Onverwachte DHCP issues met gastennetwerk via Poort 4 op modem

Interessant. Dat zou betekenen dat de poort 4 dhcp verkeer lekt. Die zou een vlan 1977 tag moeten krijgen wat het normale netwerk niet zou mogen bereiken.

Krijgen de normale computers ip adressen in de aparte dhcp range van de Pi op poort 4? Weet je heel zeker dat de Pi niet toevallig ook nog meer wifi verbinding maakt op het normale netwerk? Heb je het schuitje voor poort 4 al eens uit en weer aan proberen te zetten (soms pakt ie de instelling niet goed, ondanks wat je visueel aangeeft).

Dat poort 4 toch nog op normale netwerk zit lijkt me het meest logische want de dhcp voor gastnetwerk staat uit op de box en de Wifi gasten krijgen die geen ip. Daarentegen heeft de Pi op poort 4 wel op adressen uit op het normale netwerk. Dan lijkt het mij het meest logische dat de instelling niet gepakt heeft. 

Overigens kun je dit ook eerst uittesten met een pc op poort 4 en gasten dhcp op de box aan. Pas als de pc een gast ip krijgt weet je dat poort 4 echt in het gastennetwerk zit. Daarna kun je de Pi op poort 4 zetten en gast dhcp op de box uitzetten. Zo weet je zeker dat poort 4 echt op het gasten netwerk zit.

​@rvk01 om zaken uit te sluiten heb ik alles al meerder malen opnieuw opgestart.
Ik kan niet Pingen van het Thuis netwerk naar het Gasten netwerk of andersom.
Alles lijkt gescheiden te zijn behalve de DHCP.

Ik kreeg op mijn thuis netwerk dus op den duur een mix van normale en gasten ip adressen.
Andersom trouwens niet.

Pi-Hole draait bij mij in Proxmox en heeft geen Wifi toegang.

om zeker te zijn dat het ook niet via de Proxmox server lekte heb ik de gehele server achter poort 4 gehangen.

 

Werkt het allemaal wel goed en gescheiden als je de dhcp van het gasten netwerk op de box aanzet (en dus niet de pi gebruikt en een pc op poort 4 zet)?

KPN gastnetwerk werkt niet via VLAN maar verschillende subnet, volgens me is voor gastnetwerk 192.168.3.xxx. Dus het is eigenlijk te checken hoe de DCHP server in Pi ingesteld is, is hij ingesteld om te reageren op 192.168.0.0/22 dan krijgen gast- en hoofdsubnet zijn antwoorden.

Volgens de specificaties en documentatie wordt poort 4 als gastnetwerk wel getagged met vlan 1977. Het verkeer achter die poort is wel untagged maar intern en naar internet wordt het als vlan 1977 behandeld om zo niet uit te lekken naar poort 1-3. (Anders zou je op het gasten netwerk een eigen op in kunnen stellen in de range van het normale netwerk en op die manier die apparaten kunnen benaderen. Dat kan nooit de bedoeling zijn, vandaar dat poort 4 dan intern op vlak 1977 gezet wordt) 

Als ik de DHCP Gastennetwerk gebruik op het modem dan geeft hij geen adressen af in het gewone netwerk wat is zoals het hoort.
Maar dat werkt niet goed vaak krijgt een apparaat op de gasten wifi geen IP adres toegewezen dus vandaar ook de poging om er een eigen dhcp op te zetten.

Prima.

Dat is natuurlijk niet zoals het hoort. Ik zou eerder zeggen dat dat eens onderzocht moet worden (even afgezien van het feit dat een eigen dhcp daar wel zou moeten werken).

Het is geen noodzaak VLAN en gescheiden subnet te gebruiken, een van beiden is genoeg. Waarschijnlijk is de documentatie over VLAN verouderd. Kan je met wireshark of tcpdump achterhalen of VLAN überhaupt gebruikt wordt?

DHCP worden via broadcast aangevraagd, als de flag broadcast gezet wordt, verstuurt de server zijn antwoord ook via broadcast. Traffics worden niet over verschillende subnets geroutet, maar broadcast wel.

Dus ik kan verbinding maken met wifi op het gasten netwerk en dan (static) 192.168.1.88 en subnet 255.255.255.0 instellen op mijn telefoon en dan gewoon het normale netwerk bereiken??? Ik denk het niet. Ik denk dat het verkeer echt nog wel op netwerk laag 2 bescheiden wordt. Dat zou anders een flink beveiligings fout zijn als het alleen gescheiden zou zijn door subnet.

Wie zegt bereiken? Broadcast worden op alle subnets verstuurd, maar routing traffics niet. Dit is ook af te lezen uit TS bericht dat hij niet kan pingen.

Lees hier RFC2131

A client that cannot receive unicast IP datagrams until its protocol software has been configured with an IP address SHOULD set the BROADCAST bit in the 'flags' field to 1 in any DHCPDISCOVER or DHCPREQUEST messages that client sends. The BROADCAST bit will provide a hint to the DHCP server and BOOTP relay agent to broadcast any messages to the client on the client's subnet.

Dat geeft nog niet aan hoe het verkeer tussen de gasten en normale apparaten gescheiden wordt (zoals gevraagd wordt). Dat is niet alleen door subnet want dat zou onveilig zijn (iedereen kan een static subnet opgeven). De vraag is dus of dat scheiden via vlan, via firewall regels of via routes gebeurd. En aangezien bij box 12 op poort 4 bij gasten netwerk die poort als vlan 1977 getagged wordt (zoals in de genoemde link aangegeven is), zal het hele gasten netwerk (die poort 4 en gasten wifi intern op vlan 1977 zetten). Dat betekend overigens niet dat de apparaten zelf op vlan 1977 zitten (uitgaand verkeer op die poort en wifi wordt weer untagged, anders zien die apparaten nog niets) maar intern dus wel op vlak 1977 om het gescheiden te houden van het andere verkeer.

Als je andere informatie en/of documentatie daarover hebt dan zouden we die graag zien.

​@rvk01 ​@TDN is er iets wat ik concreet kan testen om nog iets te bevestigen of uit te sluiten.
Of is het wachten op een antwoord vanuit KPN of het vlan of subnet gescheiden is?

Als je verbinding maakt met het gasten netwerk via poort 4 (met schuifje aan) of via gasten wifi, en je stelt op dat apparaat de ip static in op een ip van normale dhcp range + 1 en subnet 255.255.255.0, dan zou je de apparaten op het normale netwerk niet mogen bereiken. Kan dit wel, dan zit je niet op het gasten netwerk of is er een ernstig beveiligingsprobleem met je kpn box.

Nemen we aan, gastnetwerk op LAN4 heeft subnet 192.168.3.0/24, iemand aangesloten via LAN3 heeft zelfs een statisch ip adres 192.168.3.3 ingesteld. Hoe wil hij het subnet op LAN4 bereiken als de KPN router het subnet 192.168.2.0/24 heeft en dus alle zijn traffics blokkeert?

Zoals geschreven, je kan met een pakket sniffer (wireshark of tcpdump) een stuk verkeer analyseren of überhaupt VLAN gebruikt wordt. Ik heb geen KPN router, kan dus voor jou niet zelfs testen.

Ik doel er op dat als poort 4 op gastnetwerk staat en iemand op die poort statisch 192.168.2.0/24 instelt hij nog steeds de apparaten op het normale netwerk (ook met .2/24) niet mag bereiken. Als dat wel mogelijk is, dan is dat een foute implementatie van een gasten netwerk. Zelfs wanneer iemand zelf met zijn ip rommelt zou hij het normale netwerk niet mogen bereiken.

Als dat eenmaal goed geïmplementeerd is, dan zou dhcp broadcast op het gasten netwerk ook niet buiten het gasten netwerk mogen geraken.

Op port 4 is subnet 192.168.3.0/24, dus dit is een ongeldig ip adres. Zonder gecompliceerd te maken, heeft je ooit geprobeerd een static  ip adres zoals 192.168.5.1 aan het hoofdnetwerk aan te sluiten en geprobeerd andere apparaten in het subnet 192.168.2.xxx te bereiken?

Nee hoor. IP adressen worden niet afgedwongen door een 'poort'. Ik kan gerust elk willekeurig IP statisch instellen. Als ik dat ook doe met een 2e computer met 1 nr hoger en hetzelfde subnet, dan zijn die twee gewoon onderling te zien. De router dwingt daar niets op af.  Ik kan gewoon 192.168.2.0/24 en 192.168.88.0/24 op dezelfde router gebruiken. Alleen .88.0/24 ziet elkaar en .2.0/24 ziet elkaar. Vandaar dat een gasten netwerk nog op een lager niveau gescheiden moet worden.

Het enige dat de router zou kunnen doen is via een firewall 192.168.3.0/24 afdwingen. Maar dit wordt in box 12 dus niet via firewall gedaan voor het gasten netwerk maar via vlan.

Maar op poort 1-3 (en 4 als het schuifje niet op gast staat) kun je dus gewoon 88.0/24 en 2.0/24 mixen om 2 segmenten te creëeren. Maar het is niet 'veilig' want iedere computer zou zelf zijn ip in het andere subnet statisch op kunnen geven.

Je kunt dit makkelijk testen die 2 computers op het gasten netwerk te zetten en status 192.168.88.0/24 in te stellen. Ze zullen elkaar gewoon zien.

Ik zegt niet dat je niet kan, maar kan je met een statisch ip adres van 192.168.2.xxx aangesloten op subnet 192.168.3.xxx andere apparaten bereiken? De router dropt toch alle traffics van jouw "ongeldig” ip adres

Ze kunnen elkaar zien omdat ze fysiek in hetzelfde LAN-segment zitten. Kan een apparaat met 192.168.88.2 op port 2 het andere apparaat 192.168.88.3 op port 3 zien?

Nee hoor. De router dropt dat verkeer niet. Ik wilde het even heel zeker weten of dat dat bij box 12 ook zo is dus ik heb net even de test gedaan. Mijn pc staat standaard op 192.168.2.11 statisch (heel netwerk op 192.168.2.0/24). Ik heb mijn pc even statisch op 192.168.88.11 gezet en daarna mijn telefoon op wifi op 192.168.88.63 zodat ik zeker wist dat het verkeer over box 12 gaat. Vervolgens kon ik met Cx File Explorer gewoon de samba shares op mijn pc bereiken. Dus er zijn gewoon meerdere subnets op het netwerk mogelijk. De router dropt dat verkeer niet. Echter is er maar 1 subnet waar de gateway op werkt (dus waarmee internet access mogelijk is of je moet een veel wijder subnet mask instellen zoals 255.255.0.0). Maar het gasten netwerk heeft ook een apart gateway ip. Als het gasten netwerk dus niet op laag 2 gescheiden zou zijn, zou die truuk ook mogelijk zijn tussen gasten netwerk en normale netwerk. Vandaar de scheiding in de router op vlan 1977 niveau. Dat zie je echter niet op de apparaten zelf want het verkeer wordt op poort 4 en gast wifi naar de apparaten toe gelijk weer untagged. Maar intern is die scheiding dus met vlan gedaan (dat lijkt mij tenminste logisch want dat is ook vermeldt voor poort 4).