IP Routed subnet (Draytek)

[CrankyGamerOG]

Stel ik heb een /29 (x.x.x.81) van mijn provider, en ik stel in mijn draytek in dat ik op poort 1 en 2 mijn ip routed subnet heb. Ik geef via DHCP x.x.x.82 t/m x.x.x.87 uit op die poorten.

Op poort 3 heb ik nog een LAN netwerk. Daar geeft DHCP een 192.168.1.x range uit.

Als ik een apparaat op poort 1 hang, zeg een fortigate en achter die fortigate zit een domein controller en dit apparaat ZELF geeft DHCP uit in dezelfde range (192.168.1.x) als poort 3, kom ik dan in de problemen?

(Ik doe niets met VLAN's(vooralsnog))

[ Voor 13% gewijzigd door CrankyGamerOG op 21-02-2024 11:09 ]

[CyBeR]

nee, dan werkt het gewoon niet.

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 10:37:
nee, dan werkt het gewoon niet.

Hoe bedoel je dan werkt het gewoon niet precies?

Wat werkt er dan precies niet?

Wat ik namelijk meemaakte is dat ik in de draytek in de diagnostics te zien kreeg dat er een IP conflict was, en hierdoor apparatuur op de LAN (poort 3) onbereikbaar was.
NA het wijzigen van de LAN DHCP scope naar een andere range kwam alles weer up.

Ik probeer te begrijpen hoe een apparaat achter die fortigate dit kan veroorzaken.

De fortigate is niet in mijn beheer.

[ Voor 47% gewijzigd door CrankyGamerOG op 21-02-2024 10:42 ]

[SuPaToLL]

Dan heb je 2 apparaten die op hetzelfde subnet proberen IP adressen uit te delen aan clients. Dat kan resulteren in IP conflicten. vuistregel is dat je 1 baas hebt, niet meerdere

[CyBeR]

CrankyGamerOG schreef op woensdag 21 februari 2024 @ 10:38:
[...]

Hoe bedoel je dan werkt het gewoon niet precies?

Wat werkt er dan precies niet?

Normaal gesproken heb je een vlan per subnet. Jij zegt dat je dat niet hebt en Draytek doet wel vaker (eigenlijk: altijd) rare dingen, dus er zijn twee opties:

• Je krijgt onder water twee vlans: een voor je routed subnet en een voor je rfc1918-netwerk. In dit geval werkt een apparaat dat DHCP in je 192.168.1.0/24 krijgt, niet. Dwz, die heeft geen connectiviteit want je zit aan de kant van de Draytek niet op de goede plek.
• Je Draytek wijst beide subnets toe aan hetzelfde (default) vlan. In dat geval heb je twee problemen:

• Je hebt twee DHCP servers die dezelfde IP-adressen uitdelen. Dat gaat je conflicten opleveren.
• Je hebt drie DHCP servers in totaal, en wat voor IP een host krijgt is afhankelijk van welke het snelste is.

[CrankyGamerOG]

SuPaToLL schreef op woensdag 21 februari 2024 @ 10:42:
Dan heb je 2 apparaten die op hetzelfde subnet proberen IP adressen uit te delen aan clients. Dat kan resulteren in IP conflicten. vuistregel is dat je 1 baas hebt, niet meerdere

Ik geef geen DHCP uit achter het IP routed subnet he.

[CyBeR]

CrankyGamerOG schreef op woensdag 21 februari 2024 @ 10:43:
[...]

Ik geef geen DHCP uit achter het IP routed subnet he.

Je zegt van wel:

Ik geef via DHCP .82 t/m .87 uit op die poorten.

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 10:43:
[...]


Normaal gesproken heb je een vlan per subnet. Jij zegt dat je dat niet hebt en Draytek doet wel vaker (eigenlijk: altijd) rare dingen, dus er zijn twee opties:

• Je krijgt onder water twee vlans: een voor je routed subnet en een voor je rfc1918-netwerk. In dit geval werkt een apparaat dat DHCP in je 192.168.1.0/24 krijgt, niet. Dwz, die heeft geen connectiviteit want je zit aan de kant van de Draytek niet op de goede plek.
• Je Draytek wijst beide subnets toe aan hetzelfde (default) vlan. In dat geval heb je twee problemen:

• Je hebt twee DHCP servers die dezelfde IP-adressen uitdelen. Dat gaat je conflicten opleveren.
• Je hebt drie DHCP servers in totaal, en wat voor IP een host krijgt is afhankelijk van welke het snelste is.

Ja, bedankt, dat was mijn theorie ook, ik vermoedde dit al.

[spone]

CrankyGamerOG schreef op woensdag 21 februari 2024 @ 10:43:
[...]

Ik geef geen DHCP uit achter het IP routed subnet he.

Dan denk ik dat

Ik geef via DHCP .82 t/m .87 uit op die poorten.

wat onduidelijk is. Kan je niet even tekening maken hoe het nou precies bedacht is?

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 10:43:
[...]


Je zegt van wel:

[...]

CrankyGamerOG schreef op woensdag 21 februari 2024 @ 10:43:
[...]

Ik geef geen DHCP uit achter het IP routed subnet he.

Je zegt van wel:

Ik geef via DHCP .82 t/m .87 uit op die poorten.

Ja ok, ik geef 5 ip adressen uit in het ip routed subnet, niet in de lan range op die 2 poorten.

[CyBeR]

Oh wacht, je hebt je post geedit tov wanneer ik antwoordde.

Als jij op poort 31 een NAT-router hebt staan die zelf een (rfc1918) privénetwerk er achter heeft, en dáár doe je DHCP op met dezelfde range als je draytek, is er geen probleem.

Dat moet wel gescheiden zijn van het Draytek-netwerk.

[ Voor 11% gewijzigd door CyBeR op 21-02-2024 10:49 ]

[CrankyGamerOG]

spone schreef op woensdag 21 februari 2024 @ 10:44:
[...]

Dan denk ik dat
[...]
wat onduidelijk is. Kan je niet even tekening maken hoe het nou precies bedacht is?

Ik heb dit niet opgezet, ik moest alleen de zooi terug online krijgen, en zie vanalles wat ik anders zou doen, ik ben niet super bekend met drayteks dus vandaar dat ik probeer te doorgronden wat er gebeurde.

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 10:45:
Oh wacht, je hebt je post geedit tov wanneer ik antwoordde.

Als jij op poort 3 een NAT-router hebt staan die zelf een (rfc1918) privénetwerk er achter heeft, en dáár doe je DHCP op met dezelfde range als je draytek, is er geen probleem.

Nee op Poort 3 waar de Draytek DHCP 192.168.1.x uit geeft zit geen NAT/Router. Daar zit alleen een switch met apparatuur , en geen van die apparatuur doet routing/dhcp.

Op poort 1 (ip routed subnet) zit een fortigate, daarachter zit een domein controller die DHCP doet in dezelfde range als de DHCP van de draytek op poort 3.

ik probeer dus te doorgronden waarom een domein controller achter de fortigate in het ip routed subnet op poort 1 conflicten kan geven met de Draytek DHCP op poort 3

[ Voor 11% gewijzigd door CrankyGamerOG op 21-02-2024 10:49 ]

[CyBeR]

CrankyGamerOG schreef op woensdag 21 februari 2024 @ 10:47:
[...]

Op poort 1 (ip routed subnet) zit een fortigate, daarachter zit een domein controller die DHCP doet in dezelfde range als de DHCP van de draytek op poort 3.

Excuseer, poort 1 is wat ik bedoelde.

Dat is prima, dat werkt gewoon, mits dat fortigate-lan en je draytek-lan gescheiden zijn.

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 10:49:
[...]


Excuseer, poort 1 is wat ik bedoelde.

Dat is prima, dat werkt gewoon, mits dat fortigate-lan en je draytek-lan gescheiden zijn.

Ze zijn iig niet dmv vlan gescheiden, ik mis hier echt kennis van de draytek's

Hoe bedoel je precies gescheiden?

Excuses, ik probeer te googlen, maar de docs zijn ook niet echt duidelijk, en de draytek interface is ook niet echt helder.

[ Voor 19% gewijzigd door CrankyGamerOG op 21-02-2024 10:53 ]

[CyBeR]

Ze mogen ook fysiek gescheiden zijn.

Punt is dat die twee elkaar niet moeten kunnen bereiken want anders krijg je het DHCP-conflict waar we het eerder over hadden: twee DHCP servers die dezelfde adressen uitdelen.

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 10:52:
Ze mogen ook fysiek gescheiden zijn.

Punt is dat die twee elkaar niet moeten kunnen bereiken want anders krijg je het DHCP-conflict waar we het eerder over hadden: twee DHCP servers die dezelfde adressen uitdelen.

ze zijn niet verbonden met elkaar, behalve op de draytek

ik maak ff een tekening.

[CyBeR]

Als je het zo hebt, is het ok.

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 10:56:
[Afbeelding]

Als je het zo hebt, is het ok.

Zo was het maar toch is/was het een probleem. en ik begrijp niet hoezo.
Pas toen ik de DHCP range op poort 3 heb aangepast, was het probleem weg.
Er stond ook letterlijk in de diagnostics dat er een IP Conflict was.

Vanuit jouw tekening hadden forti LAN en Draytek LAN dus dezelfde range, en dat gaf blijkbaar conflicten.

Ik zie iets over het hoofd en weet niet wat.

[ Voor 30% gewijzigd door CrankyGamerOG op 21-02-2024 11:00 ]

[CyBeR]

Het kan dat er iets niet goed ingesteld is. Bijvoorbeeld, je zegt dat je geen VLANs gebruikt en dat je zowel een publiek als prive-subnet op je draytek hebt. Als die fortigate per ongeluk een 192.168.1.x IP krijgt, dan werkt dat niet.

Gewoonlijk zou je wél met VLANs werken en dan één VLAN voor je publieke subnet hebben (de /29) en een voor je 192.168.1.0/24.

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 11:02:

Gewoonlijk zou je wél met VLANs werken en dan één VLAN voor je publieke subnet hebben (de /29) en een voor je 192.168.1.0/24.

Dat is sws wat mij meteen opviel, ik vond dit al niet netjes, maar die fortigate pakt dus geen 192.168.1.x als het goed is (geen idee, die forti is in beheer van een andere partij, hij zegt iig van niet, maar in hoeverre ik dat moet geloven......)

[ Voor 7% gewijzigd door CrankyGamerOG op 21-02-2024 11:04 ]

[CrankyGamerOG]

[CyBeR]

Als die fortigate bij een ander in beheer is en jij kunt verifiëren dat jouw verbinding náár die fortigate werkt (dwz, die fortigate heeft zelf een internetverbinding) dan zou ik stellen dat dit het probleem van de beheerder van die fortigate is.

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 11:10:
Als die fortigate bij een ander in beheer is en jij kunt verifiëren dat jouw verbinding náár die fortigate werkt (dwz, die fortigate heeft zelf een internetverbinding) dan zou ik stellen dat dit het probleem van de beheerder van die fortigate is.

Ja en nee, want het spul op de LAN kant is nu dus in mijn beheer, en dat werd dus onbereikbaar vanwege een ip conflict.

en op de lan kant heb ik maar 3 clients, en geen van die 3 doet dhcp oid.

[ Voor 7% gewijzigd door CrankyGamerOG op 21-02-2024 11:14 ]

[CyBeR]

Welke LAN-kant, en een IP-conflict met wat?

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 11:15:
Welke LAN-kant, en een IP-conflict met wat?

Poort 3 (LAN DHCP 192.168.1.x) en er stond verder niet met wat er een conflict was, alleen dat er een ip conflict was.
Ik weet dus alleen dat de windows domein controller ook 192.168.1.x doet

Poort1/2 (IP routed subnet) is voor de forti man, poort 3 (LAN) voor mij.

[ Voor 23% gewijzigd door CrankyGamerOG op 21-02-2024 11:19 ]

[CyBeR]

Dan moet je even checken of er niet toch per ongeluk een verbinding tussen je twee LANs bestaat. En of je niet per ongeluk zelf twee DHCP servers op je lan hebt zitten, of een computer met een vast ingesteld IP-adres.

[CrankyGamerOG]

CyBeR schreef op woensdag 21 februari 2024 @ 11:22:
Dan moet je even checken of er niet toch per ongeluk een verbinding tussen je twee LANs bestaat. En of je niet per ongeluk zelf twee DHCP servers op je lan hebt zitten, of een computer met een vast ingesteld IP-adres.

ik heb 100% geen twee DHCP server op de LAN (poort 3) kant, en ook 100% geen vast ip adres op de lan (poort 3) kant.
Enige waar ik niet wijs uit word in die draytek is of en waar ik kan zien of er idd niet per ongeluk een verbinding tussen die 2 lans (IP ROUTED (poort 1) en LAN (poort 3)) zit.

[ Voor 4% gewijzigd door CrankyGamerOG op 21-02-2024 11:39 ]

[CrankyGamerOG]

Hierop terug komend, ik ben ondertussen DCNA (al een tijdje) en nog weet ik niet hoe dit kon gebeuren.
Er was geen manier hoe DHCP achter het ip routed subnet de DHCP op LAN zou moeten kunnen dwars zitten.
Ook bij Xpert DATA kon men dit gedrag niet verklaren, anyways, ik heb dat ding nooit meer hoeven aanraken, maar ben toch uit nieuwsgierigheid gaan kijken in dat ding nu ik wel kennis heb van draytek.
Ik kan niets vinden wat dat had kunnen veroorzaken.

Ik laat het erbij.