Uitgeputte DHCP-scope en gasten op het verkeerde netwerk
Een scholengemeenschap heeft één fysiek netwerk voor personeel en gasten. Het netwerk gebruikt 192.168.20.0/24. De DHCP-scope loopt van 192.168.20.100 tot en met 192.168.20.200, met een leasetijd van 7 dagen. Per dag melden zich ongeveer 180 gasten aan via de wifi; het personeel gebruikt 90 vaste apparaten met een reservering. Na de zomervakantie klagen gasten dat ze geen verbinding krijgen: hun apparaat toont een adres in de reeks 169.254.x.x. Tegelijk kan de beamer in lokaal 3 de netwerkprinter op 192.168.20.50 niet meer bereiken, terwijl de printer vanuit het kantoor wel bereikbaar is. De netwerkbeheerder vindt in de DHCP-log dat het aantal verstrekte leases op maandag om 10:00 uur de 101 nadert. De school wil gasten geen toegang geven tot de printer of de fileserver. Er is budget voor één nieuwe managed switch met VLAN-ondersteuning.
1. Verklaar waardoor gasten een 169.254-adres krijgen. Betrek in je antwoord de scope, de leasetijd en het aantal gasten per dag, en bereken of de scope in theorie groot genoeg is.
Read the worked answer
Een adres in 169.254.0.0/16 is een link-local adres (APIPA). Een client kent dat adres toe als hij binnen de wachttijd geen DHCPOFFER krijgt. In de casus bevat de scope 101 adressen (.100 tot en met .200). Van die 101 zijn 90 gereserveerd voor personeel, zodat nog maar 11 adressen dynamisch beschikbaar zijn.
Bij 180 gasten per dag en een leasetijd van 7 dagen blijven leases bovendien lang bezet. In theorie kunnen 7 × 180 = 1260 verschillende gastapparaten binnen de leaseperiode om een adres vragen. De pool raakt dus ruimschoots uitgeput; zelfs zonder reserveringen zijn 101 adressen te weinig. De gasten krijgen daardoor geen geldig IP-adres en vallen terug op 169.254.x.x. Met zo'n adres kunnen ze de router niet via de normale route bereiken, waardoor internet en de printer onbereikbaar worden.
2. De beamer in lokaal 3 kan de printer niet bereiken, het kantoor wel. Noem twee plausibele oorzaken en geef bij elke oorzaak een gerichte test.
Read the worked answer
De beamer hangt via een verkeerde poort in het gast-VLAN of in een VLAN zonder route naar het personeels-VLAN. Test: controleer op de switch de VLAN-instelling van de poort en doe vanaf de beamer een ping naar de printer en naar de gateway. Vergelijk met een werkende pc in hetzelfde lokaal. Als de beamer wel de gateway maar niet de printer bereikt, wijst dat op een scheiding tussen VLAN's of een ACL.
De beamer heeft een verkeerd subnetmasker of een verkeerd IP-adres, bijvoorbeeld 192.168.21.x/24. Dan ziet hij de printer als een ander netwerk en probeert hij via een niet-bestaande gateway te routeren. Test: lees ipconfig/ifconfig uit, ping naar 192.168.20.50 en gebruik traceroute. Als ARP niet werkt maar ping naar de gateway wel, wijst dat op een masker- of gatewayprobleem.
Een derde mogelijkheid is een ACL op de printer zelf, maar de vraag vraagt twee oorzaken; die zou je testen door vanaf een ander apparaat in hetzelfde VLAN te pingen.
3. Adviseer met het beschikbare budget een oplossing die zowel het adresprobleem als de toegangsbeperking oplost. Betrek VLAN's, DHCP en minimaal één configuratiemaatregel; noem ook een nadeel.
Read the worked answer
Maak twee VLAN's: VLAN 10 voor personeel (printer, fileserver, beamer) en VLAN 20 voor gasten. Koppel de gast-SSID aan VLAN 20 en de bedrade personeelspoorten aan VLAN 10. Richt per VLAN een eigen DHCP-scope in; voor gasten bijvoorbeeld 192.168.30.0/24 met een lease van 4 uur, voor personeel de bestaande scope maar zonder de gasten. Zo is de gastenpool niet meer afhankelijk van de 101 adressen uit de oude scope.
Zet op de managed switch DHCP snooping en poortbeveiliging aan. Blokkeer op de router of switch met een ACL al het verkeer van VLAN 20 naar VLAN 10, behalve eventueel DNS en internet. Nadeel: meer beheerwerk en bestaande reserveringen moeten worden verplaatst; gasten kunnen niet bij de printer, wat hier juist gewenst is. De oplossing werkt alleen als de router inter-VLAN-routing en ACL's ondersteunt; anders moet dat in de nieuwe switch worden geregeld.