Alerta! Switch de cliente pode derrubar toda rede!

Bom pessoal, esta tarde passei por uma experiência nada boa... Ontem deu um raio aqui na cidade, e queimou uma porta de switch de um cliente.. Hoje a tarde fomos lá pra consertar, e tão logo foi tirado o cabo de rede da porta queimada, nesse meio tempo até q se fosse buscar um novo, a rede inteira caiu... Fomos atrás tentar resolver, sem nos ater ao fato de que poderia estar ali o problema.
Começou a dar conflito de ip em umas quantas máquinas de clientes, em todas as repetidoras, inclusive em outras cidades. Isso eram 2 da tarde...

Fui desligando repetidora por repetidora até conseguir isolar, consegui hj as 18 horas, e fui ver q era la naquele primeiro cliente... 4 horas fora do ar por causa disso!!! Mais de 200 telefonemas de clientes!

Já tinha visto isso acontecer uma vez na minha rede, quando um "taipa" de um cliente ligou duas pontas de um cabo de rede no mesmo switch... O que poderia ser feito pra prevenir esse tipo de problema? Segmentar a rede, dividindo ela em diversos gateway reais? Pq se forem virtuais, da maneira q tenho, estarão conectados no mesmo meio físico, podendo a qualquer momento acontecer novamente... Imagine só, por causa de 1 cliente possivelmente outros 400 ficam fora! Não posso mais correr esse risco... Qualquer sugestão será bem vinda!

isso era um switch mesmo ou um hub? ja vi ligar duas pontas de um cabo de rede e parar tudo quando é hub, na escola aqui perto tem um daqueles encore de 16 portas de 10mbps e se ligar uma na outra para tudo...

Mas valeu a experiência... das 2 as 18 eu tava na maresia :)

Citação:

---

Postado originalmente por Pedro0278

isso era um switch mesmo ou um hub? ja vi ligar duas pontas de um cabo de rede e parar tudo quando é hub, na escola aqui perto tem um daqueles encore de 16 portas de 10mbps e se ligar uma na outra para tudo...

Mas valeu a experiência... das 2 as 18 eu tava na maresia :)

---

Era switch mesmo, não era hub... Esqueci de citar que outra vez que aconteceu isso, foi quando eu estava trocando meus ponto a ponto pra 5.8, sem tirar o em 2.4.. daí ficou 2 enlaces no ar ao mesmo tempo... Fica aí o alerta...

O lindo de ver é que estou com a perna engessada, pq operei o tendão de aquiles, daí tive q subir uns quantos lances de escada de muletas, e me embretar nos lugares dos meus sevidores, ligar e desligar cabo de rede, etc... enquanto meu funcionario subia na torre pra desligar e ligar radio... vcs nao tem idéia de quanto faz falta uma perna hehehehe :)

Q loco isso, nunca vi isso mas achei legal o registro, xandemartini nos meus clientes sempre crio uma nova rede interna pra eles para poder isolar esse tipo de problema.

Citação:

---

Postado originalmente por marcelomg

Q loco isso, nunca vi isso mas achei legal o registro, xandemartini nos meus clientes sempre crio uma nova rede interna pra eles para poder isolar esse tipo de problema.

---

Não faz diferença criar redes novas, se o meio físico q as conecta for o mesmo... Pq nesse caso q me aconteceu, tenho 2 servidores diferentes, mas q as redes deles q atendem os clientes, estão no mesmo Switch, mesmo sendo ips totalmente diferentes, dá conflito igual... Procurei um post meu mesmo antigo, o patrickbrandao tinha explicado que era um problema q dava em outra camada do TCP/IP... procurei mas nao achei...

Interessante, nesta horas a gente pensa mil coisa...
Bom hoje minha estrutura e toda roteada(uma boa dica e conselho do segio, grande cara). tenho 3 mks e até o final do ano acredito que terei +3, para cada antena crio uma classe c e outra de ips validos, e todo os ips chega nos dois gw que tenho no meu datacenter, um residencial e outro para clientes comerciais... posso analizar o trafego de todos.
Acredito que o caminho seja este, e um poquinho chato de configurar mais depois de rodando vc fica com tua rede na mão.

pelo que entendi no caso dos outros amigos um spanning tree ativado nos equipamentos resolveria o problema, o spanning tree nao deixaria a rede entrar em looping e travar tudo.
a maioria dos radios hj tem este protocolo e pode ser ativado.

ja cai na besteira de ligar um 2.4 e um 5.8 junto mas sem ter o spanning tree ativado e foi um problema chato pra conseguir acessar remotamente um dos radios pra desliga-lo

Citação:

---

Postado originalmente por gustkiller

pelo que entendi no caso dos outros amigos um spanning tree ativado nos equipamentos resolveria o problema, o spanning tree nao deixaria a rede entrar em looping e travar tudo.
a maioria dos radios hj tem este protocolo e pode ser ativado.

ja cai na besteira de ligar um 2.4 e um 5.8 junto mas sem ter o spanning tree ativado e foi um problema chato pra conseguir acessar remotamente um dos radios pra desliga-lo

---

No caso, eu teria q ativar o spanning tree em todos os rádio clientes? O que este recurso faz, ele é pra isto mesmo?

spanning tree atua na camada logica....de nada vai adiantar se o problema for nos switchs ou cabos ligados em loop...

Citação:

---

Postado originalmente por xandemartini

No caso, eu teria q ativar o spanning tree em todos os rádio clientes? O que este recurso faz, ele é pra isto mesmo?

---

Se vc trabalhar com os equipamentos roteados vc impede que isso ocorra. Porém, só chegará ao servidor o IP do cliente, sem MAC, o que dificulta o controle. Mas em casos de conflito de IP, apenas um segmento da rede será afetado.

Citação:

---

Postado originalmente por fbig

spanning tree atua na camada logica....de nada vai adiantar se o problema for nos switchs ou cabos ligados em loop...

---

Foi o que imaginei, se o problema for físico não adianta. Uma vez o Patrick Brandão deu umas dicas pra mim, o problema acontece numa outra camada do protocolo tcp/ip neste casos... só não me lembro direito como era e nem tenho conhecimento suficiente sobre isso...

Citação:

---

Postado originalmente por fbig

spanning tree atua na camada logica....de nada vai adiantar se o problema for nos switchs ou cabos ligados em loop...

---

Spanning Tree Protocol (referido com o acrónimo STP) é um protocolo para equipamento de rede que permite resolver problemas de loop em redes comutadas cuja topologia introduza anéis nas ligações. O algoritmo de Spanning Tree determina qual é o caminho mais eficiente entre cada segmento separado por bridges ou switches. Caso ocorra um problema nesse caminho, o algoritmo irá recalcular, entre os existentes, o novo caminho mais eficiente, habilitando-o automaticamente.O nome deriva do algoritmo spanning tree em teoria dos grafos.

O que aconteceu eh que sua rede ficou em loop !!

ja aconteceu comigo aqui quando liguei um ap em um switch e coloquei um radio conectado no ap e esse radio tambem ligado no switch...

existe um protocolo (STP, Spanning Tree) que serve +- para isso, evitar loops (evitar e/ou detectar) ..

uma solução para seu caso (sem conhecer a topologia de sua rede)

eh no radio do cliente NUNCA usar bridge (para que a rede do cliente nao se misture com a sua) ..

sempre usar um gateway para a rede do cliente .. assim vc nao deixa o cliente/maquina em cotnato direto com a sua rede wireless...

[QUOTE=alexandrecorrea;254812

uma solução para seu caso (sem conhecer a topologia de sua rede)
eh no radio do cliente NUNCA usar bridge (para que a rede do cliente nao se misture com a sua) ..
sempre usar um gateway para a rede do cliente .. assim vc nao deixa o cliente/maquina em cotnato direto com a sua rede wireless...[/QUOTE]

O problema nesse caso é que dificulta o controle de banda e bloqueio, quando tem mais de um cliente por trás deste rádio roteado... por isso que não uso aqui.

tb tive um problema parecido so que n caiu a rede toda caiu so o ponto... com 4 clientes conectados por traz de 2 ap... dava conflito de ip com tudo qnt ip q colocava so resolveu qnd trokei o ap

Bom so pra acrescentar tlvz ajude.... antigamente qnd usava dhcp

Eu tive muitos problemas....
Via de mais acontecer de máquinas pegarem IPs que já estão alocados em
redes com switch e nestes estando habilitado o spanning tree em todas as portas, e não só nas portas que fazem cascatas.
Nestas situações, por causa de características do protocolo spanning tree, a
porta leva um pouco mais de tempo pra inicializar, e esse tempo a estação
não recebe direito as informações do DHCP. Entre os problemas que verifiquei
nessa situação, os mais comuns são a máquina pega um IP da rede, mas a
máscara fica errada, e acontece tbém de uma máquina usar um IP já alocado,
por ter pego o endereço num lease antigo do DHCP e não ter conseguido
comunicar corretamente com o servidor.


abs

estou com problemas parecidos..

depois q coloquei 2 repetiroas aki.. alguns clientes nao estao pegando o IP do meu DHCP.. acho q estao pegando o IP de algum APROUTER, q está em bridge nos clientes.. pois está pegando IP 192.168.2.108
e assim por diante..

e minha rede tem IP com começo 200.

e alguns aparelhos pegam o IP corretamente..

tem como resolver isso.. configurando o MK sem ir em cada cliente q tiver o aprouter e trocar o aparelhos??

Citação:

---

Postado originalmente por deivyn

estou com problemas parecidos..

depois q coloquei 2 repetiroas aki.. alguns clientes nao estao pegando o IP do meu DHCP.. acho q estao pegando o IP de algum APROUTER, q está em bridge nos clientes.. pois está pegando IP 192.168.2.108
e assim por diante..

e minha rede tem IP com começo 200.

e alguns aparelhos pegam o IP corretamente..

tem como resolver isso.. configurando o MK sem ir em cada cliente q tiver o aprouter e trocar o aparelhos??

---

Procura dentre teus clientes que tenham zinwell g120... o ip de fabrica dele é 192.168.2.254 e ele fornece ip por dhcp a partir do 192.168.2.100... pode ser uma pista pra vc identificar rapidamente!

Mas eu teho uns 7 com a mesma configuraçao..

o q eu terei q fazer?? trocar o aparelho?? e colocar outro?? mas a config.. tera q ser a mesma.. pois o AP tem q ficar como bridge tb.. para passar o IP externo direto para o cliente..


(Isso em predio.. q o mesmo AP da o IP para varios assinantes..)
q recebe do meu MK

Qual seria a soluçao mais adequada para esse problema??

Citação:

---

Postado originalmente por deivyn

Mas eu teho uns 7 com a mesma configuraçao..

o q eu terei q fazer?? trocar o aparelho?? e colocar outro?? mas a config.. tera q ser a mesma.. pois o AP tem q ficar como bridge tb.. para passar o IP externo direto para o cliente..


(Isso em predio.. q o mesmo AP da o IP para varios assinantes..)
q recebe do meu MK

Qual seria a soluçao mais adequada para esse problema??

---

Eu fiz essa sugestão pq pode ser q um desses seus G120 tenha perdido a configuração e retornado aos valores de fábrica.. dessa forma ele fica com o DHCP SERVER dele ativo... essa pode ser a razão do problema aí! Pq o único q conheço que de fábrica vem com IPs na faixa 192.168.2.XXX é o G120

Citação:

---

Postado originalmente por xandemartini

O problema nesse caso é que dificulta o controle de banda e bloqueio, quando tem mais de um cliente por trás deste rádio roteado... por isso que não uso aqui.

---

basta voce criar redes virtuais no radio.. e fazer DNAT/SNAT para cada rede. na WLAN vc sobe os ips dos clientes.. e na br0 (bridge lan1 ateh lan4 + wan) vc sobe redes virtuais.. e cada rede vai sair com um ip diferente...

Outra boa solucao seria colocar os clientes conectando via pppoe, ja que o mesmo cria um tunel entre o servidor pppoe e o cliente. desta forma não teria este tipo de problema.

Citação:

---

Postado originalmente por oyama

Outra boa solucao seria colocar os clientes conectando via pppoe, ja que o mesmo cria um tunel entre o servidor pppoe e o cliente. desta forma não teria este tipo de problema.

---

PPoe não rola mais... já uso autenticação do myauth, desta maneira o cliente teria que autenticar 2 vezes... além disso, fica muito ruim ter que passar de cliente em cliente pra instalar o discador... Com certeza a segurança seria maior, não só pra prevenir esse tipo de problema, como também pra evitar fraudes, etc... mas já pensou passar em 400 e poucos clientes pra instalar o discador? E iria aumentar também as manutenções, pq aqui os clientes são muito fuçadores, seria mais um software a ser reinstalado no caso de manutenção...

Citação:

---

Postado originalmente por xandemartini

PPoe não rola mais... já uso autenticação do myauth, desta maneira o cliente teria que autenticar 2 vezes... além disso, fica muito ruim ter que passar de cliente em cliente pra instalar o discador... Com certeza a segurança seria maior, não só pra prevenir esse tipo de problema, como também pra evitar fraudes, etc... mas já pensou passar em 400 e poucos clientes pra instalar o discador? E iria aumentar também as manutenções, pq aqui os clientes são muito fuçadores, seria mais um software a ser reinstalado no caso de manutenção...

---

Quanto a migracao vc podera rodar os dois sistema em paralelo até migrar definitivamente, Outra coisa o mayaut e e um front-end que trabalha com free radius ou seja vc pode usar o mesmo sistema e trabalhar com os dois tipos de autenticacao.

Citação:

---

Postado originalmente por oyama

Quanto a migracao vc podera rodar os dois sistema em paralelo até migrar definitivamente, Outra coisa o mayaut e e um front-end que trabalha com free radius ou seja vc pode usar o mesmo sistema e trabalhar com os dois tipos de autenticacao.

---

Olá Oyama, recebi as plaquinhas dlink g510 b1 aqui certinho, obrigado!

Bom, eu não pretendo usar ppoe, portanto não vai ter migração hehehe..

E quanto ao myauth, fala no manual dele que mesmo fazendo-se a autenticação PPOE (ele tem o frontend sim do freeradius) é obrigado o cliente a se autenticar novamente para que se efetue o controle de banda e contabilidade de tempo/bytes...

Pessoal.. parece q resolvi de outra forma tb..

Desmarquei o Forward da placa omni e dos clientes q tem os APs em bridge..

Agora.. parece q está tudo maravilha.. pelo menos nos testes q fiz.. está passando o IP correto do meu DHCP para as plaquinhas e APs q testei..

Ta ae.. um dica pro pessoal q passar pelo mesmo problema..

abraços.. T+

Rapaz, ainda bem que o MyAuth dá o alerta.. aehaueae e eu isolo dentro da rede do cliente como o Marcelo MG, deixo um Zinwell recebendo o sinal lá e deixo o pau comendo com 1 ip por maquina, o sinal chegou em todos os zinwell dos clientes, ja sei que o problema tá com um deles pra dentro.. :P