2. SOBALD Laptop1 sich ins WLAN hängt stört er. Dann tauchen in den Ping Replys auf Laptop2 (oder auch einem weiteren Android in Wifi) plötzlich REPLYS von der IP von Laptop1 (!!) auf - statt vom Router.

Das ist dann nicht ganz regelmäßig, bspw. 10 unerbetene Antworten von Laptop1, dann mal wieder 2-3 Antworten vom Router. Die falschen Antworten sind unterschiedlich, kein wirkliches Muster erkennbar: "Time to live exceeded" oder "Redirect Host(new nexthop: 10.0.0.251)" oder "Destination Host unreachable"

3. Jetzt nochmal ein Test via LAN in 3 Schritten:
a) Laptop2 (wifi) macht einen Dauer-Ping auf den Router .251 und bekommt seine Antworten
b) Laptop1 kommt jetzt mal im LAN (egal ob am Switch oder direkt an der Fritte, beides probiert) dazu. In dem Moment wo Laptop1 "online" kommt, hängen die Replys auf Laptop2 für ziemlich genau 10 Sekunden, dann bekommt er wieder weiter seine Antworten. Und zwar solange, bis ...
c) ... Laptop1 (LAN) startet nun parallel zu Laptop2 (wifi) einen Dauer-Ping auf den Router. Ping auf L1 hängt vor dem ersten Reply ziemlich genau 10 Sekunden, in denen L2 noch Antworten bekommt. DANN wechselt das: Auf L2 kommen keine Antworten mehr an, dafür aber nun auf L1. Hört L1 mit dem Pingen auf, bekommt L2 nach wiederum ziemlich genau 10 Sekunden wieder seine Antworten.

Irgendwie weiß die Fritte nicht, an wen sie die Antwort zurückstellen soll...?

- Laptop1 ist Dual-Boot, Windows10 / Ubuntu 22.04. Es ist aber EGAL welches OS er bootet, das Problem (zumindest per WLAN, LAN noch nicht getestet, oben alles unter Ubuntu) tritt immer auf. W10 ist total "unverfummelt", out of the box, nur für ein Spiel drauf. Ubuntu... mh... aber was hätte ich da jemals gedreht was zu solchen Symptomen führen kann!? Keine Idee.

- Habe auch die bekannten Netzwerkverbindungen für diesen Laptop in der Fritte gelöscht, "immer die gleiche IP verwenden" für dieses Gerät deaktivert, das ändert alles nichts.

- Vorhin hatte ich bei einem Test versehentlich sowohl ein LAN-Kabel im DOCK dran, als auch Wifi aktiv. Da kamen dann kurz von BEIDEN IPs von Laptop1 falsche Antworten, chaotisch, mal von der Wifi-Karte, mal vom LAN...

Ich steh echt auf dem Schlauch und kann das nicht in g**gle-Foo übersetzen. Vielleicht versuche ich mal, das ChatGPT zu erklären, was hier abgeht

 

[frank_m24]

Vorhin hatte ich bei einem Test versehentlich sowohl ein LAN-Kabel im DOCK dran, als auch Wifi aktiv.

Damit hast du ggf. einen Loop und folglich einen Broadcast Storm gebaut. Behalte deinen Netzwerktraffic permanent via Wireshark oder tcpdump im Auge, um solche Effekte sofort zu sehen. Prinzipiell wäre ein Loop für deine Symptomatik eine schlüssige Erklärung, auch an anderer Stelle. Vor allem, wenn eine der Netzwerkkomponenten über einen Schutz dagagen verfügt, wie z.B. Spanning Tree oder ähnliches.

Ansonsten prüfe alle Geräte in deinem Heimnetz auf MAC Adress Konflikte. Auch das könnte eine Erklärung sein. Auch IP Konflikte kommen infrage, z.B. auf VMs oder virtuellen Interfaces. Prüfe alle deine Endgeräte auch darauf.

 

[elfri]

Der Loop ist mir zum ersten Mal passiert, der war die letzten Tage seit mir das Problem aufgefallen ist definitiv nicht da. Da stand der Böse L1 auf dem Esstisch weit weg von seinem dock und jedem Lan Kabel.

Woher eine IP oder MAC Dopplung kommen sollte...keine Idee, einzige Veränderung war der Tausch eines Lan Kabels zwischen Fritte und Switch gegen ein 2m längeres weil die Fritte im Schrank ein Fach weiter gewandert ist. Aber das Kabel ist genauso nur Kupfer... Ich grüße mal weiter. Habe vorhin auf dem Router mal die ARP table geflushed. Hat auch nichts geändert, da waren aber mehrere Einträge für die MAC vom L1 drin. Ich vermute aber eher ein Problem in den Tabellen der Fritte, aber reboots hatte die auch schon einige. Grübel...

 

[frank_m24]

Habe vorhin auf dem Router mal die ARP table geflushed. Hat auch nichts geändert, da waren aber mehrere Einträge für die MAC vom L1 drin.

Also kommt die MAC vom L1 auf mehreren Ports beim Switch an. Entweder ist deine Verkabelung ein großes Chaos, oder du hast wirklich ein Problem mit doppelten MAC Adressen.

 

[elfri]

Erstmal: Danke dass du dich meiner annimmst
Verkabelung ist wie gezeichnet.
Alle drei Geräte (Router, Switch, Fritte) nacheinander einzeln neu gestartet und Tests dazwischen jeweils wiederholt, ändert nichts. Was sie durch Neustart vergessen können, haben sie vergessen - aber das ist es nicht.
L1 via LAN am switch => stört jetzt nicht mehr. Immerhin...

Letzter Test für heute: der WIFI-Karte vom "bösen" L1 eine andere MAC verpasst [fake: 1a:2b:3c:4d:5e:6f] ; L1 damit ins WLAN geschoben => Problem tritt NICHT auf.

HÄ? Welches andere Device hat die MAC von meinem L1 geklaut? wie finde ich das jetzt? Und WIE um alles in der Welt soll das passiert sein? Ich *weiß* seit bummelig 40 Jahren (COAX-Endwiderstand-Kiddy, you remember?) dass die unique sein müssen. Null Grund hier irgendwo mit einer MAC gefummelt zu haben.
=> So richtig glaube ich das noch nicht, mit der doppelten MAC.

Warum (wie?) würde eine doppelte MAC (auf L1 + "Gerät X") dazu führen, dass PINGs von L2 auf .251 beim Auftauchen von L1 im WLAN plötzlich an L1 (oder "über" L1?) "geroutet" werden sollten?
Und L4, der ja direkt neben dem Router am Switch hängt, und den also "direkt" nur über den switch pingt... warum sollte DER dann auch von diesen Ping-Umleitungen betroffen sein? Wie kann L1 die Pings "an sich ziehen", oder warum sollten Switch (oder router?) die Ping-Anfragen an L1 "umleiten"?
Dafür müsste doch L1 irgendwie sagen: Ich bin das Gateway, alles über mich.
Oder eben Switch oder Router müssten meinen, die Pakete an L1 umzuleiten.

? ? ?
Nacht erstmal...

 

[frank_m24]

Warum (wie?) würde eine doppelte MAC (auf L1 + "Gerät X") dazu führen, dass PINGs von L2 auf .251 beim Auftauchen von L1 im WLAN plötzlich an L1 (oder "über" L1?) "geroutet" werden sollten?

Das kommt drauf an, auf welchem Gerät die kollidierende MAC ist. Wenn die irgendwo auf dem Router ist, ist das naheliegend. Aber wie gesagt, auch ein IP Konflikt ist denkbar. Verliere den noch nicht aus den Augen.

Dafür müsste doch L1 irgendwie sagen: Ich bin das Gateway, alles über mich.

Dafür reicht im Zweifel schon eine einfache ARP Nachricht und ein ICMP Redirect. Technisch ist das relativ einfach. Vielleicht ist da auch ein vagabundierender DHCP Server auf L1 aktiv.

Oder eben Switch oder Router müssten meinen, die Pakete an L1 umzuleiten.

Das wäre halt beim klassischen MAC Konflikt so. Der Switch leitet Pakete ja nur anhand der MAC Adressen weiter und merkt sich, welche MAC Adresse er hinter welchem Port findet. Wenn er plötzlich 2 identische Einträge hat, schickt er die Pakete ggf. an den falschen Port. Was das Gerät dann mit den fehlerhaft zugestellten Paketen macht, darüber kann man nur spekulieren. Fleißiges umstöpseln von Geräten zwischen Switch, Fritzbox und WLAN führt natürlich auch zu mehreren Einträgen mit der gleichen MAC in der Switch Tabelle.

 

[elfri]

Einen Schritt weiter.

Habe den Switch mal durch einen dummen HUB ersetzt. Keine Änderung, also den Switch wieder rein.

Habe dann den Router (openWRT, gigabit) mal durch seinen Vorgänger (auch ein openWRT, 100Mbit, der flog raus weil er bottle neck war) ersetzt. Zack, Problem gelöst.

Also muss es doch irgendwas auf dem neuen gigabit-Router sein. Habe nur noch keine Idee, was, und warum der eben nur beim L1 das Problem erzeugt. Arp flush und reboots hat er hinter sich... werde da nochmal alles durchschauen, zwar keine Idee wo da die Wifi-MAC vom bösen L1 "hängen" sollte...und warum dieser Router dann scheinbar, sobald er die "echte/hardware" L1-Wifi-MAC an seinem LAN-Port riecht, ein "redirect" auf diesen machen sollte... sowas baut man doch nicht... grübel.

 

[frank_m24]

Laufen auf dem Router irgendwelche VMs oder sind Software Bridges konfiguriert? Und wie gesagt: Prüfe auch die IP Adressen.

 

[Theo Tintensich]

Habe dann den Router (openWRT, gigabit) mal durch seinen Vorgänger (auch ein openWRT, 100Mbit, der flog raus weil er bottle neck war) ersetzt. Zack, Problem gelöst.

Hast du beim Einrichten eventuell durch einen Fehlklick dem "WAN-Port (10.0.0.251)" des Routers aus versehen die MAC des einrichtenden Rechners mitgegeben?
Das ist eine Funktion, mit der man bei Netzanbietern, die eine "Zugriffskontrolle" per MAC machen, eine dort erlaubte MAC mitteilen kann.

 

[elfri]

Theo, das war's, spot on. Keine Ahnung warum ich das gemacht habe, vmtl wie du sagst versehentlich / nicht richtig hingesehen. Der war nie für einen Internet-Provider gedacht, und selbst wenn wäre dem Provider nie die MAC meines L1 bekannt gewesen.

Für OpenWRT: /etc/config/network, da drin gibt es - wenn man's eben gesetzt hat - eine Zeile "option macaddr 'xx:xx:xx:xx:xx' ". Nimmt man die raus nutzt er die Hardware-MAC, die für all seine Ports erstmal gleich ist. Das wiederum hat ihn ziemlich "irresponsive" gemacht solange sowohl WAN als auch LAN angeschlossen waren.
Habe da nun einfach die option wieder drin, mit der hardware-MAC, bei der dann aber die letzten beiden Pärchen um "1" erhöht.

Läuft.

Danke euch! ! - wo vergib man hier die wohlverdienten Punkte?

 

[frank_m24]

Großartig. Das Problem war definitiv ungewöhnlich. Aber es zeigt mal wieder, wie merkwürdig die Symptome von MAC Konflikten sein können.

 

[Theo Tintensich]

Das Problem war definitiv ungewöhnlich.

Mein Bruder hatte mal einen KDG/Vodafon-Anschluss mit einem einfachen Kabelmodem, an den er weitere Computer hängen wollte.
Und da müsste ich die MAC des Hauptcomputers kopieren. es gab i Router einen entsprechenden Eintrag dafür. (Gibt es glaube ich, bei einigen Routern immer noch)
Bei der doppelten MAC-Adresse konnte es nur solches sein ;-)