IP range ineens totaal anders, terechte paniek?

[AKA_ACE]

Op ons bedrijf draaien wij met de 192.168.*.* ip range.
Bijna allemaal via DHCP en een paar (heeft zo z'n redenen) via een vast IP.

Gistermorgen kregen alle PC's via de DHCP ineens een volledig ander IP adres, namelijk 62.40.*.*, en konden uiteraard niets meer doen. De PC's die een vast IP hebben (192.168.*.*) konden wel nog alles doen (mail, i-net etc etc).

Ik vond dit heel erg vreemd en omdat ik als semi-netwerkbeheerder gewoon zeker weet dat er niets aan het netwerk veranderd is raakte ik (mild) in paniek omdat ik groter onheil vermoedde dan op het eerste gezicht duidelijk was (ik dacht dat er iemand in de server (novell) heeft zitten klooien).

Ik heb contact opgenomen met de "grote" netwerkbeheerder en hij zei dat ik de PC's die niet wilden maar gewoon een vast IP moest geven en me verder geen zorgen maken...
Ook na aangeven van mij dat ik echt wel wat van netwerken wist en dat dit absoluut niet normaal was volgens mij, hield hij vol dat er niets aan de hand was (deze man heeft vaker blijk van desinteresse geven mbt het server beheer, vandaar mijn semi-rol in deze...).

Ik heb niet naar deze man geluisterd en ben toch op zoek gegaan naar de reden van deze rare IP adressen (en gevonden trouwens, maar daarover later meer).

Nu heb ik op mijn klote gekregen van deze "beheerder" omdat ik op eigen initiatief ben gaan kijken wat hier aan de hand was terwijl mijn inziens hier echt een verdachte situatie ontstaan is. Ik dacht zelfs aan een een of andere hack-achtige poging of iets dergelijks. In ieder geval vertrouwde ik het niet.

Ik krijg mijn baas er niet van overtuigd dat ik de juiste aktie heb ondernomen en onze netwerkbeheerder juist degene is die fout zit....

Oftewel, heb ik hier goed aangedaan en was mijn (milde) paniek terecht???


De reden van de IP wisseling:
Eén van de werknemers wilde zijn laptop ook aan het netwerk hangen (om volslagen onbekende redenen trouwens) en heeft, de dag van te voren, van thuis zijn oude ADSL modem/router meegenomen en op zijn kantoor aan het netwerksnoer gehangen zodat hij op zijn laptopkon internetten en gewoon doorwerken. Omdat hij dit gedaan heeft toen alles al draaide is pas de volgende dag het probleem duidelijk geworden toen alle PC's wilden inloggen en ineens dat rare IP kregen....
De enorme knurft....., het enige wat hij had moeten doen is het even vragen en ik had hem een switch meegeven.....

Wat wel vreemd is dat nu de DHCP van de server niet meer werkt....
Kan het zijn dat indien er een andere DHCP server aktief is de eigen DHCP zichzelf uitzet???
Ook na een reboot van de server doet de DHCP het nog steeds niet, vreemde zaak lijkt mij....

[Verwijderd]

je hebt vermoedelijk een prutser in je netwerk die een 2de dhcp server heeft geinstalleerd. helaas voor jou reageert tie sneller dan de "echte" dhcp server.

edit: hehe had niet alles gelezen, maar dat was het dus inderdaad . Win2k of hoger? moet je misschien de dhcp weer authorizen in de dhcp snapin... is dat het niet, dan staat er absoluut iets in je eventlogs waar jij (of wij) iets mee kan.

[ Voor 43% gewijzigd door Verwijderd op 31-08-2006 15:03 ]

[rapture]

9 kansen op 10 gaat het idd om een huishoudrouter dat dolleuk dhcp-server zit te draaien, 2 dhcp-servers in 1 netwerk => problemen. Huishoudrouters zijn geen switches, als hij een extra laptop wilt aansluiten, pak dan een switch.

[MegaTronics]

Dan heeft die ADSL Modem router vrolijk IP adressen lopen uit te delen. Ik weet niet hoelang die de lease heeft staan, maar anders op de clients eens proberen met ipconfig /release en daarna een ipconfig /renew uit laten voeren. In principe zou die dan bij de DHCP server een nieuw adres moeten krijgen.

Bij mij op het werk en thuis werkt het automatisch zonder problemen op de laptop. Thuis en op het werk gebruiken we verschillende ip ranges. Als ik van het ene netwerk naar het andere netwerk ga krijg ik alleen in mijn event log de melding:

De IP-adreslease 192.168.1.100 voor de netwerkkaart met netwerkadres 0011436CFE42 is geweigerd door de DHCP-server 172.16.0.7. De DHCP-server heeft een DHCPNACK-bericht gezonden.

Daarna krijgt die gewoon een IP adres uit de goede reeks en 's avonds thuis weer het omgekeerde.

[AKA_ACE]

Verwijderd schreef op donderdag 31 augustus 2006 @ 14:59:
je hebt vermoedelijk een prutser in je netwerk die een 2de dhcp server heeft geinstalleerd. helaas voor jou reageert tie sneller dan de "echte" dhcp server.

rapture schreef op donderdag 31 augustus 2006 @ 15:01:
9 kansen op 10 gaat het idd om een huishoudrouter dat dolleuk dhcp-server zit te draaien, 2 dhcp-servers in 1 netwerk => problemen. Huishoudrouters zijn geen switches, als hij een extra laptop wilt aansluiten, pak dan een switch.

Uiteraard is het eerste dat gedaan heb die achterlijke ADSL modem/router uit het netwerk halen....
Maar het blijft etteren...

<nofi modus>
Lees het laatste stukje (de kleine lettertjes ) eens even...
Mijn vraag is meer of mijn paniek terecht was dan wat er daadwerkelijk aan de hand was.....
</nofimodus>

[ Voor 7% gewijzigd door AKA_ACE op 31-08-2006 15:12 ]

[Eboman]

Zeer foute opvolging van je collega beheerder als hij een beetje verstand had, snapte hij zeker dat er een probleem met DHCP zou zijn en zou jouw werk om alles op vaste ip adressen te zetten alleen maar onnodig zijn. (om het daarna weer terug te draaien.)

Ik weet niet hoe groot je netwerk is maar je zorgen lijken me zeker terecht.

[ Voor 13% gewijzigd door Eboman op 31-08-2006 15:15 ]

[Kluk-Kluk]

Paniek is in mijn ogen niet snel terecht, aan de andere kant zou je baas moeten waarderen dat je meteen reageert als er iets "wazigs" met het netwerk aan de hand is.

Lijkt me namelijk dat mensen die niet kunnen werken ook redelijk wat geld kosten. Zou hij toch niet blij mee moeten zijn lijkt me.

Voor de rest ligt het er natuurlijk voor een deel aan wat voor een verhaaltje die andere netwerk man aan je baas verteld heeft.

[Ravefiend]

Er verschijnt spontaan een grijns op mijn gezicht bij het lezen van dit topic ... Ik heb de netwerkbeheerder bij mijn bedrijf eens aardig wat kopzorgen bezorgd door een misconfiguratie van VMWare op mijn eigen laptop. Na wat aanpassing te hebben gemaakt in de Netwerk Adaptors van VMWare bleek ik plots ook IP addresses te verdelen op het ganse netwerk waardoor een hoop andere mensen die ochtend niet op het network konden. Die kregen natuurlijk een verkeerd IP adres toegewezen .... Rond een uur of 10 kwam 'ie met een nogal boze blik naar mijne bureau en sleurde gelijk de netwerkkabel eruit ...

[Verwijderd]

rapture schreef op donderdag 31 augustus 2006 @ 15:01:
als hij een extra laptop wilt aansluiten, pak dan een switch.

Een gebruiker heeft zelfs met zijn tengels van een bedrijfsnetwerk af te blijven. Als ik een medewerker bij ons aan het netwerk zie zitten dan heeft deze een gigantisch probleem (met zelfs kans op ontslag bij herhaling/meerdere waarschuwingen).

Ik ben blij dat mijn baas wel serieus omgaat met securityzaken. Zo komt een onbekende laptop niet het netwerk op, al had je het graag.

Dan daarbij moet je het netwerk gewoon "goed" instellen. Waarom kan de plek waar die DHCP thuisbak ingestoken was een broadcast doen naar andere computers? Een werkplek behoord enkel naar de server te kunnen communiceren. Als je broadcasts goed gefilterd waren dan had dit probleem niet eens goed opgetreden.

[MegaTronics]

Op zich een goede actie van jou dat je op zoek bent gegaan naar de oorzaak. Wel vreemd dat de 'netwerkbeheerder' daar problemen mee had. Lijkt mij een gevalletje dat je baas alles geloofd wat de 'netwerkbeheerder' hem verteld.

[TheVMaster]

IS die server toevallig een Windows Small Business Server? Ik weet wel dat die weigert om DHCP te starten als er al een DHCP server aanwezig is. Misschien stopt hij de dhcp service ook als hij merkt dat er een andere dhcp server aanwezig is? Draait de DHCP service nog op de server?

[CyBeR]

Ravefiend schreef op donderdag 31 augustus 2006 @ 15:17:
Rond een uur of 10 kwam 'ie met een nogal boze blik naar mijne bureau en sleurde gelijk de netwerkkabel eruit ...

Mwoah, die moeite zou ik niet eens genomen hebben. Gewoon je switchport uitzetten en dan zien we wel wie er komt klagen dat 'ie niet meer kan internetten (Ik neem tenminste aan dat 'ie je gewoon op MAC-adres getraceerd heeft naar een switchport en kamer )

[Bart©]

AKA_ACE schreef op donderdag 31 augustus 2006 @ 14:55:
(ik dacht dat er iemand in de server (novell) heeft zitten klooien)

Lezen is ook een vak.. Maar ehhh, ik vind dat je gelijk hebt en goed hebt gehandeld.
Die beheerder daar is gewoon een hork en niets meer dan dat.

[AKA_ACE]

Ik ben dus gelukkig geen paranoïde achtervolgingswaanzinnige geestesgestoorde.....

Ik zal dit topic even aan mijn baas en onze beheerder laten lezen.
Doe je potdomme je best, krijg je zoiets.....

Dank voor de steun in deze......

[leuk_he]

Probleem is dat jij vindt dat je een (semi ) netwerk beheerder bent, en dat de echte netwerk beheerder dat niet vindt.

In dit geval is uiteraard statische ip adressen aanleggen geen goede oplosssing. Of je maakt heel je netwerk definitief statisch, of je gaat direct op jacht naar de foute dhcp server.

Jouw paniek van "hack" lijkt me niet terecht, van een goede hack had je niet deze fouten gekregen. van virussen / spyware ook niet. dat is gewoon nodeloos paniek schoppen dus.

Verwijderd schreef op donderdag 31 augustus 2006 @ 15:17:
[...]
Dan daarbij moet je het netwerk gewoon "goed" instellen. Waarom kan de plek waar die DHCP thuisbak ingestoken was een broadcast doen naar andere computers? Een werkplek behoord enkel naar de server te kunnen communiceren. Als je broadcasts goed gefilterd waren dan had dit probleem niet eens goed opgetreden.

Daarvoor heb je wel een relatief dure switch nodig waar je dit kunt regelen, en dat moet je ook nog eens kundig beheren. Niet overal een oplossing waar IT als bijzaak wordt beschouwd.

[ Voor 39% gewijzigd door leuk_he op 31-08-2006 16:00 ]

[Verwijderd]

AKA_ACE schreef op donderdag 31 augustus 2006 @ 15:39:
Ik ben dus gelukkig geen paranoïde achtervolgingswaanzinnige geestesgestoorde.....

Ik zal dit topic even aan mijn baas en onze beheerder laten lezen.
Doe je potdomme je best, krijg je zoiets.....

Dank voor de steun in deze......

Lijkt me niet verstandig, ik weet uit ervaring dat het "beter" is de boel de boel te laten en een volgende keer alleen jou visie te geven en jezelf niet storen wanneer ze jou raad niet opvolgen. Of gewoon af te wachten tot de beheerder in kwestie op vakantie is en dan laten zien wat je waard bent.

[Verwijderd]

leuk_he schreef op donderdag 31 augustus 2006 @ 15:54:
Daarvoor heb je wel een relatief dure switch nodig waar je dit kunt regelen, en dat moet je ook nog eens kundig beheren. Niet overal een oplossing waar IT als bijzaak wordt beschouwd.

Kijk dan ook eens naar de voordelen die het heeft:
• Goed beheersbaar (vlans, broadcasting beheren, etc)
• Het is niet een grote ramp als je een ring maakt van je netwerk *
• Enzovoort.

Wat kost een 24poorts switch van een "beetje" merk (Asus/Linksys, geen Sweex iig) versus een 24poorts managable switch van HP? Klein beetje extra geld voor veel beter effect.

[AKA_ACE]

leuk_he schreef op donderdag 31 augustus 2006 @ 15:54:
Probleem is dat jij vindt dat je een (semi ) netwerk beheerder bent, en dat de echte netwerk beheerder dat niet vindt.

Jouw paniek van "hack" lijkt me niet terecht, van een goede hack had je niet deze fouten gekregen. van virussen / spyware ook niet. dat is gewoon nodeloos paniek schoppen dus.

Ik ben helemaal geen netwerkbeheerder maar omdat dit niet de eerste keer is dat hij "een steekje laat vallen" hebben ze mij gevraagd om kleine storingen aan het netwerk en de computers op te lossen en een soort van oogje in het zeil te houden...

Ik bedoelde ook geen echte "loop gillend rondjes om het pand" paniek maar meer een gezonde dosis argwaan, vandaar ook het "milde"...

En ook was ik niet bang voor een echte hack poging, ik dacht meer aan een één of ander scriptkiddie aktie op zijn hoogst...

Het ging mij in deze meer om de laconieke reaktie van onze beheerder die ik niet vond kloppen.
Dit was dusdanig buiten het "normale" dat hij op zijn minst eens remote naar het probleem had kunnen kijken.
En als hij dan toch niet van akties is gediend had hij me zeker niet moeten zeggen om maar gewoon de IP adressen vast in te stellen.... Maar dit terzijde

[SwordMaster]

Het is erg simpel.
De netwerkbeheerder is bang voor je, omdat jij waarschijnlijk meer weet, of meer in je mars hebt dan hem. Mensen worden niet graag met de neus op feiten gedrukt dat ze niet genoeg weten.

Hij gebruikt gewoon z'n (in mijn ogen beperkte) ervaring en invloed op de baas om die ervan te overtuigen dat het niets voorstelde, omdat hij de oplossing zelf niet wist (overal vaste ip-adressen instellen blijkt niet erg van veel kunde, kan je wel bezig blijven).

Ik weet niet wat je situatie in het bedrijf is, maar ik zou voorzichtig zijn met het proberen te bewijzen van je gelijk, meestal leiden dit soort conflicten tot een situatie waarin de baas een partij moet kiezen, en ze houden nu eenmaal niet van mensen die problemen maken om dingen die zei niet snappen.

Rest je wellicht om een op een gezonde manier te proberen om het ICT beleid te verbeteren, want gebruikers die zelf gaan knoeien met apparatuur in het bedrijfsnetwerk en daarbij alles platleggen is bij veel bedrijven not done.

Suc6

[TrailBlazer]

Ik had denk ik gewoon gedacht dat een of andere l*l een DHCP server op het netwerkt had gezet. Echter het is natuurlijk wel zorgelijk dat mensen het in hun kop halen om een andere PC aan het netwerk te hangen. Dit is echt de methode om virussen worms en weet ik wat meer op je netwerk te krijgen. Ik hoop dat er in ieder geval wat beleid is om de PC's schoon te houden en patches te installeren. Dat doe de thuisgebruiker die dit inz ijn kop haalt vast niet. Dus dit vind ik veel kwallijker dan een foute DHCP scope. Overigens mischien kan je even uitrekenen hoeveel geld het heeft gekost dit helpt vaak een stuk beter.

[Verwijderd]

AKA_ACE schreef op donderdag 31 augustus 2006 @ 15:10:
<nofi modus>
Lees het laatste stukje (de kleine lettertjes ) eens even...
Mijn vraag is meer of mijn paniek terecht was dan wat er daadwerkelijk aan de hand was.....
</nofimodus>

paniek is nooit terecht, kalm blijven werkt veel beter

maar ja, het is de netwerkwerk beheerder wel aan te rekenen dat tie er zo laconiek mee omging. Dit is een ernstige productie verstoring en had tie dus asap op moeten pakken.

[Verwijderd]

leuk_he schreef op donderdag 31 augustus 2006 @ 15:54:
Jouw paniek van "hack" lijkt me niet terecht, van een goede hack had je niet deze fouten gekregen. van virussen / spyware ook niet. dat is gewoon nodeloos paniek schoppen dus.

Dit slaat natuurlijk helemaal nergens op. Waarom is zijn paniek van hack of virus niet terecht. Ik vind het zelfs meer dan terecht. Als de bedoeling van de hack/virus bv. Denial Of Service zou zijn geweest, dan vind ik 'm ook nog eens behoorlijk geslaagd. Vraag me nu af waarom er nog niet eerder een virus is gemaakt die een dhcp daemon start (of misschien wel maar ben ik er niet van op de hoogte). Ik heb trouwens in het bedrijfsleven 1 keer mogen meemaken dat wij besmet waren met een virus waarvan de anti virus makers nog niet op de hoogte waren... en geloof me dan ben je blij als je er snel bij bent.

Met paniek bedoel ik dan niet lopen gillen enzo... maar hij zei zelf al dat dat niet het geval is. Maar dat je hier op snel reageert is een ding wat zeker is. Iemand die anders beweerd mag zich IMO nog niet eens een semi netwerk beheerder noemen.

Edit: Nog ff voor je baas mocht ie dit nog lezen: Ik snap dat je het niet leuk vind dat een van je medewerkers zich niet met z'n eigenlijke taken bezig heeft kunnen houden, maar bedenk wel dat ie zelf eerst geprobeerd heeft om de netwerk beheerder erop af te sturen, maar die wilde niks doen. Geef a.u.b. je netwerk beheerder een schop zeg en niet die ander.

[ Voor 23% gewijzigd door Verwijderd op 01-09-2006 16:33 ]

[AKA_ACE]

Exact mijn standpunt...

[Verwijderd]

Stuur anders deze topic ook door naar die netwerk beheerder hahahaha.... niet alleen naar je baas.

[digitrasher]

Er is al reden tot 'paniek' in zo'n situatie. Er is namelijk een medewerker bezig om een draadloos toegangspunt te maken in het netwerk. Een toegangspunt waar de beheerder(s) niet van op de hoogte zijn gebracht, in dit geval is alles goed afgelopen omdat de medewerker DHCP had aanstaan op de draadloze router en de router zo snel is gevonden.

Maar wat als het hem gelukt was? dan zat je nu met draadloze toegang tot het netwerk, met misschien wel nul beveiliging. Een medewerker die zoiets (probeert) te doen zou op zijn minst goed toegesproken moeten worden.

Kortom de situatie was naar mijn mening verdacht genoeg om direct tot actie over te gaan. Een onbekende DHCP server in je netwerk moet zo snel mogelijk worden gevonden. Maar of dit de taak was van de TS? dat vraag ik me af. Als dit de taak zou zijn van de reguliere systeembeheerder (hoogst waarschijnlijk) dan zou ook deze persoon op zijn minst goed toegesproken moeten worden.

[ajhaverkamp]

De DHCP van de server werkt niet meer. Heb je al op de console gekeken of de DHCPSRVR.NLM wel geladen is? Even "modules dhcp" intypen op de serverconsole en kijken of hij er tussen staat. Ander kun je hem laden/starten met "load dhcpsrvr", het hangt van de Netware versie af of die "load" er nog voor getypt moet worden.
De IP info wordt allemaal opgeslagen in de NDS (eDirectory) van Netware, dus die zou nog gewoon aanwezig moeten zijn. Het kan zo zijn dat hij de request van de clients ook gezien heeft, en gemerkt heeft dat het conflicten gaf. Dan dien je middels ConsoleOne deze dynamische IP adressen te verwijderen in de NDS en daarna de DHCPSRVR.NLM te ontladen en daarna weer te laden. Let erop dat gereserveerde IP adressen dus wel blijven staan in de NDS.

[ Voor 6% gewijzigd door ajhaverkamp op 01-09-2006 17:35 ]

[leuk_he]

Verwijderd schreef op vrijdag 01 september 2006 @ 16:26:
[...]
Als de bedoeling van de hack/virus bv. Denial Of Service zou zijn geweest, dan vind ik 'm ook nog eens behoorlijk geslaagd.

Als dat de bedoeling was (wat dus helemaal niet het geval geweest is ) dan is een goede reactie naar de buitenwerled net te doen alsof er niets aan de hand is om zo de indruk te wekken dat de DOS helemaal niet heeft gewerkt.

Als je al een DOS zou willen doen via het dhcp protocol kan dat op veel betere manieren (hoe valt denk ik buiten de scope van tweakers.net, en helemaal van dit topic. )