DHCP von einer bestimmten IP/MAC ablehnen?

Hallo,
ich bin Student und hab Probleme mit unserem Wohnheimnetz. Normal bekommen wir von unserem Rechenzentrum per DHCP eine 172.x.x.x IP, anschliessend können wir uns über einen vpn client einwählen, Internet, fertig :smile:

Nun gibt es jedes Semester immer wieder ganz schlaue, die ihren privaten Router im Wohnheimnetz anschliessen und ebenfalls per DHCP munter 192.168.x.x IPs verteilen. Ohne IP von Rechenzentrum leider auch kein Internet…

gibt es eine Möglichkeit die IPs der privaten Router DHCP zu ignorieren? Besser noch deren MAC Adresse zu blocken?

ich nutze z.Zt. Windows 7 und dessen eingebaute Firewall.
Danke

Ich zitiere mal aus einem Forum:
„sondern er nimmt von dem DHCP-Server die vergebene IP-Adresse an, der ihm als erstes antwortet“

Und aus der Wikipedia:
"DHCP kann leicht gestört und manipuliert werden, weil DHCP-Clients jeden DHCP-Server akzeptieren.

Die versehentliche Aktivierung eines DHCP-Servers, beispielsweise durch den Anschluss eines einfachen DSL-Routers oder WLAN-Routers im Auslieferungszustand, kann ein Netz weitgehend lahmlegen. Dieser antwortet möglicherweise schneller als vorgesehene DHCP-Server und verteilt ungültige Konfigurationen."

Du hast also ein Problem.
Entweder du wendest dich an denjenigen, der den „inoffiziellen“ DHCP-Server betreibt, oder an den Admin eurer EDV-Anlage, der möchte das tun.
Schlau wäre natürlich, wenn die anderen Leute ihr Netze absichern würden, so dass sie gar keine Anfragen von Fremden beantworten, weil diese gar nicht auf den Router kommen.

Vielleicht mal einen Aufruf ans schwarze Brett hängen.

Der andere DHCP-Betreiber könnte Zugriff auf seinen Router/DHCP Server nur für bestimmte MACs erlauben, oder auf Wunsch deinen Rechner in eine Ausschluss-Liste eintragen.
Oder du kannst vielleicht mit festen IPs arbeiten.

Handelt es sich denn um WLAN, mit Windows-Rechnern, oder um Kabel-LAN?
Vielleicht kannst du einfach den Zugriff auf andere als die gewünschte SSID sperren?
Am besten wäre, wenn du über LAN-Kabel eine Verbindung zum RZ aufbauen könntest.
Bei WLAN: Du könntest auch mit deinem Laptop wohin gehen, wo nur das RZ erreichbar ist, aber kein anderes Funknetz.
Oder deinen WLAN-Stick mit alufolie umgeben, außer in einer Richtung, und dann den AP des RZ anpeilen.
Und dann mal in der Kommandozeile „ipconfig -renew“ eingeben.

Ich persönlich würde mir den Spaß machen, jedes offene WLAN-Netz mit 5 Kommandokonsolen und jeweils einem Ping a la „ping 192.x.x.x -n 1000“ parallel vollzuspammen, bis sie es lernen. Vielleicht gibt es auch noch mehr lustige Befehle. Wenn es da z.B. fremde Freigaben gibt, diese vollmachen, dort löschen oder runtersaugen oder eine Riesendatei(.VOB) namens „ihr_deppen“ draufspielen.

Notfalls könnte man vielleicht Anzeige wegen Erregung öffentlichen Ärgernisses erstatten. :smile:

Vielleicht könntest du auch auf deiner Personal Firewall den Zugriff auf 192.x.-Netze verbieten, ob das funktioniert weiß ich nicht.
Also ob damit die „DHCPDISCOVER“-Message an 192.x. aufgehalten werden kann.
Allerdings könntest du vermutlich die Antwort vom falschen DHCP-Server 192.x. blocken.
Sofern die DHCP-Discover-Meldung nicht schon beim booten rausgeht.

Versuch doch mal, in deiner Firewall die IPs 192.168.0.1 UDP bzw. 192.168.1.1 UDP
für eingehemden Verkehr zu blocken, das sollte dir die meisten Probleme ersparen.

Ich zitiere mal aus einem Forum:
„sondern er nimmt von dem DHCP-Server die vergebene IP-Adresse
an, der ihm als erstes antwortet“

Und aus der Wikipedia:
"DHCP kann leicht gestört und manipuliert werden, weil
DHCP-Clients jeden DHCP-Server akzeptieren.

Die versehentliche Aktivierung eines DHCP-Servers,
beispielsweise durch den Anschluss eines einfachen DSL-Routers
oder WLAN-Routers im Auslieferungszustand, kann ein Netz
weitgehend lahmlegen. Dieser antwortet möglicherweise
schneller als vorgesehene DHCP-Server und verteilt ungültige
Konfigurationen."

Du hast also ein Problem.
Entweder du wendest dich an denjenigen, der den
„inoffiziellen“ DHCP-Server betreibt, oder an den Admin eurer
EDV-Anlage, der möchte das tun.
Schlau wäre natürlich, wenn die anderen Leute ihr Netze
absichern würden, so dass sie gar keine Anfragen von Fremden
beantworten, weil diese gar nicht auf den Router kommen.

Vielleicht mal einen Aufruf ans schwarze Brett hängen.

Der andere DHCP-Betreiber könnte Zugriff auf seinen
Router/DHCP Server nur für bestimmte MACs erlauben, oder auf
Wunsch deinen Rechner in eine Ausschluss-Liste eintragen.
Oder du kannst vielleicht mit festen IPs arbeiten.

Handelt es sich denn um WLAN, mit Windows-Rechnern, oder um
Kabel-LAN?
Vielleicht kannst du einfach den Zugriff auf andere als die
gewünschte SSID sperren?
Am besten wäre, wenn du über LAN-Kabel eine Verbindung zum RZ
aufbauen könntest.
Bei WLAN: Du könntest auch mit deinem Laptop wohin gehen, wo
nur das RZ erreichbar ist, aber kein anderes Funknetz.
Oder deinen WLAN-Stick mit alufolie umgeben, außer in einer
Richtung, und dann den AP des RZ anpeilen.
Und dann mal in der Kommandozeile „ipconfig -renew“ eingeben.

Ich persönlich würde mir den Spaß machen, jedes offene
WLAN-Netz mit 5 Kommandokonsolen und jeweils einem Ping a la
„ping 192.x.x.x -n 1000“ parallel vollzuspammen, bis sie es
lernen. Vielleicht gibt es auch noch mehr lustige Befehle.
Wenn es da z.B. fremde Freigaben gibt, diese vollmachen, dort
löschen oder runtersaugen oder eine Riesendatei(.VOB) namens
„ihr_deppen“ draufspielen.

Notfalls könnte man vielleicht Anzeige wegen Erregung
öffentlichen Ärgernisses erstatten. :smile:

Vielleicht könntest du auch auf deiner Personal Firewall den
Zugriff auf 192.x.-Netze verbieten, ob das funktioniert weiß
ich nicht.
Also ob damit die „DHCPDISCOVER“-Message an 192.x. aufgehalten
werden kann.
Allerdings könntest du vermutlich die Antwort vom falschen
DHCP-Server 192.x. blocken.
Sofern die DHCP-Discover-Meldung nicht schon beim booten
rausgeht.

Hallo uwe,
erstmal danke für deine Antwort :smile:
ja, wenn jeder seine Netzwerkgeräte anständig einrichten würde, gäbe es den Ärger garnicht. Leider tun das (gefühlt) die wenigsten hier. Aushänge diesbezüglich haben leider nie gefruchtet.

Es handelt sich um ein Kabel-LAN wo jeder Student in seinem Wohnheimzimmer anklemmen kann was er will. Über die Hardware im Rechenzentrum(RZ) weiss ich leider nichts. WLAN vom RZ ist im Wohnheim leider nicht möglich, sonst könnte man sich nur mit der gewünschten SSID verbinden.

Das mit der Firewall-Regel werd ich mal morgen probieren wenn ich wieder dort in meinem Zimmer bin. Die WLAN-Verbindung meiner Freundin (192.168.178.1 fritzbox) konnte ich damit testweise leider nicht blocken. Aber im Wohnheim ists auch ein Kabel-LAN. Da werde ich es morgen mal versuchen :smile:

Beste Grüße,
Christian

Ich habs mal gegoogelt, es scheint da wirklich keine Lösung zu geben, wie man den DHCP-Client konfigurieren kann, dass er nur eine bestimmte Route wählt.
Obwohl das Problem öfters mal in Foren auftaucht.

Theoretisch wäre es zwar möglich, ein DCHPDISCOVER-Paket so zu formulieren, dass nur die IP eines bestimmten DHCP-Servers angesprochen wird, oder dass der Client Adressangebote nur aus einem bestimmten IP-Subnetz akzeptiert und andere Angebote negativ beantwortet, also das was er von den Nappels als erstes bekommt, verwirft, und das vom RZ, das später kommt, annimmt; ich sehe da nur leider keine Konfigurationssoftware.
Zumindest nicht beim Client für Windows.
Da müsste es schon einen Patch geben.

Das scheint wirklich nur serverseitig zu gehen.
Ich hab auch mal in meiner Registry unter den TCP/IP-Eigenschaften meines Sticks nachgeschaut, man kann zwar einen Wert für DHCP-Server eingeben, allerdings ändert der sich wieder, wenn ich den WLAN-Stick aus- und wieder einstecke.
Wenn es ein normales LAN ist, k.A., allerdings wäre das umständlich,vor allem weiß ich nicht, ob der DHCPDISCOVER nicht schon sehr früh beim Booten rausgeht.
Hast du denn den DHCP-Server, von dem du die korrekte IP beziehst, mal als Standard-Gateway von Hand in die IP-Eigenschaften deiner Ethernetkarte eingegeben?

Ok ich seh grad, bei meinem Windows kann man nur Ports sperren, aber nicht ein bestimmtes IP-Netz.

Es müsste vielleicht eine Personal-Firewall her, die sämtliche eingehenden UDP-Port-68-Pakete aus sämtlichen Netzen, die 192.x. entsprechen, abblockt.
Oder umgekehrt, keine ausgehenden Pakete auf 192.x.x.x UDP-Port 67 durchlässt.
Denn ein DHCP-Server lauscht auf Port 67 UDP und antwortet auf Port 68 UDP.
Ob es sowas gibt, weiß ich leider nicht.
Könnte aber möglich sein. Aber vielleicht nicht bei einer Freeware-Firewall.

Es gibt sowas namens DHCP-Relay für Windows-Netzwerke, wenn im Netzwerksegment kein DHCP-Server steht, wird der Standardgateway mit installiertem DHCP-Relay-Agent benutzt, um von da aus den nächsten DHCP-Server anzusteuern.
Könnte funktionieren, wenn der Standardgateway des Rechenzentrums auch der DHCP-Server ist. Dann bräuchtest du einen Router, der als DHCP-Relay-Agent fungieren kann. Dieser müßte dann die DHCP-Message direkt an den gewünschten DHCP-Server weiterreichen.
Da weiß ich allerdings auch nicht, welcher Home-Router das könnte.

Ich würde mich da ganz frisch fromm fröhlich frei einfach mal an den Admin des Uni-Netzwerkes wenden, und fragen wie sich das verhält.
Vielleicht haben andere das selbe Problem.
Du könntest eine Geheimorganisation gründen, die die Bösewichte ermittelt, und ihnen dann, wenn sie Online sind mit ihrem DHCP, heimlich die SIcherung rausdreht.
Wenn das eine Weile läuft, wird es vielleicht guter Brauch, es sein zu lassen, so könntest du, wenn auch ingonito, in die Annalen deiner Uni eingehen.
Ich vermute nur, du hast Wichtigeres mit deiner Zeit anzufangen :smile:

Was mich wundert, wenn diese Leute es so machen, dürften sie doch selber nicht ins Internet kommen.
Oder schliessen sie so andere aus der Nutzung aus, nachdem sie selber eine vernünftige IP vom RZ bekommen haben?
Damit sie etwa die Bandbreite für ihre schlimmen Downloads voll ausnutzen können?

Das wären dann ja richtig üble Schurken.
Da hülfe dann nur noch eine Anfrage an den MAHN-MAN, vermute ich mal.
Falls es einen solchen an eurer Uni gibt.
Wenn nicht, muss er halt erfunden werden. Er könnte ja seine Sendung auf Youtube reinstellen, und den Link sollte man an der Uni unters Volk bringen. Meinetwegen über das schwarze Brett.

Mehr zum Mahn-Man:

http://www.youtube.com/watch?v=lizYC6KwSTM

http://www.jurawelt.com/gerichtsurteile/zivilrecht/b…

keine zufriedenstellende Lösung :expressionless:
Für die Nachwelt hier mein Ergebnis:
egal was ich eingestellt habe, Ports, Subnetze, etc. es hat nichts gebracht - ich habe keine elegante Lösung für mein Problem gefunden.

Ich behelfe mir damit, dass ich eine feste IP im richtigen IP-Bereich vergeben habe, muss aber drauf hoffen, dass diese IP noch nicht per DHCP bereits vergeben wurde, wenn ich mich ins Netz einklinke, sonst gibt das wieder Probleme.
Was anderes hat leider nicht funktioniert, naja aber es läuft.

MfG Christian