Kan geen image maken met Altiris over WAN*

[Zoetjuh]

Update: onderwerp had uiteraard moeten zijn: 'Kan geen image maken'

Dit is iets waar ik al even mee bezig ben geweest en inmiddels een hoop informatie over gevonden heb via Google, maar om een of andere reden lijkt mijn situatie weer net te verschillen met wat ik daar lees.

Wat is het probleem
Ik heb een omgeving waarin ik via Altiris van een ThinClient een image probeer te trekken. Dit lukt niet en het lijkt er op dat de ThinClient wel het PXE boot menu krijgt, maar dat de PXE server aangeeft dat hij z'n sessie kan sluiten (as in: er staat geen opdracht klaar).

In eerste instantie lukte het me ook niet om de ThinClients remote te booten, maar dat is uiteindelijk wel gelukt door middel van de config die ik nu heb (waarbij PXE niet werkt).


Hoe is de situatie
Cisco 2811 router/switch waarop twee FE interfaces aanwezig zijn; één voor het server netwerk en één voor de werkstations/ThinClients. De werkstations/ThinClients krijgen hun IP adres van de Cisco router/switch (deze heeft een ip dhcp pool voor dat netwerk).

code:

ip dhcp pool WKS_EN_TC
   import all
   network 10.2.10.0 255.255.255.0
   update dns
   default-router 10.2.10.1
   domain-name locatie.netwerk.domein.naam
   dns-server 10.2.30.40
   option 60 ip 10.2.30.40
   option 190 ip 10.2.30.40
   option 191 ip 10.2.30.40
   lease 0 2
!
interface FastEthernet0/0
 description OP DEZE INTERFACE ZITTEN DE THINCLIENTS
 ip address 10.2.10.1 255.255.255.0
 ip directed-broadcast 111
! 
interface FastEthernet0/1
 description OP DEZE INTERFACE ZIT DE ALTIRIS SERVER
 ip address 10.2.30.1 255.255.255.0
!
ip forward-protocol udp 402
! 
access-list 111 permit udp host 10.2.30.40 any eq 402

PXE/Altiris Server draait op 10.2.30.40. De PXE/Altiris Server draait geen DHCP-server.
Door middel van de forward protocol 402 kan ik de ThinClients via Altiris aan zetten.


Wat heb ik kunnen constateren
Het lijkt er op dat de thinclients netjes het PXE boot menu krijgen..
Dit heb ik gevonden door middel van de Network Monitor (packets tussen de PXE-server en het MAC-address van de default gateway van de PXE-server; maar met het IP dat de ThinClient via DHCP heeft ontvangen):

TCP/IP Packet vanaf de PXE-server naar de ThinClient:
Request=WorkToDo
Reboot=Reboot
Target-Boot-Env=Automation
Boot-Env=Production
Prep-For-Imaging=Yes

Daaropvolgend een packet vanaf de ThinClient naar de PXE-server:
Request=CloseSession

Met daarop de reply vanaf de PXE-server:
Reply=CloseSession
Result=Success


Wat heb ik al geprobeerd
De volgende dingen heb ik al geprobeerd:
- ip forward-protocol udp
- ip directed-broadcast op de interface van PXE (met permit udp any any eq 67, 68, tftp en 4011)
- toevoegen van de 'ip helper-address 10.2.10.255' op de interface van PXE
- toevoegen van de 'ip helper-address 10.2.30.40' op de interface van de ThinClients

Allen zonder succes. Ik ben dan ook benieuwd of jullie misschien een dergelijke situatie hebben en dit wel aan de praat hebben kunnen krijgen.

[ Voor 3% gewijzigd door Zoetjuh op 17-01-2010 19:25 ]

[Kabouterplop01]

Probeer eens in je ACL:
permit udp any any bootpc
deny ip any any log

die log statement laat in je logging zien wat die machines nog meer proberen op het netwerk. (kun je later natuurlijk weer veranderen als het werkt)

het lijkt me dat die ip forward udp het onnodig moeilijk maakt.
die ip helper op de thinclient lijkt me ok. Probeer het eerst anders eens zonder acl.
En: dhcp request packets are 0.0.0.0 src and 255.255.255.255 dest

[ Voor 84% gewijzigd door Kabouterplop01 op 17-01-2010 14:39 ]

[Zoetjuh]

Even kijken hoor; dat ik je goed begrijp; op basis van de config die ik in het [ code ] stuk heb:

1. Proberen met een het uitbreiden van ACL 111 met de twee ACL regels die je noemde?
2. Proberen met een 'volledige' directed-broadcast op FE0/0 dus zonder ACL nr. uitvoeren?
3. Verwijderen van de directed-broadcast (en ACL en forward-protocol) en toevoegen van een ip helper op FE0/0?

Ik ben bang dat ik hem niet direct goed begrepen heb.

[Kabouterplop01]

hmm ja beetje verwarrend sorry...
Ik zou als eerste de acl even eraf halen en kijken of het dan wel werkt...
Dan de ip helper toevoegen als het nog niet werkt.

[Koffie]

Titel edit

Wellicht een hele stomme, maar staar je je nu niet helemaal blind op je netwerk Met andere woorden: kun je exact dezelfde TC wel imagen als deze in je LAN hangt ?

[Zoetjuh]

Excusrs voor de late reactie. Deze week (te) druk bezig geweest.
Ik ben vandaag weer met dit voorval aan de slag gegaan, maar helaas zonder succes.

Ik heb deze setup overigens wel aan de praat gehad binnen het zelfde netwerk/subnet. Echter wanneer PXE en de ThinClient+DHCP op een ander netwerk zitten, is het me nog niet gelukt.

1. Ik heb de logging aangezet voor mijn ACL 111, echter kwam ik alleen 137, 138 tegen. Na het toevoegen hiervan aan de ACL werkte het helaas nog niet.
2. Ook dit helaas zonder succes
3. Ook niet

[midget]

Koffie schreef op maandag 18 januari 2010 @ 18:22:
Titel edit

Wellicht een hele stomme, maar staar je je nu niet helemaal blind op je netwerk Met andere woorden: kun je exact dezelfde TC wel imagen als deze in je LAN hangt ?

Graag zou ik een reactie op dit bericht willen zien.
Het lijkt inderdaad op een probleem van je Altiris Server.

Heb je wel de juiste job klaar staan?

[Equator]

midget schreef op zaterdag 23 januari 2010 @ 12:24:
[...]

Graag zou ik een reactie op dit bericht willen zien.
Het lijkt inderdaad op een probleem van je Altiris Server.

Heb je wel de juiste job klaar staan?

Zoetjuh schreef op zaterdag 23 januari 2010 @ 12:19:
Ik heb deze setup overigens wel aan de praat gehad binnen het zelfde netwerk/subnet. Echter wanneer PXE en de ThinClient+DHCP op een ander netwerk zitten, is het me nog niet gelukt.

Lijkt me vrij duidelijk

Ik ben bang dat het met de ACL te maken heeft. Kan je eens testen met een volledig open ACL

[Zoetjuh]

Voor wat betreft de Job, dit is de standaard "Quick Image" job welke naar mijn ervaring normaal gesproken gewoon werkt.

Er zitten verder geen ACLs op deze twee Interfaces; dus helaas staat alles al open. Echter heb ik het idee dat het niet zo zeer fout gaat in de routing, dan wel in het ontvangen van een juiste DHCP lease (waarin alle benodigde PXE boot gegevens in staan).

Ik lees overigens een vergelijkbaar stuk hier: http://www.altirigos.com/...local-router-problem.html
Daar wordt in de laatste post inderdaad het probleem beschreven dat ik ook heb.

Een ander document dat ik nu ook zie (https://kb.altiris.com/di...asp?aid=41861&r=0.1693079) , gaat er van uit dat alle boot gegevens binnen de DHCP lease van de router worden opgegeven. Omdat ik alles zo flexibel mogelijk wil houden, gaat mijn voorkeur daar uiteraard niet naar uit.

Wordt dus verder zoeken.

[Kabouterplop01]

dan zie je in de sniffer dus wel je dhcp request voorbij komen en de lease terugkomen van de dhcp machine?

[Equator]

Voor zover ik weet moet je een IP helper adres aanmaken op de interface waar de THinClients op aangesloten zijn. 1 ip helper voor het IP adres van de PXE/Altiris server en 1 IP helper adres voor de DHCP server. Je hebt dan dus 2 IP helpers op de interface geconfigureerd staan.
Zo hebben wij het hier geconfigureerd(tientallen vlans en meerdere Altiris servers voor verschillende omgevingen)

En verder moet inderdaad alle routing tabellen wel kloppen natuurlijk.

[ Voor 14% gewijzigd door Equator op 25-01-2010 07:28 ]

[Zoetjuh]

Zou mijn probleem misschien zitten in het feit dat de Cisco op het VLAN van de ThinClients direct ook de DHCP server is (zie ook de config).

[Equator]

Dan hoef je alleen een IP helper voor PXE te hebben meen ik. Wij hebben de DHCP servers in het zelfde VLAN staan als de Altiris Server, maar de werkplekken staan in een ander VLAN.

Voor PXE hebben we de IP helper voor de Altiris server nodig, maar voor normaal DHCP hebben we de andere IP helper nodig.

[Zoetjuh]

Nu, het probleem is opgelost.. en ik moet me schamen..

Het probleem zit in onderstaand:

code:

option 60 ip 10.2.30.40

Option 60 moet de waarde (string) "PXEClient" krijgen en niet het IP van de altiris server.
Anthans, daar blijkt het bij mij op neer te komen. Wel hebben we voor de zekerheid de DHCP-service ook verplaatst van de Cisco naar de PXE-server (dit was toch al de DNS-server binnen de DHCP-lease).

Probleem is hiermee opgelost.

Mijn dank voor jullie input!