This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

When is Any not really Any?

Depends on your definition of 'any' I guess.

Had something interesting happen recently when a customer upgraded their ISP service and the provider replaced the cable modem. They had a static public IP addresses technically nothing should have needed to be changed in the UTM, right?

As soon as they replaced the modem we lost connectivity to the UTM through the public IP address even though everyone on the LAN could get to the Internet without a problem. 

We tried many things, turned off all firewall functions in the cable modem, setting it to bridge mode which failed miserably, UTM wouldn't even connect just said Error in the Link column on the status page. Rebooted both devices numerous times but no luck.

Finally we noticed that the public IP address could be pinged and turning that rule on and off verified that the UTM was indeed responding to pings at least.

Keep in mind that the site has two internet connections going into the UTM and both were active and listening on ports 4343, 4443, and 4444, or at least they were before the modem was replaced. This is where the 'Any' part comes in, WebAdmin was set to listen on 'Any' network as was the user portal and SSL VPN. We could access those services through the backup internet connection but not the primary that had the new cable modem.

For some odd reason 'Any' did not include the very same public IP address that had not changed, or at least it appeared that way. In the end the fix appeared to be to remove 'any' from the configuration for WebAdmin, etc., and put it back. Somehow the old 'any' before the modem replacement was not the same as the new 'any' if that is even possible.


This thread was automatically locked due to age.
Parents
  • I'm thinking this may have been caused by an ARP or conntrack issue.  New device, same IP, different MAC address.  Hard to tell for certain because you don't mention if the UTM was rebooted or the time frame between new modem placement and final solution of removing then replacing Any.
Reply
  • I'm thinking this may have been caused by an ARP or conntrack issue.  New device, same IP, different MAC address.  Hard to tell for certain because you don't mention if the UTM was rebooted or the time frame between new modem placement and final solution of removing then replacing Any.
Children
  • Here is a timeline if that helps...

    Cable modem replaced, nothing changed on UTM
    Disabled firewall on cable modem putting it in pseudo bridge mode
    Disabled dhcp on LAN interface of cable modem
    Rebooted cable modem
    Rebooted UTM
    Disabled/enabled eth1 Wan interface
    Reset/set Eth1 IP address/cidr/gateway on UTM multiple times
    Rebooted UTM

    Pinged public IP address, UTM responded, at least something was getting through.
    Went to WebAdmin config on UTM, added external Wan address as one of the networks allowed to access (Any was already there) suddenly WebAdmin was accessible through the public IP address. Went to the advanced tab and told WebAdmin to listen on any (actually was already set to any). Basically did the same thing for User Portal and SSL VPN, those started working as well.

    So the question is why would changing the cable modem cause services on the UTM to stop responding? Additionally, why would rebooting the UTM not resolve this? Equally puzzling is the fact that Ping responded but nothing else, if it were a routing issue I would suspect that Ping would fail as well.

    Interestingly even though the cable modem had dhcp disabled on the LAN it was showing one device connected which was the MAC of the eth1 Wan port on the UTM, oddly it was being assigned an IP address of 10.1.10.171. Must be some strangeness that goes on internally that we cannot see through the web interface. In suspect that this may be the root of the problem, or at least a contributing factor.