Kein Zugriff über andere, neue IPs

[JudgeDredd]

Also oben, ok nicht von dir geschrieben aber auch nicht korrigiert, steht etwas von 192.168.2 und jetzt 192.168.1
Die Easybox ist "default" auf 192.168.2

Respekt, sehr gut aufgepasst. Habe ich leider total überlesen
In Post #4 beschreibt er sein Netz als 192.168.2.0/24 und in Post #17 als 192.168.1.0/24.

 

[Charly12]

Also oben, ok nicht von dir geschrieben aber auch nicht korrigiert, steht etwas von 192.168.2 und jetzt 192.168.1
Die Easybox ist "default" auf 192.168.2

Ich entschuldige mich für die IP Verwirrung.

Netz ist das 192.168.2.0/24
easybox 192.168.2.43
DS 192.168.2.21

alle Netzmasken 255.255.255.0
alle GW & DNS 192.168.2.43

IPs manuell vergeben bei allen Maschinen, auf easybox DHCP aktiv mit Bereich 192.168.2.80-90

funktionierende Clients seit Monaten 192.168.2.20; 192.168.2.23; 192.168.2.27
neue Clients mit von obigen Clients abweichenden IPs können die DS nicht erreichen...zumindest hab ich bei allen Versuchen noch keine gefunden.

 

[JudgeDredd]

OK, um jetzt DS Konfigurationsprobleme auszuschliessen, erstmal nur versuchen die DS anzupingen.

Szenario:
Client mit der IP 192.168.2.27 -> ping auf 192.168.2.21
gleiche Maschine ändern auf 192.168.2.28 -> ping auf 192.168.2.21

davon bitte mal das Ergebnis mitteilen.

 

[jahlives]

ich würde zusätzlich noch von der DS auf den Client pingen und vorher und nachher die ARP Tabelle vergleichen. Nur um einen IP Konflikt auszuschliessen. Und auch noch die Firewall komplett auf Durchzug schalten d.h. alle Regeln raus und Checkbox aktivieren "wenn keine Regel zutrifft, dann erlauben"

 

[Charly12]

OK, um jetzt DS Konfigurationsprobleme auszuschliessen, erstmal nur versuchen die DS anzupingen.

Szenario:
Client mit der IP 192.168.2.27 -> ping auf 192.168.2.21
gleiche Maschine ändern auf 192.168.2.28 -> ping auf 192.168.2.21

davon bitte mal das Ergebnis mitteilen.

Ping:

client IP 192.168.2.27 an DS 192.168.2.21 klappt
gleiche Maschine, geänderte client IP 192.168.2.28 an DS 192.168.2.21 klappt nicht

 

[JudgeDredd]

Ping:
client IP 192.168.2.27 an DS 192.168.2.21 klappt
gleiche Maschine, geänderte client IP 192.168.2.28 an DS 192.168.2.21 klappt nicht

OK, dann erstmal die gute Nachricht ... Deine IP-Blockierung auf der DS funktioniert wahrscheinlich so wie soll
Die schlechte Nachricht, in Deinem Netz/Clients ist irgendwo der Wurm drin.

Kannst Du etwas über die ARP-Table sagen von der jahlives gesprochen hat ?

Wie ist denn der physikalische Weg vom Client zur DS ? Bei 50 Maschinen setzt Du doch bestimmt keinen 08/15 Switch ein. Ist der managed und dort evtl. ein Filter gesetzt ?

 

[Charly12]

ich würde zusätzlich noch von der DS auf den Client pingen und vorher und nachher die ARP Tabelle vergleichen. Nur um einen IP Konflikt auszuschliessen. Und auch noch die Firewall komplett auf Durchzug schalten d.h. alle Regeln raus und Checkbox aktivieren "wenn keine Regel zutrifft, dann erlauben"

FW auf der DS ist komplett aus. Keine Regeln eingetragen und bei kein Harken bei aktiviert gesetzt.

Wo ist diese Checkbox ? Habe FW DSM 5.2-5644 Update 1

wie pinge ich von der DS einen Client an, geht das per WEBIF ?

 

[jahlives]

wie pinge ich von der DS einen Client an, geht das per WEBIF ?

am einfachsten über den SSH Zugang (aka Konsole)

arp -n
ping 192.168.2.28
arp -n

die ausgabe von arp -n vor dem Ping und nach dem Ping vergleichen. Hast du einen Eintrag in der Art?

? (192.168.2.28) at XX:XX:XX:XX:XX:XX [ether] on ethX

wichtig wäre falls dieser Eintrag vor dem ping bereits existiert, dass sich die MAC Adresse danach noch identisch ist wie vorher.
Ändert sich die MAC hast du doppelte IPs im Netz.
Auch darf nicht 'incomplete' stehen beim Eintrag, sonst ist was gröber faul in deinem Netz

 

[Charly12]

OK, dann erstmal die gute Nachricht ... Deine IP-Blockierung auf der DS funktioniert wahrscheinlich so wie soll
Die schlechte Nachricht, in Deinem Netz/Clients ist irgendwo der Wurm drin.

Kannst Du etwas über die ARP-Table sagen von der jahlives gesprochen hat ?

Wie ist denn der physikalische Weg vom Client zur DS ? Bei 50 Maschinen setzt Du doch bestimmt keinen 08/15 Switch ein. Ist der managed und dort evtl. ein Filter gesetzt ?

Ja, die IP Blockierung klappt leider zu gut. denn ich habe die ("Automatische Blockierung") ja gar nicht aktiviert

Die DS war zunächst an einem unmanaged Switch und ist nun versuchsweise per Kabel direkt an die Easybox angeschlossen.
Die Clients hängen an diesem Switch bzw. einer direkt an der Easybox. (bei beiden klappt das Pingen mit anderen, neuen IPs aber nicht)

Ich habe keine 50 Maschinen sondern das waren einfach nur Einträge in der Filterliste aufgrund VPN DHCP Bereichen.
Hätte man sicherlich professioneller und deutlich geringer halten können denn mehr als 4 Clients gibt es gar nicht.

 

[Charly12]

am einfachsten über den SSH Zugang (aka Konsole)

arp -n
ping 192.168.2.28
arp -n

die ausgabe von arp -n vor dem Ping und nach dem Ping vergleichen. Hast du einen Eintrag in der Art?

? (192.168.2.28) at XX:XX:XX:XX:XX:XX [ether] on ethX

wichtig wäre falls dieser Eintrag vor dem ping bereits existiert, dass sich die MAC Adresse danach noch identisch ist wie vorher.
Ändert sich die MAC hast du doppelte IPs im Netz.
Auch darf nicht 'incomplete' stehen beim Eintrag, sonst ist was gröber faul in deinem Netz

Erstmal fettes Danke für alle die hier mit Rat und Tat bisher beiseite standen !

So, ich glaube jetzt funktioniert es. Bin aber noch am probieren....

Was ist passiert : Wollte mich auf die DS einloggen per Putty mit meinem aktuellen anderen admin account , also nicht dem Standard "admin". Ging erstmal nicht. Habe dann das alte "admin" Konto reaktiviert. Putty ging immer noch nicht.

Mit "admin" in das WebIF eingeloggt. Zum einen war da seltsamerweise die "Automatische Blockierung" aktiviert, obwohl die ja im anderen Adminaccount deaktiviert war. (hä?)
Weiter ist mir bei Info unter dem Reiter Dienste aufgefallen das es da noch Firewall Harken gibt. Ich dachte im Bereich Sicherheit sind die einzigen FW Einstellungen. Telnet und SSH waren irgendwie geblockt. Das hab ich umgestellt, daraufhin scheinbar geht der SSH Zugang per Putty. Jetzt hab ich in den FW Settings entdeckt das ich da übersehen habe das einem der LAN Port noch Einstellungen waren. Die man solange es auf "Alle Schnittstellen" steht gar nicht angezeigt bekommt. Ein Verständnissproblem meinerseits oder eigene Blödheit

Pings gehen jetzt von der DS an die Clients ausser auf die Maschine von der ich mich per Putty eingeloggt hab (ist letzteres normal?)
Den Client mit der 27 auf 28 umgestellt und siehe da auch der Ping auf die DS und Zugriff auf das WebIF funktionieren.

Werde nunmal ausgiebig probieren und Rückmeldung geben wenn alles funzt.

Grüsse
Charly12