AP im Bridge Mode ohne Default Gateway

[schibulski]

Hallo Zusammen,

Kurzer Hintergrund: Drei VLANs (802.1x, VPN, Mgment). Alle drei auf der Antenne. Mgment-Netz auf LAN-1.

Ich war im jugendlichen Ueberschwang der Meinung ich koennte im 54g die Default Route weglassen und nur mit statischen Routen arbeiten und mein Management WLAN Netz waere vor neugierigen Boesen Buben geschuetzt. Pinge ich vom AP (SSH auf dem Lancom - Mgment-Netz) in ein Netz das keine Route hat, bekomme ich auch nichts zurueck. Hurra, so soll es sein. Drehe ich jedoch den Spies um und pinge von einem Netz das keine Route im AP hat, erhalte ich einen Ping zurueck. Argh, so soll es nicht sein.

Liege ich mit meiner Vermutung richtig, das der AP den reinkommenden Ping beantwortet (brav) und sofort an den Router des Management-Netzes brueckt (boese) und nicht erst ueber sein eigenes Router-Interface geht? Und wenn ja, kann ich das irgendwie umgehen ohne den AP in den Router-Modus zu schalten (Isolated Modus)?

Gruss,

Schibulski aka Pascholski ;-)

[alf29]

Moin,

bei der Antwort auf einen Ping befragt eine LANCOM seine Routing-Tabelle
nicht, sondern tauscht für die Antwort einfach Quell- und Ziel-MAC-Adresse
aus dem empfangenen Ping-Request aus. Ich weiß nicht mehr 100%, warum
das so ist, aber es gab da wohl bestimmte andere Aufbauten mit LANCOMs,
die sonst nicht funktionieren - deshalb kommt die Ping-Antwort zurück, auch
wenn das LANCOM selber keine Rückroute zur Quelle hat.

Es geht jetzt aber nicht darum, daß das LANCOM von einem WLAN-Client, der
in einem anderen VLAN als dem Management-VLAN steht, angepingt werden
kann?

Gruß Alfred

[schibulski]

Hallo Alfred, Hallo Zusammen,

Moin,
bei der Antwort auf einen Ping befragt eine LANCOM seine Routing-Tabelle
nicht, sondern tauscht für die Antwort einfach Quell- und Ziel-MAC-Adresse
aus dem empfangenen Ping-Request aus. Ich weiß nicht mehr 100%, warum
das so ist, aber es gab da wohl bestimmte andere Aufbauten mit LANCOMs,
die sonst nicht funktionieren - deshalb kommt die Ping-Antwort zurück, auch
wenn das LANCOM selber keine Rückroute zur Quelle hat.

Schade, waere nett wenn es nicht so waere. Als ich das noch einmal getestet habe betraff dies nicht nur ICMP sondern auch Verbindungen ueber Telnet, SSH. Da gibt es nicht zufaellig ein Flag was dieses "IP-Forwarding" ausschaltet?

Ansonsten laesst sich die Unerreichbarkeit der Service-Maschine (AP) auch ueber die Reglementierung der Zugriffs-Stationen erreichen. Ist zwar nicht so sauber, aber es wird langen. Notfalls machen wir das Netz mit ACLs von der Routerseite her dicht, auch wenn der Kollege die ACLs von Nortel nicht so gerne anpackt ;-)

Es geht jetzt aber nicht darum, daß das LANCOM von einem WLAN-Client, der
in einem anderen VLAN als dem Management-VLAN steht, angepingt werden
kann?

Nein, darum geht es nicht. Im ersten Antwortabsatz wurde das Problem schon richtig erkannt und umfangreich abgehandelt ;-) Aber recht herzlichen Dank fuer die Auskunft und schoenes Wochenende.

Gruesse, Pascholski