Решено В UniFi проблемы с DHCP

[Bull-IT]

Коллеги, привет!

Имеем. Контроллер CloudKey Gen2+, 2 точки UAP-AC-Pro и 2 точки UAP (с EOL'ом), всё это питается и коммутируется коммутатором US-16-150W. Этот коммутатор аплинком соединен с CISCO-коммутатором на 48 портов, где крутятся всё остальное и каскадом сервера. У всего прошивки последние возможные, кроме коммутатора ( у него 5.11.0.11599 – не знаю обновлять или нет). DHCP сервер крутится на Windows Server 2012 R2.

Проблема. Некоторые клиенты не могут получить IP адрес по DHCP. Все танцы на клиенте (сброс IPconfig, отключение/включение wi-fi адаптера, переключение на другую сеть и обратно, ни дают ни какого результата). При этом к гостевой wi-fi сети управляемой тем же контроллером подключаются все дружно и без никаких проблем. Проблема только с рабочей wi-fi-сетью почему-то. На некоторых компах иногда проблема пропадает, но есть 5-6 компов стойких в этой проблеме.

Не пойму что-то с настройками у меня что ли? Вот скриншоты всех настроек вроде бы:

Сам контроллер:

Настройки LAN (виртуальных сетей нет).

Настройки Wi-Fi рабочей сети:

Сам контроллер тоже регистрирует эти проблемы. На клиентах в журнале операционки стандартная ошибка не удалось разрешить DNS за отведенное время и не удалось получить настройки сети за отведенное время.

Что пробовал делать:
1) Посмотрел в ssh в настройках коммутатора отключен ли dhcp_snoop

В /tmp/system.cfg параметр switch.dhcp_snoop.status=disabled

2) сделал рекомендации вот этой ветки http://www.ubnt.su/forum/threads/problemy-s-dhcp-dns-i-s-dostupnostju-ustrojstv-u-unifi-uap-ac-lr.8281/

1. 2G Data Rate Control отключил (он был включен по умолчанию - сам я его не трогал).
2. Выставил DTIM на 3 для 2G и 5G.
3. "AUTO-OPTIMIZE NETWORK"в настройках Site, и "Блокировать LAN для многоадресной и беспроводной передачи данных WLAN" в настройках WiFi у меня уже были отключены (видно на скриншотах в моём первом сообщении).

Что может быть? Куда копать? Естественно у проводных клиентов ни каких проблем с этим нет. И есть еще один клиент wi-fi в сети, который периодически напрочь теряет сетевые диски и возможность их подключения как по IP-адресу, так и по имени, но при этом с DHCP у него проблем нет.

 

[workubnt]

Pmf disabled

Uplink тоже отключите.
Гляньте потом что будет.

Dns и dhcp вечная проблема.

 

[GriSky]

а чем отличаются сети, если в одной проблем нет, больше информации...
И имя сети sid если хотели скрыть, то надо скрыть и выше

 

[Bull-IT]

Pmf disabled

По совету @GriSky сравнил настройки гостевой и рабочей сетей, и разница была только в PMF – у рабочей было optional, у гостевой disabled. Так что есть надежда что может быть проблема именно в этом механизме. В рабочей пока только отключил PMF, будем посмотреть.

Uplink тоже отключите.

Имеется ввиду Uplink Connectivity Monitor, который следит за доступностью шлюза (если я правильно понял описание этой настройки)? Который в разделе Site (мой первый скриншот)? Пока не стал это отключать, в надежде, что проблема только в PMF. Только прописал туда явным образом IP адрес нашего шлюза 192.168.1.3, а не просто default gateway.

 

[Bull-IT]

Отключение PMF не помогло. Сейчас отключил Uplink Connectivity Monitor, будем смотреть, но надежды мало. Есть какие-то еще идеи?

Заметил интересную особенность, когда wi-fi адаптер на клиенте получает не правильный IP-адрес (169...), он отключается физически (прям пропадает из сетевых подключений в Центре управления сетями Windows'a), потом сам быстро включается, и соответственно пытается снова получить IP-адрес, это не помогает. В журнале Windows об этом пишет примерно так: "Обнаружено что на таком-то интерфейсе получена не корректная конфигурация сети, предпринята попытка исправить ситуацию". Может быть кто-то знает какая сетевая служба или механизм провоцирует такое поведение Windows'a. Может это подскажет какие- галочки снять в настройках сети.

И еще становится очевидно, что это какая-то проблема с несовместимостью с некоторыми видами сетевых карт. Вставил Wi-fI свисток в этот же ноут, и всё взлетело без всяких проблем, и летает уже неделю. Вытаскиваешь свисток, подключаешься встроенным wi-fi-интерфейсом – всё сразу плохо. Откаты на старые и альтернативные драйвера, танцы с бубнами в настройках адаптера (в диспетчере устройств) ничего не дают. Переход на 2G принудительно, и на 5G принудительно – тоже ничего. Если это был бы один ноут, то я бы даже не думал на сеть. Но это 5-6 клиентов стабильных, и 3-4 с плавающей такой же ошибкой (то возьмет по DHCP всё как нужно, то не возьмет). Ну и то, что к гостевому Wi-Fi все подключаются без проблем, а к рабочей сети такая шляпа – тоже наводит на мысль что всё таки собака порылась в сети Wi-Fi, а не на стороне клиентов.

 

[workubnt]

Uplink отключить!! И ещё dhcp snooping Включить
DTIM Mode снять галку, поставить 3 всем.

 

[Bull-IT]

Uplink отключить!! И ещё dhcp snooping Включить
DTIM Mode снять галку, поставить 3 всем.

Спасибо за ваше участие! Вроде бы всё сделал.

Будем наблюдать.

 

[Bull-IT]

Слушайте, други! А ведь, по-моему сработало!!! В общей сложности что я наделал. В Site: включил dhcp snooping, отключил Uplink Connectivity Monitor. В настройках wi-fi сети прописал явным образом DTIM и на 2G, и на 5G поставил 3.

Кол-во таймаутов и сбоев dhcp упало в 2 раза! Жалоб со стороны клиентов за вчера и сегодня утро не поступало (хотя проблема именно утренняя).

В общем будем еще посмотреть, конечно, но в любом случае всем участникам, и особенно @workubnt огромное спасибо за помощь!

 

[Bull-IT]

2 рабочих дня, полет вроде бы нормальный. Правда в офисе не слишком людно пока было. Так что буду еще наблюдать. 2 ноута – злостных нарушителя – на новых настройках wi-fi-сети работают пока норм. Один ноут всё-таки не хочет получать по dhcp, при этом на USB-свистке Wi-fi всё гуд, dhcp срабатывает. Здесь уже попробую ковырять на стороне ноута, хотя идей на самом деле немного уже. Ноуты с той же начинкой (покупали партию) работают в этой сети ок.

 

[workubnt]

Глянуть бы скриншот с каналами. Классика 1-6-11 ширина 20. Может ноуты хотят 40. Но тут начнутся скорее проблемы у других,а может и нет.

У меня похожая проблема была на старых unifi lr, не запускался контролёр на ноуте, но со свистом все было отлично. Забил на эти проблемы. Настроил и убрал свисток.

 

[Bull-IT]

Глянуть бы скриншот с каналами. Классика 1-6-11 ширина 20. Может ноуты хотят 40. Но тут начнутся скорее проблемы у других,а может и нет.

У меня похожая проблема была на старых unifi lr, не запускался контролёр на ноуте, но со свистом все было отлично. Забил на эти проблемы. Настроил и убрал свисток.

Речь об этом скриншоте?

Вообще на новых ноутах в настройках драйверов Wi-Fi я почти везде ставлю приоритет 5G где это возможно.

 

[workubnt]

Не этот, точки доступа , вот там настройки. Где выбор канала, ширина, ну low medium high.
Смотрю по скриншоту на 6 и 11, стоит. 11 смотрю по свободнее.

 

[Bull-IT]

Ага, теперь понял. Речь про эти настройки видимо:

Все 4 уж не стал сюда кидать. Но настройки каналов следующие (2G/5G):
1-ая точка – VHT20 11/ VHT40 36
2-ая точка – VHT20 6/ VHT40 60
3-ая точка – HT20 11 (только 2G это старенькая UAP)
4-ая точка – HT20 6 (тоже старенькая, только 2G).

Не знаю, может тогда авто везде поставить, правда не знаю как механику контроллер осуществляет, как-то же анализирует наверное текущий эфир или может статистику за день собирает и строит прогноз не знаю.

И еще на всех точках ограничил минимальный сигнал не менее -70 dBm. А то некоторые клиенты держались мертвой хваткой за 1-2 палочки, когда рядом почти свободная ТД имеется. Точки у нас достаточно плотно расположены друг от друга.

 

[workubnt]

Понял. Ну тут ваше дело, насчёт ограничение, может так и лучше.
По классике 1 6 11, low /medium, на 5g high.

VHT40, на vht80 не ставили, чисто для теста?

 

[Bull-IT]

@workubnt, большое спасибо за наводку!

Ваше сообщение подтолкнуло к более глубокому изучению всех этих вопросов. Для таких же как я чайников в радиоэфирах вот отличный материал: Wi-Fi: неочевидные нюансы (на примере домашней сети) / Хабр (habr.com). Без воды, простым языком. Из этого материала я понял зачем лучше выбирать общеиспользуемые каналы 1 6 11, зачем ставить 2G в low/medium. И зачем нужно убрать точку доступа с подоконника!

В общем, в итоге пока точки доступа настроил так (2G/5G):
1-ая – VHT20 6 Low/VHT40 36 High
2-ая – VHT20 11 Low/VHT40 48 High
3-ая – HT20 1 Low/5G no
4-ая – HT20 6 Low/5G no

С 40MHz-ами на 5G толком не разобрался (в приведенной мной статье этот момент достаточно быстро объяснен), поэтому пока поставил просто по рекомендации 40MHz.

VHT40, на vht80 не ставили, чисто для теста?

Так как пока не очень разобрался вообще в вопросе ширины канала, то не понимаю что мне ждать от такого эксперимента. Поэтому пока уж без этого.

 

[workubnt]

2.4 GHz
Channel width: HT20
Chanel: 1/6/11 | Choose one of these channels, a RF scan will help you choose the most clean one.
Transmit Power: Low ( Medium )

5GHz
Channel width: VHT40 | Optional VHT80/VHT160 might decrease wireless stability
Chanel: 36/44 | Optional (149/157) Choose one of these channels, a RF scan will help you choose the most clean one. Avoid using DFS
Channels
Transmit Power: Medium ( High )

Если сигнала на 2g мало будет, то medium

 

[Bull-IT]

Нет, к сожалению, не победили историю. :-( Всё равно 3 клиента из 25 упорно не могут получить по dhcp IP-адрес. Зато более-менее нашел как это пробить. Если сначала подключиться к гостевой сети, а потом подключиться к рабочей, то dhcp рабочей сети чаще всего (80-90%) примется правильно.

В найстройках гостевой сети всё так же как и в рабочей, кроме group rekey установлен на 3600 (в рабочей сети смена ключей вообще отключена), ну и пользование гостевыми политиками "Apply guest policies (captive portal, guest authentication, access)" тоже включено в гостевой сети.

Мысли на этом кончились. :-(

 

[workubnt]

3600 по дефолту было даже, не в гостевой. Думаю проблема в прошивке. Хотя хз. Но английский форуме, у некоторых проблема в прошивке с dhcp.
Выставить всем тарелкам одинаковые каналы. 6 например.
DTIM 1 2g, DTIM 3 5g. Это для теста.

Windows server с dhcp не в одном коммуникаторе c unifi тарелками. Может дело в этом?

 

[Bull-IT]

3600 по дефолту было даже, не в гостевой. Думаю проблема в прошивке. Хотя хз. Но английский форуме, у некоторых проблема в прошивке с dhcp.
Выставить всем тарелкам одинаковые каналы. 6 например.
DTIM 1 2g, DTIM 3 5g. Это для теста.

Windows server с dhcp не в одном коммуникаторе c unifi тарелками. Может дело в этом?

Поставил group rekeying на 3600.
Обновил две старые тарелки до последних прошивок (получился переход с 4.0 на 4.3)
Поставил на 2G всем тарелкам 6 канал, на 5G 48-ой канал.
Почитал про DTIM понял что оно как раз про широквещательные кадры. На сколько я понимаю DHCP кадры как раз широковещательно и транслируются. Так что поставил и 5G и 2G = 1. Экономия батарей мобильных устройств нас пока не сильно волнует. ;-)
Для чистоты эксперимента сейчас скоммутирую еще DHCP сервер на прямую в коммутатор с wi-fi тарелками, хотя архитектуру мне это подламывает не плохо. У меня DHCP крутится на виртуальном серваке, и хост виртуалки соединен с другими хостами виртуальной среды через 10Гбит коммутатор. А коммутатор wi-fi тарелок только 1Гб. Но пока так посмотрим.

Понаблюдаем! Еще одна мысль пришла, отключить старые тарелки, и оставить только две PRO-шки. Но это уж следующим этапом.

 

[Bull-IT]

Коллеги, по-моему проблема в итоге решена! После всех перечисленных манипуляций (кроме физической перекоммутации DHCP-сервера по стеку коммутаторов ближе к wifi-тарелкам) всё стало хорошо. Регистрация в сети происходит за 1-2 секунды, IP-адрес всеми клиентами получается на раз.

Огромное спасибо @workubnt и всем кто участвовал в ветке за терпение и за советы.

Хочется, конечно, провести разбор полетов, и понять какие именно настройки оказались ключевыми, но пока трогать там, где только что перестало чесаться, не хочу. А так, в топе гипотез у меня:

1. Group rekeying = 3600 – это единственный параметр, который отличался у рабочей сети от гостевой сети. К гостевой подключение и получение IP-адреса проходили всегда без проблем у всех клиентов.
2. Обновление прошивок на старых тарелках – почему-то чуйка посдказывала, что нужно бы обновить. Но я такой консерватор, и стараюсь не обновлять прошивки без острой необходимости не протестировав.
3. Изменение DTIM на 1 – всё таки этот параметр именно про широковещательные пакеты.

Про переведение всех точек на один канал, не знаю. Я, конечно, перевел. Но, вроде как там коллизий на 2-ом уровне (уровне mac адресов) сильно больше должно было оказаться. Хотя контроллер пишет, что вроде как всё гуд.

Возможно через пару недель по одному попробую поотключать все параметры, которые в этой ветке форума были залогированы, чтобы выяснить точные причины. Но это не точно! В любом случае, кто будет читать эту ветку с той же проблемой, наверное рекомендую начать выполнять рекомендации в обратном порядке – от конца этой ветки вверх.