ICMP Redirect

[rep 10]

Hallo Leute,

 

ich habe ein Netzwerk welches die Server beeinhaltet und den Router (Linksys) mit 2 WAN Schnittstellen ist ebenfalls in diesem Netz.

 

Anschlossen ist alles an einer Cisco mit VLAN1 und es gibt da noch sehr viele andeere VLAN2 und Subnetze die über die Cisco geroutet werden.

 

Netz1 10.60.1.0/24 (vlan1)

Netz2 10.60.2.0/24 (vlan2)

Netz3 10.60.3.0/24 (vlan3)

 

Server 10.60.1.1 - 10.60.1.253

Cisco 10.60.1.254

Linksys 10.60.1.1

 

Clients 10.60.2.1 - 10.60.2.253

Cisco 10.60.2.254

 

Clients 10.60.3.1 - 10.60.3.253

Cisco 10.60.3.254

 

 

Die Cisco kennt die Route ins Internet per Default route an die 10.60.1.1. Jeder Client hat die Cisco IP aus seinem Netz als Default GW eingetragen und alles klappt. Der Linksys kennt auch alle Routen!

 

Die Server hatten aber immer den Linksys eingetragen und Statische Routen in die anderen Netze. Das wollte ich nun der Einfachheit über die Cisco machen, also die Default GWs auf den Servern auch auf die Cisco 10.60.1.254 und es läuft auch.

 

Nur sooooooo langsam. Ich bemerke nun das die Cisco den Servern bei einer Anfrage ein ICMP Redirect sendet, und der Server dann die eine IP Adresse die er anfragen wolle (aus dem Internet) in seine Routingtabelle temporär einträgt und zwar mit dem Linksys als Ziel.

 

Das anfragen und die ICMP Antwort dauert ewig. So das ich wiede ralles zurück gebaut habe.

Was muss die Cisco denn nun noch konfiguriert bekommen das ich diese als Standard auf den Servern eintragen kann und der Traffic nun wirklich über Sie läuft?

 

Hoffe das war so weit verständlich.

[rep 10]

Hallo,

 

scheinbar ist es auf dem Interface "no ip redirects". Vielleicht kann noch jemand einen Satz zu arp proxy sagen, macht das Sinn was genau ist das wie teste ich das. Danke schön

[Otaku19 33]

Proxy ARP [iP Addressing Services] - Cisco Systems

[Franz2 10]

Hallo,

 

Was für eine Hardware ist dein CISCO.

Wie groß ist die Internet Bandbreite?

Könnte eventuell ein Performance Problem am Cisco sein.

Falls redirects nicht erlaubt sind.

 

Mit no ip redirect geht jedes Packet zum Cisco und wird dann wieder zum Linksys gesendet. Dadurch wird der Cisco mit diesen Traffic belastet.

ICMP redirect ist also in deinem Fall meiner Meinung nach besser.

 

Proxy arp würde ich dir nicht empfehlen

 

 

 

lg franz

[rep 10]

Hallo,

 

die Cisco ist eine 4506. Das Internet macht ein LinkSys RV082 mit 2x T-DSL Business 16000. Die Cisco sollte viel mehr schaffen als alles andere.

 

Das es theoretisch richtig ist, kann ich nachvollziehen. Aber Engpässe sollte es hier nicht geben, und ich will einfach vermeiden das ich auf den Servern immer die ganzen Statischen Routen pflegen muss. Die anderen Netze gehen ja ebenfalls über die Cisco ins Internet, da diese ja nur über den Cisco-Router in andere Netze kommen.

 

Und die Redirects, wenn diese schnell dafür sorgen würden das es klappt, wäre auch alles kein Problem. Doch die Antworten mit den ICMP und die Bearbeitung dauert ewig lange. Die Response auf ein PING ins Internet war ewigkeiten, und Internet war wegen Timeouts überhaupt nicht mehr möglich.

 

Erst nach dem Umstellen ging wieder alles super schnell. Mag sein das es nicht sein sollte, aber so war es. Kenn mich in der Erfahrung leider mit den ICMP Redirects nicht aus.

 

Gruß und Danke für die Antwort

[rep 10]

Proxy ARP schau ich mir später an, aber warum würdest du das nicht empfehlen. So wie ich das sehe ist das an, und zwar weil es eine Standardeinstellung ist, kann das sein?

 

Gruß

[Franz2 10]

Hallo,

 

Wenn du einen L3 Switch hast kannst du die redirects abdrehen.

Am Vlan Interface zum Inet Router

no ip redirects.

 

Dann sollte es keine Problem mehr geben.

Ich würde dir auch ein eigenes Transfer Vlan zum Internet Router empfehlen.

Das würde die Topologie vereinfachen. Die ganze Geschichte mit Redirects proxy-arp und den statischen Routen wäre Geschichte.

 

proxy-arp würde ich auf keinen Fall verwenden. Du hast dann für jede IP einen ARP Eintrag.

 

Proxy ARP [iP Addressing Services] - Cisco Systems

 

Ich würde ein eigenes Transfer Netz machen.

 

lg Franz

[Otaku19 33]

afaik war proxy-arp in uralt IOSen default eingeschaltet, bei aktuellen Systemen ist das aber nicht so. denke daher taucht das auch garnicht mehr in der run auf

[rep 10]

Also dann hab ich eventuell ein Uralt :)

 

Cisco>show ip inter vlan3
Vlan3 is up, line protocol is up
 Internet address is 10.60.3.254/24
 Broadcast address is 255.255.255.255
 Address determined by non-volatile memory
 MTU is 1500 bytes
 Helper address is 10.60.1.10
 Directed broadcast forwarding is enabled
 Outgoing access list is not set
 Inbound  access list is not set
 Proxy ARP is enabled
 Local Proxy ARP is disabled
 Security level is default
 Split horizon is enabled
 ICMP redirects are always sent
 ICMP unreachables are always sent
 ICMP mask replies are never sent
 IP fast switching is enabled
 IP fast switching on the same interface is disabled
 IP Flow switching is disabled
 IP CEF switching is enabled
 IP CEF Fast switching turbo vector
 IP multicast fast switching is enabled
 IP multicast distributed fast switching is disabled
 IP route-cache flags are Fast, CEF
 Router Discovery is disabled
 IP output packet accounting is disabled
 IP access violation accounting is disabled
 TCP/IP header compression is disabled
 RTP/IP header compression is disabled
 Probe proxy name replies are disabled
 Policy routing is disabled
 Network address translation is disabled
 WCCP Redirect outbound is disabled
 WCCP Redirect inbound is disabled
 WCCP Redirect exclude is disabled
 BGP Policy Mapping is disabled
Cisco>

 

Cisco>show inter vlan3
Vlan3 is up, line protocol is up
 Hardware is Ethernet SVI, address is 000c.ce64.41ff (bia 000c.ce64.41ff)
 Internet address is 10.60.3.254/24
 MTU 1500 bytes, BW 1000000 Kbit, DLY 10 usec,
    reliability 255/255, txload 1/255, rxload 1/255
 Encapsulation ARPA, loopback not set
 ARP type: ARPA, ARP Timeout 04:00:00
 Last input 00:01:49, output never, output hang never
 Last clearing of "show interface" counters never
 Input queue: 0/75/0/0 (size/max/drops/flushes); Total output drops: 0
 Queueing strategy: fifo
 Output queue: 0/40 (size/max)
 5 minute input rate 0 bits/sec, 0 packets/sec
 5 minute output rate 0 bits/sec, 0 packets/sec
 L3 in Switched: ucast: 1157355 pkt, 202364615 bytes - mcast: 0 pkt, 0 bytes
 L3 out Switched: ucast: 1332614 pkt, 936953536 bytes - mcast: 0 pkt, 0 bytes
    1157355 packets input, 202364615 bytes, 0 no buffer
    Received 8068 broadcasts (64 IP multicast)
    0 runts, 0 giants, 0 throttles
    0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored
    1332614 packets output, 936953536 bytes, 0 underruns
    0 output errors, 0 interface resets
    0 output buffer failures, 0 output buffers swapped out
Cisco>

 

So wie ich das sehe ist ARP Proxy eingeschaltet. Aber mal was anders, ein L3 Switch muss doch genau wie ein Rechner aus seinem Segment die ARP Einträge den IP Adressen zuordnen, sonst ist mit Routing doch auch nicht mehr viel, oder?

 

Also ein "show arp" macht bei mir sehr viele Einträge. Aber das ist doch normal, oder etwa nicht? Meine Probleme scheinen sich immer mehr zu erklären. Wobei mir nun auch das erste mal die 255.255.255.255 auffällt :) Ich denke da muss auch eher die 10.60.3.255 rein.

[rep 10]

Ich habe auf 2 Cisco zugriff, die sind fast identisch konfiguriert, die eine ist kleiner und die große ist älter. Die Kleine hat 12.2 und die große 12.1 drauf.

 

Was mir in bezug auf ARP noch aufgefallen ist, die große hat bei allen vlan die gleiche ARP Adresse, und die kleine nicht.

 

also "show int vlanX" und "show int vlanY" haben etwas anders hier stehen

"Hardware is EtherSVI, address is 0017.940f.8ec3 (bia 0017.940f.8ec3)"

bei der 12.1, der großen ist das nicht so, da steht immer das gleiche, was ist denn nun korrekt? oder geht beides?

 

CiscoGross12.1>show arp | incl 254
Internet  10.60.1.254           -   000c.ce64.41ff  ARPA   Vlan1
Internet  10.60.2.254           -   000c.ce64.41ff  ARPA   Vlan2
Internet  10.60.3.254           -   000c.ce64.41ff  ARPA   Vlan3
CiscoGross12.1>

 

CiscoKlein12.2#show arp | incl 254
Internet  10.60.4.254           -   0017.940f.8ec6  ARPA   Vlan4
Internet  10.60.5.254           -   0017.940f.8ec1  ARPA   Vlan5
Internet  10.60.6.254           -   0017.940f.8ec2  ARPA   Vlan6
CiscoKlein12.2#

[Otaku19 33]

geht beides, spielt weder für den switch noch für die Clients eine Rolle

[rep 10]

dann ist ja gut, hab ich mir fast geadacht, aber suche gerade an allen stellen.

 

Was genau ist das hier "Broadcast address is 255.255.255.255" im Vlan. Müsste hier nicht sinnigerweise auch ein "10.60.1.255" und co stehen.

 

also auf dem Interface (VLan) ein ip broadcast-addresse 10.60.1.255" gemacht werden? WOL und DHCP werden verwendet in den Netzen. Wann genau spielt die dort definierte Adresse eine Rolle?

 

Gruß