Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 12 replies
  • Subscribers 1 subscriber
  • Views 2125 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

ASG-7.5 blockt nach 1 Monat den ganzen Incoming Traffic

koslofski
Hallo zusammen,

ich hoffe ihr hattet oder genisst zur Zeit gerade ein erhohlsames Weichnachtsfest. 

Ich versuche verzweifelt seit ca. 5 Monaten ein extrem nervendes Problem zu lösen. Früher lief die Astaro virtualisiert auf einem VM-Server 2.0 unter Windows. Neu auf einem ESX 4.0. 

Daten zur Astaro:
- 4 Public IP's /VDSL
- Diverse Services auf laufem (HTTP, HTTPS, FTP, IMAP, POP, SVN etc. etc.)
- 4 Interfaces (LAN,DMZ,WLAN,WAN)
- ASG 7.502 (Problem auch schon 7.4'er Versionen)
- Keine zeitabhängie Policies (Packet-Filter,NAT)
- 2GB RAM

Zum Problem... Sobald die Astaro eins bis zwei Monate läuft, blockt sie den ganzen WAN to LAN/DMZ Traffic. Jedoch nur Packet Filter Rules oder Policies die automatisch erstellt werden per DNAT. Der SMTP-Daemon läuft ohne Probleme, wenn alle anderen Incoming rules geblockt werden. Der LAN/DMZ to WAN Traffic funktioniert auch ohne Probleme. 

Das ganze passiert nachdem in der PPPoE Log folgendes kommt:
No response to 5 echo-requests

Also wird wohl ein Unterbruch stattfinden bei der DSL Connection... Schön und gut... Jedoch nach spätestens einer Minute läuft der Anschluss wieder. Aber die Packets werden immer noch geblockt und es werden auch keine mehr angenommen. Zur Abhilfe kann das System nur neu gestartet werden.

Wir haben ca. 100 ASG's bei unseren Kunden im Einsatz und noch nie habe ich ein solches Phänomen festellen können. Nur bei meiner privaten (Home-Licence). 

Ich bin über jeden Tipp dankbar den man mir geben könnte!

Besten Dank
Andy


This thread was automatically locked due to age.
  • 0
    ...verstehe ich das richtig, dass Du mit einer Homelicence am VDSL mit 4 IP's etc. hängst ?

    Wenn dem so ist möchte ich mal in den Raum stellen ob dass nicht schon im kommerziellen Bereich liegt und somit eine Homelicence nicht mehr korrekt wäre.

    Zu Deinem Problem: Ich vermute mal, da hilft nur der Astarosupport.
  • 0 in reply to NicolasPerrot1
    Hallo

    Kommerziell würde ich nicht sagen, da ich es effektiv nur zu privaten Zwecke brauche und halt eine dementspreche Infrastruktur aufgebaut habe.
    Vielleicht sagt man dem Power-User? [;)] Und zusätzlich ist die Internet-Leitung gesponsored. 

    Ich habe noch eine Einstellung angepasst bei der WAN Connection. Mal beobachten ob es nun funktioniert.

    Gruss Andy
  • 0 in reply to koslofski
    Wenn es geht verrate die Einstellung doch bitte mal [:)]
  • 0 in reply to NicolasPerrot1
    Ich habe den Reconnect Delay auf eine Minute erhöht. Vorher war es auf 5 Sekunden eingestellt. Ich glaube nicht, dass das Problem damit behoben ist, doch leider ist es die einzige Möglichkeit die ich noch nicht ausprobiert habe. Zudem steht ja im PPPoE Log, dass er ein Timeout bemerkt hat. 
    Wir werden es sehen...
  • 0
    ..4 Public IP's und VDSL, dann können die aber nur über VPN reinkommen.

    Sicher das das kein VPN Problem ist ? Steht denn der Tunnel "sauber", wenn keine Pakete mehr reinkommen ? Was sagt das andere Tunnelende ?

    Gruß
      Claus
  • 0 in reply to ClausP
    Hmm verstehe deine Ansischtsweise gerade nicht.
    ..4 Public IP's und VDSL, dann können die aber nur über VPN reinkommen.

    Das ist defintiv nicht der Fall. Ich kann mir auch ein 24'er Subnet bestellen auf einem VDSL, wenn mans wirklich braucht und diese IP's werden nicht über ein VPN Tunnel geroutet. 

    Der VPN Traffic in + out funktioniert im Problemfall tadellos. Es geht nur um die Probleme von WAN to LAN
  • 0 in reply to koslofski
    Nur um es richtig zu verstehen: du hast auf deinem VDSL/PPOE ein festes Subnetz /29 ?
    Besteht dein Problem bei allen 4 IPs oder nur bei den 3 Addional ?

    Gregor Kemter
  • 0 in reply to gkemter
    Hallo Gregor,

    ich habe ein /30 Subnet auf dem VDSL Anschluss zur Verfügung. 
    Bei der WAN-Connection habe ich ein /32 Subnet eingestellt und noch die drei zusätzlichen IPs mit einer Subnet von 32 hinzugefügt um auch die Network+Broadcast Adresse für Dienste zu verwenden. Dies ging meines Erachtens früher ja nicht, wenn ich bei der VDSL Verbindung ein /30 Subnet definiert habe? Bin mir da nicht mehr sicher... Normalerweise kann man ja verständlicherweise die Network wie auch Broadcast Adresse nicht verwenden.

    Ich kann dir leider gerade nicht sagen ob das Problem nur auf den drei Additional IP's auftritt. Alle "Public" Services laufen über die Additionals. Auf der Primary läuft nur der Remote SSL Zugang. Sobald das nächste mal das Problem wieder auftreten wird, werde ich mir ein DNAT auf der Primary einrichten um zu kontrollieren auf welchen der 4 IP's das Problem auftritt. Ich könnte mir eben gut vorstellen, dass der Remote-SSL Zugang ohne Probleme funktioniert wie auch der SMTP Daemon. 

    Leider kann ich das Problem nicht forcieren und muss somit abwarten, aber Besten Dank an euch Alle. Zusammen sind wir stark [;)]
  • 0
    Hallo zusammen

    Gregor, du hattest ja gefragt ob das Problem nur auf den additionals IP's auftaucht. Jetzt nach einer Uptime von 32 Tagen ist wieder genau das gleiche Problem vorhanden. Zum testen habe ich nun einmal einen HTTPS Service von einer Additional IP auf die Primary umkonfiguriert. Und siehe da, es klappt einwandfrei. Wechsle ich das DNAT wieder auf die Additinal IP wird im Packet-Filter Log wieder angezeigt, dass es geblockt wird. 

    Hast du evtl. noch eine Idee?

    Wieder endstand das Problem durch ein PPPoE Timeout. Hier noch der Ausszug des Logfiles: 
    2010:01:24-02:06:25 fw pppoe[4557]: Bogus PPPoE length field (1494)

    2010:01:24-03:22:56 fw pppd-pppoe[4556]: No response to 5 echo-requests

    2010:01:24-03:22:56 fw pppd-pppoe[4556]: Serial link appears to be disconnected.

    2010:01:24-03:22:56 fw pppd-pppoe[4556]: Connect time 40764.2 minutes.

    2010:01:24-03:22:56 fw pppd-pppoe[4556]: Sent 3789771096 bytes, received 2052018011 bytes.

    2010:01:24-03:22:56 fw pppd-pppoe[4556]: Script /etc/ppp/ip-down started (pid 14375)

    2010:01:24-03:22:56 fw pppd-pppoe[4556]: sent [LCP TermReq id=0x2 "Peer not responding"]

    2010:01:24-03:22:57 fw pppd-pppoe[4556]: Script /etc/ppp/ip-down finished (pid 14375), status = 0x0

    2010:01:24-03:22:59 fw pppd-pppoe[4556]: sent [LCP TermReq id=0x3 "Peer not responding"]

    2010:01:24-03:23:02 fw pppd-pppoe[4556]: Connection terminated.

    2010:01:24-03:23:02 fw pppd-pppoe[4556]: Modem hangup

    2010:01:24-03:23:02 fw pppd-pppoe[4556]: sending SIGHUP to process 4557


    Gruss Andy
  • 0 in reply to koslofski
    Nun hat diese schon nach ein paar Tagen wieder die gleichen Probleme. Werde diese nun komplett neu installieren und konfigurieren.