Routing gateway probleem

[John2B]

We hebben een dubbele netwerkverbinding naar internet.

Tenminste,
1 voor internetverkeer Draytek router/modem 192.168.2.1 (eigen beheer)
1 voor het telfonieverkeer.Draytek router/modem 192.168.2.3 (beheer van telefonie provider)

Voor de telefonie (SoftPhones) hebben we 3 add route toegevoegd zodat het telefonie verkeer exclusief over de telefonie lijn/modem (192.168.2.3) loopt.

Permanente routes:
Netwerkadres Netmask Gateway-adres Metric
XX.XX.XX.34 255.255.255.255 192.168.2.3 1
XX.XX.XX.37 255.255.255.255 192.168.2.3 1
XX.XX.XX.36 255.255.255.255 192.168.2.3 1


Al het andere verkeer loopt dan via de default modem (192.168.2.1)

IPv4 routetabel
===========================================================================
Actieve routes:
Netwerkadres Netmasker Gateway Interface Metric
0.0.0.0 0.0.0.0 192.168.2.1 192.168.2.61 10
80.84.241.34 255.255.255.255 192.168.2.3 192.168.2.61 11
80.84.241.36 255.255.255.255 192.168.2.3 192.168.2.61 11
80.84.241.37 255.255.255.255 192.168.2.3 192.168.2.61 11
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
192.168.2.0 255.255.255.0 On-link 192.168.2.61 266
192.168.2.61 255.255.255.255 On-link 192.168.2.61 266
192.168.2.255 255.255.255.255 On-link 192.168.2.61 266
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 192.168.2.61 266
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 192.168.2.61 266


Echter onze telefoonprovider constateerd dat er met name outlook.com verkeer over de telefonielijn loopt en geven zelfs aan vanaf welk interne IP nummers het verkeer afkomstig is.

We gebruiken inderdaad Outlook (OFFICE365 in de cloud) en binnen outlook een CRM plugin, heeft er waarschijnlijk niets mee te maken, maar noem het maar even.

Als ik op betreffende PC kijk zie ik geen enkele setting die wijst dat outlook verkeer wijst naar een andere gateway loopt dan de default (192.168.2.1)

Op een PC is waar geen telefonie aanwezig en staat er zelfs geen ADD ROUTE ingesteld voor telefonie en zou sowieso alle netwerk verkeer over de default gateway moeten gaan.

Wat het ik allemaal gecontroleerd:

permanente routes: geen
active route: geen bijzonderheden dan standaard als on-link (zie lijst boven)
hosts file : geen enkele entry
lmhost file: geen enkelen entry
tracert naar IP nummer en domeinnaam outlook.com lopen allemaal via default gateway.

Traceren van de route naar dbxprd0711.outlook.com [157.56.254.182]
via maximaal 30 hops:

1 <1 ms <1 ms <1 ms 192.168.2.1
2 18 ms 19 ms 18 ms XX.XX.XX-254.ip.open.net [XX.XX.XX.254]
3 * 19 ms 19 ms ams-ix-1.microsoft.com [195.69.145.20]
4 46 ms * 53 ms xe-10-3-0-0.db3-96c-1b.ntwk.msn.net [207.46.42.1

networks Leeg, geen actieve routes of IP Nummers behalve loopback 127

Kan het zo zijn dat er om een of andere reden een applicatie een andere route kan nemen dan de default instelling?

kan ik nog andere zaken controleren testen?

[DJSmiley]

Staat UPNP op de router(s) aan of uit?

Misschien dat er daardoor ergens een forwarding oid opengezet wordt?

En anders een (wat lompe) manier: Vraag of je voip provider hun draytek wil dichtspijkeren dat ie alleen naar 80.84.241.0/24 mag.
En vervolgens afwachten wat er dan niet werkt.. En vanaf daar verder zoeken.

Of zelf gaan wiresharken

[josvane]

Heb je niet de mogelijkheid vlan's in te stellen. Dan zijn beide netwerk van elkaar gescheiden. Zoals het nu zit is toch wel een beetje houtje touwtje.

Zijn er problemen dat de telefonieprovider dit meldt?

[John2B]

Eigelijk hebben we al een tijdje (ruim 2 jaar) problemen met wegvallende gesprekken, hapenrend geluid, etc. Indien er dus ander verkeer over de telefonie lijn loopt zou dat tot performance problemen kunnen lijden, al vermoed ik dat dat wel mee zal vallen. een beetje outlook verkeer zal de boel niet plat leggen, maar als ik dat weg kan houden over die connectie heeft dat de voorkeur, om dat uit te sluiten.

Behalve dat we de provider aanspreken zoeken we naar zaken intern die eventueel het probleem zouden kunnen veroorzaken. We kijken naar het netwerk, bandbreedte etc. Het interne netwerk is redelijk simpel. 30 PC's en 3 Dell routers. Switches Dell PowerConnect 2700

[John2B]

DJSmiley schreef op maandag 11 maart 2013 @ 17:55:
Staat UPNP op de router(s) aan of uit?

Misschien dat er daardoor ergens een forwarding oid opengezet wordt?

En anders een (wat lompe) manier: Vraag of je voip provider hun draytek wil dichtspijkeren dat ie alleen naar 80.84.241.0/24 mag.
En vervolgens afwachten wat er dan niet werkt.. En vanaf daar verder zoeken.

Of zelf gaan wiresharken

Die forwarding met UPNP zou toch zichtbaar moeten op de router?

Wireshark heb ik al geinstalleerd, nu ben ik geen netwerker van huis uit, dus moet me daar even in verdiepen. Zo op het eerste gezicht zie ik geen netwerkverkeer via de telefonie modem lopen vanaf mijn PC.

[Speedmaster]

De PC die volgens de provider de boosdoener is, welk IP adres heeft die?
Is op deze PC misschien een Skype plug-inn actief.

[ik222]

30 PC's en dan statische routes per PC, ik ben blij dat ik dat niet hoeft te beheren Weet je zeker dat je niet gewoon op een van die PC's wat fout hebt staan?

No offence maar misschien kun je beter eens kijken naar een fatsoenlijke netwerk setup, dus met een centrale router die het verkeer voor je regelt over verschillende lijnen als dat nodig is...

[analog_]

wireshark zal je meer inzicht geven en je uitgaande firewall dichttimmeren kan ook een (vieze) oplossing zijn.

[John2B]

Speedmaster schreef op maandag 11 maart 2013 @ 19:37:
De PC die volgens de provider de boosdoener is, welk IP adres heeft die?
Is op deze PC misschien een Skype plug-inn actief.

Het gaat om tientallen IP nummers, dus meerdere PC's zoniet alle. afgelopen woensdag bv 11 IP nummers, vanochtend 2. een beetje onvoorspelbaar. Of het moet liggen aan outlook, die om de zoveeltijd gaat connecten?

ik222 schreef op maandag 11 maart 2013 @ 19:37:
30 PC's en dan statische routes per PC, ik ben blij dat ik dat niet hoeft te beheren Weet je zeker dat je niet gewoon op een van die PC's wat fout hebt staan?

No offence maar misschien kun je beter eens kijken naar een fatsoenlijke netwerk setup, dus met een centrale router die het verkeer voor je regelt over verschillende lijnen als dat nodig is...

Ik kom hier net kijken, en dit is wat ik aantref.

[DJSmiley]

ik222 schreef op maandag 11 maart 2013 @ 19:37:
30 PC's en dan statische routes per PC, ik ben blij dat ik dat niet hoeft te beheren Weet je zeker dat je niet gewoon op een van die PC's wat fout hebt staan?

No offence maar misschien kun je beter eens kijken naar een fatsoenlijke netwerk setup, dus met een centrale router die het verkeer voor je regelt over verschillende lijnen als dat nodig is...

Op elke pc is dat idd wel een onzinnige constructie. Die routes op de default gw (router1) zetten en je was in 1x klaar...

Maar zoals al gezegd, segmenteren in een apart voip vlan is een betere optie, of helemaal scheiden. Dan heb je nooit discussies 'het ligt aan x of y'. Maar in die gevallen is een toolbar of andere integratie met het toestel wel wat lastiger als ie compleet apart hangt van het data netwerk.

[ik222]

Een VoIP VLAN is natuurlijk geen oplossing als het gaat om soft phones op iets van een hosted PBX (dat is tenminste wat ik uit het verhaal van de TS haal). Als je hardwarematige toestellen hebt is dat wel een oplossing, al zul je de VLAN's dan wel ergens moeten routeren als je ook een telefonieclient op de PC's hebt.

De beste oplossing in dit geval lijkt me één centrale firewall / router waarop beide internetverbindingen binnen komen en die dan de verdeling van het verkeer laten regelen.

@John2B: Als je daar net begint lijkt dit me een mooie kans om een voorstel ter verbetering uit te werken Wat je nu hebt is praktisch onbeheersbaar.

/edit: Wat betreft de routing regels op je default gateway zou dat kunnen maar dan moet je apparatuur dat wel kunnen. Als ik het zo lees zijn het simpele huis tuin en keuken routers en die snappen vaak genoeg statische routeringen over de LAN poorten niet.

[ Voor 17% gewijzigd door ik222 op 11-03-2013 19:56 ]

[John2B]

DJSmiley schreef op maandag 11 maart 2013 @ 19:47:
[...]


Op elke pc is dat idd wel een onzinnige constructie. Die routes op de default gw (router1) zetten en je was in 1x klaar...

Maar zoals al gezegd, segmenteren in een apart voip vlan is een betere optie, of helemaal scheiden. Dan heb je nooit discussies 'het ligt aan x of y'. Maar in die gevallen is een toolbar of andere integratie met het toestel wel wat lastiger als ie compleet apart hangt van het data netwerk.

Is ooit opgezet toen er nog geen 10 PC's waren...voor dat je het weet zijn het er 30. Ik tref het zo aan, en ga dat zeker anders aanpakken. Maar first things first...!!

Helemaal scheiden is volgens mij geen optie, aangezien de VOIP van uit de PC over hetzelfde netwerk lopen als die van de PC, dus geen aparte VOIP telefoon met een eigen netwerk aansluiting.

[John2B]

ik222 schreef op maandag 11 maart 2013 @ 19:53:
Een VoIP VLAN is natuurlijk geen oplossing als het gaat om soft phones op iets van een hosted PBX (dat is tenminste wat ik uit het verhaal van de TS haal). Als je hardwarematige toestellen hebt is dat wel een oplossing, al zul je de VLAN's dan wel ergens moeten routeren als je ook een telefonieclient op de PC's hebt.

De beste oplossing in dit geval lijkt me één centrale firewall / router waarop beide internetverbindingen binnen komen en die dan de verdeling van het verkeer laten regelen.

@John2B: Als je daar net begint lijkt dit me een mooie kans om een voorstel ter verbetering uit te werken Wat je nu hebt is praktisch onbeheersbaar.

/edit: Wat betreft de routing regels op je default gateway zou dat kunnen maar dan moet je apparatuur dat wel kunnen. Als ik het zo lees zijn het simpele huis tuin en keuken routers en die snappen vaak genoeg statische routeringen over de LAN poorten niet.

Precies, misschien was ik niet duidelijk genoeg in TopicStart, softphones op de PC met een USB headset van matige qualiteit.

Routers zijn van DELL, staan managed op 1 na, maar er is verder niets op gemanged. Dus er zijn mogelijkheden maar ik ben meer thuis in RAID en Storage en een beetje huis tuin en keuken netwerk en VOIP van XS4ALL...

[Shinji]

John2B schreef op maandag 11 maart 2013 @ 20:03:
[...]
Routers zijn van DELL, staan managed op 1 na, maar er is verder niets op gemanged. Dus er zijn mogelijkheden maar ik ben meer thuis in RAID en Storage en een beetje huis tuin en keuken netwerk en VOIP van XS4ALL...

Ik dacht dat Dell geen routers maakte, of doe je naast de twee draytek routers ook nog routing op je servers? Anders denk ik toch echt dat het heel erg bijzonder in is geregeld, dan zit je namelijk aan de 5 routers

[John2B]

Shinji schreef op maandag 11 maart 2013 @ 20:20:
[...]


Ik dacht dat Dell geen routers maakte, of doe je naast de twee draytek routers ook nog routing op je servers? Anders denk ik toch echt dat het heel erg bijzonder in is geregeld, dan zit je namelijk aan de 5 routers

Sorry, ik bedoel inderdaad switches. 3x Dell PowerConnect 2700

En ja het netwerk (naar buiten toe) is iets complexer geregeld dan ik heb toegelicht.

Aangezien we alles in de cloud hebben draaien hebben we twee providers voor internet. TELE2 en KPN.

Waarbij de KPN in beheer is van de telefonie provider en in feite ook weer twee lijnen zijn (1 solcon) waar de telefonie overheen gaat. de KPN lijn is rest netwerkverkeer.

TELE2 is backup, op het moment dat een modem/router geen connectie meer heeft met internet vind er een failover plaats.

Dit is overigens allemaal opgezet door de telecom VOIP provider, waarbij wij zelf toegang hebben tot 1 modem/router tbv VPN.

[Midas.e]

Je powerconnect 2700 series zouden vlans moeten ondersteunen. Als je toestellen nou tagged kunnen staan kan je simpelweg een port op de switches welke aan het modem voor je voip hangt untagged in vlan20 (voorbeeld) hangen, op alle porten tagged vlan 20 zetten, je toestellen tagged in vlan20 en je pc's untagged op vlan 1 zetten. dan ben je van het probleem af denk ik zo?

[Oid]

Midas.e schreef op maandag 11 maart 2013 @ 22:09:
Je powerconnect 2700 series zouden vlans moeten ondersteunen. Als je toestellen nou tagged kunnen staan kan je simpelweg een port op de switches welke aan het modem voor je voip hangt untagged in vlan20 (voorbeeld) hangen, op alle porten tagged vlan 20 zetten, je toestellen tagged in vlan20 en je pc's untagged op vlan 1 zetten. dan ben je van het probleem af denk ik zo?

softphones staat al meerdere malen genoemd...

[Brahiewahiewa]

Wat is dat eigenlijk: "Outlook.com-verkeer"? Dat zou je van je provider willen weten. Maar goeie kans dat zij dat ook niet weten.

Dan maar de glazen bol geraadpleegd: gebruiken de clients toevallig DNS-servers op het 80.84.241.33/29 netwerk? Omdat je mail-client gewoon pollt, zullen de meeste DNS-queries voor *.outlook.com zijn.

[Powermage]

Drayteks geven over t algemeen een aantal basis zaken om te zien waar verkeer heen gaat, effectief betekend dit dat je een sessie kan zien (afzender IP, Doel IP en de gebruikte poorten) de conclusie dat iets dan outlook.com verkeer moet zijn trek je dan door bijvoorbeeld een reverse dns lookup op het IP te doen (en dan krijg je iets met oulook.com terug)

Wil je weten wat voor verkeer er over die router gaat moet je een mirror port instellen (niet elke draytek kan dit) en die dmv wireshark gaan analyseren.

[Jeroen_ae92]

Even een ouwe pc (wel 3 NICs in stoppen) opsnorren en een pfSense installatie doen? Simpel, snel en effectief als je meer wilt zien dan waar je nu op vaart.

[Brahiewahiewa]

Jeroen_ae92 schreef op woensdag 13 maart 2013 @ 22:06:
Even een ouwe pc (wel 3 NICs in stoppen) opsnorren en een pfSense installatie doen? Simpel, snel en effectief als je meer wilt zien dan waar je nu op vaart.

Als we toch ouwe zooi laten aanrukken, dan is het wel zo makkelijk om een 10 Mbps hub op te snorren en die ertussen te zetten. Heeft meteen als voordeel dat je Wireshark niet zo gauw volloopt ;o)

Overigens geloof ik er niet zo in dat Windows - ook al heeft-ie een eigenwijze IP-stack - out of the blue z'n routing tabel gaat negeren. Wat dat betreft zou een IPCONFIG /ALL van één van TS's werkstations ook nog wel eens verhelderend kunnen werken

[analog_]

Laten we modernewets doen en port mirroring functionaliteit gebruiken als je die toch hebt op je switches. We zitten immers in PNS.

[John2B]

Brahiewahiewa schreef op vrijdag 15 maart 2013 @ 04:48:
[...]

Als we toch ouwe zooi laten aanrukken, dan is het wel zo makkelijk om een 10 Mbps hub op te snorren en die ertussen te zetten. Heeft meteen als voordeel dat je Wireshark niet zo gauw volloopt ;o)

Overigens geloof ik er niet zo in dat Windows - ook al heeft-ie een eigenwijze IP-stack - out of the blue z'n routing tabel gaat negeren. Wat dat betreft zou een IPCONFIG /ALL van één van TS's werkstations ook nog wel eens verhelderend kunnen werken

Windows IP-configuratie

Hostnaam . . . . . . . . . . . . : PC-32
Primair DNS-achtervoegsel . . . . : DIKS.local
Knooppunttype . . . . . . . . . . : broadcast
IP-routering ingeschakeld . . . . : nee
WINS-proxy ingeschakeld . . . . . : nee
DNS-achtervoegselzoeklijst. . . . : Domain.local

Ethernet-adapter voor LAN-verbinding:

Verbindingsspec. DNS-achtervoegsel: Domain.local
Beschrijving. . . . . . . . . . . : NVIDIA nForce 10/100/1000 Mbps Ethernet
Fysiek adres. . . . . . . . . . . : BC-5F-F4-12-51-E1
DHCP ingeschakeld . . . . . . . . : ja
Autom. configuratie ingeschakeld : ja
Link-local IPv6-adres . . . . . . : fe80::a82c:a0b5:9929:afbe%11(voorkeur)
IPv4-adres. . . . . . . . . . . . : 192.168.2.61(voorkeur)
Subnetmasker. . . . . . . . . . . : 255.255.255.0
Lease verkregen . . . . . . . . . : vrijdag 15 maart 2013 8:05:24
Lease verlopen. . . . . . . . . . : zaterdag 23 maart 2013 8:05:23
Standaardgateway. . . . . . . . . : fe80::21d:aaff:fea2:2c70%11
192.168.2.1
DHCP-server . . . . . . . . . . . : 192.168.2.2
DNS-servers . . . . . . . . . . . : 192.168.2.2
Primaire WINS-server. . . . . . . : 192.168.2.2
NetBIOS via TCPIP . . . . . . . . : ingeschakeld

Tunnel-adapter voor isatap.Domain.local:

Mediumstatus. . . . . . . . . . . : medium ontkoppeld
Verbindingsspec. DNS-achtervoegsel: Domain.local
Beschrijving. . . . . . . . . . . : Microsoft ISATAP Adapter
Fysiek adres. . . . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP ingeschakeld . . . . . . . . : nee
Autom. configuratie ingeschakeld : ja

Tunnel-adapter voor LAN-verbinding*:

Mediumstatus. . . . . . . . . . . : medium ontkoppeld
Verbindingsspec. DNS-achtervoegsel:
Beschrijving. . . . . . . . . . . : Teredo Tunneling Pseudo-Interface
Fysiek adres. . . . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP ingeschakeld . . . . . . . . : nee
Autom. configuratie ingeschakeld : ja

[John2B]

Speedmaster schreef op maandag 11 maart 2013 @ 19:37:
De PC die volgens de provider de boosdoener is, welk IP adres heeft die?
Is op deze PC misschien een Skype plug-inn actief.

Waarom vraag je specifiek naar een Skype-Pluginn?

UPDATE

Omdat Skype is overgenomen door Microsoft en misschien vandaar dat er naar outlook.com wordt geconnect.

[ Voor 16% gewijzigd door John2B op 15-03-2013 14:53 ]

[bigfoot1942]

John2B schreef op maandag 11 maart 2013 @ 20:40:
[...]


Sorry, ik bedoel inderdaad switches. 3x Dell PowerConnect 2700

En ja het netwerk (naar buiten toe) is iets complexer geregeld dan ik heb toegelicht.

Aangezien we alles in de cloud hebben draaien hebben we twee providers voor internet. TELE2 en KPN.

Waarbij de KPN in beheer is van de telefonie provider en in feite ook weer twee lijnen zijn (1 solcon) waar de telefonie overheen gaat. de KPN lijn is rest netwerkverkeer.

TELE2 is backup, op het moment dat een modem/router geen connectie meer heeft met internet vind er een failover plaats.

Dit is overigens allemaal opgezet door de telecom VOIP provider, waarbij wij zelf toegang hebben tot 1 modem/router tbv VPN.

quick n dirty: laat het oplossen door die telecom voip provider. Als zij dingen aan het regelen zijn zoals failover qua internetverbinding zullen zij dit raadsel ook wel kunnen troubleshooten?

meer solide: zet er een firewall tussen waarop je routeringen, VPN, beveiliging e.d regelt. Aan de ene kant domme clients (gewoon 1 gateway en dat is dan de firewall) en aan de andere kant je internettoegang (op wat voor manier dan ook), dan kan je ook gewoon een regel maken welke alleen VOIP verkeer toestaat over de VOIP lijn.

Overigens heb je een goede kans dat die VOIP club zelf met de firewall oplossing komt aanzetten, lijkt me win-win, dan kan jij weer terug naar eigen expertise.