Lancom reverse DNS via DNS-Weiterleitungen einrichten

Eine DNS-Weiterleitung für bestimmte Zonen ist in Lancom-Geräten schnell eingerichtet und wird naturgemäß für lokale (interne) AD-Zonen genutzt. Leider übersieht man als schneller Admin gerne, das eine Weiterleitung für *.EXAMPLE.COM nicht die reverse Zone für die Hosts beinhaltet.

Dann dauern reverse Auflösungen sehr lange, funktionieren nicht und sorgen für längere Wartezeiten.

Lösung

Damit die Rückwärts-Adressauflösung ebenfalls funktioniert, muss man die reversen Adresszonen ebenfalls hinzufügen. Natürlich alle einzeln, denn eine Wildcard endet an einem Punkt.

Das geht unter IPv4 > DNS > Weiterleitungen > … bearbeiten

Beispiele für private 192.168. Netze:

*.2.168.192.in-addr.arpa     # Für die Zone 192.168.2.*
*.42.168.192.in-addr.arpa     # Für die Zone 192.168.42.*

Unerreichbaren Lancom Accesspoint/Router via ll2mdetect und ll2mexec konfigurieren oder zurücksetzen

Problem

Ein Accesspoint ist wegen einer verpfuschten fehlerhaften Konfiguration nicht mehr erreichbar. Manchmal soll das ja mit der unbedachten Verwendung des VLAN-Moduls zu tun haben, dass einem Cisco- oder HPE erfahrenen Admin zugegebenermaßen nicht immer ganz einleuchtend erscheinen mag.

So könnte ein Admin-Albtraum aussehen

Lösung

Lancom hat glücklicherweise ein Backdoor-Protokoll zur Konsolenkonfiguration eingebaut. Böse Zungen behaupten, das sei exklusiv zur VLAN-Konfiguration geschehen, aber das ist bestimmt nur ein Gerücht.

Wichtig: Die Lancom LL2M-Erfindung ist KEINE Gerätebackdoor. Man muss immernoch passende Anmeldedaten haben; das ist nur ein Protokoll mit dem man via Layer2 (in der Regel Ethernet) auch ohne gültige IP-Konfiguration, korrekte VLANs oder bei zerstörten WLAN-Antennen auf die Gerätekonfiguration zugreifen kann.

Schritt 1: Gerät(e) finden, LL2M testen

„ll2mdetect“ listet alle via Layer2 erreichbarn Geräte auf:

> ll2mdetect
   Address 00:a0:de:ad:be:ef on Interface LAN-1:
     Name WICHTIGERAP28
     Type LANCOM IAP-822
     Serial Number 4123456789123456
     MAC-Address 00:a0:de:ad:be:ef
     HW-Release H
     Firmware-Version 11.82.0093 / 31.10.2021
   Address 00:a0:de:ad:be:eb on Interface LAN-1:
     Name WICHTIGERAP29
     Type LANCOM IAP-822
     Serial Number 4123456789012345
     MAC-Address 00:a0:de:ad:be:eb
     HW-Release H
     Firmware-Version 13.32.0066 / 31.10.2022

Schritt 2: LL2M Verbindung via ll2mexec herstellen

LL2M stellt eine echte interaktive Shell zur Verfügung. Die Verbindung ist sogar (symetrisch) verschlüsselt (mit dem Gerätepasswort) und für solche belange absolut. Sollten die Kennwörter des aktuellen Gerätes von dem die Verbindung ausgeht und des Zielgeräts nicht übereinstimmen, kann man mittels „:“ ein Kennwort in den String einfügen (name:kennwort@mac)

> ll2mexec -i Lan-1 root@00a0deadbeef

Beziehungsweise man kann auch ein anderes Kennwort verwenden:

> ll2mexec -i Lan-1 root:SUPERgeheim123@00a0deadbeef

Schritt 3: Befehle via ll2mexec ausführen

Man landet auf der Konsole des Zielgerätes und kann hier sofort loskonfigurieren. Der Erfahrung zeigt das folgende Kommandos hilfreich sein können. Mit ‚cd‘ wechselt man den Konfigurationskontext, ‚ls‘ zeigt den inhalt und mit ’set‘ werden Werte gesetzt.

LL2M: VLAN-ID eines IP-Netzwerkes ändern

> cd Setup/TCP-IP/Network-list/INTRANET

> set VLAN-ID 1337
   set ok:
   VLAN-ID  VALUE:   0 
>

LL2M: VLAN-Modul deaktivieren

> cd Setup/VLAN

> set operating no

LL2M: Gerät resetten (Auf Werkszustand zurücksetzen und booten)

>  do /other/reset 

LANCOM Router und WLCs SYSLOG leeren/löschen

Dies ist wieder ein Fall von „Notiz an mich selbst“. Nachdem ich das jetzt 1290843950 mal gegoogelt habe, die die Abkürzung zu „Syslos Protokoll eines Lancom-Router, Accesspoints oder Switches leeren“ 😉 An der SSH oder Telnet-Shell hilft:

do Status/TCP-IP/Syslog/Delete-Values

Syslog-Einträge werden beim LANCOM im RAM und im Flash-Speicher (bootpersistentes Backup) abgelegt. Der Befehl löscht beides, einzeln ist das (meines Wissens nach) nich möglich.

Lancom All-IP Router registriert sich nicht an Telekom SIP Trunk sip-trunk.telekom.de

Problem

Nach der Umstellung auf einen IP-basierten Anlagenanschluss der Telekom, kann es vorkommen das sich der bisherige LANCOM All-IP Router nicht an der Domäne sip-trunk.telekom.de anmelden kann.
Im LANmonitor meldet die Leitung u.a. IP-Adresse der Gegenstelle: transport not ready.

Lösung

Nach der Ausführung des LANCOM Wizards muss die Signalisierungs-Verschlüsselung für die SIP-Leitung manuell auf „Keine (TCP)“ gesetzt werden.
Die Option befindet sich unter Voice Call Manager -> Leitungen -> SIP-Leitungen -> betroffene Leitung

 

VLANs auf HP ProCurve – Schnellübersicht

procurve-vlan-howtoAufgrund aktueller Vorkommnisse 🙂 und vor allem wegen eines Mißverständnisses in einer bestimmten Konfiguration, hier nun eine schnelle und einfache Admin-Schnellübersicht über das, was HP mit der VLAN-Portmarkierung in ProCurve Switches meint.

Tagged:
Die Pakete die von einem Tagged-Port angenommen werden müssen schon mit einem Tag versehen sein, erst dann leitet der Switch diese entsprechend weiter. Kommt praktisch ausschliesslich auf Verbindungen zwischen Switches oder zum Anschluss von VLAN-fähigen Routern/Servern/Accesspoints etc. zum Einsatz.

Untagged:
Die an diesem Port eingehenden Pakete haben keinen eigenen Tag, bekommen aber eingehend vom Switch eines angefügt. Ausgehend wird jedes vorhandenes Tag wieder entfernt. An solche Ports werden alle „normalen“ Clients, Server und Geräte angeschlossen. Ein untagged-Port kann, logischerweise, nur an ein einziges exklusives VLAN angebunden sein. Durch untagged Ports kann man also Switches in mehrere „kleine“ Switches zerschneiden.

Forbidden:
Ein solcher Port kann und darf nicht in das betroffene VLAN eingerichtet werden – vor allem nicht per GVRP.

Not Used:
Der Port ist in diesem VLAN überhaupt nicht eingerichtet.