Verhindert USB-C-Dock (40AY0090EU) den Zugriff aufs Internet?

[danielwoe]

Hallo zusammen,

ich habe bei uns im Büro ein Problem mit mehreren USB-C-Docks, an dem ich mittlerweile fast verzweifele. Ich hoffe hier kann mir jemand weiterhelfen. Hier die Problembeschreibung:

An einem Universal USB-C-Dock (P/N: 40AY0090EU) ist ein ThinkPad P14S G2 (Modell: 21A1-S00D00) angeschlossen. Ist das LAN-Kabel in dem Dock eingesteckt, hat man keinen Internetzugriff. Stöpselt man das LAN-Kabel direkt am Notebook ein, funktioniert der Zugriff aufs Internet. Der Zugriff auf die Server im lokalen Netz funktioniert aber in beiden Fällen!

Die Situation mit dem LAN-Kabel in dem Dock stellt sich wie folgt dar:

Die Sophos-Firewall im lokalen Netz funktioniert:


Ein Ping auf Google funktioniert nicht:


Ein Tracert auf Google liefert nur den ersten Hop (die Firewall):


Bei der Firewall handelt es sich um eine SOPHOS XGS126.

Kann sich jemand dieses Verhalten erklären?

Viele Grüße
Daniel

 

[Mornsgrans]

Deaktiviere/Deinstalliere mal die 3rd-Party Firewall. Würde mich nicht wundern, wenn sie anhand der MAC-Adresse eine Ausnahme in der Blockierregel hätte.

 

[Snuffchen]

Vermutlich verwirft die Sophos die Pakete die von der Netzwerkkarte im Dock kommen. Musst dir mal die Logfiles der Firewall anschauen und nach der MAC-Adresse / IP-Adresse der Netzwerkkarte im Dock suchen.

 

[danielwoe]

Deaktiviere/Deinstalliere mal die 3rd-Party Firewall. Würde mich nicht wundern, wenn sie anhand der MAC-Adresse eine Ausnahme in der Blockierregel hätte.

Vermutlich verwirft die Sophos die Pakete die von der Netzwerkkarte im Dock kommen. Musst dir mal die Logfiles der Firewall anschauen und nach der MAC-Adresse / IP-Adresse der Netzwerkkarte im Dock suchen.

Hat denn so ein Dock überhaupt eine eigene IP-Adresse/MAC-Adresse? Ich dachte das wird vom Rechner dahinter "durchgereicht".

 

[Snuffchen]

Bei den alten Docks mit physischem Docking-Port war das m. W. auch so.
Bei den USB-C Gen. 2 Dock wird das zusätzlich als Lenovo USB Ethernet angezeigt, d.h. auch andere MAC/IP-Adresse

 

[Mornsgrans]

Schaue auf den Aufkleber an der Dock-Unterseite.

Bei mir sieht es so aus (T14, USB-C-Dock Gen 2):
Ungedockt:


gedockt:


Eindeutig eine andere MAC-Adresse.

 

[mtu]

Hat denn so ein Dock überhaupt eine eigene IP-Adresse/MAC-Adresse? Ich dachte das wird vom Rechner dahinter "durchgereicht".

Bei meinem Dell-Rechner mit Dell-Thunderbolt-Dock kann man im BIOS einstellen, ob das passiert oder nicht.

 

[sl500]

Hat denn so ein Dock überhaupt eine eigene IP-Adresse/MAC-Adresse? Ich dachte das wird vom Rechner dahinter "durchgereicht".

Kann man im BIOS einstellen ob die MAC-Adresse vom internen LAN-Port durchgeschliffen wird oder die externe MAC-Adresse verwendet wird...

Würde mal die Admins der Sophos fragen ob das was gefiltert wird...

 

[danielwoe]

Vielen Dank für die sehr hilfreichen Erklärungen. Ich habe gerade mal die Admins der Sophos gebeten sich das genauer anzuschauen.

 

[Mornsgrans]

Eine einfache Validierung steht in Beitrag#2

Da ich die selben Probleme u.a. vor vielen Jahren mit Symantec Antivirus+Firewall hatte, testete ich es nach dessen Deinstallation erneut und es ging danach.
Ein paar Tage später flog die Symantec Suite von allen Firmenrechnern, denn damit ist ein vernünftiges Arbeiten besonders im mobilen Einsatz mit wechselnden Docks nicht möglich.

 

[danielwoe]

Eine einfache Validierung steht in Beitrag#2

Da ich die selben Probleme u.a. vor vielen Jahren mit Symantec Antivirus+Firewall hatte, testete ich es nach dessen Deinstallation erneut und es ging danach.
Ein paar Tage später flog die Symantec Suite von allen Firmenrechnern, denn damit ist ein vernünftiges Arbeiten besonders im mobilen Einsatz mit wechselnden Docks nicht möglich.

Vielleicht stehe ich gerade auf dem Schlauch aber ich verstehe ehrlich gesagt nicht genau was du meinst.

Unter einer 3rd-Party Firewall würde ich eine Security-Software auf den Clients verstehen. Aber wie sollte diese Software an die MAC-Adresse der Dock kommen und über welche Blockierregel sollte dann der Internetzugriff blockiert werden? Und welche Rolle spielt dabei genau die Ausnahme von der Blockierregel?

 

[Mornsgrans]

Ich weiß nicht, ob Deine Firewall auch Software-Konmponenten für PC beinhaltet.

Aber wie sollte diese Software an die MAC-Adresse der Dock kommen und über welche Blockierregel sollte dann der Internetzugriff blockiert werden?

Wenn Windows an die MAC-Adresse kommt (siehe Screenshots), kann es die Firewall auch.
In Deinem Fall kannst Du auch auf der Appliance einfach alle ausgehenden Verbindungen zulassen, dann siehst Du ob es eine Blockierregel gibt.

Oder einfach mal die Online-Hilfe bei Sophos lesen:

Block internet access based on MAC address - Sophos Firewall

Block internet access based on MAC address.

doc.sophos.com

Da scheint es genau diese MAC-Adressen-Blockierregel zu geben. Vielleicht trifft genau das auch bei Dir zu.