Komischer LOG Eintrag und Internetabbruch deswegen

[ziegler]

Hallo, ich habe folgende Hardware:

Vodafone Kabelanschluss
Vodafone Station im Bridgde-Modus (interen IP 192.168.100.1)
opnsense Router (interen IP 192.168.1.1)
WLAN AccessPoint am opnsesne angeschlossen (192.168.2.2)
Linux PC (interne IP 192.168.1.10)


Mir ist heute was komisches aufgefallen. Habe ein Raspi-Internetradio (192.168.2.15) über WLAN, was am spielen war.
Auf einmal war die Musik weg, ich kam aber per Smartphone auf den Raspi, kein Absturz des Raspi oder Abbruch des WLAN's. Nach einigen Minuten funktionierte auch wieder alles wie gewohnt. Ich habe mir nichts böses dabei gedacht, kann ja mal sein das der online Radio Sender ein Problem hat usw. passiert halt mal.

Die Vodafone Station hatte auch nicht neu gestartet, in der Vergangenheit hatte die das gerne mal ab und an gemacht.
Habe die LEDs abgeschaltet, nach einem Neustart blinken die dann immer wie ein Tannenbaum. Muss dann wieder abgeschaltet werden wenn man das nicht mag. War aber nicht der Fall, also kein Neustart dieser.

Jetzt aber schaue ich in meinen Router (opnsense) und sehe folgendes im firewall log:


Interface      Time                                      Source             Destination        Proto     Label     
 WAN        2023-09-17T14:12:35    192.168.100.254    192.168.100.71    icmp    Block private networks from WAN


Das "Block private networks from WAN" kann man in der opnsense auf dem WAN Interface auswählen, was ich auch getan habe. Daher kommt der Block in der Firewall. Was ich daran nicht verststehe ist folgendes:

Destination 192.168.100.71 habe ich ja so nicht. Meine Vodafone Station hat intern die IP 192.168.100.1​

Wie die Source 192.168.100.254 (was ja eigentlich ein Broadcast ist und eine private IP) im Internet rumfunken kann verstehe ich auch nicht. ICMP ist ein Ping. Also hat die Private IP 192.168.100.254 ein PING auf 192.168.100.71 gemacht die in meinem LAN gar nicht existiert.

Jetzt habe ich mich auf meiner VodafoneStation eingeloggt weil ich wissen wollte warum ich einen Internetausfall hatte. Deshalb stockte ja das Webradio auf dem Raspi.

Die VodafoneStation hat aber kein Neustart gemacht wie ich erst dachte, online seit 62 Tagen.

Was aber futsch ist ist die Anrufliste, ein Telefon ist noch an der Vodafonestation angeschlossen. Und ich hatte vor 14 Uhr telefoniert, da müsste zu 100% was drin sein. In den 62 Tagen wurde öfters telefoniert, ich weiss auch das was drin stand. Nach einem Reboot der Station ist die Anrufliste immer leer, Aber laut Vodafonestation hat ja kein Neustart stattgefunden.


Kann man das irgendwie erklären, also den Firewall-Log?
Hat da Vodafone "rumgespielt"?

Ich weiss z.B. als ich mal ein Internetproblem hatte und der Techniker von VOdafone am Telefon sagte ich solle meinen PC einschalten um die Internetverbindung zu testen. Ich hatte meinen PC aber schon lange an, Internet hatte aber nicht funktioniert. Da meine er er könne aber meinen PC intern nicht sehen, nur die VodafoneStation, mein PC müsse aus sein.
Mhh.. er käme irgendwie nur bis zur VodafoneStation und nicht weiter.

Das lag dann an meiner opnsese die dem Techniker nicht in mein LAN gelassen hat, vermute ich. Wenn die VodafoneStation im Routerbetrieb allein angeschlossen ist können die Techniker von Vodafone glaube ich sehen welche IPs usw. sich im LAN tummeln.

Weiss da jemand mehr drüber?
Was da passiert sein könnte?

[Maurice]

Wenn der Uplink wegbricht, dann starten Kabelmodems einen eigenen DHCPv4-Server, der Adressen aus 192.168.100.0/24 verteilt. So will es der DOCSIS-Standard. Vielleicht war das der Fall und OPNsense hatte daher vorübergehend die WAN-Adresse 192.168.100.71. Müsstest Du in den Logs finden können.

Grüße
Maurice

[ziegler]

Vielen Dank für die Info.
So ist es gewesen-

Unter System --> Log Files --> General  habe ich folgendes stehen:

2023-09-17T14:12:38   Notice   opnsense   : IP renewal starting (new: 192.168.100.71, old: x.x.x.x, interface: wan, device: igb1, force: yes)
2023-09-17T14:12:36   Notice   dhclient   New IP Address (igb1): 192.168.100.71   
2023-09-17T14:12:30   Notice   opnsense   /usr/local/etc/rc.linkup: DEVD: Ethernet attached event for wan(igb1)   
2023-09-17T14:12:29   Notice   kernel   <6>igb1: link state changed to UP   
2023-09-17T14:12:23   Critical   dhclient   exiting.
2023-09-17T14:12:23   Error   dhclient   connection closed

Also scheint wirklich der Uplink weggebrochen zu sein und ich habe kurzfristig die 192.168.100.71 bekommen.
Und genau in der Zeit gabe es dann icmp Anfragen die geblockt wurden.

Vielen Dank für den Hinweis :-)