Cisco - subnet problemen

[Dragon]

Ik heb een cisco router met IOS 12.2.

Mijn externe ip is: x.x.79.30
Het subnetmask is: 255.255.254.0
De gateway is: x.x.78.1

Nu is het probleem dat mijn cisco router niet kan pingen naar de gateway. Als ik het IP verander naar .78.30 wel. De ip classless staat aan. Ik heb al verscheidene pogingen gedaan om het goed te krijgen maar tot nu toe geen succes. Zie ik iets heel erg over het hoofd?

[joopv]

Het subnet masker aan de andere kant staat waarschijnlijk niet goed.
Krijg je wel een volledige arp entry van dat station in de cisco? (show arp)

[ Voor 48% gewijzigd door joopv op 13-11-2005 20:16 ]

[Dragon]

Als ik een computer rechtstreeks aansluit met dezelfde gegevens werkt het wel. En nee geen arp.

[Brahiewahiewa]

Blokkeertie misschien ICMP?

[Dragon]

nee het is geen acl probleem.

[Rolfie]

Sniffertje proberen?

[_-= Erikje =-_]

stuur je je pings wel met het juiste source ip ? (ping 1.2.3.4 source fa0)

[Dragon]

De source van de pings is in orde. Het probleem is puur dat de .79.x de .78.x adressen niet kan bereiken terwijl de netmask 255.255.254.0 is.

[Verwijderd]

Kan aan mij liggen, maar geef dat ding een extern IP uit de 78.x reeks, dat is namelijk nodig bij mijn weten en werkte het bij mij normaal.

Dus:

interface ethernet slot/nummer
ip address x.x.78.x 255.255.254.0
!
interface ve 2
ip address x.x.79.x 255.255.254.0
!

Waarbij beide subnets mogen verschillen dacht ik.

[ Voor 43% gewijzigd door Verwijderd op 13-11-2005 23:10 . Reden: Toevoeging van brute code ]

[Dragon]

Verwijderd schreef op zondag 13 november 2005 @ 23:06:
Kan aan mij liggen, maar geef dat ding een extern IP uit de 78.x reeks, dat is namelijk nodig bij mijn weten en werkte het bij mij normaal.

Dus:

interface ethernet slot/nummer
ip address x.x.78.x 255.255.254.0
!
interface ve 2
ip address x.x.79.x 255.255.254.0
!

Waarbij beide subnets mogen verschillen dacht ik.

uit de x.x.78.x range gebruiken is illegaal vrees ik (is niet van/voor mij).

[Verwijderd]

Het subnetmask klopt in elk geval, als jij IP *.*.79.30 hebt met subnetmask 255.255.254.0, dan loopt het netwerk van *.*.78.1 tot *.*.79.254.

Het ligt dus NIET aan het subnetmasker. Het antwoord van RugterM is redelijk onzinnig, daar je niet zomaar IP-adressen aan interfaces kunt gaan koppelen.

Kun je eens de relevante delen van je config plaatsen?

Je routering klopt niet, je ACL's kloppen niet of je pinged verkeerd. Het moet zo ongeveer wel één van die drie zijn. Gezien het feit dat de PC wel werkt, weet je dat de fout aan jouw kant zit.

[Verwijderd]

Verwijderd schreef op maandag 14 november 2005 @ 00:17:

Het ligt dus NIET aan het subnetmasker. Het antwoord van RugterM is redelijk onzinnig, daar je niet zomaar IP-adressen aan interfaces kunt gaan koppelen.

Je zal altijd wanneer je een router binnen iemand anders zijn netwerk hangt, waarbij je een eigen IP-range hebt, een IP van de andere partij moeten krijgen die jij dan aan een poort van je router knoopt.

Bovenstaand is uit een werkende deel-config (aangepast uiteraard anders vind ik dat niet leuk, overigens geen cisco al zou je die zo over moeten kunnen plempen) van een router die in een DC staat.

Ik was vergeten aan te geven:

ip route 0.0.0.0 0.0.0.0 x.x.78.1

[ Voor 15% gewijzigd door Verwijderd op 14-11-2005 00:28 . Reden: weer brute code ;) ]

[joopv]

Het lijkt wel een raadspelletje.... paste je config en beschrijf je netwerk.

Kan je router geen arp request/reply kan afmaken met de tegenpartij? Als dat al niet werkt is er een layer 1/2 probleem. Misschien een raar mac address op de cisco geconfigd? Dubbel mac adres op hetzelfde segment? Heb je wel een ethernet link? Kun je uberhaubt IETS pingen? sh int <poort>, lopen de tx en rx packets counters op? Is je interface up/up?

Als arp wel werkt is er een layer3 IP routing / filtering probleem.

[ Voor 17% gewijzigd door joopv op 14-11-2005 00:53 ]

[Verwijderd]

Verwijderd schreef op maandag 14 november 2005 @ 00:21:
Je zal altijd wanneer je een router binnen iemand anders zijn netwerk hangt, waarbij je een eigen IP-range hebt, een IP van de andere partij moeten krijgen die jij dan aan een poort van je router knoopt.

En dat heeft hij dus al. Hij heeft z'n eigen ip (*.*.79.30). Dit IP valt in hetzelfde netwerk als de gateway (*.*.78.1), vanwege de netmask (255.255.254.0).

[Verwijderd]

Verwijderd schreef op maandag 14 november 2005 @ 01:26:
[...]


En dat heeft hij dus al. Hij heeft z'n eigen ip (*.*.79.30). Dit IP valt in hetzelfde netwerk als de gateway (*.*.78.1), vanwege de netmask (255.255.254.0).

Daar heb je een punt inderdaad ! Ging wel even door mijn gedachte maar mijn situatie was anders vandaar dat ik richting die kan neigde.

Dan zal hij toch wat meer info moeten geven, of hij heeft geen route staan richting de gateway denk ik.

[PerfectPC]

joopv schreef op maandag 14 november 2005 @ 00:48:
Het lijkt wel een raadspelletje.... paste je config en beschrijf je netwerk.

zonder deze info gaan we niet ver geraken vrees ik.
maak eens een backup van je config, maak de running config leeg en probeer eens met deze config:

code:

interface Ethernet0
 ip address *.*.79.30 255.255.254.0
 no ip directed-broadcast
!
!
ip classless
no ip http server
ip route 0.0.0.0 0.0.0.0 *.*.78.1

meer heb je echt niet nodig om een connectie te maken. als dit niet lukt is er iets zeer grondig mis

[ Voor 10% gewijzigd door PerfectPC op 14-11-2005 04:46 ]

[Verwijderd]

PerfectPC schreef op maandag 14 november 2005 @ 04:45:
[...]

zonder deze info gaan we niet ver geraken vrees ik.
maak eens een backup van je config, maak de running config leeg en probeer eens met deze config:

code:

interface Ethernet0
 ip address *.*.79.30 255.255.254.0
 no ip directed-broadcast
!
!
ip classless
no ip http server
ip route 0.0.0.0 0.0.0.0 *.*.78.1

meer heb je echt niet nodig om een connectie te maken. als dit niet lukt is er iets zeer grondig mis

Ik twijfelde al aan mezelf

[Adze]

Je config = 100% OK

Ik vermoed dat de overkant een verkeerd subnetmask heeft...

[Brahiewahiewa]

Adze15021979 schreef op maandag 14 november 2005 @ 14:25:
Je config = 100% OK

Ik vermoed dat de overkant een verkeerd subnetmask heeft...

Mij dunkt dat 't dan met een gewone PC ook niet zou werken:

The-Dragon schreef op zondag 13 november 2005 @ 20:19:
Als ik een computer rechtstreeks aansluit met dezelfde gegevens werkt het wel. En nee geen arp.

[Verwijderd]

Post nou eens van beide routers de complete config... misschien komen we er dan verder uit.

[Dragon]

PerfectPC schreef op maandag 14 november 2005 @ 04:45:
[...]

zonder deze info gaan we niet ver geraken vrees ik.
maak eens een backup van je config, maak de running config leeg en probeer eens met deze config:

code:

interface Ethernet0
 ip address *.*.79.30 255.255.254.0
 no ip directed-broadcast
!
!
ip classless
no ip http server
ip route 0.0.0.0 0.0.0.0 *.*.78.1

meer heb je echt niet nodig om een connectie te maken. als dit niet lukt is er iets zeer grondig mis

Dit is nu de config die ik heb, show arp geeft wel de gateway weer (x.x.78.1) maar kan niet pingen. De gateawy config kan ik helaas niet bekijken dus ik ben bang dat we het zonder die moeten doen (maar die werkt verder wel goed).

[PerfectPC]

The-Dragon schreef op maandag 14 november 2005 @ 18:35:
Dit is nu de config die ik heb, show arp geeft wel de gateway weer (x.x.78.1) maar kan niet pingen.

het spijt me zeer, maar dit KAN NIET post eens je VOLLEDIGE show run.

[Dragon]

code:

!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname rtr1
!
boot system flash c1600-sy-mz.122-3.bin
aaa new-model
enable secret 5 *knip*
!
username *knip* password 0 *knip*
no ip subnet-zero
ip name-server *knip*
ip name-server *knip*
!
ip dhcp pool dhcppool1
   network 10.0.0.0 255.0.0.0
   domain-name *knip*
   dns-server *knip* 
   default-router 10.0.0.1 
!
!
!
!
interface Ethernet0
 ip address x.x.79.30 255.255.254.0
!
interface Ethernet1
 ip address 10.0.0.1 255.0.0.0
 ip nat inside
 no ip mroute-cache
!
ip nat inside source list 100 interface Ethernet0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 x.x.78.1
ip http server
!
access-list 100 permit ip 10.0.0.0 0.255.255.255 any
access-list 123 permit tcp any any established
access-list 123 permit udp any any
access-list 123 permit icmp any any echo-reply
access-list 123 permit icmp any any host-redirect
access-list 123 permit icmp any any host-unknown
access-list 123 permit icmp any any host-unreachable
no cdp run

line con 0
 password *knip*
line vty 0 4
 password *knip*
!
end

[Verwijderd]

The-Dragon schreef op maandag 14 november 2005 @ 19:12:

code:

[..]

Heel leuk die access list 123 waarin je echo reply etc toestaat, maar als je 'm nergens aan koppelt, heb je er niet zoveel aan hoor

Maak daar eens zoiets van:

code:

interface Ethernet0
 ip address x.x.79.30 255.255.254.0
 ip access-group 123

Dit uit het hoofd, kijk anders even op de cisco site voor ACL voorbeelden..

[ Voor 31% gewijzigd door Verwijderd op 14-11-2005 20:47 ]

[Verwijderd]

een routing protocol instellen helpt wellicht. router rip of router igmp bijvoorbeeld

en de tip van hezik is ook een goeie. Volgens mij idd ip access-group 123

[ Voor 32% gewijzigd door Verwijderd op 14-11-2005 20:56 ]

[PerfectPC]

Verwijderd schreef op maandag 14 november 2005 @ 20:45:
een routing protocol instellen helpt wellicht. router rip of router igmp bijvoorbeeld

en de tip van hezik is ook een goeie. Volgens mij idd ip access-group 123

routing is niet nodig om te kunnen pingen binnen hetzelfde netwerk hé
om NAT aan de praat te krijgen kan een IP nat outside ook wel handig zijn

[Dragon]

Ik heb de ACL en NAT bewust uitgeschakeld om problemen te voorkomen Aan werkt het dus ook niet.

[Verwijderd]

Doe eens een debug ip packet detail en post de terminal output eens.

[ Voor 81% gewijzigd door Verwijderd op 14-11-2005 22:48 ]

[joopv]

Je hebt NAT half geconfigureerd. Sloop het er helemaal uit, of bouw het helemaal goed op. Op deze manier vraag je om problemen.

Verwijder beide ip nat inside regels, onder de e0 en in de global.

[Verwijderd]

Doe eens dit:

code:

version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname rtr1
!
boot system flash c1600-sy-mz.122-3.bin
aaa new-model
enable secret 5 *knip*
!
username *knip* password 0 *knip*
ip name-server *knip*
ip name-server *knip*
!
interface Ethernet0
 ip address x.x.79.30 255.255.254.0
!
interface Ethernet1
 ip address 10.0.0.1 255.0.0.0
!
ip route 0.0.0.0 0.0.0.0 x.x.78.1
!
line con 0
 password *knip*
line vty 0 4
 password *knip*
!
end

Dat zou moeten werken. Met die config zou je moeten kunnen pingen. Daarna kun je dan je zaken als NAT, ACL's en DHCP weer toevoegen.

Classless is voor zover ik weet helemaal niet nodig in deze config? Deze machine zal alleen verkeer te routeren krijgen voor IP's waarvan hij het bestaan weet, immers hij krijgt op beide interfaces alleen verkeer uit het eigen netwerk, en er is een default route.

[Adze]

Je Config = 100% werkend.

Het enige wat ik nog kan bedenken is dat de gateway toch *iets* heeft geconfigureerd staan waardoor het niet werkt. Een IOS bug lijkt me zeer onwaarschijnlijk, aangezien de config heel erg basic is...

Misschien tijd voor debug ip packet? Kijken of het pakket de router echt wel verlaat?

[ Voor 69% gewijzigd door Adze op 15-11-2005 00:10 ]

[Verwijderd]

Eh, Adze, over wiens config heb je het dan? Die config die ik postte, was een suggestie.. verder naar boven staat de config van de topicstarter

[Verwijderd]

Verwijderd schreef op dinsdag 15 november 2005 @ 03:10:
Eh, Adze, over wiens config heb je het dan? Die config die ik postte, was een suggestie.. verder naar boven staat de config van de topicstarter

Ik dacht eerder op de avond ook dat de TS dat script had neergezet... overheen gelezen

Maar ok. jouw script zou inderdaad moeten werken. Dat MOET gewoon !

[JackBol]

Verwijderd schreef op dinsdag 15 november 2005 @ 03:46:
Maar ok. jouw script zou inderdaad moeten werken. Dat MOET gewoon !

goed onderbouwt ook...


maaruh, paste die config van hezik eens in je router (wel ff rebooten)
ping maar x.x.78.1

post de uitkomt van de ping, post je show arp en post eens een show cdp neighbor

[Verwijderd]

in zijn eigen config had hij cdp uitstaan, dus dat zal weinig effect hebben gok ik...

[Adze]

Probeer eens: "ip subnet-zero" in je global config. Ik denk niet dat het helpt, maar slechter wordt het er niet door...

[Dragon]

Adze15021979 schreef op dinsdag 15 november 2005 @ 11:13:
Probeer eens: "ip subnet-zero" in je global config. Ik denk niet dat het helpt, maar slechter wordt het er niet door...

Ik kan er pas later vanmiddag weer mee aan de slag. Ik ga dan die hierboven genoemde config proberen. ip subnet-zero stond eerst aan en dat hielp niet.

[Verwijderd]

Dirk-Jan schreef op dinsdag 15 november 2005 @ 09:18:
[...]


goed onderbouwt ook...

Ik kan dezelfde config hier wel neer gaan plempen maar daar schiet hij ook weinig mee op

[Dragon]

[quote]Verwijderd schreef op maandag 14 november 2005 @ 23:19:
Doe eens dit:

code:

version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname rtr1
!
boot system flash c1600-sy-mz.122-3.bin
aaa new-model
enable secret 5 *knip*
!
username *knip* password 0 *knip*
ip name-server *knip*
ip name-server *knip*
!
interface Ethernet0
 ip address x.x.79.30 255.255.254.0
!
interface Ethernet1
 ip address 10.0.0.1 255.0.0.0
!
ip route 0.0.0.0 0.0.0.0 x.x.78.1
!
line con 0
 password *knip*
line vty 0 4
 password *knip*
!
end

Deze config gebruikt met slechts de IPs veranderd en een 'no shutdown'.

dit is het resultaat

code:

rtr1#ping x.x.78.1                    

Type escape sequence to abort.                              
Sending 5, 100-byte ICMP Echos to x.x.78.1, timeout is 2 seconds:                                                                   
.....     
Success rate is 0 percent (0/5)
rtr1#show arp
Protocol  Address          Age (min)  Hardware Addr   Type   Interface
Internet  10.0.0.1                -   0004.2722.26fd  ARPA   Ethernet1
Internet  x.x.79.30             -   0004.2722.26fc  ARPA   Ethernet0
Internet  x.x.78.1              0   000c.31f7.4c70  ARPA   Ethernet0
rtr1#show cdp neighbor
Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge
                  S - Switch, H - Host, I - IGMP, r - Repeater

Device ID        Local Intrfce     Holdtme    Capability  Platform  Port ID
rtr1#

Geen succes dus

[Verwijderd]

code:

Internet  x.x.79.30             -   0004.2722.26fc  ARPA   Ethernet0
Internet  x.x.78.1              0   000c.31f7.4c70  ARPA   Ethernet0

Lijkt me niet geheel juist ?

Maak eens een 2-vlans aan en laat daar even tussen routeren desnoods.

[ Voor 17% gewijzigd door Verwijderd op 15-11-2005 18:42 ]

[Dragon]

Verwijderd schreef op dinsdag 15 november 2005 @ 18:41:

code:

Internet  x.x.79.30             -   0004.2722.26fc  ARPA   Ethernet0
Internet  x.x.78.1              0   000c.31f7.4c70  ARPA   Ethernet0

Lijkt me niet geheel juist ?

Waarom niet? (Kan ik je misschien bereiken op IRC/MSN?)

[Verwijderd]

The-Dragon schreef op dinsdag 15 november 2005 @ 18:42:
[...]


Waarom niet? (Kan ik je misschien bereiken op IRC/MSN?)

Aangezien een van de 2 op - staat zou het niet uit moeten maken, maar met vlans sluit je dat volgens mij wel uit dat je 2 IP's in zo'n simpele config aan een poort ge-assigned krijgt.

[Dragon]

Verwijderd schreef op dinsdag 15 november 2005 @ 18:49:
[...]


Aangezien een van de 2 op - staat zou het niet uit moeten maken, maar met vlans sluit je dat volgens mij wel uit dat je 2 IP's in zo'n simpele config aan een poort ge-assigned krijgt.

ja het is ARP he. Die 79.30 is de lokale dus daar is age niet van op toepassing vandaar de -. Toch?

[Verwijderd]

The-Dragon schreef op dinsdag 15 november 2005 @ 18:54:
[...]


ja het is ARP he. Die 79.30 is de lokale dus daar is age niet van op toepassing vandaar de -. Toch?

Ik checkte net even een router namelijk waar het geregeld is met vlans omdat er meer dan 100 poorten in zitten. Daar stond in jou geval de .30 namelijk niet bij.

[PerfectPC]

Verwijderd schreef op dinsdag 15 november 2005 @ 18:41:

code:

Internet  x.x.79.30             -   0004.2722.26fc  ARPA   Ethernet0
Internet  x.x.78.1              0   000c.31f7.4c70  ARPA   Ethernet0

Lijkt me niet geheel juist ?

niet enkel is dat perfect juist, het is ook het bewijs dat er op layer 1 & 2 geen problemen zijn

show cdp neighbors moet wel meer info geven

[Dragon]

PerfectPC schreef op dinsdag 15 november 2005 @ 19:56:
[...]

niet enkel is dat perfect juist, het is ook het bewijs dat er op layer 1 & 2 geen problemen zijn

show cdp neighbors moet wel meer info geven

code:

rtr1#show cdp neighbor
Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge
                  S - Switch, H - Host, I - IGMP, r - Repeater

Device ID        Local Intrfce     Holdtme    Capability  Platform  Port ID

de andere kant heeft geen cisco apparatuur naar mijn weten.

[Verwijderd]

PerfectPC schreef op dinsdag 15 november 2005 @ 19:56:
[...]

niet enkel is dat perfect juist, het is ook het bewijs dat er op layer 1 & 2 geen problemen zijn

show cdp neighbors moet wel meer info geven

Uhm ja, maar dat ding is toch niet als switching ingesteld in de sh run ? Dan zou dat wel op gaan.

[jed_nl]

Michien een idee om de uitgebreide cisco debug te gebruiken?

bijvoorbeeld op deze manier;

Config#access-list 1 permit x.x.78.1

#Debug ip packet 1 detail

Hiermee krijg je alle IP packeten te zien die naar/van je gateway komen/gaan.
Als je nu een ping stuurt zou je zo wie zo moeten zien dat de echo verstuurd wordt. krijg je hier een encapsulation failed is er een probleem met je interface.

Jacques

[teigetjuh]

Weet je of de andere kant wel de ICMP-pakketten oppakt en niet gewoon gelijk dropt? De meeste beheerders willen geen ICMP zomaar open hebben staan. Ook CDP kan uitgeschakeld staan.

Kun je er wel gewoon verkeer overheen sturen?


Trouwens, ik zou ook de service password-encryption aanzetten.

[DJ]

Voer ook eens een debug ip icmp commando uit en ping dan eens. Wellicht dat je dan ook wat meer info krijgt. Post de output daarvan eens hier.

[_-= Erikje =-_]

heb je ook aan soiets als port-security gedacht aan de andere kant? zet je interface eens op 't zelfde mac als de PC waarmee je getest hebt en wat voor interface heeft die cisco 10/100? en welke settings had je PC (10/100 HD/FD?)

[Verwijderd]

Voor de mensen die praten over een filter aan de andere kant.. al in de TS geeft hij aan dat alles wel werkt als hij ipv. die router een PC gebruikt. Het kan dus niet aan filtering aan 'de andere kant' liggen.

[Verwijderd]

Verwijderd schreef op donderdag 17 november 2005 @ 09:55:
Voor de mensen die praten over een filter aan de andere kant.. al in de TS geeft hij aan dat alles wel werkt als hij ipv. die router een PC gebruikt. Het kan dus niet aan filtering aan 'de andere kant' liggen.

Wel als er MAC filtering aanstaat op het MAC adres van die PC die hij daarvoor gebruikt

[Dragon]

Ik had gisteren geen tijd om te testen want ik was bezig met verhuizen. Maar er is geen MAC filtering. Ik ga straks maar is prutsen met debug.