Problème de VLAN et DHCP [Résolu/Fermé]

Signaler
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
-
Messages postés
98646
Date d'inscription
lundi 16 juillet 2001
Statut
Modérateur
Dernière intervention
20 avril 2021
-
Bonjour a tous,

j'administre depuis peu un réseau avec plusieurs vlans et plusieurs switch dont un 3750, et depuis hier alors que je n'ai procédé a aucune modification une de mes vlans (10.0.8.0/24) ne marche plus (aucune addresse ip attribuée au client quelque soit le port ou le switch qui reçoit cette Vlan et la passerelle par default indique 192.168.1.1). Cette vlan est une vlan invité qui permet aux gens de passages de pouvoir accéder a internet sans pour autant avoir accès aux ressources intranet. Mon serveur DHCP a donc pour cette étendue la configuration suivante:
10.0.8.0/24
DNS et NAME server pointe sur mon firewall qui fait aussi fonction de NAT
Passerelle par default 10.0.8.254 (addresse de l'interface VLAN 8, qui est celle qui pose problème)

A priori le relai dhcp (j'ai utilisé la commande IP helper-address sur mon switch) et pointe sur ces 2 addresses 10.0.0.1 et 10.0.0.3

j'ai tourner dans tous les sens le fichier conf de mon switch et rien n'y fait, donc je suis dans l'espoir d'un peu aide par les pros qui visitent ce site !

Un peu d'aide sera apprécier car je galère dur!

Si vous avez besoin de + n'hésiter pas et je complémenterais

76 réponses

Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
Bon je crois que j'ai trouvé le problème, j'ai suivi la pidu server dhcp clandestin, je suis allez voir sur un de mes switch et y avait 2 port sur la vlan 15 qui deja n'aurait pas du etre la car c'est une vlan de test, et deuxiemement les ports étaient connectés je les ai shut et la soudain les vlan remarchent.

Tout de suite à vue d'oeuil je dirais qu'il ya quelqu'un qui a voulu branché un routeur sans fil linksys en point d'accès mais que'il a garder la config par defaut. je vais faire un no shut sur ces ports et si c'est ce que je pense devrait y avoir une interface web donc je vais essayer de me connecter dessus.

par contre mon acl elle me bloque le client mais pas le 192.168.1.1 faudra que je regarde. (si jamais tu as un conseil)
1
Merci

Quelques mots de remerciements seront grandement appréciés. Ajouter un commentaire

CCM 65492 internautes nous ont dit merci ce mois-ci

Messages postés
98646
Date d'inscription
lundi 16 juillet 2001
Statut
Modérateur
Dernière intervention
20 avril 2021
12 013
:-))
laisse tomber, l'acces -list , de toute façon on ne met pas la même access list en in et en out , ce n'est pas normal .
et définir le in et le out sur un vlan n'est pas forcément bien évident.
Messages postés
383
Date d'inscription
vendredi 28 novembre 2008
Statut
Membre
Dernière intervention
17 août 2009
40
Tu pourrais donner un adresse fixe a un pc dans ce vlan avec toutes les caractéristiques (passerelle par défaut, dns...) et faire des tests pour voir si ça marche comme ça.
Ainsi on pourra voir si c'est un problème dhcp ou si c'est autre chose.
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
J'ai deja testé çà marche avec une addresse IP fixe, je comprends pas ce qui se passe! Je me sens bête sur ce problème! merci de ta réponse depuis le temps que je planche j'ai vraiment besoin qu'on m'éclaire!
Messages postés
383
Date d'inscription
vendredi 28 novembre 2008
Statut
Membre
Dernière intervention
17 août 2009
40
C'est quoi ton schéma reseau rapidement
machine==>switch==>routeur==>switch==>serveur dhcp ?
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
ok j'ai un environnement AD avec differents services microsoft serveur fichier exchange dhcp ect, les utilisateurs de l'entreprise sont donc sur la VLAN 2 qui se trouve sur la meme VLAN que celle du serveur DHCP! J'ai une VLAN pour la VOIP cisco call manager VLAN 10. Une VLAN invité pour les invités leur permettant accès a internet VLAN 8. Mon backbone est un 3750 configurer en serveur VTP, j'ai 3 switchs 3560 relié par des liens fibres dont les ports sont trunker sur le 3750 qui sont des VTP clients et quelques 2950.

donc l'archi client>3750>serveur DHCP

Le 3750 est un switch de niveau 3 je pense tu le sais mais je précise pour les autres qui peuvent nous lire!

PS: jai simplifier en connectant mon PC administration direct sur le backbone avec un port configurer sur cette VLAN pour éliminer les autres facteurs au minimum.
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
Tu veux le fichier conf?
Messages postés
383
Date d'inscription
vendredi 28 novembre 2008
Statut
Membre
Dernière intervention
17 août 2009
40
Ce que tu pourrais faire:
Tu télécharges wireshark sur ton pc.
Tu fais un port miroir entre le port sur lequel est branché le pc qui doit recevoir sa conf ip et un autre port ou tu vas branché ton pc.
Tu lances wireshark
tu branche le pc qui doit recevoir l'ip et tu me dis ce que tu vois au niveau dhcp sur wireshark.
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
ok j'ai télécharger wireshark. par contre j'ai pas compris la manoeuvre qui suit ne connaissant pas ce logiciel et étant loin d'être un soldat aguerri a ce genre d'exercice.
Bonjour,

Si le serveur DHCP (sur windows) se trouve dans le VLAN2. il faut vérifier les ACL que ca passe sur les ports TCP/UDP67/68 entre le VLAN8 et le serveur sur le VLAN2 (DHCP relai en plus).
Ou alors que la porte sur le serveur DHCP est bien dans le VLAN8.
Ca peut n'être pas trés sécurisé si le VLAN8 est vraiment ouvert.

A mon avis votre 3750 doit disposer d'un serveur DHCP, utilisez plutot celui-la pour le VLAN8.
=> https://com.com

Cordialement,
Messages postés
383
Date d'inscription
vendredi 28 novembre 2008
Statut
Membre
Dernière intervention
17 août 2009
40
L'idée c'est de capturer ce qu'il se passe sur le port du switch rattaché au pc qui veut avoir une ip.
Donc ton switch vas copier/coller ce qu'il se passe sur cette interface.
Ainsi tu vas pouvoir savoir d'ou vient le problème.

Donc sur ton switch tu vas faire un port mirror.
La configuration devrait ressembler à ça :
En mode conf :
monitor session 2 source interface Fa0/7 ==> port a espionner donc le port qui relie le switch au pc qui doit recevoir l'adresse en dhcp
monitor session 2 destination interface Fa0/6 ==> port qui reçois donc le port qui relie le switch a ton pc

ensuite sh monitor pour vérifier.

Une fois que c'est fait tu lances wireshark sur ton pc.
Tu branches le pc qui doit recevoir une adresse ip au switch sur le port qu'on espionne.

Ensuite tu me dis ce que tu vois sur wireshark au niveau des trames dhcp
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
Ok avant tou merci de me répondre et pour ton aide, j'ai pas beaucoup l'habitude d'être aidé et le temps que tu passes a le faire me touche.

Ok j'ai donc suivi tes instructions j'ai monitor le port 18 sur le port 12 ensuite j'ai branché mon pc sur le port 12, par cotnre je ne suis pas sur de l'info dont tu as besoin, j'ai vu une option boot dhcp dans wireshark est-ce que c'est l'information que tu recherches?
Messages postés
383
Date d'inscription
vendredi 28 novembre 2008
Statut
Membre
Dernière intervention
17 août 2009
40
Non ce n'est pas ça.
Si j'ai bien compris tu as fait ça :
monitor session 2 source interface Fa0/18
monitor session 2 destination interface Fa0/12
Tu branches ton pc sur le port 12.

Maintenant tu lances wireshark sur ton pc puis capture==>interfaces==>tu clic sur le start de l'interface réseau.
Ensuite tu branches le pc qui doit obtenir une adresse ip.

Sur wireshark, tu devrais voir des demandes dhcp.
Il faudrait que tu me donnes les trames dhcp que tu vois (dhcp request...).
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
ok excuses moi pour le temps de réponse, petit soucis!

Bon premier problème je me connecte au port 12 déjà pas de connection, je me tape Ipconfig et la adresse IP autoconfigurer -_- ca commence bien!
Messages postés
383
Date d'inscription
vendredi 28 novembre 2008
Statut
Membre
Dernière intervention
17 août 2009
40
Tu mets une adresse ip fixe sur ton pc.

Petite question : tu arrives à ping ton serveur dhcp ?
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
ok première réponse donc sur ma vlan qui pose soucis, en dynamique bien évidement pas moyen de pinger le DHCP, en statique oui possible. Sur le port 12 avec lequel on recoit le mirroring Dynamique ou statique pas moyen de pinger quoi que se soit. Avec une adresse IP statique il cherche le serveur dns et la gateway mais comme je peux pas pinger quoi que ce soit ca donne rien avec le dhcp discover.

Je vais poster la conf de mon swith a tout hasard et me sentant de plus en plus bete au fur et a mesure que le temps passe. Tu verras que suite a mon problème avec la vlan 8 j'ai décidé de creer une vlan toute neuve vlan 15 pour laquelle j'ai creer une étendue sur mon serveur dhcp 10.0.15.0/24 qui fonctionnait bien apres l'avoir creer mais apres mêtre deconnecter et reconnecter meme probleme que sur la vlan8, et c'est donc sur cette vlan que je procede aux tests, elle a la meme conf dhcp que l autre et j'ai volontairement pas configurer d access liste pour isoler le probleme.
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
!
!
interface GigabitEthernet1/0/1
switchport access vlan 10
switchport mode access
!
interface GigabitEthernet1/0/2
switchport access vlan 10
switchport mode access
!
interface GigabitEthernet1/0/3
switchport access vlan 2
switchport trunk encapsulation dot1q
switchport mode access
!
interface GigabitEthernet1/0/4
switchport access vlan 2
switchport mode access
!
interface GigabitEthernet1/0/5
switchport access vlan 2
switchport mode access
!
interface GigabitEthernet1/0/6
switchport access vlan 10
switchport mode access
!
interface GigabitEthernet1/0/7
switchport access vlan 2
switchport mode access
!
interface GigabitEthernet1/0/8
switchport access vlan 2
switchport mode access
!
interface GigabitEthernet1/0/9
switchport access vlan 2
switchport mode access
!
interface GigabitEthernet1/0/10
switchport access vlan 2
switchport mode access
!
interface GigabitEthernet1/0/11
switchport access vlan 15
switchport mode access
!
interface GigabitEthernet1/0/12
switchport access vlan 2
switchport mode access
!
interface GigabitEthernet1/0/13
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/14
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/15
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/16
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/17
switchport access vlan 2
switchport trunk encapsulation dot1q
switchport mode access
!
interface GigabitEthernet1/0/18
switchport access vlan 15
switchport mode access
!
interface GigabitEthernet1/0/19
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/20
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/21
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/22
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/23
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/24
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/25
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/26
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/27
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface GigabitEthernet1/0/28
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface Vlan1
ip address 10.0.253.254 255.255.255.0 secondary
ip address 10.0.253.1 255.255.255.0
!
interface Vlan2
ip address 10.0.0.254 255.255.254.0
!
interface Vlan8
ip address 10.0.8.254 255.255.255.0
ip access-group 108 in
ip access-group 108 out
ip helper-address 10.0.0.3
ip helper-address 10.0.0.1
!
interface Vlan9
ip address 10.0.9.254 255.255.255.0
ip helper-address 10.0.0.3
ip helper-address 10.0.0.21
!
interface Vlan10
ip address 10.0.10.254 255.255.255.0
ip helper-address 10.0.0.3
ip helper-address 10.0.0.1
!
interface Vlan15
ip address 10.0.15.254 255.255.255.0
ip helper-address 10.0.0.1
ip helper-address 10.0.0.3
!
interface Vlan254
ip address 10.0.254.253 255.255.255.0
!
ip classless
ip route 0.0.0.0 0.0.0.0 10.0.254.254
ip http server
ip http authentication aaa login-authentication default
ip http secure-server
!
!
!
ip sla 1
icmp-echo 10.0.254.201
ip sla schedule 1 life forever start-time now
ip sla 2
icmp-echo 10.0.254.254
ip sla schedule 2 life forever start-time now
ip sla 3
http get https://www.google.com/?gws_rd=ssl proxy http://10.0.254.201:80
ip sla schedule 3 life forever start-time now
ip sla 4
http get https://www.google.com/?gws_rd=ssl proxy http://10.0.254.254:80
ip sla schedule 4 life forever start-time now
logging 10.0.9.2
access-list 108 permit ip 10.0.8.0 0.0.0.255 host 10.0.10.5
access-list 108 permit ip 10.0.8.0 0.0.0.255 host 10.0.0.51
access-list 108 permit ip 10.0.8.0 0.0.0.255 host 10.0.0.81
access-list 108 deny ip 10.0.8.0 0.0.0.255 10.0.0.0 0.0.0.255
access-list 108 deny ip 10.0.8.0 0.0.0.255 10.0.1.0 0.0.0.255
access-list 108 deny ip 10.0.8.0 0.0.0.255 10.0.10.0 0.0.0.255
access-list 108 deny ip 10.0.8.0 0.0.0.255 10.0.253.0 0.0.0.255
access-list 108 deny ip 10.0.8.0 0.0.0.255 10.0.9.0 0.0.0.255
access-list 108 permit ip any any
access-list 130 deny tcp any any neq www
access-list 130 deny tcp host 10.0.254.201 any
access-list 130 deny tcp host 10.0.0.44 any
access-list 130 permit tcp any any
route-map 130 permit 10
!
route-map alpha permit 10
match ip address 130
set ip next-hop verify-availability 10.0.254.201 10 track 123
set ip next-hop verify-availability 10.0.254.254 20 track 124
!
snmp-server community FSPMP RO
snmp-server community FSPMP@es0 RO
snmp-server location Perseides
snmp-server enable traps license
radius-server host 10.0.0.51 auth-port 1645 acct-port 1646
radius-server host 10.0.0.40 auth-port 1645 acct-port 1646
radius-server key tYSt^LsVT+3My43$v9Fj
!
control-plane
!
privilege exec level 2 enable
!
line con 0
privilege level 2
login authentication if_needed
line vty 0 4
*********
length 0
line vty 5 15
*********
!
!
monitor session 2 source interface Gi1/0/18
monitor session 2 destination interface Gi1/0/12
ntp clock-period 36029268
ntp server 10.0.0.71 key 0 prefer
end
Bonjour,

interface Vlan8
ip address 10.0.8.254 255.255.255.0
ip access-group 108 in
ip access-group 108 out
ip helper-address 10.0.0.3
ip helper-address 10.0.0.1

access-list 108 permit ip 10.0.8.0 0.0.0.255 host 10.0.10.5
access-list 108 permit ip 10.0.8.0 0.0.0.255 host 10.0.0.51
access-list 108 permit ip 10.0.8.0 0.0.0.255 host 10.0.0.81
access-list 108 deny ip 10.0.8.0 0.0.0.255 10.0.0.0 0.0.0.255

=> Il y a comme une contradiction entre la config du vlan8 et l'access-list 108...

Cordialement,
Messages postés
383
Date d'inscription
vendredi 28 novembre 2008
Statut
Membre
Dernière intervention
17 août 2009
40
Ok donc la je vais y aller donc je ne posterais plus avant demain.

Avant de partir :

Qu'es ce que wireshark ta donné au niveau dhcp quand tu as fait ta capture ?
Vu que ça ne marche pas du devrait normalement voir une trame dhcp discover (pas obliger) et dhcp request.

Sur quel port ton serveur dhcp est ?

Une fois le test fait sur le mirror du port 12 essaye avec le port du serveur dhcp. Tu débranche rebranche le client dhcp et tu regarde du coup sur wireshark sur le port du serveur reçoit bien la demande dhcp.
Si ce n'est pas le cas c'est que c'est le switch qui déconne et pas le serveur.

Si c'est bien le cas, c'est à dire que le serveur dhcp ne reçoit pas de trames je me pose une question.
Comment ça se fait que je ne trouve pas de ligne ip helper-address dans le le vlan 2.

Voial quelque piste pour cette fin d'après midi :)
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
Bonjour :),

Merci pour tes petites infos hier, alors mon serveur dhcp est sur le port 3 et c'est pour çà que je n'ai pas mit de ip helper-address sur la vlan 2 puisque le serveur dhcp se trouve sur cette vlan.

J'ai éssayé de me documenté sur wirehsark étant totallement novice dans ce domaine comme dans biens d'autres apparement, parce que lorsque je branchais mon cable réseau et je démarrais wireshark j'étais vraiment submergé par les logs. J'ai donc essayé d'appliqué un filtre (bootp qui monitor les ports 67 et 68 par lesquels passent le traffic DHCP si j'ai bien suivi) qui apparement est sensé me trié seulement les log DHCP offer discover ect.
J'ai fait un test sur un port normal en vlan 2 en faisant ipconfig /release ipconfig /renew et j'ai bien les trames dhcp discover offer ect qui s'affichent dans wireshark.

En revanche j'ai pas grand chose quand je me mets sur le port 12 (le port sur lequel on a forwarder le mirroring du port 18) sans taper de commande dans cmd.

Je sais pas trop si je fais bien et je te demande par avance de bien vouloir m'excuser car je dois bien reconaitre que la je suis loin d'être doué.

Je vais continué a faire des test le temps que tu eclaircisses mes lumières de novice :)
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
Donc tjs avec ce même filtre sur le port 11 (vlan 15 sans mirroring) en adressage statique pas de traffic dans wireshark quelque soit la commande ipconfig réalisé. Par contre j'ai une connection réseau et je peux pinger le serveur DHCP.

Toujours sur le port 11 mais en mettant le client en adressage dynamique (je vais poster des liens de screenshots ca sera plus simple)

http://tinypic.com/images/goodbye.jpg
Messages postés
97
Date d'inscription
lundi 22 juin 2009
Statut
Membre
Dernière intervention
11 juillet 2011
5
Voila ce que çà affiche quand je me mets sur le port 10 qui est configurer sur la vlan 2 et le poste client en adressage dynamique

http://tinypic.com/images/goodbye.jpg