Unerreichbaren Lancom Accesspoint/Router via ll2mdetect und ll2mexec konfigurieren oder zurücksetzen

Problem

Ein Accesspoint ist wegen einer verpfuschten fehlerhaften Konfiguration nicht mehr erreichbar. Manchmal soll das ja mit der unbedachten Verwendung des VLAN-Moduls zu tun haben, dass einem Cisco- oder HPE erfahrenen Admin zugegebenermaßen nicht immer ganz einleuchtend erscheinen mag.

So könnte ein Admin-Albtraum aussehen

Lösung

Lancom hat glücklicherweise ein Backdoor-Protokoll zur Konsolenkonfiguration eingebaut. Böse Zungen behaupten, das sei exklusiv zur VLAN-Konfiguration geschehen, aber das ist bestimmt nur ein Gerücht.

Wichtig: Die Lancom LL2M-Erfindung ist KEINE Gerätebackdoor. Man muss immernoch passende Anmeldedaten haben; das ist nur ein Protokoll mit dem man via Layer2 (in der Regel Ethernet) auch ohne gültige IP-Konfiguration, korrekte VLANs oder bei zerstörten WLAN-Antennen auf die Gerätekonfiguration zugreifen kann.

Schritt 1: Gerät(e) finden, LL2M testen

„ll2mdetect“ listet alle via Layer2 erreichbarn Geräte auf:

> ll2mdetect
   Address 00:a0:de:ad:be:ef on Interface LAN-1:
     Name WICHTIGERAP28
     Type LANCOM IAP-822
     Serial Number 4123456789123456
     MAC-Address 00:a0:de:ad:be:ef
     HW-Release H
     Firmware-Version 11.82.0093 / 31.10.2021
   Address 00:a0:de:ad:be:eb on Interface LAN-1:
     Name WICHTIGERAP29
     Type LANCOM IAP-822
     Serial Number 4123456789012345
     MAC-Address 00:a0:de:ad:be:eb
     HW-Release H
     Firmware-Version 13.32.0066 / 31.10.2022

Schritt 2: LL2M Verbindung via ll2mexec herstellen

LL2M stellt eine echte interaktive Shell zur Verfügung. Die Verbindung ist sogar (symetrisch) verschlüsselt (mit dem Gerätepasswort) und für solche belange absolut. Sollten die Kennwörter des aktuellen Gerätes von dem die Verbindung ausgeht und des Zielgeräts nicht übereinstimmen, kann man mittels „:“ ein Kennwort in den String einfügen (name:[email protected])

> ll2mexec -i Lan-1 [email protected]

Beziehungsweise man kann auch ein anderes Kennwort verwenden:

> ll2mexec -i Lan-1 root:[email protected]

Schritt 3: Befehle via ll2mexec ausführen

Man landet auf der Konsole des Zielgerätes und kann hier sofort loskonfigurieren. Der Erfahrung zeigt das folgende Kommandos hilfreich sein können. Mit ‚cd‘ wechselt man den Konfigurationskontext, ‚ls‘ zeigt den inhalt und mit ’set‘ werden Werte gesetzt.

LL2M: VLAN-ID eines IP-Netzwerkes ändern

> cd Setup/TCP-IP/Network-list/INTRANET

> set VLAN-ID 1337
   set ok:
   VLAN-ID  VALUE:   0 
>

LL2M: VLAN-Modul deaktivieren

> cd Setup/VLAN

> set operating no

LL2M: Gerät resetten (Auf Werkszustand zurücksetzen und booten)

>  do /other/reset 

LANCOM Router und WLCs SYSLOG leeren/löschen

Dies ist wieder ein Fall von „Notiz an mich selbst“. Nachdem ich das jetzt 1290843950 mal gegoogelt habe, die die Abkürzung zu „Syslos Protokoll eines Lancom-Router, Accesspoints oder Switches leeren“ 😉 An der SSH oder Telnet-Shell hilft:

do Status/TCP-IP/Syslog/Delete-Values

Syslog-Einträge werden beim LANCOM im RAM und im Flash-Speicher (bootpersistentes Backup) abgelegt. Der Befehl löscht beides, einzeln ist das (meines Wissens nach) nich möglich.

Lancom All-IP Router registriert sich nicht an Telekom SIP Trunk sip-trunk.telekom.de

Problem

Nach der Umstellung auf einen IP-basierten Anlagenanschluss der Telekom, kann es vorkommen das sich der bisherige LANCOM All-IP Router nicht an der Domäne sip-trunk.telekom.de anmelden kann.
Im LANmonitor meldet die Leitung u.a. IP-Adresse der Gegenstelle: transport not ready.

Lösung

Nach der Ausführung des LANCOM Wizards muss die Signalisierungs-Verschlüsselung für die SIP-Leitung manuell auf „Keine (TCP)“ gesetzt werden.
Die Option befindet sich unter Voice Call Manager -> Leitungen -> SIP-Leitungen -> betroffene Leitung

 

VLANs auf HP ProCurve – Schnellübersicht

procurve-vlan-howtoAufgrund aktueller Vorkommnisse 🙂 und vor allem wegen eines Mißverständnisses in einer bestimmten Konfiguration, hier nun eine schnelle und einfache Admin-Schnellübersicht über das, was HP mit der VLAN-Portmarkierung in ProCurve Switches meint.

Tagged:
Die Pakete die von einem Tagged-Port angenommen werden müssen schon mit einem Tag versehen sein, erst dann leitet der Switch diese entsprechend weiter. Kommt praktisch ausschliesslich auf Verbindungen zwischen Switches oder zum Anschluss von VLAN-fähigen Routern/Servern/Accesspoints etc. zum Einsatz.

Untagged:
Die an diesem Port eingehenden Pakete haben keinen eigenen Tag, bekommen aber eingehend vom Switch eines angefügt. Ausgehend wird jedes vorhandenes Tag wieder entfernt. An solche Ports werden alle „normalen“ Clients, Server und Geräte angeschlossen. Ein untagged-Port kann, logischerweise, nur an ein einziges exklusives VLAN angebunden sein. Durch untagged Ports kann man also Switches in mehrere „kleine“ Switches zerschneiden.

Forbidden:
Ein solcher Port kann und darf nicht in das betroffene VLAN eingerichtet werden – vor allem nicht per GVRP.

Not Used:
Der Port ist in diesem VLAN überhaupt nicht eingerichtet.

Lancom-Router Zwangstrennung

Die automatisch Trennung der Internetverbindung bei „24-Stunden Flatrates“ kann recht hilfreich sein, um beispielsweise den IP-Wechsel auf spät nachts zu verschieben. AVM hat ja hier sehr Anwenderfreundlich vorgelegt. Eine automatische Trennung der Internetverbindung in Lancom Routern kann natürlich auch vorgenommen werden; allerdings nur mit Hilfe eines CRON-Jobs. Diese ist erreichbar über: LANconfig > Datum/Zeit > Allgemein > CRON-Tabelle

lancom_cron
Für eine korrekte Funktion der CRON-Tabelle ist (überraschend) eine passende Zeiteinstellung wichtig. (Anmerkung: Die NTP-Einstellungen für eine synchronisierte Zeit erreicht man unter LANconfig > Datum/Zeit > Synchronisierung > Zeit-Server)

In der CRON-Tabelle fügt man einen neuen Eintrag hinzu, der erstens die gewünschte Uhrzeit einstellt und zweites den folgenden Befehlt enthält:

do/o/m/d [Gegenstelle]

lancom_cron2

Damit die Internetverbindung nach der Trennung auvh direkt wieder aufgebaut wird, kann man ein Keepalive für die Gegenstelle aktivieren. Das geht indem man unter LANconfig > Kommunikation > Gegenstelle > Gegenstellen (DSL) -> [Eintrag auswählen] die in der Gegenstelle angegebene Haltezeit auf 9999 stellt.