Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 10 replies
  • Subscribers 2 subscribers
  • Views 3541 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Upgrade to SG330 Issues

jskain
Hi All:

I've got a ASG 320, running 9.309-3. I just got a new SG330 as a hardware upgrade. I got a 30-day temp license for it from Sophos. It had a version prior to 9.309-03 running on it, but updated to 9-309-3, same as the ASG.

I exported the running config and imported it to the new box for testing. Looked over the config on the new box and all seemed there.  I switched traffic over to it, and initially all seemed OK. I've got four Ethernet connections - three straight standard Ethernet (internal, primary external, etc.) and one trunk connection with four VLAN's on it - including the secondary internet connection, DMZ, etc.. 

However, I've got several DNAT/SNAT's running, for outside people to access an internal database, using additional addresses. Although the management console showed all the addresses were up, they wouldn't function. Couldn't connect to them. Rebooted the SG330 (twice even) no joy.

The DNAT/SNAT's were done before full NAT was available.

I've also got a dual internet connection - different carriers, etc. and have uplink balancing with multipath rules set up (most traffic goes out the primary unless it fails, then goes over to the secondary, and some traffic - like our BYOD wifi hotsopts goes out on the secondary, and fails over to the primary). But didn't look like it was using the secondary, even though showed as up.

Also, I've got four hardware VPN connections, three connect over the primary internet connection, and one over the secondary. The three over the primary came up, but the one over the secondary didn't.

I have a Sophos software VPN from home, and it came right back up, but it's using the primary IP address. 

I had it up about an hour, and no changes.

I plugged the cables back into the old ASG 320, and all came right back up - NAT's, VPN's, etc. 

Any ideas? 

John S.


This thread was automatically locked due to age.
Parents
  • 0
    Hi All:

    After a lot of experimenting, this is what I found. Initially I thought (and Sophos support seemed to think the same) that the DNAT's I have to steer external addresses to internal addresses were at fault.

    Last night, I did a fresh export from my ASG 320 and imported it to the SG 330. With so much trying and changing, thought it best to start over. The config works fine on the ASG 320.

    Anyway, imported it to the SG 330 and rebooted. Then switched the Ethernet cables from the old box to the new one. Same issues as before - The DNAT's coming in through the additional addresses wouldn't work. A ping outbound from one of the servers involved with the DNAT wouldn't work. And incoming services wouldn't work. But could ping out from a workstation, etc.

    I enabled ping on the SG, and could ping the primary address, but none of the additional addresses. That got me thinking. 

    So, went to the additional address page and disabled the additional address, then re-enabled it, and 15 or so seconds later things began working. I could ping out from the affected server, PPTP to it from the outside world, connect to a test IIS box through a DNAT, etc. And from the outside world could ping the additional addresses. 

    So, it seems the holdup was, for whatever reason, the additional addresses were not coming up. 

    Only other major issue found was this: we have four site-to-site VPN connections from outlying offices, all using the same Cisco firewall/VPN boxes at the distant end. Three of four came up. The three that came up were coming in through our primary ISP fiber connection. The one that didn't come up was coming in through our backup ISP AT&T connection. That port was up as our BYOD WiFi routes out through that connection, and in the ping test, was pingable. Changed the configuration to come in through the primary ISP and it came right up. Not sure on that one.

    But, operating on the new SG330. Initial observations, way more power - CPU has so far peaked at 7% and us usually at 1% or so.

    Anyway, more testing to follow, but seems to have found a solution. Up and running on the new box.

    Thanks for your suggestions !! (oh, I've turned the pingable setting off)

    John s.
Reply
  • 0
    Hi All:

    After a lot of experimenting, this is what I found. Initially I thought (and Sophos support seemed to think the same) that the DNAT's I have to steer external addresses to internal addresses were at fault.

    Last night, I did a fresh export from my ASG 320 and imported it to the SG 330. With so much trying and changing, thought it best to start over. The config works fine on the ASG 320.

    Anyway, imported it to the SG 330 and rebooted. Then switched the Ethernet cables from the old box to the new one. Same issues as before - The DNAT's coming in through the additional addresses wouldn't work. A ping outbound from one of the servers involved with the DNAT wouldn't work. And incoming services wouldn't work. But could ping out from a workstation, etc.

    I enabled ping on the SG, and could ping the primary address, but none of the additional addresses. That got me thinking. 

    So, went to the additional address page and disabled the additional address, then re-enabled it, and 15 or so seconds later things began working. I could ping out from the affected server, PPTP to it from the outside world, connect to a test IIS box through a DNAT, etc. And from the outside world could ping the additional addresses. 

    So, it seems the holdup was, for whatever reason, the additional addresses were not coming up. 

    Only other major issue found was this: we have four site-to-site VPN connections from outlying offices, all using the same Cisco firewall/VPN boxes at the distant end. Three of four came up. The three that came up were coming in through our primary ISP fiber connection. The one that didn't come up was coming in through our backup ISP AT&T connection. That port was up as our BYOD WiFi routes out through that connection, and in the ping test, was pingable. Changed the configuration to come in through the primary ISP and it came right up. Not sure on that one.

    But, operating on the new SG330. Initial observations, way more power - CPU has so far peaked at 7% and us usually at 1% or so.

    Anyway, more testing to follow, but seems to have found a solution. Up and running on the new box.

    Thanks for your suggestions !! (oh, I've turned the pingable setting off)

    John s.
Children
No Data
Unfiltered HTML