Eine DNS-Weiterleitung für bestimmte Zonen ist in Lancom-Geräten schnell eingerichtet und wird naturgemäß für lokale (interne) AD-Zonen genutzt. Leider übersieht man als schneller Admin gerne, das eine Weiterleitung für *.EXAMPLE.COM nicht die reverse Zone für die Hosts beinhaltet.
Dann dauern reverse Auflösungen sehr lange, funktionieren nicht und sorgen für längere Wartezeiten.
Lösung
Damit die Rückwärts-Adressauflösung ebenfalls funktioniert, muss man die reversen Adresszonen ebenfalls hinzufügen. Natürlich alle einzeln, denn eine Wildcard endet an einem Punkt.
Das geht unter IPv4 > DNS > Weiterleitungen > … bearbeiten
Beispiele für private 192.168. Netze:
*.2.168.192.in-addr.arpa # Für die Zone 192.168.2.*
*.42.168.192.in-addr.arpa # Für die Zone 192.168.42.*
Ein Accesspoint ist wegen einer verpfuschten fehlerhaften Konfiguration nicht mehr erreichbar. Manchmal soll das ja mit der unbedachten Verwendung des VLAN-Moduls zu tun haben, dass einem Cisco- oder HPE erfahrenen Admin zugegebenermaßen nicht immer ganz einleuchtend erscheinen mag.
So könnte ein Admin-Albtraum aussehen
Lösung
Lancom hat glücklicherweise ein Backdoor-Protokoll zur Konsolenkonfiguration eingebaut. Böse Zungen behaupten, das sei exklusiv zur VLAN-Konfiguration geschehen, aber das ist bestimmt nur ein Gerücht.
Wichtig: Die Lancom LL2M-Erfindung ist KEINE Gerätebackdoor. Man muss immernoch passende Anmeldedaten haben; das ist nur ein Protokoll mit dem man via Layer2 (in der Regel Ethernet) auch ohne gültige IP-Konfiguration, korrekte VLANs oder bei zerstörten WLAN-Antennen auf die Gerätekonfiguration zugreifen kann.
Schritt 1: Gerät(e) finden, LL2M testen
„ll2mdetect“ listet alle via Layer2 erreichbarn Geräte auf:
> ll2mdetect
Address 00:a0:de:ad:be:ef on Interface LAN-1:
Name WICHTIGERAP28
Type LANCOM IAP-822
Serial Number 4123456789123456
MAC-Address 00:a0:de:ad:be:ef
HW-Release H
Firmware-Version 11.82.0093 / 31.10.2021
Address 00:a0:de:ad:be:eb on Interface LAN-1:
Name WICHTIGERAP29
Type LANCOM IAP-822
Serial Number 4123456789012345
MAC-Address 00:a0:de:ad:be:eb
HW-Release H
Firmware-Version 13.32.0066 / 31.10.2022
Schritt 2: LL2M Verbindung via ll2mexec herstellen
LL2M stellt eine echte interaktive Shell zur Verfügung. Die Verbindung ist sogar (symetrisch) verschlüsselt (mit dem Gerätepasswort) und für solche belange absolut. Sollten die Kennwörter des aktuellen Gerätes von dem die Verbindung ausgeht und des Zielgeräts nicht übereinstimmen, kann man mittels „:“ ein Kennwort in den String einfügen (name:kennwort@mac)
> ll2mexec -i Lan-1 root@00a0deadbeef
Beziehungsweise man kann auch ein anderes Kennwort verwenden:
Man landet auf der Konsole des Zielgerätes und kann hier sofort loskonfigurieren. Der Erfahrung zeigt das folgende Kommandos hilfreich sein können. Mit ‚cd‘ wechselt man den Konfigurationskontext, ‚ls‘ zeigt den inhalt und mit ’set‘ werden Werte gesetzt.
LL2M: VLAN-ID eines IP-Netzwerkes ändern
> cd Setup/TCP-IP/Network-list/INTRANET
> set VLAN-ID 1337
set ok:
VLAN-ID VALUE: 0
>
LL2M: VLAN-Modul deaktivieren
> cd Setup/VLAN
> set operating no
LL2M: Gerät resetten (Auf Werkszustand zurücksetzen und booten)
Dies ist wieder ein Fall von „Notiz an mich selbst“. Nachdem ich das jetzt 1290843950 mal gegoogelt habe, die die Abkürzung zu „Syslos Protokoll eines Lancom-Router, Accesspoints oder Switches leeren“ 😉 An der SSH oder Telnet-Shell hilft:
do Status/TCP-IP/Syslog/Delete-Values
Syslog-Einträge werden beim LANCOM im RAM und im Flash-Speicher (bootpersistentes Backup) abgelegt. Der Befehl löscht beides, einzeln ist das (meines Wissens nach) nich möglich.
Nach der Umstellung auf einen IP-basierten Anlagenanschluss der Telekom, kann es vorkommen das sich der bisherige LANCOM All-IP Router nicht an der Domäne sip-trunk.telekom.de anmelden kann.
Im LANmonitor meldet die Leitung u.a. IP-Adresse der Gegenstelle: transport not ready.
Lösung
Nach der Ausführung des LANCOM Wizards muss die Signalisierungs-Verschlüsselung für die SIP-Leitung manuell auf „Keine (TCP)“ gesetzt werden.
Die Option befindet sich unter Voice Call Manager -> Leitungen -> SIP-Leitungen -> betroffene Leitung
Aufgrund aktueller Vorkommnisse 🙂 und vor allem wegen eines Mißverständnisses in einer bestimmten Konfiguration, hier nun eine schnelle und einfache Admin-Schnellübersicht über das, was HP mit der VLAN-Portmarkierung in ProCurve Switches meint.
Tagged:
Die Pakete die von einem Tagged-Port angenommen werden müssen schon mit einem Tag versehen sein, erst dann leitet der Switch diese entsprechend weiter. Kommt praktisch ausschliesslich auf Verbindungen zwischen Switches oder zum Anschluss von VLAN-fähigen Routern/Servern/Accesspoints etc. zum Einsatz.
Untagged:
Die an diesem Port eingehenden Pakete haben keinen eigenen Tag, bekommen aber eingehend vom Switch eines angefügt. Ausgehend wird jedes vorhandenes Tag wieder entfernt. An solche Ports werden alle „normalen“ Clients, Server und Geräte angeschlossen. Ein untagged-Port kann, logischerweise, nur an ein einziges exklusives VLAN angebunden sein. Durch untagged Ports kann man also Switches in mehrere „kleine“ Switches zerschneiden.
Forbidden:
Ein solcher Port kann und darf nicht in das betroffene VLAN eingerichtet werden – vor allem nicht per GVRP.
Not Used:
Der Port ist in diesem VLAN überhaupt nicht eingerichtet.
