Problemen met DHCP Server icm Ziggo Connectbox Giga

[GertJan2012]

Hi,

Tot op heden heb ik een losse Pi-Hole in mijn netwerk altijd een DHCP server kunnen draaien. Gezien ik de PI voor iets anders wil inzetten wil ik nu een andere DHCP server in mijn netwerk laten draaien, maar ik krijg dit niet voor elkaar. Op het Ziggo modem stond de DHCP ipv4 altijd al uit (anders had de DHCP van de PI-Hole) ook niet gewerkt. Nu ik op de Pi-Hole de DHCP functie heb uitgezet, en op een andere server DHCP heb aangezet krijg ik geen IP adres toegewezen. Trek ik de verbinding van de nieuwe DHCP server naar het Ziggo Modem er tijdelijk uit, dan lukt het om de nieuwe DHCP server te laten werken.
Iemand enig idee of er op de achtergrond toch wat in het ZIggo modem aan blijft staan, ondanks dat ik DHCP IPv4 heb uitgezet? (IPv6 lijk ik overigens niet uit te kunnen zetten)
Ik loop een beetje uit de opties

[plizz]

Zit die nieuwe DHCP server in dezelfde subnet als Pi-Hole of zit het in andere subnet?

[GertJan2012]

plizz schreef op zaterdag 24 september 2022 @ 15:22:
Zit die nieuwe DHCP server in dezelfde subnet als Pi-Hole of zit het in andere subnet?

Yes, allebei 192.168.178.xx subnet

[GertJan2012]

Vreemde is overigens ook dat als ik de verbinding naar het ziggo modem lostrek het hele netwerk lijkt om te vallen. Accespoints zijn dan bijvoorbeeld ook niet meer te bereiken. Heb ik dan misschien ook ergens iets verkeerd in de routering zitten?

[ Voor 16% gewijzigd door GertJan2012 op 24-09-2022 15:46 ]

[Kabouterplop01]

GertJan2012 schreef op zaterdag 24 september 2022 @ 15:44:
Vreemde is overigens ook dat als ik de verbinding naar het ziggo modem lostrek het hele netwerk lijkt om te vallen. Accespoints zijn dan bijvoorbeeld ook niet meer te bereiken. Heb ik dan misschien ook ergens iets verkeerd in de routering zitten?

nou nee, je haalt je routering dan letterlijk weg. de router koppelt de fysieke adressen aan de ip adressen en dat houdt de router bij in de arp tabel.

Als je je pihole DHCP uit het netwerk haalt en je introduceert een nieuwe (met dezelfde configurabele opties dan heb je kans dat dat wordt gefilterd door je router.
Dus het verstandigst is om het even door de router te laten afhandelen die DHCP zaken.
- Je hebt het over de verbinding naar het modem.

Zit er nog een switch achter? dan kun je mooi testen met je nieuwe DHCP servertje of er clients zijn antwoorden.
Kun je trouwens wel zien dat de clients een request doen op de server en geeft de server dan antwoord?

[GertJan2012]

Kabouterplop01 schreef op zaterdag 24 september 2022 @ 18:01:
[...]


nou nee, je haalt je routering dan letterlijk weg. de router koppelt de fysieke adressen aan de ip adressen en dat houdt de router bij in de arp tabel.

Als je je pihole DHCP uit het netwerk haalt en je introduceert een nieuwe (met dezelfde configurabele opties dan heb je kans dat dat wordt gefilterd door je router.
Dus het verstandigst is om het even door de router te laten afhandelen die DHCP zaken.
- Je hebt het over de verbinding naar het modem.

Zit er nog een switch achter? dan kun je mooi testen met je nieuwe DHCP servertje of er clients zijn antwoorden.
Kun je trouwens wel zien dat de clients een request doen op de server en geeft de server dan antwoord?

Dus je zegt nu in feite zet op de PiHole de DHCP even uit, en ga je Ziggo Connectbox als DHCP gebruiken?
Ik heb inderdaad een switch waar de nieuwe DHCP server achter zit.

[Ben(V)]

Regel nr 1.
Als je met de dhcp server gaat knutselen, altijd je hele netwerk van de spanning halen, eerst de dhcp server opstarten en dan de rest.

Overal in je netwerk worden arp tables bijgehouden en dit is de beste manier om er zeker van te zijn dat die allemaal leeg gemaakt worden en weer met de juiste informatie gevuld.

PS.
Wat is het nut van een andere dhcp server, waarom niet die van je Connectbox gebruiken?

[ Voor 12% gewijzigd door Ben(V) op 24-09-2022 19:55 ]

[deHakkelaar]

Als je nog Pi-hole in het netwerk hebt hangen, controleer dan ofdat er niet meer DHCP severs op je netwerk aktief zijn met:

code:

pihole-FTL dhcp-discover

Op diezelfde Pi-hole host kun je ook controleren ofdat je de DHCP broadcast van een client kan sniffen.
Bv je mobieltje tijdelijk in "airplane" modus zetten zodat alstie weer verbindt, hij een DHCP lease gaat vragen (via een broadcast 255.255.255.255).

code:

sudo tcpdump -ni any udp port 67

Bovenstaande tcpdump zou je eigenlijk op de DHCP server willen draaien om te zien ofdat die DHCP verzoekjes aankomen en ofdat de DHCP server reageert/antwoord.

Ps. De tcpdump binary voor Pi-OS/Debian en mogelijk Ubuntu zit in de tcpdump package:

pi@ph5b:~ $ dpkg -S $(which tcpdump)
tcpdump: /usr/bin/tcpdump

[GertJan2012]

Ben(V) schreef op zaterdag 24 september 2022 @ 19:54:
Regel nr 1.
Als je met de dhcp server gaat knutselen, altijd je hele netwerk van de spanning halen, eerst de dhcp server opstarten en dan de rest.

Overal in je netwerk worden arp tables bijgehouden en dit is de beste manier om er zeker van te zijn dat die allemaal leeg gemaakt worden en weer met de juiste informatie gevuld.

PS.
Wat is het nut van een andere dhcp server, waarom niet die van je Connectbox gebruiken?

Dat met die stroom en het leegmaken van je scope en opnieuw adressen uitdelen wist ik, maar stom als dat ik ben heb ik dat niet gedaan. Het vreemde is als ik DHCP op de Connectbox even aanzet, hem herstart, het weer uitzet, en weer herstart, de nieuwe DHCP server vrolijk adressen begint uit te delen. Na 2 uur heb ik een laptop weer opnieuw verbinding laten maken met het netwerk (toen ik dacht dat het werkte) en helaas, weer werd er geen IP adres uitgedeeld.
Waarom ik niet de Connectbox als DHCP wil inzetten? Waarschijnlijk ben je niet met bekend met de dramatisch langzame interface , daarbij kan ik geen extra opties zoals een DNS server (zoals de PI-Hole) meegeven, dat heb je bijvoorbeeld wel als je Pi-Hole ook als DHCP inzet.

[Ben(V)]

Dat een interface traag is, is een beetje onhandig, maar je gebruikt hem maar heel weinig lijkt me.
Om daar dan weer iets extra in te zetten vind ik persoonlijk juist onhandig.

Maar als je de pi-hole als dns server wilt hebben dan moet je wel, maar ik zou dan die pi-hole ook dhcp server laten zijn.

[GertJan2012]

Ben(V) schreef op zondag 25 september 2022 @ 00:41:
Dat een interface traag is, is een beetje onhandig, maar je gebruikt hem maar heel weinig lijkt me.
Om daar dan weer iets extra in te zetten vind ik persoonlijk juist onhandig.

Maar als je de pi-hole als dns server wilt hebben dan moet je wel, maar ik zou dan die pi-hole ook dhcp server laten zijn.

Daar zit dus het probleem. Ik wil afscheid nemen van de fysieke Pi-Hole (met DHCP) en heb inmiddels al een Pi-Hole in een docker draaien, maar gezien ik las dat je in die Pi-Hole docker niet zomer DHCP kunt draaien wilde ik een dedicated DHCP draaien. Daar gaat het dus mis…Ik zou uiteraard als alternatief de DHCP van de connectbox kunnen gebruiken, maar heb geen zin om handmatig bij clients de DNS in te stellen.

[ Voor 9% gewijzigd door GertJan2012 op 25-09-2022 09:28 ]

[Ben(V)]

Wat wordt als reden gegeven dat een DHCP server in een docker niet zou werken?

En aangezien je het over een docker hebt gebruik je dan een Synology en zo ja dan kun je het DHCP package van Synology toch gebruiken?

[Kabouterplop01]

GertJan2012 schreef op zaterdag 24 september 2022 @ 21:43:
[...]
Waarom ik niet de Connectbox als DHCP wil inzetten? Waarschijnlijk ben je niet met bekend met de dramatisch langzame interface , daarbij kan ik geen extra opties zoals een DNS server (zoals de PI-Hole) meegeven, dat heb je bijvoorbeeld wel als je Pi-Hole ook als DHCP inzet.

Dat is echt exact een van de redenen dat ik mijn ziggo doos in bridge heb laten zetten en er een hardware firewall achter draai die DHCP voor z'n rekening neemt.
Op die box (pfsense) kan ik wel die DHCP options meegeven en de DNS server instellen.
Ik heb een AD en de pihole (die op een NUC die de cache in RAM draait) is de recursive resolver/forwarder voor de DNS server van de Domain Controller.

Dus ik begrijp waarom je je Connectbox draait zoals je dat nu hebt.

[Ben(V)]

Tja om nu een router te kopen om een DNS server te kunnen wijzigen lijkt me wat overkill.
Dan is een externe DHCP server toch wat slimmer.

[Kabouterplop01]

offtopic:
ja, het is ook een van de redenen, ik heb er een heel threat intel platform achter draaien en ervoor de pfblocker features op het IDS van pfsense en de blocker features van de pi-hole. De logging die dat vormt wordt verrijkt in Splunk

Dat is best overkill voor een thuisnetwerk

[deHakkelaar]

GertJan2012 schreef op zondag 25 september 2022 @ 09:07:
Ik wil afscheid nemen van de fysieke Pi-Hole (met DHCP) en heb inmiddels al een Pi-Hole in een docker draaien, maar gezien ik las dat je in die Pi-Hole docker niet zomer DHCP kunt draaien wilde ik een dedicated DHCP draaien.

De Pi-hole DHCP service kan zeker wel in een Pi-hole container worden geactiveerd.
Wat belangrijk is dat je onderstaande Linux "capability" kan meegeven/configurenen voor de container:

# https://github.com/pi-hol...hole#note-on-capabilities
cap_add:
- NET_ADMIN # Required if you are using Pi-hole as your DHCP server, else not needed

https://github.com/pi-hole/docker-pi-hole#quick-start

Zie ook:
https://github.com/pi-hol...hole#note-on-capabilities

Ter info:

pi@ph5b:~ $ man capabilities
[..]
DESCRIPTION
       For  the  purpose of performing permission checks, traditional UNIX
       implementations distinguish two categories of processes: privileged
       processes  (whose  effective user ID is 0, referred to as superuser
       or root), and unprivileged processes (whose effective UID  is  non‐
       zero).   Privileged  processes bypass all kernel permission checks,
       while unprivileged processes are subject to full permission  check‐
       ing based on the process's credentials (usually: effective UID, ef‐
       fective GID, and supplementary group list).

       Starting with kernel 2.2, Linux divides the  privileges  tradition‐
       ally  associated with superuser into distinct units, known as capa‐
       bilities, which can be independently enabled and  disabled.   Capa‐
       bilities are a per-thread attribute.

Bare metal Pi-hole (dus niet in een container):

pi@ph5b:~ $ ps -o uid,user,gid,group,pid,cmd -C pihole-FTL
  UID USER       GID GROUP      PID CMD
  999 pihole     995 pihole   25031 /usr/bin/pihole-FTL

pi@ph5b:~ $ getpcaps $(pidof -s pihole-FTL)
25031: cap_chown,cap_net_bind_service,cap_net_admin,cap_net_raw,cap_ipc_lock,cap_sys_nice=ep

EDIT: Ow en in de man page staat een hele lijst van caps met omschrijvingen wat ze doen!

pi@ph5b:~ $ man capabilities
[..]
       CAP_NET_ADMIN
              Perform various network-related operations:
              * interface configuration;
              * administration  of IP firewall, masquerading, and account‐
                ing;
              * modify routing tables;
              * bind to any address for transparent proxying;
              * set type-of-service (TOS);
              * clear driver statistics;
              * set promiscuous mode;
              * enabling multicasting;
              * use setsockopt(2) to set  the  following  socket  options:
                SO_DEBUG, SO_MARK, SO_PRIORITY (for a priority outside the
                range 0 to 6), SO_RCVBUFFORCE, and SO_SNDBUFFORCE.

[ Voor 19% gewijzigd door deHakkelaar op 25-09-2022 18:45 ]

[deHakkelaar]

GertJan2012 schreef op zondag 25 september 2022 @ 09:07:
... maar gezien ik las dat je in die Pi-Hole docker niet zomer DHCP kunt draaien wilde ik een dedicated DHCP draaien.

Nadeel van een dedicated DHCP service is dat deze niet standaard OOTB de DHCP client hostnamen, die worden geadverteerd tijdens de DHCP lease transactie, automatisch registreerd in DNS.
Daarvoor moet je dan weer een soort "hook" opzetten zodat je DHCP service deze hostnamen opvoert in DNS (A, AAAA en PTR DNS records).
Omdat de enkele pihole-FTL daemon/binary beiden kan, dus DNS en DHCP, doet deze dat al automatisch.

[deHakkelaar]

@GertJan2012 , ow2, als je Docker host het getpcaps commando kent, kun je zelf controleren welke caps je pihol-FTL daemon nu heeft toebedeelt gekregen met onder:

code:

getpcaps $(pidof -s pihole-FTL)

Deze zit voor Pi-OS/Debian en mogelijk Ubuntu in de libcap2-bin package:

pi@ph5b:~ $ apt-file list libcap2-bin
libcap2-bin: /sbin/capsh
libcap2-bin: /sbin/getcap
libcap2-bin: /sbin/getpcaps
libcap2-bin: /sbin/setcap
libcap2-bin: /usr/share/doc/libcap2-bin/README.Debian
libcap2-bin: /usr/share/doc/libcap2-bin/changelog.Debian.gz
libcap2-bin: /usr/share/doc/libcap2-bin/changelog.gz
libcap2-bin: /usr/share/doc/libcap2-bin/copyright
libcap2-bin: /usr/share/lintian/overrides/libcap2-bin
libcap2-bin: /usr/share/man/man1/capsh.1.gz
libcap2-bin: /usr/share/man/man5/capability.conf.5.gz
libcap2-bin: /usr/share/man/man8/getcap.8.gz
libcap2-bin: /usr/share/man/man8/getpcaps.8.gz
libcap2-bin: /usr/share/man/man8/pam_cap.8.gz
libcap2-bin: /usr/share/man/man8/setcap.8.gz

En meer leesvoer:
https://docs.docker.com/e...ge-and-linux-capabilities

[ Voor 5% gewijzigd door deHakkelaar op 25-09-2022 21:25 ]

[GertJan2012]

Vreemd genoeg... ik heb de oude DHCP op de Pi-Hole uitgezet, de nieuwe DHCP aangezet, en de Ziggo connectbox compleet gereset, en weer aangezet, en nu lijkt de nieuwe DHCP te draaien (even kijken of dat over een paar dagen ook nog zo is) Overigens heb ik nu wel een docker image draaien voor Pi-Hole, zonder dat hij ook DHCP moet draaien, maar die wil niet starten

[Kabouterplop01]

Dat lijkt op een laag 3 /4 issue; staat je firewall die poort wel toe?

[deHakkelaar]

@GertJan2012 , ik heb weinig Docker ervaring maar ik denk dat het zal helpen als je wat meer details geeft zoals:
Op wat voor HW draait dit?
Versies?
Log meldingen?
Hoe heb je de container aangemaakt (docker run, yaml, portainer etc)?
Welke Docker network mode hanteer je (host, macvlan, bridge etc)?

EDIT: Ow wat je daar ziet in die screenshot is dat de web frontend (lighttpd + php) geen verbinding kan maken met de pihole-FTL daemon backend omdat deze niet draait om wat voor reden dan ook:

pi@ph5b:~ $ sudo ss -nltp sport = 4711
Netid  State   Recv-Q  Send-Q   Local Address:Port    Peer Address:Port  Process
tcp    LISTEN  0       5            127.0.0.1:4711         0.0.0.0:*      users:(("pihole-FTL",pid=25031,fd=10))
tcp    LISTEN  0       5                [::1]:4711            [::]:*      users:(("pihole-FTL",pid=25031,fd=11))

pi@ph5b:~ $ nc 127.0.0.1 4711 <<< '>stats >quit'
domains_being_blocked 508443
dns_queries_today 1299
ads_blocked_today 51
[..]

pi@ph5b:~ $ nc -vz 127.0.0.1 9999
nc: connect to 127.0.0.1 port 9999 (tcp) failed: Connection refused

[ Voor 59% gewijzigd door deHakkelaar op 27-09-2022 22:17 ]