Onverwachte DHCP issues met gastennetwerk via Poort 4 op modem

Nee hoor. Gewoon 192.168.88.0/24 ingesteld. Dat is 255.255.255.0. De router accepteerd dat gewoon naast de 192.168.2.0/24. Let op, ik kan dan uiteraard niet de gateway gebruiken voor internet toegang. Maar het ging mij alleen maar om te laten zien dat je een andere computer kon bereiken. Als gasten netwerk en normaal netwe niet gescheiden zou zijn door vlan, zou er dus geen scheiding zijn en zou iemand op het gasten lan zelf hetzelfde range static in kunnen stellen van het normale netwerk. Vandaar de vlan scheiding.

Of bedoel je dat broadcasts over de gasten barrière heen kunnen springen als het subnet op /16 staat (ook dat zou niet mogen).

Yep. Dan is het gasten netwerk dus goed gescheiden. Dan zou er dus niets uit mogen lekken naar het normale netwerk. Ook dhcp verkeer niet.

Waar staat de gateway dan op? Heb je die op 192.168.4.1 laten staan? Dat zou raar zijn want die is via/op 192.168.2.22/24 niet bereikbaar als het goed is (want het subnet is dan 255.255.255.0).

Of de NAT moet dit verkeer op het vaste netwerk toch vertalen naar het internet. Dan is het gasten en normale netwerk wel gescheiden maar wordt alles toch door diezelfde NAT vertaald naar het internet. 

Want zelfs als intern die vlan gebruikt wordt, zal ook het gasten netwerk via NAT naar buiten moeten. Daar zal de vlan tag niet uitmaken. Alleen alle andere apparaten blijven ontoegankelijk.

Blijft toch de vraag over of een dhcp broadcast hier wel overheen springt. Dat zal dan niet op de fisieke laag zijn maar misschien via NAT. (Dat bedoelde ik in het begin met dhcp 'lek').

Ps. Als je met Wireshark aan de gang gaat zou je dit dhcp broadcast verkeer van het gasten netwerk (in geval van zo'n 'lek') al vrij snel moeten kunnen zien op je normale netwerk.

Inmiddels een iets uitgebreidere setup kunnen bouwen en testen.

Ik kan pingen op het gasten netwerk van een apparaat achter poort 4 naar een apparaat op de gasten wifi en visa versa.

Volgens mij krijgt data verkeer over de poort 4 inderdaad een vlan tag mee (Zie bovenste afbeelding.)

Wel zag ik in de lijst van Wireshark verschillende apparaten langskomen op het 192.168.2.x netwerk die contact hadden met de 192.168.2.255 (broadcastadres) en ik denk dat dat mijn verklaring is voor de kruisbestuiving van afgegeven DHCP adressen.

Dan is nog de vraag.

1 Kan ik dit zo instellen dat de Pi-Hole alleen luisterd naar broadcast van het 192.168.4.255 netwerk?
2 Als er via broadcast verkeer tussen de netwerken mogelijk is betekend dit dan dat er mogelijk meer verkeer tussen de netwerken kan bewegen? er is immers een opening.

Ik kan het niet vinden in de Software van de Experia box.

Maar is het mogenlijk om de blijkbaar aanwezige DHCP-relay uit te schakelen?

Dat zou zo ver ik kan zien in iedergeval mijn probleem oplossen.

Ha ja. Ik had eigenlijk gedacht dat de router ze bij het uitsturen op de poort weer zou untaggen en de VLAN 1977 alleen intern zou gebruiken. Maar ik zie daar inderdaad de 1977 in de Wireshark staan.

Dat vraag ik me nog steeds af.

Wat heb je overigens bij IP ingegeven bij DHCP op het gastennetwerk. Want is dat 192.168.4.254? De router zelf heeft n.l. voor het gastennetwerk zijn eigen gateway en dns. Anders zou die geen internet toegang kunnen hebben. Ondanks dat je bij de gasten-dhcp de dhcp UITSCHAKELD moet je daar wel het IP adres goed zetten. En dat IP adres moet je dus ook gebruiken als gateway. Niet 192.168.2.1 of 192.168.2.254.

Wat heb je dus als gateway en dns adres gebruikt in je DHCP op het gastennetwerk?

Staat de IPv6 overigens helemaal uit op de KPN box? Ik zie dat ik op het gastennetwerk gewoon automatisch een IPv6 adres krijg met DNS (allebei met :1: ipv :0: in het middem). Terwijl ik DHCP uitgezet heb op de box op het gastennetwerk. Niet bij mijn Linux machine, maar wel bij Android en Windows. Schijnbaar worden die dan altijd uitgedeeld via  SLAAC (maar als dat ook incl. DNS is, dan schiet dat natuurlijk niet op als je een eigen DHCP server hebt).

Volgens mij heb ik de instellingen in de kpn box goed staan.

 

Wat nog wel een dingetje lijkt te zijn dat mijn dhcp achter poort 4 wel ip adressen uitgeeft voor het gasten netwerk bedraad maar dat verzoekken via de gasten wifi niet aan lijkte te komen  deze dhcp server.
Maar blijkbaar wel gevonden word door apparaten die bedraad op het thuisnetwerk zitten.

 

Voor de compleetheid ook nog getest hoe het zit met de Vlan tag over de wifi.

Zover ik kan zien word de Vlan tag niet gebruikt op het Gasten Wifi netwerk.

Ik weet niet of ik de enige ben die tegen problemen met het Gasten netwerk aanloopt maar het zou mooi zijn als het KPN zou lukken om dat te fixen.

Want als het in de basis goed werkt hoef ik ook niet te proberen de boel werkend te krijgen met kunst en vliegwerk.

 

Dat zie ik nu inderdaad ook. Ik zag de qtag niet op wifi, wel op LAN4.

Overigens is het wel zo dat alle apparaten op het gastennetwerk geïsoleerd zijn. Ze kunnen elkaar dus niet zien. Nu weet ik even snel niet op welk niveau dat gebeurd.

Hahaha. Ja… er gebeuren inderdaad hele rare dingen.

Ik had even een rpi met dhcp server aangemaakt met static 192.168.3.5/24 en dhcp range 192.168.3.201-250. Daarna had ik gast dhcp op gast uitgeschakeld. Maar ik kreeg hem niet werkend op gast. Toen heb ik hem even in mijn normale netwerk gehangen (waar hij geen kwaad kan omdat alles al een IP had en met 192.168.3.5/24 zien de apparaten hem niet, alleen e.v. broadcast van dhcp).

Ik ben even gaan wandelen en heb daarna gast dhcp op de router weer aangezet (192.168.3.254/24 met 192.168.3.101-150 als range) en een switch op poort 4 gast gehangen met een computer en laptop. Deze kregen tot mijn verbazing wel 192.168.3.205 en 192.168.3.206 IP adressen. Dus een DHCP server op het normale netwerk ging wel gewoon IP adressen uitdelen op het gastennetwerk !!!! De rpi dhcp service gestopt en de laptop en computer opnieuw disabled/enabled en die kregen nu wel 192.168.3.103 en 192.168.3.104 zoals het hoort (van de gast dhcp van de router).

Om even te controleren weer even rpi dhcp aangezet en van mijn hoofd PC (op normaal bekabeld) even netwerk disabled en enabled. En inderdaad krijg ik gewoon 192.168.3.207. Ik kan 192.168.3.5 gewoon pingen.

Daarna weer op de laptop (die nog op 192.168.3.104 stond) geprobeerd en daar kan ik ook gewoon 192.168.3.5 pingen. YIKES. Dat zou niet mogelijk mogen zijn.

Volgende test… rpi dhcp uitzetten, hoofd PC weer static op 192.168.2.11 zetten.
Vervolgens mijn laptop (die nu 192.168.3.104 heeft) static op 192.168.2.12 zetten en kijken of die 192.168.2.11 kan zien. DUBBEL YIKES. Ik kan gewoon bij de shares op 192.168.2.11 hoofd PC. Terwijl die laptop op poort 4 zit die ingesteld staat op gast. ER ZIT DUS NIETS TUSSEN !!!

Ps. Dit trucje gaat niet met de gast op wifi (in ieder geval niet via mijn telefoon).

Als ik nu terug ga naar de interface van de router staat het schuifje voor LAN 4 gast weer uit. Maar de apparaten op die poort krijgen wel een IP uit de dhcp range van de router als gast. Dus ondanks dat het schuifje verkeerd staat krijgt die poort wel de gast dhcp. Maar echt dezelfde gast beveiliging als op wifi is het dus niet als je je ip static op de normale range kan zetten en je alle apparaten kunt zien.

Conclusie… die hele “Gast” optie bij LAN 4 is brak…. niet gebruiken dus.

(je bent waarschijnlijk beter uit als je gewoon zelf met VLAN’s gaat werken met switches)

Ps. Waarschuwing voor andere: Vertrouw dus niet op het gescheiden zijn van het gasten netwerk op poort 4 als dat schuifje voor gasten netwerk gezet is.

Opmerking voor moderator ​@KPN : wellicht zou dit aan het ontwikkelteam doorgegeven moeten worden want als een pc op gast LAN 4 gewoon een statisch ip van het normale netwerk op kan geven en gewoon apparaten op het normale netwerk kan bereiken, dan is dat een groot beveiligingsprobleem en wordt er dus geen juiste vlan tagging toegepast.

Dit is een hele verbetering. Toen ik wou experimenteren met gastnetwerk op LAN4, werkte het niet maar de poort 4 is helemaal grijs (inactief). De enige manier om hem weer te activeren was een hard reset van de KPN router.

Voor andere, als men een eigen router heeft, is heel eenvoudig een gastnetwerk op te zetten zonder VLAN. Volgende ACLs moet men instellen, 192.168.4.xxx is het gastnetwerk en 192.168.4.1 is de Pi-hole

Ik heb nog niet zoveel ervaringen met ACL maar ik zie wel iets raars in een subnet daar?

172.16.0.0/255.224.0.0. Volgens mij hoort de 16 niet als start bij een 255.224 (/11). want die spant stappen van 32 in het tweede octet. Dan zou je dus moeten beginnen op 172.0.0.0 of 172.32.0.0.

172.16.0.0/255.240.0.0 zou logischer (een /12). Of kijk ik hier nu scheel tegenaan?

Of corrigeert een ACL automatisch een startpunt?

Definitie van Class B 172.16.0.0/12 (255.240.0.0)

Ja 240 is de juiste waarde, foutje van me. Bij 224 zijn de rangen 172.0.0.1 - 172.31.255.254