Lease estranho

Olá turma. Uso aqui Hotspot com DHCP com controle por mac e estou com um probleminha: Tem hora que alguns clientes não conseguem pegar por dhcp a mascara, gateway e dns. Pega apenas o ip.

Exemplo:
172.25.35.2
255.0.0.0 (Mascara errada, uso /30 e nao pega 255.255.255.252)
-----------
-----------

Os clientes só conseguem pegar tudo certinho quando apago os leases. Outra coisa que notei, tem clientes que assim que chegam nos leases rapidinho o mac fica 00:00:00:00:00:00 e com busy no status. Alguem tem uma ideia do que seja?

Abraço.

Sobre a mascara, pelo que ja ouvi falar é que so funciona no dhcp ips na faixa de 192.168.0.0, mais nao tenho certeza alguem mais experiente pode nos dizer com certeza, sobre o mac com 0 aqui de vez em quando acontece isso tambem, ate hoje nao consegui resolver.

Abraços

Hernesto,

Posta as configurações do seu servidor DHCP pra gente poder ajudar melhor.

Outra coisa: Qual versão do MK você tá usando?

Taê então as configurações. Preciso alterar algo? =)

Cara, que louco isso ... Você tá usando faixa 173.30.20/20? Essa faixa de ip é pública. Outra coisa, você tá dando, pelo dhcp, ips sem gateway. Sem falar na quantidade de redes que você tá gerando sem necessidade. Tá uma "lambança" isso :). Vamos arrumar isso. Porém verifica se você tá usando proxy mesmo. Caso esteja rodando na máquina precisa arrumar o ip,ok? Vamos lá. Primeiro apaga tudo e em seguida faz assim:

/ ip address
add address=10.10.0.1/23 network=10.10.0.0 broadcast=10.10.1.255 interface=bridge_clientes comment="" disabled=no

/ ip pool add name=LN ranges=10.10.0.2-10.10.1.255

/ ip dhcp-server
add name="DHCP 2" interface=bridge_clientes lease-time=2h address-pool=LN bootp-support=static authoritative=after-2sec-delay disabled=no

/ ip dhcp-server config
set store-leases-disk=5m

/ ip dhcp-server network
add address=10.10.0.0/23 gateway=10.10.0.1 netmask=32 dns-server=200.255.255.70,8.8.8.8 comment=""

/ ip hotspot user profile
set default name="default" idle-timeout=none keepalive-timeout=2m status-autorefresh=1m shared-users=1 transparent-proxy=no
add name="CLIENTES 100K/256K" idle-timeout=none keepalive-timeout=2m status-autorefresh=1m shared-users=1 rate-limit="100k/150k" transparent-proxy=yes open-status-page=always \

/ ip hotspot profile
set default name="default" hotspot-address=0.0.0.0 dns-name="" html-directory=hotspot rate-limit="" http-proxy=0.0.0.0:0 smtp-server=0.0.0.0 login-by=cookie,http-chap \
http-cookie-lifetime=1d split-user-domain=no use-radius=no
add name="Hernesto" hotspot-address=10.10.0.1 dns-name="login.hernet.org" html-directory=hotspot rate-limit="" http-proxy=10.10.0.1:3128 smtp-server=0.0.0.0 \
login-by=cookie,http-chap http-cookie-lifetime=1d split-user-domain=no use-radius=no

/ ip hotspot
add name="hotspot" interface=bridge_clientes profile="Hernesto" idle-timeout=none keepalive-timeout=2m disabled=no

Isso ai substitui toda a configuração que você passou e funciona bem melhor, ok?

Faltou você passar como tá o roteamento.

Abs.

Grande Guilherme, sem dúvida nenhuma dessa forma é beeeem mais fácil. Foi um trabalhão criar isso tudo manual. Nesta sua configuração a mascara no cliente será 255.255.255.255 ? Os clientes também não se enxergarão neh isso? Agora, posto como está o Mangle e o Nat. Uso Web-Proxy sim. =)

Grande abraço.

Exato. Em relação as regras do mangle que você passou, eu não modifiquei muita coisa. Só faltou acrescentar na regra do output o DSCP que você tá usando no proxy. Eu coloquei "4" mas confere ai na sua configuração do proxy. E o NAT é padrão pro hotspot. Só precisa você conferir a interface de saida e modificar onde coloquei "INTERFACE-DE-SAIDA", ok?

/ ip firewall mangle
add chain=output protocol=tcp src-port=3128 dscp=4 content="X-Cache: HIT" action=mark-connection new-connection-mark=squid-connection-HIT passthrough=yes comment="CACHE FULL" disabled=no
add chain=output connection-mark=squid-connection-HIT action=mark-packet new-packet-mark=squid-packet-HIT passthrough=yes comment="" disabled=no
add chain=output connection-mark=conn_squid-up action=accept comment="" disabled=no
add chain=prerouting protocol=tcp dst-port=3128 action=mark-connection new-connection-mark=conn_squid-down passthrough=yes comment="" disabled=no
add chain=prerouting connection-mark=conn_squid-down action=mark-packet new-packet-mark=pacotes_squid-down passthrough=yes comment="" disabled=no
add chain=prerouting p2p=all-p2p action=mark-connection new-connection-mark=conexao_p2p passthrough=yes comment="" disabled=no
add chain=prerouting connection-mark=conexao_p2p action=mark-packet new-packet-mark=p2p passthrough=yes comment="" disabled=no
add chain=prerouting dst-address-list=medidor action=mark-connection new-connection-mark=medidorC passthrough=yes comment="MEDIDOR" disabled=no
add chain=prerouting connection-mark=medidorC action=mark-packet new-packet-mark=medidorF passthrough=no comment="" disabled=no
add chain=input dst-address-list=medidor action=mark-connection new-connection-mark=medidorC passthrough=yes comment="MEDIDOR" disabled=no
add chain=input connection-mark=medidorC action=mark-packet new-packet-mark=medidorF passthrough=no comment="" disabled=no
add chain=output dst-address-list=medidor action=mark-connection new-connection-mark=medidorC passthrough=yes comment="MEDIDOR" disabled=no
add chain=output connection-mark=medidorC action=mark-packet new-packet-mark=medidorF passthrough=no comment="" disabled=no
add chain=postrouting dst-address-list=medidor action=mark-connection new-connection-mark=medidorC passthrough=yes comment="MEDIDOR" disabled=no
add chain=postrouting connection-mark=medidorC action=mark-packet new-packet-mark=medidorF passthrough=no comment="" disabled=no

/ ip firewall nat
add chain=srcnat src-address=10.10.0.0/23 out-interface=INTERFACE-DE-SAIDA action=masquerade comment="masquerade hotspot network" disabled=no

Blz grande Guilherme. Envio também a configuração do Proxy. Só outra coisa: Preciso de um pool maior. Neste caso como eu adicionaria?

Com certeza esse post irá virá um manual feito pelo Guilherme. Hehehe eu já tinha lido bastante a respeito disso e nunca tinha ficado tão claro essa configuração. Parabéns Guilherme.

Altera lá o pool de: / ip pool add name=LN ranges=10.10.0.2-10.10.0.255 pra / ip pool add name=LN ranges=10.10.0.2-10.10.1.255.

Editei meu post que fala desse pool. Com esse novo pool você pode atender até 507 clientes, ok?

Abs.

Isto, quero o pool com esta quantidade de ips mesmo. No cliente ficará assim por exemplo:

IP: 10.10.1.2
MASCARA: 255.255.255.255
GATEWAY: 10.10.0.1
SERVIDOR DHCP: 10.10.0.1

DNS: 200.255.255.70
8.8.8.8

É normal aparecer a mensagem "A combinacao de endereco ip e máscara de sub-rede é inválida. Todos os bits da parte de endereço IP estão definidos como 1..." Quando se tenta colocar manualmente no pc? Não que eu vá colocar manualmente nos meus clientes, mas só pra tirar essa dúvida.

Quanto as configurações do Web-Proxy. Estao em ordem?

Grande abraço.

Manual você realmente não vai conseguir. Pra setar manual você precisa definir a máscara: 255.255.0.0. Porém lembre-se que não é aconselhável. Em relação ao proxy basta você setar o src-address=10.10.0.0/23. A única dica que deixo em relação ao proxy é que pra cada 1 GB de espaço que você reserve pro cache você deve ter 15MB de RAM livre. O limite pro proxy também não é legal que passe de 40GB.

O resto tá ok.

Abs.

Tah ok grande ensinador. As coisas ficaram bem claras. Vou implantar aqui as alterações e qualquer problema posto por aqui. Mas já te agradeço e te parabenizo pela grandiosa facilidade de explicar e exemplificar todos os pontos. Apesar de sempre pesquisarmos sobre determinados assuntos, nem sempre ficam de forma clara para que possamos entender o real funcionamento, ou seja, a lógica da coisa. Creio que vai virá um manual esse post. Valeu grande. Vou implantar e publico aqui o resultado. =)

Fico grato pelo reconhecimento.

Uma grande abraço.

Iae grande Guilherme. Comecei implementar as modificações por aqui. Inseri o Ip Adrress, ip dhcp-server network e também o nat. Daí fui fazer um teste colocando no pc:

10.10.0.23
255.255.0.0
10.10.0.1

200.255.255.70

"Lembrando que irei usar DHCP nos clientes. Manual só pra teste."

Só aconteceu uma coisa: Acessa a internet só não acessa orkut nem conecta o msn. Quando retorno pra outra classe que está atual, está tudo normal.

O que pode ser?

Faz o seguinte,

adiciona meu messenger ai que dou uma olhada pra você, ok?

Abs.

Adicionado. Depois trago a solução aqui pra o post pra todos que estão acompanhando.

=)

Olá Guilherme. Na verdade foi um pequeno deslize meu. Na configuração do NAT havia selecionado a INTERFACE DE SAÍDA a mesma dos CLIENTES. :/ Depois notei o erro e o orkut e msn voltaram ao normal. Interessante que outras páginas navegavam normalmente. Mas resolvido. Outra coisa: Preciso setar algo manual em IP Routes ou ele reconhece direto mesmo? Mais uma dúvida: Há a necessidade de marcar "Add ARP For Leases" e mudar o "Authoritative" pra "Yes" no DHCP Server? Abraço.

Feras, já que voces estão falando em Lease, eu gostaria de algumas dicas sobre isso.
Eu tenho o hotspot e dhcp ativado.
Mas depois da primeira conexão eu fixo em users o ip que ele pegou e o mac do rádio cliente.

E alguns dias atrás, resolvi usar o lease para fixar o IP do cliente. Mas se eu já fixei ele em user tem algum benefício de usar o lease?
E notei que tem de vêz em quando algum não cliente que tenta conectar, pois ele aparece em lease como dinámico e status bound. Mas logicamente não conecta pois não está cadastrado em user.
Mas como estes ficam por horas ali em lease aparecendo, eu fiquei preocupado que de alguma forma poderia estar navegando pois fica marcando tempo em Expires After. Mas não aparece em host.

Editando: E agora notei que um usuário conectou normalmente no hotspot, como o ip correto e mac correto. Mas não apareceu em lease.
Este é um cliente novo que cadastramos ele ontem e ainda não tinha fixado no lease. Mas ele deveria ter aparecido como D dinâmico.

Citação:

---

Postado originalmente por Hernesto

Olá Guilherme. Na verdade foi um pequeno deslize meu. Na configuração do NAT havia selecionado a INTERFACE DE SAÍDA a mesma dos CLIENTES. :/ Depois notei o erro e o orkut e msn voltaram ao normal. Interessante que outras páginas navegavam normalmente. Mas resolvido. Outra coisa: Preciso setar algo manual em IP Routes ou ele reconhece direto mesmo? Mais uma dúvida: Há a necessidade de marcar "Add ARP For Leases" e mudar o "Authoritative" pra "Yes" no DHCP Server? Abraço.

---

Em meu post #5 perguntei sobre o roteamento, porém você não respondeu. Seguinte: Se você usa ADSL é só marcar a opção "Add Deafult Route" na aba "Dial Out" da sua conexão PPPoE. Porém creio que já esteja habilitada. Caso contrário não haveria navegação. Se você usa outra coisa, posta ai pra gente, ok? Em relação ao ARP, se você usa a interface com ARP=yes não precisa marcar a opção. As entradas arps serão preenchidas automaticamente. "Authoritative=yes" é bom devido a alguns windows que gostam de se "apossar" de alguns ips pra sempre.

Abs.

Citação:

---

Postado originalmente por 1929

Feras, já que voces estão falando em Lease, eu gostaria de algumas dicas sobre isso.
Eu tenho o hotspot e dhcp ativado.
Mas depois da primeira conexão eu fixo em users o ip que ele pegou e o mac do rádio cliente.

E alguns dias atrás, resolvi usar o lease para fixar o IP do cliente. Mas se eu já fixei ele em user tem algum benefício de usar o lease?
E notei que tem de vêz em quando algum não cliente que tenta conectar, pois ele aparece em lease como dinámico e status bound. Mas logicamente não conecta pois não está cadastrado em user.
Mas como estes ficam por horas ali em lease aparecendo, eu fiquei preocupado que de alguma forma poderia estar navegando pois fica marcando tempo em Expires After. Mas não aparece em host.

Editando: E agora notei que um usuário conectou normalmente no hotspot, como o ip correto e mac correto. Mas não apareceu em lease.
Este é um cliente novo que cadastramos ele ontem e ainda não tinha fixado no lease. Mas ele deveria ter aparecido como D dinâmico.

---

Amigo,

Se você usa todos seus clientes com ips fixo por MAC aconselho que você use a interface dos seus clientes no modo ARP = "Reply only" ou "no". Assim você garante que somente terão resposta os macs cadastrados por você. Agora o ideal no seu caso seria você desativar o DHCP e fixar seus clientes somente na ARP List. Muita gente não faz isso porque dificulta o gerenciamento. Principalmente quando o cliente troca de placa de rede ou formata o PC e perde o ip dele. Mas infelizmente o Hotspot tem essa falha que é o clone de sessão. Se algun usuário clonar o MAC de algum cliente que você tem, o DHCP vai responder com o ip correspondente e então ele irá navegar sem problema algum.
Então uma forma de minimizar isso é efetuando esses procedimentos que citei acima, ok?

Abs.

Bom dia. Caro Guilherme, mais uma vez agradeço pelos grandes ensinamentos. Uso link Embratel. Na Interface uso sim ARP - Enable. A questão de não navegar Orkut e Msn tinha sido uma mancada minha quando setei a Interface de saída errada e depois vi o deslize. Navegou normalmente. Já está rodando a configuração indicada por você. Quanto a IP > Routes taê o que tem setado manualmente:

/ ip route
add dst-address=0.0.0.0/0 gateway=IP FORNECIDO PELA EMBRATEL distance=1 scope=255 target-scope=10 comment="" disabled=no


Quanto ao Web-Proxy. Estou reservando 10gb de espaço pra ele e tenho 1gb de Ram no servidor.

Maximum Cache Size 10000000

Qual o valor ideal para o "Maximum RAM Cache Size"?

Tranquilo. Tá certinho o roteamento. Pode continuar usando assim.

Abs.

Citação:

---

Postado originalmente por guilhermeramires

Amigo,

Se você usa todos seus clientes com ips fixo por MAC aconselho que você use a interface dos seus clientes no modo ARP = "Reply only" ou "no". Assim você garante que somente terão resposta os macs cadastrados por você. Agora o ideal no seu caso seria você desativar o DHCP e fixar seus clientes somente na ARP List. Muita gente não faz isso porque dificulta o gerenciamento. Principalmente quando o cliente troca de placa de rede ou formata o PC e perde o ip dele. Mas infelizmente o Hotspot tem essa falha que é o clone de sessão. Se algun usuário clonar o MAC de algum cliente que você tem, o DHCP vai responder com o ip correspondente e então ele irá navegar sem problema algum.
Então uma forma de minimizar isso é efetuando esses procedimentos que citei acima, ok?

Abs.

---

Pois é, deixamos o DHCP ativado para simplificar mesmo.
Mas depois da instalação e primeira conexão, vamos em User e fixamos aquele IP e Mac para o cliente novo.
E antes não fixava em Leases. Qual a vantagem de fixar em lease se jjá está fixado em user?

Só tem vantagem se você usa falsa bridge e não repassa os macs corretos. O servidor dhcp consegue receber os macs corretos mesmo com falsa bridge. Então nesse caso você tem como garantir que o mac que você deseja receba o ip correto.

Abs.

Guilherme, e quanto ao Web-Proxy, estou reservando 10gb de espaço pra ele e tenho 1gb de Ram no servidor.

Maximum Cache Size 10000000

Qual o valor ideal para o "Maximum RAM Cache Size"? Tendo em vista que já vi alguns falando em 64k outros 600MB. Surgiu então essa dúvida.

Citação:

---

Postado originalmente por guilhermeramires

Só tem vantagem se você usa falsa bridge e não repassa os macs corretos. O servidor dhcp consegue receber os macs corretos mesmo com falsa bridge. Então nesse caso você tem como garantir que o mac que você deseja receba o ip correto.

Abs.

---

Agora me enrolei. Fui procurar sobre falsa bridge e não achei nada.
O que seria uma falsa bridge? clonagem de mac?

Uma falsa bridge utiliza o recurso conhecido como "proxy-arp" pra responder as requisições a ela enviada. Na prática ela armazena os macs dos clientes conectados a ela e passa pra frente o ip do cliente com o MAC dela.
Quando a resposta volta, procura o ip do cliente e o mac na lista de MAC dela. E assim ela responde pro cliente. É como se fosse um "nat" de mac.
Em uma bridge verdadeira os MACS passam transparentemente.

Abs.

Hernesto,

Você vai fazer "cache on disk" então não precisa alterar essa variável. De qualquer forma, só pra lembrar pro pessoal, eu utilizo uma regrinha que é deixar 15MB de memória RAM pra cada 1GB de cache que faço. E procuro não passar de 40GB de cache, ok?

Abs.

Citação:

---

Postado originalmente por guilhermeramires

Uma falsa bridge utiliza o recurso conhecido como "proxy-arp" pra responder as requisições a ela enviada. Na prática ela armazena os macs dos clientes conectados a ela e passa pra frente o ip do cliente com o MAC dela.
Quando a resposta volta, procura o ip do cliente e o mac na lista de MAC dela. E assim ela responde pro cliente. É como se fosse um "nat" de mac.
Em uma bridge verdadeira os MACS passam transparentemente.

Abs.

---

Então se eu entendi, no meu caso como fixo o ip e o mac em user, não preciso me preocupar em fixar em lease?
Eu comecei a fixar em lease na semana passada e algumas coisas estranhas começaram a ocorrer. Aparentemente não tem relação mas nestas alturas eu já desconfio de tudo.
Por ex. aparece alguns aparentemente estranhos conectados, pois o status fica em bound e pegam IP. Mas não aparece como conectado em user ativos. Eu atribuo isto ao fato de ainda haver uma célula em que os rádios estão sem criptografia. Pode acontecer daí que alguém scaneia a rede e aparece como bound?

E como uso balanceamento faz mais de um mês e ia muito bem, mas semana passada aconteceu de travar o acesso a qualquer site que tenha relação com o google. Isto não tinha acontecido antes de eu usar o lease. Foi preciso resetar a rb que faz o balance e também o servidor.
E hoje aconteceu de novo. Travou tudo que depende do google. Pode ter alguma relação com fixar ip e mac em lease?

Amigo,

Sinceramente isso é bem estranho. Teoricamente não tem relação entre os "leases" e esse travamento.
Que loadbalance você tá usando? Seria interessante você postar as regras. Entretanto creio que iremos fugir do foco desse tópico. Então sugiro que você abra um novo tópico. Assim vai ficar melhor pra gente resolver esse problema, ok?

Abs.

Citação:

---

Postado originalmente por guilhermeramires

Amigo,

Sinceramente isso é bem estranho. Teoricamente não tem relação entre os "leases" e esse travamento.
Que loadbalance você tá usando? Seria interessante você postar as regras. Entretanto creio que iremos fugir do foco desse tópico. Então sugiro que você abra um novo tópico. Assim vai ficar melhor pra gente resolver esse problema, ok?

Abs.

---

Eu não abri outro porque estava desconfiando que fosse também um comportamento estranho do lease, mas parece que está tomando mesmo outro rumo.
Eu uso o balance pcc e fizemos baseado num tópico aqui do under. Estava funcionando redondo faz um mês.
Já coloquei a minha desconfiança lá no tópico também.
Vou aguardar.

Tá jóia. Vou dar uma olhada lá.

Abs.