Wi-Fi studentenhuis

[nurdo]

Ik ben een student IT en de Wi-Fi verbinding in ons studentenhuis(Belgie) is om te huilen. Ik zal de situatie even schetsen.

Een simpele

code:

ip addr

geeft onderstaande info:

code:

wlan0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether f8:16:54:4d:33:de brd ff:ff:ff:ff:ff:ff
    inet 10.216.2.61/24 brd 10.216.2.255 scope global dynamic wlan0
       valid_lft 85837sec preferred_lft 85837sec
    inet6 fe80::fa16:54ff:fe4d:33de/64 scope link 
       valid_lft forever preferred_lft forever

Er is dus sprake van een /24 subnet op netwerkadres 10.216.2.0, dit resulteert in max 254 hosts.

Binnen ons huis zijn er 30 kamers, dit resulteert in 10 kamers per verdieping. Neem daarbij dat er personen zijn die zowel een laptop, gsm, tablet, en spelconsole bij hebben. Dit resulteert in max 120 devices en vaak komen er ook nog vrienden op bezoek die vervolgens ook van ons Wi-Fi netwerk gebruik maken.

We hebben een 4e verdieping waar enkel onze concierge woont, hier staat dan ook de modem-router, 10.216.2.1, waarop de ISP binnenkomt. Ik kan eventueel toegang krijgen tot deze modem-router.
Vervolgens hangt er op elke verdieping een accespoint,Cisco WAP 4410N, op ip addressen 10.216.2.11, 10.216.2.12, 10.216.2.13, en netjes op verschillende kanalen geconfigureerd.

De verbinding is gewoon slecht. Lage snelheden en wegvallen van verbindingen is het grootste probleem. Soms blijf ik wel verbonden met het Wi-Fi netwerk maar is de internetverbinding ineens weg, het in- en uitschakelen van de Wi-Fi adapter biedt dan een oplossing.

Ik zou nu graag eens willen nagaan wat er precies gebeurt op ons netwerk.

Het commando:

code:

nmap -sn -Pn 10.216.2.0/24

geeft aan dat al de 255 hosts in mijn subnet up zijn. Is dit mogelijk? Wanneer ik reken op 4 devices per kamer kom ik toch maar uit op 4 * 30 + 4(modem + AP's) + 2(netwerk + broadcast) = 126 hosts?

Verder zou ik ook het soort trafiek willen nagaan en zien welke hosts veel bandbreedte verbruiken, we hebben immers een vermoeden dat er bepaalde personen zijn die in de drukke uren(17-21h) torrents binnentrekken. Hiervoor heb ik al eens getracht om mbv wireshark statistieken te verkrijgen over de endpoints, binnen deze lijst zie ik echter enkel mijn eigen ip. Het aantikken van promiscuous mode biedt hier ook geen oplossing.

Heeft iemand tips welke stappen ik nu best eerst kan nemen?
Ter info, mijn OS is Debian Jessie. In samenspraak met de huisbaas is beslist dat torrent verkeer mag worden geblokkeerd mocht dit een oplossing bieden. Indien nodig mag hier dus in de eerstvolgende stappen reeds rekening mee worden gehouden.

[D_Jeff]

Even hardop denkend:

- Zijn de AP's remotely managed? (ook wel " enterprise oplossing" , beheer vindt op 1 punt plaats en niet per AP)
- Je hebt contact met de huisbaas, kan je niet vragen of je onder zijn/haar toezicht wat onderhoud mag uitvoeren? Zit dan te denken aan /20 en een aantal poortblocks.
- Korte blik op reviews (T.net) geeft te kennen dat deze devices uit hetzelfde hout zijn gesneden als de EAxx00 - serie.
- Is het netwerk opgedeeld? (bijv. met een extra Guest netwerk). Mocht dit het geval zijn, dan kan je eventueel ook een imitatie zetten op de doorvoersnelheid.

[Thralas]

nurdo schreef op vrijdag 17 oktober 2014 @ 09:45:
Het commando:

code:

nmap -sn -Pn 10.216.2.0/24

geeft aan dat al de 255 hosts in mijn subnet up zijn. Is dit mogelijk? Wanneer ik reken op 4 devices per kamer kom ik toch maar uit op 4 * 30 + 4(modem + AP's) + 2(netwerk + broadcast) = 126 hosts?

Logisch, want:

code:

-Pn: Treat all hosts as online -- skip host discovery

En effectief schakel je daar -sn mee uit. Run it again, zonder -Pn. Staat nog een ander mooi dingetje in de manpage (leer ik ook eens wat):

code:

When a privileged user tries to scan targets on a local ethernet network, ARP requests are used unless --send-ip was specified.

Dus, privileged runnen is nog een stuk betrouwbaarder (dan krijg je effectief de ARP table van de router).

Het aantikken van promiscuous mode biedt hier ook geen oplossing.

Eveneens logisch als je nagaat hoe een switched netwerk werkt. Het verkeer gaat van een willekeurige client naar de gateway (router), al dan niet via een access point. Jouw host is dan geen destination host (behalve bij broadcast traffic), en dus zie je de traffic niet, ook niet in promiscious mode (inderdaad wel een vereiste als je traffic wilt capturen dat niet aan jouw geaddresseerd is).

Heeft iemand tips welke stappen ik nu best eerst kan nemen?
Ter info, mijn OS is Debian Jessie. In samenspraak met de huisbaas is beslist dat torrent verkeer mag worden geblokkeerd mocht dit een oplossing bieden. Indien nodig mag hier dus in de eerstvolgende stappen reeds rekening mee worden gehouden.

Idealiter bekijk je op de router wat er gaande is (die ziet natuurlijk wel alle traffic), of vertel je de router dat hij al het traffic naar jou moet forwarden (port mirroring/span port) zodat je kunt vaststellen wat er aan de hand is.

Wat voor modem-router hangt er? Al die standaard consumentendingetjes hebben die functionaliteit helemaal niet, maar als je met 30 man aan een netwerk hangt kan ik me voorstellen dat je wat stevigere hardware hebt. Zoniet: een ISP-modemrouter op de kast jagen is niet heel lastig met 30 man

Als de router het overzicht niet biedt dan zul je een ander apparaat als router moeten inschakelen om een overzicht te krijgen. Of misschien kun je wat op die WAP4410Ns?

(of ARP poisonen, maar dat is wel erg nasty en laat gegarandeerd wat firewalls/AVs (terecht) stuiteren )

Als je al een vermoeden hebt dat het aan torrents ligt is sociale controle ook altijd een goede oplossing. Vraag mensen om hun torrentclient netjes in te stellen (connections, upload bandwidth als de uplink beperkt is), maar met 30 man is dat wel een opgave...

EDIT: nog even op de persoon boven mij reageren..

D_Jeff schreef op vrijdag 17 oktober 2014 @ 10:14:
- Je hebt contact met de huisbaas, kan je niet vragen of je onder zijn/haar toezicht wat onderhoud mag uitvoeren? Zit dan te denken aan /20 en een aantal poortblocks.

Die /24 lijkt me het probleem niet, tenzij je 120+ devices extra op je netwerk hebt binnen het timeframe van een DHCP lease-periode.

Portblocks: vooropstaand dat ik geen fan ben van blokkades (liever sociale controle, shapen of limiteren tot acceptabele waardes), denk je echt dat dat effectief is? Volgens mij zijn de meeste torrentclients wel 'connectable', dus heel veel schiet je er dan niet mee op wmb (plus wisselende (random?) listening ports afhankelijk van de gebruikte client + upnp en dat soort ongein).

- Is het netwerk opgedeeld? (bijv. met een extra Guest netwerk). Mocht dit het geval zijn, dan kan je eventueel ook een imitatie zetten op de doorvoersnelheid.

Volgens de handleiding zijn die access points fancy, maar niet meer dan bridges. Alles zal dus op de router moeten gebeuren, en daar heeft TS ons nog weinig over verteld. Curieuze range trouwens, 10.216.2.0/24..

En wat zijn de specs van de uitgaande lijn, voor het idee?

[ Voor 42% gewijzigd door Thralas op 17-10-2014 11:19 ]