tommsn
Goto Top

DHCP Optionen kommen am PC in der Außenstelle nicht an

Hallo Gurus face-smile

Ich hoffe ich bin hier richtig, wenn nicht bitte verschieben, aber mein Problem könnte mehrere Stellen betreffen (DHCP, VPN, Firewall,...)

Folgende Situation: Wir haben unsere Zentrale in Wien und mehrere Außenstellen, diese sind Verbunden via VPN Tunnel die, durch die Firewall in Wien die Zyxel USG 300 und in Graz die Zyxel USG 20 aufgebaut wird. In Wien haben wir den DHCP (Server 2003) und die Empirumserver stehen, der bei einer DHCP Anfrage auch gleich die Empirum Optionen inkl Benutzer und Passwort dem Client übergibt. Wenn wir in Graz mit F12 vom Netzwerk booten bekommen wir eine IP und beim Empirumstart kommt dann gleich Fehlermeldungen (siehe Bild).
Wir haben mal das ganze mit gesnifft und sehen dass die Anfrage in Wien am DHCP ankommt, der DHCP vergibt dann die IP samt allen Optionen, aber in Graz am Client kommen die Optionen nie an.

Die Frage ist jetzt wo sollen wir weiter suchen, theoretisch sollte ja durch den VPN Tunnel nichts gefiltert werden? Ich sitze hier in Innsbruck, aber hier haben wir keine Zyxel FW sonder ein Raiwan Leitung mit Cisco Routern, hier klappt alles.

EmpirumLog:
d091e29a24d69dfbd7f33f30ad475807

Content-Key: 250659

Url: https://administrator.de/contentid/250659

Ausgedruckt am: 28.03.2024 um 10:03 Uhr

Mitglied: brammer
brammer 01.10.2014 um 11:09:55 Uhr
Goto Top
Hallo,

was macht den die Zyxel USG 20 in Graz mit dem DHCP Packet?
Die Zyxel schient es ja nach Wien zusckicken, aber wohin leitet sie das Paket weiter?
anscheinend wird das Paket verworfen, entweder wegen eines ubekannten Zieles, oder die Access Listen sorgen dafür dass das DHCP offer verloren geht.

brammer
Mitglied: aqui
aqui 01.10.2014 aktualisiert um 11:24:44 Uhr
Goto Top
Was auch immer Empirum ist ?! Klingt für einen Netzwerker wie eine antike römische Stadt....

DHCP basiert wie BOOTP auf UDP Broadcast und wie jeder Netzwerker weiss wird im TCP/IP UDP Broadcast Frames nicht üner Routing Grenzen geforwardet. Das ist Standard Verhalten in IP Netzen.
Da deine VPN Verbindung geroutet ist kommen so ohne weiteres also DHCP Broadcasts da nicht rüber und folglich auch keine Antworten.
Dafür haben Router oder Firewalls eine sog. DHCP Relay Funktion oder ein sog. UDP Helper.
Den musst du schlicht und einfach aktivieren über die Konfig und dann gehen solche UDP Broadcast Requests wie z.B. DHCP auch über geroutete Links.
Ein üblicher Klassiker wenn man einen zentralisierten DHCP Server betreibt.
Mitglied: Tommsn
Tommsn 01.10.2014 um 13:36:37 Uhr
Goto Top
DHCP Relay ist aktiviert, allerdings welche IP ist dort ein zu tragen? Ich vermute mal die vom DHCP oder? oder die von der Zentralen Firewall, das würde aber wenig Sinn machen da man sonst max 2 externe FW anbinden könnte...
UDP Helper gibts anscheinend bei der Zyxel nicht...
Mitglied: aqui
aqui 01.10.2014 um 13:45:48 Uhr
Goto Top
allerdings welche IP ist dort ein zu tragen?
Na die Endgeräte IP des DHCP Servers natürlich auf dem alle diese DHCP Scopes definiert sind !
Der Router ersetzt dann die Broadcast IP des ursprünglichen Frames mit der IP des DHCP Servers und forwardet so das Paket ans Ziel wo es hinsoll. Eben wie ein Relay Eintrag es so macht im Netz....
Die Firewall hat damit nicht das Geringste zu tun...es sei denn sie filtert was anhand dieser IP raus. Firewall IP macht also in der Tat recht wenig Sinn.
Um das zu sehen ob sie filtert hilft dir wie immer der Kabelhai (Wireshark).
UDP Helper gibts anscheinend bei der Zyxel nicht...
Das ist generell schlecht und torpediert dein projekt wenn Billighardware so ein essentielles Routing Feature nicht supportet.
Erheblich sinnvoller wäre dann dort allemal z.B. sowas gewesen. Diese Lösung kann alles...und noch viel mehr als der Zyxel Murks.