DHCP ifrån ISP istället för lokal DHCP

Permalänk
Medlem

DHCP ifrån ISP istället för lokal DHCP

Mitt bekymmer är att trådade enheter får ip ifrån min DHCP medans trådlösa enheter får externa adresser direkt ifrån Bahnhof. Detta eftersom min brandvägg inte sitter som första enhet i väggen utan den sitter i en switch tillsammans med en annan router som i sin tur har klienter både via LAN och WiFi.

Går detta att konfigurera så att allt får DHCP ifrån brandväggen?

Jag vet att det optimala vore om brandväggen kunde sitta först och därefter en switch till resterande klienter så att allt går genom den men då tvingas jag dra ytterligare en lång kabel tvärs över hela huset. Om jag kunde slippa detta så vore det skönt.

Något som har ett förslag?

Permalänk
Medlem

Varför behöver du dra kabel för att ha brandväggen först? Det är nåt som inte stämmer i din beskrivning . Koppla brandväggen först, sen switch, sen allt annat i switchen. Jag förstår inte varför det kräver ny kabeldragning.

vad för brandvägg är det förresten?

Permalänk
Medlem

Hmm... jag ska försöka förklara så gott jag kan

Jag har en server ståendes i ett rum dit jag dragit en lång kabel ifrån routern i vardagsrummet, två meter ifrån routern sitter även ISP-switchen på väggen. Den långa kabeln från routern till servern är det enda som binder ihop servern med resten av nätverket hemma så om jag kopplar denna kabeln direkt i väggen/ISP istället så sitter servern enskilt direkt ut på internet.

ISP > switch E klienter+server+Brandvägg+AP E trådlösa klienter

Brandväggen är en pfSense som körs virtuellt på servern som har två nätverkskort, det ena dedikerat till WAN på brandväggen och det andra delat med servern själv och LAN interface på brandväggen.

Lite rörigt kanske

Permalänk
Medlem

Routern måste sitta först i slingan. Men det går att komma runt men inte så lätt som du verkar tro.

I ditt fall finns två lösningar som inte kräver konfiguration. Den första är att använda en splitter. Den kommer låsa din hastighet till max 100mbit. Eftersom 100mbit bara använder hälften av trådarna i nätverkskabeln. Alternativ två är att hoppas att nätverk över elnätet fungerar bra och köra det för den ena trafiken. I vissa elnät fungerar det bra, i andra dåligt.

Det tredje alternativet är vlan. Kräver en switch i varje ände som är administrerad. Man tar då in internet trafiken på en port och sedan taggar den och skickar den gemensamt med den interna trafiken (som har en egen tagg) över en kabel ner till din centrala punkt där man har en switch som taggar av och skickar ut trafiken på olika portar baserat på vilken tagg de hade när paketen togs emot. Se skissen

Permalänk
Medlem

Jo jag är väl medveten om det... Jag har också funderat på splitter, det känns lite trist men det kanske man skulle kunna leva med..

I loggen ser man tydligt att min trådlösa klient blir erbjuden två gånger, faktiskt ifrån min interna dhcp först men ändå tar han det andra...

Jul 16 19:17:00 dhcpd DHCPDISCOVER from c8:f7:33:47:2e:22 (laptop) via hn1
Jul 16 19:17:00 dhcpd DHCPREQUEST for 155.4.xx.xx (85.11.0.101) from c8:f7:33:47:2e:22 via hn1: wrong network.
Jul 16 19:17:00 dhcpd DHCPNAK on 155.4.xx.xx to c8:f7:33:47:2e:22 via hn1
Jul 16 19:17:01 dhcpd DHCPOFFER on 192.168.1.27 to c8:f7:33:47:2e:22 (laptop) via hn1

en annan tanke jag fick var att skapa statiska dhcp-leases i min dhcp och se om den håller sig hemma då..

jag får dock en känsla av loggen att det skulle kunna gå, någon inställning på wan/lan-interfacet i pfsense kanske?

Permalänk
Medlem

Static DHCP-mapping verkar fungera, dock är det inte alls speciellt häftigt att behöva mata in varje ny trådlös enhet manuellt

Permalänk
Medlem

Har du lust att rita upp hur du kopplat ihop allt?

Det blir ganska rörigt i textform kombinerat med hur det beskrivs.
Du skriver att du bara har en kabel till servern? Men samtidigt två nätverkskort i brandvägg/server?

Bara att du får DHCP-svar från två olika DHCP-servrar visar att du gjort något heltokigt med din installation.

Med vänlig hälsning

Andreas Öhr
Epradius

Permalänk
Medlem

Problemet är egentligen inte bara dhcp lease vad jag förstår. Det är väl så att de trådlösa går rakt ut på internet och inte kan kommunicera med ditt lan?

Två vlan-kapabla switchar kan lösa det istället för splitter. Sätt en vid inkommande internet som taggat wan som ett vlan (på exempelvis vlan 10). Kör ut det vlanet otaggad som wan på pfsense och kör lan som vlan 1.

Skickades från m.sweclockers.com

Permalänk
Medlem

Ja visst är det tokigt alla klienter kommer ju åt 2 dhcp'er och den som svarar först lyckas väl ge ut en ip.. Något jag helt missade och märkte först när en av mina trålösa fick en extern adress.. Men detta problem hade jag inte tidigare då jag hade en router ifrån tre där jag kunde stänga av dhcp.

Vad jag inte förstår är varför alla på just trådade nätet får korrekt ip ifrån min dhcp och inte dem trådlösa?? Detta borde ju gå att ställa in?

här kommer en snabb skiss:

övriga enheter som ipkameror är inget problem eftersom dem har statiska adresser. Problemet är att jag inte får all trafik ifrån övriga klienter genom min proxy som skyddar med antivirus mm.

Jag är inte jättesugen på att lägga ut pengar på ytterligare hårdvara även om det vore snyggast. Då sätter jag hellre splitter eller drar en till kabel mot servern. Allra helst så löser jag det via konfiguration i pfsense/netgear router om det är möjligt.

Permalänk
Medlem

Nu måste du ritat fel. För du kan inte ha en router i vardagsrummet. Möjligtvis om du stängt av routerns funktioner.

Med DHCP kan man sätta olika options som följer med IP-adressen. NTP-servrar, ip-telefoniservrar, domännamn etc. Det kan vara så att när du sätter statisk så slår den på ett option (inte kollat men gissar) och det gör att klienten väljer den IP-adressen över den från din ISP. En IP-telefon väljer tex. hellre en IP-adress där man skickar med just vilken IP-telefoniserver den ska kolla sig emot. Vet dock inte om det finns något generellt option som gör en IP-adress mer lockande än en annan.

Kolla i din AP också om det finns en DHCP-proxy eller relay. Då kan du ange pfsense där och då komma runt problemet

Permalänk
Medlem

Som det är kopplat nu så är det ren tur om du får en IP från din servers DHCP eller från den "riktiga" routern. Kopplingen är felaktig. Du har i praktiken både LAN och WAN på samma sida i servern.

Lösning med att komplettera med en kabel, alternativ 1:
Med en kabel till skulle du gå från routern i vardagsrummet, direkt till WAN på servern.
Från LAN på servern tillbaka till vardagsrummet och där sätta dumma switchen.
Till dumma switchen kopplar du accesspunkterna och trådade klienter. WLAN i routern kan du inte använda då. Dessa går direkt ut genom riktiga routern. Inte via din server och dess brandvägg.

Lösning med att komplettera med en kabel, alternativ 2:

Från ISP går du direkt med en ny kabel till serverns WAN.
Tillbaka med LAN på den befintliga kabeln, till vardagsrummet.
I routern i vardagsrummet slår du av DHCP. Du har heller ingen anslutning i WAN-porten.
Kabeln från serverns LAN-sida ansluter du i en av routerns LAN-portar.
Nu kommer routerns trådlösa klienter gå via servern.

Om du inte vill dra fler kablar så är tidigare föreslagna VLAN-lösning ett alternativ.
Den ger dig då möjlighet till samma lösning som alternativ 2.
Men istället för en ny kabel förlagd mellan rummen så får du köpa två switchar som klarar VLAN.

Med vänlig hälsning

Andreas Öhr
Epradius

Permalänk
Medlem

Typ så...

Med vänlig hälsning

Andreas Öhr
Epradius

Permalänk
Medlem
Skrivet av StrydeR:

Ja visst är det tokigt alla klienter kommer ju åt 2 dhcp'er och den som svarar först lyckas väl ge ut en ip.. Något jag helt missade och märkte först när en av mina trålösa fick en extern adress.. Men detta problem hade jag inte tidigare då jag hade en router ifrån tre där jag kunde stänga av dhcp.

Vad jag inte förstår är varför alla på just trådade nätet får korrekt ip ifrån min dhcp och inte dem trådlösa?? Detta borde ju gå att ställa in?

här kommer en snabb skiss:
http://i.imgur.com/mZulAa3.png

övriga enheter som ipkameror är inget problem eftersom dem har statiska adresser. Problemet är att jag inte får all trafik ifrån övriga klienter genom min proxy som skyddar med antivirus mm.

Jag är inte jättesugen på att lägga ut pengar på ytterligare hårdvara även om det vore snyggast. Då sätter jag hellre splitter eller drar en till kabel mot servern. Allra helst så löser jag det via konfiguration i pfsense/netgear router om det är möjligt.

Om din skiss stämmer och det verkligen sitter en router vid ISP-uttaget så är det piece of cake, flytta inkommande internetkabel till WAN-porten på routern (kan även vara märkt "INTERNET") istället för en av LAN-portarna som den sitter i nu. Extra bonus blir att du kan ta bort pfSense-burken eftersom den då inte fyller någon funktion!
För tillfället har du nämligen betydligt större problem än att trafiken inte går igenom din proxy, hela ditt nät är sammankopplat direkt med internet och är helt oskyddat mot attacker utifrån, får en enhet en publik ip så är det bara att hålla tummarna för att den har inbyggd brandvägg, annars är den publikt åtkomlig för vem som helst.
Ett gott (och väl menat) råd är nog att läsa på rätt mycket mer om nätverk i allmänhet innan du försöker dig på mer avancerade grejer än så, risken finns att man ställer till med mer skada än man gör nytta om man inte vet vad man gör
Ett förslag är att börja med att läsa igenom den här: ]http://www.cisco.com/cisco/web/solutions/small_business/resource_center/articles/connect_employees_and_offices/networking_basics/index.html och sedan försöka få tag i Ciscos CBT Nuggets för CCENT-1-certifiering, inte för att du behöver göra certifieringen på något sätt, men de går igenom på ett väldigt pedagogiskt vis hur det funkar
Lycka till och var inte rädd för att fråga vidare!

Edit: Andreas råd ovan är också ett klart gångbart alternativ, men du bör nog fortfarande läsa på lite om du vill fortsätta testa och lära dig om nättjänster och funktioner!

se edit
Permalänk
Medlem

Ja, det är en router som används som switch/AP i vardagsrummet (en gammal Netgear WNDR3700).

4 portar var det visst med en extra WAN anslutning och nu i skrivande stund så slår det mig, kanske det fungerar bättre om jag pluggar in ISP-kabeln i WAN porten?! Det låter ju så logiskt så man känner sig dum :S

Dock tvingas jag nog konfa om WAN-interfacet på brandväggen ifrån DHCP till netgearens ip som gateway gissar jag?? Kan detta vara lösningen på mitt problem? Jag tänker då att ISP'ns DHCP inte släpps förbi min router eftersom den tar emot trafiken WAN-porten.

Permalänk
Medlem
Skrivet av AtreX:

Om din skiss stämmer och det verkligen sitter en router vid ISP-uttaget så är det piece of cake, flytta inkommande internetkabel till WAN-porten på routern (kan även vara märkt "INTERNET") istället för en av LAN-portarna som den sitter i nu. Extra bonus blir att du kan ta bort pfSense-burken eftersom den då inte fyller någon funktion!
För tillfället har du nämligen betydligt större problem än att trafiken inte går igenom din proxy, hela ditt nät är sammankopplat direkt med internet och är helt oskyddat mot attacker utifrån, får en enhet en publik ip så är det bara att hålla tummarna för att den har inbyggd brandvägg, annars är den publikt åtkomlig för vem som helst.
Ett gott (och väl menat) råd är nog att läsa på rätt mycket mer om nätverk i allmänhet innan du försöker dig på mer avancerade grejer än så, risken finns att man ställer till med mer skada än man gör nytta om man inte vet vad man gör
Ett förslag är att börja med att läsa igenom den här: ]http://www.cisco.com/cisco/web/solutions/small_business/resource_center/articles/connect_employees_and_offices/networking_basics/index.html och sedan försöka få tag i Ciscos CBT Nuggets för CCENT-1-certifiering, inte för att du behöver göra certifieringen på något sätt, men de går igenom på ett väldigt pedagogiskt vis hur det funkar
Lycka till och var inte rädd för att fråga vidare!

Edit: Andreas råd ovan är också ett klart gångbart alternativ, men du bör nog fortfarande läsa på lite om du vill fortsätta testa och lära dig om nättjänster och funktioner!

Jaa precis så, ska testa detta

Att certifiera mig för mitt hemmapyssel får nog vara tyvärr. Det är inget arbete som bedrivs i hemmet utan mest jag själv som inte kan hålla fingrarna i styr och vill testa nya saker. Learning by doing?

Hittills har bara några få klienter fått externt IP och dem har jag koll på, däremot tror jag inte det kan vara så farligt att exponera en enhet i samband med en extern adress, isåfall borde switchen som installerades i mitt hem komma med en stor röd varningstext! Tror sedan att ISP'n, Bahnhof i detta fall har ytterligare filter ut mot slutanvändarna, men vad vet jag..?

Permalänk
Medlem

Nej, får du en publik ip på en burk kan den hackas och så kan man från den hoppa in på alla andra burkarna helt utan att passera din pfsense. Det är bara att kolla arp-tabellen så inser personen att den hittat en guldgruva om den vill komma åt allt du äger och har...

Skickades från m.sweclockers.com

Permalänk
Medlem
Skrivet av Andreas Epradius:

Som det är kopplat nu så är det ren tur om du får en IP från din servers DHCP eller från den "riktiga" routern. Kopplingen är felaktig. Du har i praktiken både LAN och WAN på samma sida i servern.

Lösning med att komplettera med en kabel, alternativ 1:
Med en kabel till skulle du gå från routern i vardagsrummet, direkt till WAN på servern.
Från LAN på servern tillbaka till vardagsrummet och där sätta dumma switchen.
Till dumma switchen kopplar du accesspunkterna och trådade klienter. WLAN i routern kan du inte använda då. Dessa går direkt ut genom riktiga routern. Inte via din server och dess brandvägg.

Lösning med att komplettera med en kabel, alternativ 2:

Från ISP går du direkt med en ny kabel till serverns WAN.
Tillbaka med LAN på den befintliga kabeln, till vardagsrummet.
I routern i vardagsrummet slår du av DHCP. Du har heller ingen anslutning i WAN-porten.
Kabeln från serverns LAN-sida ansluter du i en av routerns LAN-portar.
Nu kommer routerns trådlösa klienter gå via servern.

Om du inte vill dra fler kablar så är tidigare föreslagna VLAN-lösning ett alternativ.
Den ger dig då möjlighet till samma lösning som alternativ 2.
Men istället för en ny kabel förlagd mellan rummen så får du köpa två switchar som klarar VLAN.

Med vänlig hälsning

Andreas Öhr
Epradius

Det fetmarkerade! Både snyggast och är väl så man bygger i de flesta fall.

Permalänk
Medlem

Talisker00: Ja det är ingen bra idé trots brandvägg påslagen såklart. Jag har satt statiska mappningar i min DHCP på dem enheter jag har och då får även trådlösa ip lokalt så det är lugnt för nuet.

Lösningen med att koppla ISP i routerns WAN-port och sedan sätta routern som gate på wan-interacet i brandväggen fungerade faktiskt bra. Jag fick nät och övriga klienter fick lokala adresser utan static mapping. Dock kommer följdproblemet att jag då har samma nät både på WAN och LAN vilket blir knas och jag orkar inte byta statiska adresser dem enheter jag har

Det lutar mest åt alternativ 1 som Andreas skrev tidigare. Det mest givna men som jag försökte slippa så långt det gick. Jag får försöka pyssla ihop kablaget i en och samma slinga så kanske det går ändå.

Permalänk
Medlem
Skrivet av StrydeR:

Jaa precis så, ska testa detta

Att certifiera mig för mitt hemmapyssel får nog vara tyvärr. Det är inget arbete som bedrivs i hemmet utan mest jag själv som inte kan hålla fingrarna i styr och vill testa nya saker. Learning by doing?

Hittills har bara några få klienter fått externt IP och dem har jag koll på, däremot tror jag inte det kan vara så farligt att exponera en enhet i samband med en extern adress, isåfall borde switchen som installerades i mitt hem komma med en stor röd varningstext! Tror sedan att ISP'n, Bahnhof i detta fall har ytterligare filter ut mot slutanvändarna, men vad vet jag..?

Som jag skrev i mitt ursprungliga inlägg så var naturligtvis inte syftet att du skulle ta certifikatet, men att kika igenom filmerna räcker långt för att få en grundläggande förståelse för hur nätverk fungerar, om du vill göra det eller inte är naturligtvis upp till dig, men vill du fortsätta låta fingrarna göra vad de känner för och testa nya grejer (jag vet precis hur det är, jag är likadan själv och det har än så länge lett till att jag nu konfigurerar häftigare internetanslutningar och andra WAN-tjänster för en av sveriges och världens största ISP:er) och i vissa fall är det bra att ha bara lite teoretisk kunskap om man ska använda "det stora labbet" (dvs. sin vanliga miljö )..

Permalänk
Medlem
Skrivet av AtreX:

Som jag skrev i mitt ursprungliga inlägg så var naturligtvis inte syftet att du skulle ta certifikatet, men att kika igenom filmerna räcker långt för att få en grundläggande förståelse för hur nätverk fungerar, om du vill göra det eller inte är naturligtvis upp till dig, men vill du fortsätta låta fingrarna göra vad de känner för och testa nya grejer (jag vet precis hur det är, jag är likadan själv och det har än så länge lett till att jag nu konfigurerar häftigare internetanslutningar och andra WAN-tjänster för en av sveriges och världens största ISP:er) och i vissa fall är det bra att ha bara lite teoretisk kunskap om man ska använda "det stora labbet" (dvs. sin vanliga miljö )..

Det var jag som missade någon rad där, tyckte det lät lite väl med att certa sig Jag ska absolut kika igenom det ändå. Man märker hur mycket man lärt sig på bara denna korta men intensiva resan och det är såklart bra att komplettera. Googlar på nätet gör man ju givetvis också för jämnan men det kan ju vara bra med lite "riktig" lektyr också emellanåt.