Verkehr zu einer einzigen LAN-IP gestört

[tpf]

Servus,

mit der alten Securepoint gehts. Darum meine Frage: eine einzige IP kommuniziert nicht mit der Opnsense. Ich sehe im Paket Capture ab und an Verkehr vom Gerät, auch will sie zu einem Google DNS und eine IPSec aufbauen. Darf sie auch. Any Regel sitzt. Möchte ich das Gerät von der opnsense aus pingen, geht es aber nicht. Keine Antwort. Alle anderen Geräte gehen. Also sowohl von der opnsense an die anderen Geräte, wie auch andere Geräte die "gestörte" IP.

Also den Uplink am Switch kontrolliert: schließe ich meinen Laptop an besagtem opnsense-Port an und setze das VLAN, kann ich pingen und bekomme Antwort. Der Switch selbst scheint ok, die anderen dazwischen auch.

Die Opnsense will ums Verrecken nicht mit dem Gerät. Hat sowas jemand schon mal gehabt? ALLE anderen IPs im Netzwerk sind pingbar. Selbst die, die an demselben Switch hängen und ich betone nochmal: mit der alten Securepoint gehts sofort. Natürlich passt das Subnet bei der opnsense.

Danke und Grüße

[Patrick M. Hausen]

Gerät mal durchgestartet? Evtl. ein extrem langlebiger ARP Cache?

[tpf]

Ganze 5 Mal. Die Switche dazwischen auch... Wie gesagt: ich sehe an der Sense auch Anfragen der IP. Nur funktioniert sie nicht. Und sie antwortet auch nicht auf Ping. Der ARP-Cache kann es damit eigentlich nicht sein. Sonst würde gar nix ankommen und ich auch keine DNS-Requests sehen.

[Patrick M. Hausen]

Falsche Netzmaske? /32 statt /24?

[tpf]

Auch das leider nicht. Subnetz stimmt.

[meyergru]

Wenn das Endgerät eine IPsec-Verbindung aufbauen will, kann es sein, dass dort ein Netzwerk-Kill-Switch wirkt, der ausschließlich Kommunikation über ein VPN-Gateway zulässt? Bei manchen VPNs muss man das lokale LAN-Subnetz explizit davon ausnehmen, und wenn sich Dein Netzwerk geändert hat, kann die Client-Konfiguration eventuell nicht mehr passen.

Was allerdings komisch ist, ist, dass der Client von anderen Clients aus funktioniert. Obwohl, Ping ist nicht gleich Ping - das hängt vom OS ab.

P.S.: Patrick meinte die Netzmaske am Client, das war schon klar, oder?

[tpf]

Ja, das war schon klar. Wie gesagt: mit der alten Securepoint funzt es sofort. Die Einstellungen wurden nicht geändert und alle anderen Geräte im Netz funktionieren einwandfrei. Soweit über, als auch unter der problematischen IP.

[vpx]

Welches Betriebssystem hat denn das Endgerät? Hat es vielleicht eine eigene Firewall oder einen MAC-Filter, welche die Verbindung unterbricht?