Ping probleem, subnetten zien elkaar niet?

[Inloper2022]

Hoi, ik heb twee machines vd vier in totaal, op 192.168.3.92 en een node op 192.168.1.82 en de eerste kan wel de andere pingen, maar andersom niet.

Ik heb vd laatste (subnet 1 noem ik deze ivm derde octet) de ip maar statisch gemaakt ipv dhcp en de subnetmask gewijzigd naar 255.255.0.0, terwijl de andere op subnetmask 255.255.255.0 zit.

Ik heb al van alles geprobeerd, statische route aa leggen etc. ICMP acces geven etc.

Default gateway vd eerste is 192.168.3.254 en de andere 192.168.1.254.

Heb geen acces tot switch of router, doel is beheer via SSH, OS is beide Debian 9.

Hoe krijg ik de connectivity in orde?

Bedankt.

[ Voor 7% gewijzigd door Inloper2022 op 26-07-2024 18:34 ]

[Tux]

Ik zou beginnen met de subnetmasks gelijktrekken naar 255.255.0.0 als je .1 en .3 gebruikt in hetzelfde netwerk.

Edit: ik zie dat je twee verschillende gateway ips hebt en geen toegang tot je router. In dat geval gaat het denk ik niet lukken, omdat de router het verkeer tussen de twee netwerken zal moeten routeren.

Edit 2: wel gek dat ping in een richting wel werkt dan. Toch even 255.255.0.0 proberen dan…

[ Voor 61% gewijzigd door Tux op 26-07-2024 18:17 ]

[Gwindorian]

bovenstaande tip gaat je probleem vrijwel zeker oplossen. houd ons op de hoogte!

ook de ping die one-way werkt is te verklaren door deze subnet config

[ Voor 33% gewijzigd door Gwindorian op 26-07-2024 18:33 ]

[Inloper2022]

Dat is het punt, ik kan die andere niet wijzigen, dan verliest ie connectie. Als ze beide op 255.255.255.0 zitten lukt helemaal niks. Een subnet /16 kan wel een /24 zien, want met arp scan -l krijg ik nu wel nodes te zien, maar ping is destination unreachable. Als ik de .3 node statisch maak ivm subnetmask, dan doet de browser firefox niks meer, dus geen coms. Deze node een statisch IP geven op .1 idem resultaat.

Route en ip route geven gewoon de normale gateways weer.
Arp scan -l geeft op node .1 nu soms een hele lijst met .3 nodes, dan weer niet, slechts de gateway 192.168.3.254.

Op de node .3 arp scan -l krijg ik vooral nodes vd subnet te zien, achterliggend netwerk (kantoor.) Kan het niet posten, zit op tablet.

Hoe krijg ik in linux in de network config file bijv. zo, dat het OS beide gateways accepteert bijv.?

[ Voor 52% gewijzigd door Inloper2022 op 26-07-2024 18:49 ]

[Gwindorian]

Als je geen gebruik wil maken van een router, zullen op beide machines een /16 subnet ingesteld moeten worden.

Als je dat doet, en de connectie verliest, dan zul je op de router aanpassingen moeten doen (ofwel in het subnet, ofwel in een routering)

Ik denk dus dat je dit zonder access op de router niet in orde zult krijgen.
NB: wel met de aanname dat beide gateways fysiek op dezelfde router uitkomen, maar een andere interface.

[nelizmastr]

Je kunt ook nog te maken hebben met ACL’s die het verkeer de ene of andere kant op kunnen blokkeren of alleen icmp doorlaten.

Zonder toegang tot de router krijg je dit niet fatsoenlijk getroubleshoot en opgelost.

[Ben(V)]

Als je een subnet mask van 255.255.255.0 gebruikt zal alles wat je buiten dat subnet wilt bereiken gerouteerd moeten worden.

Maar wat is het nut van twee verschillende subnets als je via de netmask van 255.255.0.0 er in feite een groot subnet van maakt ?
Dat heeft alleen nut als je meer dan 255 IP-adressen nodig hebt.
Ik zou zeggen gebruik overall hetzelfde subnet met een mask van 255.255.255.0

[Kabouterplop01]

Ben(V) schreef op zaterdag 27 juli 2024 @ 10:17:
Als je een subnet mask van 255.255.255.0 gebruikt zal alles wat je buiten dat subnet wilt bereiken gerouteerd moeten worden.

Maar wat is het nut van twee verschillende subnets als je via de netmask van 255.255.0.0 er in feite een groot subnet van maakt ?

Het nut is uiteraard niet zo moeilijk; connectivity.
TS wil connectie maken naar machines in het andere netwerk.
En we zijn het er intussen al over eens dat dat niet gaat lukken zonder controle over de router(s)

Ik denk dat er maar 1 oplossing is en dat is dat de TS de netwerkbeheerder gaat vragen of zijn SSH box toegang mag naar de nodes in het andere netwerk. Want het is niet voor niets gesegmenteerd.

[FredvZ]

Inloper2022 schreef op vrijdag 26 juli 2024 @ 18:02:
Default gateway vd eerste is 192.168.3.254 en de andere 192.168.1.254.

Heb geen acces tot switch of router, doel is beheer via SSH, OS is beide Debian 9.

Hoe krijg ik de connectivity in orde?

Zolang je geen toegang krijgt tot de router/firewall die 192.168.1.x aan 192.168.3.x kan knopen kan je het niet oplossen met alleen instellingen.

Als het fysieke machines zijn:
De machines bij elkaar zetten, met een switch verbinden en allemaal in hetzelfde subnet zetten.

Als het VM's zijn:
De configuratie op de host zo instellen dat de machines in hetzelfde netwerk zitten en dan de machines allemaal in hetzelfde subnet zetten.

[Ben(V)]

Kabouterplop01 schreef op zaterdag 27 juli 2024 @ 11:28:
[...]


Het nut is uiteraard niet zo moeilijk; connectivity.
TS wil connectie maken naar machines in het andere netwerk.
En we zijn het er intussen al over eens dat dat niet gaat lukken zonder controle over de router(s)

Ik denk dat er maar 1 oplossing is en dat is dat de TS de netwerkbeheerder gaat vragen of zijn SSH box toegang mag naar de nodes in het andere netwerk. Want het is niet voor niets gesegmenteerd.

Nee de vraag is waarom hij een ander netwerk maakt als je dat toch via een ruime netmask weer aan elkaar plakt.
Gebruik dan gewoon een subnet en geen twee.

[Kabouterplop01]

Ben(V) schreef op zaterdag 27 juli 2024 @ 13:43:
[...]


Nee de vraag is waarom hij een ander netwerk maakt als je dat toch via een ruime netmask weer aan elkaar plakt.
Gebruik dan gewoon een subnet en geen twee.

Ik ben het eens hoor met de stelling, maar ik vraag me af of hij dat is geweest, of de netwerkbeheerder.

[Will_M]

Kabouterplop01 schreef op zaterdag 27 juli 2024 @ 13:53:
[...]


Ik ben het eens hoor met de stelling, maar ik vraag me af of hij dat is geweest, of de netwerkbeheerder.

Een béétje netwerkbeheerder die verantwoordelijk is voor de gateway (vaak een firewall) werkt natuurlijk het liefste met /30 netmasks .... Óf met een /8 (want: lekker makkelijk....)

[pistole]

Enige optie die je nog kan proberen is het toevoegen van een extra adres op een van beide adapters. Als ze zin hetzelfde subnet zitten (en hetzelfde broadcast segment) dan zouden ze elkaar moeten kunnen vinden.
Anders alternatief: harde arp entry. Maar het zijn allemaal lapmiddelen en geen echte oplossing.

Ik raad je overigens aan om je even in te lezen in ip4 adressering, subnetting en routering.

Will_M schreef op zaterdag 27 juli 2024 @ 13:59:
[...]


Een béétje netwerkbeheerder die verantwoordelijk is voor de gateway (vaak een firewall) werkt natuurlijk het liefste met /30 netmasks .... Óf met een /8 (want: lekker makkelijk....)

Micro-subnetting voor servers. Maar /30 is wel érg beperkend...

[ Voor 31% gewijzigd door pistole op 27-07-2024 14:01 ]

[Will_M]

pistole schreef op zaterdag 27 juli 2024 @ 14:00:
Enige optie die je nog kan proberen is het toevoegen van een extra adres op een van beide adapters. Als ze zin hetzelfde subnet zitten (en hetzelfde broadcast segment) dan zouden ze elkaar moeten kunnen vinden.
Anders alternatief: harde arp entry. Maar het zijn allemaal lapmiddelen en geen echte oplossing.

Ik raad je overigens aan om je even in te lezen in ip4 adressering, subnetting en routering.


[...]

Micro-subnetting voor servers. Maar /30 is wel érg beperkend...

Zeker te weten dat ik je TCP/UDP verkeer ga 'zien'

[Kabouterplop01]

Will_M schreef op zaterdag 27 juli 2024 @ 13:59:
[...]


Een béétje netwerkbeheerder die verantwoordelijk is voor de gateway (vaak een firewall) werkt natuurlijk het liefste met /30 netmasks .... Óf met een /8 (want: lekker makkelijk....)

hmm ik heb een core van een grote ISP beheerd, firewall beheer gedaan, switch beheer, in kleine en grote subnetten, maar jouw statement is daar niet op van toepassing.
Elke laag 3 VLAN interface is een gateway.

Maar wat je bedoelt met /30's is me een raadsel, tenzij je het over point-to-point verbindingen hebt, waar je een netwerk overheen routeert.
Daar gaat dit niet over nl.

[jadjong]

@Inloper2022 Weet je bij de succesvolle ping zeker dat het jouw andere computer is die reageert? Niet dat er nog eentje is met hetzelfde IP die vrolijk terugpingt.

[Inloper2022]

pistole schreef op zaterdag 27 juli 2024 @ 14:00:
Enige optie die je nog kan proberen is het toevoegen van een extra adres op een van beide adapters. Als ze zin hetzelfde subnet zitten (en hetzelfde broadcast segment) dan zouden ze elkaar moeten kunnen vinden.
Anders alternatief: harde arp entry. Maar het zijn allemaal lapmiddelen en geen echte oplossing.

Ik raad je overigens aan om je even in te lezen in ip4 adressering, subnetting en routering.


[...]

Micro-subnetting voor servers. Maar /30 is wel érg beperkend...

Daar zat ik ook aan te denken! Een extra IP toevoegen.
Ik zag alleen geen netwerkconfig files oid.
Standaard adaptor is mobo giga nic, "ens3p0" ofzo, reageert ook niet op alle config commando's, met ifup en ifdown etc.

Bedankt voor de reacties so far.

Het is een groot pand, afgesloten meterkast zit een managed switch in zag ik eens, routers zijn van TP-Link en vh modem KPN, stichting is houtje-touwtje ingericht qua ICT, een soort sluitpost en beneden staan 4 bakken waar mij nu is gevraagd om dingen up te daten. Ik werk het liefst via de terminal, ssh of telnet, anders moet ik vier keer alles doen, nu gewoon copy-paste. Netwerkskills zijn een beetje roestig geworden, zit al jaren niet meer in de IT, maar vroeger in een datacenter met >2500 servers, ca. 90% Red Hat, de rest Suse, Debian, Solaris, BSD, HP-UX.

De beheerder is gevlogen, al jaren geleden, was te duur nieuwe machines worden gewoon ingeplugd "at random", je snapt het wel- één grote puinhoop.
Wie er nu verantwoordelijk voor het kantoor-deel? Geen idee, ik kan de switch en routers niet benaderen vanaf mijn segment, helaas.

Dus moet roeien met de riemen die er zijn en ik weet van vroeger dat je met linux ver kunt komen, als het gaat om routing etc.

Ik vind het alleen bijzonder, dat ik vanaf 192.168.3.92 wel kan werken naar 192.168.1.82 met subnet 255.255.255.0 voor beide machines, maar ook met 192.168.1.82 op subnet 255.255.0.0. Maar adersom niet, geen ping of destination host unreachable. Ik zou denken dat beide machines elkaar gewoon moeten kunnen zien, in hetzelfde subnet (255.255.255.0), maar ik ga vanavond even kijken of ik dat extra IP kan toevoegen.

Steek ik een usb wifi-adaptor erin, zit wel weer op .3 netwerk, alleen ssh doet het niet via usb, helaas.

[Will_M]

jadjong schreef op zaterdag 27 juli 2024 @ 23:15:
@Inloper2022 Weet je bij de succesvolle ping zeker dat het jouw andere computer is die reageert? Niet dat er nog eentje is met hetzelfde IP die vrolijk terugpingt.

ARP .... Wie gebruikt dát nu nog, jôh

[Gwindorian]

Inloper2022 schreef op dinsdag 30 juli 2024 @ 17:57:
[...]

Ik vind het alleen bijzonder, dat ik vanaf 192.168.3.92 wel kan werken naar 192.168.1.82 met subnet 255.255.255.0 voor beide machines, maar ook met 192.168.1.82 op subnet 255.255.0.0. Maar adersom niet, geen ping of destination host unreachable. Ik zou denken dat beide machines elkaar gewoon moeten kunnen zien, in hetzelfde subnet (255.255.255.0), maar ik ga vanavond even kijken of ik dat extra IP kan toevoegen.

Ik weet het nu ook niet zeker meer, maar feit is dat beide machines niet in hetzelfde subnet hangen.
192.168.3.x en 192.168.1.x vallen niet in een /24 subnet dus op basis van 255.255.255.0 als netmask zul je elkaar niet kunnen bereiken (zonder router)

Echter zit een van die machines in een /16 en op basis van dat subnet zitten deze machines weer wel in hetzelfde netwerk. voor 1 van beide scenario's zal het in elk geval iets beter werken dan voor de andere. Werkend krijgen zal lastig worden denk ik zonder router access, maar een tweede nic kan wel eens een goed idee zijn !

[Inloper2022]

Van de .3 kon ik wel pingen naar het .1 subnet op mask 255.255.255.0
Nu met de .1 op /16 zie ik wel meer arp, maar ping is nog steeds "unreachable".
Zat dus toch al in de goede richting, maar nu mis ik nog en stukje hoe ik die ping "reachable" krijg, want dit is wel een gedefinieerd reply. Intuitie zegt toch dat het iets met statische routes te maken heeft oid. Echte firewalling en acl's zijn hier volgens mij niet, is mijn indruk. Het is meer "poor network design" imo, dat alles maar ratjetoe ingeplugd is.

[c-nan]

Ga eens inloggen op je next-hops (.254) en draai een tcpdump terwijl je pingt.

Hebben de .254 hosts onderling een directe verbinding? Hoe komt de ene .254 bij de andere .254?

[Will_M]

Als je van een 192.168.1.x naar een 192.168.3.x adres wenst te kunnen pingen zónder er een (L3) router tussen te zetten dan heb je (aan beide kanten) minimaal een /22 netmask nodig (en dus een 255.255.253..0 subnet met 1024 adressen).

[ Voor 3% gewijzigd door Will_M op 30-07-2024 20:19 ]

[Inloper2022]

Kan ze niet op .253 zetten, dan knalt de config automatisch terug naar .255
De andere machine ook manual IP gegeven, op 255.255.0.0, maar geen resultaat- het pingen lukt nu helemaal niet meer vice versa, ook niet met de oude config., heel typisch.

Misschien loopt er toch nog een schaduw beheerder rond in één of andere kelder hier, die een arp-tooltje getriggerd zag en de boel nu aanscherpt ofzo...ik zag op de .3 node ook ineens Anydesk remotesoftware geinstalleerd staan in de terminal history, bijzonder. Op die pc van mij niet, voor zover ik kan zien. Worden we hier bespioneerd, een beetje gecontroleerd Stasi...

Arp-scan -l geeft nu alleen eigen subnet plus gateway.
Zelfs van de wifi adaptor (gelinkt aan de .1 node) kan ik geen ping doen naar de vaste pc in hetzelfde .3 subnet, dat is toch straf?! Van 192.168.3.93 naar 192.168.3.92 beide op 255.255.0.0

Denk dat een extra IP in de config hetzelfde resultaat geeft, probeer dat later, moet al bijna weg hier.

Vd week maar ff een mail naar iemand sturen vh bestuur, ff vragen of ze die machines in 1 subnet kunnen zetten, ik heb geen trek om op iedere pc apart in te loggen om ff een symbolische link te fixen in Debian (dat soort dingen, updaten etc.), ik ga toch ook niet met m'n jas aan naar 2500 servers in ijskoud hol om op de console/kvm in te loggen in de herrie, om command-line dingetjes te doen, dat doe je gewoon lekker vanaf je warme kantoor met een bakkie pleur voor je neus.

[ Voor 20% gewijzigd door Inloper2022 op 30-07-2024 21:35 ]

[pistole]

Het wel van de ene naar de andere maar niet omgekeerd is prima verklaarbaar. Lees je in op subnet, broadcast en arp.

spoiler:

De host met het grootste netwerk vind de host met het kleinere netwerk via arp. Als er een arp antwoord is dan kan er gecommuniceerd worden (ethernet).
Andersom vindt de kleine host de andere niet, want het adres valt buiten zijn broadcast segment. Dus geen arp, maar pakketje naar default gateway. Ergens krijg je asymmetrische routering, als de router het al doorlaat.

[Inloper2022]

Ja precies, vandaar dat ik de kleinere op /16 had gezet.
Als ze beiden 255.255.255.0 hebben, heb je wel hetzelfde mask, maar niet dezelfde range.
Alleen heeft de ene 192.168.3.254 als default gateway en de .1 node logischerwijs 192.168.1.254

Wat kan ik daar aan doen? Zonder router acces? Kan ik hier op een slimme manier omheen werken, op OS level? Als ik de .3 gateway aan de .1 machine geef, verliest ie coms, logisch en vice versa. Maar een gateway wordt toch pas gebruikt, als andere prio's niet werken, zoals routing protocollen, statische routes, metric etc.?

Edit: een reverse shell werkt toch ook niet, als de connectivity niet klopt, of routeer je dan wel (asymetrisch) om dit soort obstakels heen?

[ Voor 11% gewijzigd door Inloper2022 op 30-07-2024 22:19 ]

[Will_M]

Inloper2022 schreef op dinsdag 30 juli 2024 @ 21:46:
Ja precies, vandaar dat ik de kleinere op /16 had gezet.
Als ze beiden 255.255.255.0 hebben, heb je wel hetzelfde mask, maar niet dezelfde range.
Alleen heeft de ene 192.168.3.254 als default gateway en de .1 node logischerwijs 192.168.1.254

Wat kan ik daar aan doen? Zonder router acces? Kan ik hier op een slimme manier omheen werken, op OS level? Als ik de .3 gateway aan de .1 machine geef, verliest ie coms, logisch en vice versa. Maar een gateway wordt toch pas gebruikt, als andere prio's niet werken, zoals routing protocollen, statische routes, metric etc.?

Een /24 past in een /23 .... Maar een /23 past (écht) NIET in een /24

[Gwindorian]

Ik zou persoonlijk overwegen of het sleutelen wel de moeite waard is, zonder router access ben je aan het prutsen en vieze pleisters plakken met de kans dat je het niet eens in orde krijgt.

Een nieuwe router ertussen (laten) jassen was inmiddels wellicht al goedkoper geweest..
ik ben als ik dit soort topics lees zo blij dat ik niet meer in het MKB segment werk.
het mag geen cent kosten, maar oh-wee als het niet werkt.

[MallePietje]

Inloper2022 schreef op dinsdag 30 juli 2024 @ 17:57:
[...]
... is houtje-touwtje ingericht qua ICT..
...De beheerder is gevlogen, al jaren geleden, was te duur...
...één grote puinhoop...
...Wie er nu verantwoordelijk .. Geen idee...

...Dus moet roeien met de riemen die er zijn...

Hoeveel alarmbellen heb je nodig?
Misschien kan je het beste de ICT situatie en risico's (zoals hoge onderhoudskosten) opschrijven en aan je leidinggevende voorleggen.
Mocht daar niets mee gebeuren, dan wordt het misschien tijd om ergens anders naartoe te roeien.

[Inloper2022]

Ik kom daar als gast, accepteer de dingen zoals ze zijn, als ik moet werken met oude meuk, dan werk ik met oude meuk. Kan ik iets tweaken, dan zal ik het niet laten natuurlijk...de grens is dat ik niet mijn eigen hardware meeneem naar hier. Als die connectivity niet goed is, dan update ik niks, ga mij daar niet druk om maken, alleen de machine waar ik zelf op zit, die moet werken zoals ik wil. Ik krijg er niks voor, dus geen verplichtingen- alleen als ik besluit iets te doen, dan maak ik het wel af en moet het wel goed. Ik heb een mailtje eruit gegooid met het subnet-verzoek, nu maar afwachten. Bedankt voor alle support hier, een waardevolle fall-back voor iedere IT'er!